Nel modello di responsabilità condivisa, i cloud provider garantiscono la sicurezza dell'infrastruttura, lasciando la protezione dei dati in capo all'azienda cliente. Analizziamo i punti ciechi più diffusi tra gestione SaaS, conformità normativa NIS2 e necessità di backup indipendenti.
17/9/2026
L'adozione di architetture SaaS, PaaS e IaaS ha trasformato la gestione delle infrastrutture IT, delegando ai provider hyperscaler l'hardware e la disponibilità del servizio. Tuttavia, la delega dell'infrastruttura non coincide con la delega del rischio informativo. Il Shared Responsibility Model – Modello di Responsabilità Condivisa – definisce confini precisi: l'hyperscaler garantisce la sicurezza del cloud, mentre l'azienda cliente mantiene l'esclusiva responsabilità dei dati nel cloud.
Il confine tra le responsabilità del provider e quelle del team IT varia in base al modello di servizio adottato, ma le premesse fondamentali rimangono invariate.
Nel panorama italiano ed europeo, le recenti evoluzioni normative come la direttiva NIS2 e il GDPR impongono requisiti stringenti sulla sovranità e la protezione dei dati. Ignorare i termini contrattuali del proprio Cloud Provider (come gli SLA sulla residenza dei dati) espone direttamente i CIO e i CISO a responsabilità legali e sanzionatorie. Un caso concreto di errata pianificazione riguarda la configurazione delle zone di disponibilità: attivare il failover geografico di un database su una region extra-UE per abbattere i costi infrastrutturali viola istantaneamente i protocolli di conformità, pur garantendo la business continuity tecnica. La compliance impone al team IT di conoscere l'esatta collocazione fisica dei workload in ogni istante.
Un malinteso diffuso riguarda proprio i servizi SaaS. Adottare piattaforme come Microsoft 365, Google Workspace o Salesforce induce a credere che il backup sia integrato e illimitato. Leggendo attentamente l'Accordo sui Servizi di Microsoft, emerge chiaramente l'obbligo per l'utente di eseguire regolarmente il backup dei propri contenuti utilizzando app e servizi di terze parti. Un attacco ransomware mirato, in grado di criptare le caselle Exchange Online o i repository SharePoint, richiede una strategia di ripristino indipendente. Se un utente elimina un file critico e il cestino viene svuotato oltre il limite standard di retention (tipicamente 14 o 30 giorni in base alla policy applicata), l'informazione risulta definitivamente inaccessibile.
Colma la vulnerabilità strutturale e proteggi i tenant aziendali con un'infrastruttura nativa e indipendente dai cloud provider principali: scopri Keepit per la Data Protection SaaS.
La principale insidia nelle architetture cloud risiede nell'errata interpretazione dei ruoli di sicurezza appena descritti.
Per valutare la robustezza delle politiche interne rispetto al principio di responsabilità condivisa, è necessario sottoporre la propria infrastruttura a una revisione critica.
Identificare tempestivamente i confini della propria responsabilità consente di passare da una difesa reattiva a una strategia di data protection strutturata e resiliente.
Scopri come automatizzare il backup indipendente, garantire la business continuity e proteggere i dati delle tue piattaforme SaaS con Keepit.
.png){kind=icon}
