Vai al contenuto

Cloud PA: perché la migrazione va governata prima ancora di scegliere il fornitore

Cloud PA: perché la migrazione va governata prima ancora di scegliere il fornitore

La migrazione al cloud della Pubblica Amministrazione non è più una scelta di modernizzazione generica. È diventata un passaggio strutturale della governance digitale: riguarda la continuità dei servizi, la classificazione dei dati, la sicurezza delle infrastrutture, la dipendenza dai fornitori e la capacità dell’ente di sapere, in ogni momento, dove risiedono le informazioni e chi ne controlla i processi.

Il tema è tornato attuale perché il quadro di riferimento è ormai maturo. L’Agenzia per la cybersicurezza nazionale gestisce la qualificazione delle infrastrutture e dei servizi cloud per la PA, il catalogo pubblico espone le soluzioni qualificate o adeguate, e il Piano Triennale per l’informatica nella Pubblica Amministrazione 2024-2026, con i suoi aggiornamenti, continua a indicare il cloud come uno degli snodi operativi della trasformazione digitale.

Per amministrazioni, fornitori e responsabili della transizione digitale, però, il punto non è soltanto “andare in cloud”. Il punto è migrare senza perdere governo.

Dal progetto IT al progetto di responsabilità

Per anni il cloud è stato raccontato soprattutto come una leva di efficienza: meno server da gestire, più scalabilità, aggiornamenti più rapidi, servizi più resilienti. Sono vantaggi reali, ma non esauriscono il problema. Quando un servizio pubblico viene spostato su una piattaforma cloud, cambiano anche le responsabilità operative: chi presidia la configurazione? Chi controlla gli accessi? Chi verifica i backup? Chi gestisce gli incidenti? Chi valuta se una modifica contrattuale o tecnica del fornitore incide sul rischio?

La qualificazione ACN aiuta a definire un perimetro di affidabilità minimo per infrastrutture e servizi destinati alla PA. Non sostituisce però la governance interna dell’ente. Un servizio qualificato è una condizione di partenza, non una delega in bianco. L’amministrazione resta chiamata a valutare criticità, continuità, protezione dei dati, integrazioni, ruoli contrattuali e capacità di controllo nel tempo.

In altre parole, la migrazione cloud non può essere trattata come un semplice trasloco tecnologico. È una scelta organizzativa che deve essere documentata, monitorata e collegata ai processi decisionali dell’ente.

Classificare dati e servizi prima della migrazione

Il primo errore da evitare è partire dal fornitore invece che dai dati. In un progetto cloud maturo, l’ente dovrebbe prima sapere quali servizi intende migrare, quali dati vengono trattati, quali livelli di criticità sono coinvolti e quali requisiti di disponibilità, riservatezza e integrità servono davvero.

Questa fase non è burocrazia. È il momento in cui si separano i servizi a basso impatto da quelli che sostengono funzioni essenziali, dati particolarmente delicati o processi che non possono interrompersi senza conseguenze per cittadini, imprese o amministrazione.

Una classificazione superficiale produce due rischi opposti. Da un lato può portare a sottostimare la criticità di un servizio, scegliendo soluzioni non adeguate. Dall’altro può generare sovra-protezione indistinta, con costi e complessità non necessari. Il buon governo sta nel trovare il livello corretto di tutela per ogni servizio, motivandolo con criteri chiari.

Per questo la migrazione dovrebbe partire da un inventario aggiornato: applicazioni, basi dati, integrazioni, utenti, fornitori coinvolti, dipendenze tecniche, flussi informativi, procedure di continuità e vincoli normativi. Senza questa mappa, il cloud rischia di rendere più moderno ciò che l’ente non ha ancora compreso fino in fondo.

Qualificazione non significa assenza di rischio

Il catalogo delle infrastrutture digitali e dei servizi cloud qualificati è uno strumento essenziale perché consente alle amministrazioni di orientarsi tra soluzioni che hanno seguito un percorso regolato. Include informazioni utili su servizi, modelli, livelli e caratteristiche, e rende più trasparente il mercato destinato alla PA.

Ma la presenza in catalogo non risolve automaticamente tutte le domande di governance. Un ente deve comunque verificare se il servizio scelto è coerente con il proprio caso d’uso, se i livelli di servizio sono compatibili con i bisogni reali, se le responsabilità sono scritte in modo comprensibile, se le procedure di incident management sono compatibili con i tempi dell’amministrazione e se esistono condizioni di uscita sostenibili.

