Digitalizzazione e Cloud Nazionale, l'Italia si muove alla ricerca di un coordinamento tra nuove prospettive digitali e la protezione dei dati ...
←
→
Trascrizione del contenuto della pagina
Se il tuo browser non visualizza correttamente la pagina, ti preghiamo di leggere il contenuto della pagina quaggiù
Tribunale Bologna 24.07.2007, n.7770 - ISSN 2239-7752
Direttore responsabile: Antonio Zama
Digitalizzazione e Cloud Nazionale, l’Italia si muove alla
ricerca di un coordinamento tra nuove prospettive
digitali e la protezione dei dati
Digitization and National Cloud, Italy is looking for coordination between new digital
perspectives and data protection
18 Ottobre 2021
Alessandro Cristallini
Abstract
L’Italia ha presentato una nuova strategia che porterà all’adozione di un Cloud Nazionale per tutti i dati
della pubblica amministrazione. Questa sfida richiederà necessariamente di trovare un punto di equilibrio
tra esigenze di sicurezza dei dati, velocità, efficienza ed autonomia nazionale, per far crescere l’Italia come
Paese digitale.
Italy has presented a new strategy that will lead to the adoption of a National Cloud for all public
administration data. This challenge will necessarily require finding a balance between data security needs,
speed, efficiency and national autonomy, to grow Italy as a digital country.
Sommario
1. Una nuova strategia per la digitalizzazione del Paese
2. Gli obiettivi della strategia
3. La proposta di diversi tipi di dati e di cloud
4. L’aspetto della sicurezza del cloud
Summary
1. A new strategy for the digitization of the country
2. The objectives of the strategy
3. The proposal of different types of data and cloud
4. The cloud security aspect
1. Una nuova strategia per la digitalizzazione del PaeseAgli inizi di settembre è stata ufficializzata la nuova Strategia Cloud Italia per il cloud nazionale, presentata dal Sottosegretario con delega all’intelligence e alla sicurezza Franco Gabrielli, dal direttore dell’Agenzia per la cybersicurezza nazionale (Acn) Roberto Baldoni, dal ministro della Transizione digitale Vittorio Colao e Paolo de Rosa, chief Technology Officer del Dipartimento per la Trasformazione digitale (Dtd). Il documento di indirizzo sarà determinante per l’implementazione e il controllo del cosiddetto cloud di Stato sul quale verranno trasferiti in assoluta sicurezza tutti i dati e i servizi strategici della Pubblica Amministrazione. L’obiettivo finale che si è dato il governo Draghi nella sua prima traccia della strategia per il cloud nazionale è la migrazione sul cloud dei dati di almeno il 75% degli uffici pubblici italiani entro il 2025. Nel documento vengono fissati i principi e le linee guida degli interventi per trasferire sulla “nuvola” la mole di informazioni oggi parcheggiata in 11mila data center, il 95% dei quali, dall’ultimo censimento dell’Agenzia per l’Italia digitale, ha “carenze nei requisiti minimi di sicurezza, affidabilità, capacità elaborativa ed efficienza”. Inoltre sempre al suo interno viene tracciata la road map della strategia che prevede la pubblicazione del bando per il Polo strategico nazionale “al più tardi entro la fine del 2021”, l’aggiudicazione entro la fine del 2022, e la migrazione dei servizi della PA, “da concludersi entro la fine del 2025”[1]. I pilastri di questa nuova strategia possono essere riassunti nella realizzazione del “Polo strategico nazionale” (Psn), “un’infrastruttura nazionale per l’erogazione di servizi cardine per il Cloud, al servizio di ministeri, enti pubblici nazionali, regioni, aziende sanitarie e città metropolitane, la cui gestione e controllo di indirizzo siano autonomi da fornitori extra UE”. Successivamente l’introduzione di una classificazione delle informazioni in mano alla pubblica amministrazione, per decidere a quali garantire le maggiori protezioni. Si vuole stabilire un “percorso di qualificazione” dei fornitori di cloud pubblico per “garantire che le caratteristiche e i livelli di servizio dichiarati siano in linea con le condizioni necessarie di sicurezza, affidabilità e rispetto delle normative rilevanti” così da certificare le aziende che forniscono i servizi cloud, indicando una serie di requisiti da rispettare a seconda del dato da archiviare”. Infine, la migrazione di dati e servizi della PA italiana “verso la soluzione Cloud più opportuna”. Dalle notizie ad oggi in circolazione la classificazione e la redazione del piano di migrazione saranno definiti e supportati, a seconda delle rispettive competenze, dall’Agenzia per la Cybersicurezza Nazionale (Acn) e del Dipartimento per la Trasformazione Digitale (Dtd). 2. Gli obiettivi della strategia La creazione di un cloud nazionale ha come obiettivo quello di portare a compimento la migrazione digitale dei dati pubblici e di aumentare contestualmente l’efficienza digitale della Pubblica Amministrazione, così come prevede anche il PNRR (Piano Nazionale di Ripresa e Resilienza) approvato dal Consiglio dei Ministri e che destinerà svariati milioni di euro alla cyber security delle PA, per potenziare le strutture ed il personale, consolidare i data center, eseguire la migrazione dei dati e degli applicativi informatici delle singole amministrazioni verso un ambiente cloud.
