Chiedete a cinque leader cosa significhi “sovranità digitale” e otterrete cinque risposte diverse. Alcuni la vedono come un dibattito politico. Altri la vedono come una presentazione commerciale. La maggior parte si sente in un vicolo cieco.
In questa puntata di STRIVE, ho incontrato Dirk Deridder, CTO di Smals, il fornitore belga di servizi ICT per il settore pubblico, e Mark Molyneux, CTO di Commvault per il Nord Europa. Siamo giunti a una conclusione comune. Come ha affermato chiaramente Mark: la sovranità non è una meta. È una capacità operativa. Guarda ilepisodiocompleto.
Punti di forza
- La sovranità non è l’obiettivo finale. Lo sono invece la resilienza e l’autonomia.
- Il problema più difficile da risolvere nella fase di Recovery è ricostruire un intero ecosistema – dati, certificati, chiavi e rapporti di fiducia – e non semplicemente ripristinare una singola applicazione.
- Valutate la portabilità, non l’ideologia. Se riuscite a sostituire un componente in un giorno, il rischio legato alla sovranità è di gran lunga inferiore.
- Non tutto deve essere sovrano. Individua il livello minimo di sovranità sostenibile per la tua organizzazione mappando le dipendenze e classificando i servizi: questo dovrebbe aiutarti a ridurre il problema.
- Mettete alla prova la vostra via d’uscita prima di averne bisogno.
Perché il dibattito è cambiato
Dirk ha osservato per decenni come l’IT sia diventato la spina dorsale dei servizi critici e ha notato che le dipendenze non sono una novità. Il dibattito, invece, sì. Prima del 2025, i suoi interventi vertevano sulla protezione dei dati e sulla residenza dei dati. Da allora, la sovranità è un tema ricorrente ovunque.
Mark osserva la stessa tendenza. In tutta l’UE, la sovranità figura ormai tra i primi tre punti all’ordine del giorno nei suoi incontri con i clienti. I dirigenti non si limitano più a chiedere dove risiedono i dati. Chiedono chi controlla lo stack tecnologico, cosa succede se cambiano i termini commerciali e quanto siano dipendenti da un’unica giurisdizione.
La resilienza è il vero obiettivo
Dirk opera una chiara distinzione. Alcune decisioni in materia di sovranità spettano ai responsabili politici. In qualità di CIO o CTO, non puoi rendere il tuo Paese più sovrano. Tuttavia, puoi controllare l’autonomia digitale della tua organizzazione: puoi compiere scelte indipendenti e attuare la tua roadmap. E puoi controllare la tua resilienza se riesci a rispondere alla domanda: «Possiamo continuare a operare quando una dipendenza viene meno, qualunque sia la ragione?»
Questo approccio vale anche per le organizzazioni private. Conoscete le vostre dipendenze, ma fate della resilienza il vostro obiettivo, indipendentemente dal fatto che la causa di un’interruzione sia un disastro naturale, un errore umano, una controversia contrattuale o qualsiasi altra cosa.
Il problema più complesso è l’ecosistema
Le organizzazioni moderne non gestiscono sistemi isolati. Gestiscono sistemi di sistemi. Dirk cita l’esempio di una piattaforma nazionale di sanità digitale collegata a farmacie, ospedali e medici. Recovery significa molto più che ripristinare un database. Significa ricreare l’intero ambiente: certificati, identificazione degli endpoint, regole del firewall, chiavi di crittografia e le relazioni di fiducia lungo l’intera catena.
Mark ha aggiunto che la resilienza informatica cambia la prospettiva. Un obiettivo di tempo di ripristino (RTO) misurato in secondi va bene per un server guasto. In caso di attacco informatico, è necessario untempo medio necessario per il ripristino completo. Anche la sovranità richiede lo stesso cambiamento di prospettiva.
Anteprima: la vostra organizzazione è in grado di riprendersi da un guasto catastrofico?
In questa fase della discussione STRIVE, Dirk descrive due diversi scenari di guasto, che vanno da un guasto catastrofico dell’intera rete Internet a un singolo punto di guasto causato da qualcosa di così piccolo come una dipendenza DNS sconosciuta. In entrambi i casi, chiede alle organizzazioni di valutare se siano sufficientemente resilienti da ripristinare tutto – non solo i dati – qualora si verificasse uno scenario del genere. E suggerisce che la mappatura delle dipendenze sia il primo passo da compiere nel percorso verso la resilienza.
Misurate la portabilità
Dirk propone un test pratico per verificare la sovranità: definire un obiettivo temporale di portabilità per i propri servizi critici. Se si riesce a sostituire un componente o un fornitore entro un giorno senza alcun costo, non sussiste alcun problema di sovranità. È sufficiente passare a un componente o a un fornitore diverso.
La maggior parte delle organizzazioni non è in grado di farlo. La causa non è il debito tecnico, bensì la complessità tecnica. Le migrazioni possono richiedere mesi e prosciugare i budget. Egli afferma che la gestione delle identità e degli accessi rappresenta uno dei fattori di attrazione più forti, quindi è da lì che bisogna partire.
Ogni scelta ha un costo
Per avere un maggiore controllo in termini di funzionalità, assistenza e costi, bisogna pagare. Lo stesso vale per la resilienza. L’alta disponibilità può significare sei server invece di uno. Ogni copia aggiuntiva dei vostri dati – in produzione, di backup, isolata fisicamente o conservata in una “data embassy” – comporta un costo aggiuntivo. Sono la vostra propensione al rischio e il vostro settore a determinare il livello giusto.
