Classificare le prove di ubicazione dei dati cloud in Svizzera

Prova di ubicazione: distinguere tra luogo di archiviazione, elaborazione e accesso

Una prova di ubicazione per i dati cloud chiarisce tre questioni: il luogo di archiviazione, il luogo di elaborazione e il luogo di accesso. Questi tre luoghi non devono necessariamente coincidere. Un data center svizzero come luogo di archiviazione non dice nulla su dove viene fornito il supporto o dove viene elaborato un database.

L’Incaricato federale della protezione dei dati e della trasparenza (IFPDT) menziona tre punti che richiedono particolare attenzione nei servizi cloud: l’impiego di incaricati al trattamento e sub-incaricati, la sicurezza dell’elaborazione dei dati e la trasmissione di dati personali verso paesi terzi. Questi tre punti costituiscono il quadro di riferimento per la verifica di una prova di ubicazione.

Il fornitore di servizi cloud agisce generalmente come incaricato al trattamento dei dati del cliente ai sensi dell’art. 9 LPD. Il cliente rimane il responsabile e deve garantire contrattualmente che le elaborazioni esternalizzate avvengano in conformità alla protezione dei dati e che i diritti delle persone interessate non vengano compromessi.

Quali documenti rendono credibili i data center svizzeri

I fornitori indicano come prove solitamente una combinazione di certificati e indicazioni geografiche: ISO 27001 e ISO 20000, data center svizzeri certificati nonché pianificazione, migrazione e gestione forniti da un’unica fonte. Da verificare non sono le parole chiave, bensì l’ambito di validità e la data di scadenza del rispettivo certificato.

Le concrete indicazioni sulla sede possono essere verificate. Un fornitore cita una propria infrastruttura in due data center svizzeri nei Cantoni Basilea Campagna e Zurigo, conformi alla ISO 27001 e alla Circolare FINMA 08/7. La conformità FINMA è particolarmente rilevante per gli istituti finanziari soggetti a vigilanza che esternalizzano servizi.

La georedundanza è un punto di verifica a sé stante: in caso di guasto, il sito di backup rimane in Svizzera o subentra un data center all’estero? Chi gestisce due sedi svizzere può documentare questa risposta tramite le indicazioni sulla sede. L’archiviazione ridondante e la detenzione dei dati georedundante in Svizzera vengono indicate come caratteristiche prestazionali specifiche.

La documentazione operativa include informazioni sui processi di ripristino e sulla messa in sicurezza delle procedure di backup e ripristino. Tali documenti dimostrano se un fornitore ha sotto controllo l’operatività e non solo lo stoccaggio dei dati.

Diritti di accesso stranieri come rischio legato alla sede

Il CLOUD Act obbliga i fornitori statunitensi di servizi cloud a concedere alle autorità giudiziarie competenti degli USA l’accesso ai dati dei loro clienti, anche se questi dati sono archiviati al di fuori degli Stati Uniti. In questo modo, l’accesso non è limitato dal luogo di archiviazione.

Secondo il Delegato alla protezione dei dati del Canton Zurigo, ciò permette di aggirare le norme sull’assistenza giudiziaria internazionale, che fanno parte del diritto internazionale pubblico. La via dell’assistenza giudiziaria è considerata un pilastro fondamentale dello Stato di diritto svizzero.

L’IFPDT raccomanda un’accurata analisi dei rischi per i servizi cloud statunitensi. La situazione giuridica in Svizzera viene descritta come non ancora definitivamente chiarita.

Inoltre, può applicarsi il RGPD: circa il 20 percento dei dati personali trattati in Svizzera proviene da cittadini dell’UE. Con la sentenza Schrems II, la Corte di giustizia europea ha stabilito che gli USA non offrono un livello adeguato di protezione dei dati.

Valutare realisticamente crittografia e sovranità dei dati

La crittografia secondo lo standard FIPS 140-2 rientra nelle dichiarazioni con cui i fornitori attestano la protezione dei dati e dei processi di backup. Essa copre l’archiviazione, ovvero i dati a riposo e sulle copie di sicurezza.

