# CP4BA su Azure – ARO o OpenShift su VM: costi, sicurezza e rischio

**Documento di analisi completo** · Redatto il 03/11/2026 · Autore dell'analisi: Claude (Anthropic), su richiesta di Gabriele Cavigiolo
**Allegato operativo:** `Stima_CP4BA_Azure.xlsx`. Questo file ne riporta tutti i fogli con i valori calcolati, più metodologia, limiti e decisioni prese lungo il lavoro.

> **Come usare questo documento.** È autosufficiente: contiene gli input del cliente, le fonti, i dati grezzi, i calcoli intermedi, le ipotesi, le conclusioni e i limiti noti. Chi lo rivede può ricostruire ogni numero partendo dalla sezione 10 (Dati RAW) e dalla sezione 4 (Metodologia). Le ipotesi non verificate sono segnalate esplicitamente come tali.

---

## 1. Sintesi

**Domanda:** per IBM Cloud Pak for Business Automation (CP4BA) in produzione, con BPM business critical, conviene **ARO (Azure Red Hat OpenShift, gestito)** oppure **OpenShift self-managed su VM Azure**?

**Risposta:** **ARO**, anche se costa di più a parità di sola spesa.

| Orizzonte | ARO | VM | Differenza |
|---|---|---|---|
| Spesa 3 anni (Azure + fee + servizio X) | 610.043 € | 326.637 € | ARO +283.406 € |
| Spesa 5 anni (cassa) | 1.101.615 € | 538.095 € | ARO +563.520 € |
| **Costo complessivo 5 anni** (spesa + gestione interna + perdita attesa da incidenti) | **1.574.585 €** | **2.242.004 €** | **ARO −667.419 €** |

Perché il risultato si ribalta:
1. **Licenza OpenShift pagata due volte su ARO.** Vale circa 213.000 € ogni 3 anni, tra produzione e DR, ed è il primo motore del sovracosto. Su VM la licenza è coperta dall'entitlement incluso nei 140 VPC della Cloud Pak; su ARO si paga di nuovo tramite la fee Azure.
2. **Su VM la gestione resta interna.** Upgrade, etcd, certificati, incidenti, reperibilità 24/7 e patching di RHCOS costano circa 111.000 € all'anno, contro circa 18.000 € residui su ARO.
3. **Il rischio di sicurezza cresce.** Le CVE sullo stack Red Hat sono triplicate nell'ultimo anno (+233%, a fronte del +111% mondiale). Lo sfruttamento di vulnerabilità è il primo vettore di accesso (32%) e in media avviene 7 giorni prima della patch. Il tempo di remediation (7 giorni su ARO, 21 su VM, ipotesi) diventa quindi il fattore dominante.
4. **Soglia di convenienza.** ARO ripaga il proprio sovracosto se riduce la probabilità annua di un incidente grave di **2,7 punti percentuali**. Questo vale prima di considerare il costo del fermo di BPM, che il cliente deve ancora fornire.

**Raccomandazione:** ARO per la produzione di BPM. In parallelo conviene negoziare con IBM il riconoscimento dell'entitlement OpenShift già incluso nella Cloud Pak, che è la leva principale per ridurre la differenza di spesa.

---

## 2. Input ricevuti dal cliente

### 2.1 Slide "Requisiti completi (produzione)"

| Ruolo | Nodi | vCPU/nodo | RAM/nodo | Storage OS | Storage Fusion (grezzo) | Note |
|---|---|---|---|---|---|---|
| Master (control plane) | 3 | 8 | 32 GB | 120 GB SSD/NVMe | Nessuno | Nessun carico applicativo |
| Worker (CP4BA) | 3 | 32 | 88 GB | 120 GB SSD/NVMe | Nessuno (usano Fusion) | Coprono 264 GB; licenza OpenShift inclusa |
| Infra (storage dedicato) | 3 | 16 | 64 GB | 120 GB SSD/NVMe | 1 × 750 GB per nodo | Fusion Essentials; esenti da licenza OpenShift tramite il ruolo infra |
| **Totale slide** | 9 | 168 | 552 GB | **1,68 TB (errato)** | 2,25 TB grezzi | |

Processori indicati: Intel Xeon (Ice Lake) e AMD EPYC Milan/Genoa (Azure Dasv5/Easv5).

**Incongruenze trovate:**
- Il totale dello storage OS è **9 × 120 GB = 1,08 TB**, non 1,68 TB come riportato nella slide.
- I 2,25 TB grezzi di Fusion con replica 3 danno circa 750 GB utilizzabili, sotto gli ~1,5 TB del sizing nella slide successiva.

### 2.2 Slide "CP4BA onPrem produzione" (sizing tool IBM)
- **Componenti scelte:** Business Automation Insights, FileNet Content Manager, Operational Decision Manager, Process Mining, Workflow Runtime (large). Sono inclusi anche Navigator, Foundational Services, Operators e Resource Registry.
- **Infrastruttura:** 8 worker × 24 vCPU, 173/192 vCPU usate, 462 GB di RAM, 1.492 GB di storage, 140 VPC di entitlement.
- **Incongruenza con la slide 2.1:** il sizing qui è di 192 vCPU e 462 GB, contro 96 vCPU e 264 GB dei worker della tabella requisiti. La tabella requisiti risulta **sottodimensionata**.

### 2.3 Indicazioni del cliente raccolte durante il lavoro
- **Prenotazioni:** tutte a 3 anni.
- **Fee per oggetto:** 630 € all'anno per ogni IaaS (1 VM) e 315 € all'anno per ogni PaaS (1 nodo worker o control plane ARO). I dischi sono esclusi.
  Prima versione: una tantum, 630 € PaaS / 315 € IaaS. È stata corretta dal cliente.
- **DR:** replica completa.
- **Alta affidabilità:** verificare la distribuzione su availability zone.
- **Servizio X:** osservabilità e analisi di sicurezza ipotetico, **solo per lo scenario VM** perché ARO è un servizio gestito. Le remediation sono comprese nel contratto ITO.
  Prima versione: applicato a entrambi gli scenari. È stata corretta dal cliente.
- **Proiezione delle vulnerabilità:**
  - primi 2 anni con tassi quasi uguali, dato che gli strumenti di analisi pre-rilascio impiegheranno 2 anni ad adeguarsi alla scoperta di CVE con l'AI;
  - poi tassi dimezzati e oscillanti;
  - richiesta finale: una versione realistica.
- **Contesto:** BPM è un'applicazione business critical.

---

## 3. Architettura proposta

### 3.1 Vincoli tecnici verificati
- **Supporto di CP4BA:** IBM supporta CP4BA su ARO, e l'installazione su ARO o ROSA segue gli stessi passi di OpenShift standard.
- **Storage su ARO:** **l'unico storage supportato è ODF.** Di conseguenza Azure Files non è un'alternativa per CP4BA su ARO; questo si riferisce alla documentazione IBM 23.0.2.
- **Nodi infra su ARO:** sono supportati solo per router, registry, monitoring e logging. Eseguire altri workload sui nodi infra, operatori Red Hat compresi, non è supportato. Quindi ODF va su **worker dedicati con taint**, che pagano la licenza ARO.
  La documentazione ODF suggerisce invece il taint "infra" per risparmiare licenze: è un'ambiguità da chiarire con Microsoft e Red Hat.
- **Master su ARO:** sono gestiti dal servizio, la taglia minima è D8s_v3 e non possono essere modificati dal cliente.
- **Region:** Italy North e West Europe hanno 3 availability zone ciascuna. ARO è GA in Italy North. **Italy North non ha una paired region**, quindi il DR in West Europe va progettato in modo esplicito.

### 3.2 Alta affidabilità
Servono **3 availability zone, non 2.** Con 2 zone i master si dividono 2+1: se cade la zona che ne ospita 2, etcd perde il quorum. Anche ODF o Fusion con replica 3 richiedono 3 failure domain.
- **ARO:** 1 master per zona, 2 worker per zona, 1 nodo storage per zona.
- **VM:** 1 nodo di ogni ruolo per zona.

### 3.3 Mappatura sulle taglie Azure
- **Taglia da 88 GB:** non esiste una VM con 32 vCPU e 88 GB, quindi si usa D32s v5 (32 vCPU, 128 GB).
- **8 worker da 24 vCPU:** non esiste una taglia da 24 vCPU, quindi diventano 6 × D32s v5 (192 vCPU).
- **Dischi:** i 750 GB diventano P30 (1 TiB). I 120 GB di disco OS diventano P10 (128 GiB).
- **Dischi master ARO:** P30, come previsto dal profilo di ARO.

---

## 4. Metodologia

### 4.1 Prezzi
- **Fonti dei prezzi:** listino retail in EUR dell'Azure Retail Prices API, verificato contro l'Azure Pricing Calculator. I totali di Italy North coincidono al centesimo: per esempio 5.131,43 €/mese per la produzione ARO e 2.990,89 €/mese per la produzione VM.
- **Prenotazioni:**
  - VM a 3 anni;
  - dischi Premium a 1 anno, l'unica durata disponibile;
  - licenza ARO prepagata a 3 anni.
- **Licenza ARO:** viene dal calcolatore (85.199,15 € per 6 × D32s v5 e 21.299,79 € per 3 × D16s v5). È verificata uguale in Italy North e West Europe. L'API retail non la espone.
- **Backup:** OADP/Velero verso Blob Cool LRS nella region DR. Il volume è dati protetti × fattore di retention 2,5.

### 4.2 Proiezione della spesa a 5 anni
Vista di cassa: i pagamenti sono attribuiti all'anno in cui avvengono. Le prenotazioni si rinnovano all'anno 4 con un adeguamento di listino del +3% (ipotesi).
Un terzo della licenza ARO pagata all'anno 4 copre l'anno 6, quindi a 5 anni il confronto penalizza ARO.

### 4.3 Effort di gestione
- **Attività considerate:** upgrade, etcd, certificati, infrastruttura Azure, incidenti e hardening.
- **Self-managed:** 6-8 giorni al mese per cluster.
- **ARO:** circa 1,5 giorni al mese per cluster.
- **Reperibilità 24/7 sulle VM:** 1.500-3.000 € al mese.
- **Tariffa:** 500 € al giorno (ipotesi).

### 4.4 Vulnerabilità
- **Prodotti Red Hat:** fonte Red Hat Security Data API.
  - Prodotti interrogati: OpenShift Container Platform 4, RHEL 9 (base di RHCOS), kernel su RHEL 9, OpenShift Data Foundation 4.
  - Per ogni periodo sono state contate le CVE "tracciate", cioè quelle in cui il prodotto compare, anche come non impattato.
  - La quota che **impatta davvero** il prodotto è stimata su un campione verificato CVE per CVE (fino a 80 CVE per prodotto e per anno). Contano come impattate le CVE con stato Affected, Fixed, Fix deferred, Will not fix o Under investigation.
  - Una verifica puntuale di tutte le circa 5.700 CVE Critical/Important è stata interrotta perché Red Hat ha limitato le richieste (errore 403).
- **Kubernetes:** fonte NVD, filtrate per CNA `security@kubernetes.io`.
- **IBM:** fonte NVD, ricerca per nome del prodotto con verifica nella descrizione. Le CPE non sono state usate perché NVD ha un ritardo di analisi dal 2024.
- **Totale mondiale:** NVD, CVE pubblicate per periodo, escluse le rifiutate.
- **Zero-day:** come indicatore si usa il catalogo CISA KEV, filtrato per vendor e prodotto e contato per data di inserimento.
- **Periodi:** 4 anni mobili, da novembre a novembre (4/11/2022 – 3/11/2026).

### 4.5 Proiezione delle vulnerabilità
**Scenario meccanico.** È la regola indicata dal cliente, applicata al tasso dell'ultimo anno di ogni serie:
- anni 1-2 al 100% e al 95% del tasso;
- anni 3-5 al 55%, 45% e 55% del tasso.

**Scenario realistico (consigliato).** Il tasso dello stack si scompone in tre parti:
- **Crescita strutturale:** +29,4%, la media mondiale dei due anni pre-AI.
- **Extra dovuto all'AI:** +81,2 punti, cioè la crescita mondiale dell'ultimo anno meno quella strutturale. Si riassorbe al 50% nel primo anno, al 25% nel secondo e a 0 dopo.
- **Dopo il riassorbimento:** la crescita strutturale scende al 60%, 45% e 55%.

