Hosting e cloud per le organizzazioni svizzere: sedi, prestazioni e contratti

Perché sede, portata delle prestazioni e partner contrattuale vanno di pari passo

Chi acquista servizi di hosting o cloud per un'organizzazione svizzera deve rispondere contemporaneamente a tre domande: dove risiedono i dati, quali prestazioni sono realmente necessarie e quale società sarà la controparte contrattuale? I punti sono interconnessi, ma possono essere esaminati separatamente.

ePost sottolinea che non è decisivo solo il Paese in cui si trovano i server, ma anche quale diritto si applica e chi stipula il contratto. Chi verifica solo la sede lascia aperti due aspetti essenziali.

Di seguito vengono citate entità concrete: la regione svizzera Zurigo di Google Cloud Platform, le regioni Azure Svizzera Nord e Svizzera Ovest, la regione infrastrutturale AWS Svizzera attiva dal novembre 2022, l'offerta Azure di Swisscom nonché i fornitori svizzeri METANET, Nine e Speicherbox.ch. Ciascuna di queste entità va esaminata singolarmente per quanto riguarda sede, portata delle prestazioni e controparte contrattuale.

«In Svizzera» non significa automaticamente la stessa cosa

I grandi fornitori di piattaforme gestiscono ormai regioni svizzere. ePost gestisce i suoi sistemi produttivi in data center svizzeri, utilizzando a tal fine Google Cloud Platform nella regione svizzera Zurigo.

I dati dei contenuti rimangono esclusivamente in Svizzera; i backup si trovano in un secondo data center fisicamente separato, anch'esso in Svizzera.

In questo modo viene definito anche il diritto applicabile. I dati dei contenuti sono archiviati ed elaborati esclusivamente in Svizzera e secondo il diritto svizzero; sono soggetti alla Legge federale sulla protezione dei dati (LPD) e, se applicabile, al Regolamento generale sulla protezione dei dati (RGPD).

Amazon ha avviato una propria regione infrastrutturale in Svizzera nel novembre 2022. Microsoft elenca nelle sue regioni per la Svizzera le regioni Azure Svizzera Nord e Svizzera Ovest (switzerlandwest). I fornitori svizzeri come Swisscom integrano le proprie offerte cloud con le piattaforme globali di AWS e Microsoft Azure.

Accanto a questi vi sono fornitori con propri data center ad alta sicurezza. Essi garantiscono che i dati siano archiviati esclusivamente su server in Svizzera e che non avvenga alcun archiviazione all'estero. Speicherbox.ch definisce questa situazione come protezione dei dati e foro giurisdizionale conformi alle prescrizioni svizzere.

Anche i classici hoster svizzeri mettono in primo piano la sede: METANET punta sui data center svizzeri e offre un server cloud virtuale con sede in Svizzera. Nine offre colocation e server housing nei suoi data center di Zurigo, ovvero l'alloggiamento di hardware proprio.

La sola sede, tuttavia, non dice nulla sull'accesso. ePost segnala che il US CLOUD Act può obbligare i fornitori con legami agli Stati Uniti a consegnare i dati su ordine giudiziario in un procedimento penale, anche se i dati si trovano fisicamente fuori dagli USA. Secondo questa rappresentazione, molti Paesi conoscono diritti di accesso comparabili.

Alla questione della sede appartiene quindi sempre la gestione delle chiavi: presso ePost la gestione delle chiavi spetta al fornitore stesso e viene esercitata indipendentemente dal fornitore cloud. Il fornitore cloud non possiede le chiavi necessarie per la decrittografia.

Cifre sul panorama cloud svizzero

Dal semplice spazio di archiviazione alla piattaforma managed

Lo spettro delle prestazioni va dal semplice salvataggio di file fino a piattaforme completamente gestite. Per l'archiviazione e la collaborazione conta la possibilità di elaborare documenti congiuntamente: Speicherbox.ch consente la modifica e la condivisione simultanea di documenti Word, Excel e PowerPoint tramite un editor Office integrato, senza software aggiuntivo.

A ciò si aggiungono autorizzazioni individuali – ad esempio per collaboratori, team e responsabili di progetto – nonché offerte differenziate per aziende, associazioni e ONP, scuole e prestatori di servizi IT.