Il programma per la digitalizzazione della Pubblica Amministrazione, all’interno del PNRR, vuole, infatti, come prima cosa, offrire efficacia, velocità e sicurezza ai cittadini e alle imprese nella fruizione dei servizi digitali, comportando conseguenze positive sulle infrastrutture, interoperabilità, piattaforme, servizi, e più in generale la cyber security. Si vuole, dunque, perseguire un’autonomia tecnologica, funzionale al raggiungimento della sovranità digitale, implicante un controllo dei dati, determinante nell’attuale epoca dei Big Data, e propensa ad una resilienza. Si vuole puntare, si legge sempre nel programma, all’inserimento di “misure propedeutiche alla piena attuazione delle riforme chiave delle Amministrazioni Centrali, quali ad esempio la ricerca e l’acquisizione di nuove competenze per il i dipendenti della PA, anche attraverso il miglioramento dei processi di upskilling e di aggiornamento delle competenze già possedute, e una significativa semplificazione/sburocratizzazione delle procedure chiave, incluso uno sforzo dedicato al Ministero della Giustizia per lo smaltimento del backlog di pratiche”[2]. A tale scopo è necessario mantenere la sovranità anche su quello che viene definito il ciclo di vita dei dati. Non a caso, attraverso un approccio cloud first, la Strategia mira a guidare e favorire l’adozione sicura, controllata e completa delle tecnologie cloud da parte del settore pubblico, in linea con i principi di tutela della privacy e con le raccomandazioni delle istituzioni europee e nazionali[3]. In tal modo le infrastrutture digitali saranno più affidabili e sicure, e la Pubblica Amministrazione potrà rispondere in maniera organizzata agli attacchi informatici, garantendo continuità e qualità nella fruizione di dati e servizi. L’Italia è alla ricerca di un bilanciamento tra esigenze di velocità ed efficienza e autonomia nazionale, per crescere come Paese digitale. È per queste ragioni che è cruciale sviluppare una infrastruttura che sia sicura e resiliente per tutti i dati che tratterà, e che sia quanto più possibile legata al nostro Paese, evitando ingerenze di altri Paesi; pur prendendo atto che le migliori tecnologie e servizi non sono sfortunatamente in Italia. La nuova strategia Cloud Italia, riprendendo quanto affermato dal Direttore Generale dell’Agenzia per la Cybersicurezza Nazionale, tende a dare le indicazioni sulla direzione da intraprendere, da parte della PA e dei fornitori cloud, sulle modalità d’esecuzione della migrazione dei dati nel cloud, coordinando il più possibile sia le esigenze di sicurezza e flessibilità sia quelle di autonomia e sovranità nazionale, quindi del controllo italiano su dati e tecnologie. Di certo non si preannuncia un bilanciamento facile, come detto dallo stesso ministro Colao, ma senza dubbio rappresenta la prima imposizione governativa in un settore che finora è stato dominato dalla più totale libertà della PA, in quanto le diverse strutture statali erano libere di andare sul mercato e siglare accordi con ogni partner commerciale che avessero ritenuto opportuno e conveniente, senza che venisse seguita una linea d’azione comune in materia. I motivi che hanno portato a questa scelta “rivoluzionaria” sono gli stessi che hanno determinato la strategia digitale italiana che si è poi concretizzata nel GDPR. Ovverosia tenere assieme da una parte le esigenze di sicurezza e privacy del dato, con la tutela dei diritti pubblici e privati che ne conseguono; dall’altro assicurare la crescita economica dell’Italia e del Continente, leggasi UE, che come è stato sostenuto da diverse parti, si fonda sull’economia digitale[4]. 3. La proposta di diversi tipi di dati e di cloud Il trasferimento dei dati sul cloud si preannuncia già da ora una delle fasi più complesse e delicate del piano. In primis, come spiega Paolo De Rosa, responsabile tecnologico del Dipartimento per la trasformazione digitale (Dtd), la strategia prevede di suddividere le informazioni in tre classi di rischio.
