Cloud pubblico, privato e ibrido: confronto per una PMI svizzera

Cloud pubblico, privato o ibrido: perché per una PMI svizzera non esiste una risposta unica

Per una PMI svizzera la scelta dell'infrastruttura cloud non è solo tecnica. Determina dove risiedono i dati aziendali, chi vi accede, quali obblighi di protezione rispettare e quante competenze IT servono.

La revisione totale della legge federale sulla protezione dei dati (nLPD), con l'ordinanza sulla protezione dei dati (OPDa) e l'ordinanza sulle certificazioni in materia di protezione dei dati (OCPD), è in vigore dal 1° settembre 2023. Da quella data le imprese svizzere hanno dovuto adeguarsi.

Le tre configurazioni non sono alternative assolute. Rispondono a esigenze diverse: il cloud pubblico offre risorse condivise e a consumo; il privato garantisce controllo su sicurezza, accessi e backup; l'ibrido combina i due approcci separando i carichi di lavoro in base alla sensibilità dei dati.

Sul mercato i nomi ricorrenti sono AWS, Microsoft Azure e Google Cloud per il cloud pubblico. Microsoft 365 Business Premium è un esempio di servizio pubblico a licenza. Infomaniak è un fornitore cloud svizzero indipendente con data center esclusivamente in Svizzera.

La Confederazione adotta una strategia multi-cloud ibrido. Mette a disposizione diversi servizi cloud e, con il progetto «Cloud pubblico della Confederazione», consente alle unità amministrative di usare servizi cloud pubblici quando utilizzo e dati sono compatibili con quel modello.

Il criterio di partenza non è «quale cloud è migliore», ma quali dati e processi collocare dove. Da questa classificazione discendono ubicazione, costi, requisiti contrattuali e competenze; l'etichetta «pubblico», «privato» o «ibrido» viene dopo.

Cloud pubblico: flessibilità immediata e costi a consumo, ma governance da presidiare

Tecnicamente il cloud separa o virtualizza l'hardware fisico, come server e storage, dal software (sistema operativo e applicazioni). Un livello di virtualizzazione gestisce questa separazione e alloca le risorse ai singoli server virtuali.

Il vantaggio pratico è la scalabilità: potenza di calcolo o storage possono essere aggiunti e disattivati quando non servono. Swisscom cita Microsoft 365 Business Premium: si acquistano licenze aggiuntive per i nuovi dipendenti senza gestire supporti di memorizzazione, salvo i computer delle postazioni di lavoro.

Il modello pubblico comporta di norma aggiornamento automatico delle piattaforme e pagamento a consumo. I costi iniziali sono contenuti rispetto a un'infrastruttura dedicata.

L'uso efficiente dell'hardware condiviso riduce consumo di energia e risorse, con effetto sui costi operativi. Gestire i server nel cloud costa meno che con hardware dedicato. Anche AI, analytics e IoT sono accessibili con team IT ridotti.

Il rovescio riguarda sovranità e governance. I dati sono in data center condivisi, spesso all'estero, con questioni di conformità a nLPD o RGPD europeo. La standardizzazione del servizio limita la personalizzazione di ambienti e condizioni contrattuali.

La concentrazione del mercato accentua la dipendenza. Secondo la società di ricerche di mercato Canalys, citata da Swisscom, il fatturato del cloud pubblico globale dovrebbe superare i 300 miliardi nel 2024. Nei prossimi quattro anni dovrebbe quasi raddoppiare grazie all'intelligenza artificiale. Tre fornitori si dividono gran parte della torta.

I fornitori pubblici citati includono AWS, Microsoft Azure e Google Cloud. La Confederazione ha aggiudicato servizi cloud pubblici ad Amazon Web Services, Microsoft Azure, Alibaba, IBM e Oracle tramite il bando OMC-20007.

Prima di adottare il cloud pubblico, una PMI dovrebbe stabilire quali dati possono stare in un ambiente condiviso. Deve anche chiarire chi nel fornitore può accedervi, dove sono fisicamente i data center e come uscire dal servizio se le condizioni cambiano.

