Sovranità dei dati: bilanciare requisiti di data residency e diritti di accesso

Le organizzazioni globali – e i dati che raccolgono e utilizzano quotidianamente – vanno tipicamente oltre i tradizionali confini geografici fisici Ma nonostante queste aziende dispongano di infrastrutture cloud estese in tutto il mondo, leggi e normative locali impongono ancora forti restrizioni sulle modalità di archiviazione e accesso ai dati, anche se si trovano nel cloud.

La sovranità dei dati è il concetto che prevede la necessità di prendere in considerazione le rispettive leggi locali della regione o del paese in cui vengono raccolti i dati; sebbene sia un tema cresciuto d’importanza grazie a normative internazionali recenti come il GDPR, le aziende hanno iniziato già in precedenza a considerare diverse opzioni e modalità di archiviazione e utilizzo dei dati. Negli ultimi anni, tuttavia, la questione è diventata più complessa a causa dell’aumento di norme e altri eventi di compliance, come le sanzioni, oltre a macro-tendenze, ad esempio la costante migrazione al cloud.

Le organizzazioni non solo devono pensare a dove siano archiviati i loro dati, ma necessitano di un modo semplice per gestirne l’accesso su base regionale ed estrarre rapidamente i log di audit per dimostrare la loro conformità.

Un mondo più connesso, ma più distribuito

In passato, quando il mondo era esclusivamente fisico queste attività erano decisamente più semplici. Si potevano avere più operazioni in diversi paesi, ma per ognuna era necessario creare una nuova infrastruttura on-premise – con i dati isolati nella sede del paese in cui si operava.

Con gli sforzi di modernizzazione e il passaggio a soluzioni SaaS cloud-native, le operazioni sono diventate più complesse. Si potrebbe disporre di ambienti e infrastrutture enterprise in cui sono archiviati dati, comprese chiavi e altre importanti credenziali. Oggi, invece, le organizzazioni devono collaborare con vendor SaaS e cloud provider per stabilire quali dati si stanno archiviando e dove, oltre a determinare chi possa accedervi.

Inoltre, come già anticipato, oggi sono in vigore severe norme sulla protezione dei dati da rispettare. Il GDPR, adottata nel 2016, è la più importante e ha ispirato diverse legislazioni correlate in altri Paesi, come il California Consumer Privacy Act (CCPA). Con l’introduzione di proprie normative da parte dei diversi stati, diventa sempre più impegnativo garantire, e soprattutto dimostrare, la conformità a ogni legge locale.

Inoltre, le vicende geopolitiche hanno portato la sovranità dei dati in primo piano negli elenchi delle priorità delle aziende, in quanto le nuove sanzioni impongono di interrompere rapidamente attività ed elaborazione dei dati in un Paese in cui avevano operazioni o clienti in precedenza. Prima poteva essere semplice come chiudere una filiale regionale, ma oggi una banca deve pensare a tutti i clienti di quell’area che utilizzano l’applicazione e ai dipendenti che possono accedere alle risorse aziendali. Come revocare rapidamente l’accesso in caso di necessità e dimostrare che non si opera più in aree sottoposte a sanzioni?

La sovranità dei dati è un aspetto critico da tenere in considerazione, soprattutto se un’azienda si trova nella condizione di:

• Espandersi in un nuovo Paese o regione.
• Fondersi o acquisire un’azienda che opera in un nuovo Paese o regione.
• Intraprendere iniziative di trasformazione digitale che determinano il passaggio da un’infrastruttura on-premise a una in cloud (o a più cloud).
• Essere soggetta a sanzioni geopolitiche che impongono di interrompere le operazioni in un determinato Paese o regione.

Criteri di accesso granulari

La principale sfida per le aziende che operano in più Paesi è di bilanciare i requisiti di sovranità dei dati con la natura delle loro attività, in cui spesso vengono utilizzate soluzioni SaaS centralizzate – per operazioni come l’archiviazione di secret, credenziali e chiavi – che contribuiscono ad aumentare l’efficienza operativa dei team di sicurezza, ma richiedono il rispetto delle differenti normative in vigore.

Ad esempio, un’azienda che operi in tutta Europa, Francia e Germania incluse, utilizza un vault centralizzato per proteggere i propri secret (chiavi, credenziali e altro) con identità umane e macchine che devono accedere ai dati presenti nell’ infrastruttura specifica di ogni Paese utilizzando tali secret. Bisogna assicurarsi che le chiavi francesi (e i dati a cui possono accedere) non vengano concesse agli account localizzati in Germania, o viceversa, per rispettare le normative sulla sovranità dei dati.