Un secondo blocco comprende l'invio di documenti e la consegna. Presso ePost i dati sono crittografati durante il trasferimento e l'archiviazione; nell'invio il documento viene protetto lato mittente e ricrittografato per la consegna al destinatario. In seguito, il mittente non ha alcun accesso automatico alla versione del destinatario.

Il terzo blocco riguarda i servizi di piattaforma cloud e le relative prestazioni. Swisscom descrive la sua offerta Azure come un accompagnamento dalla pianificazione ai progetti di implementazione fino alla gestione della piattaforma, includendo architettura, sicurezza, governance, compliance e gestione dei costi, nonché lo sviluppo di soluzioni in ambiti come Big Data o IoT.

Per le amministrazioni pubbliche si aggiunge il catalogo standardizzato dei servizi TIC come base d'acquisto: il catalogo dei servizi della Confederazione elenca servizi standard TIC con portata delle prestazioni definita, ad esempio la comunicazione dati verso e tra le sedi e gli uffici esecutivi dell'amministrazione federale.

La Confederazione acquista tali servizi tramite il suo catalogo dei servizi. L'edizione Catalogo dei servizi 2027 Servizi standard TIC elenca servizi standard con portata delle prestazioni definita; come esempio viene citata la comunicazione dati (DAKO) verso e tra le sedi e gli uffici esecutivi dell'amministrazione federale.

Scelta della piattaforma: hyperscaler, fornitori svizzeri o ibrido

Invece di una classifica, aiutano criteri di selezione adeguati alla propria situazione di partenza. Un confronto di procloud.ch indica come punto di forza di Microsoft Azure in Svizzera la profonda integrazione con le tecnologie Microsoft come Windows Server, SQL Server e Active Directory.

Oltre a Microsoft e Amazon, Google è uno dei tre fornitori che attirano direttamente l'attenzione per prodotti e servizi cloud. Microsoft Azure Svizzera e Google Cloud Svizzera vengono messi direttamente a confronto.

Chi li utilizza già trova un collegamento più fluido rispetto ad AWS. Viene inoltre sottolineata l'idoneità per ambienti ibridi, in cui risorse locali e cloud interagiscono, ad esempio tramite Azure Stack come variante locale di Azure.

A ciò si aggiungono l'offerta di servizi di IA e machine learning nonché le tecnologie desktop cloud Windows Azure Virtual Desktop e Windows 365.

Come controparte, lo stesso confronto cita il prezzo e l'esperienza di AWS, che ha lanciato i suoi servizi cloud prima dei concorrenti. Anche l'ampiezza dei programmi di compliance è un criterio: secondo questa rappresentazione, il programma di compliance AWS soddisfa 75 standard, quello di Azure 91.

Per molte organizzazioni la domanda non è quindi «hyperscaler o fornitore svizzero», ma «quale combinazione». Swisscom si posiziona come partner per un hyperscaler globale, combinando competenza locale con le piattaforme di Azure e AWS.

Già nel 2017 l'azienda ha integrato la propria cloud con offerte di AWS e Microsoft Azure. Supporta i clienti con workshop di introduzione e servizi di consulenza.

Hyperscaler vs. fornitori svizzeri: vantaggi e svantaggi in sintesi

Contratti, accesso e crittografia

Prima della stipula del contratto vanno chiariti direttamente alcuni punti: chi è la controparte contrattuale – ha sede in Svizzera o appartiene a una casa madre estera? Il fornitore può accedere autonomamente ai dati crittografati? Dove si trova la gestione delle chiavi e come vengono controllati gli accessi?

Giuridicamente, l'hosting è generalmente un'elaborazione incaricata. L'IFPDP sottolinea: anche se affidate l'elaborazione di dati personali a un incaricato dell'elaborazione, rimanete responsabili della protezione dei dati. Il contratto con il fornitore dovrebbe quindi stabilire come questi elabora, protegge e, su istruzione, rilascia o cancella i dati.

ePost afferma che gli accessi ai contenuti avvengono solo in modo controllato e descrive la crittografia come relativa al mandante e al documento, sia durante il trasferimento che durante l'archiviazione. Speicherbox.ch garantisce che nemmeno il fornitore stesso abbia possibilità di accesso alle librerie crittografate.

ePost quantifica la protezione: TLS 1.2+ per il trasferimento, AES-256 per l'archiviazione. La crittografia avviene in relazione al mandante e al documento, gli accessi ai contenuti solo in modo controllato.

