L'elemento fondamentale che la maggior parte delle strategie di sovranità trascura

Punti di forza

• La sovranità operativa riguarda chi può accedere ai sistemi e sotto quali giurisdizioni questi operano.
• L’accesso dei fornitori, i flussi di dati telemetrici e i canali di assistenza possono creare lacune nascoste in materia di sovranità.
• La sovranità operativa è più difficile da certificare perché richiede visibilità e controlli continui.
• Le organizzazioni devono essere in grado di dimostrare e documentare ogni percorso di accesso agli ambienti sovrani.

Se si chiede alla maggior parte delle organizzazioni in quale ambito il loro programma di sovranità sia più solido, la risposta è solitamente una variante delle stesse due cose: localizzazione dei dati e crittografia. Sanno dove risiedono i loro dati primari. Hanno implementato accordi del tipo “bring-your-own-key” o “hold-your-own-key”. Possono indicare le certificazioni.

Chiedete loro chi abbia avuto accesso al loro ambiente sovrano negli ultimi novanta giorni, da quali paesi e sotto quali giurisdizioni legali – e la fiducia tenderà a svanire. La sovranità operativa è il pilastro più difficile da verificare, il più soggetto a sottovalutazione e il punto in cui più comunemente una posizione di sovranità che sembra solida sulla carta crolla nella pratica. Il Digital Sovereignty Readiness Report la indica come uno dei quattro pilastri – questo post va oltre. La domanda a cui la maggior parte delle organizzazioni non sa rispondere: «Chi ha avuto accesso al vostro ambiente sovrano negli ultimi 90 giorni, da quali paesi e sotto quali giurisdizioni legali?»

Cosa significa realmente “sovranità operativa”

La sovranità operativa non riguarda il luogo in cui risiedono i dati. Riguarda chi gestisce l’ambiente e chi può accedervi. Comprende tre aspetti che la maggior parte dei programmi di sovranità considera dettagli di implementazione piuttosto che questioni di primaria importanza:

• Accesso del personale e giurisdizione. Ogni persona in grado di accedere al vostro ambiente sovrano – per attività di assistenza, manutenzione, monitoraggio o risposta agli incidenti – opera nell’ambito di una giurisdizione legale definita. Se un tecnico dell’assistenza in un paese soggetto a una legge straniera sull’accesso ai dati può accedere ai vostri sistemi, la sovranità della vostra infrastruttura è limitata dall’esposizione legale di tale tecnico.

La maggior parte delle organizzazioni, quando effettua questa verifica per la prima volta, individua almeno un percorso di supporto che attraversa un confine giurisdizionale che non era stato mappato.

• Accesso di terze parti e fornitori. Il confine della vostra sovranità si estende a ogni fornitore, provider di servizi gestiti e piattaforma software che accede al vostro ambiente sovrano. Piattaforme ITSM, strumenti di monitoraggio, sistemi SIEM: se questi si trovano al di fuori del confine della vostra sovranità ma hanno accesso a dati o metadati al suo interno, esiste una lacuna che i controlli sulla localizzazione dei dati non possono colmare.
• Traffico di telemetria, fatturazione e piano di controllo. I programmi di sovranità dei dati si concentrano sui dati primari. La sovranità operativa richiede invece di mappare la destinazione di tutto il resto: la telemetria generata dalla vostra infrastruttura, i metadati raccolti dai vostri sistemi di monitoraggio, i dati di fatturazione elaborati dal vostro provider. Questi flussi possono attraversare i confini giurisdizionali anche quando i dati primari non lo fanno – e raramente vengono mappati.

Perché questo pilastro è più difficile da certificare – e perché è importante

La localizzazione dei dati è relativamente semplice da documentare. È possibile indicare una regione di archiviazione, un accordo di residenza dei dati, una verifica da parte di terzi. La sovranità operativa non dispone della stessa documentazione cartacea. Non esiste una certificazione che garantisca lo status giurisdizionale di ogni tecnico di supporto che potrebbe accedere al proprio ambiente.

