TetsuoShimaTech

Sai cosa esegui, da cosa dipendi e dove deve stare?

TetsuoShimaTech collega sovranità digitale, sicurezza della software supply chain e platform engineering in un unico tessuto di controllo. Ogni workload ha un posto giusto, regole applicate dalla piattaforma e prove sempre pronte.

Prenota un Control Sprint Fai il test delle 8 domande
Tessuto di fili colorati: ogni colore è un piano di controllo

Quattro fili, un solo tessuto. Seleziona un piano per vedere dove passa.

Otto domande che oggi richiedono settimane

Le informazioni esistono, ma sono sparse tra CMDB, repository, pipeline, cluster, contratti e fatture cloud. Segna quelle a cui la tua organizzazione sa rispondere oggi, in meno di un giorno.

Quattro piani di controllo, un ciclo continuo

Sovranità decide il target, la supply chain garantisce la fiducia, la piattaforma applica le regole, l'observability produce la prova. Ogni prova aggiorna le decisioni successive.

1. Know

Cosa eseguiamo e da cosa dipendiamo

  • Control Graph di applicazioni, workload e dati
  • SBOM e provenance per ogni artefatto
  • Mappa di provider e giurisdizioni

Software supply chain security, assessment delle piattaforme

2. Decide

Dove deve stare, con quale controllo

  • Sovereignty Score per workload
  • Placement Engine con scenari what-if
  • Architettura target

Workload placement, architetture ibride, FinOps

3. Enforce

Come la piattaforma applica le regole

  • Sovereignty-as-Code e Policy-as-Code
  • Golden path in self-service
  • Controlli DevSecOps e in admission

Platform engineering, GitOps, DevSecOps

4. Prove

Come lo dimostriamo, ogni giorno

  • Evidence Fabric dal commit al runtime
  • Evidence pack per CRA, NIS2 e DORA
  • Rilevamento continuo della deriva

Observability, SRE, security

Dopo il quarto piano il ciclo riparte: una nuova evidenza può riaprire una decisione di placement.

Il Control Graph: un solo modello del tuo patrimonio digitale

Colleghiamo ogni workload alla sua origine, al suo contesto e ai suoi obblighi. Scegli un livello per vedere a quale domanda risponde.

Business service

Control Index: quanto controllo hai su un workload

Cinque sotto-indici da 0 a 100, pesati sul profilo di rischio. Prova a impostare i valori di un tuo servizio.

Sotto-indici del workload
Profilo di rischio
0

Simulazione dimostrativa. Nel servizio reale i valori si calcolano dai dati del Control Graph e si aggiornano in continuo.

Cosa facciamo che gli altri non fanno

Chi vende sovereign cloud decide dove ospitare, chi fa consulenza disegna la roadmap, chi vende tool protegge l'artefatto. Noi colleghiamo la decisione all'esecuzione e alla prova, workload per workload.

Sovereignty-as-Code

I requisiti di sovranità diventano policy che la piattaforma applica da sola.
  • In provisioning: un ambiente non conforme alla classe di dato non viene creato.
  • In admission: un artefatto senza SBOM firmato o provenance non entra nel cluster.
  • A runtime: la telemetria segnala flussi verso giurisdizioni non ammesse.
Esempio illustrativo 
kind: SovereigntyPolicy
metadata:
  name: dati-clienti-core
spec:
  appliesTo:
    dataClass: C3
  require:
    jurisdiction: EU
    sbom: signed
    provenance: verified
    exitDrill: "every 180d"
  enforce: [provisioning, admission, runtime]

Exit Readiness e stress test

L'uscita da un provider si misura e si prova, come un test di disaster recovery.

Misuriamo il Time-to-Exit: il tempo verificato per spostare un workload fuori dal suo provider, con dati, pipeline e dipendenze. Una volta ogni sei mesi lo proviamo davvero su un workload campione.

  • Il provider cambia condizioni o esce dal mercato
  • Accesso extraterritoriale ai dati
  • Shock di prezzo o di licensing
  • Indisponibilità prolungata di una region
  • Dipendenza open source compromessa

Evidence Fabric

La conformità diventa una query, non un progetto.

Ogni passaggio, dal commit alla pipeline, all'artefatto, all'SBOM, al deploy, al runtime e all'incidente, lascia una prova firmata e collegata alle altre.

