Sovranità digitale: eIAM, AGOV, W012
Situazione iniziale
eIAM e AGOV sono sviluppati e gestiti congiuntamente con partner economici svizzeri. La gestione avviene su incarico della Cancelleria federale svizzera nei centri dati della Confederazione nonché, prossimamente, al fine di aumentare la resilienza di AGOV, anche in centri dati privati situati in Svizzera e di proprietà di soggetti svizzeri ().I componenti necessari per la gestione e l'utilizzo di eIAM e AGOV sono inevitabilmente integrati in contesti internazionali lungo l'intera catena del valore. Ciò riguarda i dispositivi terminali degli utenti, l'alimentazione elettrica e l'infrastruttura Internet, i sistemi eIAM e AGOV nonché le infrastrutture e i sistemi di settore delle autorità. L'integrazione internazionale si estende a tutti i livelli, in particolare a software, hardware, strutture organizzative e al know-how necessario.
Inquadramento scientifico della sovranità digitale di eIAM e AGOV- Quadro teoricoLa sovranità digitale non è uno stato statico o binario, bensì una proprietà relazionale e graduale di sistemi sociotecnici complessi. Nella letteratura scientifica viene definita in diversi modi, in particolare come autodeterminazione tecnologica, come controllo sui flussi di dati e informazioni nonché come indipendenza istituzionale ed economica da attori esterni [1,2].
Ne consegue che: la sovranità digitale non va intesa come completa autarchia, bensì come capacità di gestione autodeterminata di un sistema all'interno delle dipendenze esistenti.
- Modello a strati e confini del sistemaLa sovranità digitale di eIAM e AGOV può essere analizzata lungo un modello a strati che rende visibili diversi gradi di controllo e dipendenza. Tale prospettiva corrisponde agli approcci consolidati per l'analisi dei sistemi sociotecnici, che considerano i componenti tecnici, organizzativi e infrastrutturali come inscindibilmente legati tra loro [5,6]. Essa può inoltre essere collegata ad approcci che intendono la sovranità digitale non solo come controllo su software e dati, ma come capacità di plasmare la creazione di valore digitale e fisica – compresi hardware, mezzi di produzione, standard e know-how [3].
- Livello applicativo e di governance:
Lo sviluppo, la sovranità sul codice sorgente e la gestione strategica di eIAM e AGOV risiedono in Svizzera. Ciò garantisce un alto grado di controllo sulle funzionalità, sull'ulteriore sviluppo e sui meccanismi di sicurezza. - Livello operativo (Hosting):
La gestione avviene nei centri elaborazione dati della Confederazione e in centri elaborazione dati partner svizzeri. In questo modo il controllo giuridico e fisico rimane all'interno della giurisdizione nazionale. Per il processo principale non sussistono dipendenze dirette da piattaforme cloud straniere. - Interfaccia con i sistemi target (delimitazione della valutazione):
eIAM e AGOV fungono da sistemi IAM centrali (Identity and Access Management). Il loro raggio d'azione termina all'interfaccia tecnica di trasferimento (ad es. OIDC, SAML) verso le applicazioni di settore e i registri collegati. La sovranità digitale di questi sistemi target non è oggetto della presente valutazione. eIAM e AGOV forniscono accessi sovrani; la responsabilità del successivo trattamento dei dati spetta alle rispettive autorità di settore. - Livello infrastrutturale (dipendenze strutturali):
Hardware, componenti software e protocolli di rete sono inseriti in catene di fornitura globali. La ricerca sulle catene di fornitura IT mostra che tali dipendenze sono di natura strutturale e condizionano in modo determinante i rapporti di controllo e di fiducia dei sistemi digitali [4]. Un'autonomia completa non è raggiungibile in questo strato; la sovranità si manifesta qui nella gestione attiva delle dipendenze, ad esempio attraverso la standardizzazione e la diversificazione. - Livello utenti (periferia):
I dispositivi terminali e i sistemi operativi si trovano al di fuori della sfera di influenza diretta dello Stato. Questo livello segna un confine sistemico della controllabilità statale e chiarisce che i servizi digitali sono sempre inseriti in contesti di utilizzo esterni.
- Livello applicativo e di governance:
- Autonomia operativa e il criterio del «Killswitch»Un criterio centrale per la valutazione della sovranità digitale è la questione della controllabilità esterna immediata.
eIAM e AGOV non presentano uno scenario di «Killswitch» esterno: nessun attore esterno, statale o privato, può disattivare unilateralmente e immediatamente i servizi. Il potere decisionale operativo rimane all'interno della giurisdizione svizzera.
Allo stesso tempo, le analisi sulla governance di Internet mostrano che le infrastrutture digitali sono plasmate da standard globali, protocolli e strutture istituzionali [6]. Da ciò derivano possibilità di influenza indirette e distribuite che non agiscono su un singolo punto di controllo, ma operano in modo sistemico.
- ConclusioneeIAM e AGOV sono da classificare come altamente sovrani dal punto di vista digitale in senso istituzionale e operativo. La funzione statale centrale di intermediazione dell'identità può essere erogata in modo autonomo e controllato in condizioni realistiche.
Tuttavia, questa sovranità non è assoluta. Essa vale all'interno di confini di sistema chiaramente definiti e si basa sulla capacità di gestire attivamente le dipendenze, non di eliminarle completamente. Questa comprensione corrisponde anche agli attuali inquadramenti strategici della sovranità digitale come capacità di azione statale in un contesto di interconnessioni tecnologiche globali [7].
eIAM e AGOV sono quindi, nei loro rispettivi contesti di sistema, sovrani digitalmente, ma non indipendenti dalle interdipendenze globali in cui è inserito qualsiasi sistema digitale. Come illustrato nell'articolo su AGOV AGOV nelle architetture cloud, SaaS e Hyperscale
r – il che vale non solo per AGOV quale servizio di autenticazione delle autorità svizzere, ma per l'intero eIAM come sistema IAM centrale dell'Amministrazione federale –, le piattaforme internazionali possono essere collegate senza problemi. Questa voluta capacità di interconnessione dimostra che la sovranità digitale va sempre intesa in relazione al rispettivo ambito di sistema e responsabilità.
[1] Florian Pohle & Thorsten Thiel (2020). Digital sovereignty. Internet Policy Review, 9(4).
[2] Stéphane Couture & Sophie Toupin (2019). What does the notion of sovereignty mean when referring to the digital? New Media & Society, 21(10) ().
[3] Neil Gershenfeld et al. (2017). Designing Reality. Basic Books.
[4] Nir Kshetri (2018). The Economics of Cybersecurity: A Supply Chain Perspective. Springer.
[5] Geoffrey C. Bowker & Susan Leigh Star (1999). Sorting Things Out. MIT Press.
[6] Laura DeNardis (2014). The Global War for Internet Governance. Yale University Press.
[7] OECD (2021). Digital Sovereignty for the Digital Decade.
W012: Sovranità digitale nell'amministrazione federale
La direttiva W01- La direttiva W012 è stata emanata dalla BK DTI ai sensi dell'art. 40 DigiV e si applica all'amministrazione federale centrale.