Il rischio di lock-in, ad esempio, non è soltanto economico. È anche tecnico e organizzativo: formati dei dati, competenze interne, automazioni, integrazioni con altri sistemi, tempi di migrazione inversa, disponibilità di backup realmente riutilizzabili. Prima di entrare in cloud, bisognerebbe già sapere come uscirne o come cambiare fornitore senza bloccare un servizio pubblico.

Contratti, sicurezza e controllo operativo

Un progetto cloud ben governato dovrebbe collegare la parte tecnica e quella contrattuale. Non basta acquistare una soluzione qualificata: servono clausole, procedure e responsabilità operative coerenti con il rischio.

Alcune domande sono decisive. Dove sono collocati i dati e i backup? Quali subfornitori possono intervenire? Come vengono gestite le vulnerabilità? In quali tempi il fornitore comunica incidenti o disservizi? L’ente può ricevere log, report e prove di controllo sufficienti? Esiste un piano di continuità testato? La cancellazione o restituzione dei dati a fine contratto è verificabile?

Queste domande riguardano anche il GDPR, la cybersicurezza e la qualità del servizio pubblico. Un servizio cloud può essere formalmente corretto ma operativamente debole se l’amministrazione non ha definito chi controlla cosa, con quali evidenze e con quale periodicità.

Il Responsabile per la transizione digitale, il responsabile IT, il DPO, il procurement e i referenti dei servizi non dovrebbero lavorare a compartimenti stagni. La migrazione richiede una regia comune, perché le scelte tecniche producono effetti legali, economici e organizzativi.

Una checklist operativa per partire meglio

Prima di avviare o completare una migrazione cloud, un ente dovrebbe almeno verificare cinque punti.

Primo: inventario aggiornato di servizi, dati, integrazioni e fornitori. Se non si conosce il sistema informativo di partenza, la migrazione diventa una scommessa.

Secondo: classificazione documentata della criticità dei servizi e dei dati. Ogni scelta cloud dovrebbe derivare da questa valutazione, non da preferenze commerciali o urgenze contingenti.

Terzo: verifica della qualificazione o dell’adeguamento del servizio nel catalogo ACN, con attenzione al livello effettivamente applicabile al caso d’uso.

Quarto: definizione delle responsabilità operative. Backup, log, configurazioni, accessi, vulnerabilità, incidenti e continuità devono avere proprietari chiari.

Quinto: piano di monitoraggio e uscita. Governance significa anche sapere come misurare il servizio nel tempo e come ridurre la dipendenza da un singolo fornitore.

Perché riguarda anche imprese e professionisti

Il tema cloud PA non interessa solo gli enti pubblici. Riguarda anche fornitori, consulenti, software house, gestori di piattaforme e professionisti che lavorano con la Pubblica Amministrazione. Chi offre servizi digitali alla PA deve comprendere che il mercato si sta muovendo verso criteri più espliciti di sicurezza, affidabilità, trasparenza e controllo.

La qualificazione, la documentazione tecnica, la gestione dei subfornitori, la tracciabilità delle responsabilità e la capacità di produrre evidenze non sono più dettagli marginali. Sono elementi competitivi. Un fornitore che aiuta l’ente a governare il servizio, e non solo a comprarlo, crea più valore di chi si limita a vendere capacità infrastrutturale.

Allo stesso modo, le amministrazioni che impostano correttamente la governance cloud riducono il rischio di migrazioni incomplete, costi nascosti, dipendenze eccessive o controlli tardivi. Il cloud diventa davvero una leva di modernizzazione solo quando migliora la qualità decisionale dell’ente, non quando sposta complessità da un data center a un contratto.

Conclusione

La Pubblica Amministrazione ha bisogno di cloud, ma soprattutto di governo del cloud. La differenza è sostanziale: migrare significa cambiare piattaforma; governare significa mantenere controllo su dati, responsabilità, sicurezza e continuità.

Per questo ogni progetto dovrebbe partire da una domanda semplice: stiamo scegliendo una tecnologia o stiamo costruendo un modello di responsabilità sostenibile?

Riccardo Petricca segue questi temi con un approccio pratico, orientato alla governance digitale, alla compliance e alla sicurezza dei processi. Per enti, imprese e professionisti, il cloud non è solo infrastruttura: è una decisione strategica che merita metodo.

Fonti principali

Tag:

Lascia un commento

Il tuo indirizzo email non sarà pubblicato. I campi obbligatori sono contrassegnati *