Sovranità digitale oltre la localizzazione del dato

della Redazione

Dopo smart, AI e phygital, sarà “sovranità digitale” l’ennesimo tormentone per andare virali? La domanda è più che lecita. Negli ultimi anni, termini come Cloud e Zero Trust sono stati usati più come etichette di marketing e per fare hype che per descrivere delle scelte architetturali precise. Peccato che dietro lo slogan della sovranità digitale si nasconda un’esigenza più che attuale: mantenere controllo su ciò che incide davvero sulla continuità operativa, come dati, accessi, infrastrutture, supply chain. E se qualcuno pensa che non riguardi la security fisica, si sbaglia di grosso.

Ma partiamo dalla semantica. Cos’è la sovranità digitale? Come distinguere tra marketing e valore tangibile? Ridurre tutto alla sola localizzazione del dato rischia di offrire una visione parziale. Oggi la sovranità digitale riguarda anche altri aspetti decisivi: dove transitano le informazioni, dove vengono ispezionate, chi governa gli accessi, dove vengono conservati i log e con quali chiavi vengono cifrati i dati. E’ in questa cornice che si inquadra la visione di Zscaler. Per l’azienda, sovranità digitale non coincide semplicemente con la data residency, ma con la possibilità di esercitare il controllo effettivo sui diversi livelli dell’architettura, mantenendo visibilità e governance anche in ambienti distribuiti. Limitarsi alla localizzazione del dato – visione diffusa in molte aziende italiane – significa affrontare solo una parte del problema.

Cosa c’entra la security fisica?

Nell’universo della sicurezza fisica, storicamente basato su ambienti chiusi (come ci ricorda l’ormai obsoleto acronimo “TVCC – televisione a circuito chiuso”) - la questione si fa ancora più seria. Perché telecamere, sistemi di controllo accessi, tornelli e dispositivi IoT non sono più a circuito chiuso da un pezzo, anzi sono sempre più connessi, gestiti da remoto ed integrati con piattaforme digitali più ampie. Il circuito è apertissimo e la connessione introduce nuove superfici d’attacco: secondo l’ultimo report annuale sul ransomware di Zscaler ThreatLabz, i criminali informatici continuano a concentrarsi sugli ambienti ad alto rischio dei settori manifatturiero (1.063 attacchi), tecnologico (922) e sanitario (672), rendendoli i più frequentemente colpiti dai ransomware. Questi settori sono particolarmente vulnerabili a causa del potenziale di interruzione operativa, della sensibilità dei dati rubati e dei rischi associati di danni alla reputazione e conseguenze normative. In alcuni segmenti, come quello dell’Oil & Gas, il numero di attacchi ransomware è aumentato del 900% anno su anno, a causa della maggiore automazione ed interconnessione richiesta ai sistemi che controllano le infrastrutture critiche. Anche per MarketsandMarkets, gli attacchi ransomware verso dispositivi IoT e industriali stanno vivendo una crescita esponenziale e sono tra le principali minacce alla sicurezza nazionale e aziendale. “È cambiato profondamente il profilo di rischio,” spiega David Cenciotti, Senior Sales Engineer di Zscaler. “Quando sistemi un tempo isolati entrano in ecosistemi connessi, diventano centrali temi come accesso sicuro, segmentazione, visibilità e continuità operativa. In altre parole, la security fisica non può più essere considerata separata dalle logiche di cybersecurity e di governance dell’infrastruttura”.