È proprio questo che lo rende sia il pilastro più difficile da verificare sia quello più importante da gestire correttamente. Ciò si ricollega inoltre direttamente alla sfida della “sovranità minima necessaria”: applicare i controlli operativi giusti ai carichi di lavoro giusti richiede di sapere quali siano tali controlli – ed è proprio nell’ambito della sovranità operativa che tale conoscenza è più spesso carente.

La dimensione della catena di approvvigionamento

Il regolamento NIS2, che estende gli obblighi in materia di sicurezza informatica ai settori dell’energia, dei trasporti, della sanità e delle infrastrutture digitali, impone ora alle organizzazioni di valutare le pratiche di sicurezza informatica dei propri fornitori di tecnologia. Per i programmi di sovranità, ciò ha un’implicazione diretta: l’approccio dei fornitori in materia di sovranità non è più un semplice elemento di cortesia negli appalti, ma un requisito verificabile.

Ciò significa porre nuove domande a ogni fornitore all’interno del proprio ambito di sovranità: Dove si trova il vostro personale di supporto? Sotto quale giurisdizione legale opera? Cosa succede all’accesso di cui dispone al mio ambiente se la vostra azienda venisse acquisita da un’entità non UE?

Come si presenta una buona soluzione

Un ambiente operativamente sovrano presenta quattro caratteristiche che possono essere dimostrate, non solo documentate:

• Viene mappata ogni via di accesso all’ambiente sovrano: non solo l’accesso principale, ma anche quello dei fornitori, quello del supporto tecnico e quello dei sistemi di monitoraggio.
• Lo status giuridico di ogni persona o sistema che dispone di tale accesso viene documentato e sottoposto a verifica a intervalli prestabiliti.
• I flussi di traffico relativi alla telemetria, ai metadati e al piano di controllo vengono inventariati e, a seconda dei casi, sono contenuti entro i confini della sovranità oppure vengono esplicitamente valutati e accettati come fuori dall’ambito di applicazione.
• L’organizzazione è in grado di rispondere alla richiesta relativa all’accesso entro novanta giorni – in modo preciso, fornendo prove.

Un’ultima cosa: la sovranità operativa non si limita al controllo degli accessi. Se il ripristino richiede l’intervento di personale che opera al di fuori dei confini della vostra sovranità, la strategia fallisce nel momento stesso in cui si verifica un incidente. Questo sarà l’argomento del quarto articolo di questa serie. Il Rapporto sulla preparazione alla sovranità digitale include una domanda di valutazione diretta sulla sovranità operativa.

Domande frequenti

D: Che cos’è la sovranità operativa?

R: La sovranità operativa riguarda chi gestisce e chi ha accesso a un ambiente, compreso il personale, i fornitori e i sistemi di supporto. Va oltre il luogo in cui sono archiviati i dati.

D: Perché la sovranità operativa viene spesso trascurata?

R: Molte organizzazioni si concentrano principalmente sulla localizzazione e sulla crittografia dei dati. Spesso, invece, le vie di accesso, il personale di supporto e i flussi di telemetria non vengono sottoposti a un controllo completo.

D: In che modo i fornitori influenzano la posizione in materia di sovranità?

R: I fornitori e i fornitori di servizi gestiti potrebbero avere accesso a sistemi sensibili o a metadati. Le loro giurisdizioni e le loro prassi operative possono influire sulla conformità complessiva in materia di sovranità.

D: Perché la telemetria e i metadati sono importanti?

R: Anche se i dati primari rimangono a livello locale, i dati telemetrici e i metadati possono attraversare i confini giurisdizionali. Se non gestiti, questi flussi possono comportare rischi in termini di conformità.

D: Cosa comprende un modello di forte sovranità operativa?

R: Comprende percorsi di accesso mappati, controlli giurisdizionali documentati, accesso dei fornitori sottoposto a verifica e visibilità su tutti i flussi di dati telemetrici e metadati.

Alex Zinin è vicepresidente e direttore generale della divisione Managed Service Providers presso Commvault.