Confrontare i fornitori senza farsi sedurre
Modulo 2: Cosa significa davvero cloud europeo? · Tempo di lettura: 11 minuti
Obiettivo della lezione: Dopo questa lezione sarà in grado di confrontare nel merito i fornitori europei con una Sua lista di requisiti, di valutare il reale valore dei marchi di qualità e di scegliere tra un servizio tutto in uno, servizi separati o l'hosting in proprio.
Concetti chiave: lista di requisiti (deve, dovrebbe, può), ISO/IEC 27001, ambito di applicazione (scope), ISO/IEC 27701, NEN 7510, BSI C5, SecNumCloud, SOC 2, SLA, disponibilità, lingua del supporto, periodo di prova, referenze, tutto in uno, servizi separati, hosting in proprio
Prima i Suoi requisiti, poi i fornitori
Chi inizia guardando i siti web dei fornitori si lascia guidare da ciò che loro stessi mettono in evidenza: un grande numero di spazio di archiviazione, un pulsante IA, un logo elegante. Parta quindi da Sé stesso. Bakkerij De Korrel ha prima annotato ciò di cui aveva davvero bisogno, e solo dopo ha iniziato a guardare.
Utilizzi a tal fine tre livelli:
- Deve: senza questo il fornitore viene escluso. Ad esempio: dati e backup nello SEE, proprietario europeo, accordo sul trattamento dei dati (DPA, art. 28 GDPR) con elenco dei subresponsabili, posta sul proprio dominio, IMAP e CalDAV, autenticazione a due fattori (2FA).
- Dovrebbe: importante, ma Lei può aggirarlo. Ad esempio: pacchetto office online nel browser, supporto in italiano, app per telefono per le foto.
- Può: piacevole da avere. Ad esempio: videochiamate, moduli, assistenza IA.
Mantenga breve l'elenco dei requisiti indispensabili. Un elenco di trenta punti non lo rispetta nessuno, e allora finisce comunque per scegliere d'istinto.
Tre tipi di offerta
I servizi cloud europei si presentano grosso modo in tre forme.
| Forma | Cosa è | Vantaggi | Attenzione a |
|---|---|---|---|
| Tutto in uno | Un unico fornitore eroga insieme posta, archiviazione, calendario, documenti e chat, come le suite dei grandi fornitori statunitensi | Un solo contratto, un solo accesso, tutto funziona insieme | Dipende di nuovo da un'unica parte; verifichi con particolare attenzione le possibilità di esportazione |
| Servizi separati | Posta presso un fornitore, file e calendario presso un altro, chat presso un terzo | La scelta migliore per ogni componente; minore dipendenza | Più contratti, più accessi, più gestione |
| Hosting in proprio | Lei gestisce software open source (ad esempio Nextcloud) su un server proprio o noleggiato | Controllo massimo | È Lei a occuparsi di aggiornamenti, sicurezza e backup; questo richiede competenze e tempo, ogni settimana |
Molte piccole organizzazioni scelgono una via di mezzo: un servizio gestito basato su software open source. In questo caso un fornitore gestisce il server, ma con lo stesso software Lei può passare a un altro fornitore o all'hosting in proprio, se mai ne avesse bisogno. L'hosting in proprio è una buona idea solo se qualcuno vi dedica tempo in modo strutturale e sa quello che fa. Un Nextcloud che non riceve aggiornamenti per un anno è meno sicuro di un servizio ben gestito, europeo o no.
