La modalità sovereign è un toggle di funzionalità, non un badge di certificazione

Altovar sta chiarendo una distinzione che continua a essere confusa nelle discussioni sulla sovranità: la modalità sovereign, un'impostazione disponibile in Auris, è una postura del prodotto, non una certificazione. Attivarla modifica il comportamento predefinito del prodotto. Non significa che il deployment abbia ottenuto la certificazione ACN dell'Italia, la C5 del BSI tedesco, la SecNumCloud francese o qualsiasi pretesa di immunità dal CLOUD Act statunitense.

Cosa cambia effettivamente il toggle

Secondo la documentazione del prodotto di Altovar, la modalità sovereign disattiva per impostazione predefinita determinati provider di identità social basati negli USA e la consegna SMS instradata tramite un fornitore USA, insieme a un piccolo insieme di toggle di postura correlati. L'elenco esatto di ciò che è interessato per un dato deployment si trova nel riferimento di configurazione del prodotto, non nel materiale di marketing -- poiché il toggle è un'impostazione, il suo ambito deve essere verificato rispetto alla documentazione attuale piuttosto che dedotto da una descrizione in una riga.

Perché un toggle non è una certificazione

ACN, BSI C5 e SecNumCloud sono schemi formali gestiti da autorità nazionali, ognuno dei quali richiede un audit indipendente rispetto a un insieme pubblicato di controlli. L'Agenzia per la Cybersicurezza Nazionale italiana certifica i servizi cloud venduti al settore pubblico. Il BSI tedesco gestisce il Cloud Computing Compliance Criteria Catalogue, noto come C5. L'ANSSI francese gestisce SecNumCloud, ampiamente considerato il più rigoroso dei tre perché richiede che un provider sia sia legalmente domiciliato sia operativamente indipendente da influenze extra-UE. Nessuno di questi è qualcosa che un fornitore di software può conferire a se stesso rilasciando un flag di configurazione -- ognuno richiede un auditor nominato, un ambito di valutazione e un certificato con una data di scadenza.

Perché questo è importante per gli acquirenti

I team di procurement che valutano i requisiti di data-sovereignty a volte interpretano le impostazioni predefinite di un vendor come equivalenti a una garanzia certificata. Non sono la stessa cosa. Un acquirente che necessita di SecNumCloud, C5 o ACN per una specifica gara d'appalto dovrebbe chiedere al vendor il certificato e il suo ambito, non un elenco di toggle. La posizione di Altovar è mantenere questi come fatti separati: la modalità sovereign descrive ciò che fa il prodotto; la certificazione descrive ciò che un auditor indipendente ha verificato.

Fonti: SecNumCloud (Wikipedia), OVHcloud on EU security standards.