In un’organizzazione con requisiti di compliance elevati, la sicurezza non è una sezione del contratto: è un criterio di selezione.
La differenza è operativa. Se la sicurezza è una sezione del contratto, viene affrontata dopo aver scelto il fornitore, e a quel punto le clausole si negoziano su un’architettura già decisa. Se è un criterio di selezione, alcune risposte escludono un fornitore prima che la valutazione tecnica cominci.
Le sette domande che seguono vanno poste per iscritto e vanno ripetute per iscritto quando la risposta è generica.
1. Dove risiedono i dati e chi vi accede
La domanda va scomposta. Dove risiedono durante l’elaborazione, dove risiedono a riposo, dove risiedono le copie di sicurezza, dove risiedono i log.
Sono quattro localizzazioni che possono differire. Un servizio con dati a riposo in area europea può elaborare o registrare log altrove.
Sull’accesso: quali categorie di personale del fornitore possono accedere ai dati, in quali circostanze, con quale autorizzazione e con quale registrazione. La risposta corretta non è “nessuno”, che sarebbe implausibile per un servizio che richiede manutenzione, ma una descrizione della procedura.
Va inclusa anche la catena dei subfornitori. Un fornitore che eroga il servizio appoggiandosi a infrastrutture di terzi trasmette a voi i vincoli di quei terzi, e l’elenco deve essere disponibile e aggiornato.
2. I dati vengono usati per addestrare modelli
Formulata così, la domanda riceve quasi sempre una risposta rassicurante. Va precisata su tre livelli.
I dati vengono usati per addestrare o migliorare modelli del fornitore. I dati vengono trasmessi a fornitori terzi di modelli, e con quali condizioni contrattuali. I dati vengono conservati per finalità di sicurezza, controllo abusi o miglioramento del servizio, e per quanto tempo.
La terza è la più trascurata. Diversi servizi conservano le interazioni per un periodo definito anche quando non le usano per l’addestramento, e in un contesto con dati sensibili questa conservazione va conosciuta e valutata.
Va verificato inoltre se l’esclusione dall’addestramento è la configurazione predefinita o un’opzione da attivare, e se può essere modificata unilateralmente con un aggiornamento delle condizioni di servizio.
3. Come sono gestiti i permessi documentali
È la domanda che distingue un sistema progettato per contesti regolati da uno adattato.
Tre verifiche.
Il filtro sui permessi si applica al recupero dei documenti o alla presentazione della risposta. Deve applicarsi al recupero: un documento non autorizzato non deve entrare nel materiale su cui la risposta viene costruita.
I permessi sono ereditati dinamicamente dai sistemi di origine o replicati staticamente. Una replica statica si disallinea, e il disallineamento non è visibile finché non produce un incidente.
Come vengono gestite le variazioni: revoca di un accesso, cambio di ruolo, cessazione di un rapporto. E in quali tempi la variazione ha effetto sul sistema.
4. Che cosa viene registrato nei log
Un sistema in un contesto vigilato deve registrare interrogazioni, documenti recuperati, risposte prodotte, azioni eseguite e identità dell’utente che le ha originate.
Le domande da porre riguardano il contenuto dei log, la loro localizzazione, il periodo di conservazione, chi può consultarli e con quale procedura, e se sono esportabili in un formato utilizzabile per un audit interno.
Un punto specifico: i log contengono spesso dati personali o riservati, perché registrano il contenuto delle interrogazioni. La loro protezione richiede lo stesso livello di attenzione dei dati primari, e va verificata separatamente.
5. Come si cancella un dato
La cancellazione va verificata su quattro piani: il documento indicizzato, la sua rappresentazione nell’indice di ricerca, le copie di sicurezza, i log che ne contengono estratti.
Le domande sono tre: quale procedura, in quali tempi, con quale evidenza documentale della avvenuta cancellazione.
L’evidenza è il punto critico. In caso di esercizio di un diritto di cancellazione, l’organizzazione deve poter dimostrare che la richiesta è stata eseguita, non solo trasmessa al fornitore.
6. Che cosa accade in caso di interruzione del servizio
Due scenari distinti, spesso confusi.
L’indisponibilità temporanea: quali livelli di servizio sono garantiti, con quale misurazione, con quali conseguenze contrattuali, e quale modalità di lavoro alternativa è prevista per il periodo di indisponibilità. L’ultima domanda è la più concreta e la meno posta.
La cessazione: quale preavviso è garantito in caso di dismissione del servizio o di un modello, quali dati e configurazioni vengono restituiti, in quale formato, entro quali tempi, e con quale supporto alla migrazione.
Va inclusa l’ipotesi di cessazione dell’attività del fornitore. Un deposito delle configurazioni presso terzi o la disponibilità del codice in caso di determinati eventi sono clausole ordinarie in contratti di questo tipo.
7. Chi risponde in caso di incidente
L’ultima domanda è quella che rende verificabili tutte le precedenti.
Quale procedura di notifica, con quali tempi. Chi conduce l’analisi. Quali obblighi di collaborazione in caso di segnalazione all’autorità di controllo, con i termini stringenti che la normativa prevede. Come sono ripartite le responsabilità tra fornitore e cliente, e con quali limitazioni.
Va verificato in particolare il regime delle limitazioni di responsabilità. Un massimale commisurato al corrispettivo annuo può essere irrilevante rispetto all’impatto di un incidente su dati sensibili, e questo è un elemento di valutazione, non necessariamente un motivo di esclusione.
Che cosa queste domande non coprono
Non coprono la sicurezza applicativa del sistema. Difesa da prompt injection, controllo delle azioni eseguibili, isolamento delle istruzioni, test avversariali: sono temi distinti, che riguardano la progettazione e vanno verificati con domande proprie.
Non coprono la qualità delle risposte, che si misura con una valutazione su casi reali.
Non sostituiscono la valutazione d’impatto sulla protezione dei dati dove è richiesta, né le verifiche di conformità settoriali.
E non garantiscono nulla se le risposte non sono contrattualizzate. Una dichiarazione in fase di trattativa non ha lo stesso valore di una clausola.
In chiusura
Un fornitore che risponde a queste sette domande con precisione, per iscritto e senza formule generiche, ha già dimostrato qualcosa di rilevante sul modo in cui lavora.
Le risposte vanno raccolte prima della valutazione tecnica, perché alcune restringono il campo in modo determinante.
Se state valutando un progetto con dati sensibili, siamo disponibili a un confronto su requisiti di sicurezza e perimetro dati applicati al vostro contesto.
