Che cos’è l’iPaaS per l’integrazione orientata alla conformità?
La piattaforma di integrazione come servizio (iPaaS) è stata tradizionalmente valutata in base alla velocità, all’ampiezza della connettività e all’esperienza degli sviluppatori. Per le organizzazioni che operano in contesti normativi, tali criteri rimangono rilevanti, ma sono subordinati a una serie di requisiti più rigorosi: residenza dei dati, registrazione degli audit, controlli di accesso e la capacità di dimostrare a un revisore che i dati sono stati trasferiti dove si è dichiarato che fossero stati trasferiti, nel rispetto dei controlli che si è dichiarato fossero in atto.
L'integrazione orientata alla conformità copre un'ampia gamma di contesti normativi. L'HIPAA disciplina il modo in cui i dati sanitari circolano tra i sistemi. Il SOX (Sarbanes-Oxley Act) disciplina i flussi di rendicontazione finanziaria e i relativi controlli. Il GDPR e le sue normative equivalenti a livello regionale disciplinano le modalità di raccolta, trattamento e conservazione dei dati personali identificabili (PII). FedRAMP e StateRAMP definiscono gli standard per la gestione dei dati da parte delle amministrazioni pubbliche. Ciascun quadro normativo prevede requisiti tecnici specifici e la maggior parte delle organizzazioni è soggetta a uno o più di essi contemporaneamente.
I criteri di valutazione cambiano di conseguenza. Le certificazioni, la flessibilità di implementazione, i controlli di crittografia, l’accesso basato sui ruoli, la tracciabilità dei dati e il livello di maturità della strategia di sicurezza del fornitore stesso rivestono tutti un’importanza significativa. Questo articolo illustra i principali fornitori di iPaaS nel settore della conformità e ciò che gli acquirenti dovrebbero sapere prima di selezionarli.
Cosa rende una piattaforma iPaaS adatta a un'implementazione orientata alla conformità?
La maggior parte delle piattaforme iPaaS è stata progettata per massimizzare la velocità di connessione e la produttività degli sviluppatori. Le funzionalità di conformità tendono ad essere integrate man mano che la piattaforma matura e la base clienti si espande nei settori soggetti a regolamentazione. Questa sequenza determina ciò che l’architettura è in grado di fare in modo nativo rispetto a ciò che richiede una configurazione, strumenti di terze parti o processi manuali per colmare il divario.
Una piattaforma di integrazione conforme ai requisiti normativi deve supportare:
- Controlli sulla residenza dei dati che garantiscono che questi rimangano all’interno di confini geografici o di rete definiti
- Crittografia in transito e inattiva, con opzioni di gestione delle chiavi da parte del cliente per i carichi di lavoro sensibili
- Controllo granulare degli accessi basato sui ruoli a livello di pipeline, progetto e tenant
- Registrazione immutabile degli audit che rileva chi ha eseguito quale operazione, quando e con quali dati
- Certificazioni pertinenti al vostro contesto normativo (SOC 2 Tipo II, disponibilità di un accordo BAA HIPAA, autorizzazione FedRAMP, ISO 27001)
- Modelli di implementazione che supportano cloud air-gapped, on-premise o cloud privato, ove richiesto
Questi requisiti mettono in luce differenze architetturali concrete tra le piattaforme. Una piattaforma che archivia tutti i dati in un cloud condiviso multi-tenant avrà difficoltà strutturali a soddisfare determinati requisiti di residenza dei dati, indipendentemente da quanto indicato nelle opzioni di configurazione. Analogamente, una piattaforma che genera log di audit come funzionalità secondaria anziché come elemento fondamentale della propria architettura produce log più difficili da giustificare in caso di verifica.
La sezione dedicata alla valutazione, alla fine di questo post, contiene una serie di domande pensate per aiutarti a individuare rapidamente queste differenze.
I principali fornitori di soluzioni iPaaS per l'integrazione orientata alla conformità
Il mercato iPaaS comprende piattaforme che spaziano dai servizi SaaS cloud dotati di certificazioni di conformità integrate, alle piattaforme aziendali con flessibilità di implementazione incorporata nell'architettura. Le opzioni riportate di seguito rappresentano le piattaforme più comunemente valutate dai team IT, di sicurezza e di gestione dei dati nei settori soggetti a regolamentazione.
MuleSoft (Salesforce)
MuleSoft offre certificazioni standard di conformità aziendale (SOC 2 Tipo II, ISO 27001, HIPAA BAA) e supporta l’implementazione cloud privato cloud on-premise tramite Runtime Manager e gli agenti Mule per soddisfare le esigenze relative alla residenza dei dati. Il punto critico per gli acquirenti attenti alla conformità è la complessità operativa. La flessibilità di Anypoint comporta un’interfaccia di configurazione che richiede una gestione costante e attenta per garantire la conformità su larga scala, il che, realisticamente, richiederebbe personale tecnico dedicato all’integrazione.
Boomi
Boomi è in possesso della certificazione SOC 2 Tipo II e offre opzioni di implementazione conformi alla normativa HIPAA. La sua architettura cloud è particolarmente indicata per le organizzazioni i cui requisiti di conformità sono soddisfatti da un ambiente SaaS ben controllato. Le organizzazioni che necessitano di un’implementazione on-premise o di ambienti “air-gapped” dovrebbero considerare il runtime cloud come un vero e proprio vincolo. La rete di partner di Boomi offre servizi di implementazione incentrati sulla conformità per aiutare a mappare i controlli della piattaforma ai requisiti specifici dei vari framework.