Marchi di qualità: cosa dicono e cosa non dicono
Ai fornitori piace citare certificazioni. Sono utili, ma deve sapere cosa significano.
| Marchio di qualità | Cosa indica | A cosa fare attenzione |
|---|---|---|
| ISO/IEC 27001 | L'azienda dispone di un sistema di gestione per la sicurezza delle informazioni: rischi mappati, misure adottate, controllo annuale da parte di un organismo di certificazione | L'ambito di applicazione (scope): vale per il servizio che Lei utilizza, o solo per il data center o per un singolo reparto? Il certificato è valido e rilasciato da un organismo accreditato? |
| ISO/IEC 27701 | Estensione della ISO 27001 per la gestione della privacy | Le stesse domande sull'ambito di applicazione |
| NEN 7510 | Norma olandese per la sicurezza delle informazioni nel settore sanitario | Rilevante solo se tratta dati sanitari; in tal caso è spesso un requisito |
| BSI C5 | Catalogo tedesco di requisiti per i servizi cloud del Bundesamt für Sicherheit in der Informationstechnik | Rapporto con osservazioni, non un semplice "superato" |
| SecNumCloud | Qualificazione francese dell'ANSSI per i servizi cloud, con requisiti contro l'accesso da parte di leggi esterne all'UE | Rigorosa; dice molto sull'indipendenza giuridica |
| SOC 2 | Rapporto di audit statunitense (AICPA) sulle misure di sicurezza | Non è un certificato ma un rapporto; richieda il rapporto, non solo il logo |
Due insidie. Primo: il data center è certificato, il fornitore stesso no. In tal caso il certificato dice qualcosa sull'alimentazione elettrica, il raffreddamento e i varchi di accesso, ma nulla su chi può accedere ai Suoi dati. Secondo: un marchio di qualità non risponde alle cinque domande della lezione 2.1. Un servizio statunitense può avere la certificazione ISO 27001 e rientrare comunque nel CLOUD Act.
I piccoli fornitori a volte non hanno certificazioni, perché costano molto. Questo non li rende poco sicuri. Chieda quindi concretamente quali misure adottano: autenticazione a due fattori (2FA) per gli amministratori, crittografia, backup in un'altra sede, politica di aggiornamento, procedura di segnalazione in caso di violazioni dei dati.
Leggere l'SLA
Un SLA (service level agreement) descrive cosa promette un fornitore: disponibilità, tempo di risposta del supporto, finestre di manutenzione e cosa riceve se la promessa non viene mantenuta.
Converta sempre la disponibilità in tempo. Il 99,9% al mese sembra quasi perfetto, ma significa che il servizio può essere irraggiungibile per oltre 43 minuti al mese. Con il 99% sono oltre sette ore. Verifichi anche se la manutenzione programmata viene conteggiata, e quale sia il risarcimento previsto: spesso un piccolo credito, non un rimborso del danno subito.
Legga anche cosa non è scritto. Punti importanti che dovrebbero trovarsi in un SLA o nelle condizioni generali:
- per quanto tempo e dove vengono conservati i backup, e se Lei stesso può ripristinare qualcosa;
- quanto rapidamente viene risolta una falla di sicurezza;
- come viene informato in caso di guasto (pagina di stato, e-mail);
- cosa accade ai Suoi dati dopo la disdetta (lezione 2.3 e 8.2).
Provare, chiedere, testare
La carta è paziente. Non si limiti quindi a confrontare sul sito web:
- Attivi un periodo di prova o un pacchetto ridotto, e vi inserisca un set di test reale: qualche casella di posta, un calendario con appuntamenti ricorrenti, una cartella con i Suoi documenti più complessi (lezione 6.5).
- Ponga al supporto una domanda reale, ad esempio "Come esporto tutto se decido di andarmene?" Osservi la rapidità, la lingua e se la risposta è corretta.
- Richieda i documenti: accordo sul trattamento dei dati, elenco dei subresponsabili, SLA, certificati con relativo ambito di applicazione.
- Chieda referenze di un'organizzazione simile alla Sua, e la contatti.
- Effettui un test di esportazione prima di firmare.