Il punto di vista di Mark: l’obiettivo non è la massima sovranità, ma il giusto grado in base alla vostra propensione al rischio.
Individua le tue dipendenze, poi decidi cosa deve avere la precedenza
Il consiglio di Dirk è di adottare un approccio basato sul rischio. Piccoli elementi possono causare gravi guasti, e una singola dipendenza DNS può lasciarvi bloccati. Mark ha aggiunto che la mappatura delle dipendenze fornisce il filtro necessario. Classificate i vostri servizi aziendali e i dati che li supportano. Non è necessario che il 100% del vostro patrimonio sia sovrano. Una volta effettuata la categorizzazione, la sfida si riduce rapidamente.
Si tratta di un esercizio aziendale, non solo informatico. Chiedete all’azienda cosa è critico e vi verrà detto tutto. Suddividete il tutto in processi fondamentali e ne emergerà un elenco ristretto.
I contratti con i fornitori vi garantiscono il controllo – I test vi garantiscono la capacità
È importante stipulare un contratto solido con il fornitore. Dirk cerca clausole chiare, come un periodo di preavviso di 12 o 24 mesi in caso di interruzione del servizio da parte del fornitore. Ho aggiunto che gli accordi sui servizi di transizione definiscono in dettaglio come si svolge la transizione. Questo affronta parte dell’aspetto legale. Non risolve però la resilienza, che è una capacità operativa complessa.
Quindi mettetela alla prova. Il consiglio di Mark è di esercitare il controllo prima che sia necessario. Trasferite regolarmente i dati tra i fornitori. Fatelo quando il solito esperto è fuori sede. Non vorrete certo scoprire le vostre lacune alle due del mattino.
Da dove cominciare
Il consiglio di Dirk a un leader all’inizio del proprio percorso verso l’autonomia:
- Iniziate dalle cose più vicine. Definite la vostra “minimum viable company” individuando lo strumento di cui il vostro personale ha bisogno per svolgere il proprio lavoro.
- Identificate i vostri processi critici. Se un’ora di inattività vi porta al fallimento, si tratta di un processo critico. Se invece si tratta di un processo come la gestione delle buste paga, per il quale disponete di backup o soluzioni alternative da utilizzare mentre il sistema è inattivo, non è critico.
- Fai un inventario delle tue dipendenze. Esamina criticamente il tuo stack tecnologico, non solo dal punto di vista della sovranità o da quello geografico, ma anche dal punto di vista dei fornitori. Cosa succederebbe se questo fornitore triplicasse il prezzo? Rimarresti in balia della situazione? Oppure potresti dire: «No, passerò a un altro»?
Aggiungerei un altro test: riesci comunque a trasferire denaro e a continuare a servire i clienti? Se gli euro continuano a circolare, sei ancora operativo.
Perché questa discussione è importante
La sovranità continuerà a guadagnare spazio nelle agende aziendali. I leader che considerano la sovranità digitale come un obiettivo finale perseguiranno uno stato perfetto che non esiste. I leader che la considerano invece come una capacità operativa costruiranno qualcosa di meglio: la comprovata capacità di cambiare rotta, riprendersi senza intoppi e mantenere in funzione i processi critici. Questo èResOps.
Dirk conclude con il miglior consiglio della sessione: siate pragmatici. Preparatevi al peggio che potete realisticamente prevedere e consideratelo come un’esercitazione.
Guarda la puntata completa
In questa conversazione approfondiamo:
- Perché l’autonomia e la resilienza sono obiettivi più importanti della sovranità.
- Come ricostruire un ecosistema di ecosistemi.
- Come si concretizza nella pratica un obiettivo temporale di portabilità?
- Come mappare le dipendenze e stabilire il giusto livello di autonomia.
- I primi tre passi per i leader che stanno muovendo i primi passi.
Guardalo subito.E perscoprire di più sulla sovranità digitale, abbiamo creato una raccolta di risorse, tra cui un rapporto sullo stato di Readiness, un webinar e diversi post sul blog e podcast.
Domande frequenti
D: La sovranità digitale è la stessa cosa della resilienza?
R: No, ma i due concetti si sovrappongono. La sovranità è una capacità operativa nell’ambito di operazioni resilienti. Si manifesta quando è necessario esercitare il controllo, ad esempio spostando un carico di lavoro o abbandonando un fornitore.
D: Che cos’è un obiettivo di tempo di portabilità?
R: È il tempo necessario per sostituire un componente o un servizio critico con un’alternativa. Più breve è, minore è il rischio per la tua sovranità digitale.
D: Tutto deve essere sovrano?
R: No. Mappate le vostre dipendenze, classificate servizi e dati e applicate il giusto livello di controllo in base alla vostra propensione al rischio.
D: Che cos’è la sovranità minima praticabile?
R:La sovranità minima necessariaÈ l’insieme minimo di requisiti di cui un’organizzazione ha bisogno per mantenere un controllo effettivo sulle proprie risorse digitali, operazioni e dati, sulle modalità di trattamento dei dati, sui luoghi in cui possono essere ospitati e sui piani di uscita che devono essere disponibili. La posizione delle piattaforme tecnologiche e dell’infrastruttura è importante, ma la posizione da sola non è sufficiente.
D: Da dove dovrei cominciare?
R: Inizia dal tuo ambiente di lavoro: individua i tuoi processi critici e crea un inventario delle tue dipendenze tecnologiche e dai fornitori.
Ruben Rendersè Solution Director, MSP, presso Commvault.