  • Evidence pack CRA: SBOM, vulnerabilità, notifiche
  • Evidence pack NIS2: misure di sicurezza e fornitori
  • Evidence pack DORA: fornitori ICT e strategie di uscita
  • Evidence pack EU Cloud Sovereignty Framework

AI Supply Chain Control

Modelli, dataset e agenti sotto lo stesso controllo del codice.

Un modello è un artefatto come gli altri: ha un'origine, una licenza, una firma e un posto dove deve girare.

  • AI-BOM: modelli, versioni, dataset e librerie per servizio
  • Verifica di provenance e licenza dei modelli
  • Placement dell'inferenza in base alla classe di dato
  • Controlli sul codice generato dagli assistenti

Rilevamento della deriva

Ti avvisiamo quando un workload esce dal suo perimetro, e proponiamo la correzione.

Un workload conforme oggi può non esserlo domani. La correzione arriva come pull request e passa dagli stessi controlli GitOps di ogni altra modifica.

  • Nuova dipendenza con manutentore fuori perimetro
  • Nuovo endpoint SaaS o API esterna
  • Dati replicati in una region non ammessa
  • Immagine base non più firmata

Dall'assessment alla governance eseguibile

Ogni fase produce valore da sola. L'ultima trasforma il progetto in un servizio continuo.

6–8 settimane

Discover

Assessment di resilienza e sovranità

  • Control Graph iniziale
  • Trust, Sovereignty e Platform score
  • Mappa dei rischi
  • Time-to-Exit stimato
4–6 settimane

Design

Architettura target e roadmap

  • Matrice di placement
  • Libreria di policy
  • Golden path e controlli
  • Backlog e KPI target
3–12 mesi

Transform

Piattaforma sovrana e controllata

  • Piattaforma e GitOps
  • Pipeline con SBOM e firma
  • Migrazioni e modernizzazioni
  • Observability ed evidenze
Servizio continuo

Control

Governance ed evidenze

  • Control Room e Control Index
  • Rilevamento della deriva
  • Exit drill periodici
  • Evidence pack su richiesta

Durate indicative, calibrate su perimetro e numero di workload.

Inizia con un Control Sprint

Quattro settimane su 3–5 workload critici. Alla fine hai il primo Control Index, le risposte alle otto domande e un controllo già in esecuzione sulla piattaforma.

Prenota un Control Sprint
  1. Settimana 1Raccolta automatica dei dati e Control Graph parziale
  2. Settimana 2Trust Score e Sovereignty Score per ogni workload
  3. Settimana 3Raccomandazioni di placement e Time-to-Exit stimato
  4. Settimana 4Una policy Sovereignty-as-Code attiva su piattaforma pilota e presentazione al management

Perché adesso

Normative e mercato stanno trasformando il controllo digitale da buona pratica a obbligo da dimostrare.

77%

delle organizzazioni ha subito un incidente di software supply chain nei 12 mesi precedenti

40%

indica la tecnologia AI come primo rischio per la supply chain

+83%

crescita attesa nel 2026 della spesa europea in sovereign cloud IaaS

20%

dei workload attuali destinato a spostarsi da provider globali a locali

La Commissione europea usa il Cloud Sovereignty Framework, 8 categorie e 48 criteri, in una gara da 180 milioni.

Cyber Resilience Act: notifica entro 24 ore di vulnerabilità sfruttate e incidenti gravi.

Cyber Resilience Act pienamente applicabile: marcatura CE, documentazione tecnica, SBOM.

Per chi lavoriamo

Il tessuto è lo stesso. Cambia il primo filo che tiriamo.

DORA

Banche e assicurazioni

Rischio ICT di terze parti e strategie di uscita provate: partiamo da Exit Readiness.

CRA

Manifattura e software

Chi mette sul mercato prodotti con software: partiamo dall'SBOM e dalla gestione delle vulnerabilità.

NIS2

Enterprise, Corporate e Utilities

Continuità e catena di fornitura su ambienti ibridi: partiamo dal Control Graph.

EU CSF e NIS2

PA e sanità

Sovranità dei dati e criteri di gara: partiamo dal Sovereignty Score.

Parliamo dei tuoi workload critici

Raccontaci il contesto. In una call di 30 minuti capiamo se un Control Sprint ha senso per te e su quali servizi partire.