L'effetto di catalogazione specifico di Red Hat è escluso. Le serie con altre fonti usano tassi propri:
- **Vulnerabilità sfruttate:** crescita strutturale del KEV, +22,1%.
- **IBM:** media dei 4 anni, +24,1%.
- **Kubernetes:** media dei 4 anni, limitata a un minimo di 0%.

### 4.6 Rischio
- **Perdita attesa annua** = probabilità di incidente grave dalla piattaforma × (costo medio di un incidente + costo orario del fermo di BPM × ore di fermo).
- **Probabilità nell'anno base:** 4% per le VM (ipotesi). Per ARO è proporzionale ai giorni di esposizione: 7/21, cioè 1,33%.
- **Crescita della probabilità:** segue la proiezione realistica delle vulnerabilità sfruttate sullo stack, con un massimo del 50%.
- **Costo medio di un incidente:** 3,55 M€, media italiana dell'IBM Cost of a Data Breach 2026.
- **Costo del fermo di BPM:** 0 €/ora, **da fornire** dal cliente.
- **Soglia di convenienza** = differenza di spesa su 3 anni / 3 / costo di un incidente.

---

## 5. Limiti noti e punti aperti

1. **Sizing non omogeneo.** ARO usa il profilo da 192 vCPU, le VM la tabella requisiti da 3 worker. A parità di sizing la spesa VM sale di circa 100-130 mila € su 3 anni: questo **rafforza** la conclusione.
2. **Probabilità di incidente.** I valori di 4% e 1,33% sono ipotesi, non dati misurati. Per questo la conclusione è espressa anche come soglia: basta una riduzione di 2,7 punti all'anno. Sensibilità calcolata sul modello: contando la gestione interna, ARO resta più conveniente finché la probabilità annua sulle VM supera circa lo **0,5%**. Senza contare la gestione interna, la soglia sale a circa il **2,9%**.
3. **Tempi di patch.** I valori di 7 e 21 giorni sono ipotesi. Inoltre su ARO gli upgrade dei worker restano avviati dal cliente, quindi il vantaggio di ARO dipende dal processo, non solo dal servizio.
4. **Downtime delle remediation.** Le fonti pubbliche indicano quali aggiornamenti riavviano i nodi, non quanto fermo hanno causato al servizio. Il foglio "Remediation e downtime" è un modello parametrico: 25 interventi all'anno con riavvio, 0 fermi attesi con HA e circa 3 interventi con impatto percepito (10%, ipotesi). Il dato reale va preso dal registro dei change ITO.
5. **Dati Red Hat.**
   - Le CVE che impattano il prodotto sono stimate su un campione.
   - I conteggi per severità si riferiscono alle CVE tracciate, non solo a quelle impattate.
   - Il salto del kernel dal 2024 dipende in parte dal fatto che il kernel è diventato CNA di se stesso.
   - Nell'ultimo anno la crescita di Red Hat (+233%) supera quella mondiale (+111%): c'è probabilmente anche un effetto di catalogazione.
6. **KEV come indicatore degli zero-day.** Il catalogo registra la data di inserimento, non quella di pubblicazione: alcune CVE molto vecchie sono state inserite di recente. Va letto come esposizione allo sfruttamento attivo, non come conteggio esatto degli zero-day.
7. **Licenza.** Si assume che l'entitlement OpenShift della Cloud Pak copra lo scenario VM e non sia compensabile su ARO. Va confermato con IBM.
8. **Costi esclusi.**
   - Licenze CP4BA (VPC), subscription ODF o Fusion, database esterni, LDAP, rete, supporto Azure.
   - Replica dati del DR: ODF Regional-DR con ACM, oppure Fusion Metro-DR.
   - Traffico tra region e prezzi contrattuali del cliente.
9. **Nodi infra su ARO.** C'è ambiguità tra la documentazione ODF (taint "infra" per risparmiare la licenza) e la support policy ARO, che non lo supporta. Sono stati considerati come worker con licenza.
10. **Servizio X.** È ipotetico, con valori di esempio: 90 € per nodo al mese e 8.000 € di setup per ambiente.

---

## 6. Domande aperte per il cliente
- **Costo orario di fermo di BPM** e tariffa giornaliera interna: sono i due parametri che pesano di più sul risultato.
- **Storico dei change di patching** degli ultimi 2-4 anni, con data, componente, CVE e fermo, per sostituire il modello di downtime con i dati reali.
- **Profilo CP4BA definitivo:** tabella requisiti o sizing tool. Serve ad allineare il sizing tra i due scenari.
- **Posizione di IBM** sull'entitlement OpenShift in caso di ARO.
- **SLA di remediation** attuale nel contratto ITO, per le vulnerabilità critiche e per quelle sfruttate attivamente.

---

## 7. Evoluzione del lavoro (registro delle decisioni)
1. Lettura della slide dei requisiti e individuazione dell'errore nel totale dello storage OS.
2. Mappatura su ARO, con i vincoli su nodi infra, ODF e licenze. Correzione: Azure Files non è supportato per CP4BA su ARO.
3. Prima stima ARO nel calcolatore, Italy North, prenotazioni a 3 anni.
4. Seconda stima su VM con la tabella requisiti.
5. Excel con fee, backup, HA su 3 zone e DR a replica completa.
6. Stima dell'effort di gestione self-managed rispetto ad ARO.
7. Correzione delle fee: da una tantum ad annuali, 630 € IaaS e 315 € PaaS.
8. Estrazione di CVE e KEV degli ultimi 4 anni.
9. Grafici di incremento, servizio X e modello di remediation e downtime.
10. Proiezione della spesa a 5 anni.
11. Correzione: servizio X solo per lo scenario VM.
12. Tassi di incremento 24-25 rispetto a 25-26.
13. Proiezione delle vulnerabilità: prima lo scenario meccanico, poi quello realistico basato sul totale mondiale NVD.
14. Modello di rischio, costo complessivo, conclusioni, dati grezzi e fonti.

---

## 8. Allegato – contenuto completo del file Excel (valori calcolati)

I valori seguenti sono letti dal file dopo il ricalcolo. Le formule si trovano nel file Excel.

### Foglio: Riepilogo

Produzione in Italy North (3 availability zone) e DR con replica completa in West Europe. Valori in euro, listino retail.

| Voce | Scenario A – ARO | Scenario B – VM | Differenza (A − B) |
|---|---|---|---|
| Costo mensile Azure – totale (€) | € 10.399,03 | € 6.063,82 | € 4.335,21 |
| Costo anticipato licenze ARO (€) | € 212.998 | € 0 | € 212.998 |
| Costo Azure su 3 anni (€) | € 587.363 | € 218.297 | € 369.066 |
| Oggetti PaaS (n.) | 24 | 0 | 24 |
| Oggetti IaaS (n.) | 0 | 18 | -18 |
| Fee annua PaaS + IaaS (€/anno) | € 7.560 | € 11.340 | € -3.780 |
| Fee PaaS + IaaS su 3 anni (€) | € 22.680 | € 34.020 | € -11.340 |
| TOTALE 3 ANNI (€) | € 610.043 | € 252.317 | € 357.726 |
| Servizio X – osservabilità e sicurezza, 3 anni (ipotetico) (€) | € 0 | € 74.320 | € -74.320 |
| TOTALE 3 ANNI CON SERVIZIO X (€) | € 610.043 | € 326.637 | € 283.406 |

#### Note principali

- Fee annue: 630 € per oggetto IaaS e 315 € per oggetto PaaS, come indicato dal cliente, moltiplicate per i 3 anni di contratto. Su ARO ogni nodo worker o control plane conta 1 PaaS; nello scenario VM ogni VM conta 1 IaaS. I dischi sono esclusi. Il conteggio include anche il sito DR.

- Lo scenario ARO usa il profilo della seconda slide (8 worker × 24 vCPU → 6 × D32s v5). Lo scenario VM segue la tabella dei requisiti (3 worker 32 vCPU / 88 GB), che è sottodimensionata rispetto a quel profilo: con 6 worker anche lo scenario VM sale.

- Licenza ARO: prepagata per 3 anni sui worker, compresi i nodi storage ODF. I master non pagano licenza. Nello scenario VM la licenza OpenShift è coperta dall'entitlement della Cloud Pak.

- DR con replica completa: stessa infrastruttura attiva in West Europe. La replica dei dati richiede ODF Regional-DR (subscription ODF Advanced + Advanced Cluster Management) o, con Fusion, Fusion Backup & Restore / Metro-DR. Sono esclusi i costi di traffico tra region.

- Escluso dalla stima: licenze CP4BA (VPC), subscription ODF/Fusion, database esterni, LDAP, rete (VNet peering, load balancer, firewall, VPN/ExpressRoute), supporto Azure e prezzi del contratto del cliente.


### Foglio: Proiezione 5 anni

Vista di cassa: gli importi sono attribuiti all'anno in cui vengono pagati. Prenotazioni Azure a 3 anni rinnovate all'anno 4 con un adeguamento di listino.

| Adeguamento listino al rinnovo (anno 4) |  | 3,0% | Ipotesi; vale per Azure e licenze ARO dal rinnovo delle prenotazioni |
|---|---|---|---|

#### Scenario A – ARO

| Voce |  | Anno 1 | Anno 2 | Anno 3 | Anno 4 | Anno 5 | Totale 5 anni |
|---|---|---|---|---|---|---|---|
| Azure ricorrente (VM, dischi, backup) |  | € 124.788 | € 124.788 | € 124.788 | € 128.532 | € 128.532 | € 631.429 |
| Licenze ARO prepagate |  | € 212.998 | € 0 | € 0 | € 219.388 | € 0 | € 432.386 |
| Fee PaaS / IaaS |  | € 7.560 | € 7.560 | € 7.560 | € 7.560 | € 7.560 | € 37.800 |
| Servizio X (ipotetico) |  | € 0 | € 0 | € 0 | € 0 | € 0 | € 0 |
| Totale annuo |  | € 345.346 | € 132.348 | € 132.348 | € 355.480 | € 136.092 | € 1.101.615 |
| Spesa cumulata |  | € 345.346 | € 477.695 | € 610.043 | € 965.523 | € 1.101.615 |  |

#### Scenario B – VM

| Voce |  | Anno 1 | Anno 2 | Anno 3 | Anno 4 | Anno 5 | Totale 5 anni |
|---|---|---|---|---|---|---|---|
| Azure ricorrente (VM, dischi, backup) |  | € 72.766 | € 72.766 | € 72.766 | € 74.949 | € 74.949 | € 368.195 |
| Licenze ARO prepagate |  | € 0 | € 0 | € 0 | € 0 | € 0 | € 0 |
| Fee PaaS / IaaS |  | € 11.340 | € 11.340 | € 11.340 | € 11.340 | € 11.340 | € 56.700 |
| Servizio X (ipotetico) |  | € 35.440 | € 19.440 | € 19.440 | € 19.440 | € 19.440 | € 113.200 |
| Totale annuo |  | € 119.546 | € 103.546 | € 103.546 | € 105.729 | € 105.729 | € 538.095 |
| Spesa cumulata |  | € 119.546 | € 223.092 | € 326.637 | € 432.366 | € 538.095 |  |

#### Dati per i grafici

| Serie |  | Anno 1 | Anno 2 | Anno 3 | Anno 4 | Anno 5 |
|---|---|---|---|---|---|---|
| ARO – spesa cumulata |  | € 345.346 | € 477.695 | € 610.043 | € 965.523 | € 1.101.615 |
| VM – spesa cumulata |  | € 119.546 | € 223.092 | € 326.637 | € 432.366 | € 538.095 |
| Differenza cumulata (ARO − VM) |  | € 225.800 | € 254.603 | € 283.406 | € 533.157 | € 563.520 |

| Anno / scenario | Azure ricorrente | Licenze ARO | Fee PaaS / IaaS | Servizio X |
|---|---|---|---|---|
| Anno 1 – ARO | € 124.788 | € 212.998 | € 7.560 | € 0 |
| Anno 1 – VM | € 72.766 | € 0 | € 11.340 | € 35.440 |
| Anno 2 – ARO | € 124.788 | € 0 | € 7.560 | € 0 |
| Anno 2 – VM | € 72.766 | € 0 | € 11.340 | € 19.440 |
| Anno 3 – ARO | € 124.788 | € 0 | € 7.560 | € 0 |
| Anno 3 – VM | € 72.766 | € 0 | € 11.340 | € 19.440 |
| Anno 4 – ARO | € 128.532 | € 219.388 | € 7.560 | € 0 |
| Anno 4 – VM | € 74.949 | € 0 | € 11.340 | € 19.440 |
| Anno 5 – ARO | € 128.532 | € 0 | € 7.560 | € 0 |
| Anno 5 – VM | € 74.949 | € 0 | € 11.340 | € 19.440 |

- Anno 1: comprende la prepagazione triennale delle licenze ARO e il setup del servizio X. Anno 4: rinnovo delle prenotazioni a 3 anni con l'adeguamento di listino indicato in C4. Un terzo della licenza ARO pagata all'anno 4 copre l'anno 6, oltre l'orizzonte del grafico.

