Sovranità dei dati e Pubblica Amministrazione: il valore strategico della conformità e della certificazione ACN

La trasformazione digitale della Pubblica Amministrazione si misura non solo nella capacità di innovare, introducendo nuove tecnologie e migrando sul cloud, ma anche nel farlo garantendo la sicurezza delle infrastrutture, la protezione delle informazioni e la continuità dei servizi. I recenti attacchi hacker ai frigoriferi connessi europei lo hanno dimostrato: la cybersicurezza è la prima sfida del mondo digitale.

La diffusione dell’intelligenza artificiale rende ancora più urgente centrare gli obiettivi della compliance e della resilienza. L’IA sta ridisegnando processi amministrativi, gestione delle informazioni e modalità di erogazione dei servizi già impattati dalla digitalizzazione, con una velocità difficile da assecondare. Per gli enti la sfida è duplice: scegliere oculatamente le tecnologie, in modo da preservare autonomia strategica e sicurezza, e garantire l’adeguamento normativo, tra cui – aspetto cruciale in ottica di continuità operativa e sovranità dei dati – la conformità alla direttiva NIS2.

La PA dalla compliance alla sovranità dei dati

La direttiva NIS2 ha richiamato le organizzazioni a un approccio più strutturato alla protezione delle infrastrutture e delle informazioni. Occorre presidiare l’intero ciclo di vita dei dati: dalla loro acquisizione alla conservazione, dall’accesso alla condivisione, fino alla cancellazione e al ripristino.

Ciò porta il concetto di sovranità dei dati oltre quello del luogo fisico in cui sono conservati: l’elemento cruciale è sapere chi può accedere alle informazioni, secondo quali regole vengono gestite e se è possibile recuperarle e renderle nuovamente disponibili quando un evento compromette i sistemi IT.

Per questo la governance è ormai parte della responsabilità istituzionale e della continuità dei servizi pubblici. Parlare di sovranità dei dati significa considerare insieme localizzazione, controllo degli accessi, autonomia nella gestione, portabilità e protezione delle informazioni, anche quando queste risiedono in infrastrutture cloud.

Il valore strategico della conformità e della qualifica ACN

Per dare supporto alle PA nelle loro scelte di servizi destinati alla trasformazione digitale, l’Agenzia per la Cybersicurezza Nazionale (ACN) gestisce un sistema di qualificazione e il Catalogo delle Infrastrutture digitali e dei Servizi cloud. La qualificazione ACN è un elemento importante nella valutazione dei fornitori e delle infrastrutture cloud coerenti con i requisiti di sicurezza per la PA.

La diffusione dell’IA nella Pubblica Amministrazione rende ancora più importante affrontare il tema della governance delle tecnologie e dei fornitori. Algoritmi e sistemi intelligenti possono supportare numerosi processi e attività nelle PA, ma la qualità delle risposte e l’affidabilità dei risultati dipendono direttamente dalla qualità, dall’integrità e dalla tracciabilità dei dati utilizzati.

La fiducia nell’IA comincia dalla fiducia nei dati e tale “trust”, come sottolineato anche dalla NIS2, deve poter essere verificabile lungo tutto il ciclo di vita delle informazioni.

Cloud, IA & Trust: dalla complessità alla gestione unificata

Partner e tecnologie qualificati, ovviamente, non esauriscono il compito degli enti: resta loro la responsabilità di verificare la coerenza tra servizi adottati, classificazione dei dati, requisiti di sicurezza e specifiche esigenze operative.

È all’interno di questo scenario che si posizionano gli attori privati specializzati nella data resilience e protezione delle informazioni. Tra le realtà presenti nel Catalogo ACN figura Veeam, i cui servizi cloud puntano ad affiancare le amministrazioni nella traduzione dei requisiti normativi in misure tecnologiche concrete. Le soluzioni proposte si fondano su funzionalità quali immutabilità del dato, gestione automatizzata delle policy e tracciabilità dei ripristini, strumenti pensati per rendere verificabili le attività di sicurezza richieste dagli audit di compliance.

Altro elemento qualificante è il supporto alla Data & AI Governance come condizione abilitante per un’adozione responsabile dell’intelligenza artificiale. Prima ancora di scegliere un modello o una piattaforma, le amministrazioni devono conoscere il proprio patrimonio informativo, classificare le informazioni, stabilire chi può utilizzarle e definire regole di accesso, conservazione e protezione. Devono inoltre poter contare su sistemi che ne preservino l’integrità e consentano di recuperare informazioni attendibili anche in caso di incidenti informatici.

“Una delle difficoltà maggiori che i responsabili IT e i CISO della PA ci riferiscono è quella di governare ambienti tecnologici spesso frammentati”, osserva Danilo Chiavari, Sr. Presales Manager, Italy & Turkey di Veeam. “Sistemi legacy, infrastrutture on-premises, servizi cloud, applicazioni SaaS e nuove piattaforme di intelligenza artificiale convivono all’interno di ecosistemi complessi, nei quali la visibilità sui dati e sulle relative responsabilità può risultare disomogenea”.

Per semplificare il lavoro delle amministrazioni, è essenziale un approccio integrato alla gestione dei dati.

Cloud sovrano, compliance automatizzata e presidio del dato end-to-end

La PA chiede in maniera sempre più urgente infrastrutture cloud sovrane, immutabilità dei dati, strumenti di monitoraggio, applicazione automatizzata delle policy e produzione di report ed evidenze per una compliance automatizzata e protezione degli ambienti digitali. In questa prospettiva, l’integrazione di servizi inseriti nel Catalogo ACN permette agli enti di valutare soluzioni che rispondano direttamente ai quadri normativi previsti per il settore pubblico, secondo un approccio che mette in relazione la sicurezza delle infrastrutture con la governance delle informazioni e la continuità operativa.

Resta essenziale l’immutabilità delle copie di backup: protegge le informazioni da modifiche o cancellazioni non autorizzate e contribuisce a preservare la disponibilità di dati affidabili anche dopo un attacco. Il percorso verso la sovranità dei dati che oggi la PA deve portare avanti deve, dunque, approdare all’adozione di strumenti che permettono di proteggere i dati in base alla loro criticità e, al tempo stesso, affrontare la complessità tecnologica e normativa. La vera sovranità consiste nel poter dimostrare di avere il controllo sul patrimonio digitale, in ogni momento e in molteplici ambienti – ibridi, cloud e multicloud – come requisito essenziale per affrontare anche le situazioni più critiche.

La conformità non è un adempimento documentale da affrontare in occasione di un audit, ma un impianto strategico che si compone di processi verificabili, responsabilità definite e controlli effettivi. La capacità di dimostrare che i dati sono protetti, che gli accessi sono regolati e che le procedure di ripristino funzionano realmente diventa parte integrante della maturità digitale di un’amministrazione.