Minimum Viable Sovereignty: Why the Right Posture Isn’t the Same for Every Organization

Punti di forza

• La sovranità minima necessaria (MVS) si concentra sull’applicazione del giusto livello di controllo ai carichi di lavoro appropriati.
• Trattare tutti i carichi di lavoro allo stesso modo può comportare complessità e costi superflui o una protezione insufficiente.
• Le organizzazioni rientrano in genere in tre profili di sovranità: sovranità totale, impresa regolamentata e multi-cloud ibrido.
• Una governance coerente in ambienti misti rappresenta una delle maggiori sfide operative.

Esiste una versione del dibattito sulla sovranità digitale che conduce le organizzazioni verso soluzioni costose, gravose dal punto di vista operativo e — se si vuole essere onesti — che vanno ben oltre quanto richiesto dai loro effettivi obblighi. La “massima sovranità” sembra una scelta responsabile. In pratica, spesso si tratta di una valutazione errata.

Esiste una versione altrettanto comune che porta a una situazione pericolosamente fragile — controlli che soddisfano una lista di controllo ma non reggerebbero a un audit, a un incidente o a un’autorità di regolamentazione che ha smesso di accettare l’intenzione documentata come prova di un controllo dimostrato.

Le organizzazioni che gestiscono correttamente la sovranità tendono ad adottare un approccio più rigoroso e più pratico rispetto a entrambi gli estremi: si chiedono cosa devono effettivamente garantire, a chi e per cosa. Quindi si strutturano secondo quello standard — né più, né meno.

Questa è la disciplina dell’MVS, introdotta nel Rapporto sulla Readiness per la sovranità digitale e approfondito in dettaglio qui.

MVS non è una scorciatoia. È la consapevolezza che l’obiettivo è il giusto livello di controllo, applicato in modo coerente a ogni carico di lavoro che lo richieda.

Non tutti i carichi di lavoro sono uguali

Il punto di partenza di un approccio MVS è la classificazione dei carichi di lavoro — e la maggior parte delle organizzazioni la tralascia completamente.

Un sistema di trading che elabora dati finanziari regolamentati comporta obblighi di sovranità fondamentalmente diversi rispetto a uno strumento interno di collaborazione per le risorse umane. Un database che contiene dati personali di cittadini dell’UE è soggetto a un regime giuridico e normativo diverso rispetto a un ambiente di sviluppo che utilizza dati di test anonimizzati.

Trattare tutti questi casi in modo identico — sia applicando i massimi controlli di sovranità in modo indiscriminato, sia partendo dal presupposto che un unico modello di implementazione sia sufficiente a coprire ogni esigenza — porta le organizzazioni a ritrovarsi con soluzioni eccessivamente complesse o, al contrario, insufficientemente protette.

La domanda giusta da porsi prima di qualsiasi decisione di implementazione è: quali sono i requisiti di questo carico di lavoro in relazione a ciascuno dei quattro pilastri della sovranità? Il Readiness Report include un’autovalutazione strutturata proprio attorno a questa domanda.

I tre profili – e ciò di cui hanno effettivamente bisogno

Le imprese soggette a regolamentazione rientrano in tre profili ben definiti, ciascuno con motivazioni principali e priorità di investimento diverse.

• Il vero sovrano. Agenzie governative, appaltatori del settore della difesa e gestori di infrastrutture nazionali critiche. Per queste organizzazioni, la sovranità non è un requisito di conformità, ma un imperativo operativo. Spesso la legge impone il massimo controllo su ogni aspetto dello stack tecnologico, e i compromessi in termini di costi vengono accettati perché l’alternativa non è praticabile.
• L’organizzazione soggetta a regolamentazione. Società di servizi finanziari, organizzazioni sanitarie, aziende del settore energetico. Queste organizzazioni devono rispettare i requisiti vincolanti previsti dal DORA, dalla NIS2, dal GDPR e dai quadri normativi specifici di settore. Gli obblighi di conformità possono inoltre ricadrere nell’ambito di schemi di certificazione dell’UE — tra cui EUCS, EUCC, BSI C5 e SecNumCloud — a seconda del settore e del contesto di implementazione.

