You Don’t Have a Sovereignty Strategy. You Have a Residency Policy.

Punti di forza

• La residenza dei dati indica il luogo in cui questi sono archiviati, ma la sovranità digitale richiede anche il controllo sull’accesso, sulle operazioni e una corretta comprensione delle implicazioni giurisdizionali.
• La sovranità operativa è spesso l’aspetto più debole e meno sottoposto a verifica della maggior parte dei programmi di sovranità.
• Una posizione di sovranità completa si basa su quattro pilastri: la località dei dati, la sovranità tecnologica, la sovranità operativa e la sovranità giurisdizionale.
• La sovranità non è una questione binaria; le organizzazioni devono definire una strategia in linea con i propri obblighi normativi e operativi.

Ecco una domanda su cui vale la pena riflettere: quando la vostra organizzazione ha preso la decisione sulla propria sovranità, cosa ha deciso esattamente? Per la maggior parte, la risposta è una variante della stessa cosa. Scegliere una regione. Spostare i carichi di lavoro. Scegliere un provider cloud con data center nel Paese. Spuntare la casella. La questione della collocazione dei dati ha trovato una risposta e il dibattito sulla sovranità è stato considerato chiuso. Ma non era finita. Era appena iniziata.

La residenza dei dati risponde a una domanda: dove? La sovranità digitale ne pone altre tre: chi, come e a quali condizioni? L’identificazione della residenza con la sovranità è comprensibile. Gli hyperscaler hanno fatto sì che la scelta della regione sembrasse una decisione di sovranità. Le checklist di conformità chiedono dove sono archiviati i dati. Le linee guida normative, almeno nelle loro prime versioni, si concentravano fortemente sull’aspetto geografico.

La scelta di una cloud sovrana è una questione seria: è importante, ha implicazioni operative ed è un primo passo necessario. Ma è solo un primo passo. E la maggior parte delle organizzazioni si è fermata lì.

A cosa non risponde il programma di residenza

Pensateci in questo modo: scegliere una regione cloud sovrana è come acquistare una cassaforte. Vi dice dove sono conservati i vostri oggetti di valore. Non dice nulla su chi possiede una copia della combinazione, chi ha prodotto la cassaforte, quali leggi nazionali regolano il produttore, né se potete aprirla se costretti a farlo.

La scelta della regione risponde a una domanda. Ne rimangono altre tre del tutto aperte – ed è proprio su queste che le autorità di regolamentazione, le commissioni di appalto e i revisori stanno ora ponendosi domande con crescente precisione:

• Chi può gestire il vostro ambiente e da dove? Il fatto che il personale di assistenza del vostro fornitore di servizi cloud sia soggetto a una giurisdizione straniera è una questione di sovranità che la residenza dei dati non può risolvere. Una finestra di manutenzione ordinaria eseguita da un tecnico di assistenza in una giurisdizione diversa è una via di accesso che la vostra politica di residenza non copre. Questo è il campo della sovranità operativa — il pilastro più difficile da verificare e quello più comunemente trascurato.
• In base a quale regime giuridico è possibile accedere ai vostri dati? Il fatto che un fornitore di tecnologia straniero gestisca le proprie infrastrutture sul territorio nazionale non esclude automaticamente l’applicazione della legislazione del proprio Paese d’origine. La portata extraterritoriale dei regimi giuridici stranieri rappresenta un rischio che la sola posizione geografica non può eliminare.
• È possibile recuperare i dati se qualcosa va storto? La maggior parte dei programmi di sovranità è incentrata sul controllo degli accessi. Sono pochissimi quelli che affrontano la questione del recupero – ovvero se i dati possano essere ripristinati in modo corretto, entro tolleranze definite, da personale che opera all’interno dei confini della propria sovranità. È proprio in questa lacuna che le strategie di sovranità falliscono più comunemente in condizioni reali.

Il quadro di riferimento che colma il divario

Una posizione di sovranità completa si articola su quattro pilastri interdipendenti. Il Rapporto sulla Readiness per la sovranità digitale – disponibile sureadiverse.com– ne illustra ciascuno in modo esaustivo. In breve:

• La località dei dati indica i percorsi effettivi seguiti dai dati e dai metadati.
• La sovranità tecnologica comprende il controllo sulla crittografia, la custodia delle chiavi e la portabilità dell’architettura.
• La sovranità operativa riguarda chi gestisce l’ambiente e da dove.
• La sovranità giurisdizionale definisce il quadro giuridico che disciplina e disciplina tutti gli aspetti sopra citati.

Nessun pilastro è sufficiente da solo. Una solida strategia di località dei dati accompagnata da controlli operativi carenti non equivale a sovranità: si tratta piuttosto di residenza con rischi non valutati.

Ciò che rende utile questo modello non è la sua complessità, bensì le domande che suscita. Quando un’organizzazione analizza per la prima volta la propria situazione attuale alla luce dei quattro pilastri, quasi sempre individua delle lacune di cui ignorava l’esistenza – non perché manchino i controlli, ma perché quelle domande non erano mai state poste.

La sovranità è una scala mobile

Un’altra cosa che vale la pena sottolineare: la sovranità non è uno stato binario. Non esiste una certificazione che la conceda né un unico modello di implementazione che la garantisca. È un approccio – un insieme di decisioni deliberate e verificabili. E il giusto livello di tale approccio varia a seconda dell’organizzazione, del carico di lavoro e di ciò che effettivamente si deve alle autorità di regolamentazione e ai clienti.

Tale calibrazione è proprio ciò che si intende per “sovranità minima praticabile” – l’argomento delsecondo articolo di questa serie. La fiducia nelle autorità di regolamentazione si costruisce molto prima dell’audit vero e proprio, attraverso requisiti chiaramente definiti e non su presupposti legati alla posizione geografica. Scarica ilRapporto sulla Readiness per la sovranità digitaleper conoscere il quadro di riferimento basato sui quattro pilastri e uno strumento pratico di autovalutazione.

Domande frequenti

D:Qual è la differenza tra residenza dei dati e sovranità digitale?

A:La residenza dei dati si concentra sul luogo in cui i dati sono fisicamente archiviati. La sovranità digitale va oltre, occupandosi di chi può accedere ai dati, delle modalità di gestione dei sistemi e dell’esposizione a giurisdizioni che potrebbero comportare rischi legali.

D: Perché la scelta della regione non è sufficiente a garantire la sovranità?

A:La scelta di una cloud riguarda solo l’aspetto geografico. Non risolve le questioni relative all’accesso operativo, all’esposizione ai rischi legali o alle capacità di ripristino.

D: Quali sono i quattro pilastri della sovranità digitale?

A:I quattro pilastri sono la località dei dati, la sovranità tecnologica, la sovranità operativa e la sovranità giurisdizionale. Insieme, creano quello che riteniamo essere un quadro più completo per valutare il grado di preparazione in materia di sovranità.

D: Perché è difficile gestire la sovranità operativa?

A:La sovranità operativa comporta il monitoraggio di chi può accedere ai sistemi, da dove opera e in base a quale regime giuridico. Questi controlli sono più difficili da verificare rispetto ai semplici requisiti relativi all’ubicazione dei dati.

D: La sovranità digitale è una certificazione definitiva?

A:No. La sovranità è un approccio continuo basato su decisioni deliberate e verificabili che variano a seconda dell’organizzazione, workload e del contesto normativo.

Ruben Renders è direttore delle soluzioni MSP presso Commvault.