SAFARI

Una metodologia aperta per l'approvvigionamento e l'assurance della sovranità digitale.

SAFARI significa Sovereignty Assurance Framework for Autonomy, Resilience & Independence. È una metodologia aperta per valutare la sovranità digitale dei servizi cloud dal punto di vista del cliente: quale controllo ha effettivamente un’organizzazione e quali prove lo dimostrano?

Supporto agli acquisti

SAFARI aiuta a rendere concreti i requisiti di sovranità digitale prima di una gara o di una trattativa contrattuale. L’organizzazione sceglie il livello minimo necessario per ciascun tema. Domande, requisiti probatori e regole di punteggio fissi facilitano il confronto delle offerte e mostrano in anticipo dove mancano informazioni, accordi o garanzie tecniche.

Il livello più alto non è sempre necessario. Un’organizzazione determina il livello desiderato in base all’uso, ai dati e ai rischi del servizio. SAFARI offre livelli minimi raccomandati come punto di partenza; è possibile discostarsene motivando la scelta.

Assurance con un grado di sicurezza adeguato

SAFARI valuta separatamente due aspetti:

  • il livello di sovranità raggiunto, da 0 a 4;
  • la qualità delle prove, anch’essa da 0 a 4.

Il livello minimo desiderato e il grado di sicurezza previsto vengono definiti in anticipo. La conclusione mostra quindi se tale minimo è stato raggiunto e se le prove sono sufficienti per nessuna conclusione, una sicurezza limitata o una sicurezza ragionevole. In questo modo il grado di sicurezza corrisponde a ciò che l’organizzazione deve effettivamente dimostrare.

Quadri di riferimento utilizzati

Lo European Cloud Sovereignty Framework (ECSF) è il punto di partenza. SAFARI utilizza gli otto obiettivi di sovranità e i livelli dell’ECSF, ma adotta la prospettiva del cliente e considera l’anello più debole determinante per il livello complessivo.

SAFARI collega inoltre la valutazione a:

  • ISO 27001:2022 per i controlli pertinenti;
  • ISAE 3000 per la struttura della conclusione di assurance;
  • la normativa vigente, tra cui GDPR, Data Act, NIS2, DORA e Cyber Resilience Act;
  • la proposta di Cloud and AI Development Act (CADA), esclusivamente come valutazione indicativa finché non diventerà diritto applicabile.

La metodologia completa, i questionari e le regole di punteggio sono disponibili pubblicamente nel repository SAFARI.

SAFARI è stato reso possibile da De Winter Information Solutions e Vigilis Consultancy.