Punti di forza
- La sovranità minima necessaria (MVS) si concentra sull’applicazione del giusto livello di controllo ai carichi di lavoro appropriati.
- Trattare tutti i carichi di lavoro allo stesso modo può comportare complessità e costi superflui o una protezione insufficiente.
- Le organizzazioni rientrano in genere in tre profili di sovranità: sovranità totale, impresa regolamentata e multi-cloud ibrido.
- Una governance coerente in ambienti misti rappresenta una delle maggiori sfide operative.
Esiste una versione del dibattito sulla sovranità digitale che spinge le organizzazioni verso una soluzione costosa, onerosa dal punto di vista operativo e – se si è onesti – che va oltre quanto richiesto dai loro effettivi obblighi. La sovranità massima sembra una scelta responsabile. In pratica, spesso si tratta di una valutazione errata.
Esiste una versione altrettanto diffusa che conduce a una situazione pericolosamente precaria: controlli che soddisfano una checklist ma non supererebbero un audit, un incidente o un’autorità di regolamentazione che ha smesso di accettare l’intenzione documentata come prova di un controllo effettivo.
Le organizzazioni che gestiscono correttamente la sovranità tendono ad adottare un approccio più rigoroso e più pratico rispetto a entrambi gli estremi: si chiedono cosa debbano effettivamente garantire, a chi e per cosa. Quindi si adeguano a tale standard – né più, né meno.
Questa è la disciplina dell’MVS, introdotta nel «Digital Sovereignty Readiness Report» e sviluppata in modo esaustivo in questa sede.
L’MVS non è una scorciatoia. È il riconoscimento che l’obiettivo è il giusto livello di controllo, applicato in modo coerente a ogni carico di lavoro che lo richieda.
Non tutti i carichi di lavoro sono uguali
Il punto di partenza per un approccio MVS è la classificazione dei carichi di lavoro – e la maggior parte delle organizzazioni la salta completamente.
Un sistema di trading che elabora dati finanziari regolamentati comporta obblighi di sovranità fondamentalmente diversi rispetto a uno strumento interno di collaborazione delle risorse umane. Un database che contiene dati personali di cittadini dell’UE è soggetto a un regime giuridico e normativo diverso rispetto a un ambiente di sviluppo che elabora dati di test anonimizzati.
Trattare tutti questi casi allo stesso modo – sia applicando i massimi controlli di sovranità in modo generalizzato, sia partendo dal presupposto che un unico modello di implementazione copra ogni esigenza – è il modo in cui le organizzazioni finiscono per essere o sovradimensionate o insufficientemente protette.
La domanda giusta da porsi prima di qualsiasi decisione di implementazione è: cosa richiede questo carico di lavoro in ciascuno dei quattro pilastri della sovranità? Il Rapporto di Readiness include un’autovalutazione strutturata proprio attorno a questa domanda.
I tre profili – e ciò di cui hanno effettivamente bisogno
Le imprese soggette a regolamentazione rientrano in tre profili ben definiti, ciascuno con motivazioni principali e priorità di investimento diverse.
- Il vero sovrano. Agenzie governative, appaltatori della difesa e gestori di infrastrutture nazionali critiche. Per queste organizzazioni, la sovranità non è un requisito di conformità: è un mandato operativo. Il massimo controllo su ogni dimensione dello stack tecnologico è spesso richiesto per legge, e i compromessi in termini di costi sono accettati perché l’alternativa non lo è.
- L’organizzazione regolamentata. Società di servizi finanziari, organizzazioni sanitarie, aziende energetiche. Queste organizzazioni devono far fronte a requisiti vincolanti previsti da DORA, NIS2, GDPR e quadri normativi specifici di settore. Gli obblighi di conformità possono anche rientrare in schemi di certificazione UE – tra cui EUCS, EUCC, BSI C5 e SecNumCloud – a seconda del settore e del contesto di implementazione.
