La sovranità dei dati, uno degli aspetti della sovranità digitale, è un tema sempre più rilavante per autorità, organizzazioni e aziende, non da ultimo a causa della dipendenza dai fornitori globali di servizi cloud e dai requisiti regolatori sempre più severi. Nel valutare gli ambienti di lavoro digitali, i responsabili devono quindi chiedersi dove vengano archiviati i dati sensibili e molti optano per un’ubicazione dei dati in Europa. Per raggiungere una reale sovranità dei dati è però anche necessario sapere se i contenuti sono leggibili dal punto di vista tecnico, essere al corrente di chi controlla le chiavi e di quali funzioni sono disponibili per gestire ruoli, autorizzazioni e tracciabilità.
Un’autorità cantonale sta preparando un nuovo programma di incentivazione. Diversi team lavorano a richieste, valutazioni interne e documentazione contrattuale. Esperti esterni devono verificare singoli documenti, un servizio di consulenza legale accompagna il processo e un partner di ricerca fornisce ulteriori valutazioni. Per la collaborazione si prevede di utilizzare un’applicazione basata sul cloud. Nella scelta della soluzione più adatta, per l’autorità cantonale l’ubicazione dei dati costituisce un primo criterio logico. I dati devono essere archiviati in Svizzera o in un altro Paese europeo, in base al fabbisogno di protezione richiesto dalle informazioni sensibili e alle disposizioni vigenti per le autorità.
Molte organizzazioni adottano un approccio simile quando valutano applicazioni basate sul cloud. L’archiviazione dati in Svizzera o in Europa trasmette una sensazione di sicurezza sufficiente e contribuisce a soddisfare i requisiti regolatori e le direttive interne. Si tratta di una base importante, ma la sola ubicazione non basta a garantire una conservazione sicura dei dati.
La sola ubicazione non garantisce di per sé il controllo
Un altro fattore determinante è la giurisdizione cui è soggetto il fornitore. Il luogo di archiviazione e la giurisdizione a cui è soggetto il fornitore, infatti, non devono necessariamente coincidere. Anche se i dati vengono archiviati in Svizzera o in un altro Paese europeo, un fornitore attivo a livello internazionale può essere soggetto a un ordinamento diverso che riconosce alle autorità il diritto di accedere ai dati o di richiederne la consegna.
Nel dibattito sulla sovranità dei dati viene spesso citato il CLOUD Act. Questa legge consente alle autorità di perseguimento penale statunitensi di richiedere, sulla base di disposizioni emesse da un tribunale, la trasmissione dei dati dei fornitori di servizi cloud e di comunicazione soggetti alla giurisdizione degli Stati Uniti, anche quando i dati sono archiviati al di fuori del Paese stesso. Misure organizzative e contrattuali possono limitare questo rischio, ma non possono escludere un obbligo giuridico di consegna.
Un’applicazione basata sul cloud e l’infrastruttura cloud sottostante devono essere prese in considerazione separatamente. Nel caso dell’applicazione di un fornitore europeo, ad esempio, può assumere rilievo anche l’infrastruttura cloud statunitense su cui essa si basa. Quali dati il rispettivo fornitore possa effettivamente leggere ed eventualmente trasmettere dipende dalla forma in cui tali dati sono a disposizione e da chi controlla le chiavi necessarie per decifrarli.
La domanda chiave è: chi può leggere i dati?
Per garantire la riservatezza dei contenuti sensibili è quindi determinante sapere chi, lungo la catena di elaborazione, può accedere ai contenuti in chiaro o alle chiavi crittografiche. Questo non è un aspetto rilevante soltanto in caso di richieste da parte dello Stato. Anche in caso di attacchi informatici contro le applicazioni basate sul cloud o l’infrastruttura sottostante, un rischio ormai all’ordine del giorno, l’architettura tecnica fa la differenza: stabilisce infatti se i contenuti sottratti siano effettivamente leggibili da chi li ha acquisiti illecitamente.
Nel processo di selezione l’autorità deve pertanto porsi una seconda domanda: chi potrebbe accedere a contenuti in chiaro? È proprio qui che emerge chiaramente la differenza tra residenza dei dati e controllo tecnico degli stessi.
Il controllo nasce dall’architettura
Una crittografia adeguata e una gestione delle chiavi strutturata secondo il principio della conoscenza zero si integrano a vicenda quando si tratta di limitare tecnicamente l’accesso ai contenuti in chiaro:
- Una crittografia adeguata protegge i contenuti garantendo che solo le persone autorizzate possano decifrare e leggere i dati.
