La sovranità dei dati è rimasta per molti anni un tema poco considerato, nonostante l’entrata in vigore del GDPR nel 2018. Oggi, però, in un contesto sempre più complesso — caratterizzato da ambienti dati in continua evoluzione, normative articolate e tensioni geopolitiche — la sovranità dei dati rappresenta uno strumento prezioso per gestire e ridurre, almeno in parte, questi rischi.
Indice degli argomenti
Normative, geopolitica e nuovi rischi
Molte organizzazioni hanno ormai compreso le sfumature che questo approccio introduce rispetto all’intricata rete di leggi a cui i dati sono sottoposti, leggi che variano non solo in base al tipo di dato, ma anche alla fase del suo ciclo di vita e al luogo in cui si trova. Tuttavia, l’implementazione pratica è ancora agli inizi.
Un concetto ancora poco compreso nelle aziende
Va detto, inoltre, che anche la comprensione generale del concetto di sovranità dei dati è ancora limitata. È comprensibile: il legame tra sovranità dei dati e gestione dei dati non è sempre immediato. Questo rende spesso difficile per le organizzazioni integrarla nei processi operativi e nella pianificazione dei rischi, mantenendo al tempo stesso il giusto equilibrio tra controllo e conformità. È una sfida complessa, ma necessaria se le aziende vogliono rispondere alle proprie esigenze di sovranità dei dati senza compromettere le misure già in atto per la sicurezza e la resilienza delle informazioni. Un’equazione difficile, certo, ma tutt’altro che impossibile.
Dati ovunque: la crescita dei volumi e la sfida del controllo
Prima che le organizzazioni possano costruire una strategia di sovranità davvero resiliente, devono prima avere il pieno controllo dei propri dati. E non è affatto semplice. Solo nel 2024 sono stati creati, acquisiti, copiati e utilizzati 149 zettabyte di dati, una cifra destinata a salire a 181 zettabyte entro la fine del 2025. Se si considera poi che quest’anno solo il 19% delle imprese dell’UE ha utilizzato soluzioni di intelligenza artificiale (secondo l’Unione Europea), è facile immaginare quanto questo volume sia destinato a crescere ulteriormente.
Resilienza oltre i firewall
Garantire la resilienza di tutti questi dati va ben oltre l’installazione di firewall. Significa assicurare la continuità operativa attraverso backup solidi, una portabilità dei dati flessibile e una governance rigorosa dell’intero ciclo di vita delle informazioni. Tuttavia, quando si parla di sovranità dei dati, molte organizzazioni reagiscono con eccessiva cautela, imponendo restrizioni che possono soddisfare i requisiti di conformità, ma a discapito della portabilità e della sicurezza dei dati stessi.
La portabilità come requisito strategico
Perché se è vero che la resilienza dei dati viene spesso associata a backup, ripristino e continuità operativa, è altrettanto vero che dipende anche dalla portabilità. I dati devono poter essere trasferiti facilmente verso sedi alternative, se necessario, per motivi di sicurezza. Ma quando vengono eccessivamente vincolati da misure di sovranità dei dati poco ponderate, questo diventa rapidamente un problema.
Sovranità non significa chiudere tutto on-premise
Ecco perché, come dimostrano le nuove disposizioni sulla sovranità dei flussi di dati legati all’AI introdotte da normative emergenti come l’EU Data Act e l’EU AI Act, la sovranità non significa semplicemente “chiudere” i dati all’interno di un’unica soluzione on-premise. Una strategia di sovranità dei dati realmente resiliente tiene conto dei vincoli normativi, bilanciandoli con le esigenze specifiche di resilienza, la propensione al rischio e le necessità operative di un’organizzazione lungo l’intero ciclo di vita dei dati. Ma come riuscirci?
Un tema complesso, ma con molte opzioni disponibili
La sovranità dei dati è — come abbiamo già visto — un tema complesso e articolato. Fortunatamente, però, esiste un ampio spettro di soluzioni tra cui le organizzazioni possono scegliere per trovare il giusto equilibrio tra controllo, costi e agilità.
Quando serve controllo estremo: l’opzione on-premise
Nei casi in cui è indispensabile esercitare un controllo estremo sia sulla localizzazione dei dati sia sulla loro sovranità, le soluzioni on-premise rappresentano l’opzione più solida, poiché i dati restano completamente sotto il controllo dell’organizzazione. Tuttavia, questa scelta comporta spesso dei compromessi sul fronte della sicurezza e può incidere in modo significativo sulla portabilità dei dati.
