Il rischio del cloud: come i paesi dell'UE sfuggono alla dipendenza da Microsoft

Germania, Francia, Italia: linee guida per una maggiore sicurezza del cloud

L'infrastruttura di sicurezza europea è da tempo minacciata non solo dalla guerra ancora in corso in Ucraina. Già da alcuni anni gli esperti di sicurezza geopolitica parlano di una guerra ibrida delle grandi autocrazie, in particolare Russia e Cina, contro gli Stati occidentali. Un obiettivo prioritario in questo caso è l'infrastruttura digitale delle istituzioni statali e degli enti pubblici, nonché delle imprese in settori critici, come finanza, sanità, approvvigionamento energetico o trasporti.

La progressiva digitalizzazione è più una maledizione che una benedizione. Perché più la nostra società è digitale, più è vulnerabile ai più svariati scenari di attacco alla sua infrastruttura hardware e software. Cavi sottomarini sabotati nel Mar Baltico, attacchi informatici riusciti contro amministrazioni pubbliche e ospedali o grandi fughe di dati da parte di aziende cloud, come ultimamente Microsoft, sono solo alcuni degli eventi accaduti in questi ultimi mesi.

Normative europee e nazionali per una maggiore sicurezza nel cloud computing

In Europa le aziende e le istituzioni pubbliche sono soggette a vari requisiti normativi per quanto riguarda l'utilizzo dei servizi cloud. In linea di principio, devono essere rispettate le disposizioni del regolamento generale sulla protezione dei dati (RGPD) valido in tutta l'Europa. Inoltre, le leggi nazionali sulla protezione dei dati, le norme di sicurezza e le normative specifiche del settore variano da paese a paese. Molti di questi sono stati ulteriormente rafforzati dopo la sentenza Schrems II della Corte di giustizia europea nel luglio 2020, che ha annullato lo scudo UE-USA per la privacy, considerato la base per il trasferimento dei dati dall'Europa agli Stati Uniti. Una decisione coerente con una politica volta a proteggere maggiormente i dati sensibili, perché da allora è responsabilità dell'esportatore di dati verificare, prima di un trasferirli, ad esempio a un grande fornitore di cloud, se i diritti delle persone interessate nel paese terzo godono di un livello di protezione equivalente a quello dell'UE.

In questo contesto, abbiamo esaminato a titolo esemplificativo per i 3 maggiori paesi dell'UE, Germania, Francia e Italia, quali norme e requisiti si applicano specificamente alle autorità, agli enti pubblici e alle imprese in settori critici e dovrebbero garantire una maggiore sicurezza e sovranità dei dati nel cloud computing. Inoltre, nella pratica mostriamo perché l'Unione dei Comuni della Romagna Forlivese (UCRF) nel Nord Italia ha scelto di sostituire il cloud con le licenze Microsoft usate in modalità on-premise.

Esempio 1: Germania

In Germania non ci sono divieti all'uso dei servizi cloud, ma ci sono chiari requisiti legali e normativi. Tuttavia, anche nelle istituzioni statali, i rischi esistenti sono ancora sottovalutati. Secondo la Società tedesca per l'informatica (GI), almeno sei stati federali stanno attualmente pianificando di introdurre il sistema di videoconferenza Teams o il pacchetto completo di cloud office Microsoft 365 nella loro amministrazione. Secondo gli esperti IT, ciò mette a repentaglio la sovranità dei dati della Germania e la protezione dei dati di milioni di cittadini e aziende a causa della crescente dipendenza dal cloud Microsoft. I rischi sono principalmente legati alla sicurezza e all'aumento incalcolabile dei costi di licenza.

In particolare, le aziende che operano in settori critici, ma anche le istituzioni statali e le amministrazioni pubbliche devono quindi garantire che

• I tuoi dati siano trattati in modo sicuro,
• Il provider cloud sia conforme al GDPR,
• Tengono conto delle specifiche del settore,
• Soddisfano i requisiti di conformità aziendale e
• Preferiscono fornitori nazionali o europei come IONOS, T-Systems o Nextcloud.

