Il vocabolario dell'IA

Separazione: i vostri dati sono separati o soltanto archiviati a parte?

La separazione logica distingue i dati mediante regole all'interno di un'infrastruttura condivisa. L'infrastruttura dedicata li separa fisicamente, su macchine riservate. La prima è la norma e funziona bene; la seconda costa considerevolmente di più e non risolve gli stessi rischi.

Che cosa fa la separazione logica

I vostri dati e quelli di altri clienti coesistono nella stessa infrastruttura, con un identificativo che li distingue. Ogni richiesta è filtrata per restituire soltanto ciò che vi appartiene.

È il modello della quasi totalità dei servizi professionali, compresi quelli impiegati da banche e assicurazioni. Ben realizzato è robusto: la separazione è applicata a ogni accesso, senza eccezione.

Il suo punto debole è che poggia su software. Un errore di configurazione può esporre i dati di un cliente a un altro, e questo tipo di incidente esiste.

Che cosa apporta un'infrastruttura dedicata

Macchine che trattano soltanto i vostri dati. Non vi è più un vicino, dunque non vi è più il rischio che una regola mal applicata faccia comunicare due clienti.

Costa caro, rallenta gli aggiornamenti, e non elimina alcuno degli altri rischi: il fornitore vi ha sempre accesso, la questione della localizzazione resta intera, quella del modello chiamato del pari.

La separazione di cui si parla meno

Esiste una terza separazione, all'interno della vostra stessa organizzazione, ed è spesso quella che pone il vero problema.

Uno studio mantiene separazioni tra i propri team: per ragioni deontologiche, per prevenire conflitti di interessi, perché talune materie sono coperte da segreto rafforzato. Un sistema che dia all'intero studio una visione su tutte le materie cancella quelle separazioni, senza che alcun dato sia uscito da alcun luogo.

È la domanda da porre per prima, prima di quella dell'hosting: il sistema sa riprodurre le separazioni che esistono da noi?

Ha una conseguenza pratica decisiva: un sistema incapace di riprodurle obbliga a limitarne l'impiego alle materie meno sensibili, cioè a quelle in cui serve meno. La separazione interna decide dunque il perimetro di adozione ben prima di decidere il livello di sicurezza.

Che cosa non risolve

Nessuno dei due modelli protegge da un accesso legittimo mal attribuito. Se un collaboratore riceve diritti che non dovrebbe avere, la separazione funziona perfettamente e gli dà accesso a ciò che gli è stato aperto.

E il dedicato non migliora ciò che più vi riguarda: il fornitore conserva i propri accessi di amministrazione, e il modello chiamato resta lo stesso.

Un ulteriore punto: quelle separazioni si muovono. Un team che accetti una pratica crea talvolta una separazione nuova, per la durata di un contenzioso; una materia classificata sensibile può cessare di esserlo. Un dispositivo che consenta di definire le separazioni soltanto al momento dell'installazione è dunque inadatto a uno studio, le cui frontiere interne si spostano più volte l'anno.

Perché conta per un giurista

Perché l'infrastruttura dedicata è spesso proposta come la risposta di fascia alta a un'inquietudine sulla riservatezza, mentre tratta un rischio secondario a un costo elevato.

Il test che informa davvero sta in una manipolazione: chiedete che cosa accada quando un collaboratore interroghi il sistema su una materia alla quale non ha accesso. Ottiene un rifiuto, un silenzio, o una risposta parziale? E quel tentativo lascia una traccia?

La risposta a quel test determina anche ciò che potrete dire a un cliente che vi chieda chi, all'interno dello studio, abbia potuto vedere la sua pratica.