Nel 2026, il cloud ha smesso di essere una questione solo IT. È diventato infrastruttura critica. E come tutta l’infrastruttura critica, è diventato un obiettivo.
Gli attacchi fisici ai data center — inclusi quelli che hanno colpito infrastruttura AWS in Medio Oriente — sono l’evento che molti CISO temevano: non un bug, non un outage interno, ma un incidente legato a un conflitto geopolitico con impatto diretto su servizi digitali.
La risposta del settore si chiama sovranità. Ma vale la pena capire cosa significa davvero, prima di comprare la narrativa.
Cosa significa “sovereign” in modo concreto
Data residency e controlli legali. Dove stanno i dati, chi può accedervi, sotto quali leggi. Non è solo una questione di compliance — è una questione di chi può ordinare un’ispezione o un sequestro.
Operational sovereignty. Chi gestisce l’infrastruttura, chi può intervenire in caso di incidente, quali piani di continuità esistono e sono stati testati.
Key sovereignty. Chi controlla le chiavi di cifratura. Senza questo, tutto il resto è teatro: se qualcun altro controlla le chiavi, controlla i tuoi dati, indipendentemente da dove siano fisicamente archiviati.
L’errore da evitare
“Via dagli hyperscaler, dentro un provider locale.” È una semplificazione pericolosa.
Gli hyperscaler offrono resilienza, SLA elevati e servizi avanzati che pochissimi provider locali possono replicare. I provider locali offrono controllo e compliance, ma spesso con meno breadth e con economie di scala diverse.
La risposta giusta non è ideologica — è architetturale.
La strategia sensata
Classifica dati e workload. Non tutto richiede lo stesso livello di sovranità. I dati operativi interni non hanno gli stessi requisiti dei dati sanitari o finanziari.
Progetta per l’uscita. Portabilità, IaC, API astratte, osservabilità coerente. Non costruire dipendenze che renderebbero impossibile cambiare provider.
Multi-region e, dove serve, multi-provider. Non per moda, ma perché il rischio fisico e geopolitico non è teorico: è già successo.
Cifratura end-to-end con gestione chiavi fuori dal provider. HSM o KMS controllato dal cliente, non dal cloud provider.