Quando un ente acquista un servizio digitale, la valutazione tecnica non riguarda solo le funzioni. Riguarda anche dove risiedono i dati, chi può accedervi e cosa succede se il fornitore ha un incidente.
Qualificazione ACN
I servizi cloud destinati alla Pubblica Amministrazione devono essere qualificati e presenti nel catalogo dell'Agenzia per la Cybersicurezza Nazionale. La verifica è pubblica: si controlla il nome del servizio, non solo quello dell'azienda, perché la qualificazione riguarda il singolo servizio erogato.
Cosa dicono davvero le ISO
La 9001 riguarda l'organizzazione dei processi; la 27001 la gestione della sicurezza delle informazioni; la 27017 i controlli specifici per i servizi cloud; la 27018 il trattamento dei dati personali in cloud. Per ognuna vanno controllati l'ente certificatore, la data di scadenza e soprattutto il perimetro: una certificazione può coprire solo una parte delle attività aziendali.
Domande utili in fase di gara
Dove sono fisicamente ospitati i dati; chi ha accesso amministrativo agli ambienti; con quale frequenza vengono eseguiti i backup e quando è stato effettuato l'ultimo test di ripristino; quali sono i tempi contrattuali di presa in carico per gravità dell'incidente; cosa viene consegnato all'ente in caso di cessazione del rapporto.
Subfornitori e catena di responsabilità
Quasi nessun fornitore eroga tutto da solo: c'è chi mette l'infrastruttura, chi la connettività, chi l'assistenza. Il contratto deve dire chi sono i subfornitori, dove operano e chi risponde all'Ente in caso di problema. Un'azienda certificata che si appoggia a un soggetto non qualificato per la parte più critica del servizio offre una garanzia solo apparente.
Cosa succede durante un incidente
Le certificazioni descrivono procedure; la prova sta nell'attuazione. Vale la pena chiedere come viene comunicato un incidente, entro quanto tempo, a chi, e se esiste un canale attivo fuori dall'orario di ufficio. Un fornitore abituato a gestire servizi pubblici risponde con tempi e nomi, non con formule generiche.
Il punto spesso trascurato
L'uscita. Un contratto ben scritto stabilisce in che formato i dati verranno restituiti, con quali tempi e con quale supporto alla migrazione verso un altro fornitore. È la clausola che determina se l'Ente resta libero di cambiare, e conviene negoziarla all'inizio, quando si ha ancora potere contrattuale, non alla scadenza.