Qualche anno fa, la sovranità digitale era vista principalmente come una questione di conformità normativa. Se i dati venivano archiviati nella zona geografica corretta, si rispettavano i requisiti normativi del caso e si rispondeva a una serie di domande di audit, in genere si poteva andare avanti. Ora non è più così.
Oggi la sovranità è diventata un tema di discussione a livello di consiglio di amministrazione. I governi stanno riscrivendo le politiche. Le autorità di regolamentazione stanno intensificando i controlli. E i leader aziendali stanno iniziando a riconoscere che la sovranità non riguarda solo la sede in cui risiedono i dati, ma anche il modo in cui le organizzazioni continuano a operare quando le premesse geopolitiche, legali o operative cambiano improvvisamente.
Nel primo episodio della nostra serie STRIVE dedicata alla sovranità digitale, ho intervistato Max Mortillaro, cofondatore e Chief Research Officer di Osmium Data Group. Insieme abbiamo approfondito il vero significato del concetto di sovranità, i motivi per cui il dibattito su questo tema ha subito una rapida accelerazione e gli aspetti in cui le organizzazioni rischiano maggiormente di commettere errori. Guarda l’episodio completo.
Punti di forza
- La sovranità digitale non è più solo una questione di conformità: è diventata una questione di resilienza e continuità operativa.
- La localizzazione dei dati è solo uno dei tasselli del puzzle. Anche la giurisdizione, le operazioni, le dipendenze tecnologiche e la governance sono tutti fattori rilevanti.
- Molte organizzazioni si concentrano sui controlli tecnici prima ancora di comprendere il problema aziendale che stanno cercando di risolvere.
- L’incertezza geopolitica sta accelerando le iniziative in materia di sovranità, in particolare in Europa.
- Non esiste un ambiente perfettamente sovrano. Ogni organizzazione deve trovare un equilibrio consapevole tra rischio, costi e requisiti operativi.
Perché la localizzazione dei dati non è l’unico fattore da considerare
Uno dei malintesi più diffusi riguardo alla sovranità digitale è che essa inizi e finisca con la geografia. Se i dati vengono archiviati in un data center locale, si pensa, il problema della sovranità è risolto. È un’ipotesi comprensibile. Dopotutto, molte delle prime discussioni sulla sovranità si sono concentrate in gran parte sui requisiti di residenza dei dati e sui luoghi in cui le informazioni potevano essere legalmente archiviate.
Ma, come sottolinea Max durante la nostra discussione, questa è solo una dimensione di una sfida molto più ampia. La sovranità non riguarda semplicemente l’ubicazione di un data center. Riguarda anche chi lo gestisce, quali leggi vi si applicano, chi vi ha accesso e quali dipendenze esistono dietro le quinte.
Un servizio “cloud” può avere sede fisica in un determinato Paese, ma ciò non significa necessariamente che sia immune da influenze legali, operative o tecnologiche provenienti da altrove. È a questo punto che la discussione si complica notevolmente.
Le dipendenze nascoste che la maggior parte delle organizzazioni trascura
Quando le organizzazioni iniziano a confrontarsi con il tema della sovranità, spesso lo affrontano come un progetto tecnologico. Valutano le sedi di hosting. Analizzano le strategie di replica. Esaminano dove dovrebbero essere eseguiti i carichi di lavoro. Queste discussioni sono importanti, ma possono anche creare un falso senso di sicurezza.
Come spiega Max, gli ambienti tecnologici moderni si basano su livelli di dipendenze che non sono sempre visibili. Un servizio può sembrare locale a prima vista, ma potrebbe fare affidamento su infrastrutture, sistemi di gestione, servizi di telemetria o controlli operativi che si trovano altrove.
Ecco perché la sovranità non è semplicemente una questione di ubicazione. È una questione di influenza. Chi detiene il controllo finale del servizio? Qual è la giurisdizione competente in caso di controversie? Cosa succede se le tensioni geopolitiche introducono nuove restrizioni, normative o limitazioni all’accesso? Non si tratta più di domande ipotetiche. Stanno diventando parte integrante delle valutazioni dei rischi nel mondo reale.
Anteprima: la sovranità è più di un semplice problema tecnico
In questa parte della conversazione, Max spiega perché le organizzazioni spesso affrontano il tema della sovranità partendo dal punto sbagliato – e perché la comprensione degli obiettivi legali, operativi e aziendali deve precedere qualsiasi decisione di natura tecnologica.
Perché l’Europa sta guidando il dibattito
Uno degli aspetti più interessanti della nostra discussione riguarda il motivo per cui la sovranità è diventata un tema così centrale in tutta Europa. La risposta non sta solo nella regolamentazione, ma nella dipendenza. Le organizzazioni europee sono sempre più consapevoli del fatto che molte delle tecnologie su cui fanno affidamento quotidianamente sono di proprietà, gestite o regolate al di fuori del loro controllo diretto. Per anni, questa realtà è stata ampiamente accettata come parte integrante dell’ecosistema tecnologico globale.
Oggi tale presupposto viene riconsiderato. Le tensioni geopolitiche, l’evoluzione delle normative e la crescente preoccupazione riguardo all’autonomia strategica hanno portato la sovranità in cima alla lista delle priorità sia per i governi che per le imprese. Quello che un tempo era considerato un caso marginale è diventato oggi una preoccupazione aziendale di primo piano. Il risultato è una crescente consapevolezza del fatto che la resilienza non consiste solo nel riprendersi dai guasti tecnici, ma anche nel comprendere e gestire le dipendenze esterne prima che si trasformino in interruzioni dell’attività aziendale.