Sovranità = resilienza

In questo contesto, la questione della sovranità digitale si lega direttamente ad un tema cruciale per il settore della sicurezza fisica, ossia la resilienza. Per organizzazioni che vogliono adottare modelli cloud senza rinunciare al controllo, il punto non è scegliere tra innovazione e governance, ma capire se l’architettura consente davvero di mantenere continuità operativa, controllo giurisdizionale e capacità di verifica. L’approccio di Zscaler si basa, in questo senso, su una separazione netta tra control plane, data plane e logging plane: in poche parole - gestione, traffico e registrazione dei dati vengono isolati tra loro. “Questa distinzione consente di isolare funzioni diverse e di definire con maggiore precisione dove e come vengono trattate le informazioni” - spiega Cenciotti. “Oltre a supportare già da tempo la possibilità di ospitare il data plane ovunque, anche in datacenter tradizionali, Zscaler ha realizzato control plane dedicati per l’Europa e logging plane in diversi paesi. Inoltre, offre opzioni gestite in-country e cloud sovrani che coprono non solo il logging plane ma anche data e control plane, consentendo di garantire che i dati sensibili non escano da una determinata giurisdizione (con effetti positivi sulla compliance) mantenendo al contempo prestazioni globali.”. Ma soprattutto introduce un principio chiave: la sovranità diventa verificabile, non solo dichiarata.

Sovranità = architettura

A supporto di questo modello, Zscaler opera un’infrastruttura cloud proprietaria distribuita a livello globale, con oltre 160 data center, progettata per ridurre dipendenze da terze parti e garantire continuità del servizio anche in caso di fault localizzati. Accanto al modello cloud, esistono poi anche elementi infrastrutturali che consentono di ospitare “in casa”, con replica completa di tutte le funzionalità di sicurezza, i componenti normalmente presenti nel cloud Zscaler. È il caso dei Private Service Edge, appliance fisiche o virtuali dedicate che permettono di portare logiche Zero Trust all’interno dell’organizzazione, oppure della gestione locale dei log o delle chiavi crittografiche tramite HSM, che consentono al cliente di mantenere il pieno controllo sull’accesso ai dati. Si tratta di elementi che possono aiutare le aziende a mantenere maggiore controllo operativo e a semplificare i percorsi di compliance, rendendoli più rapidi e verificabili.

Un esempio nel nostro settore?

Pensiamo all’accesso remoto ai sistemi di manutenzione di un tornello, di un impianto di videosorveglianza o di altri apparati presenti sul campo. Può accadere che l’intervento venga effettuato fuori orario, magari da un fornitore esterno che opera di notte da un altro paese. In molti contesti questo accesso avviene ancora tramite VPN, un paradigma d’accesso ormai superato che rischia di esporre a rischi l’intera rete. “Un approccio Zero Trust consente accessi più granulari, temporanei e tracciati, senza creare superfici d’attacco permanenti. In determinati scenari, è possibile registrare le sessioni, limitare le operazioni degli utenti e perfino analizzare i file caricati in sandbox prima che raggiungano sistemi critici”- spiega Cenciotti. Lo stesso principio può valere per i dispositivi sul campo: bodycam, sensori, telecamere distribuite sul territorio. Attraverso connettività dedicata e accesso Zero Trust, è possibile che questi device comunichino in modo sicuro riducendone l’esposizione diretta a Internet ed il rischio di compromissione.

Sovranità = compliance

Normative come NIS2 e DORA stanno accelerando questa evoluzione anche in Italia, trasformando il tema della sovranità in una questione sempre meno teorica e sempre più operativa. Ma il vero cambio di paradigma è culturale: non essendo più possibile “chiudere” i sistemi a riccio (come ha fatto per anni la sicurezza fisica), la vera differenza la fa il modo in cui questi sistemi riescono ad aprirsi. Con controllo, visibilità, segmentazione, policy coerenti e modelli architetturali in grado di sostenere continuità operativa e requisiti di compliance. 

Morale della favola

La sovranità digitale smette di essere uno slogan quando si traduce in un modello architetturale: separazione dei piani, controllo degli accessi, visibilità, resilienza, governance del dato e capacità di verifica. E’ su questo terreno che il tema acquista consistenza reale e si gioca quindi la partita, anche – e soprattutto - per chi si occupa di sicurezza fisica.