- Fee PaaS/IaaS e servizio X sono costanti a parità di nodi. Non sono comprese licenze CP4BA, effort di gestione (vedi stima in chat), rete e database.


### Foglio: Rischio

Somma la spesa (foglio Proiezione 5 anni), la gestione interna e la perdita attesa da incidenti di sicurezza originati da vulnerabilità della piattaforma. Le celle gialle sono ipotesi da validare con il cliente.

#### Parametri

| Parametro | ARO | VM | Note |
|---|---|---|---|
| Costo medio di un incidente di sicurezza (€) | € 3.550.000 | € 3.550.000 | IBM Cost of a Data Breach 2026, media Italia. Uguale nei due scenari |
| Costo di un'ora di fermo di BPM (€) | € 0 | € 0 | DA FORNIRE dal cliente. Si aggiunge al costo medio per tenere conto della criticità di BPM |
| Ore di fermo per incidente | 72 | 72 | Ipotesi: 3 giorni per isolamento e ripristino dei processi |
| Giorni per applicare la patch di una vulnerabilità critica | 7 | 21 | Ipotesi: ARO con rilasci gestiti e SRE 24/7; VM con il ciclo servizio X → ticket → finestra ITO (SLA tipico 15-30 giorni) |
| Probabilità annua di incidente grave dalla piattaforma – anno base | 1,3% | 4,0% | Ipotesi: 4% per lo scenario VM. Per ARO è proporzionale ai giorni di esposizione (7/21). Con lo sfruttamento medio a −7 giorni, conta soprattutto la velocità di patch |
| Probabilità massima annua | 50,0% | 50,0% | Limite di sicurezza del modello |
| Giorni/mese di gestione della piattaforma | 3 | 14 | Dalla stima in chat: ARO circa 1,5 gg/mese per cluster; VM 6-8 gg/mese per cluster (produzione + DR) |
| Tariffa giornaliera (€) | € 500 | € 500 | Ipotesi da sostituire con la tariffa interna |
| Reperibilità 24/7 della piattaforma (€/anno) | € 0 | € 27.000 | VM: 1.500-3.000 €/mese (valore medio). ARO: control plane coperto dagli SRE |

#### Scenario A – ARO

| Voce |  | Anno 1 | Anno 2 | Anno 3 | Anno 4 | Anno 5 | Totale 5 anni |
|---|---|---|---|---|---|---|---|
| Spesa (Azure, licenze, fee, servizio X) |  | € 345.346 | € 132.348 | € 132.348 | € 355.480 | € 136.092 | € 1.101.615 |
| Gestione interna della piattaforma |  | € 18.000 | € 18.000 | € 18.000 | € 18.000 | € 18.000 | € 90.000 |
| Probabilità annua di incidente |  | 1,6% | 1,9% | 2,2% | 2,4% | 2,7% |  |
| Perdita attesa |  | € 55.939 | € 68.848 | € 77.455 | € 86.061 | € 94.667 | € 382.970 |
| Costo complessivo aggiustato per il rischio |  | € 419.286 | € 219.197 | € 227.803 | € 459.540 | € 248.759 | € 1.574.585 |
| Cumulato |  | € 419.286 | € 638.483 | € 866.285 | € 1.325.826 | € 1.574.585 |  |
| Cumulato – solo spesa |  | € 345.346 | € 477.695 | € 610.043 | € 965.523 | € 1.101.615 |  |

#### Scenario B – VM

| Voce |  | Anno 1 | Anno 2 | Anno 3 | Anno 4 | Anno 5 | Totale 5 anni |
|---|---|---|---|---|---|---|---|
| Spesa (Azure, licenze, fee, servizio X) |  | € 119.546 | € 103.546 | € 103.546 | € 105.729 | € 105.729 | € 538.095 |
| Gestione interna della piattaforma |  | € 111.000 | € 111.000 | € 111.000 | € 111.000 | € 111.000 | € 555.000 |
| Probabilità annua di incidente |  | 4,7% | 5,8% | 6,5% | 7,3% | 8,0% |  |
| Perdita attesa |  | € 167.818 | € 206.545 | € 232.364 | € 258.182 | € 284.000 | € 1.148.909 |
| Costo complessivo aggiustato per il rischio |  | € 398.364 | € 421.091 | € 446.909 | € 474.911 | € 500.729 | € 2.242.004 |
| Cumulato |  | € 398.364 | € 819.455 | € 1.266.365 | € 1.741.275 | € 2.242.004 |  |
| Cumulato – solo spesa |  | € 119.546 | € 223.092 | € 326.637 | € 432.366 | € 538.095 |  |

#### Soglia di convenienza

| Differenza di spesa ARO − VM su 3 anni (€) |  | € 283.406 |
|---|---|---|
| Riduzione di probabilità annua che pareggia la differenza |  | 2,7% |
| Differenza nel costo complessivo su 5 anni (ARO − VM, €) |  | € -667.419 |

#### Dati per i grafici

| Serie |  | Anno 1 | Anno 2 | Anno 3 | Anno 4 | Anno 5 |
|---|---|---|---|---|---|---|
| ARO – costo complessivo |  | € 419.286 | € 638.483 | € 866.285 | € 1.325.826 | € 1.574.585 |
| VM – costo complessivo |  | € 398.364 | € 819.455 | € 1.266.365 | € 1.741.275 | € 2.242.004 |
| ARO – solo spesa |  | € 345.346 | € 477.695 | € 610.043 | € 965.523 | € 1.101.615 |
| VM – solo spesa |  | € 119.546 | € 223.092 | € 326.637 | € 432.366 | € 538.095 |

| Scenario | Spesa | Gestione interna | Perdita attesa |
|---|---|---|---|
| ARO | € 1.101.615 | € 90.000 | € 382.970 |
| VM | € 538.095 | € 555.000 | € 1.148.909 |


### Foglio: Prezzi

Celle blu = input modificabili. Fonte: Azure Retail Prices API (prices.azure.com) e Azure Pricing Calculator, consultati il 03/11/2026.

| Codice | Voce | Italy North | West Europe | Unità | Note |
|---|---|---|---|---|---|
| VM_D8 | VM D8s v5 – prenotazione 3 anni | € 4.175,2323 | € 4.286,5479 | € per VM per 3 anni | Linux, senza licenza OS (RHCOS) |
| VM_D16 | VM D16s v5 – prenotazione 3 anni | € 8.349,5669 | € 8.573,0957 | € per VM per 3 anni | Linux, senza licenza OS (RHCOS) |
| VM_D32 | VM D32s v5 – prenotazione 3 anni | € 16.699,1337 | € 17.146,1915 | € per VM per 3 anni | Linux, senza licenza OS (RHCOS) |
| ARO_D16 | Licenza ARO worker D16s v5 – prenotazione 3 anni | € 7.099,9300 | € 7.099,9300 | € per nodo per 3 anni (anticipato) | Dal calcolatore: 21.299,79 € / 3 nodi; uguale in entrambe le region |
| ARO_D32 | Licenza ARO worker D32s v5 – prenotazione 3 anni | € 14.199,8600 | € 14.199,8600 | € per nodo per 3 anni (anticipato) | Dal calcolatore: 85.199,15 € / 6 nodi; i master non pagano licenza |
| P10 | Disco Premium SSD P10 (128 GiB) | € 19,4623 | € 19,4623 | € per disco al mese | Pagamento a consumo |
| P30 | Disco Premium SSD P30 (1 TiB) | € 133,4710 | € 133,4710 | € per disco al mese | Pagamento a consumo |
| P30_RI | Disco Premium SSD P30 – prenotazione 1 anno | € 1.521,6123 | € 1.521,6123 | € per disco all'anno | Per i dischi la prenotazione esiste solo a 1 anno |
| P40_RI | Disco Premium SSD P40 (2 TiB) – prenotazione 1 anno | € 2.915,7503 | € 2.915,7503 | € per disco all'anno | Per i dischi la prenotazione esiste solo a 1 anno |
| BLOB | Blob Storage Cool LRS – dati archiviati | € 0,0090 | € 0,0090 | € per GB al mese | Destinazione dei backup OADP/Velero |

#### Parametri

| Codice | Parametro | Valore |  |  | Note |
|---|---|---|---|---|---|
| MESI | Durata contratto (mesi) | 36 |  |  | Prenotazioni a 3 anni |
| FEE_PAAS | Fee annua per oggetto PaaS (€/anno) | 315 |  |  | Indicato dal cliente: metà della fee IaaS; 1 nodo worker o control plane ARO = 1 PaaS |
| FEE_IAAS | Fee annua per oggetto IaaS (€/anno) | 630 |  |  | Indicato dal cliente: 1 VM = 1 IaaS; dischi esclusi |
| BK_FACT | Fattore di retention backup | 2,50 |  |  | Ipotesi: 1 copia completa + incrementali giornalieri per 30 giorni (~5% di variazione al giorno) |
| BK_ARO | Dati da proteggere – scenario ARO (GB) | 1.500 |  |  | Storage utilizzabile richiesto dal sizing CP4BA (~1,5 TB) |
| BK_VM | Dati da proteggere – scenario VM (GB) | 750 |  |  | 2,25 TB grezzi in Fusion con replica 3 |


### Foglio: Scenario ARO

Prezzi a listino retail, region primaria Italy North e DR in West Europe (replica completa). Tutte le formule fanno riferimento al foglio Prezzi.

| Sito | Componente | Ruolo / SKU | N. nodi/VM | Zone (1/2/3) | VM €/mese | Licenza ARO anticipata € | Dischi €/mese | Altro €/mese | Totale €/mese | Oggetti PaaS | Oggetti IaaS | Note |
|---|---|---|---|---|---|---|---|---|---|---|---|---|

#### PRODUZIONE – Italy North

| Italy North | Control plane (master) | D8s v5 · 8 vCPU / 32 GB | 3 | 1 / 1 / 1 | € 347,94 | € 0,00 | € 400,41 | € 0,00 | € 748,35 | 3 | 0 | Gestiti da ARO; disco OS P30 imposto da ARO; nessuna licenza ARO sui master |
|---|---|---|---|---|---|---|---|---|---|---|---|---|
| Italy North | Worker CP4BA | D32s v5 · 32 vCPU / 128 GB | 6 | 2 / 2 / 2 | € 2.783,19 | € 85.199,16 | € 116,77 | € 0,00 | € 2.899,96 | 6 | 0 | Profilo 192 vCPU / 462 GB del sizing CP4BA |
| Italy North | Worker storage ODF | D16s v5 · 16 vCPU / 64 GB | 3 | 1 / 1 / 1 | € 695,80 | € 21.299,79 | € 58,39 | € 0,00 | € 754,18 | 3 | 0 | Su ARO non possono essere nodi infra, quindi pagano la licenza |
| Italy North | Dischi dati ODF | 3 × P40 (2 TiB), prenotazione 1 anno | 3 | 1 / 1 / 1 | € 0,00 | € 0,00 | € 728,94 | € 0,00 | € 728,94 | 0 | 0 | 6 TiB grezzi ≈ 2 TiB utilizzabili con replica 3; esclusi dal conteggio oggetti |
|  | Subtotale Italy North |  | 12 |  | € 3.826,92 | € 106.498,95 | € 1.304,51 | € 0,00 | € 5.131,43 | 12 | 0 |  |

