La sovranità dei dati è diventata una questione di sicurezza, prima ancora che di localizzazione geografica. Per le aziende non basta sapere in quale Paese vengono conservate le informazioni: occorre conoscere chi può accedervi, quali tecnologie le elaborano e chi mantiene il controllo operativo quando si verifica un incidente informatico.
È una distinzione fondamentale in un mercato nel quale piattaforme cloud, servizi gestiti e strumenti di intelligenza artificiale hanno moltiplicato le interdipendenze tecnologiche. E nel quale la scelta di un fornitore di cyber security può incidere direttamente sull’autonomia decisionale dell’impresa.
Indice degli argomenti
Sovranità dei dati: perché la localizzazione geografica non basta
La sovranità dei dati viene spesso ricondotta alla possibilità di conservarli all’interno dell’Unione europea. È una condizione rilevante, soprattutto per le organizzazioni soggette a requisiti normativi stringenti, ma rappresenta soltanto una parte del problema.
Un’infrastruttura ospitata in Europa può dipendere da servizi di amministrazione remota, assistenza tecnica o elaborazione delle informazioni erogati da altri Paesi. Allo stesso modo, la collocazione dei server non chiarisce necessariamente quale soggetto giuridico controlli il servizio e quali legislazioni possano incidere sull’accesso ai dati.
Come osserva Gianluca Meomartini, VP of Sales di Bitdefender, «La collocazione di un data center indica dove sono conservate le informazioni. Non chiarisce completamente chi possa accedervi, dove vengano analizzate o quale soggetto giuridico controlli il servizio».
Il punto è comprendere quanto controllo l’organizzazione riesca effettivamente a esercitare sulle proprie informazioni, anche quando affida a soggetti esterni una parte delle attività tecnologiche.
Le quattro dimensioni della sovranità digitale
Per valutare questo controllo occorre considerare quattro dimensioni strettamente collegate: dati, tecnologia, operazioni e giurisdizione.
La prima riguarda l’intero ciclo di vita delle informazioni, dalla raccolta alla cancellazione. La seconda comprende le piattaforme utilizzate, le loro dipendenze e la possibilità di sostituirle. La terza riguarda chi amministra i sistemi, gestisce gli accessi e interviene durante un incidente. La quarta, infine, considera le norme applicabili ai fornitori e alle rispettive società controllanti.
Non è quindi sufficiente verificare dove risiedano i dati. Bisogna conoscere anche chi detiene le chiavi crittografiche, chi può autorizzare un accesso privilegiato e quali soggetti possono intervenire in condizioni di emergenza.
Una valutazione completa dovrebbe comprendere anche la possibilità di cambiare fornitore senza perdere configurazioni, registrazioni degli eventi e informazioni necessarie alla continuità operativa.
Il rischio di dipendenza tecnologica non è necessariamente legato alla nazionalità del provider. Diventa concreto quando l’organizzazione non può verificare, modificare o sostituire le componenti essenziali del servizio.
Cyber security e sovranità dei dati: il problema della telemetria
Uno degli aspetti meno evidenti della sovranità digitale riguarda proprio gli strumenti utilizzati per proteggere le infrastrutture aziendali.
Le piattaforme EDR (Endpoint Detection and Response), XDR (Extended Detection and Response) e i servizi MDR (Managed Detection and Response) raccolgono informazioni sulle attività dei sistemi, sulle connessioni di rete e sui comportamenti potenzialmente malevoli.
Questa telemetria è indispensabile per individuare gli attacchi, ricostruirne la sequenza e supportare le indagini. Ma può contenere anche informazioni particolarmente delicate.
«I log possono rivelare identità, nomi dei dispositivi, percorsi dei file, attività applicative e struttura dell’infrastruttura», sottolinea Meomartini.
La conseguenza è che i dati generati dalle tecnologie di sicurezza devono essere sottoposti a controlli non meno rigorosi di quelli applicati alle altre informazioni aziendali.
Come mantenere il controllo sui dati di sicurezza
Un’azienda dovrebbe conoscere quali informazioni vengono raccolte dai propri strumenti di protezione, dove sono elaborate, per quanto tempo vengono conservate e quali soggetti possono consultarle.
La verifica non può limitarsi ai log principali. Deve comprendere file diagnostici, campioni sospetti, ticket di assistenza, backup e informazioni condivise con piattaforme integrate.