Durante l’elaborazione nel cloud, i dati sono presenti in forma decrittografata e sono accessibili. Una crittografia end-to-end è quindi efficace solo per la pura archiviazione (dati a riposo); per molti casi d’uso essa risulta impraticabile. I fornitori stessi ne sono consapevoli.

Ne consegue che, ai fini della prova: la crittografia è un componente, non un sostituto delle indicazioni sulla sede. È necessario chiarire chi detiene le chiavi, chi può utilizzarle durante l’esercizio e come viene registrato l’accesso ai dati decrittografati.

Allineare il modello cloud con la garanzia di ubicazione

Una Private Cloud mette a disposizione di ogni cliente un ambiente IT proprio e dedicato, completamente isolato. I fornitori collegano a ciò la promessa di piena sovranità dei dati, poiché l’archiviazione e l’elaborazione avvengono in Svizzera o nell’UE e non dovrebbero applicarsi diritti di accesso extraterritoriali.

Le offerte Public Cloud sono invece soluzioni standardizzate. Swisscom descrive Public Cloud, Private Cloud e modelli ibridi come una combinazione e sottolinea che non esiste una ricetta universale: occorre prima analizzare quali parti dell’infrastruttura IT possono essere spostate in quale modello cloud.

I modelli ibridi esternalizzano solo parzialmente: un fornitore cita la gestione di un database nel proprio data center e l’accesso al resto dell’applicazione tramite una WAN sicura. Nel confronto con la garanzia di ubicazione, è quindi necessario verificare se essa copra anche backup, supporto, accessi amministrativi e tutti i sub-incaricati al trattamento.

Confronto dei modelli cloud: garanzia di ubicazione e sovranità dei dati

Passaggi di verifica per l’approvvigionamento

Far rivelare sedi e sub-incaricati: elenco dei data center, dei siti di backup, dei sub-incaricati utilizzati e della procedura in caso loro sostituzione. L’IFPDT cita espressamente i sub-incaricati come punto di verifica.

Regolamentare gli accessi: chi ottiene l’accesso amministrativo, da quale luogo e a quali condizioni interviene il supporto? Registrare contrattualmente la registrazione degli accessi e i diritti di ispezione dei log.

Chiarire crittografia e detenzione delle chiavi: quali dati vengono crittografati durante l’archiviazione, secondo quale standard e chi gestisce le chiavi? Definire inoltre come si procede con i dati decrittografati durante l’elaborazione.

Verificare certificati e diritti di audit: richiedere certificati validi con indicazione dell’ambito di validità. Per attività soggette a vigilanza, far attestare la conformità FINMA e concordare diritti di verifica contrattuali.

Definire cancellazione e restituzione: formato e termini per la restituzione dei dati alla fine del contratto. Anche la cancellazione, incluse le copie di sicurezza.

Prima di ogni comunicazione di dati personali all’estero, occorre verificare se essa soddisfi i requisiti legali. Il risultato di questa verifica e l’analisi dei rischi devono essere documentati, poiché il cliente, in qualità di responsabile, deve provare l’elaborazione conforme alla protezione dei dati.

Passaggi di verifica per l’approvvigionamento di servizi cloud con prova di ubicazione svizzera

Conclusione: la prova di ubicazione è una valutazione dei rischi

Una prova per i dati cloud in Svizzera combina elementi tecnici, organizzativi e giuridici. Vi rientrano il luogo di archiviazione, il luogo di elaborazione, le vie di accesso, la crittografia e la gestione delle chiavi, i certificati, il contratto e la documentazione.

Un data center svizzero è un forte indizio, ma non un lasciapassare. Il CLOUD Act si rivolge al fornitore, non alla sede; durante l’elaborazione i dati sono presenti in forma decrittografata.

Decisivi sono quindi tre aspetti: la classificazione dei dati prima dell’esternalizzazione, il controllo degli accessi e un’analisi dei rischi documentata. Chi elabora dati di cittadini dell’UE deve considerare inoltre il RGPD.

Fatti sui dati cloud in Svizzera