Lavorare
Workato possiede le certificazioni SOC 2 Tipo II e ISO 27001, con piani conformi all’HIPAA disponibili per il settore sanitario e i settori regolamentati ad esso correlati. La sua accessibilità per gli utenti non tecnici è un’arma a doppio taglio: la facilità di automazione self-service implica che la governance degli accessi debba essere applicata attivamente, senza dare nulla per scontato. Sono disponibili controlli di accesso basati sui ruoli e funzionalità di governance dell’area di lavoro, ma per i programmi di conformità incentrati sui rischi legati all’accesso ai dati, questi richiedono una configurazione mirata e una supervisione continua, piuttosto che un funzionamento immediato.
IBM App Connect
IBM App Connect presenta un livello di conformità ben consolidato, supportato dall’infrastruttura di sicurezza più ampia di IBM. L’autorizzazione FedRAMP, il supporto HIPAA BAA e una serie di certificazioni nel settore pubblico e dei servizi finanziari fanno parte del suo profilo consolidato. Rappresenta una soluzione adeguata per le organizzazioni che fanno già parte dell’ecosistema IBM o che necessitano di quel specifico insieme di certificazioni. Le organizzazioni al di fuori di tale contesto dovrebbero valutare attentamente l’impatto dell’implementazione e la struttura delle licenze alla luce dei propri effettivi requisiti di conformità. Non si tratta di un’operazione semplice.
SnapLogic
La strategia di conformità di SnapLogic si basa sulla flessibilità architettonica del modello di agente SnapPlex, che supporta implementazioni cloud, on-premise e ibride all’interno della stessa piattaforma. Per le organizzazioni con requisiti di residenza dei dati che impediscono ai dati di uscire dai confini di una rete specifica, la possibilità di eseguire il runtime di integrazione on-premise gestendolo tramite un piano cloud soddisfa tali requisiti senza compromettere la visibilità operativa.
La piattaforma è certificata SOC 2 Tipo II e supporta gli accordi BAA previsti dall'HIPAA per i carichi di lavoro relativi ai dati sanitari. La registrazione degli audit viene generata a livello di esecuzione della pipeline, documentando cosa, quando e chi per ogni trasferimento di dati in un formato che risponde direttamente ai requisiti di revisione degli audit.
Il controllo degli accessi basato sui ruoli si estende a livello di progetto e di pipeline, mentre l'architettura multi-tenant garantisce l'isolamento a livello di tenant per le organizzazioni che gestiscono più unità aziendali o filiali all'interno di un'unica istanza della piattaforma. I controlli di crittografia coprono sia i dati in transito che quelli inattivi, con opzioni per la gestione delle chiavi private in ambienti controllati dal cliente.
L'investimento di SnapLogic nelle funzionalità di pipeline basate sull'IA è rilevante anche per le organizzazioni particolarmente attente alla conformità che stanno valutando casi d'uso dell'IA. I requisiti di governance relativi ai flussi di dati dell'IA sono in continua evoluzione e il fatto di disporre di integrazione e orchestrazione dell'IA nella stessa piattaforma, con la stessa infrastruttura di audit e controllo degli accessi, riduce l'area di governance.
Come strutturare la valutazione della conformità del proprio iPaaS
Ogni fornitore di soluzioni iPaaS in questo settore dispone di una pagina dedicata alla conformità e di un elenco delle certificazioni. Le differenze significative emergono nel modo in cui tali certificazioni si traducono nei controlli specifici richiesti dal proprio framework e nel fatto che l’architettura della piattaforma supporti tali controlli in produzione su larga scala.
Prima di avviare una prova di fattibilità o di avviare una procedura di appalto, utilizzate queste domande per individuare i fornitori che meritano una valutazione più approfondita:
- Quali certificazioni possiedi e qual è l’ambito di revisione per ciascuna di esse?
- In che modo la piattaforma soddisfa i requisiti relativi alla residenza dei dati e quali dati escono dai confini della rete del cliente durante il normale funzionamento?
- Cosa viene registrato nel log di audit, come viene archiviato e per quanto tempo viene conservato?
- In che modo vengono implementati i controlli di accesso basati sui ruoli a livello di pipeline e di progetto?
- Quali modelli di distribuzione supporta il runtime e come viene gestito ciascuno di essi?
Prestate attenzione alla specificità delle risposte. Un fornitore con un approccio maturo alla conformità risponderà fornendo documentazione sull’architettura di riferimento, descrizioni dell’ambito delle certificazioni e indicazioni specifiche sulla configurazione per i framework da voi indicati. Le risposte che si limitano alle certificazioni di marketing senza entrare nei dettagli architetturali sono un indicatore del fatto che la capacità di conformità è meno solida di quanto suggerisca il marchio di certificazione.
Queste domande consentiranno di individuare i limiti strutturali più rapidamente di qualsiasi matrice di confronto e vi eviteranno di scoprire eventuali lacune solo dopo che la piattaforma sarà stata integrata nella vostra infrastruttura di dati.
Scegliere la taglia giusta
La scelta della piattaforma più adatta dipende dai quadri normativi specifici a cui siete soggetti, dai vostri vincoli di implementazione e dal livello di maturità del vostro programma interno di governance della sicurezza. I fornitori qui elencati rappresentano tutti opzioni affidabili per specifici contesti di conformità.
I criteri di valutazione sopra indicati tendono a mettere in luce le differenze che contano nella pratica, e vale la pena applicarli in relazione ai requisiti effettivi del proprio contesto piuttosto che a generiche liste di controllo di conformità.
Sei pronto a scoprire in che modo l'architettura di conformità di SnapLogic si adatta al tuo specifico contesto normativo? Segui il tour autoguidato della piattaforma oppure prenota un colloquio personalizzato con il nostro team dedicato alla conformità e all'integrazione.
