Negli ultimi anni ho visto molte aziende dover ripensare radicalmente al modo in cui distribuiscono applicazioni e desktop agli utenti. Lo smart working ha portato i collaboratori fuori dagli uffici, le sedi si sono moltiplicate, i dispositivi personali sono entrati nei flussi di lavoro aziendali e il cloud ha trasformato infrastrutture un tempo lineari in ambienti ibridi difficili da governare. Il risultato è che ogni IT manager si trova oggi a dover tenere insieme esigenze apparentemente in conflitto: garantire prestazioni adeguate a utenti distribuiti, mantenere il controllo sui dati, rispettare requisiti normativi sempre più stringenti, assicurare la continuità operativa e farlo riducendo al contempo costi e superficie di attacco. Non è poco. E non esiste una risposta semplice.
La Virtual Desktop Infrastructure è l’approccio che consiglio anche per riprendere il controllo di questa complessità. L’idea di fondo è solida: se i dati e le applicazioni rimangono nel datacenter o nel cloud aziendale, l’endpoint smette di essere un vettore di rischio e diventa un semplice terminale di accesso. Ma, ed è un “ma” importante, non tutte le piattaforme VDI sono costruite allo stesso modo, e scegliere tra Parallels RAS, Citrix e Omnissa Horizon guardando solo le funzionalità dichiarate dal vendor è un errore che ho visto pagare a molte aziende nei mesi successivi all’implementazione, quando emergono i limiti architetturali reali della soluzione adottata e, in realtà, anche quando il produttore decide di cambiare costi e regole, come di recente è accaduto.
Quando entro in un’azienda che gestisce ancora workstation distribuite in modo tradizionale, trovo quasi sempre le stesse cose. Aggiornamenti non uniformi. Configurazioni eterogenee accumulate nel tempo. Dispositivi non gestiti che nessuno sa esattamente dove siano o cosa contengano. Il problema non è che queste situazioni esistono, è che il più delle volte esse vengono date per scontate, fino al momento in cui diventano un problema o peggio un incidente.
Sul piano della sicurezza, ogni endpoint con dati aziendali è un potenziale punto di fuga. Nei contesti BYOD, dove il confine tra dispositivo personale e professionale è sottile per definizione, il rischio di perdita o fuga di informazioni è concreto e difficile da contenere con strumenti tradizionali. E poi c’è la continuità operativa: ho visto più volte applicazioni critiche bloccarsi perché dipendevano da risorse locali o da connessioni VPN non ottimizzate per ambienti distribuiti, con impatti diretti sulla produttività che nessuno aveva previsto in fase di progettazione.
La VDI centralizza dati, applicazioni e policy di sicurezza nell’infrastruttura aziendale, e questo risolve molti di questi problemi. Ma sarebbe sbagliato presentarla come una soluzione priva di complessità. Introduce una dipendenza importante dall’infrastruttura centrale, che deve essere progettata con cura per garantire disponibilità, resilienza e prestazioni adeguate. Il rischio non scompare: si consolida in un ambiente più controllabile, ma che richiede progettazione strutturata, monitoraggio continuo e una governance che non si può improvvisare.
Prima di entrare nel merito delle singole piattaforme, vale la pena avere chiari gli elementi architetturali che tutte condividono, perché è lì che si capisce dove nascono le differenze.
L’utente accede tramite un client locale, un PC aziendale, un thin client, un notebook personale o anche solo un browser. Il desktop o l’applicazione vengono eseguiti nel datacenter o nel cloud: il dispositivo dell’utente fa da terminale di accesso, niente di più. Tra l’utente e il workload c’è un broker di connessione che gestisce autenticazione, autorizzazioni, policy e instradamento delle sessioni. I desktop virtuali o gli host Remote Desktop Services eseguono le applicazioni, mentre uno storage centralizzato conserva dati, profili e immagini dei desktop.
È un’architettura logicamente semplice. Ma la qualità con cui viene implementata, quanti componenti introduce, come si aggiornano, chi li gestisce e come interagiscono tra loro, cambia completamente il quadro operativo. Ed è esattamente qui che Parallels RAS, Citrix e Omnissa Horizon prendono strade diverse.
Parallels RAS punta sulla semplicità operativa. Le funzioni principali sono concentrate in pochi componenti gestibili da una console centralizzata, il che riduce le dipendenze, semplifica gli aggiornamenti e abbassa la curva di apprendimento. Nella mia esperienza è la piattaforma che permette di arrivare operativi più rapidamente, e che genera meno overhead amministrativo nel tempo. Le applicazioni possono essere pubblicate da server Windows o desktop virtuali su VMware, Hyper-V o cloud compatibili una flessibilità utile senza che diventi una fonte di complessità aggiuntiva.
Citrix adotta un approccio modulare, separando controller, gateway, servizi di accesso e componenti di ottimizzazione delle prestazioni tramite il protocollo HDX. Questo modello offre una granularità di configurazione molto elevata e possibilità di personalizzazione difficilmente raggiungibili altrove. Ma richiede una progettazione articolata e competenze specifiche: non è una piattaforma che si gestisce bene senza un team IT strutturato e preparato. Nei contesti enterprise con requisiti complessi, quella complessità vale l’investimento. In contesti più snelli, rischia di diventare un peso.
