La riservatezza dei dati e i problemi normativi
Strettamente connesso alla sicurezza in generale vi è quello della sicurezza dei dati nel cloud e, come accennato, quello delle diverse normative delle varie nazioni in cui questi dati possono venirsi a trovare memorizzati fisicamente. Il problema deriva come al solito dal fatto che queste normative sono anche molto differenti e quello che è permesso in una nazione non lo è in un’altra. Cosa avviene in questo caso dei dati personali o di quelli di pertinenza di una azienda, o, detto diversamente, cosa potrebbe avvenire?
Una analisi interessante in proposito è stata realizzata da EasyVista, una società che ha sviluppato una soluzione SaaS.
L’analisi evidenzia come la normativa derivante dall’attuazione del USA Patriot Act (Uniting and Strengthening America by Providing Appropriate Tools Required to Intercept and Obstruct Terrorism Act) del 26 ottobre 2001, rende in sostanza obbligatorio per le società statunitensi, nonché per le loro controllate world wide, per gli hosting provider americani o hosting provider europei affiliati a società statunitensi, di consentire l’accesso a ogni dato personale da parte delle agenzie di intelligence degli Stati Uniti. In particolare, osserva l’analisi, la sezione 215 del Patriot Act e le sezioni 504, 505 e 358 autorizzerebbero le ricerche sia sotto la supervisione di un giudice sia senza.
Per quanto concerne l’Europa, l’Unione Europea ha promulgato a sua volta leggi per la protezione dei dati personali e la direttiva 95/46/CE del Parlamento e del Consiglio europeo del 24 ottobre 1995, richiama i principi secondo i quali i sistemi di elaborazione dei dati sono stati sviluppati per servire l’uomo e devono, a prescindere dalla nazionalità e dal luogo di residenza delle persone fisiche, rispettarne la libertà e i diritti fondamentali, in particolare il diritto alla privacy. In un momento in cui si scopre come i servizi segreti di mezzo mondo siano coinvolti in attività che stanno creando non poco imbarazzo ai rispettivi stati e pesanti interventi da parte della Stampa la cosa potrebbe sembrare ironica, ma perlomeno delinea un principio a favore del cittadino e della riservatezza dei suoi dati.
Il meccanismo, conosciuto come Safe Harbor, è stato messo in atto per salvaguardare le misure previste in caso di flusso di dati tra aziende americane ed europee e, osserva l’analisi, il sistema è basato sull’autocertificazione delle imprese americane, che devono rispettare una serie di requisiti per la protezione dei dati personali e per la tutela della privacy. Orbene, il 26 luglio 2000, la Commissione Europea ha preso una decisione sull’adeguatezza dei principi del Safe Harbor, per garantire una protezione adeguata per il trasferimento dei dati personali provenienti dall’Unione Europea. Tuttavia, la decisione sull’adeguatezza della Commissione Europea del 26 luglio 2000 è precedente alla promulgazione della normativa inserita nel Patriot Act del 26 ottobre 2001.
Ne consegue, secondo EasyVista, che il meccanismo del Safe Harbor risulterebbe inefficiente nel salvaguardare la riservatezza dei dati ospitati dalle aziende americane o dalle loro filiali, o in server siti negli Stati Uniti, in particolare su piattaforme cloud.
Come è facile osservare la questione è complessa e non a caso quello della sicurezza e della riservatezza dei dati è uno degli argomenti affrontati con maggior frequenza nell’ambito del Cloud.