Cloud privato: autonomia su sicurezza, accessi, backup e policy IT

Il cloud privato è da valutare quando i carichi contengono dati che l'azienda non vuole collocare in ambienti condivisi. La nLPD ha ampliato la categoria dei dati sensibili includendo dati genetici e biometrici.

Tra le informazioni particolarmente delicate rientrano anche i dati finanziari, come quelli delle carte di credito, e le informazioni su diagnosi mediche e salute. Per una PMI significa dati del personale, cartelle cliniche dei clienti, dati di pagamento, pratiche legali o proprietà intellettuale.

Il vantaggio principale è l'autonomia su sicurezza, accessi, backup e policy IT. L'azienda decide chi entra, con quali credenziali, ogni quanto si eseguono i backup, dove sono conservate le copie e come applicare le politiche interne.

Un fornitore cloud svizzero come Infomaniak gestisce data center esclusivamente in Svizzera. Per i dati affidati dai clienti opera come responsabile del trattamento. È un elemento da verificare nei contratti per ubicazione e ruolo.

Il controllo ha un prezzo: gestione dell'infrastruttura, aggiornamenti, monitoraggio e continuità operativa ricadono sull'azienda o sul fornitore che la assiste. Richiedono competenze interne o un partner con contratto di manutenzione.

Nei costi vanno considerati l'investimento iniziale (hardware, virtualizzazione, migrazione, formazione) e i costi ricorrenti (manutenzione, licenze, energia, personale o canone di gestione).

Il cloud privato non è imposto dalla nLPD. I principi di «Privacy by Design» e «Privacy by Default» valgono per qualsiasi modello, pubblico, privato o ibrido. Software, materiale e servizi devono essere configurati per proteggere i dati e rispettare la vita privata degli utenti.

Cloud ibrido: combinare carichi e sensibilità dei dati senza compromessi

Il modello ibrido nasce dall'idea di non scegliere in blocco. I carichi che beneficiano di elasticità e tecnologie avanzate stanno nel cloud pubblico. Quelli che toccano dati sensibili o processi critici restano in un ambiente privato o presso i propri data center.

La Confederazione applica questo principio con la strategia multi-cloud ibrido. Le unità amministrative si rivolgono al Cloud Service Broker (CSB), che fa da intermediario tra clienti e hyperscaler. Se l'utilizzo previsto e i dati sono compatibili con un servizio cloud pubblico, la selezione del fornitore avviene tramite un processo di richiesta definito.

La configurazione del cloud pubblico garantisce l'implementazione dei requisiti di protezione informatica di base in conformità con l'ordinanza sui ciber-rischi (OCiber). La decisione finale su come utilizzare i servizi cloud spetta al servizio specializzato, sulla base di un'analisi del bisogno di protezione.

Sul piano operativo la Confederazione ha aggiudicato i servizi cloud pubblici tramite il bando OMC-20007, che comprende Amazon Web Services, Microsoft Azure, Alibaba, IBM e Oracle.

Nel dicembre 2025 è stata confermata la proroga una tantum dei contratti quadro per i prossimi cinque anni, dopo il ritiro di un ricorso. Serve a colmare la lacuna di approvvigionamento fino alla disponibilità del Swiss Government Cloud (SGC).

Quest'ultimo riunirà i servizi di affermati fornitori di cloud pubblici con un cloud privato gestito dai centri di calcolo della Confederazione. È l'esempio più chiaro di separazione tra ciò che può stare su infrastrutture esterne e ciò che richiede un ambiente controllato.

Per una PMI l'ibrido si traduce in una mappa. Applicazioni web, e-mail, CRM e analytics vanno su cloud pubblico; paghe, dati sanitari, dati finanziari e sistemi gestionali critici su cloud privato o on-premise.

Il punto di attenzione non è la tecnologia di collegamento, ma la governance. Va definito chi decide quale carico va dove, come si autenticano gli utenti sui diversi ambienti e come si evita che dati sensibili migrino su servizi pubblici senza una verifica preventiva.

