Sapere dove risiedono i propri dati è fondamentale, tuttavia non basta a garantire una sovranità reale. La vera libertà è poterli spostare o migrare senza vincoli tecnici o penali economiche. L'ownership del dato, e non la sola localizzazione, è vera la misura concreta della sovranità digitale.
Cos'è l'ownership del dato e perché va oltre la localizzazione?
Durante l’ultimo SUSECON a Praga è stata detta una frase che condivido a pieno: “Portability is a fundamental need”.
Questa affermazione arriva a seguito di costanti e crescenti preoccupazioni legate al lock-in tecnologico e alle relative ricerche di alternative lato virtualizzazione. Sì, perché oltre alle necessità di ottimizzazione dei costi, innovazione, uno dei driver fondamentali nel settore IT e cloud sta diventando la libertà di potersi spostare, e non intendo solo a livello geografico.
Perché un dato può essere fisicamente in Italia, protetto da certificazioni ISO 27001, conforme al GDPR e con misure di riservatezza idonee, ma è davvero sufficiente questo per valutare un fornitore di infrastruttura o cloud?
Una variabile fondamentale, a mio parere, diventa capire quanto è difficile spostarsi in futuro da un determinato fornitore e a quali condizioni.
Ed è proprio ciò che intendo con Ownership del dato: la capacità di conoscere il perimetro di sicurezza del dato stesso, di poter deciderne i cambiamenti e, in qualsiasi momento, sapere esattamente l’effort di risorse necessario a spostarlo verso un altro fornitore.
Una differenza che segna un confine tra il “i miei dati sono al sicuro” e “i dati sono MIEI e rimangono al sicuro in base a chi li affido”.
Questo non significa che l'ownership debba limitare l'innovazione aziendale o l'accessibilità ai dati. L'approccio tipico a questi temi scomodi, un po' come accade con la security, è spesso quello di chiudere per proteggersi. Ma chiudere non è la stessa cosa che controllare. Un esempio concreto: usare l'intelligenza artificiale “con testa”, valutando consapevolmente dove e come i dati vengono processati, è una scelta molto più solida che evitarla a priori per paura, perdendo così un'opportunità competitiva reale. Così vale anche per l’ownership del dato.
I quattro segnali di un cloud che ti dà davvero controllo
Un'infrastruttura pensata per l'ownership, e non per il lock-in, si riconosce da elementi verificabili:
- L'impatto reale dei servizi managed su interoperabilità e accesso al dato. I servizi managed astraggono molto, ed è proprio questo il punto: più deleghi, meno visibilità hai su come e dove il tuo dato viene effettivamente trattato. Sono comodi, ma una volta che li adotti il margine di manovra passa in buona parte nelle mani del provider;
- Formati aperti, come immagini di macchine virtuali, storage e configurazioni esportabili in standard riconosciuti dal mercato, non in formati proprietari leggibili solo da quel singolo provider;
- API e interfacce di gestione che permettono di accedere in autonomia al provisioning e all'export delle risorse, senza dipendere da un intervento del fornitore;
- Exit senza costi nascosti: nessuna penale mascherata da tariffa di trasferimento dati in uscita.
Se anche solo uno di questi quattro segnali manca, la sovranità che il provider promette vale solo finché non provi a testarla.
Perché "i dati sono in Italia" è solo il primo passo, non sicuramente l'arrivo
La localizzazione risponde a una domanda giuridica: sotto quale giurisdizione sono trattati i miei dati? È un argomento fondamentale, di cui abbiamo già parlato approfonditamente nell'articolo su sovranità digitale e cloud sovrano e nell'analisi dei rischi di data transfer extra UE per MSP e software house.
Ma c'è una seconda domanda, altrettanto concreta, che quella risposta non copre: se domani decido di cambiare, quanto mi costa e quanto ci metto?
Un'infrastruttura che supera la prima prova ma fallisce la seconda offre una sovranità dimezzata: sei protetto dalle giurisdizioni esterne, ma resti comunque vincolato al tuo attuale fornitore.
La localizzazione è necessaria, ma è la capacità di movimento ad essere decisiva
I tre pilastri classici della sovranità digitale, cioè Data Sovereignty, Operational Sovereignty e Software & Cloud Sovereignty, definiscono dove sono i dati e chi può accedervi. Non definiscono, però, quanto sia facile andarsene quando decidi che è il momento di farlo.
E, a mio parere, non è un elemento accessorio, bensì la prova che rende reali gli altri tre. Un provider che rispetta pienamente localizzazione e governance, ma costruisce un'architettura chiusa, ottiene lo stesso risultato pratico di un fornitore proprietario: il cliente resta legato, semplicemente per motivi diversi. Da un lato la giurisdizione, dall'altro l'ingegneria del prodotto.
Cosa dice il Data Act sulla portabilità e come si traduce in vantaggio competitivo
Il Data Act, il regolamento europeo entrato in vigore per disciplinare l'accesso e l'uso dei dati generati da dispositivi e servizi digitali, introduce obblighi specifici di interoperabilità e portabilità per i fornitori cloud, con l'obiettivo dichiarato di ridurre il lock-in tecnologico nel mercato europeo.
Per un'azienda italiana questo significa che la portabilità non è più solo una buona pratica ma sta diventando un requisito normativo. Chi costruisce la propria infrastruttura su standard aperti non deve rincorrere la conformità quando le regole si fanno più stringenti: la rispetta già, per come è progettata. È un vantaggio competitivo prima ancora che un obbligo di legge.
Come riconoscere un'infrastruttura costruita per darti libertà, non per trattenerti
Innanzitutto, non è un solo un dettaglio tecnico, ma una scelta di postura: costruire un'infrastruttura su standard aperti significa, per definizione, non poter mai trattenere un cliente per mancanza di alternative. È la differenza tra un fornitore che ti convince a restare e uno che non ha bisogno di farlo.
Ed è anche il motivo per cui abbiamo sviluppato la nostra console slegata da qualsiasi tecnologie proprietario, aggregando soluzioni nostre e di terze parti basate sui principi appena discussi.
Servizi come OpenStack as a Service, abbinati a soluzioni Kubernetes offrono modelli di gestione infrastrutturale basate sull’ownership del dato e controllo da parte del cliente: nessun formato proprietario di macchine virtuali, API di integrazione open source, pronte a costruire infrastrutture resilienti, portabili e compliant.
Verifica quanto è davvero portabile la tua infrastruttura attuale. Parlane con chi ha già accompagnato decine di migrazioni verso un cloud costruito su standard aperti.