I più delicati sono i dati strategici, i quali se compromessi, comporterebbero un serio rischio d’impatto
negativo sulla sicurezza nazionale. Per il ministero rientrano in questa categoria, per esempio, i dati della
Difesa o del bilancio dello Stato. Successivamente vi sono i dati critici, come quelli sanitari. In questo
caso, un incidente pregiudicherebbe la possibilità di tenere in piedi servizi fondamentali dello Stato con
conseguente interruzione degli stessi; per rendersi conto della portata di un eventuale incidente di sicurezza
basti pensare al recente caso dell’attacco informatico ai sistemi informatici della Regione Lazio dello
scorso agosto che ha messa in ginocchio l’intero sistema che gestiva la campagna vaccinale della stessa
Regione. Infine, nell’ultima categoria vi rientrano i dati ordinari che consistono in quelle informazioni che,
se venissero esposte, non metterebbero a repentaglio la macchina pubblica e non provocherebbero
l’interruzione dei servizi essenziali.
Si è, dunque, ipotizzato che l’Italia avrà cinque differenti tipologie di cloud, in base alle diverse esigenze
che verranno a crearsi. Il processo di trasferimento dei dati delle PA nel cloud nazionale ha alla base tre
aspetti importanti da tenere in considerazione. Prima di tutto, con il Polo Strategico Nazionale (PSN) si
disporrà di un’infrastruttura nazionale che erogherà servizi cloud, escludendo ipotetiche gestioni e controlli
ad opera di fornitori extra UE. In secondo luogo, i fornitori verranno verificati con un processo di
qualificazione dal quale questi risultino validi in termini di che sicurezza, affidabilità e rispetto delle
normative. Successivamente, attraverso la collaborazione del Dipartimento per la Trasformazione Digitale
(DTD e dell’Agenzia per la Cybersicurezza Nazionale (ACN) e), si potrà procedere alla migrazione dei dati
e dei servizi della Pubblica Amministrazione, classificando i dati stessi e scegliendo quindi la soluzione
cloud più adatta al caso concreto[5].
I cinque tipi di cloud saranno così ripartiti:
1. Il primo cloud sarà pubblico non qualificato e i dati potranno risiedere in server anche extra UE.
2. il secondo cloud sarà pubblico, i fornitori qualificati e i dati risiederanno in Europa;
3. il terzo cloud pubblico criptato sarà destinato ai privati, le chiavi saranno custodite in Italia e i fornitori
anche in questo caso controllati;
4. il quarto cloud privato/ibrido su licenza sarà destinato a dati misti, sia pubblici che privati su licenza, i dati
saranno in Italia e i fornitori “verranno monitorati e vigilati pubblicamente”;
5. infine, il quinto nel cloud privato che possiamo anche definire criptato, verranno convogliati dati,
informazioni e infrastrutture con potentissime chiavi di protezione crittografate, con server e dati in Unione
Europea: sarà l’Italia a selezionare partner tecnologici e fornitori qualificati[6].
4. L’aspetto della Sicurezza del cloud
La nuova strategia nazionale affronta direttamente il nodo più intricato della questione cloud, ovverosia la
sicurezza e il controllo dei dati. La premessa è evidente ma doverosa: quando si parla di cloud, le aziende
europee giocano un ruolo marginale, ricoprendo poco meno del 10% del mercato rispetto alle aziende extra-
Ue. Fra queste primeggiano i fornitori americani, i veri key-player della partita europea, al netto della
oramai persistente diffidenza verso la sicurezza dei provider cinesi.“Come noto, legislazioni extra-Ue possono portare, previa sussistenza delle previste circostanze, alla richiesta unilaterale al fornitore dei servizi Cloud di fornire l’accesso ai dati presenti sui sistemi”, si legge nella strategia. È il caso del “Cloud Act” approvato nel 2018 dal Congresso Usa, al centro di diverse discussioni con l’Ue perché permetterebbe ai politici americani di venire a conoscenza dei dati gestiti da aziende locali, anche qualora operino all’estero. La gestione dei rischi, spiega il documento, “ha risvolti non soltanto tecnologici ma anche impatti geopolitici sulla scena internazionale”[7]. È per questi motivi che non sono mancate perplessità circa il profilo della sicurezza informatica della nuova infrastruttura digitale su cui tanto si sta puntando. In merito si è espresso Roberto Baldoni, Direttore Generale