#### DR – West Europe (replica completa)

| West Europe | Control plane (master) | D8s v5 · 8 vCPU / 32 GB | 3 | 1 / 1 / 1 | € 357,21 | € 0,00 | € 400,41 | € 0,00 | € 757,63 | 3 | 0 | Gestiti da ARO; disco OS P30 imposto da ARO; nessuna licenza ARO sui master |
|---|---|---|---|---|---|---|---|---|---|---|---|---|
| West Europe | Worker CP4BA | D32s v5 · 32 vCPU / 128 GB | 6 | 2 / 2 / 2 | € 2.857,70 | € 85.199,16 | € 116,77 | € 0,00 | € 2.974,47 | 6 | 0 | Profilo 192 vCPU / 462 GB del sizing CP4BA |
| West Europe | Worker storage ODF | D16s v5 · 16 vCPU / 64 GB | 3 | 1 / 1 / 1 | € 714,42 | € 21.299,79 | € 58,39 | € 0,00 | € 772,81 | 3 | 0 | Su ARO non possono essere nodi infra, quindi pagano la licenza |
| West Europe | Dischi dati ODF | 3 × P40 (2 TiB), prenotazione 1 anno | 3 | 1 / 1 / 1 | € 0,00 | € 0,00 | € 728,94 | € 0,00 | € 728,94 | 0 | 0 | 6 TiB grezzi ≈ 2 TiB utilizzabili con replica 3; esclusi dal conteggio oggetti |
|  | Subtotale West Europe |  | 12 |  | € 3.929,34 | € 106.498,95 | € 1.304,51 | € 0,00 | € 5.233,85 | 12 | 0 |  |

#### BACKUP

| West Europe | Backup OADP/Velero (PV, namespace, etcd) | Blob Cool LRS | - |  |  |  |  | € 33,75 | € 33,75 | 0 | 0 | Backup scritti nella region DR, così restano disponibili anche se cade Italy North. Volume = dati protetti × fattore di retention (vedi Prezzi). |
|---|---|---|---|---|---|---|---|---|---|---|---|---|

#### RIEPILOGO

| Voce |  |  | Produzione | DR | Backup | Totale |
|---|---|---|---|---|---|---|
| Costo mensile Azure (€) |  |  | € 5.131,43 | € 5.233,85 | € 33,75 | € 10.399,03 |
| Costo anticipato licenze ARO (€) |  |  | € 106.499 | € 106.499 | € 0 | € 212.998 |
| Costo Azure su 3 anni (€) |  |  | € 291.231 | € 294.917 | € 1.215 | € 587.363 |
| Oggetti PaaS (n.) |  |  | 12 | 12 | 0 | 24 |
| Oggetti IaaS (n.) |  |  | 0 | 0 | 0 | 0 |
| Fee annua PaaS + IaaS (€/anno) |  |  | € 3.780 | € 3.780 | € 0 | € 7.560 |
| Fee PaaS + IaaS su 3 anni (€) |  |  | € 11.340 | € 11.340 | € 0 | € 22.680 |
| TOTALE 3 ANNI (Azure + fee) (€) |  |  | € 302.571 | € 306.257 | € 1.215 | € 610.043 |


### Foglio: Scenario VM

Prezzi a listino retail, region primaria Italy North e DR in West Europe (replica completa). Tutte le formule fanno riferimento al foglio Prezzi.

| Sito | Componente | Ruolo / SKU | N. nodi/VM | Zone (1/2/3) | VM €/mese | Licenza ARO anticipata € | Dischi €/mese | Altro €/mese | Totale €/mese | Oggetti PaaS | Oggetti IaaS | Note |
|---|---|---|---|---|---|---|---|---|---|---|---|---|

#### PRODUZIONE – Italy North

| Italy North | Master (control plane) | D8s v5 · 8 vCPU / 32 GB | 3 | 1 / 1 / 1 | € 347,94 | € 0,00 | € 58,39 | € 0,00 | € 406,32 | 0 | 3 | OpenShift self-managed; disco OS 120 GB → P10 |
|---|---|---|---|---|---|---|---|---|---|---|---|---|
| Italy North | Worker CP4BA | D32s v5 · 32 vCPU / 128 GB | 3 | 1 / 1 / 1 | € 1.391,59 | € 0,00 | € 58,39 | € 0,00 | € 1.449,98 | 0 | 3 | Richiesti 32 vCPU / 88 GB: su Azure la taglia più vicina è 128 GB |
| Italy North | Infra (Storage Fusion) | D16s v5 · 16 vCPU / 64 GB | 3 | 1 / 1 / 1 | € 695,80 | € 0,00 | € 58,39 | € 0,00 | € 754,18 | 0 | 3 | Esenti da licenza OpenShift tramite il ruolo infra |
| Italy North | Dischi dati Fusion | 3 × P30 (1 TiB), prenotazione 1 anno | 3 | 1 / 1 / 1 | € 0,00 | € 0,00 | € 380,40 | € 0,00 | € 380,40 | 0 | 0 | Richiesti 750 GB per nodo → P30; esclusi dal conteggio oggetti |
|  | Subtotale Italy North |  | 9 |  | € 2.435,33 | € 0,00 | € 555,56 | € 0,00 | € 2.990,89 | 0 | 9 |  |

#### DR – West Europe (replica completa)

| West Europe | Master (control plane) | D8s v5 · 8 vCPU / 32 GB | 3 | 1 / 1 / 1 | € 357,21 | € 0,00 | € 58,39 | € 0,00 | € 415,60 | 0 | 3 | OpenShift self-managed; disco OS 120 GB → P10 |
|---|---|---|---|---|---|---|---|---|---|---|---|---|
| West Europe | Worker CP4BA | D32s v5 · 32 vCPU / 128 GB | 3 | 1 / 1 / 1 | € 1.428,85 | € 0,00 | € 58,39 | € 0,00 | € 1.487,24 | 0 | 3 | Richiesti 32 vCPU / 88 GB: su Azure la taglia più vicina è 128 GB |
| West Europe | Infra (Storage Fusion) | D16s v5 · 16 vCPU / 64 GB | 3 | 1 / 1 / 1 | € 714,42 | € 0,00 | € 58,39 | € 0,00 | € 772,81 | 0 | 3 | Esenti da licenza OpenShift tramite il ruolo infra |
| West Europe | Dischi dati Fusion | 3 × P30 (1 TiB), prenotazione 1 anno | 3 | 1 / 1 / 1 | € 0,00 | € 0,00 | € 380,40 | € 0,00 | € 380,40 | 0 | 0 | Richiesti 750 GB per nodo → P30; esclusi dal conteggio oggetti |
|  | Subtotale West Europe |  | 9 |  | € 2.500,49 | € 0,00 | € 555,56 | € 0,00 | € 3.056,05 | 0 | 9 |  |

#### BACKUP

| West Europe | Backup OADP/Velero (PV, namespace, etcd) | Blob Cool LRS | - |  |  |  |  | € 16,88 | € 16,88 | 0 | 0 | Backup scritti nella region DR, così restano disponibili anche se cade Italy North. Volume = dati protetti × fattore di retention (vedi Prezzi). |
|---|---|---|---|---|---|---|---|---|---|---|---|---|

#### RIEPILOGO

| Voce |  |  | Produzione | DR | Backup | Totale |
|---|---|---|---|---|---|---|
| Costo mensile Azure (€) |  |  | € 2.990,89 | € 3.056,05 | € 16,88 | € 6.063,82 |
| Costo anticipato licenze ARO (€) |  |  | € 0 | € 0 | € 0 | € 0 |
| Costo Azure su 3 anni (€) |  |  | € 107.672 | € 110.018 | € 608 | € 218.297 |
| Oggetti PaaS (n.) |  |  | 0 | 0 | 0 | 0 |
| Oggetti IaaS (n.) |  |  | 9 | 9 | 0 | 18 |
| Fee annua PaaS + IaaS (€/anno) |  |  | € 5.670 | € 5.670 | € 0 | € 11.340 |
| Fee PaaS + IaaS su 3 anni (€) |  |  | € 17.010 | € 17.010 | € 0 | € 34.020 |
| TOTALE 3 ANNI (Azure + fee) (€) |  |  | € 124.682 | € 127.028 | € 608 | € 252.317 |


### Foglio: Alta affidabilità

Italy North e West Europe hanno entrambe 3 availability zone, e ARO è disponibile in tutte e due. Italy North non ha una region accoppiata (paired region), quindi il DR va progettato su West Europe in modo esplicito.

| Scenario | Ruolo | Zona 1 | Zona 2 | Zona 3 | Tolleranza alla perdita di una zona |
|---|---|---|---|---|---|
| ARO | Control plane | 1 | 1 | 1 | Sì: etcd mantiene il quorum con 2 master su 3 |
| ARO | Worker CP4BA | 2 | 2 | 2 | Sì: restano 4 worker su 6, cioè 128 vCPU. Il carico va dimensionato o rischedulato |
| ARO | Worker storage ODF | 1 | 1 | 1 | Sì: Ceph replica 3 con una copia per zona |
| VM | Master | 1 | 1 | 1 | Sì: quorum etcd 2 su 3 |
| VM | Worker CP4BA | 1 | 1 | 1 | Parziale: restano 2 worker su 3 e servono pod anti-affinity e capacità di riserva |
| VM | Infra (Fusion) | 1 | 1 | 1 | Sì: replica 3 con una copia per zona |

#### Perché 3 zone e non 2

- Con 2 sole zone i 3 master si dividono 2+1. Se cade la zona che ne ospita 2, etcd perde il quorum e il cluster si ferma, quindi l'alta affidabilità non è reale.

- Anche ODF/Fusion con replica 3 richiede 3 failure domain per sopravvivere alla perdita di una zona senza perdere scrittura.

- Raccomandazione: usare tutte e 3 le zone di Italy North. ARO distribuisce in automatico master e worker sulle zone dove sono disponibili; per OpenShift self-managed (IPI) si imposta nel file install-config.

- Prima di ordinare conviene verificare la quota vCPU della serie Dsv5 in Italy North e in West Europe: servono circa 228 vCPU per ARO e 168 vCPU per le VM, per sito.


### Foglio: Sicurezza

Periodo: 4 anni mobili dal 04/11/2022 al 03/11/2026. Dati estratti il 03/11/2026. Celle blu = dati estratti dalle fonti; celle nere = formule.

#### 1. Prodotti Red Hat – fonte: Red Hat Security Data API

| Tecnologia | Misura | nov 22 – ott 23 | nov 23 – ott 24 | nov 24 – ott 25 | nov 25 – nov 26 | Variazione ultimo anno vs primo | Totale 4 anni |
|---|---|---|---|---|---|---|---|
| OpenShift Container Platform 4 | CVE tracciate da Red Hat | 277 | 212 | 398 | 4.983 | +1.698,9% | 5.870 |
|  | Campione verificato (n.) | 80 | 80 | 80 | 80 |  |  |
|  | di cui impattano il prodotto | 57 | 65 | 54 | 54 |  |  |
|  | Stima CVE che impattano il prodotto | 197 | 172 | 269 | 3.364 | +1.607,6% | 4.002 |
|  | Severità Critical (tracciate) | 2 | 2 | 3 | 15 | +650,0% | 22 |
|  | Severità Important (tracciate) | 63 | 54 | 91 | 803 | +1.174,6% | 1.011 |
| RHEL 9 (base di RHCOS) | CVE tracciate da Red Hat | 1.424 | 4.861 | 6.415 | 14.391 | +910,6% | 27.091 |
|  | Campione verificato (n.) | 80 | 80 | 80 | 80 |  |  |
|  | di cui impattano il prodotto | 53 | 42 | 46 | 54 |  |  |
|  | Stima CVE che impattano il prodotto | 943 | 2.552 | 3.689 | 9.714 | +930,1% | 16.898 |
|  | Severità Critical (tracciate) | 4 | 8 | 4 | 67 | +1.575,0% | 83 |
|  | Severità Important (tracciate) | 324 | 277 | 445 | 2.542 | +684,6% | 3.588 |
| di cui kernel Linux (RHEL 9) | CVE tracciate da Red Hat | 317 | 3.861 | 5.228 | 9.218 | +2.807,9% | 18.624 |
|  | Campione verificato (n.) | 80 | 80 | 80 | 80 |  |  |
|  | di cui impattano il prodotto | 30 | 42 | 46 | 45 |  |  |
|  | Stima CVE che impattano il prodotto | 119 | 2.027 | 3.006 | 5.185 | +4.257,1% | 10.337 |
|  | Severità Critical (tracciate) | 3 | 0 | 0 | 4 | +33,3% | 7 |
|  | Severità Important (tracciate) | 84 | 33 | 123 | 556 | +561,9% | 796 |
| OpenShift Data Foundation 4 (Ceph) | CVE tracciate da Red Hat | 71 | 70 | 74 | 387 | +445,1% | 602 |
|  | Campione verificato (n.) | 71 | 70 | 74 | 80 |  |  |
|  | di cui impattano il prodotto | 38 | 25 | 56 | 61 |  |  |
|  | Stima CVE che impattano il prodotto | 38 | 25 | 56 | 295 | +676,3% | 414 |
|  | Severità Critical (tracciate) | 0 | 1 | 0 | 2 | n/d | 3 |
|  | Severità Important (tracciate) | 11 | 14 | 22 | 187 | +1.600,0% | 234 |

"Tracciate" = CVE in cui Red Hat elenca il prodotto, anche come non impattato. La stima applica a ogni anno la quota di CVE che impattano davvero il prodotto (stato Affected, Fixed, Fix deferred, Will not fix o Under investigation), misurata su un campione verificato CVE per CVE.

