Sovranità digitale: quando il rischio non è più l'hacker, ma la geopolitica
La Francia che abbandona Teams e Zoom per una piattaforma propria. Airbus cerca un cloud fuori dalla portata delle autorità statunitensi. L'Europa rilancia un circuito di pagamenti indipendente. Tre notizie diverse, un unico filo: la resilienza digitale non riguarda più solo i cybercriminali, ma la fiducia tra Stati.
Per anni, quando parlavamo di rischio informatico, l'avversario aveva un profilo abbastanza definito: il cybercriminale, il gruppo ransomware, l'hacktivista. Qualcuno che sta fuori e cerca di entrare. Oggi lo scenario si è allargato, e tra le variabili da mettere nell'analisi del rischio ce n'è una nuova e scomoda: le Nazioni stesse si guardano con crescente sospetto, e ciò che ieri si dava per acquisito — la disponibilità continua di una piattaforma, la riservatezza dei dati che vi transitano — oggi merita di essere rimesso in discussione.
Tre episodi recenti, apparentemente scollegati, raccontano bene questo spostamento.
Tre segnali convergenti
Il primo arriva dalla Francia, che progetta di abbandonare le tecnologie di meeting americane — Teams, Zoom — per sviluppare una propria piattaforma governativa di comunicazione e videoconferenza. Un segnale politico prima ancora che tecnologico: Parigi, da sempre sensibile al tema, rivendica la propria "sovranità digitale" in un momento di tensioni internazionali crescenti.
Il secondo riguarda Airbus, che ha posto il problema della sovranità sui dati in termini molto concreti. Il Cloud Act statunitense consente, in teoria, alle autorità americane di accedere ai dati conservati dalle grandi società tecnologiche a stelle e strisce ovunque questi si trovino fisicamente. Di qui la volontà di custodire le informazioni più preziose fuori da quella giurisdizione.
Il terzo è di natura finanziaria: buona parte dei pagamenti elettronici in Europa passa oggi per circuiti extra-UE — leggasi Visa e Mastercard. Da qui il ritorno di vigore all'idea di un circuito di pagamento europeo indipendente, che consenta l'interoperabilità dei vari sistemi nazionali, e all'orizzonte l'euro digitale.
Il filo comune: dipendenza e resilienza
A tenere insieme i tre episodi c'è un concetto che, come professionista della continuità operativa, non posso che trovare centrale: la dipendenza da un fornitore diventa un rischio strategico quando quel fornitore risponde a una giurisdizione, o a interessi, che potrebbero un giorno non coincidere con i tuoi.
La domanda che questi casi pongono è la stessa che ci si dovrebbe porre in qualsiasi analisi di continuità: come possiamo tutelarci da uno spegnimento arbitrario di una piattaforma cloud da cui dipendiamo? O dallo spionaggio dei dati che vi transitano? Non sono ipotesi di fantascienza: sono scenari di rischio che l'attuale contesto internazionale ha reso valutabili, e che quindi vanno valutati.
È qui che la disciplina della business continuity mostra il suo valore oltre l'ambito puramente ICT. L'analisi del rischio di continuità, unita alla business impact analysis, serve esattamente a identificare i punti di dipendenza critica e a costruire strategie alternative prima che il rischio si materializzi. L'individuazione dei fornitori critici — e la valutazione di cosa succederebbe se uno di essi venisse meno, per motivi tecnici, commerciali o geopolitici — è il cuore di un sistema di gestione della continuità operativa maturo. Uno standard come la ISO 22301 esiste proprio per dare struttura a questo tipo di ragionamento, e per dimostrare al mercato che un'organizzazione è in grado di restare operativa in condizioni avverse.
Un tema che ci riguarda
L'indipendenza — o "sovranità", se si preferisce — digitale è diventata una moneta di scambio sul tavolo internazionale. Sarebbe auspicabile disporre di soluzioni europee in tutte le tecnologie che oggi diamo per scontate: dagli antimalware ai firewall, fino ai motori di intelligenza artificiale. Non per un riflesso protezionistico, ma perché la resilienza di un sistema si misura anche sulla diversificazione delle sue dipendenze.
L'Europa si trova in mezzo ai giganti, e non è più così chiaro chi sia amico e chi no. In un contesto simile, ridurre le esposizioni al rischio ovunque si annidino non è diffidenza: è buona gestione. La resilienza, ICT e non solo, dovrebbe essere il primo pensiero di ogni organizzazione — e questi tre episodi sono il promemoria che il perimetro del rischio si è appena allargato oltre i confini che eravamo abituati a difendere.
Questo articolo raccoglie e collega tre notizie di cronaca su sovranità e resilienza digitale europea. Le riflessioni hanno finalità divulgative e riflettono il punto di vista dell'autore.
Commenti
Posta un commento