Omnissa Horizon mantiene una forte integrazione con l’ecosistema VMware da cui proviene, utilizzando componenti come Connection Server e Unified Access Gateway per gestire il ciclo di vita dei desktop virtuali. È una scelta che ha senso soprattutto per le organizzazioni che hanno già investito significativamente in quell’ecosistema e vogliono sfruttare le sinergie esistenti.
In tutti e tre i casi, la centralizzazione dei workload riduce l’esposizione dei dati sugli endpoint. Ma le implicazioni operative sono molto diverse, e ignorarle in fase di valutazione è il modo più rapido per trovarsi con una piattaforma inadatta al contesto in cui deve operare.
Quando si parla di costi in ambito VDI, il prezzo della licenza è solo la parte visibile dell’iceberg. Nella mia esperienza, le aziende che si concentrano esclusivamente sul costo iniziale si trovano spesso a fare i conti, nei mesi successivi, con voci di spesa che non avevano considerato: il tempo del team IT assorbito dalla gestione e dalla risoluzione dei problemi, i costi di formazione per acquisire competenze specifiche sulla piattaforma, le integrazioni aggiuntive necessarie per colmare gap funzionali, e in alcuni casi i costi di consulenza esterna per gestire una complessità che internamente non si riesce a sostenere.
Il Total Cost of Ownership di una piattaforma VDI dipende da quanti componenti introduce nell’infrastruttura, da quanto tempo richiede per essere mantenuta operativa e da quante competenze specialistiche sono necessarie per gestirla nel quotidiano. Una soluzione apparentemente più economica in fase di acquisto può generare un TCO significativamente più alto se richiede un overhead amministrativo elevato o frequenti interventi di terze parti. Al contrario, una piattaforma con un modello integrato e una console centralizzata , come nel caso di Parallels RAS, tende a ridurre il carico operativo e a rendere più prevedibile il costo nel tempo, soprattutto per team IT di dimensioni contenute.
Nei contesti enterprise, il ragionamento si inverte parzialmente: una piattaforma modulare come Citrix, pur richiedendo un investimento maggiore in competenze e progettazione, può offrire un ritorno più alto in termini di controllo granulare e capacità di adattamento a requisiti complessi. La variabile che fa la differenza, in entrambi i casi, non è il prezzo di listino: è la coerenza tra l’architettura della piattaforma e le risorse, tecniche, economiche e umane, che l’organizzazione è in grado di mettere in campo.
Uno degli errori che vedo più spesso, e che cerco sempre di correggere quando accompagno un’azienda in questo percorso, è credere che adottare una piattaforma VDI risolva automaticamente i problemi di sicurezza. Non è così. La VDI crea le condizioni per una postura di sicurezza migliore, ma è l’architettura complessiva e la strategia che la circonda a fare la differenza.
I framework NIST e la Direttiva NIS2 sono chiari su questo: i controlli devono essere distribuiti lungo tutta l’infrastruttura, senza lasciare livelli scoperti. Il patch management deve coprire l’intera catena, desktop virtuali, sistemi operativi, broker, gateway, hypervisor, servizi di autenticazione, perché un aggiornamento mancante in uno qualsiasi di questi livelli può essere sufficiente per aprire una breccia. La segmentazione della rete deve limitare la propagazione laterale in caso di compromissione. L’accesso remoto deve essere protetto con autenticazione multifattore e modelli Zero Trust, basati sulla verifica continua dell’identità e del contesto. I sistemi di logging e monitoraggio devono raccogliere eventi da tutti i livelli per supportare auditing e incident response efficaci. Nei contesti esposti a Internet, l’integrazione di WAF e controlli avanzati di accesso condizionale non è un’opzione: è una misura necessaria.
La sicurezza di una piattaforma VDI, in sintesi, non dipende dal prodotto scelto. Dipende dalla qualità dell’architettura che lo circonda.
Quando accompagno un’azienda nella valutazione di una piattaforma VDI, non parto mai dalle schede tecniche dei vendor. Parto da domande concrete: dove risiedono oggi i desktop? Come vengono distribuite le applicazioni? Chi gestisce l’infrastruttura e con quali competenze? Quali sono i requisiti normativi che l’organizzazione deve rispettare? Come vengono applicate le policy oggi, e come dovranno essere applicate domani?
Parallels RAS, Citrix e Omnissa Horizon risolvono lo stesso problema con approcci diversi, e nessuno dei tre è sbagliato in assoluto. Quello che cambia è il contesto. Una piattaforma architetturalmente semplice in mano a un team IT snello può dare risultati eccellenti anche in un contesto enterprise con requisiti articolati.
Stai valutando una piattaforma VDI per la tua infrastruttura? Contattaci: analizziamo insieme i tuoi requisiti e ti aiutiamo a scegliere la soluzione più adatta al tuo ambiente, senza partire dalle schede prodotto dei vendor
Ottimizza l'efficienza del tuo lavoro
