Termina un'istanza EC2 e il suo disco di root se ne va con lei. Ogni volume collegato dopo il lancio resta lì, e AWS documenta il default senza giri di parole: DeleteOnTermination è true per il volume di root e false per i volumi collegati. Nessuno ha scelto questo per il tuo parco; è ciò che fa l'account quando la domanda non viene mai posta. I tuoi ingegneri non sono stati sbadati. La tua infrastruttura è più grande della tua documentazione perché i default stanno dalla parte degli avanzi.
Un inventario degli asset cloud messo insieme a memoria sarà sempre un sottoinsieme di ciò che è in esecuzione e sta fatturando. Lo State of the Cloud Report 2026 di Flexera, pubblicato il 18 marzo 2026 su 753 decisori del cloud, colloca la spesa cloud sprecata al 29 per cento, il primo aumento in cinque anni. Quel dato viene archiviato come numero finanziario. La versione di sicurezza è peggiore: una macchina che nessuno ricorda di aver affittato è una macchina che nessuno sta aggiornando. Tiene ancora la credenziale che le è stata rilasciata, risponde ancora su una porta, ed è fuori dal perimetro del tuo prossimo penetration test, perché la call di scoping ha lavorato sullo stesso elenco su cui hai lavorato tu.
Da dove arrivano davvero le risorse cloud orfane
L'ingegnere che se n'è andato è l'esempio più pulito. Qualcuno ha messo in piedi una proof of concept in una region che il team per il resto non usa, l'ha mostrata in demo ed è andato via diciotto mesi dopo. L'istanza è ancora in esecuzione e non sta nel Terraform di nessuno. Accanto a lei c'è il secondo account: un progetto che doveva muoversi più in fretta del procurement, aperto su una carta personale, mai ricondotto dentro. Cisco colloca all'80 per cento la quota di dipendenti che usa tecnologia non autorizzata. Gartner ha rilevato che nel 2022 il 41 per cento ha acquisito, modificato o creato tecnologia fuori dalla visibilità dell'IT, e colloca il 38 per cento degli acquisti tecnologici sotto i responsabili di business anziché sotto l'IT.
Il resto è meccanico. L'autoscaling ha scalato verso l'alto per un lancio e la policy di scale-down non è mai stata scritta con la stessa aggressività di quella di scale-up, così un gruppo che dovrebbe stare a quattro sta a undici. Un load balancer sopravvive al servizio che stava davanti. Gli snapshot girano su una schedulazione impostata da qualcuno nel 2022 senza scadenza. E da qualche parte, nella maggior parte dei parchi, un ambiente di staging è diventato produzione per sbaglio, perché un'integrazione con un cliente è stata puntata lì una volta e nessuno ha voluto essere quello che la spegneva.
Una macchina sconosciuta è una macchina non aggiornata
Il DBIR 2026 di Verizon, pubblicato il 20 maggio 2026, ha rilevato che lo sfruttamento delle vulnerabilità è diventato il singolo vettore di accesso iniziale più comune, al 31 per cento delle violazioni, in salita dal 20 per cento dell'anno precedente. Colloca il tempo mediano per rimediare a una vulnerabilità di cui è noto lo sfruttamento a 43 giorni, in salita da 32, e rileva che solo il 26 per cento delle vulnerabilità nell'elenco known-exploited di CISA è mai stato rimediato del tutto. Quelle cifre descrivono le macchine di cui sei a conoscenza. Per le altre il tempo di remediation è: mai.
Un'istanza più vecchia dei tuoi strumenti di patching tiene ancora anche la credenziale che le è stata consegnata il primo giorno. Lo State of Cloud Security 2025 di Datadog ha rilevato che il 59 per cento degli utenti AWS IAM ha una access key attiva più vecchia di un anno, un quarto di tutte le chiavi più vecchia di tre anni e una su dieci più vecchia di cinque. Il Cloud Security Report 2026 di Cybersecurity Insiders e Fortinet, basato su 1.163 professionisti IT e di sicurezza, vede il 69 per cento indicare la proliferazione di strumenti e i buchi di visibilità come primo fattore che limita la sicurezza del proprio cloud. La macchina dimenticata è il punto in cui quei due risultati si incontrano.
Che aspetto ha la spesa cloud inutilizzata, riga per riga
Dal 1° febbraio 2024 AWS addebita 0,005 dollari l'ora per ogni indirizzo IPv4 pubblico, collegato o no, circa 43 dollari l'anno per un indirizzo che non fa nulla. Un Application Load Balancer in US East (N. Virginia) costa 0,0225 dollari l'ora, all'incirca 16,43 dollari al mese, fatturati che instradi o meno una singola richiesta. Prese una per una sono errori di arrotondamento, ed è per questo che sopravvivono: nessuna voce è abbastanza grande da far aprire un ticket a qualcuno, e un parco di medie dimensioni ne porta centinaia. I soldi più pesanti stanno nelle risorse che girano correttamente e non fanno nulla. Lo State of Cloud Costs 2024 di Datadog ha rilevato che l'83 per cento dei costi dei container è associato a risorse inutilizzate: il 54 per cento della spesa per container è cluster idle, infrastruttura di cui è stato fatto il provisioning e su cui non è mai stato schedulato nulla, e il 29 per cento è workload idle, resource request più grandi di quanto i workload richiedano.