In alcuni ambiti ciò è imprescindibile – in particolare per quanto riguarda la residenza dei dati, i controlli operativi sugli accessi e Recovery entro i confini giurisdizionali. Ma non tutti i carichi di lavoro comportano lo stesso obbligo.

• L’organizzazione ibrida multi-cloud. Si tratta di organizzazioni che hanno già investito in hyperscaler e che devono far fronte a crescenti pressioni in materia di sovranità da parte di clienti, autorità di regolamentazione o requisiti di approvvigionamento. La loro sfida non consiste in una migrazione totale, bensì nell’integrare controlli di sovranità in un ambiente misto e nel mantenere una governance coerente in tutto l’ambiente.

Il costo di una calibrazione errata

Un approccio eccessivo alla sovranità crea rischi operativi propri. Le organizzazioni che applicano controlli di sovranità massimi a carichi di lavoro che non li richiedono si accollano costi e complessità che non servono a nessuno scopo normativo o aziendale.

Un approccio insufficiente è la modalità di fallimento più comune, e anche la più pericolosa. In genere non si manifesta fino all’arrivo dell’audit – o, cosa ancora più grave, fino a quando non si verifica un incidente e Recovery diventa un problema soggetto a vincoli legali. (Tale modalità di fallimento è l’argomento delquarto articolo di questa serie.)

Un punto di partenza pratico

Un approccio MVS prevede tre passaggi:

1. Classificate i carichi di lavoro in base ai loro effettivi requisiti di sovranità in ciascun pilastro — non partite dai modelli di implementazione.
2. Mappare ciascuna classe di carico di lavoro al livello di implementazione che soddisfa tali requisiti, nell’intero spettro che va dalle regioni degli hyperscaler pubblici al cloud pubblico sovrano fino agli ambienti gestiti on-premise.
3. Gestire in modo coerente l’infrastruttura mista risultante: i controlli, le prove di audit e le capacità di Recovery devono essere dimostrabili in tutto l’ambiente, non solo nel livello con la massima sovranità.

È proprio la terza fase quella in cui la maggior parte dei programmi incontra difficoltà. Mantenere controlli di sovranità coerenti in un ambiente misto rappresenta una sfida di governance operativa – e in particolare rientra nell’ambito della sovranità operativa –argomento del terzo articolo di questa serie, il pilastro che la maggior parte delle strategie considera come un aspetto secondario.

Utilizzate l’autovalutazione contenuta nelRapporto sulla Readiness per la sovranità digitaleper individuare la vostra posizione attuale rispetto a tutti e quattro i pilastri.

Domande frequenti

D: Che cos’è la “sovranità minima funzionante” (MVS)?

A: L’MVS consiste nell’applicare controlli di sovranità in base alle effettive esigenze aziendali e normative. Ha lo scopo di evitare sia un eccesso di complessità che una protezione insufficiente.

D: Perché è importante la classificazione del carico di lavoro?

A: Carichi di lavoro diversi comportano obblighi normativi e operativi diversi. La classificazione dei carichi di lavoro aiuta le organizzazioni ad applicare il livello appropriato di controlli di sovranità.

D: Quali sono i tre profili di sovranità più comuni?

A: I tre profili sono: organizzazioni sovrane vere e proprie, organizzazioni regolamentate e organizzazioni ibride multi-cloud. Ciascuna di esse presenta requisiti operativi e di conformità distinti.

D: Quali rischi comporta un approccio eccessivamente ingegneristico alla sovranità?

A: Controlli eccessivi possono aumentare la complessità operativa e i costi senza garantire una conformità significativa né apportare valore aggiunto all’azienda.

D: Perché gli ambienti misti comportano sfide in termini di governance?

A: Le organizzazioni operano spesso su più modelli di cloud e infrastrutture. È difficile garantire la coerenza dei controlli, delle prove di audit e degli standard di Recovery in tutti gli ambienti.

Ruben Renders è direttore delle soluzioni MSP presso Commvault.