#### 2. Kubernetes e componenti IBM CP4BA – fonte: NIST NVD

| Tecnologia | Misura | nov 22 – ott 23 | nov 23 – ott 24 | nov 24 – ott 25 | nov 25 – nov 26 | Variazione ultimo anno vs primo | Totale 4 anni |
|---|---|---|---|---|---|---|---|
| Kubernetes (upstream) | Totale CVE | 19 | 7 | 15 | 13 | -31,6% | 54 |
|  | Critical (CVSS ≥ 9) | 1 | 1 | 1 | 0 | -100,0% | 3 |
|  | High | 10 | 3 | 5 | 5 | -50,0% | 23 |
| IBM CP4BA – totale componenti (senza duplicati) | Totale CVE | 11 | 11 | 18 | 21 | +90,9% | 61 |
|  | Critical (CVSS ≥ 9) | 0 | 1 | 0 | 1 | n/d | 2 |
|  | High | 4 | 2 | 3 | 5 | +25,0% | 14 |
|    di cui Business Automation Workflow | Totale CVE | 5 | 3 | 3 | 10 | +100,0% | 21 |
|    di cui Cloud Pak for Business Automation | Totale CVE | 2 | 4 | 10 | 11 | +450,0% | 27 |
|    di cui Operational Decision Manager | Totale CVE | 0 | 2 | 2 | 1 | n/d | 5 |
|    di cui FileNet Content Manager | Totale CVE | 1 | 2 | 0 | 0 | -100,0% | 3 |
|    di cui Content Navigator | Totale CVE | 3 | 0 | 3 | 1 | -66,7% | 7 |
|    di cui Process Mining | Totale CVE | 0 | 0 | 1 | 0 | n/d | 1 |

Kubernetes: CVE assegnate dal CNA Kubernetes (security@kubernetes.io). IBM: CVE che citano il prodotto nella descrizione. Le CVE Critical sono CVE-2023-1174, CVE-2024-9486 e CVE-2025-1974 (Kubernetes; la terza è IngressNightmare su ingress-nginx, che OpenShift non usa) e CVE-2024-22319 e CVE-2026-18658 (ODM).

#### 3. Vulnerabilità sfruttate attivamente (indicatore degli zero-day) – fonte: CISA KEV, catalogo 2026.10.30

| Ambito | Misura | nov 22 – ott 23 | nov 23 – ott 24 | nov 24 – ott 25 | nov 25 – nov 26 | Variazione ultimo anno vs primo | Totale 4 anni |
|---|---|---|---|---|---|---|---|
| Kernel Linux (base di RHCOS) | Inserite nel KEV | 3 | 4 | 7 | 9 | +200,0% | 23 |
| Componenti RHEL (polkit, libuser, ABRT) | Inserite nel KEV | 1 | 0 | 0 | 2 | +100,0% | 3 |
| OpenShift, Kubernetes, ODF/Ceph | Inserite nel KEV | 0 | 0 | 0 | 0 | n/d | 0 |
| IBM CP4BA (FileNet, ODM, BAW, Navigator) | Inserite nel KEV | 0 | 0 | 0 | 0 | n/d | 0 |
| Riferimento: catalogo KEV complessivo | Inserite nel KEV | 178 | 176 | 252 | 313 | +75,8% | 919 |
| Riferimento: catalogo KEV complessivo | di cui CVE recenti (anno CVE ≥ anno di inizio periodo) | 131 | 139 | 191 | 259 | +97,7% | 720 |

Il KEV registra la data di inserimento, cioè quando lo sfruttamento è stato confermato, non la data di pubblicazione della CVE. Diverse CVE del kernel sono state inserite anni dopo la pubblicazione (es. CVE-2010-3904 nel 2023): servono come indicatore dell'esposizione, non come conteggio esatto degli zero-day.

#### 4. Incremento delle vulnerabilità – indice di crescita (primo anno = 100)

| Serie | Fonte | nov 22 – ott 23 | nov 23 – ott 24 | nov 24 – ott 25 | nov 25 – nov 26 |
|---|---|---|---|---|---|
| OpenShift 4 (stima impattanti) | Red Hat | 100 | 87 | 137 | 1.708 |
| RHEL 9 / RHCOS (stima impattanti) | Red Hat | 100 | 271 | 391 | 1.030 |
| ODF 4 / Ceph (stima impattanti) | Red Hat | 100 | 66 | 147 | 776 |
| Kubernetes (upstream) | NVD | 100 | 37 | 79 | 68 |
| IBM CP4BA (tutti i componenti) | NVD | 100 | 100 | 164 | 191 |
| Kernel Linux – sfruttate (KEV) | CISA KEV | 100 | 133 | 233 | 300 |
| Catalogo KEV complessivo | CISA KEV | 100 | 99 | 142 | 176 |

#### 5. Elenco CVE sfruttate attivamente (CISA KEV) pertinenti allo stack

| CVE | Vendor | Prodotto | Inserita nel KEV | Periodo |
|---|---|---|---|---|
| CVE-2026-46300 | Linux | Kernel | 2026-10-28 | nov 25 – nov 26 |
| CVE-2025-39964 | Linux | Kernel | 2026-09-18 | nov 25 – nov 26 |
| CVE-2026-53266 | Linux | Kernel | 2026-09-18 | nov 25 – nov 26 |
| CVE-2025-39682 | Linux | Kernel | 2026-09-18 | nov 25 – nov 26 |
| CVE-2026-53362 | Linux | Kernel | 2026-08-27 | nov 25 – nov 26 |
| CVE-2015-3246 | Red Hat | Libuser | 2026-08-26 | nov 25 – nov 26 |
| CVE-2015-5287 | Red Hat | Automatic Bug Reporting Tool | 2026-08-26 | nov 25 – nov 26 |
| CVE-2022-0995 | Linux | Kernel | 2026-08-26 | nov 25 – nov 26 |
| CVE-2022-0492 | Linux | Kernel | 2026-06-02 | nov 25 – nov 26 |
| CVE-2026-31431 | Linux | Kernel | 2026-05-01 | nov 25 – nov 26 |
| CVE-2018-14634 | Linux | Kernel | 2026-01-26 | nov 25 – nov 26 |
| CVE-2021-22555 | Linux | Kernel | 2025-10-06 | nov 24 – ott 25 |
| CVE-2025-38352 | Linux | Kernel | 2025-09-04 | nov 24 – ott 25 |
| CVE-2023-0386 | Linux | Kernel | 2025-06-17 | nov 24 – ott 25 |
| CVE-2024-53150 | Linux | Kernel | 2025-04-09 | nov 24 – ott 25 |
| CVE-2024-53197 | Linux | Kernel | 2025-04-09 | nov 24 – ott 25 |
| CVE-2024-50302 | Linux | Kernel | 2025-03-04 | nov 24 – ott 25 |
| CVE-2024-53104 | Linux | Kernel | 2025-02-05 | nov 24 – ott 25 |
| CVE-2017-1000253 | Linux | Kernel | 2024-09-09 | nov 23 – ott 24 |
| CVE-2022-0185 | Linux | Kernel | 2024-08-21 | nov 23 – ott 24 |
| CVE-2022-2586 | Linux | Kernel | 2024-06-26 | nov 23 – ott 24 |
| CVE-2024-1086 | Linux | Kernel | 2024-05-30 | nov 23 – ott 24 |
| CVE-2021-3560 | Red Hat | Polkit | 2023-05-12 | nov 22 – ott 23 |
| CVE-2014-0196 | Linux | Kernel | 2023-05-12 | nov 22 – ott 23 |
| CVE-2010-3904 | Linux | Kernel | 2023-05-12 | nov 22 – ott 23 |
| CVE-2023-0266 | Linux | Kernel | 2023-03-30 | nov 22 – ott 23 |

#### Note di metodo

- Anni mobili da novembre a novembre, per arrivare a oggi.

- Kernel Linux: da febbraio 2024 il kernel è CNA di se stesso e assegna una CVE a quasi ogni bug fix. Il salto dal primo al secondo anno è quindi in buona parte dovuto al cambio di processo, non a un peggioramento reale del codice.

- Nell'ultimo anno le CVE tracciate da Red Hat aumentano di molto su tutti i prodotti (OpenShift circa 12 volte, RHEL 9 circa 2 volte). La quota di quelle che impattano davvero il prodotto resta però stabile (tra il 53% e l'81% a seconda del prodotto e dell'anno), quindi la crescita riguarda il volume di vulnerabilità divulgate e non solo il modo in cui vengono catalogate.

- Non ho fatto la verifica puntuale Critical/Important per singola CVE: il servizio Red Hat ha limitato le richieste. I conteggi per severità si riferiscono quindi alle CVE tracciate, non solo a quelle che impattano il prodotto.

- NVD da inizio 2024 ha un ritardo nell'analisi delle CVE: per Kubernetes e IBM ho usato il CNA e la descrizione al posto delle CPE, così il conteggio non dipende da quel ritardo.

- Fonti: Red Hat Security Data API (access.redhat.com/hydra/rest/securitydata); NIST NVD API 2.0 (services.nvd.nist.gov); CISA Known Exploited Vulnerabilities Catalog (cisa.gov/known-exploited-vulnerabilities-catalog).


### Foglio: Proiezione vulnerabilità

Ipotesi: per i prossimi 2 anni il ritmo resta simile a quello dell'ultimo anno, spinto dalla scoperta di CVE con strumenti di AI. Poi gli strumenti di analisi pre-rilascio recuperano e il tasso si dimezza, oscillando intorno alla metà per i 3 anni successivi.

#### Moltiplicatore del tasso di crescita base

| Parametro | Base | nov 26 – ott 27 | nov 27 – ott 28 | nov 28 – ott 29 | nov 29 – ott 30 | nov 30 – ott 31 |
|---|---|---|---|---|---|---|
| Quota del tasso base applicata |  | 100,0% | 95,0% | 55,0% | 45,0% | 55,0% |

Anni 1-2 al 100% e 95% del tasso dell'ultimo anno (quasi uguali). Anni 3-5 dimezzati con oscillazione: 55%, 45%, 55%. Le celle gialle sono modificabili.

