La decisione DAS: il software e la sicurezza contano tanto quanto l’hardware
Un'infrastruttura DAS moderna è definita sia dal software che dall'hardware. Gli acquirenti dovrebbero comprendere come viene gestito il software, come viene controllato l'accesso al sistema e come viene gestita la sicurezza per tutta la durata operativa della rete.
Un sistema di antenne distribuite (DAS) è un'infrastruttura fisica ben visibile. Le unità remote, le apparecchiature di testa di rete, i collegamenti in fibra ottica e le antenne svolgono tutti un ruolo essenziale nel garantire la copertura e la capacità di rete mobile. Dietro a tale hardware, tuttavia, il software influisce sempre più sul modo in cui il sistema viene configurato, monitorato, mantenuto e sviluppato.
Ciò significa che la gestione del software e la sicurezza informatica dovrebbero essere integrate fin dall’inizio nel processo di approvvigionamento del DAS. Non dovrebbero essere considerate come aspetti separati una volta che le apparecchiature sono state installate.
Capire chi è responsabile
Prima di scegliere una piattaforma DAS, gli acquirenti dovrebbero chiarire quale organizzazione sia responsabile del relativo software e in che modo tale responsabilità verrà gestita per tutto il ciclo di vita del prodotto.
La questione fondamentale non è semplicemente se ogni elemento sia stato sviluppato internamente. I fornitori di tecnologia possono collaborare con partner specializzati o integrare componenti di terze parti nei propri sistemi. Ciò che conta è che vi sia una chiara attribuzione delle responsabilità.
Gli acquirenti dovrebbero stabilire:
Chi è responsabile della manutenzione del software della piattaforma?
Chi gestisce il rilascio degli aggiornamenti e delle patch di sicurezza?
In che modo vengono sviluppate, revisionate e testate le modifiche al software?
Quali elementi si avvalgono di tecnologie di terze parti?
In che modo vengono monitorate e risolte le vulnerabilità di terze parti?
Per quanto tempo sarà disponibile il supporto tecnico per il software?
A chi devono rivolgersi i clienti in caso di problemi relativi al software o alla sicurezza?
Le responsabilità dovrebbero essere chiaramente definite prima della messa in produzione. I clienti non dovrebbero trovarsi a dover stabilire a chi spetta la responsabilità di un problema dopo che questo ha interessato una rete operativa.
La sicurezza è un processo continuo
La sicurezza informatica non può essere ridotta a una singola funzionalità, a un certificato o a una dichiarazione rilasciata in fase di appalto. Le minacce, le vulnerabilità e le prassi di sicurezza consolidate sono in continua evoluzione. La sicurezza di una piattaforma dipende quindi dai processi utilizzati per gestirla durante tutto il suo ciclo di vita operativo.
Gli acquirenti dovrebbero chiedere in che modo vengono individuate, valutate e classificate in ordine di priorità le potenziali vulnerabilità. Dovrebbero inoltre comprendere in che modo i clienti verranno informati qualora si verifichino problemi rilevanti e come verranno forniti gli aggiornamenti o le misure di mitigazione.
Un approccio credibile dovrebbe affrontare i seguenti aspetti:
Monitoraggio e valutazione delle vulnerabilità
Processi di aggiornamento del software e di gestione delle patch
Test prima del rilascio degli aggiornamenti
Comunicazioni ai clienti e indicazioni tecniche
Controlli di accesso al sistema
Autorizzazioni utente e gestione degli account
Registrazione e monitoraggio degli eventi di sicurezza
Modalità di accesso remoto
Assistenza per il software durante l'intero ciclo di vita del prodotto
Nessun sistema interconnesso può essere definito del tutto privo di rischi. La questione più rilevante è piuttosto se siano in atto processi, competenze e responsabilità adeguati per gestire tali rischi.
Un esempio attuale di responsabilità in materia di sicurezza
Le vulnerabilità critiche di PHP rese note il 21 ottobre 2026 costituiscono un esempio calzante del motivo per cui la visibilità del software e processi di sicurezza chiaramente definiti sono fondamentali. Le vulnerabilità CVE-2026-109618 e CVE-2026-109619 interessano determinati ambienti PHP e possono potenzialmente consentire l’esecuzione di codice remoto senza autenticazione. La divulgazione ha richiesto alle organizzazioni di determinare rapidamente se PHP facesse parte dei propri prodotti o degli ambienti di supporto, valutare l’eventuale esposizione e fornire indicazioni chiare ai clienti.