Particolare attenzione meritano le funzionalità basate sull’intelligenza artificiale. Quando un sistema utilizza modelli esterni per analizzare eventi o automatizzare attività, occorre verificare quali dati vengano trasmessi, dove siano elaborati e se possano essere riutilizzati per l’addestramento.
Dal punto di vista operativo, diventano essenziali la minimizzazione delle informazioni raccolte, la cifratura, la limitazione degli accessi privilegiati e la registrazione delle attività amministrative.
È altrettanto importante verificare periodicamente le configurazioni effettive. Una piattaforma inizialmente conforme ai requisiti aziendali potrebbe modificare nel tempo integrazioni, subfornitori o modalità di trattamento.
Threat intelligence globale e controllo locale: un equilibrio possibile
La necessità di mantenere i dati entro un determinato perimetro geografico solleva una questione tecnica: come conciliare la sovranità delle informazioni con l’efficacia di sistemi di sicurezza che devono riconoscere minacce provenienti da tutto il mondo?
La risposta passa dalla distinzione tra le informazioni sulle minacce e i dati specifici dell’organizzazione.
La threat intelligence può comprendere indicatori di compromissione, infrastrutture malevole, tecniche di attacco e regole di rilevamento. Queste conoscenze possono essere distribuite globalmente senza richiedere necessariamente il trasferimento all’estero della telemetria riconducibile a un singolo cliente.
«Un’organizzazione può utilizzare informazioni sulle minacce osservate nel mondo mantenendo i propri dati sensibili e le indagini entro un perimetro operativo europeo definito», spiega Meomartini.
Per realizzare questo modello è però necessario verificare dove avvengano le attività di correlazione degli eventi, quali dati raggiungano i servizi esterni e chi possa accedere alle evidenze raccolte.
Il controllo deve estendersi ai connettori, alle integrazioni cloud e alle attività degli analisti incaricati della risposta agli incidenti.
Il rischio di sacrificare la capacità di rilevamento
La sovranità non dovrebbe tradursi in una riduzione indiscriminata delle informazioni disponibili ai sistemi di sicurezza.
Limitare i flussi di telemetria senza comprenderne il ruolo potrebbe compromettere la capacità di riconoscere un attacco distribuito su endpoint, identità e workload cloud.
Il problema, quindi, non è raccogliere meno dati a prescindere, ma stabilire quali siano realmente necessari, dove possano essere trattati e con quali garanzie.
Per un CISO questo significa valutare la sovranità insieme all’efficacia della detection, ai tempi di risposta e alla disponibilità del servizio. Una soluzione geograficamente controllata, ma incapace di individuare tempestivamente un movimento laterale o un’esfiltrazione, non rappresenterebbe un miglioramento della sicurezza.
GDPR, NIS2 e DORA: dalla conformità alla governance dei fornitori
La crescente attenzione verso la sovranità digitale è alimentata anche dall’evoluzione del quadro normativo europeo.
Il GDPR disciplina la protezione dei dati personali e le condizioni dei trasferimenti internazionali. La direttiva NIS2 rafforza gli obblighi di gestione del rischio cyber, compresa la sicurezza della catena di approvvigionamento, per i soggetti che rientrano nel suo ambito. DORA introduce requisiti specifici di resilienza operativa digitale e gestione dei rischi ICT di terze parti nel settore finanziario.
Queste normative non impongono indistintamente a tutte le imprese di utilizzare tecnologie europee o conservare ogni informazione esclusivamente nell’Unione.
Il loro effetto è piuttosto quello di rendere più importante la capacità di dimostrare come vengono governati i rischi derivanti dai fornitori.
Per le aziende significa poter documentare i luoghi di trattamento, i soggetti coinvolti, le procedure di gestione degli incidenti e le misure previste per garantire la continuità operativa.
La scelta di una piattaforma di cyber security sovrana può contribuire a soddisfare determinati requisiti organizzativi, ma non sostituisce la valutazione degli obblighi applicabili né l’attuazione dei controlli necessari.
Le verifiche che un CISO dovrebbe richiedere
La valutazione di un fornitore dovrebbe partire dalla documentazione dei flussi informativi, comprendendo produzione, backup, assistenza e gestione degli incidenti.
Occorre poi verificare proprietà e dipendenze della piattaforma, localizzazione degli amministratori e degli analisti, responsabilità sulle chiavi crittografiche e condizioni contrattuali applicabili.
Le certificazioni possono rappresentare elementi utili, purché il loro ambito comprenda effettivamente il servizio e i controlli oggetto della valutazione.