#### Scenario meccanico – tasso dell'ultimo anno di ciascuna serie (CVE all'anno)

| Serie | Tasso base (25-26 vs 24-25) | Ultimo anno (25-26) | nov 26 – ott 27 | nov 27 – ott 28 | nov 28 – ott 29 | nov 29 – ott 30 | nov 30 – ott 31 | Fonte base |
|---|---|---|---|---|---|---|---|---|
| Stack Red Hat – CVE che impattano (OpenShift + RHEL/RHCOS + ODF) | +233,2% | 13.373 | 44.553 | 143.238 | 326.923 | 669.936 | 1.529.045 | Red Hat (stima) |
| Kubernetes upstream | -13,3% | 13 | 11 | 10 | 9 | 8 | 7 | NVD |
| IBM CP4BA – tutti i componenti | +16,7% | 21 | 25 | 29 | 32 | 34 | 37 | NVD |
| Sfruttate attivamente sullo stack (kernel + RHEL) | +57,1% | 11 | 17 | 26 | 34 | 43 | 57 | CISA KEV |
| Catalogo KEV complessivo (riferimento) | +24,2% | 313 | 389 | 478 | 542 | 601 | 681 | CISA KEV |

#### Tasso di crescita applicato per anno

| Serie |  |  | nov 26 – ott 27 | nov 27 – ott 28 | nov 28 – ott 29 | nov 29 – ott 30 | nov 30 – ott 31 |
|---|---|---|---|---|---|---|---|
| Stack Red Hat – CVE che impattano (OpenShift + RHEL/RHCOS + ODF) |  |  | +233,2% | +221,5% | +128,2% | +104,9% | +128,2% |
| Kubernetes upstream |  |  | -13,3% | -12,7% | -7,3% | -6,0% | -7,3% |
| IBM CP4BA – tutti i componenti |  |  | +16,7% | +15,8% | +9,2% | +7,5% | +9,2% |
| Sfruttate attivamente sullo stack (kernel + RHEL) |  |  | +57,1% | +54,3% | +31,4% | +25,7% | +31,4% |
| Catalogo KEV complessivo (riferimento) |  |  | +24,2% | +23,0% | +13,3% | +10,9% | +13,3% |

#### Indice (ultimo anno = 100)

| Serie |  | Ultimo anno | nov 26 – ott 27 | nov 27 – ott 28 | nov 28 – ott 29 | nov 29 – ott 30 | nov 30 – ott 31 |
|---|---|---|---|---|---|---|---|
| Stack Red Hat |  | 100 | 333 | 1.071 | 2.445 | 5.010 | 11.434 |
| Kubernetes |  | 100 | 85 | 77 | 69 | 62 | 54 |
| IBM CP4BA |  | 100 | 119 | 138 | 152 | 162 | 176 |
| Sfruttate sullo stack (KEV) |  | 100 | 155 | 236 | 309 | 391 | 518 |
| Catalogo KEV complessivo |  | 100 | 124 | 153 | 173 | 192 | 218 |

- La proiezione è un'estrapolazione meccanica dei tassi: con l'aumento di +233% dell'ultimo anno, lo stack Red Hat arriverebbe a oltre un milione di CVE all'anno entro 5 anni. Non è una previsione realistica in senso stretto, perché la capacità di vendor e CNA di catalogarle è limitata. Serve a mostrare l'ordine di grandezza della pressione sui processi di triage e remediation.

- Kubernetes ha avuto un tasso negativo nell'ultimo anno, quindi la proiezione è in calo. Per i componenti IBM la crescita è contenuta (+17% di base).

- Le vulnerabilità sfruttate attivamente sono l'indicatore più rilevante per la priorità: sono quelle che richiedono patch fuori ciclo (vedi foglio Remediation e downtime).

#### SCENARIO REALISTICO

Il tasso dell'ultimo anno dello stack Red Hat (+233%) somma tre effetti: la crescita strutturale, l'ondata di CVE trovate con l'AI (il totale mondiale è raddoppiato) e un cambio nel modo in cui Red Hat cataloga. Questo scenario separa i primi due effetti, usa il mercato globale come riferimento ed esclude il terzo.

#### Dati di mercato – CVE pubblicate nel mondo (NVD, escluse le rifiutate)

| Serie |  | nov 22 – ott 23 | nov 23 – ott 24 | nov 24 – ott 25 | nov 25 – nov 26 |
|---|---|---|---|---|---|
| CVE pubblicate (totale NVD) |  | 28.073 | 37.490 | 46.964 | 98.920 |
| Crescita annua |  |  | +33,5% | +25,3% | +110,6% |
| Catalogo KEV – crescita annua |  |  | -1,1% | +43,2% | +24,2% |

#### Parametri del modello

| Parametro | Valore | Note |
|---|---|---|
| Crescita strutturale (pre-AI) | +29,4% | Media della crescita mondiale nei due anni precedenti, prima dell'ondata AI |
| Extra dovuto all'AI (ultimo anno) | +81,2% | Crescita mondiale dell'ultimo anno meno la crescita strutturale |
| Crescita strutturale KEV | +22,1% | Media degli ultimi 3 anni del catalogo KEV complessivo |

| Profilo temporale |  | nov 26 – ott 27 | nov 27 – ott 28 | nov 28 – ott 29 | nov 29 – ott 30 | nov 30 – ott 31 |
|---|---|---|---|---|---|---|
| Quota dell'extra AI ancora presente |  | 50,0% | 25,0% | 0,0% | 0,0% | 0,0% |
| Quota della crescita strutturale |  | 100,0% | 100,0% | 60,0% | 45,0% | 55,0% |

Anni 1-2: l'extra AI si riassorbe (50%, poi 25%) mentre gli strumenti di analisi pre-rilascio si adeguano. Anni 3-5: assorbita l'ondata, la crescita scende a circa metà di quella strutturale e oscilla (60%, 45%, 55%).

#### Tassi di crescita applicati

| Serie | Regola | nov 26 – ott 27 | nov 27 – ott 28 | nov 28 – ott 29 | nov 29 – ott 30 | nov 30 – ott 31 |
|---|---|---|---|---|---|---|
| Mercato / stack Red Hat | Strutturale + extra AI residuo | +70,0% | +49,7% | +17,6% | +13,2% | +16,2% |
| Vulnerabilità sfruttate | Strutturale KEV con lo stesso profilo | +22,1% | +22,1% | +13,3% | +9,9% | +12,1% |
| IBM CP4BA | Crescita media 4 anni della serie, stesso profilo | +24,1% | +24,1% | +14,4% | +10,8% | +13,2% |
| Kubernetes | Media 4 anni, minimo 0% | 0,0% | 0,0% | 0,0% | 0,0% | 0,0% |

#### Proiezione realistica (CVE all'anno)

| Serie | Ultimo anno (25-26) | nov 26 – ott 27 | nov 27 – ott 28 | nov 28 – ott 29 | nov 29 – ott 30 | nov 30 – ott 31 | Totale 5 anni |
|---|---|---|---|---|---|---|---|
| Stack Red Hat – CVE che impattano (OpenShift + RHEL/RHCOS + ODF) | 13.373 | 22.737 | 34.040 | 40.046 | 45.345 | 52.679 | 194.847 |
| Sfruttate attivamente sullo stack (kernel + RHEL) | 11 | 13 | 16 | 18 | 20 | 22 | 89 |
| IBM CP4BA – tutti i componenti | 21 | 26 | 32 | 37 | 41 | 46 | 182 |
| Kubernetes upstream | 13 | 13 | 13 | 13 | 13 | 13 | 65 |

#### Confronto stack Red Hat: realistico e meccanico

| Scenario | Ultimo anno | nov 26 – ott 27 | nov 27 – ott 28 | nov 28 – ott 29 | nov 29 – ott 30 | nov 30 – ott 31 |
|---|---|---|---|---|---|---|
| Realistico | 13.373 | 22.737 | 34.040 | 40.046 | 45.345 | 52.679 |
| Meccanico | 13.373 | 44.553 | 143.238 | 326.923 | 669.936 | 1.529.045 |

- Lo scenario realistico va usato per dimensionare i processi. Quello meccanico mostra solo il caso estremo in cui il ritmo dell'ultimo anno non rallenta.

- Le vulnerabilità sfruttate attivamente sono l'indicatore da guardare per le patch fuori ciclo e per il possibile impatto sul servizio (foglio Remediation e downtime).

- Fonte del totale mondiale: NIST NVD API 2.0, CVE pubblicate per periodo escluse le rifiutate, estratte il 03/11/2026.


### Foglio: Servizio X

Servizio ipotetico, applicato solo allo scenario VM: con ARO osservabilità e sicurezza della piattaforma sono comprese nel servizio gestito. Le celle gialle sono valori di esempio; le remediation sono escluse perché comprese nel contratto ITO.

#### Perimetro del servizio

| Ambito | Descrizione |
|---|---|
| Incluso | Raccolta e correlazione di metriche, log ed eventi di OpenShift, CP4BA e Azure, con dashboard e alerting |
| Incluso | Scansione continua delle vulnerabilità su nodi (RHCOS) e immagini container, con inventario delle CVE per cluster |
| Incluso | Prioritizzazione: incrocio con CISA KEV ed EPSS, gestione delle eccezioni e dei falsi positivi |
| Incluso | Apertura dei ticket di remediation verso l'ITO con priorità e SLA, verifica della chiusura |
| Incluso | Report mensile di postura di sicurezza e trend (vedi foglio Sicurezza) |
| Escluso | Esecuzione delle remediation (patching, upgrade, riavvii): compresa nel contratto ITO |
| Escluso | Licenze CP4BA, strumenti di terze parti non indicati, risposta agli incidenti (SOC/IR) |

#### Parametri (ipotesi)

| Parametro | Valore | Unità | Note |
|---|---|---|---|
| Canone per nodo monitorato | 90 | € / nodo / mese | Valore di esempio |
| Setup per ambiente | 8.000 | € una tantum | Onboarding, integrazioni, dashboard, baseline; valore di esempio |
| Ambienti monitorati | 2 | n. | Produzione + DR |
| Durata | 36 | mesi | Allineata alle prenotazioni Azure |

#### Costo per scenario

| Voce | Scenario A – ARO | Scenario B – VM | Note |
|---|---|---|---|
| Nodi monitorati (produzione + DR) | 0 | 18 | ARO: non applicabile (servizio gestito). VM: master, worker e infra; dischi esclusi |
| Canone mensile (€) | € 0 | € 1.620 | Nodi × canone |
| Setup una tantum (€) | € 0 | € 16.000 | Ambienti × setup |
| Totale servizio X su 3 anni (€) | € 0 | € 74.320 | Canone × durata + setup |

#### Volume da gestire (dall'ultimo anno del foglio Sicurezza)

| Indicatore | Valore | Unità | Note |
|---|---|---|---|
| CVE di piattaforma da triare (OpenShift + RHCOS + ODF) | 13.373 | CVE / anno | Stima delle CVE che impattano i prodotti; molte sono raggruppate negli stessi aggiornamenti |
| CVE applicative (Kubernetes + componenti IBM) | 34 | CVE / anno | Fonte NVD |
| Vulnerabilità sfruttate attivamente sullo stack | 11 | CVE / anno | Da trattare con priorità massima (patch fuori ciclo) |

Il volume di CVE è lo stesso nei due scenari. Con ARO monitoraggio, analisi e aggiornamento della piattaforma (control plane e nodi RHCOS) sono a carico del servizio gestito Microsoft/Red Hat, quindi il servizio X non si applica. Su VM tutta la catena (OpenShift, RHCOS, Azure) resta a voi: il servizio X copre osservabilità e analisi, l'ITO esegue le remediation.


### Foglio: Remediation e downtime

Le fonti pubbliche indicano quali aggiornamenti richiedono il riavvio dei nodi, non quanto fermo di servizio hanno causato. Il dato reale va preso dal registro dei change ITO. Qui c'è una stima parametrica.