Gli enti pubblici necessitano di una base legale per i sistemi di elaborazione automatizzata di dati personali. Una guida legislativa sulla protezione dei dati, come quella pubblicata dalla città di Bienne, regola l'elaborazione di tali basi legali.

Determinante è la Legge federale sulla protezione dei dati (LPD) completamente rivista; la vecchia legge sulla protezione dei dati era valida fino al 31.08.2023. L'autorità di vigilanza è l'Incaricato federale della protezione dei dati e della trasparenza (IFPDP): ai sensi dell'art. 51 cpv. 1 LPD, egli è autorizzato a emanare disposizioni qualora da un'indagine risultino violazioni delle prescrizioni sulla protezione dei dati.

Nel contratto va inclusa anche la gestione operativa. ePost rimanda a un'infrastruttura progettata in modo ridondante e a processi definiti di emergenza e ripristino.

Nei progetti di piattaforma cloud, secondo Swisscom, sorgono ulteriori domande: chi si occupa di compliance, migrazione, licenze e risoluzione dei guasti? Il supporto e la risoluzione dei guasti dovrebbero essere regolati con le stesse obbligazioni della sede di archiviazione e della crittografia.

Modelli di costo e il percorso verso l'esercizio

Nelle logiche di fatturazione si confrontano due modelli. Da un lato ci sono prezzi mensili fissi con varianti di ingresso gratuite e fasi di test: Speicherbox.ch indica un prezzo a partire da CHF 9.90 al mese, uno spazio di archiviazione gratuito di 10 GB e una fase di test gratuita di 30 giorni.

Le varianti di ingresso gratuite sono diffuse anche presso i grandi servizi di archiviazione. Dall'altro lato c'è il pagamento in base all'utilizzo nel cloud: Swisscom descrive l'obiettivo di concepire l'infrastruttura Azure in modo che si paghi solo ciò che viene effettivamente utilizzato.

Presso i grandi servizi di archiviazione, le varianti di ingresso gratuite sono elencate con nome e volume: Apple iCloud con 5 GB, Dropbox Basic con 2 GB e Google con 15 GB. Per Microsoft 365 è indicata una variante gratuita.

Il percorso verso l'esercizio non è un atto unico. Pianificazione, migrazione, esercizio e ottimizzazione dei servizi cloud sono, secondo la valutazione di Swisscom, impegnativi e dovrebbero essere impostati come un processo coerente, con la gestione dei costi come componente fissa.

Chi vuole ottimizzare i costi deve quindi intervenire già nella pianificazione e nella migrazione e verificare regolarmente l'economicità durante l'esercizio.

Confronto dei prezzi: archiviazione cloud per organizzazioni in Svizzera

Percorso verso l'esercizio: pianificazione, migrazione e ottimizzazione

Aiuto alla decisione per le organizzazioni svizzere

Dove girano i sistemi produttivi, dove si trovano i backup? Produzione e backup non dovrebbero trovarsi solo nello stesso Paese, ma possibilmente in data center fisicamente separati.

Quale diritto si applica ai dati e chi è la controparte contrattuale? Verificate se la controparte contrattuale ha sede in Svizzera o appartiene a un gruppo estero.

Secondo quale diritto vengono elaborati i dati dei contenuti? Chiarite se si applica la Legge federale sulla protezione dei dati (LPD) e se il RGPD è inoltre applicabile.

Chi detiene le chiavi? Chiarite se la gestione delle chiavi spetta al fornitore o al gestore cloud e se il fornitore cloud potrebbe effettuare autonomamente la decrittografia.

Come vengono controllati gli accessi e come sono regolati i processi di emergenza e ripristino? Chiedete inoltre informazioni su ridondanza, supporto e risoluzione dei guasti.

Quali prestazioni sono realmente necessarie – dall'archiviazione di file e dall'elaborazione congiunta di documenti all'invio di documenti e ai concetti di autorizzazione, fino ai servizi di piattaforma, alla migrazione e all'esercizio? Le amministrazioni pubbliche verificano inoltre se cataloghi standardizzati di servizi TIC, come il Catalogo dei servizi 2027, possano servire come base d'acquisto.

Come avviene la fatturazione – prezzi mensili fissi con varianti di ingresso gratuite e fasi di test o in base all'utilizzo? E come vengono ancorati pianificazione, migrazione, ottimizzazione dei costi ed esercizio corrente come processo coerente?

Aiuto alla decisione: domande importanti prima dell'impegno cloud