Altrettanto importanti sono i diritti di audit, la comunicazione delle modifiche sostanziali e le procedure di uscita dal contratto.
Una verifica particolarmente significativa consiste nel simulare un incidente grave, accertando chi possa autorizzare il contenimento, quali team intervengano fuori orario e come vengano gestiti ripristino ed evidenze investigative.
La sovranità diventa così una caratteristica verificabile dell’architettura e delle operazioni, non una semplice clausola contrattuale.
Cyber security sovrana: il modello europeo e il caso Bitdefender-Aruba
La ricerca di maggiore autonomia digitale sta favorendo modelli nei quali infrastruttura cloud, piattaforma di sicurezza e gestione operativa vengono organizzate secondo requisiti geografici e giuridici definiti.
In questo contesto si inserisce l’approccio sviluppato da Bitdefender, che combina la piattaforma GravityZone con infrastrutture europee e modalità operative governate nell’Unione.
GravityZone integra funzionalità di prevenzione, protezione degli endpoint e rilevamento e risposta, con capacità EDR e XDR in funzione della configurazione adottata.
Il modello EU Sovereign MDR estende invece i requisiti di sovranità alle attività di monitoraggio, indagine e risposta gestite, secondo il perimetro previsto dal servizio.
La distinzione è importante: la localizzazione della piattaforma non implica automaticamente che tutte le attività operative, le integrazioni e i servizi di assistenza seguano gli stessi vincoli. Questi aspetti devono essere verificati per ciascuna implementazione.
La collaborazione con Aruba per il mercato italiano
Un’applicazione di questo approccio è rappresentata dalla collaborazione annunciata tra Bitdefender e Aruba.
Il modello prevede l’utilizzo dell’infrastruttura cloud di Aruba per ospitare GravityZone, mentre Bitdefender mantiene il controllo operativo della piattaforma e, secondo quanto dichiarato dall’azienda, la gestione esclusiva dei dati cifrati dei clienti.
L’accordo prevede inoltre un perimetro europeo per l’accesso, il trasferimento e l’elaborazione dei dati dei clienti, delle configurazioni, degli eventi di sicurezza e della telemetria.
Per le imprese italiane si tratta di un’opzione che consente di valutare una piattaforma di cyber security ospitata nel Paese, con una distinzione delle responsabilità tra il provider infrastrutturale e il fornitore delle tecnologie di sicurezza.
Rimane comunque necessario verificare il perimetro effettivo del servizio, soprattutto quando vengono coinvolti strumenti integrati o attività di sicurezza gestita.
Il principio vale per qualsiasi soluzione presentata come sovrana: le garanzie devono essere riferite alla configurazione realmente adottata, non attribuite automaticamente all’intera offerta del fornitore.
Sovranità dei dati: da dove dovrebbero partire le aziende italiane
Per rafforzare la sovranità delle informazioni non è necessario partire dalla sostituzione immediata delle infrastrutture esistenti.
Il primo passo consiste nell’identificare i dati e i processi la cui compromissione avrebbe le conseguenze più gravi sulla continuità aziendale, sulla riservatezza delle informazioni e sulla capacità di rispettare gli obblighi normativi.
Occorre quindi ricostruire i flussi, individuare fornitori e subfornitori, verificare gli accessi privilegiati e comprendere quali decisioni debbano rimanere sotto il controllo diretto dell’organizzazione.
Solo successivamente diventa possibile definire requisiti geografici, giuridici e operativi coerenti con il rischio effettivo.
Nella selezione dei provider andrebbero considerate insieme l’efficacia della protezione, la trasparenza delle operazioni, la disponibilità delle evidenze e la possibilità di migrare verso altri servizi.
Una transizione graduale, verificata su sistemi rappresentativi, consente inoltre di individuare problemi di integrazione prima che possano compromettere la copertura di sicurezza.
Il punto conclusivo riguarda la responsabilità aziendale. Esternalizzare le attività di cyber security non significa trasferire integralmente al fornitore la gestione del rischio.
La sovranità dei dati deve quindi essere considerata una componente della governance della sicurezza: un insieme di decisioni tecniche, organizzative e contrattuali che permettono all’impresa di conoscere e governare le proprie dipendenze.
È su questa capacità di controllo, più che sulla sola posizione geografica dei server, che si misura la reale autonomia digitale di un’organizzazione.
Contributo redazionale realizzato in collaborazione con Bitdefender
Partecipa alla community