Chi gestisce l’accesso ai dati? La sfida della sovranità operativa

Per molto tempo il dibattito sulla sovranità digitale si è concentrato principalmente sulla localizzazione dei dati e la convinzione che un’informazione conservata all’interno dei confini nazionali o europei sia automaticamente sotto controllo. Un’impostazione che ha guidato strategie tecnologiche, investimenti infrastrutturali e scelte normative. Oggi questa equazione appare sempre meno sufficiente a descrivere la realtà operativa che vivono aziende, imprese e istituzioni pubbliche. L’evoluzione del cloud computing, la diffusione di architetture ibride e multi-cloud e la crescente complessità delle catene di fornitura digitali hanno progressivamente separato due dimensioni che in passato tendevano a coincidere: il luogo in cui risiedono i sistemi e il luogo da cui vengono amministrati. Un’organizzazione può disporre di dati archiviati in Italia o nella UE, utilizzare tecnologie di cifratura particolarmente avanzate e operare in piena conformità ai requisiti normativi europei. Ciò non esclude però che la gestione quotidiana delle infrastrutture venga effettuata da personale che opera da altre giurisdizioni attraverso accessi remoti privilegiati. In questo scenario, la localizzazione del dato rappresenta una condizione sì necessaria ma non sempre sufficiente a garantire un controllo effettivo del dato stesso.
La questione centrale diventa allora un’altra: chi può realmente accedere ai sistemi? Il concetto di sovranità sta progressivamente assumendo una dimensione più operativa che infrastrutturale aggiungendo al possesso delle piattaforme e alla collocazione geografica dei data center anche la capacità di governare gli accessi, supervisionare le attività amministrative e mantenere il controllo sulle operazioni critiche. Si tratta di una riflessione che si inserisce in un contesto più ampio, in cui autonomia strategica e riduzione delle dipendenze tecnologiche hanno rafforzato l’attenzione al tema del controllo effettivo delle infrastrutture digitali, condizione che vari esperti ritengono essenziale per la competitività economica e industriale dell’Europa. Allo stesso modo, le iniziative comunitarie dedicate a cloud, AI e cybersicurezza stanno progressivamente spostando il focus dal semplice utilizzo delle tecnologie alla governance delle stesse. In altre parole, la domanda che rimbalza sul tavolo di CEO, CIO e decisori pubblici è sostanzialmente la seguente: chi è realmente in grado di intervenire sui sistemi che ospitano e custodiscono i dati?

Accessi privilegiati e resilienza operativa
Il punto di incontro tra sicurezza e sovranità è rappresentato dagli accessi privilegiati, ovverosia account amministrativi che consentono di configurare infrastrutture, modificare impostazioni, accedere ai dati e gestire componenti critiche di un ambiente digitale. Dal punto di vista della cybersecurity, questi accessi costituiscono da sempre una delle principali superfici di rischio; mentre nell’ambito della sovranità rappresentano invece il vero punto di controllo dei sistemi. Un amministratore dotato di privilegi elevati, per fare un esempio concreto, può infatti incidere sull’operatività di un ambiente molto più di quanto possano fare procedure, policy o vincoli formali.
Per questo motivo la collocazione fisica e giuridica dei team che amministrano le piattaforme assume un’importanza crescente, e diventa altresì cruciale il luogo da cui operano e a quale ordinamento giuridico rispondono. Governare questi accessi significa adottare modelli nei quali ogni intervento sia autorizzato, monitorato e tracciato; andando più in profondità, significa disporre di strumenti di Privileged Access Management, di modelli per limitare i privilegi (di accesso) al tempo strettamente necessario e applicare principi di segregazione delle responsabilità e controllo reciproco.
La differenza è sostanziale: non si tratta semplicemente di impedire accessi non autorizzati, ma di costruire un sistema in grado di garantire che nessun accesso possa avvenire senza supervisione, consapevolezza e verificabilità. A questo aspetto si aggiunge una seconda dimensione, sempre più strategica per la sicurezza digitale, vale a dire la resilienza operativa. Le tensioni geopolitiche degli ultimi anni hanno evidenziato come la continuità dei servizi digitali possa essere influenzata da fattori che esulano completamente dal controllo delle singole organizzazioni, dalle sanzioni internazionali ai cambiamenti normativi, dalle restrizioni commerciali alle decisioni assunte da soggetti collocati in altre giurisdizioni che possono produrre effetti diretti sulla disponibilità di tecnologie e servizi essenziali. La sovranità operativa e la resilienza stanno così convergendo in un unico obiettivo, quello di garantire che il controllo delle infrastrutture digitali rimanga effettivamente nelle mani di chi ne è realmente responsabile.

Controllo, governance e continuità: l'approccio di TIM Enterprise
Se la sovranità digitale si misura sempre più sulla capacità di gestire gli accessi e mantenere il controllo delle operations, è facilmente intuibile come l’affrontare questa tematica esclusivamente sul piano tecnologico sia riduttivo. Servono invece competenze, processi, governance e una chiara collocazione giuridica delle attività critiche. Ed è in questo contesto che si inserisce la proposta di TIM Enterprise, costruita attorno ai principi di controllo operativo, supervisione degli accessi e continuità dei servizi.
Il primo ambito di intervento riguarda la dimensione giuridica e organizzativa. I sistemi gestiti da TIM sono infatti amministrati da team presenti sul territorio nazionale e soggetti al diritto italiano e dal punto di vista della sovranità operativa, la differenza non è marginale: un accesso privilegiato esercitato da personale che opera all’interno del quadro normativo italiano presenta caratteristiche profondamente diverse rispetto a un accesso esercitato da soggetti che rispondono a ordinamenti differenti. Il secondo elemento riguarda la governance. TIM Enterprise adotta modelli che consentono di rendere ogni intervento sui propri sistemi critici visibile e controllabile e di gestire gli accessi privilegiati attraverso procedure strutturate, autorizzazioni limitate nel tempo e applicazione del principio “dei quattro occhi”. L’azienda cliente, inoltre, mantiene sempre un ruolo attivo nel processo, potendo autorizzare preventivamente gli interventi da parte del provider tecnologico secondo modalità definite e tracciabili.
Un terzo fattore distintivo dell’approccio alla sovranità di TIM Enterprise, non in ultimo, è rappresentato dalla resilienza operativa. Le attività di gestione e supporto non dipendono da strutture collocate al di fuori dell’Unione Europea e possono quindi garantire continuità in qualsiasi scenario. Una caratteristica che assume particolare rilevanza per le organizzazioni chiamate a soddisfare i requisiti di continuità previsti dalla NIS2 e dal regolamento DORA per il settore finanziario. A rafforzare questo approccio vi è infine l’esperienza maturata da TIM nella gestione di infrastrutture critiche e ambienti sensibili destinati alla pubblica amministrazione e ai settori regolamentati, contesti nei quali sicurezza, affidabilità e controllo rappresentano requisiti imprescindibili.
La sovranità digitale, in definitiva, non riguarda soltanto il luogo in cui risiedono i dati ma anche le persone che possono accedere ai sistemi, i processi che regolano tali accessi e la continuità operativa nel tempo. Nella complessità dello scenario attuale, il controllo degli accessi privilegiati e la resilienza operativa sono destinate a diventare due degli indicatori più concreti della capacità di un’organizzazione di mantenere il governo delle proprie infrastrutture digitali.