Il Cloud Act e Microsoft 365

Molti non conoscono che il Cloud Act (Clarifying Lawful Overseas Use of Data Act), operativo dal 2018, vincola le aziende americane (come Microsoft, Amazon, Google e tanti altri) di dare risposta alle forze dell’ordine e di intelligence degli Stati Uniti al fine di acquisire dati informatici dei propri clienti “sotto indagine” che utilizzano servizi cloud, a prescindere dal posto dove questi dati di trovano.

Questo chiarimento, come anche descritto da Agenda Digitale, sfata un po’ il mito della soluzione proposta dai provider, allestendo propri data center distribuiti localmente sui territori delle diverse nazioni europee. O meglio, la presenza dei data center locali assicura la compliance si altri aspetti normativi, come quelli per la privacy descritti dal GDPR.

Recentemente, Microsoft ha ammesso di non poter garantire la sovranità dei dati dei clienti europei, in particolare francesi, nel caso in cui il governo statunitense richieda l’accesso ai dati tramite il Cloud Act.

Durante un’audizione al Senato francese, i rappresentanti di Microsoft France hanno spiegato che:

• Microsoft si impegna contrattualmente a resistere alle richieste infondate.
• In casi estremi, può essere obbligata a trasmettere i dati, ma cercherà di notificare il cliente coinvolto.
• Finora nessuna azienda europea o ente pubblico è stata coinvolta in simili richieste.

Le implicazioni del Cloud Act sulla privacy dei dati sono profonde e complesse, soprattutto per gli utenti e le aziende europee. Ecco un quadro più completo:

Accesso extraterritoriale ai dati

• Il Cloud Act consente alle autorità statunitensi di accedere a dati conservati all’estero, purché gestiti da aziende soggette alla giurisdizione USA (come Microsoft, Google, Amazon).
• Questo significa che anche se i dati sono fisicamente in Europa, possono essere richiesti legalmente dagli Stati Uniti.

Conflitto con il GDPR

• Il Regolamento europeo sulla protezione dei dati (GDPR) richiede che i trasferimenti di dati verso paesi terzi siano basati su accordi internazionali, come i trattati MLAT (Mutual Legal Assistance Treaty).
• Il Cloud Act bypassa questi trattati, creando un conflitto legale: le aziende rischiano di violare il GDPR se soddisfano una richiesta USA senza una base giuridica riconosciuta in Europa.

Rischi per la sovranità digitale

• Le promesse di “cloud sovrano” da parte di provider americani (es. Microsoft EU Data Boundary) sono spesso illusorie, perché la giurisdizione segue la sede legale, non la posizione fisica dei server.
• Questo mina la fiducia nella protezione dei dati sensibili, soprattutto in settori come sanità, difesa e finanza.

Preoccupazioni per i diritti fondamentali

• Il Cloud Act non garantisce un controllo giudiziario europeo né notifiche agli utenti interessati.
• I cittadini europei potrebbero non avere strumenti legali efficaci per opporsi all’accesso ai propri dati da parte di autorità straniere.

Cosa possono fare le aziende europee

• Preferire fornitori cloud basati nell’UE e non soggetti alla giurisdizione USA (ma si tratta di una soluzione poco praticabile, considerando gli standard de-facto).
• Sperare che Mictosoft, Amazon, Google e compagnia bella decinano di traslocare le proprie sedi legali fuori dagli Stati Uniti (ovviamente si tratta di un’ipotesi tanto remota quanto di fantasia).
• Adottare architetture zero-trust e decentralizzate per limitare l’accesso ai dati.
• Implementare crittografia lato cliente, dove solo l’utente controlla le chiavi.

Ed è proprio su questo ultimo aspetto che proverò ad approfondire: se non possiamo impedire agli americani l’accesso ai nostri dati, quantomeno potremo renderne complessa la lettura e la comprensione attraverso la cifratura.

Proteggere i propri dati su Microsoft con Purview Customer Key

Implementare la crittografia lato cliente su Microsoft 365 significa che solo tu controlli le chiavi di crittografia, e nemmeno Microsoft può accedere ai tuoi dati. È una misura avanzata nata per proteggere informazioni sensibili, soprattutto in ambiti come sanità, finanza o pubblica amministrazione. Ecco come fare:

1. Devi avere una licenza Microsoft 365 idonea (Enterprise E5 o simile).
2. Serve Microsoft Purview Customer Key, che ti consente di gestire le chiavi.
3. È necessario Azure Key Vault, dove archivierai le chiavi di crittografia.

Microsoft Purview Customer Key è una funzionalità avanzata di crittografia che ti consente di controllare direttamente le chiavi di crittografia utilizzate per proteggere i tuoi dati nei servizi Microsoft 365, come Exchange, SharePoint, OneDrive, Teams e Windows 365 Cloud PC.

Va ricordato che già ora Microsoft applica dei meccanismi di di crittografia di base (BitLocker e DKM), ma Purview Customer Key aggiunge un livello ulteriore di protezione, permettendoti di fornire e gestire le chiavi di crittografia radice. Questo ti dà un controllo diretto su chi può accedere ai tuoi dati, anche all’interno di Microsoft.

Tra le limitazioni, non si impedisce a Microsoft di accedere ai dati per fornire servizi come eDiscovery, antimalware, antispam, ecc., ma richiede autorizzazione esplicita per l’uso delle chiavi.

Vantaggi

• Massimo controllo sui tuoi dati.
• Protezione contro accessi non autorizzati, anche da parte di Microsoft.
• Conformità con normative come GDPR, HIPAA, ISO 27001.

Per approfondire Microsoft Purview Customer Key, fai riferimento alla documentazione ufficiale.

---