Fare discovery su account che non hai aperto tu
Parti dai soldi e dall'identità, non dalle console. Ogni account è agganciato a uno strumento di pagamento, quindi dodici mesi di estratti conto bancari e di carta sono una fonte di discovery migliore di qualsiasi API di provider; dopo di quelli, il tuo identity provider e le tue zone DNS, perché un account che nessuno ricorda risolve comunque un nome che qualcuno ha registrato.
Dentro un account gli strumenti del provider aiutano e insieme mentono per omissione. AWS Resource Explorer costruisce un indice per Region, ne consente esattamente uno, e ne richiede uno promosso ad aggregatore perché la ricerca cross-Region funzioni anche solo un po', così una Region che non hai mai indicizzato non contribuisce a risultati che sembrano completi. Le risorse taggate compaiono in pochi minuti e quelle non taggate ci mettono fino a due ore o più, quindi le risorse meno documentate sono le più lente a comparire. Eseguilo due volte, a un giorno di distanza, prima di crederci.
Tra provider diversi il merge è il lavoro, e a mano non finisce mai, perché ogni export ha una propria idea di cosa conti come risorsa e non ce ne sono due che chiamino le region allo stesso modo. Sencai fa quel merge come prodotto: colleghi un account con credenziali scoped e le sue istanze, reti, storage e DNS esistenti arrivano in un unico elenco, accanto alle macchine nei tuoi rack che un host agent riesce a raggiungere, senza migrare né ricostruire nulla. La promozione in gestione avviene una risorsa alla volta, così vedere qualcosa non equivale ad accettare di gestirlo.
Triage per raggio d'impatto, non per costo mensile
La prima passata restituisce più di quanto qualsiasi team riesca a smaltire. Un foglio con un migliaio abbondante di finding ordinato per costo mensile mette un disco da 9 dollari sopra un'istanza esposta su internet che porta una access key di tre anni. Lo State of Cloud Risk 2026 di Wiz ha rilevato che solo il 9 per cento dei finding è remote code execution; sono i problemi di esposizione e di accesso a dominare ciò che diventa un incidente. Ordina invece per ciò che ottiene un attaccante: prima tutto ciò che è raggiungibile da internet e detiene una credenziale, poi tutto ciò che detiene dati, poi le chiavi e i ruoli appartenenti a risorse senza padrone. Gli indirizzi non collegati e i load balancer inutilizzati vanno per ultimi, per quanto siano facili da sistemare. Sbagliare su uno di quelli costa 43 dollari.
La cancellazione è la prima azione sbagliata per qualsiasi cosa senza padrone. Fermala e stai a guardare, piuttosto. Un'istanza che resta ferma per trenta giorni senza che una sola persona se ne accorga si può rimuovere in sicurezza; una che genera un ticket di supporto entro quattro ore ha appena identificato il proprio proprietario. Fai uno snapshot di qualsiasi cosa abbia un disco prima di toccarla. L'unico errore irreversibile disponibile qui è cancellare lo storage di qualcosa che si rivela portante, e ogni team che l'ha fatto una volta esegue l'attesa di trenta giorni per sempre.
Un inventario con una data di fine non vale nulla dopo sei settimane
Un foglio di calcolo è accurato il pomeriggio in cui viene prodotto e comincia a decadere quella stessa sera. Tutto ciò che ha prodotto il divario è ancora in funzione: i default non sono cambiati, e la scadenza che ha giustificato il secondo account torna di nuovo a marzo. L'Articolo 21, paragrafo 2, lettera i), della NIS2 elenca la gestione degli asset tra le dieci misure minime di gestione del rischio che le entità nell'ambito di applicazione devono attuare, accanto all'analisi dei rischi dell'Articolo 21, paragrafo 2, lettera a), e all'igiene informatica di base dell'Articolo 21, paragrafo 2, lettera g), e nessun documento soddisfa nessuna di esse. Il termine di recepimento era il 17 ottobre 2024; l'8 luglio 2026 la Commissione ha deferito Irlanda, Spagna, Francia e Paesi Bassi alla Corte di giustizia per recepimento incompleto, chiedendo penalità giornaliere.
La discovery continua è una cosa diversa da un progetto, ed è l'unica versione che sopravvive a un parco reale. La configurazione gratuita di Sencai, un utente e un'organizzazione con cinque risorse gestite, esegue una passata di discovery su un account reale e ti mostra l'elenco prima che tu promuova qualsiasi cosa in gestione. Sul limite bisogna essere lucidi: la gestione live presso il provider è profonda anziché larga, DNS su cinque provider, firewall su due e reti su uno, quindi buona parte di ciò che trovi la cambierai comunque nella console del provider. Qualunque strumento usi, prendi il tuo account più vecchio, enumera ogni region comprese le due che sei certo siano vuote, e ordina ciò che torna in base al fatto che sia raggiungibile o meno da internet, non in base a quanto costa. La prima risorsa a cui nessuno sa dare un nome è dove comincia il lavoro.