Non avete una strategia in materia di sovranità. Avete una politica di residenza.

Punti di forza

• La residenza dei dati indica il luogo in cui questi sono archiviati, ma la sovranità digitale richiede anche il controllo sull’accesso, sulle operazioni e una corretta comprensione delle implicazioni giurisdizionali.
• La sovranità operativa è spesso l’aspetto più debole e meno verificato nella maggior parte dei programmi di sovranità.
• Una posizione di sovranità completa si basa su quattro pilastri: la localizzazione dei dati, la sovranità tecnologica, la sovranità operativa e la sovranità giurisdizionale.
• La sovranità non è una questione binaria; le organizzazioni devono definire una strategia in linea con i propri obblighi normativi e operativi.

Ecco una domanda su cui vale la pena riflettere: quando la vostra organizzazione ha preso la decisione sulla propria sovranità, cosa ha deciso esattamente? Nella maggior parte dei casi, la risposta è una variante dello stesso concetto. Scegliere una regione. Spostare i carichi di lavoro. Scegliere un fornitore di servizi cloud con data center nel Paese. Spuntare la casella. La questione della localizzazione dei dati ha trovato una risposta e il dibattito sulla sovranità è stato considerato chiuso.

Ma non era finita. Era appena iniziata. La residenza dei dati risponde a una domanda: dove? La sovranità digitale ne pone altre tre: chi, come e a quali condizioni? La confusione tra residenza e sovranità è comprensibile. Gli hyperscaler hanno fatto sì che la scelta della regione sembrasse una decisione in materia di sovranità. Le checklist di conformità chiedono dove sono archiviati i dati. Le linee guida normative, almeno nelle loro prime versioni, si concentravano fortemente sull’aspetto geografico.

La scelta di un cloud sovrano è una questione seria: è importante, ha implicazioni operative ed è un primo passo necessario. Ma è solo un primo passo. E la maggior parte delle organizzazioni si è fermata lì.

A cosa non risponde il programma di residenza

Pensateci in questo modo: scegliere una regione cloud sovrana è come acquistare una cassaforte. Vi dice dove sono conservati i vostri oggetti di valore. Non dice nulla su chi possiede una copia della combinazione, chi ha prodotto la cassaforte, quali leggi nazionali regolano il produttore, né se potete aprirla se costretti a farlo.

La scelta della regione risponde a una domanda. Ne rimangono altre tre del tutto aperte – ed è proprio su queste che le autorità di regolamentazione, le commissioni di appalto e i revisori si stanno ora ponendo domande con crescente precisione:

• Chi può gestire il vostro ambiente e da dove? Il fatto che il personale di assistenza del vostro fornitore di servizi cloud sia soggetto a una giurisdizione straniera è una questione di sovranità che la residenza dei dati non può risolvere. Una finestra di manutenzione ordinaria eseguita da un tecnico dell’assistenza in una giurisdizione diversa costituisce una via di accesso che la vostra politica di residenza non copre. Questo è il dominio della sovranità operativa: il pilastro più difficile da verificare e quello più comunemente trascurato.
• In base a quale regime giuridico è possibile accedere ai vostri dati? Il fatto che un fornitore di tecnologia straniero gestisca le proprie infrastrutture sul territorio nazionale non esclude automaticamente l’applicazione della legislazione del proprio Paese d’origine. La portata extraterritoriale dei regimi giuridici stranieri rappresenta un rischio che la sola posizione geografica non può eliminare.
• È possibile recuperare i dati se qualcosa va storto? La maggior parte dei programmi di sovranità è incentrata sul controllo degli accessi. Pochissimi affrontano la questione del Recovery: ovvero se i dati possano essere ripristinati correttamente, entro tolleranze definite, da personale che opera all’interno dei confini della vostra sovranità. È proprio in questa lacuna che le strategie di sovranità falliscono più comunemente in condizioni reali.

Il quadro di riferimento che colma il divario

Una strategia completa in materia di sovranità si articola su quattro pilastri interdipendenti. Il «Rapporto sulla preparazione alla sovranità digitale» – disponibile su readiverse.com – ne illustra ciascuno in modo esaustivo. In breve:

• La localizzazione dei dati indica i percorsi effettivi seguiti dai dati e dai metadati.
• La sovranità tecnologica comprende il controllo sulla crittografia, la custodia delle chiavi e la portabilità dell’architettura.
• La sovranità operativa riguarda chi gestisce l’ambiente e da dove.
• La sovranità giurisdizionale definisce il quadro giuridico che disciplina tutti gli aspetti sopra citati.

Nessun pilastro è sufficiente da solo. Una solida strategia di localizzazione dei dati accompagnata da controlli operativi carenti non equivale a sovranità: si tratta piuttosto di residenza con rischi non valutati.

Ciò che rende utile questo modello non è la sua complessità, bensì le domande che suscita. Quando un’organizzazione analizza per la prima volta la propria situazione attuale alla luce dei quattro pilastri, quasi sempre individua delle lacune di cui ignorava l’esistenza – non perché manchino i controlli, ma perché quelle domande non erano mai state poste.

La sovranità è una scala mobile

Un altro aspetto che vale la pena sottolineare: la sovranità non è uno stato binario. Non esiste una certificazione che la conceda né un unico modello di implementazione che la garantisca. È una posizione – un insieme di decisioni deliberate e verificabili. E il giusto livello di tale posizione varia a seconda dell’organizzazione, del carico di lavoro e di ciò che effettivamente si deve alle autorità di regolamentazione e ai clienti.

È proprio di questo equilibrio che si tratta quando si parla di “sovranità minima sostenibile” – argomento del secondo articolo di questa serie. La fiducia nelle autorità di regolamentazione si costruisce molto prima dell’audit vero e proprio, attraverso requisiti chiaramente definiti e non su presupposti legati alla posizione geografica. Scarica il Rapporto sulla preparazione alla sovranità digitale per conoscere il quadro di riferimento basato sui quattro pilastri e uno strumento pratico di autovalutazione.

Domande frequenti

D: Qual è la differenza tra residenza dei dati e sovranità digitale?

R: La residenza dei dati si concentra sul luogo in cui i dati sono fisicamente archiviati. La sovranità digitale va oltre, occupandosi di chi può accedere ai dati, delle modalità di gestione dei sistemi e dell’esposizione a giurisdizioni che potrebbero comportare rischi legali.

D: Perché la scelta della regione non è sufficiente a garantire la sovranità?

R: La scelta di un cloud riguarda solo l’aspetto geografico. Non risolve le questioni relative all’accesso operativo, all’esposizione ai rischi legali o alle capacità di ripristino.

D: Quali sono i quattro pilastri della sovranità digitale?

R: I quattro pilastri sono l’ubicazione dei dati, la sovranità tecnologica, la sovranità operativa e la sovranità giurisdizionale. Insieme, creano quello che riteniamo essere un quadro più completo per valutare il grado di preparazione in materia di sovranità.

D: Perché è difficile gestire la sovranità operativa?

R: La sovranità operativa comporta il monitoraggio di chi può accedere ai sistemi, da dove opera e in base a quale regime giuridico. Questi controlli sono più difficili da verificare rispetto ai semplici requisiti relativi all’ubicazione dei dati.

D: La sovranità digitale è una certificazione fissa?

A: No. La sovranità è un approccio continuo basato su decisioni deliberate e verificabili che variano a seconda dell’organizzazione, del carico di lavoro e del contesto normativo.

Ruben Renders è Solutions Director, MSP, presso Commvault.