Definizione di Cloud Computing e le novità del GDPR

La definizione di Cloud Computing data dal NIST (National Institute of Standards and Technology) nel Settembre 2011, è la seguente:

“Il Cloud Computing è un modello per abilitare, tramite la rete, l’accesso diffuso, agevole e a richiesta, ad un insieme condiviso e configurabile di risorse di elaborazione (ad esempio reti, server, memoria, applicazioni e servizi) che possono essere acquisite e rilasciate rapidamente e con minimo sforzo di gestione o di interazione con il fornitore di servizi.”

In sostanza il Cloud Computing è una delocalizzazione delle risorse di elaborazione, di memorizzazione e di contenuti, distribuiti e raggiungibili attraverso la rete.

Tale sistema consente di incrementare le capacità di memorizzazione fisica e di elaborazione grazie allo spostamento della gestione dei dati dal singolo elaboratore a strutture centralizzate.

Possiamo distinguere due vantaggi principali 

• una maggiore flessibilità e mobilità,  in quanto si consente l’accesso ai propri dati sia da un qualsiasi dispositivo mobile (come uno smartphone o un tablet), sia da uno fisso (come un PC o un server);  
• una maggiore capacità di memorizzazione dei dati e riduzione dei costi rispetto a soluzioni tradizionali distribuite.

Nell’ambito del cloud computing è ormai prassi consolidata distinguere tra private cloud e public cloud.

Una private cloud (o nuvola privata) è un’infrastruttura informatica realizzata per rispondere alle esigenze di una singola organizzazione, ubicata nei suoi locali o affidata in gestione ad un terzo e nei confronti del quale il titolare dei dati può spesso esercitare un controllo puntuale.

Le private cloud possono essere paragonate ai tradizionali “data center” nei quali, però, sono usati degli accorgimenti tecnologici che permettono di ottimizzare l’utilizzo delle risorse disponibili e di potenziarle attraverso investimenti contenuti e attuati progressivamente nel tempo.

Nel caso delle public cloud, invece, l’infrastruttura è di proprietà di un fornitore specializzato nell'erogazione di servizi che mette a disposizione di utenti, aziende o amministrazioni - e quindi condivide tra di essi - i propri sistemi attraverso l’erogazione via web di applicazioni informatiche, di capacità elaborativa e di stoccaggio.

La fruizione di tali servizi avviene tramite la rete Internet e implica il trasferimento dell’elaborazione o dei soli dati presso i sistemi del fornitore del servizio, il quale assume un ruolo importate in ordine all’efficacia delle misure adottate per garantire la protezione dei dati che gli sono stati affidati. In questo caso l’utente insieme ai dati, infatti, cede una parte importante del controllo esercitabile su di essi.

Con modelli di servizio si fa riferimento principalmente a 3 diverse soluzioni di cloud computing  disponibili sul mercato e che si riferiscono sia a soluzioni di private cloud che di public cloud

• IaaS (Cloud Infrastructure as a Service - infrastruttura cloud resa disponibile come servizio), il fornitore noleggia un’infrastruttura tecnologica, cioè server virtuali remoti che l'utente finale può utilizzare con tecniche e modalità che ne rendono semplice, efficace e produttiva la sostituzione o l'affiancamento ai sistemi già presenti nei locali dell'azienda. Tali fornitori sono in genere operatori di mercato specializzati che realmente dispongono di un'infrastruttura fisica, complessa e spesso distribuita in aree geografiche diverse.

• SaaS (Cloud Software as a Service - software erogato come servizio della cloud ), il fornitore eroga via web una serie di servizi applicativi ponendoli a disposizione degli utenti finali. Tali servizi sono spesso offerti in sostituzione delle tradizionali applicazioni installate localmente dall'utente sui propri sistemi, che è quindi spinto ad “esternalizzare” i suoi dati affidandoli al fornitore. Si pensi, ad esempio, ad applicazioni tipiche per l’ufficio erogate in modalità web quali fogli di calcolo, elaborazione dei testi, applicazioni per il protocollo informatico, la rubrica dei contatti e i calendari condivisi, ma anche alle moderne offerte di posta elettronica cloud.

• PaaS (Cloud platform as a service - piattaforme software fornite via web come servizio), il fornitore offre soluzioni per lo sviluppo e l’hosting evoluto di applicazioni. In genere questo tipo di servizi è rivolto a operatori di mercato che li utilizzano per sviluppare e ospitare soluzioni applicative proprie, allo scopo di assolvere a esigenze interne oppure per fornire a loro volta servizi a terzi. Anche nel caso dei PaaS il servizio erogato dal fornitore elimina la necessità per il fruitore di doversi dotare internamente di strumenti hardware o software specifici o aggiuntivi.

La normativa GDPR è intervenuta in materia di Cloud con un impatto immediato su modalità e fattori di valutazione con cui le aziende selezioneranno i cloud provider e contrattualizzeranno i servizi da essi offerti. L'obbiettivo è quello di innalzare i livelli generali di protezione contro le minacce

Tra le novità più importanti si segnala l’aggravamento della posizione del data processor (e, quindi, del cloud provider che, normalmente, agisce per l’appunto in qualità di responsabile del trattamento), all’aumentata attenzione ai profili relativi alla sicurezza o ai maggiori oneri di formalizzazione degli obblighi correlati al trattamento dati, che, inevitabilmente, renderanno gli accordi di servizio più dettagliati e trasparenti.

Inoltre, il regime di responsabilità solidale tra controller e processor introdotto dall’articolo 82 del GDPR, che implicherà indubbiamente una maggiore responsabilizzazione dei cloud providers e che costituisce una delle novità assolute introdotte dalla nuova normativa.

Rispetto alla previgente normativa sia l’azienda titolare del trattamento che il cloud provider che agiscono in qualità di responsabili e quest'ultimo potrebbe essere chiamato a rispondere direttamente e per l’intero ammontare del danno cagionato nei confronti degli interessati.

Il legislatore europeo ha inoltre introdotto un approccio tipo “risk based”, con il quale si intende un approccio basato sul rischio individuato di volta in volta dall'azienda. 

La normativa introduce, infine, nuovi oneri di formalizzazione, che imporranno, in capo ai cloud providers, maggiori sforzi di chiarezza e trasparenza nella redazione dei propri accordi di servizio e, in capo alle aziende intenzionate a valutare l’adozione di servizi cloud, una maggiore attenzione ai contenuti contrattuali.