Settore finanziario: l'Autorità federale di vigilanza finanziaria competente, in breve BaFin, ha stabilito specifiche per l'utilizzo di servizi cloud per banche e assicurazioni nei suoi regolamenti MaRisk e Bait (requisiti di vigilanza bancaria per l'IT).

Sanità: oltre alle disposizioni del GDPR e della legge federale sulla protezione dei dati (BDSG), l'utilizzo dei servizi cloud è soggetto anche alla legge sulla protezione dei dati dei pazienti (PDSG). Gli attori devono garantire, tra le altre cose, che i dati altamente sensibili vengano archiviati ed elaborati in Germania o nell'UE.

Esempio 2: Francia

Le norme in Francia sono abbastanza simili a quelle in Germania. Anche nel secondo paese dell'UE per numero di abitanti si applicano i requisiti del GDPR. Questi sono anche integrati da leggi nazionali in materia di sicurezza e protezione dei dati e da una forte promozione della sovranità digitale. I punti più importanti sono i seguenti:

In Francia, oltre al GDPR, si applicano le norme nazionali sulla protezione dei dati della Loi Informatique et Libertés, che sono monitorate dalla CNIL (Commission Nationale de l'Informatique et des Libertés). Anche in questo caso, l'obiettivo è il massimo livello di sicurezza nella memorizzazione e nel trattamento dei dati personali, nonché nella loro localizzazione. Settori sensibili come le infrastrutture critiche, le autorità e le istituzioni governative possono spesso utilizzare solo fornitori di cloud certificati come SecNumCloud. In generale, la Francia promuove l'uso di fornitori nazionali o europei e preferisce soluzioni sovrane. Ad esempio, il governo francese ha creato partnership con fornitori di cloud come Orange e Capgemini per creare un'alternativa sovrana ai fornitori americani, come Microsoft, AWS o Google.

Settore finanziario: l'autorità francese di vigilanza bancaria Autorité de Contrôle Prudentiel et de Résolution (ACPR) ha requisiti specifici per le istituzioni finanziarie in relazione all'utilizzo dei servizi cloud, simili a quelli di BaFin in Germania.

Sanità: la conservazione dei dati sanitari è soggetta a normative particolarmente severe, come l'Hébergeur de Données de Santé (HDS). I fornitori di servizi cloud che desiderano archiviare o elaborare i dati sanitari necessitano di una certificazione HDS. Di conseguenza, ad esempio, gli ospedali e le compagnie assicurative preferiscono archiviare ed elaborare i dati sanitari nel proprio data center on-premise e rinunciare principalmente alle soluzioni cloud.

Esempio 3: Italia

In Italia si applicano le seguenti regole e restrizioni all'uso dei servizi cloud:

• Oltre al GDPR, il Codice della Privacy stabilisce rigidi requisiti per il trattamento dei dati personali.
• Le istituzioni statali, le autorità e le pubbliche amministrazioni devono preferibilmente utilizzare fornitori di cloud nazionali o europei.
• Standard di sicurezza IT: i servizi cloud per le infrastrutture critiche sono soggetti a severi requisiti di sicurezza.
• L'Italia sostiene l'utilizzo di servizi cloud europei sovrani, come il Cloud Polo Strategico Nazionale (PSN).
  

Specificamente per l'utilizzo dei servizi cloud negli enti pubblici e nella pubblica amministrazione, l'Italia ha sviluppato una propria strategia articolata in tre categorie:

1. Una chiara priorità è l'uso del cloud nazionale PSN, in cui devono essere memorizzati dati critici e altamente sensibili delle organizzazioni pubbliche.
2. Possono essere utilizzati anche servizi cloud di fornitori europei, a condizione che soddisfino il GDPR e gli altri standard di sicurezza nazionali.
3. Per i dati meno sensibili, i fornitori di cloud internazionali sono consentiti, ma solo sulla base dei severi requisiti nazionali di sicurezza e protezione dei dati, che nella maggior parte dei casi non soddisfano.