Cloud sovrano: vantaggi e dipendenza dal fornitore
All’estremo opposto dello spettro, le organizzazioni possono optare per soluzioni di cloud sovrano, ovvero ambienti di cloud computing ospitati da provider specializzati. Queste soluzioni possono essere adatte a realtà con requisiti di conformità meno stringenti, ma comportano una maggiore dipendenza dal fornitore, che deve garantire che i dati restino entro i confini geografici previsti dalle normative applicabili.
Soluzioni ibride: la via di mezzo più flessibile
Per le organizzazioni che cercano una via di mezzo tra questi due approcci, e desiderano personalizzare le proprie soluzioni in base al contesto specifico, esistono le soluzioni ibride. Queste combinano i vantaggi della gestione demandata al cloud con la possibilità di mantenere un elevato livello di controllo. Molti fornitori di questo tipo di soluzioni sono specializzati in determinate aree geografiche, supportando così i requisiti di residenza regionale dei dati.
Il vero nodo: trovare l’equilibrio tra controllo, costi e agilità
Comprendere le diverse opzioni disponibili è però solo il primo passo. Per sviluppare una strategia di sovranità dei dati che sia realmente allineata alle soluzioni di resilienza, le organizzazioni devono valutare attentamente il proprio equilibrio tra controllo, costi e agilità. Per alcune realtà, l’on-premise può risultare troppo rigido e costoso; per altre, soprattutto in presenza di requisiti di conformità particolarmente sensibili, può invece rappresentare la scelta migliore. In ogni caso, prima di adottare una soluzione, è fondamentale avere una chiara consapevolezza delle proprie esigenze di sovranità dei dati lungo l’intero ciclo di vita, fino al livello di dettaglio più granulare.
Il ciclo di vita del dato
Una strategia di sovranità dei dati davvero resiliente deve coprire l’intero ciclo di vita del dato, tenendo conto dei cambiamenti di contesto che si verificano lungo il percorso. Ogni fase — dalla creazione e raccolta, all’ingestione, archiviazione, elaborazione e condivisione, fino alla cancellazione — presenta esigenze specifiche in termini di sicurezza e sovranità.
Creazione e raccolta: proprietà, liceità e regole GDPR
Nelle fasi iniziali di creazione e raccolta, sicurezza e sovranità devono tenere conto della corretta acquisizione e della documentazione della proprietà dei dati, garantendo una raccolta lecita e il rispetto delle rigorose regole di conservazione stabilite dal GDPR.
Archiviazione: crittografia, accessi e tracciabilità
L’archiviazione deve inoltre prevedere meccanismi solidi di crittografia, controllo degli accessi e tracciabilità, per soddisfare non solo i requisiti di sovranità, ma anche quelli di sicurezza.
Elaborazione: monitoraggio continuo e conformità alle giurisdizioni
Man mano che i dati passano alla fase di elaborazione, la tracciabilità resta un elemento essenziale, con un monitoraggio continuo richiesto dalle normative sulla sovranità per assicurare un utilizzo lecito e la conformità alle giurisdizioni di riferimento.
Processi strutturati per evitare costi e cancellazioni “alla cieca”
Gestire in modo strutturato l’intero ciclo di vita dei dati sta diventando sempre più cruciale per le aziende, soprattutto perché l’intelligenza artificiale continua ad alimentare una crescita rapida dei volumi di dati.
Senza processi adeguati, questo può tradursi in un aumento esponenziale dei costi. Questi processi forniscono anche un contesto fondamentale, permettendo alle organizzazioni di comprendere realmente il valore dei propri dati grazie a una maggiore visibilità su localizzazione, flussi e modalità di accesso: elementi chiave non solo per generare nuovo valore, ma anche per definire una strategia efficace di sovranità e sicurezza dei dati.
Troppo spesso, invece, i dati vengono gestiti in modo reattivo, eliminandoli semplicemente quando si raggiungono i limiti di storage, senza una reale consapevolezza di ciò che si sta cancellando. Comprendere il contesto dei dati aiuta a evitare questo approccio, consentendo alle organizzazioni di sviluppare strategie proattive, allineate sia agli obiettivi di business sia ai requisiti normativi.
Il punto di equilibrio tra rischio, minacce e ritorno sull’investimento
Una strategia dei dati matura, che integri sicurezza e sovranità, tiene conto di tutti questi aspetti, bilanciando la propensione al rischio dell’organizzazione con le potenziali minacce, le opportunità e il ritorno sull’investimento, così da ottimizzare le misure di resilienza.