- Nel principio della conoscenza zero, la gestione delle chiavi è concepita in modo che il fornitore non possa accedere alle chiavi crittografiche necessarie per la decodifica. In questo modo non può visualizzare in chiaro i contenuti salvati nel cloud.
Nel frattempo l’autorità ha optato per un ambiente di lavoro digitale che combina collaborazione e sovranità dei dati. La responsabile di progetto allestisce un’area di lavoro protetta per il programma di incentivazione e assegna le autorizzazioni adeguate ai team interni, alle esperte e agli esperti esterni nonché alla consulenza legale. Qui le richieste, le valutazioni e le bozze di contratto non solo vengono archiviate, ma anche verificate, condivise e rielaborate, senza circolare in modo incontrollato tramite e-mail, copie salvate in locale o link aperti a chiunque.
La soluzione codifica i contenuti sui dispositivi degli utenti autorizzati ancora prima che vengano trasmessi. Se un ente esterno dovesse richiedere dati al fornitore, quest’ultimo non sarebbe in grado di fornire contenuti leggibili in quanto non dispone delle chiavi necessarie alla decodifica.
Data governance e semplicità d’uso: per un controllo efficace nel lavoro quotidiano
Il fatto che il fornitore non possa leggere i contenuti non risponde però ancora a tutte le esigenze quotidiane del progetto. Non appena le persone autorizzate collaborano tra loro, sono infatti necessarie regole chiare in materia di controllo, responsabilità e tracciabilità. Le organizzazioni devono poter stabilire chi può visualizzare, elaborare o condividere determinate informazioni, in che modo avvengono le approvazioni e come possono essere verificati gli accessi. Devono inoltre poter adattare queste regole in modo dettagliato ai ruoli, alle fasi di progetto e alle esigenze di protezione. Infine, ma non meno importante, la soluzione deve essere semplice da utilizzare, affinché i processi sicuri vengano effettivamente applicati nella quotidianità lavorativa e gli utenti non ripieghino su soluzioni alternative non sicure.
Sulla base tecnica della crittografia end-to-end e del principio della conoscenza zero, i modelli dei ruoli, i processi di approvazione, la tracciabilità e la semplicità d’uso permettono di attuare la sovranità dei dati anche nella quotidianità lavorativa. Consentono di gestire in modo mirato gli accessi interni ed esterni, limitare nel tempo le autorizzazioni, revocarle quando necessario e documentare le attività in modo trasparente. Queste funzioni rendono gli accessi verificabili e supportano la data governance.
Nell’ambito del progetto di incentivazione, la persona incaricata della valutazione esterna ha accesso solo a determinate richieste. La consulenza legale lavora esclusivamente con i documenti contrattuali e il partner di ricerca può visualizzare ed elaborare soltanto determinati dati di progetto. Non appena le verifiche sono concluse, l’autorità revoca i diritti esterni e può successivamente ricostruire, sulla base di protocolli, quali accessi e attività sono stati effettuati.
Conclusioni
L’archiviazione dei dati in Svizzera o in un altro Paese europeo crea fiducia e aiuta a soddisfare i requisiti regolatori e le disposizioni interne. La sovranità dei dati, però, non si ferma ai confini di un centro di calcolo: dipende da chi è in grado di leggere i contenuti, da chi controlla le chiavi e da come vengono gestiti gli accessi nella quotidianità. Le organizzazioni che elaborano dati sensibili nei processi digitali non dovrebbero quindi limitarsi a chiedersi dove vengano archiviati. Altrettanto importante è il modo in cui una soluzione implementa sul piano tecnico la crittografia, il controllo delle chiavi e la gestione degli accessi. Solo allora la promessa relativa all’ubicazione dei dati si traduce in un vero e proprio controllo sugli stessi.
Come è possibile mantenere il controllo sui dati sensibili anche quando collaborano team, partner esterni e fornitori di servizi?
Scoprite come Tresorit, un’azienda della Posta, supporta la collaborazione sicura e la sovranità dei dati tramite un approccio by design, grazie alla residenza dei dati in Svizzera o in un altro Paese europeo, al principio della conoscenza zero, alla crittografia end-to-end e a funzionalità che agevolano la compliance e una data governance verificabile nell’ambito di audit.