Una tabella di confronto che funziona
Metta i fornitori in colonne e i Suoi requisiti in righe. Compili ogni cella con un dato di fatto corredato di fonte, non un'impressione. Esempio di alcune righe per il panificio:
| Requisito | Livello | Fornitore A | Fornitore B | Fornitore C |
|---|---|---|---|---|
| Proprietario europeo | deve | sì (registro delle imprese) | no (società madre negli USA) | sì (bilancio annuale) |
| Dati e backup nello SEE | deve | sì (DPA allegato 1) | sì | sì, backup in CH (adeguato) |
| IMAP, CalDAV, CardDAV | deve | sì (testato) | solo app proprietaria | sì (testato) |
| Esportazione di tutto in formati standard | deve | sì (testato) | parzialmente | sì |
| Pacchetto office online | dovrebbe | sì | sì | no |
| Supporto in italiano | dovrebbe | sì | no | sì |
Il Fornitore B viene escluso per due requisiti indispensabili, per quanto il resto sia valido. Tra A e C la decisione si basa sui requisiti auspicabili.
Nella pratica: ecco come si presenta presso un fornitore
Un Nextcloud WebOké è un esempio di servizio gestito basato su software open source: può scegliere tra un ambiente condiviso e un server proprio per pacchetto, e il software è lo stesso Nextcloud che può utilizzare anche presso altri fornitori o in hosting proprio. Altri fornitori europei offrono forme simili: servizi tutto in uno con posta, archiviazione e calendario (ad esempio mailbox.org, Infomaniak, Proton o IONOS), servizi di posta separati (ad esempio Posteo o Tuta) e server per l'hosting in proprio (ad esempio presso Hetzner, OVHcloud, Scaleway o STACKIT). Questo corso non sceglie al Suo posto: utilizzi la lista dei requisiti.
Riepilogo
- Parta dai Suoi requisiti, suddivisi in deve, dovrebbe e può. Mantenga breve l'elenco dei requisiti indispensabili.
- Scelga consapevolmente tra tutto in uno, servizi separati e hosting in proprio; l'hosting in proprio richiede competenze e tempo in modo strutturale.
- Un marchio di qualità dice qualcosa soprattutto entro il proprio ambito di applicazione, e non risponde alla domanda sulla proprietà.
- Converta la disponibilità in tempo e legga cosa non è scritto nell'SLA.
- Testi con un periodo di prova, una vera domanda al supporto e un test di esportazione prima di firmare.
Quiz
Esercizio
Esercizio E2.4: La Sua lista di requisiti e confronto. Crei una lista di requisiti con almeno cinque requisiti indispensabili e tre requisiti auspicabili. Confronti con essa due o tre fornitori in una tabella come quella sopra, con un dato di fatto e una fonte per ogni cella. Spieghi in tre frasi quale fornitore sceglierebbe e perché.
Esercizio E2.4: Il Suo elenco di requisiti e confronto
Stili un elenco di requisiti e confronti due o tre fornitori (colonne: requisito, livello deve/dovrebbe/può, fornitore 1, 2, 3).
Le Sue spunte e note restano solo in questo browser; non le inviamo da nessuna parte. Se ha effettuato l'accesso, conserviamo in I miei corsi solo il fatto che ha svolto l'esercizio.
Per approfondire
I passaggi descritti in questi articoli valgono per i servizi di WebOké; presso altri fornitori funziona in modo analogo.
- Guida a Nextcloud 1.4: Nextcloud Free, Personal, Family e Max: differenze e passaggio ad altro piano
- Guida WebOké 2.2: Scegliere un piano di hosting (hosting web, piano e-mail, Nextcloud, AI Builder)
- Guida a Nextcloud 6.6: Backup presso WebOké: cosa conserviamo noi e cosa può fare Lei stesso
- ISO/IEC 27001:2022, Information security management systems (iso.org, standaard 27001)
- BSI C5 (Cloud Computing Compliance Criteria Catalogue): https://www.bsi.bund.de/EN/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/Kriterienkatalog-C5/kriterienkatalog-c5_node.html