Criteri di confronto per la PMI: dati, sovranità, costi e supporto locale

Il primo criterio è la classificazione dei dati. Distinguere dati personali di persone fisiche, dati sensibili ai sensi della nLPD (compresi quelli genetici e biometrici) e dati finanziari o sanitari è il punto di partenza. Così si assegna a ogni carico un livello di protezione e, di conseguenza, un ambiente. La nLPD copre solo i dati delle persone fisiche, non più quelli delle persone giuridiche.

Il secondo criterio è l'ubicazione dei data center e il trasferimento all'estero. Bisogna chiedere in quali Paesi risiedono i dati e le copie di backup, quali garanzie contrattuali si applicano e quale legge prevale in caso di conflitto.

Per l'ubicazione, i data center del cloud pubblico sono spesso all'estero e condivisi. Infomaniak, fornitore cloud svizzero indipendente, gestisce data center esclusivamente in Svizzera. Sul fronte pubblico i nomi da confrontare sono AWS, Microsoft Azure e Google Cloud.

Il terzo è la compatibilità con nLPD e RGPD, rilevante per le PMI svizzere che trattano dati di clienti o collaboratori nell'UE o che vogliono mantenere la libera circolazione dei dati con l'Unione europea.

Il quarto criterio è la struttura dei costi. Comprende costi iniziali (migrazione, adattamento delle applicazioni, formazione) e ricorrenti (abbonamenti, consumo, storage, traffico dati, supporto). A questi si aggiungono i costi di uscita, spesso sottovalutati.

La Confederazione ha aggiudicato servizi cloud pubblici ad Amazon Web Services, Microsoft Azure, Alibaba, IBM e Oracle tramite il bando OMC-20007. È un elenco di fornitori con cui confrontare le offerte.

Il quinto è la scalabilità effettiva rispetto ai picchi aziendali. Il sesto è la dipendenza dal fornitore (formati proprietari, servizi non replicabili altrove, concentrazione del mercato). Il settimo è il supporto locale in Svizzera e in italiano o con orari compatibili con l'attività.

Protezione dei dati e sovranità: implicazioni pratiche per la scelta del cloud

La nLPD è in vigore dal 1° settembre 2023 e riguarda tutte le organizzazioni svizzere o straniere che trattano dati di persone situate in Svizzera, in qualsiasi parte del mondo. Comprende collaboratori, clienti, potenziali clienti, i loro subappaltatori e terzi.

Possono essere inflitte sanzioni pecuniarie alle persone effettivamente responsabili di una violazione. Per una PMI che esternalizza dati a un fornitore cloud, la responsabilità non si trasferisce insieme ai dati.

Il criterio contrattuale chiave è la distinzione dei ruoli. La PMI cliente è di norma titolare del trattamento, mentre il fornitore cloud che archivia i dati affidati opera come responsabile del trattamento. Un provider che gestisce anche dati propri relativi alla propria attività ricopre entrambi i ruoli.

Chiarire per iscritto chi è titolare e chi responsabile è essenziale. Va specificato quali istruzioni può impartire il titolare, come vengono coinvolti eventuali subresponsabili e quali misure tecniche e organizzative adotta il fornitore. È il modo concreto di tradurre Privacy by Design e Privacy by Default in clausole verificabili.

Un esempio concreto è Infomaniak: come provider cloud, tratta dati per la propria attività come titolare e archivia i dati dei clienti come responsabile. Questa doppia responsabilità va gestita nel contratto.

Nell'ambito della protezione dei dati, l'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) è l'autorità di riferimento in Svizzera.

Sul fronte della trasparenza verso gli interessati, i principi restano generali. Informare sull'uso dei dati, raccogliere solo quanto necessario, controllare destinatari e impostazioni di condivisione e prevedere come reagire a una violazione della sicurezza dei dati.

Governance e ruoli interni: chi decide, chi controlla, chi risponde

La prima attività è un inventario dei dati. Occorre stabilire quali categorie l'azienda tratta, in quali applicazioni risiedono, chi vi accede e per quale scopo. Da qui derivano le decisioni su ubicazione e livello di protezione.

Il passo successivo è contrattuale: condizioni di servizio, allegati sulla protezione dei dati, elenco dei subresponsabili, tempi di notifica in caso di violazione, modalità di cancellazione o restituzione dei dati alla fine del rapporto.