Settore finanziario: la Banca d'Italia e la Consob hanno definito requisiti specifici per le banche e i fornitori di servizi finanziari, in particolare per quanto riguarda la localizzazione dei dati e gli standard di sicurezza dei servizi cloud.

Sanità: analogamente alla Francia o alla Germania, in Italia i dati sanitari altamente sensibili sono soggetti a norme severe, come la conservazione e l'elaborazione dei dati all'interno dell'UE.

Esempio Italia: l'amministrazione comunale si affida a software usati anziché a una soluzione cloud

L'Unione dei Comuni della Romagna Forlivese (UCRF) era alla ricerca di una soluzione per soddisfare il proprio fabbisogno di licenze software per un cluster VMWare e pianificare le esigenze future senza superare il budget a disposizione. UCRF ha optato per l'acquisto legale e a prova di audit di licenze software usate di PREO, che offrono significativi vantaggi finanziari, nonché la conformità e la flessibilità desiderate.

Particolarmente importante: l'acquisto del software usato per il funzionamento on-premise ha permesso di risparmiare circa il 50% del costo della licenza rispetto alla rispettiva nuova versione, il che è stato di fondamentale importanza, come conferma il Dr. Riccardo Raffaelli, responsabile del reparto Sistemi Informativi: “Come in ogni pubblica amministrazione, l'aspetto economico è di fondamentale importanza in quanto richiede una corretta e attenta gestione dei fondi pubblici. Ridurre in modo sostenibile i costi di licenza attraverso l'acquisto di software usati è un'ottima soluzione, soprattutto per le pubbliche amministrazioni." Leggi l'intero caso studio qui.

L'Associazione dei Comuni della Romagna forlivese nasce nel 2014 dalla fusione delle tre associazioni Unione Montana Acquacheta - Romagna Toscana, Comunità Montana dell'Appennino forlivese e Associazione di Comuni della Pianura forlivese. Oggi il consorzio comprende un totale di 14 comuni con oltre 67.000 abitanti.

Con PREO stai puntando su un fornitore B2B esperto e affidabile

PREO offre in qualsiasi momento ad aziende, organizzazioni e pubbliche amministrazioni una vasta gamma di licenze usate per il funzionamento on-premise o l'integrazione con infrastrutture cloud ibride. Queste includono in particolare le versioni attuali e precedenti di software standard ampiamente utilizzati di produttori leader del mercato, come Microsoft o Adobe. Qualunque sia la necessità, con PREO i clienti hanno tutti i vantaggi del mercato secondario del software dalla loro parte e beneficiano di

• Elevato risparmio sui costi di licenza correnti fino al 70% rispetto alla rispettiva nuova versione.
     
  
• Acquisto di licenze sicuro al 100% dal punto di vista legale e dell'audit con la massima trasparenza in tutte le fasi di elaborazione, compresa la documentazione completa nel portale di licenze PREO "Easy Compliance".
  
  
• Consulenza personale su tutte le questioni relative ai trasferimenti di licenza o all'integrazione di licenze server usate in strutture di rete classiche o modelli cloud ibridi.
  
  
• Capacità di gestione delle licenze software esistenti per grandi progetti IT con migliaia di postazioni di lavoro e sedi internazionali.
  
  
• Maggiore sostenibilità nel settore IT attraverso la promozione di un'economia circolare attiva e la riduzione dell'impronta di carbonio aziendale. A proposito di sostenibilità: PREO è l'unico rivenditore di software usato con una valutazione su EcoVadis, il più grande fornitore al mondo di rating di sostenibilità.
  
  
• Competenza frutto di numerosi progetti di punta che PREO ha già realizzato con successo per rinomate aziende di diversi settori.

Informati ora gratuitamente