Sovranità e resilienza sono due aspetti della stessa questione
Uno dei temi che vedrete emergere ripetutamente nel corso della discussione è quanto siano strettamente legate la sovranità e la resilienza. A prima vista, potrebbero sembrare discipline separate. Una si concentra su governance, regolamentazione e controllo. L’altra si concentra su Recovery, continuità e Readiness operativa.
In pratica, sono profondamente intrecciate. Se un’azienda non riesce ad accedere a sistemi critici a causa di un evento geopolitico, di una restrizione normativa o della dipendenza da terze parti, le conseguenze non sono molto diverse da quelle di altre interruzioni per le quali le organizzazioni si preparano da anni.
L’azienda deve comunque continuare a operare. I clienti devono comunque essere serviti. Recovery deve comunque avvenire. Ecco perché vedo sempre più spesso la sovranità attraverso la stessa lente della resilienza informatica. Entrambe mirano fondamentalmente a ridurre l’esposizione a eventi che potrebbero compromettere le operazioni e a preparare l’organizzazione a continuare a funzionare quando tali eventi si verificano.
Parti dal problema aziendale
Forse il consiglio più pratico che Max offre è anche il più semplice. Prima di valutare le offerte di «cloud» sovrano, prima di coinvolgere i fornitori e prima di discutere delle architetture tecniche, le organizzazioni dovrebbero innanzitutto capire quale problema stanno cercando di risolvere. Ciò significa comprendere:
- Quali sono i processi aziendali più critici?
- Quali risorse di dati sono più importanti?
- Quali sono i requisiti normativi applicabili?
- Quali sono i rischi che vengono effettivamente mitigati?
Solo dopo aver trovato una risposta a tali domande ha senso valutare le opzioni tecnologiche. Troppo spesso le organizzazioni partono dalle soluzioni e procedono a ritroso verso il problema. La sovranità richiede invece l’approccio opposto. La strategia deve venire prima di tutto. Di seguito l’architettura.
Perché non esiste una risposta perfetta
Una delle realtà che i leader devono accettare è che non esiste un ambiente perfettamente sovrano. Ogni organizzazione opera all’interno di una rete di dipendenze. Ogni scelta tecnologica comporta dei compromessi. Ogni decisione in materia di rischio implica un bilanciamento tra requisiti operativi, obblighi di conformità, considerazioni sui costi e risultati aziendali.
L’obiettivo non è la perfezione. L’obiettivo è comprendere questi compromessi abbastanza bene da poter prendere decisioni consapevoli. Le organizzazioni che considerano la sovranità come una questione binaria, del tipo “sì o no”, spesso si ritrovano in una situazione di frustrazione. Quelle che invece la affrontano come un esercizio di gestione del rischio tendono a ottenere risultati migliori.
Perché questa discussione è importante
La sovranità digitale sta rapidamente passando dall’essere un argomento di nicchia legato alla conformità a una questione strategica per le imprese. I consigli di amministrazione stanno ponendo domande. Le autorità di regolamentazione stanno intensificando i controlli. I clienti stanno diventando sempre più consapevoli di dove siano conservati i propri dati e di chi li controlli. Allo stesso tempo, l’incertezza geopolitica continua a ridefinire il modo in cui le organizzazioni concepiscono il rischio. Ciò non significa che ogni azienda debba affrontare già domani una trasformazione radicale in materia di sovranità.
Significa però che le organizzazioni che iniziano oggi a definire una strategia chiara si troveranno in una posizione molto più solida rispetto a quelle che aspettano che la questione diventi inevitabile. La sovranità non è una scelta tecnologica mascherata da problema aziendale. È un problema aziendale che richiede decisioni di natura giuridica, operativa e tecnica che vadano di pari passo.
Guarda la puntata completa
In questa puntata, Max e io approfondiamo:
- Cosa significa realmente la sovranità digitale.
- Perché la sola ubicazione dei dati non è sufficiente.
- Gli aspetti legali e operativi che le organizzazioni spesso trascurano.
- In che modo gli sviluppi geopolitici stanno influenzando le strategie di sovranità.
- Perché sovranità e resilienza stanno diventando indissociabili.
Domande frequenti
D: Che cos’è la sovranità digitale?
R: Per “sovranità digitale” si intende la capacità di un’organizzazione di mantenere il controllo sui propri dati, sulla propria tecnologia, sulle proprie operazioni e sulla propria governance entro specifici limiti giuridici e giurisdizionali.
D: La sovranità digitale è la stessa cosa della residenza dei dati?
R: No. La residenza dei dati è una delle componenti della sovranità, ma la sovranità comprende anche la giurisdizione, il controllo operativo, le dipendenze tecnologiche e la governance.
D: Perché la sovranità digitale ha acquisito maggiore importanza negli ultimi tempi?
R: La crescente incertezza geopolitica, l’evoluzione delle normative e la crescente preoccupazione riguardo alla dipendenza dalla tecnologia hanno accelerato l’interesse per le iniziative in materia di sovranità.
D: Qual è l’errore più grave che commettono le organizzazioni?
R: Considerare la sovranità come una sfida puramente tecnica anziché come una questione più ampia legata al rischio aziendale e alla resilienza.
D: In che modo la sovranità si collega alla resilienza informatica?
R: Entrambe le discipline mirano a garantire la continuità operativa in caso di interruzioni, siano esse di natura tecnica, giuridica, geopolitica o normativa.
D: Da dove dovrebbero partire le organizzazioni?
R: Inizia individuando i risultati aziendali che intendi proteggere, i rischi che intendi mitigare e i dati e i processi più critici per le tue operazioni.
Alex Zinin è vicepresidente e direttore generale della divisione Managed Service Providers presso Commvault.