#### Ipotesi

| Parametro | Valore | Unità | Note |
|---|---|---|---|
| Aggiornamenti z-stream OpenShift applicati | 12 | per anno | Ipotesi: finestra di patching mensile. Ogni aggiornamento porta il nuovo RHCOS (kernel compreso) e riavvia tutti i nodi |
| Upgrade minor OpenShift | 2 | per anno | Ipotesi: un upgrade ogni 6 mesi, usando i rilasci EUS |
| Patch fuori ciclo per vulnerabilità sfruttate | 11 | per anno | Kernel/RHEL nel KEV nell'ultimo anno (foglio Sicurezza). Ipotesi prudente: una patch d'emergenza per ciascuna |
| Tempo di drain + riavvio per nodo | 15 | minuti | Ipotesi; si aggiornano i nodi uno alla volta per pool |
| Interventi con impatto percepito sul servizio | 10 | % | Ipotesi: componenti CP4BA a replica singola, DB esterni o sessioni utente lunghe. Con HA configurata bene va verso 0% |

#### Stima per scenario (solo produzione)

| Indicatore | Scenario A – ARO | Scenario B – VM | Note |
|---|---|---|---|
| Nodi del cluster di produzione | 12 | 9 | Master + worker (+ storage) |
| Interventi con riavvio dei nodi | 25 | 25 | z-stream + minor + patch fuori ciclo |
| Ore di manutenzione rolling all'anno | 75 | 56,25 | Interventi × nodi × minuti per nodo / 60 |
| Downtime di servizio atteso con HA su 3 zone | 0 | 0 | Con almeno 2 repliche, PodDisruptionBudget e 3 AZ il riavvio a rotazione non ferma il servizio |
| Interventi con possibile impatto percepito | 3 | 3 | Interventi × % impatto |
| Chi esegue il riavvio dei nodi | Servizio ARO (avviato da voi) | ITO (OpenShift self-managed) |  |

#### Come ottenere il dato reale

- Estrarre dal sistema ITSM i change di patching degli ultimi 24-48 mesi, con data, componente, CVE o advisory, tipo di change e fermo dichiarato o misurato.

- Incrociare i change con gli incident e con il monitoraggio di disponibilità nelle stesse finestre, per separare i fermi pianificati da quelli non previsti.

- Con il servizio X attivo questa misura diventa automatica: ogni remediation viene collegata alla CVE e all'effetto osservato sulla disponibilità del servizio.


### Foglio: Conclusioni e assunzioni

I valori in verde sono collegati ai fogli di calcolo e si aggiornano se cambiano le ipotesi.

#### Numeri chiave

| Indicatore | ARO | VM | Nota |
|---|---|---|---|
| Spesa su 3 anni, servizio X compreso (€) | € 610.043 | € 326.637 | Foglio Riepilogo |
| Spesa su 5 anni (€) | € 1.101.615 | € 538.095 | Vista di cassa, rinnovo all'anno 4 |
| Gestione interna su 5 anni (€) | € 90.000 | € 555.000 | Effort piattaforma + reperibilità |
| Perdita attesa da incidenti su 5 anni (€) | € 382.970 | € 1.148.909 | Probabilità × costo medio incidente |
| Costo complessivo aggiustato per il rischio, 5 anni (€) | € 1.574.585 | € 2.242.004 | Spesa + gestione + perdita attesa |
| CVE sullo stack Red Hat nel 2030-31 (scenario realistico) | 52.679 | 52.679 | Stesso volume, cambia chi applica le patch |
| Vulnerabilità sfruttate sullo stack nel 2030-31 | 22 | 22 | Oggi sono 11 all'anno |
| Riduzione annua di probabilità di incidente che pareggia il costo in più di ARO | 2,7% |  |  |

#### Conclusioni

1. Se si guarda solo la spesa, le VM costano circa la metà di ARO. Gran parte della differenza è la licenza OpenShift, che su ARO si paga di nuovo anche se è già inclusa nei VPC di Cloud Pak for Business Automation.

2. Il confronto di spesa non è alla pari: ARO usa il sizing CP4BA da 192 vCPU, lo scenario VM la tabella dei requisiti con 3 worker. A parità di sizing la differenza di spesa scende a circa 150-180 mila € su 3 anni.

3. Con le VM la gestione della piattaforma (upgrade, etcd, certificati, incidenti, reperibilità) resta interna. Con le ipotesi del foglio Rischio vale circa 110 mila € all'anno, contro circa 18 mila € residui con ARO.

4. Le vulnerabilità sullo stack Red Hat sono triplicate nell'ultimo anno (+233%) e nello scenario realistico arrivano a circa 4 volte entro il 2031. Le vulnerabilità sfruttate attivamente raddoppiano.

5. BPM è business critical e lo sfruttamento di vulnerabilità è il primo vettore di attacco (32%), con exploit in media prima della patch. Il tempo di remediation diventa quindi il fattore di rischio principale.

6. ARO ripaga il suo costo in più se riduce la probabilità annua di un incidente grave di circa 2,7 punti. Con le ipotesi del foglio Rischio (patch in 7 giorni contro 21) il costo complessivo su 5 anni è più basso con ARO.

7. Raccomandazione: ARO per l'ambiente di produzione di BPM. In parallelo conviene negoziare con IBM il riconoscimento dell'entitlement OpenShift già incluso nella Cloud Pak, che è la leva principale per ridurre la differenza di spesa.

#### Assunzioni

| Ambito | Assunzione | Valore | Dove si cambia |
|---|---|---|---|
| Architettura | Produzione su 3 availability zone in Italy North, DR con replica completa in West Europe | — | Scenario ARO / Scenario VM |
| Sizing ARO | 3 master D8s v5, 6 worker D32s v5, 3 nodi storage D16s v5, ODF su 3 × P40 (profilo CP4BA da 192 vCPU / 462 GB) | — | Scenario ARO |
| Sizing VM | 3 master D8s v5, 3 worker D32s v5, 3 infra D16s v5, Fusion su 3 × P30 (tabella dei requisiti) | — | Scenario VM |
| Prezzi | Listino retail Azure, VM prenotate a 3 anni, dischi prenotati a 1 anno, licenza ARO prepagata 3 anni | Prezzi al 03/11/2026 | Prezzi |
| Licenza OpenShift | Su ARO si paga la fee Azure per ogni worker; su VM è coperta dall'entitlement della Cloud Pak | — | Prezzi |
| Fee PaaS / IaaS | 630 € all'anno per oggetto IaaS (1 VM) e 315 € per oggetto PaaS (1 nodo ARO); dischi esclusi | Indicato dal cliente | Prezzi |
| Backup | OADP/Velero verso Blob Cool nella region DR; volume = dati × fattore di retention 2,5 | 1,5 TB ARO / 0,75 TB VM | Prezzi |
| Servizio X | Osservabilità e analisi di sicurezza solo per lo scenario VM (su ARO è compreso); remediation nel contratto ITO | 90 €/nodo/mese + 8.000 € di setup per ambiente | Servizio X |
| Proiezione 5 anni | Vista di cassa; rinnovo delle prenotazioni all'anno 4 con adeguamento di listino | +3% | Proiezione 5 anni |
| Vulnerabilità | Crescita strutturale +29% all'anno; l'extra dovuto all'AI (+81 punti) si riassorbe in 2 anni; poi crescita a circa metà | Profilo 50%-25% / 60%-45%-55% | Proiezione vulnerabilità |
| Remediation | Tempo di patch di una vulnerabilità critica | 7 giorni ARO / 21 giorni VM | Rischio |
| Probabilità di incidente | Probabilità annua di incidente grave dalla piattaforma per le VM, scalata per ARO sui giorni di esposizione e cresciuta come le vulnerabilità sfruttate | 4% VM / 1,3% ARO nell'anno base | Rischio |
| Costo incidente | Media italiana IBM Cost of a Data Breach 2026; costo del fermo di BPM da fornire | 3,55 M€ + 0 €/ora | Rischio |
| Gestione interna | Effort piattaforma con tariffa 500 €/giorno; reperibilità 24/7 solo per le VM | 3 gg/mese ARO, 14 gg/mese VM, 27 k€/anno | Rischio |
| Esclusioni | Licenze CP4BA (VPC), subscription ODF/Fusion, database, LDAP, rete, supporto Azure, prezzi contrattuali del cliente | — | — |


### Foglio: Dati RAW

Valori così come restituiti dalle fonti, prima di qualsiasi elaborazione.

#### A. Azure Retail Prices API – VM Linux Dsv5 (EUR)

| Region | SKU | Tipo | Durata | Prezzo | Unità |
|---|---|---|---|---|---|
| italynorth | Standard_D8s_v5 | Consumption |  | 0,4022 | 1 Hour |
| italynorth | Standard_D8s_v5 | Reservation | 3 Years | 4.175,23 | per 3 anni |
| italynorth | Standard_D16s_v5 | Consumption |  | 0,8043 | 1 Hour |
| italynorth | Standard_D16s_v5 | Reservation | 3 Years | 8.349,57 | per 3 anni |
| italynorth | Standard_D32s_v5 | Consumption |  | 1,61 | 1 Hour |
| italynorth | Standard_D32s_v5 | Reservation | 3 Years | 16.699,13 | per 3 anni |
| westeurope | Standard_D8s_v5 | Consumption |  | 0,4129 | 1 Hour |
| westeurope | Standard_D8s_v5 | Reservation | 3 Years | 4.286,55 | per 3 anni |
| westeurope | Standard_D16s_v5 | Consumption |  | 0,8259 | 1 Hour |
| westeurope | Standard_D16s_v5 | Reservation | 3 Years | 8.573,10 | per 3 anni |
| westeurope | Standard_D32s_v5 | Consumption |  | 1,65 | 1 Hour |
| westeurope | Standard_D32s_v5 | Reservation | 3 Years | 17.146,19 | per 3 anni |

#### B. Azure Retail Prices API – Dischi e storage (EUR, uguali in Italy North e West Europe)

| SKU | Tipo | Durata | Prezzo | Unità |
|---|---|---|---|---|
| P10 LRS | Consumption |  | 19,46 | 1/Month |
| P30 LRS | Consumption |  | 133,47 | 1/Month |
| P30 LRS | Reservation | 1 Year | 1.521,61 | per anno |
| P40 LRS | Consumption |  | 255,79 | 1/Month |
| P40 LRS | Reservation | 1 Year | 2.915,75 | per anno |
| Blob Cool LRS – Data Stored | Consumption |  | 0,0090 | 1 GB/Month |

#### C. Azure Pricing Calculator – licenza ARO (EUR, prenotazione 3 anni, pagamento anticipato)

| Configurazione | Region | Anticipato | Mensile media licenza |
|---|---|---|---|
| 6 × D32s v5 worker | Italy North | 85.199,15 | 2.366,64 |
| 3 × D16s v5 worker | Italy North | 21.299,79 | 591,66 |
| 3 × D16s v5 worker | West Europe | 21.299,79 | 591,66 |

#### D. Red Hat Security Data API – CVE tracciate per prodotto (per data di pubblicazione)

| Prodotto | Periodo | Totale | Critical | Important | Moderate | Low | Campione | Campione impattato |
|---|---|---|---|---|---|---|---|---|
| OpenShift Container Platform 4 | nov 22 – ott 23 | 277 | 2 | 63 | 195 | 15 | 80 | 57 |
| OpenShift Container Platform 4 | nov 23 – ott 24 | 212 | 2 | 54 | 127 | 29 | 80 | 65 |
| OpenShift Container Platform 4 | nov 24 – ott 25 | 398 | 3 | 91 | 223 | 80 | 80 | 54 |
| OpenShift Container Platform 4 | nov 25 – nov 26 | 4.983 | 15 | 803 | 3.261 | 898 | 80 | 54 |
| RHEL 9 (base di RHCOS) | nov 22 – ott 23 | 1.424 | 4 | 324 | 837 | 234 | 80 | 53 |
| RHEL 9 (base di RHCOS) | nov 23 – ott 24 | 4.861 | 8 | 277 | 2.805 | 1.685 | 80 | 42 |
| RHEL 9 (base di RHCOS) | nov 24 – ott 25 | 6.415 | 4 | 445 | 3.681 | 1.206 | 80 | 46 |
| RHEL 9 (base di RHCOS) | nov 25 – nov 26 | 14.391 | 67 | 2.542 | 8.273 | 2.566 | 80 | 54 |
| di cui kernel Linux (RHEL 9) | nov 22 – ott 23 | 317 | 3 | 84 | 172 | 54 | 80 | 30 |
| di cui kernel Linux (RHEL 9) | nov 23 – ott 24 | 3.861 | 0 | 33 | 2.208 | 1.544 | 80 | 42 |
| di cui kernel Linux (RHEL 9) | nov 24 – ott 25 | 5.228 | 0 | 123 | 3.024 | 1.011 | 80 | 46 |
| di cui kernel Linux (RHEL 9) | nov 25 – nov 26 | 9.218 | 4 | 556 | 5.706 | 2.013 | 80 | 45 |
| OpenShift Data Foundation 4 (Ceph) | nov 22 – ott 23 | 71 | 0 | 11 | 55 | 4 | 71 | 38 |
| OpenShift Data Foundation 4 (Ceph) | nov 23 – ott 24 | 70 | 1 | 14 | 51 | 4 | 70 | 25 |
| OpenShift Data Foundation 4 (Ceph) | nov 24 – ott 25 | 74 | 0 | 22 | 39 | 13 | 74 | 56 |
| OpenShift Data Foundation 4 (Ceph) | nov 25 – nov 26 | 387 | 2 | 187 | 179 | 18 | 80 | 61 |