Quando si adotta già un approccio moderno di gestione centralizzata dei secret e degli accessi di identità non umane, è opportuno affidarsi al controllo granulare degli accessi ai secret. In modo simile al controllo degli accessi basato su ruoli, è possibile impostare criteri di accesso basati sulla posizione che garantiscano l’accesso ai dati solo a chi ne ha bisogno, in base alle leggi e ai regolamenti della regione. In questo modo si possono soddisfare i requisiti di conformità e beneficiare dei vantaggi in termini di efficienza derivanti dall’utilizzo di una soluzione centralizzata che garantisce la visibilità dei secret in tutti gli ambienti.

A cura di Kurt Sand, general manager of DevSecOps di CyberArk

Contenuti correlati

• 
  Ingegneria in cloud e assistenti AI nella suite di progettazione B&R

  Alla fiera SPS di quest’anno a Norimberga, in Germania, B&R ha annunciato un importante aggiornamento della sua suite completa di software di progettazione e runtime. Con Automation Studio Code, B&R introduce un’esperienza di progettazione completamente nuova. La...
• 
  Accordo tra PTC e Amazon Web Services nel CAD e PDM cloud-native

  PTC ha annunciato un accordo di collaborazione strategica con Amazon Web Services (AWS) per accelerare la crescita di Onshape, la sua soluzione cloud-native CAD (Computer Aided Design) e PDM (Product Data Management). Gli obiettivi della partnership includono...
• 
  Soluzioni per Machinery & Automation Hilti dalla 34.BI-MU

  Hilti Italia, ha presentato in occasione della 34.BI-MU in Fieramilano Rho, la biennale dedicata all’industria costruttrice di macchine, robot, automazione, digital e additive manufacturing, le sue soluzioni tecnologiche per il settore Machinery & Automation. Tra le novità di...
• 
  Cloud Computing: evoluzioni e tendenze

  Archiviare una grande quantità di dati fino a poco tempo fa significava server ingombranti e tanto spazio a disposizione. L’avvento del cloud ha cambiato tutto questo, e ora è arrivata la volta dell’automazione del cloud. Mega International...
• 
  Come portare l’efficienza del cloud all’edge

  La combinazione di Cloud ed Edge Computing rappresenta un progresso significativo nell’automazione industriale Mentre le industrie continuano ad abbracciare la trasformazione digitale, l’evoluzione dal cloud computing all’edge computing segna un cambiamento cruciale nel potenziamento delle capacità di...
• 
  Edge e Cloud…

  …tecnologie abilitanti per la transizione digitale e sostenibile dei processi operativi L’Industria 4.0 rappresenta una rivoluzione nel mondo manifatturiero e industriale, dove l’integrazione delle tecnologie digitali è la chiave per migliorare l’efficienza, la produttività e la qualità...
• 
  Il futuro è collaborativo

  Il cloud sta cambiando, modificandosi in un modello edge per aumentare le capacità di elaborazione locali, riducendo la necessità di trasportare tutti i dati in cloud: significa tempestività di fruizione dei risultati e controllo dei dati sensibili...
• 
  Focus su IO-Link

  IO-Link è la chiave del successo nell’automazione industriale del futuro: analizziamo qui alcune soluzioni innovative che impiegano questa tecnologia I numeri parlano chiaro: IO-Link sta rivoluzionando l’automazione industriale con una crescita esponenziale che dimostra la fiducia e...
• 
  Edge e Cloud nella produzione di impermeabilizzanti per edilizia

  Un percorso di innovazione per l’ottimizzazione del processo produttivo nel settore degli impermeabilizzanti per l’edilizia: come l’intelligenza artificiale applicata in linea ha consentito a Volteco di migliorare l’efficienza, ridurre gli sprechi e aumentare la qualità del prodotto...
• 
  Controllo della produzione: imperativo ottimizzare la convergenza OT-IT

  L’integrazione dei sistemi di controllo di fabbrica con le applicazioni IT di gestione del business promette di portare nuovi livelli di efficienza e produttività: l’orchestrazione di software MES, ERP, cloud e applicazioni IIoT va però attuata minimizzando...