In alcuni ambiti ciò è imprescindibile – in particolare per quanto riguarda la residenza dei dati, i controlli operativi sugli accessi e Recovery entro i confini giurisdizionali. Ma non tutti i carichi di lavoro comportano lo stesso obbligo.
- L’organizzazione ibrida multi-cloud. Organizzazioni con investimenti esistenti in hyperscaler che devono affrontare una crescente pressione in materia di sovranità da parte di clienti, autorità di regolamentazione o requisiti di appalto. La loro sfida non è la migrazione totale, ma l’integrazione di controlli di sovranità in un ambiente misto e il mantenimento di una governance coerente in tutto l’ambiente.
Il costo di una calibrazione errata
Un approccio eccessivo alla sovranità crea rischi operativi propri. Le organizzazioni che applicano controlli di sovranità massimi a carichi di lavoro che non li richiedono si accollano costi e complessità che non servono a nessuno scopo normativo o aziendale.
Un approccio insufficiente è la modalità di fallimento più comune, e anche la più pericolosa. In genere non si manifesta fino all’arrivo dell’audit – o, cosa ancora più grave, fino a quando non si verifica un incidente e Recovery diventa un problema soggetto a vincoli legali. (Tale modalità di fallimento è l’argomento del quarto articolo di questa serie.)
Un punto di partenza pratico
Un approccio MVS prevede tre passaggi:
- Classificare i carichi di lavoro in base ai loro effettivi requisiti di sovranità in ciascun pilastro – non partire dai modelli di distribuzione.
- Mappare ciascuna classe di carico di lavoro al livello di implementazione che soddisfa tali requisiti, nell’intero spettro che va dalle regioni degli hyperscaler pubblici al cloud pubblico sovrano fino agli ambienti gestiti on-premise.
- Gestire in modo coerente l’infrastruttura mista risultante: i controlli, le prove di audit e le capacità di Recovery devono essere dimostrabili in tutto l’ambiente, non solo nel livello con la massima sovranità.
È proprio la terza fase quella in cui la maggior parte dei programmi incontra difficoltà. Mantenere controlli di sovranità coerenti in un ambiente misto rappresenta una sfida di governance operativa – e in particolare rientra nell’ambito della sovranità operativa – argomento del terzo articolo di questa serie, il pilastro che la maggior parte delle strategie considera come un aspetto secondario.
Utilizzate l’autovalutazione contenuta nel Rapporto sulla Readiness alla sovranità digitale per individuare la vostra posizione attuale rispetto a tutti e quattro i pilastri.
Domande frequenti
D:
Che cos’è la sovranità minima praticabile (MVS)?
R: La MVS è la pratica di applicare controlli di sovranità basati sulle effettive esigenze aziendali e normative. Ha lo scopo di aiutare a evitare sia un eccesso di ingegnerizzazione che una protezione insufficiente.
D: Perché è importante la classificazione dei carichi di lavoro?
R: Carichi di lavoro diversi comportano obblighi normativi e operativi diversi. La classificazione dei carichi di lavoro aiuta le organizzazioni ad applicare il livello appropriato di controlli di sovranità.
D: Quali sono i tre profili di sovranità più comuni?
R: I tre profili sono: organizzazioni realmente sovrane, organizzazioni regolamentate e organizzazioni ibride multi-cloud. Ciascuna presenta requisiti operativi e di conformità distinti.
D: Quali rischi derivano da un approccio eccessivamente ingegnerizzato alla sovranità?
R: Controlli eccessivi possono aumentare la complessità operativa e i costi senza apportare un valore significativo in termini di conformità o di business.
D: Perché gli ambienti misti pongono sfide di governance?
R: Le organizzazioni operano spesso su più modelli di cloud e infrastrutture. È difficile mantenere controlli, prove di audit e standard di Recovery coerenti in tutti gli ambienti.
Ruben Renders è Solutions Director, MSP, presso Commvault.