dell’Agenzia per la cybersicurezza nazionale, affermando come “avremo una protezione dei dati rispetto al Cloud Act e alle altre leggi Usa che possono creare un link tra i dati nel cloud nazionale e terze parti. […] ed agiremo su 2 fronti”: “La crittografia con due livelli, in base all’importanza dell’informazione che dobbiamo proteggere, con chiavi che verranno gestite in Italia”, ha affermato Baldoni. “Questo”, ha spiegato, “riduce il rischio che un terzo soggetto possa vedere i dati in chiaro, non lo annulla completamente, perché ancora non abbiamo inventato una crittografia omomorfica computazionale, così c’è un processore nel mondo che vede quel dato”. “Però”, ha assicurato, “è molto più difficile per l’avversario sia fare incetta di dati sia effettuare l’estrazione del valore”. Sul fronte della crittografia Baldoni ha anche annunciato “l’algoritmo di crittografia nazionale”. Ma non sarà una soluzione immediata. “Ci darà delle garanzie in più, ma il suo sviluppo sarà graduale: non sarà un on-off, sarà pronta quando avremo un ecosistema in grado di gestirla, altrimenti può rivelarsi una vulnerabilità”, ha detto Baldoni. Infine, il secondo fronte previsto dal Governo per garantire maggiore sicurezza, data protection e la raggiungibilità giuridica dei dati nel cloud nazionale sarà la “Localizzazione dei dati in Italia, come quelli strategici”, ha riferito il dg dell’Agenzia cyber nazionale, “la cui manomissione può avere un impatto sulla sicurezza nazionale. Questi tipi di dati saranno in server localizzati in Italia”. “Qui”, ha concluso Roberto Baldoni, “avverrà un doppio livello di sicurezza, perché permetterà sia un livello ispettivo sia di inviare la polizia postale, in caso di incidenti e problematiche importanti”[8]. Questione senza dubbio importante in termini di sicurezza è quella che riguarda l’applicazione o meno del Cloud Act americano alle aziende che si occuperanno della cosiddetta “Nuvola di Stato”. Questo tema è uno dei nodi da risolvere in vista dell’avvio della strategia nazionale sul cloud, l’obiettivo da ricercare è impedire che giganti come Google o Microsoft siano costretti dalla legge americana del 2018 ad alzare il velo, in alcuni casi eccezionali, sui dati conservati nei propri server. A riguardo sussistono due ordini di problemi principali: bisogna garantire la sicurezza del cloud italiano e c’è l’esigenza di mettere al riparo i dati dei cittadini rispetto a una possibile ulteriore attività di trasmissione non autorizzata a soggetti terzi. Bisogna però interrogarsi se sarà in grado il cloud italiano di garantire standard elevati di sicurezza al pari dei ben più evoluti provider internazionali.
Sarebbe auspicabile invece, secondo esperti in materia, riservare la gestione a un grande soggetto nazionale, accompagnandola però con accordi di fornitura o di partnership con i grandi player internazionali, in tema di provider, che riescano a mettere a disposizione dell’ipotetico provider nazionale la loro grande capacità organizzativa ed esperienza. Per evitare il pericolo di una scalabilità a livello internazionale dei dati italiani, si potrebbe ricorrere a tutele adeguate sia da un punto di vista tecnico, come le già richiamate chiavi crittografiche, sia da un punto di vista contrattuale, ottenendo cioè la garanzia che i dati non vengano ulteriormente ceduti a soggetti con fini non proprio leciti. Facendo riferimento alle previsioni del regolamento Ue numero 679 del 2016 (c.d. GDPR) in tema di trasferimento di dati extra-Ue, queste sono di per sé sufficienti, ma a livello regolamentare si possono creare ulteriori framework che impediscano ulteriormente l’accessibilità da parte di terzi. Il Cloud Act si applica ai provider americani e, in generale, ad operatori sottoposti alla giurisdizione degli Stati Uniti che conservano all’interno del cloud di loro proprietà i dati da chiunque essi provengano senza distinzioni tra soggetti pubblici e privati. Nel momento in cui si ricorre al cloud e warehouse data che fuoriescono dalla giurisdizione degli Usa si è già tutelati dall’applicazione del Cloud Act. La gestione del cloud nella sua totalità nonché delle chiavi crittografiche possono, quindi, essere gestite dall’Italia anche se fornite da un provider straniero. Ciò