A seguito della divulgazione, SOLiD ha condotto una verifica tecnica interna e ha comunicato i risultati direttamente ai clienti interessati.
Questo tipo di risposta costituisce una parte importante di una gestione responsabile del ciclo di vita. Quando viene resa nota una vulnerabilità significativa, i clienti hanno bisogno che il proprio fornitore di tecnologia sia in grado di stabilire:
Se la tecnologia in questione è presente all'interno della soluzione
Quali prodotti e versioni, se ce ne sono, sono interessati?
Se sia necessario un aggiornamento, una misura di mitigazione o una modifica alla configurazione
Quali misure immediate dovrebbero adottare i clienti
Come verranno monitorati e comunicati gli ulteriori sviluppi
Laddove una vulnerabilità non sia applicabile, i clienti hanno bisogno di tale conferma con la stessa chiarezza con cui necessitano di indicazioni su come risolvere il problema quando è necessario intervenire. L’incidente dimostra inoltre perché le organizzazioni debbano mantenere una comprensione accurata dei componenti software e delle dipendenze all’interno delle proprie piattaforme. Senza tale visibilità, diventa molto più difficile valutare rapidamente l’esposizione al rischio e fornire ai clienti una risposta certa.
L'accesso dovrebbe essere controllato
Le piattaforme DAS possono offrire funzionalità di monitoraggio, diagnostica e gestione da remoto. Queste funzioni possono aiutare i team tecnici a individuare i problemi, valutare le prestazioni e fornire assistenza ai clienti in modo più efficiente.
Devono inoltre essere gestiti in modo adeguato. Gli acquirenti dovrebbero comprendere chi può accedere al sistema, in che modo vengono autenticati gli utenti e se è possibile assegnare autorizzazioni in base ai singoli ruoli. Dovrebbero inoltre stabilire in che modo l’accesso venga revocato quando non è più necessario e se le attività importanti del sistema possano essere registrate e verificate.
L'accesso remoto deve seguire procedure chiaramente definite. La praticità non deve andare a discapito di un controllo adeguato o della responsabilità. L'approccio richiesto varierà a seconda dei progetti. Un edificio commerciale, una rete di trasporti, una struttura sanitaria o un grande luogo pubblico possono avere ciascuno politiche di sicurezza e requisiti operativi diversi. Tali requisiti devono essere presi in considerazione durante la progettazione del sistema, piuttosto che introdotti dopo la messa in servizio.
Pianificare la gestione del software per l'intero ciclo di vita della rete
Un sistema DAS può rimanere in funzione per molti anni. Nel corso di tale periodo, gli ambienti operativi, i requisiti di rete e le aspettative in materia di sicurezza potrebbero subire variazioni. Gli acquirenti dovrebbero pertanto valutare il percorso software a lungo termine parallelamente alle specifiche hardware iniziali.
Tra le domande che vale la pena porsi figurano:
Con quale frequenza viene rivisto e aggiornato il software della piattaforma?
In che modo i clienti verranno informati quando saranno disponibili nuove versioni?
Quale assistenza viene fornita quando è necessario un aggiornamento?
È possibile implementare gli aggiornamenti senza causare interruzioni inutili?
Come vengono gestite le versioni precedenti del software?
Cosa succede quando un software raggiunge la fine del suo ciclo di vita supportato?
In che modo la roadmap del software si allinea alla roadmap generale del prodotto?
Le risposte possono aiutare gli acquirenti a valutare se la piattaforma disponga di un piano credibile per la manutenzione e lo sviluppo continui.
Il software è parte integrante del valore a lungo termine
Il costo iniziale delle attrezzature rimane un fattore importante in qualsiasi decisione di acquisto, ma anche la capacità di gestire e supportare la piattaforma in modo sicuro contribuisce al suo valore a lungo termine. Un software sottoposto a manutenzione attiva, supportato da processi chiari e da team tecnici esperti, può aiutare a garantire le prestazioni e la continuità operativa. Una titolarità poco chiara o un supporto a lungo termine limitato possono generare incertezza anche molto tempo dopo il completamento dell’acquisto iniziale.
Un'infrastruttura DAS moderna dovrebbe quindi essere valutata come una combinazione di hardware, software, assistenza e gestione del ciclo di vita.
Noi di SOLiD riteniamo che gli acquirenti debbano avere una chiara comprensione di come il software della loro piattaforma verrà gestito, aggiornato e supportato, nonché di chi ne sarà responsabile per tutta la durata della rete.
