Le tre domande
Dove risiedono i dati?
La residenza dei dati è la parte più semplice: la regione in cui i dati vengono conservati e trattati. Oggi si possono tenere i dati in Svizzera con i grandi provider (AWS ha una regione a Zurigo, Microsoft Azure le regioni Switzerland North e Switzerland West, Google Cloud una regione a Zurigo) e con fornitori svizzeri come Infomaniak, Exoscale o Swisscom. Le regioni UE sono un'opzione quando la residenza in Svizzera non è richiesta.
La residenza deve coprire tutto, non solo il database principale: backup, log, dati di monitoraggio, indici di ricerca e copie fatte per l'assistenza. Ogni servizio gestito ha le sue regole su dove vanno i suoi dati: vanno verificate una per una.
Chi detiene le chiavi?
La cifratura dei dati a riposo è ormai standard. Conta chi controlla le chiavi:
- Chiavi gestite dal provider: proteggono dal furto di un disco, non dall'accesso tramite il provider.
- Chiavi gestite dal cliente nel servizio di gestione chiavi del provider: danno controllo su uso e rotazione, con una traccia degli accessi.
- Chiavi custodite fuori dal provider, in un proprio HSM o in un gestore di chiavi esterno: offrono la separazione più forte, al prezzo di maggiori responsabilità operative.
Il livello va scelto per insieme di dati, secondo la loro sensibilità, e non con un'unica risposta per tutto.
Quale giurisdizione si applica?
È la domanda a cui la sola residenza dei dati non risponde. Un provider con sede negli Stati Uniti resta soggetto al diritto statunitense, compreso il CLOUD Act, che può obbligarlo a consegnare dati sotto il suo controllo anche se conservati all'estero. I provider con sede in Svizzera o nell'UE sono soggetti ai propri ordinamenti. Conta anche il contratto: diritto applicabile, foro competente e modalità con cui il fornitore gestisce le richieste delle autorità.
Questo non rende inutilizzabili i provider globali. Significa che il rischio va valutato e documentato, e che i dati più sensibili possono stare meglio presso un fornitore la cui giurisdizione corrisponde ai vostri obblighi, oppure sulla vostra infrastruttura.
Scegliere tra fornitori svizzeri, europei e globali
| Criterio | Hyperscaler globale, regione svizzera | Fornitore svizzero o europeo |
|---|---|---|
| Ampiezza dei servizi gestiti | Molto ampia | Più ridotta, centrata sull'infrastruttura |
| Giurisdizione del fornitore | Di solito capogruppo statunitense | Svizzera o UE |
| Ecosistema e competenze sul mercato | Molto ampi | Più ridotti |
| Adatto a dati molto sensibili | Richiede gestione attenta delle chiavi e valutazione del rischio | Spesso più semplice da giustificare |
Molte aziende arrivano a un modello misto: dati di business e carichi sensibili presso un fornitore svizzero o in una regione svizzera con chiavi in mano al cliente, carichi meno sensibili dove i servizi sono migliori. Quello che conta è che la regola sia esplicita e scritta, applicazione per applicazione.
Regole di sovranità, scritte per ogni applicazione
Per ogni applicazione nel perimetro documentate:
- Le classi di dati che tratta e la loro sensibilità.
- La regione per dati primari, backup e log.
- Il livello di gestione delle chiavi.
- Fornitore e sub-responsabili, con la loro giurisdizione e le garanzie contrattuali.
- Gli accessi amministrativi: chi accede alla produzione, come, e come viene registrato.
- Il piano di uscita: come spostare dati e carichi se il fornitore andasse cambiato.
Questo documento risponde direttamente alla maggior parte delle domande di audit e questionari, ed è la base di ogni decisione successiva. Si sovrappone naturalmente agli obblighi descritti nella nostra checklist su nLPD e GDPR.
La portabilità fa parte della sovranità
Sovranità è anche poter andarsene. Carichi impacchettati in container, infrastruttura descritta come codice e dati in formati aperti tengono sotto controllo i costi di un cambio. I servizi gestiti proprietari non sono vietati, spesso sono la scelta più efficiente, ma ognuno deve essere una decisione consapevole, con una nota su quanto costerebbe uscirne.
Da dove partire
Si parte da un inventario: applicazioni, classi di dati, hosting attuale, fornitori. Poi si scrivono le regole di sovranità per una prima applicazione e la si migra da cima a fondo, controlli compresi. La prima fa da modello per le altre. Il nostro servizio di cloud sovrano e cybersecurity segue esattamente questa sequenza.