- Il dato: secondo MxMap Italia, citato da Hardware Upgrade, il 43% delle email della PA transita su server extra-UE soggetti al Cloud Act statunitense.
- Il metodo: analisi automatica dei record DNS pubblici (MX, SPF, DKIM, CNAME) di 22.922 enti, con una copertura del 94%.
- Il nodo: l’Indice di Sovranità Digitale nazionale è al 53,6%, con forti differenze tra regioni, dall’80% della Valle d’Aosta al 41% del Friuli-Venezia Giulia.
Per la prima volta qualcuno ha mappato in modo sistematico chi gestisce davvero le caselle di posta di comuni, regioni, scuole, ASL e ministeri. Il risultato, riportato da Hardware Upgrade, è che una quota rilevante della corrispondenza pubblica italiana dipende da piattaforme statunitensi. Per CIO e responsabili compliance la domanda non è più se il tema esista, ma come verificare la propria esposizione.
Cosa è successo
Il progetto si chiama MxMap Italia e usa il motore dati dell’Osservatorio Nazionale Sovranità Digitale. Come riporta Hardware Upgrade, l’analisi ha riguardato un campione di 22.922 enti, con una copertura del 94%. Solo circa 10 mila enti affidano la posta a provider italiani, qualche centinaio ha scelto fornitori europei non nazionali e circa 700 restano non classificabili con certezza dall’analisi automatica.
Sul dato principale c’è una precisazione da fare: la testata titola sul 43% di email che passano da server extra-UE, mentre nel corpo dell’articolo indica che «oltre il 45% delle email pubbliche transita su server extra-UE». Il numero va quindi letto come ordine di grandezza, anche perché l’osservatorio è ancora in fase beta: gli autori parlano di stabilizzazione, in attesa della prima scansione ufficiale che fisserà lo storico di riferimento.
Il metodo è interessante perché non si basa su dichiarazioni o questionari, ma su un controllo incrociato di quattro record DNS:
- MX, il server di posta autorizzato;
- SPF, i relay abilitati a inviare email per conto del dominio;
- DKIM, la firma crittografica dei messaggi;
- CNAME, i reindirizzamenti verso infrastrutture cloud di terzi.
Una pipeline notturna analizza anche l’ASN per individuare la provenienza geografica reale dei server, oltre a un controllo sui tenant di Azure AD per scovare i gateway di posta nascosti dietro Microsoft 365. Ogni ente viene collocato in sei categorie: Stati Uniti (sotto Cloud Act), provider esteri non statunitensi, cloud sovrano italiano, provider commerciali italiani, infrastruttura autonoma italiana e sconosciuto.
Da questa griglia nasce l’Indice di Sovranità Digitale (ISD), calcolato solo sugli enti effettivamente classificati e fermo al 53,6% su scala nazionale. In testa ci sono Valle d’Aosta (80%), Molise (73%), Basilicata (72%), Piemonte (69%) e Sardegna (66%); in fondo il Friuli-Venezia Giulia, al 41%. Secondo Hardware Upgrade, le differenze indicano che la scelta del fornitore resta legata più alle convenzioni regionali di informatizzazione che a una strategia nazionale coerente.
MxMap Italia è un fork dell’iniziativa svizzera firmata da David Huser, oggi estesa a 166 paesi. I dati sono pubblicati con licenza CC BY-SA 4.0 in formato CSV, JSON e XLSX e alimentano circa 53mila pagine web, una per ciascun ente, con il verdetto di sovranità e le evidenze DNS.
Perché riguarda anche te
Le quote più alte di traffico extra-UE, spiega Hardware Upgrade, passano per Microsoft 365, Google Workspace e Amazon Web Services: piattaforme su cui il governo statunitense può esercitare, tramite il Cloud Act, una richiesta di accesso ai dati indipendentemente da dove siano fisicamente conservati. È il punto che spesso sfugge nei capitolati: avere i server in un data center europeo non basta, se il fornitore resta soggetto a una giurisdizione extra-UE.
Per un ente pubblico la posta non è un servizio accessorio. Contiene dati personali di cittadini, atti amministrativi, comunicazioni sanitarie e scolastiche. In linea generale, il GDPR chiede di governare i trasferimenti di dati personali fuori dall’Unione e di valutare i rischi dei fornitori che li trattano; la direttiva NIS2 mette al centro la sicurezza della catena di fornitura. Una mappa pubblica che rende visibile chi gestisce la posta di ciascun ente diventa, nella lettura Nexim, anche uno strumento con cui auditor, cittadini e fornitori potranno fare domande puntuali.
Il tema non riguarda solo la PA. Fornitori, studi professionali e aziende che lavorano con gli enti scambiano ogni giorno documenti via email: la catena di custodia del dato dipende anche dalle scelte della controparte. Hardware Upgrade sottolinea però un limite: gran parte degli enti locali ha scelto piattaforme straniere per ragioni di costo e semplicità di gestione, non per policy di sicurezza, e finché un capitolato pubblico non renderà la sovranità dei dati un requisito vincolante la mappa rischia di restare solo un termometro.
Come proteggersi / Cosa fare
Le azioni che seguono si basano su buone pratiche di settore e sullo stesso approccio usato da MxMap: partire da ciò che è verificabile pubblicamente, poi passare ai contratti.
- Controllare la scheda del proprio ente su MxMap Italia. Ogni ente ha una pagina con verdetto ed evidenze DNS: verificate che la classificazione sia corretta e segnalate eventuali errori, visto che il progetto è in beta.
- Interrogare i propri record DNS. Con strumenti come dig o nslookup estraete MX, SPF, record DKIM e CNAME del dominio: ogni hostname e ogni include SPF corrisponde a un fornitore che tocca la vostra posta.
- Censire i flussi secondari. Newsletter, piattaforme di protocollo, gestionali e servizi di notifica spesso inviano email per conto del dominio tramite relay di terzi: vanno inventariati come la casella principale.
- Verificare la giurisdizione, non solo la localizzazione. Nei contratti e negli accordi sul trattamento dei dati controllate dove sono conservati i dati, chi sono i sub-responsabili e a quale ordinamento è soggetta la società che eroga il servizio.
- Valutare cifratura e gestione delle chiavi. Dove possibile, preferite soluzioni in cui le chiavi crittografiche restano sotto il controllo dell’ente o di un soggetto europeo.
- Preparare una exit strategy. Documentate formati di esportazione, tempi e costi di migrazione delle caselle: è il prerequisito per poter cambiare fornitore quando il capitolato lo richiederà.
- Inserire la sovranità nei requisiti di gara. Per i nuovi affidamenti, trasformate localizzazione e giurisdizione del dato in criteri espliciti e verificabili, non in clausole generiche.
Il punto di vista Nexim
Da operatore di rete, leggiamo il lavoro di MxMap come un utile cambio di prospettiva: la sovranità si misura sui record DNS e sugli ASN, cioè su dove viaggia e dove atterra davvero il traffico, non sulle brochure. La posta è spesso il primo servizio migrato in cloud per comodità e l’ultimo a essere rimesso in discussione. Riportare in un perimetro italiano o europeo i servizi più sensibili non significa rinunciare al cloud, ma scegliere con consapevolezza infrastruttura, giurisdizione e connettività, ad esempio valutando soluzioni di data center e colocation in Italia per i carichi critici. Il consiglio è partire da un inventario dei flussi, che oggi è possibile fare con dati pubblici, prima ancora che dalla scelta del fornitore.
Fonti
- MxMap rivela: il 43% delle email della Pubblica Amministrazione passa da server extra-UE – Hardware Upgrade