Il 27 maggio un servizio interno si è ritrovato esposto su Internet, in ascolto su tutti gli indirizzi anziché sulla sola macchina locale. Una chiave API è stata consumata per circa 250 dollari prima che qualcuno se ne accorgesse. L'incidente è stato corretto e annotato nella memoria dell'agente di esercizio: data, causa, impatto, correzione. Una nota ineccepibile.
Il 3 agosto altri due servizi erano esposti esattamente allo stesso modo: la cassaforte delle password e un file server, sottoposto a scansioni attive.
La memoria aveva conservato il caso, non la regola
Una nota si rilegge quando ci si ricorda di cercarla. Un controllo si esegue anche quando non ci si pensa. È tutta la differenza tra un'organizzazione che documenta i propri errori e un'organizzazione che smette di ripeterli.
Lo stesso giorno, un'altra scoperta
Esaminando quella memoria è emerso un secondo problema. Uno script pianificato, che nessuno aveva documentato, vi aggiungeva ogni notte una dichiarazione «tutto bene», senza aver misurato nulla. 51 blocchi identici occupavano più della metà della memoria a lungo termine dell'agente, quella che rilegge a ogni avvio.
Un'attività che scrive «tutto bene» senza aver verificato nulla è peggio di nessuna attività: fabbrica una falsa sicurezza.
La regola adottata
Ogni incidente vissuto genera un controllo quotidiano:
- servizio esposto → elenco di tutte le porte aperte, allarme su ogni nuova porta;
- servizio fermo per sette settimane senza allarme → verificare che ogni servizio previsto sia attivo;
- disco saturato dalle cache → soglia di spazio e volume delle cache;
- memoria cresciuta in silenzio → dimensione della memoria confrontata con un tetto massimo;
- test di sicurezza lanciato dalla macchina testata → validare sempre da una rete esterna.
Nella Sua azienda
La domanda da porsi dopo ogni incidente, umano o di una macchina, non è «abbiamo documentato bene?» ma «che cosa, d'ora in poi, lo rileverà senza di noi?». Se la risposta è «qualcuno che rileggerà la nota», l'incidente si ripeterà.