Ovhcloud acquisisce Seald, società francese specializzata in tecnologie di crittografia end-to-end. Si tratta di un passo fondamentale nella strategia del gruppo che punta a offrire un cloud affidabile, in grado di combinare sicurezza e conformità normativa per i casi d’uso più critici.
Grazie all’offerta di Seald, infatti, Ovhcloud potrà ora integrare un componente tecnologico all’avanguardia per la protezione dei dati attraverso un modello “zero knowledge”.
Indice degli argomenti
Una tecnologia di crittografia semplificata per web app e mobile
Il modello consente di crittografare i contenuti prima dell’invio e possono essere decifrati esclusivamente dagli utenti finali sui loro dispositivi. Parliamo dunque di un sistema che rende inaccessibili le informazioni anche al fornitore di hosting. Non è un caso dunque che l’Sdk sviluppato da Seald abbia ottenuto il visto di sicurezza Cspn rilasciato dall’Ansii, l’Agenzia francese per la cybersicurezza.
Più nello specifico, il modello abilita una rapida integrazione della crittografia end-to-end nelle applicazioni web e mobile, senza richiedere competenze avanzate in ambito crittografico. Le soluzioni permettono la gestione dei diritti di accesso, la rotazione delle chiavi di crittografia, la gestione multi-dispositivo e il recupero sicuro delle chiavi private.
Rafforzare l’impegno nella protezione dei dati dei clienti
Attraverso questa acquisizione, Ovhcloud può integrare nativamente la crittografia end-to-end nel proprio catalogo, affiancandola alle soluzioni di sicurezza già esistenti (Secret Manager, Kms, Hsm) per offrire una catena di protezione completa, dal backend fino al terminale dell’utente.
La nuova offerta consentirà alle organizzazioni clienti di progettare una piattaforma tecnologica distintiva in grado di rispondere a casi d’uso ad altissima sensibilità, arricchendo e accelerando lo sviluppo di soluzioni ultra-sicure destinate ad aziende e organizzazioni pubbliche.
Cresce la richiesta di soluzioni di crittografia: la posizione di Privatim
La mossa di Ovhcloud si inserisce in uno scenario contraddistinto da una crescente diffidenza verso il concetto di mera residenza dei dati. Sono infatti, sempre più spesso, le stesse autorità di regolamentazione a chiedere il controllo sulle chiavi di crittografia dei propri dati.
Basti pensare che Privatim, un collettivo di responsabili della protezione dei dati degli enti locali svizzeri, ha invitato i propri datori di lavoro a evitare l’utilizzo di soluzioni internazionali di software-as-a-service per i dati governativi sensibili, a meno che le agenzie stesse non implementino per l’appunto la crittografia end-to-end. La risoluzione, emessa a fine novembre, ha citato specificamente Microsoft 365 come esempio delle tipologie di piattaforme che non sono all’altezza dei nuovi requisiti.
“La maggior parte delle soluzioni SaaS non offre ancora una vera crittografia end-to-end che impedirebbe al fornitore di accedere ai dati in chiaro”, si legge nella risoluzione dei responsabili della protezione dei dati svizzeri. “L’utilizzo di applicazioni SaaS comporta quindi una significativa perdita di controllo”.
Gli analisti affermano che questa perdita di controllo mina il concetto stesso di sovranità dei dati. “Quando un fornitore di servizi cloud riesce a decifrare i dati dei clienti, tramite procedimenti legali o meccanismi interni, i dati non sono più realmente sovrani”, conferma Sanchit Vir Gogia, analista capo di Greyhound Research.
La posizione svizzera non è isolata, precisa Gogia. In tutta Europa, Germania, Francia, Danimarca e la Commissione di Bruxelles hanno emesso avvertimenti o preso provvedimenti, evidenziando una perdita di fiducia nella neutralità degli hyperscaler di proprietà straniera. “La Svizzera si è distinta affermando esplicitamente ciò che altri hanno lasciato intendere: che il Cloud Act statunitense e il rischio di sorveglianza estera rendono le soluzioni cloud prive di crittografia end-to-end inadatte all’uso ad alta sensibilità nel settore pubblico”.
I nuovi rischi legati alla residenza dei dati
La risoluzione di Privatim ha individuato rischi che la residenza geografica dei dati, da sola, non può affrontare. Le aziende che operano a livello globale non offrono sufficiente trasparenza alle autorità per verificare il rispetto degli obblighi contrattuali, sostiene il gruppo. Questa opacità si estende alle implementazioni tecniche, alla gestione del cambiamento e al monitoraggio di dipendenti e subappaltatori che possono formare lunghe catene di fornitori di servizi esterni.
“Diversi clienti in Medio Oriente e in Europa hanno espresso preoccupazione per il fatto che, indipendentemente da dove siano archiviati i loro dati, questi possano comunque essere accessibili ai fornitori di servizi cloud, la maggior parte dei quali ha sede negli Stati Uniti”, spiega Ashish Banerjee, analista senior di Gartner, secondo cui i fornitori di software possono anche modificare unilateralmente e periodicamente i termini contrattuali, riducendo ulteriormente il controllo del cliente.
Prabhjyot Kaur, analista senior di Everest Group, precisa che la risoluzione di Privatim anticipa un giro di vite generalizzato verso i controlli di sovranità tecnica. “Sebbene la posizione svizzera sia più rigorosa della maggior parte, non rappresenta un caso isolato. Accelererà una svolta normativa più ampia verso i controlli di sovranità tecnica, anche nei mercati che ancora oggi si basano su garanzie contrattuali o procedurali”.