non significa che il provider abbia libero accesso ai dati. È per queste ragioni che avere preclusioni all'uso di applicativi forniti da un terzo solo perché è americano è illogico. Quello che dovrebbe interessare è il raggiungimento di una tecnologia cloud che sia sicura ed in grado di mettere la PA nelle condizioni di fornire in tempi ragionevoli e rapidi i propri servizi. La materia è in costante mutamento, ma riguarda noi tutti. In questo panorama, determinante sarà sicuramente la figura del Garante della Privacy il quale farà da interlocutore necessario, ed è auspicabile che vi sia da parte dei soggetti coinvolti un atteggiamento concreto e proficuo, sulla base di quanto finora fatto rispetto alla tematica della protezione dei dati[9]. [1] Zorloni L., Cosa ha deciso il governo sul cloud nazionale. E cosa manca ancora, settembre 2021, su https://www.wired.it/economia/business/2021/09/07/cloud-nazionale-data-center-governo-colao/. [2] Santarelli M., Cloud nazionale, tra tecnologie e obiettivi: le perplessità in tema di sicurezza dei dati , settembre 2021, in www.cybersecurity360.it [3] In continuità con le norme di settore a livello europeo e nazionale, rispettivamente Direttiva NIS e Perimetro di sicurezza nazionale cibernetica, la Strategia Cloud Italia ha come obiettivo quello di migliorare il livello di sicurezza del sistema paese affrontando le sfide cloud. [4] Longo A., Cloud Nazionale, la strategia istruisce PA e fornitori: ecco come e le sfide, settembre 2021, su www.agendadigitale.eu/ [5] Cfr. Santarelli M., Cloud nazionale, tra tecnologie e obiettivi: le perplessità in tema di sicurezza dei dati , settembre 2021, in www.cybersecurity360.it [6] Si veda la Strategia Cloud Italia – Documento sintetico di indirizzo strategico per l’implementazione e il controllo del Cloud della PA, in https://assets.innovazione.gov.it/1631016873- strategiaclouditalia2021ita.pdf [7] Bechis F., Cloud nazionale, la strategia di Draghi fra mercato e sicurezza, settembre 2021, su www.formiche.net
[8] Garofalo L., La sicurezza dei dati nel cloud nazionale? Roberto Baldoni (ACN): “Con 2 livelli di
crittografia, chiavi e localizzazione in Italia”, settembre 2021, su https://www.cybersecitalia.it/la-sicurezza-
dei-dati-nel-cloud-nazionale-roberto-baldoni-acn-con-2-livelli-di-crittografia-chiavi-e-localizzazione-in-
italia/13711/.
[9] Rossitto S., «Per la sicurezza del polo del cloud bastano tutele e garanzie nei contratti», 23 settembre
2021, su https://www.ilsole24ore.com/art/per-sicurezza-polo-cloud-bastano-tutele-e-garanzie-contratti-
AEY2tmk
TAG: Intelligence e sicurezza, cloud nazionale, digitalizzazione, cloud
Avvertenza
La pubblicazione di contributi, approfondimenti, articoli e in genere di tutte le opere dottrinarie e di
commento (ivi comprese le news) presenti su Filodiritto è stata concessa (e richiesta) dai rispettivi autori,
titolari di tutti i diritti morali e patrimoniali ai sensi della legge sul diritto d'autore e sui diritti connessi
(Legge 633/1941). La riproduzione ed ogni altra forma di diffusione al pubblico delle predette opere
(anche in parte), in difetto di autorizzazione dell'autore, è punita a norma degli articoli 171, 171-bis, 171-
ter, 174-bis e 174-ter della menzionata Legge 633/1941. È consentito scaricare, prendere visione, estrarre
copia o stampare i documenti pubblicati su Filodiritto nella sezione Dottrina per ragioni esclusivamente
personali, a scopo informativo-culturale e non commerciale, esclusa ogni modifica o alterazione. Sono
parimenti consentite le citazioni a titolo di cronaca, studio, critica o recensione, purché accompagnate dal
nome dell'autore dell'articolo e dall'indicazione della fonte, ad esempio: Luca Martini, La discrezionalità
del sanitario nella qualificazione di reato perseguibile d'ufficio ai fini dell'obbligo di referto ex. art 365
cod. pen., in "Filodiritto" (https://www.filodiritto.com), con relativo collegamento ipertestuale. Se l'autore
non è altrimenti indicato i diritti sono di Inforomatica S.r.l. e la riproduzione è vietata senza il consenso
esplicito della stessa. È sempre gradita la comunicazione del testo, telematico o cartaceo, ove è avvenuta
la citazione.
Filodiritto(Filodiritto.com) un marchio di InFOROmatica S.r.lPuoi anche leggere