Sul piano organizzativo una PMI deve attribuire responsabilità nominali. Deve indicare chi approva l'adozione di un nuovo servizio cloud, chi gestisce accessi e revoche, chi tiene il registro dei trattamenti, chi è il referente verso il fornitore. Dove le competenze interne non bastano, si ricorre a un Data Protection Officer (DPO) o a un consulente esterno.

Infomaniak, fornitore cloud svizzero, ha un Data Protection Officer (DPO) interno. Per una PMI è un riferimento per le questioni di protezione dei dati.

Infine va definita la gestione degli incidenti: chi rileva l'anomalia, a chi la segnala, chi decide se e come informare gli interessati e le autorità, e come si documenta l'evento. Senza questi passaggi, anche un'infrastruttura tecnicamente solida non garantisce che l'azienda possa rispondere in tempi utili.

Checklist prima di firmare: domande concrete per la tua PMI

Ubicazione e backup: in quali Paesi si trovano i data center che ospitano i vostri dati e le copie di backup? I backup sono cifrati e con quale frequenza vengono testati i ripristini? Chi, nel fornitore, può accedere ai dati e con quale tracciamento?

Sicurezza e ruoli: quali misure tecniche e organizzative sono documentate nel contratto? Il fornitore agisce come responsabile del trattamento e quali subresponsabili impiega? Quali sono tempi e modalità di notifica in caso di violazione dei dati? In che forma i dati vengono restituiti o cancellati alla cessazione del contratto?

Costi: quali voci compongono il prezzo (abbonamento, consumo, storage, traffico dati, supporto) e quali sono i costi di uscita o migrazione verso un altro fornitore? Esistono vincoli tecnici o contrattuali che rendono difficile cambiare?

Conformità e supporto: l'offerta è compatibile con la nLPD e, se trattate dati di persone nell'UE, con il RGPD? Chi è il referente per le questioni di protezione dei dati? Il supporto è disponibile in Svizzera, in italiano o in orari compatibili con la vostra attività?

Confronto: avete messo a confronto per nome almeno due fornitori, per esempio AWS, Microsoft Azure, Google Cloud o Infomaniak, su ubicazione, ruoli contrattuali e struttura dei costi? Le differenze tra le risposte sono il contenuto della scelta.

Prima di sottoscrivere, confrontate le risposte di almeno due fornitori su questi punti: le differenze che emergono sono il vero contenuto della decisione.

Quale cloud scegliere? Una decisione per carichi di lavoro, non per etichetta

Per una PMI svizzera un assetto misto permette di collocare i carichi che richiedono elasticità e tecnologie evolute su cloud pubblico. Quelli con dati sensibili, finanziari o sanitari restano in un ambiente privato o controllato direttamente.

È la logica che la Confederazione applica con la strategia multi-cloud ibrido. Il futuro Swiss Government Cloud unirà servizi di fornitori cloud pubblici a un cloud privato gestito dai centri di calcolo della Confederazione.

Sul fronte pubblico i nomi ricorrenti sono AWS, Microsoft Azure e Google Cloud. Per il cloud svizzero, Infomaniak gestisce data center esclusivamente in Svizzera. Microsoft 365 Business Premium è un esempio di servizio pubblico a licenza.

La scelta va calibrata su tre variabili concrete: sensibilità dei dati e obblighi di protezione, budget per costi iniziali e ricorrenti, competenze interne o del partner.

Una PMI con team IT ridotto che colloca dati del personale e dati sanitari nel cloud pubblico senza verifiche preventive si assume un rischio. Diverso è il caso di chi sposta su cloud pubblico solo sito web e posta elettronica.

Poiché contratti, tecnologie e volumi cambiano, l'assetto va rivisto periodicamente. Ubicazione dei dati, elenco dei subresponsabili, costi effettivi e incidenti occorsi sono gli indicatori da ricontrollare prima di ogni rinnovo contrattuale. Serve a verificare che la configurazione scelta corrisponda ancora ai carichi di lavoro e ai requisiti di protezione dell'azienda.