#### E. NIST NVD – CVE per prodotto (Kubernetes per CNA, IBM per descrizione)

| Prodotto | Periodo | Totale | Critical | High |
|---|---|---|---|---|
| Kubernetes | nov 22 – ott 23 | 19 | 1 | 10 |
| Kubernetes | nov 23 – ott 24 | 7 | 1 | 3 |
| Kubernetes | nov 24 – ott 25 | 15 | 1 | 5 |
| Kubernetes | nov 25 – nov 26 | 13 | 0 | 5 |
| IBM FileNet Content Manager | nov 22 – ott 23 | 1 | 0 | 0 |
| IBM FileNet Content Manager | nov 23 – ott 24 | 2 | 0 | 1 |
| IBM FileNet Content Manager | nov 24 – ott 25 | 0 | 0 | 0 |
| IBM FileNet Content Manager | nov 25 – nov 26 | 0 | 0 | 0 |
| IBM Content Navigator | nov 22 – ott 23 | 3 | 0 | 1 |
| IBM Content Navigator | nov 23 – ott 24 | 0 | 0 | 0 |
| IBM Content Navigator | nov 24 – ott 25 | 3 | 0 | 0 |
| IBM Content Navigator | nov 25 – nov 26 | 1 | 0 | 0 |
| IBM Operational Decision Manager | nov 22 – ott 23 | 0 | 0 | 0 |
| IBM Operational Decision Manager | nov 23 – ott 24 | 2 | 1 | 1 |
| IBM Operational Decision Manager | nov 24 – ott 25 | 2 | 0 | 1 |
| IBM Operational Decision Manager | nov 25 – nov 26 | 1 | 1 | 0 |
| IBM Business Automation Workflow | nov 22 – ott 23 | 5 | 0 | 2 |
| IBM Business Automation Workflow | nov 23 – ott 24 | 3 | 0 | 0 |
| IBM Business Automation Workflow | nov 24 – ott 25 | 3 | 0 | 0 |
| IBM Business Automation Workflow | nov 25 – nov 26 | 10 | 0 | 4 |
| IBM Cloud Pak for Business Automation | nov 22 – ott 23 | 2 | 0 | 1 |
| IBM Cloud Pak for Business Automation | nov 23 – ott 24 | 4 | 0 | 0 |
| IBM Cloud Pak for Business Automation | nov 24 – ott 25 | 10 | 0 | 1 |
| IBM Cloud Pak for Business Automation | nov 25 – nov 26 | 11 | 0 | 1 |
| IBM Process Mining | nov 22 – ott 23 | 0 | 0 | 0 |
| IBM Process Mining | nov 23 – ott 24 | 0 | 0 | 0 |
| IBM Process Mining | nov 24 – ott 25 | 1 | 0 | 1 |
| IBM Process Mining | nov 25 – nov 26 | 0 | 0 | 0 |

#### F. NIST NVD – CVE pubblicate nel mondo (escluse le rifiutate)

| Periodo | CVE |
|---|---|
| nov 22 – ott 23 | 28.073 |
| nov 23 – ott 24 | 37.490 |
| nov 24 – ott 25 | 46.964 |
| nov 25 – nov 26 | 98.920 |

#### G. CISA KEV – catalogo complessivo per data di inserimento (versione 2026.10.30, 1.766 voci)

| Periodo | Inserite | di cui CVE recenti |
|---|---|---|
| nov 22 – ott 23 | 178 | 131 |
| nov 23 – ott 24 | 176 | 139 |
| nov 24 – ott 25 | 252 | 191 |
| nov 25 – nov 26 | 313 | 259 |

#### H. CISA KEV – voci dei vendor Linux, Red Hat e IBM dal 04/11/2022

| CVE | Vendor | Prodotto | Data inserimento KEV | Uso nell'analisi |
|---|---|---|---|---|
| CVE-2026-46300 | Linux | Kernel | 2026-10-28 | Incluso |
| CVE-2025-39964 | Linux | Kernel | 2026-09-18 | Incluso |
| CVE-2026-53266 | Linux | Kernel | 2026-09-18 | Incluso |
| CVE-2025-39682 | Linux | Kernel | 2026-09-18 | Incluso |
| CVE-2026-53362 | Linux | Kernel | 2026-08-27 | Incluso |
| CVE-2015-3246 | Red Hat | Libuser | 2026-08-26 | Incluso |
| CVE-2015-5287 | Red Hat | Automatic Bug Reporting Tool | 2026-08-26 | Incluso |
| CVE-2022-0995 | Linux | Kernel | 2026-08-26 | Incluso |
| CVE-2026-9198 | IBM | Langflow | 2026-08-04 | Escluso: non fa parte di CP4BA |
| CVE-2022-0492 | Linux | Kernel | 2026-06-02 | Incluso |
| CVE-2026-31431 | Linux | Kernel | 2026-05-01 | Incluso |
| CVE-2018-14634 | Linux | Kernel | 2026-01-26 | Incluso |
| CVE-2021-22555 | Linux | Kernel | 2025-10-06 | Incluso |
| CVE-2025-38352 | Linux | Kernel | 2025-09-04 | Incluso |
| CVE-2023-0386 | Linux | Kernel | 2025-06-17 | Incluso |
| CVE-2024-53150 | Linux | Kernel | 2025-04-09 | Incluso |
| CVE-2024-53197 | Linux | Kernel | 2025-04-09 | Incluso |
| CVE-2024-50302 | Linux | Kernel | 2025-03-04 | Incluso |
| CVE-2024-53104 | Linux | Kernel | 2025-02-05 | Incluso |
| CVE-2017-1000253 | Linux | Kernel | 2024-09-09 | Incluso |
| CVE-2022-0185 | Linux | Kernel | 2024-08-21 | Incluso |
| CVE-2022-2586 | Linux | Kernel | 2024-06-26 | Incluso |
| CVE-2024-1086 | Linux | Kernel | 2024-05-30 | Incluso |
| CVE-2018-14667 | Red Hat | JBoss RichFaces Framework | 2023-09-28 | Escluso: JBoss, non presente nello stack |
| CVE-2021-3560 | Red Hat | Polkit | 2023-05-12 | Incluso |
| CVE-2014-0196 | Linux | Kernel | 2023-05-12 | Incluso |
| CVE-2010-3904 | Linux | Kernel | 2023-05-12 | Incluso |
| CVE-2023-0266 | Linux | Kernel | 2023-03-30 | Incluso |
| CVE-2022-47986 | IBM | Aspera Faspex | 2023-02-21 | Escluso: non fa parte di CP4BA |

#### I. Benchmark di settore

| Indicatore | Valore | Fonte |
|---|---|---|
| Costo medio di un data breach – Italia | 3,55 M€ | IBM Cost of a Data Breach 2026 |
| Costo medio di un data breach – mondo | 4,99 M$ | IBM Cost of a Data Breach 2026 |
| Tempo per identificare e contenere un breach | 247 giorni | IBM Cost of a Data Breach 2026 |
| Vettore di accesso iniziale: sfruttamento di vulnerabilità | 32% | Mandiant M-Trends 2026 |
| Tempo medio di sfruttamento (TTE) | −7 giorni | Mandiant M-Trends 2026 |
| Permanenza mediana dell'attaccante | 14 giorni | Mandiant M-Trends 2026 |


### Foglio: Fonti

| # | Fonte | URL | Usata per | Consultata |
|---|---|---|---|---|
| 1 | Azure Retail Prices API | https://prices.azure.com/api/retail/prices | Prezzi VM, dischi e storage (Italy North, West Europe) | 03/11/2026 |
| 2 | Azure Pricing Calculator | https://azure.microsoft.com/it-it/pricing/calculator/ | Licenza ARO e verifica dei totali | 03/11/2026 |
| 3 | Azure Red Hat OpenShift – support policies | https://learn.microsoft.com/en-us/azure/openshift/support-policies-v4 | Vincoli su nodi infra, master e taglie VM | 03/11/2026 |
| 4 | Azure Red Hat OpenShift – service definition | https://learn.microsoft.com/azure/openshift/openshift-service-definitions | Modello di fatturazione e licenza dei nodi applicativi | 03/11/2026 |
| 5 | ARO disponibile in Italy North | https://azure.microsoft.com/updates/generally-available-azure-red-hat-openshift-in-italy-north/ | Disponibilità del servizio nella region primaria | 03/11/2026 |
| 6 | Azure regions list | https://learn.microsoft.com/azure/reliability/regions-list | Availability zone e paired region | 03/11/2026 |
| 7 | Red Hat – ODF su ARO | https://docs.redhat.com/en/documentation/red_hat_openshift_data_foundation/4.13/html/deploying_openshift_data_foundation_using_microsoft_azure/deploying-openshift-container-storage-on-azure-red-hat-openshift_aro | Supporto e subscription ODF su ARO | 03/11/2026 |
| 8 | Red Hat – nodi dedicati ODF | https://docs.redhat.com/it/documentation/red_hat_openshift_data_foundation/4.17/html/managing_and_allocating_storage_resources/how-to-use-dedicated-worker-nodes-for-openshift-data-foundation_rhodf | Esenzione di licenza dei nodi infra | 03/11/2026 |
| 9 | Red Hat Cloud Experts – ARO con ODF | https://cloud.redhat.com/experts/aro/odf/ | Procedura di storage su ARO | 03/11/2026 |
| 10 | IBM CP4BA – Installing (ARO/ROSA) | https://www.ibm.com/docs/SSYHZ8_23.0.2/com.ibm.dba.install/topics/con_installing.html | Supporto CP4BA su ARO e storage supportato | 03/11/2026 |
| 11 | IBM CP4BA – Storage considerations | https://www.ibm.com/docs/SSYHZ8_22.0.2/com.ibm.dba.planning/topics/tsk_plan_storage.html | Requisiti di storage RWX | 03/11/2026 |
| 12 | Red Hat Security Data API | https://access.redhat.com/hydra/rest/securitydata | CVE per OpenShift, RHEL 9, kernel, ODF | 03/11/2026 |
| 13 | NIST NVD API 2.0 | https://services.nvd.nist.gov/rest/json/cves/2.0 | CVE di Kubernetes, IBM e totale mondiale | 03/11/2026 |
| 14 | CISA Known Exploited Vulnerabilities Catalog | https://www.cisa.gov/known-exploited-vulnerabilities-catalog | Vulnerabilità sfruttate attivamente | 03/11/2026 |
| 15 | Mandiant M-Trends 2026 (sintesi) | https://dbugs.ptsecurity.com/news/m-trends-2026-report-attacks-evolve-but-the-root-causes-remain-the-same-20260415 | Vettori di attacco, tempo di sfruttamento, permanenza | 03/11/2026 |
| 16 | IBM Cost of a Data Breach 2026 (Cybersecurity360) | https://www.cybersecurity360.it/news/cost-of-a-data-breach-2026-lai-fa-esplodere-costi-e-velocita-degli-attacchi/ | Costo medio di un incidente in Italia | 03/11/2026 |
| 17 | Slide del cliente: requisiti di produzione | Documento interno | Tabella dei requisiti dei nodi (master, worker, infra) | 03/11/2026 |
| 18 | Slide del cliente: CP4BA on-prem di produzione | Documento interno | Componenti e sizing (8 worker, 173/192 vCPU, 462 GB, 140 VPC) | 03/11/2026 |
| 19 | Indicazioni del cliente | Conversazione del 03/11/2026 | Fee PaaS/IaaS, perimetro del servizio X, tipo di DR | 03/11/2026 |