Perché il DORA crea un problema architetturale per i sistemi legacy?
Il DORA (Digital Operational Resilience Act) richiede capacità che le architetture legacy non sono mai state progettate per fornire.
Il DORA non è più un esercizio futuro di compliance. È in vigore, viene applicato attivamente e si concentra sulla resilienza operativa, sull'osservabilità e sul controllo. Molti ambienti legacy possono soddisfare i requisiti di documentazione, ma faticano a soddisfare quelli architetturali.
L'elaborazione orientata ai lotti, le dipendenze non documentate e le piattaforme mono-vendor creano lacune che non possono essere colmate solo attraverso il miglioramento dei processi.
Il DORA non è solo una sfida di compliance. È un fattore di modernizzazione.
Perché l’inventario degli asset ICT è così complesso negli ambienti legacy?
Nella maggior parte degli ambienti legacy, le dipendenze critiche sono integrate nel codice, non nella documentazione.
Il DORA richiede un inventario costantemente aggiornato, accurato e verificabile degli asset ICT e delle loro interdipendenze. In molti ambienti mainframe, queste relazioni esistono solo nelle catene batch, nei job scheduler e nella conoscenza informale degli ingegneri con maggiore esperienza.
La mappatura automatizzata delle dipendenze è sempre più spesso l’unico modo credibile per soddisfare questo requisito e, allo stesso tempo, diventa la base per qualsiasi roadmap di modernizzazione realistica.
Perché i sistemi legacy non riescono a soddisfare i requisiti di segnalazione degli incidenti in tempo reale?
Le architetture legacy rilevano gli incidenti troppo tardi, spesso solo dopo il completamento dei cicli batch.
Il DORA impone il rilevamento e la segnalazione degli incidenti ICT gravi entro poche ore. I sistemi basati su batch ritardano la visibilità fino al termine dell’elaborazione programmata, rendendo difficile, se non impossibile, intervenire in modo tempestivo.
Observability moderna, monitoraggio in tempo reale, tracing e alerting non possono essere integrati in modo realmente efficace in architetture che non sono mai state progettate per questo. Non si tratta di un gap di governance, ma di un limite strutturale di progettazione.
Questo spiega anche perché molte iniziative di AI falliscono negli ambienti legacy senza dati in tempo reale e sistemi di observability, rafforzando la necessità di AI Modernization.
In che modo DORA cambia il profilo di rischio delle dipendenze nei sistemi mainframe?
Trasforma dipendenze accettate da tempo in rischi di concentrazione espliciti.
Il DORA richiede agli istituti di identificare e gestire il rischio di concentrazione ICT verso terze parti. Rientrano quindi ora direttamente nel perimetro di supervisione i sistemi core che dipendono da:
- Un singolo vendor hardware;
- Uno stack middleware;
- Un bacino di competenze sempre più ristretto.
Sebbene il DORA non imponga un’uscita immediata dai mainframe, richiede agli istituti di dimostrare una gestione attiva del rischio e una sua progressiva riduzione nel tempo.
Gli interventi di modernizzazione, quindi, passano da iniziative orientate ai costi a una necessità regolamentare.
