Hosting e cloud in Svizzera: criteri per valutare gli SLA

SLA per hosting e cloud in Svizzera: criteri e dichiarazioni

Per valutare gli SLA di hosting e cloud in Svizzera occorre distinguere i livelli contrattuali dalle descrizioni di architettura, ubicazione e supporto. Le informazioni su Swisscom, Hostpoint e UMB permettono di confrontare caratteristiche dichiarate, ma non di dedurre una percentuale di uptime o un tempo di ripristino (Swisscom; Hostpoint; UMB). La decisione richiede quindi di allineare il perimetro del servizio e verificare le metriche nel contratto.

L'Incaricato federale della protezione dei dati e della trasparenza (IFPDT/EDÖB) segnala tre aspetti giuridici nell'uso del cloud: ricorso a responsabili e sub-responsabili, sicurezza del trattamento, trasferimento di dati personali in Paesi terzi. Nel rapporto con l'utente, il fornitore cloud è di regola responsabile o sub-responsabile del trattamento secondo l'art. 9 LPD. Il cliente può essere a sua volta titolare o responsabile.

Da qui un obbligo contrattuale preciso: chi è titolare deve garantire per contratto che il responsabile rispetti i requisiti di trattamento previsti dalla legge. La comparazione degli SLA parte quindi dal contratto di trattamento e dal ruolo del fornitore, non dal solo listino tecnico.

Sei gli assi del confronto per nome: disponibilità garantita, manutenzione programmata, penali, ubicazione dei dati, supporto, sicurezza. Per Swisscom, Hostpoint e UMB le informazioni pubbliche coprono ubicazione, architettura e supporto. Disponibilità, manutenzione e penali restano da chiedere per iscritto.

Il confronto per nome tocca tre fornitori svizzeri: Swisscom con Enterprise Service Cloud, Hostpoint con hosting, e-mail, domini e Managed Flex Server, UMB con il proprio cloud privato. Ciascuno avanza un argomento diverso: isolamento e integrazione, gestione unificata, protezione giuridica dei dati.

Per nome, anche il perimetro è distinto. Swisscom colloca Enterprise Service Cloud su infrastruttura (IaaS) e piattaforme (PaaS) per ambienti IT complessi e dati sensibili. Hostpoint copre hosting, domini, e-mail e Managed Flex Server da un unico pannello. UMB fornisce il cloud privato per più clienti o per una singola azienda.

Le promesse concrete sono già leggibili. Swisscom lega l'uso esclusivo di banda e memoria alla massima disponibilità e a una sicurezza elevata dei dati grazie al funzionamento isolato in Svizzera. Hostpoint dichiara un'infrastruttura gestita interamente in Svizzera e indipendente da fornitori terzi.

UMB presenta la propria soluzione privata svizzera come l'opzione più sicura per gli imprenditori elvetici, in risposta al rischio di accesso da parte delle autorità statunitensi previsto dal CLOUD Act. Sono argomenti qualitativi: le metriche di disponibilità, i tempi di risposta e i crediti di servizio vanno chiesti per contratto, fornitore per fornitore.

Per completare il confronto per nome vanno chieste per contratto alcune voci: percentuali di disponibilità garantita, tempi contrattuali di prima risposta e di ripristino, percentuali e soglie dei crediti di servizio, elenco delle esclusioni, preavviso delle finestre di manutenzione, sede legale, indirizzo dei data center, elenco e sede dei sub-responsabili.

La griglia distingue le voci dichiarate pubblicamente da quelle da verificare nel contratto. Dichiarate: ubicazione in Svizzera, architettura e supporto. Da verificare: metriche di disponibilità, tempi di risposta e ripristino, crediti con le loro soglie. Per la firma contano entrambe: le voci non desumibili dalla comunicazione pubblica vanno chieste per iscritto, fornitore per fornitore.

Le formule qualitative non vanno convertite in percentuali per supposizione. Swisscom descrive data center ad alta disponibilità e georidondanza; Hostpoint parla di un servizio affidabile; UMB presenta un private cloud in Svizzera (Swisscom; Hostpoint; UMB). Da sole, queste descrizioni non specificano un obiettivo numerico di uptime o un periodo di misurazione.

Mancano all'appello le voci che definiscono un SLA: periodo di misurazione, tempi contrattuali di prima risposta e di ripristino, percentuali e soglie dei crediti di servizio, elenco delle esclusioni. Vanno chieste per iscritto, fornitore per fornitore, prima della firma.

Il confronto qualitativo mette in luce differenze di architettura e di perimetro. Swisscom dichiara georidondanza per i propri data center in Svizzera; Hostpoint descrive prodotti integrati e un'infrastruttura gestita interamente in Svizzera e indipendente da fornitori terzi; UMB propone un private cloud in Svizzera (Swisscom; Hostpoint; UMB). Nessuna di queste caratteristiche, da sola, definisce i rimedi contrattuali per un disservizio.

Per rendere confrontabili i contratti, chiedere per ogni servizio la definizione di indisponibilità, il periodo di misurazione e le interruzioni escluse. Precisare inoltre il preavviso e il conteggio delle manutenzioni, i tempi di prima risposta e ripristino e le soglie, percentuali e modalità di richiesta dei crediti. Sede dei centri dati e sub-responsabili vanno documentati separatamente.

La scheda di ciascun fornitore dovrebbe distinguere le caratteristiche descritte, come architettura e ubicazione, dai livelli garantiti contrattualmente. Una descrizione di infrastruttura non equivale a un impegno SLA: per confrontare le garanzie servono una metrica, un periodo di riferimento e un rimedio definiti.

Due date inquadrano le dichiarazioni. Hostpoint pubblica il proprio argomento il 27 febbraio 2025, firmato da Claudius Röllin, Co-Founder e CPO. UMB pubblica la propria tesi il 9 settembre 2025, con referente Roberto Aliano. Sono date di pubblicazione, non di validità dell'SLA.

Metriche SLA: disponibilità, manutenzione e crediti

Per confrontare due SLA, estrarre e normalizzare le stesse voci: disponibilità garantita e periodo di misurazione; preavviso e conteggio delle finestre di manutenzione programmata; tempi di prima risposta e ripristino per classe di incidente; crediti di servizio, soglie che li attivano ed esclusioni.

Un SLA è confrontabile solo con metriche e perimetro omogenei. Due contratti possono dichiarare percentuali simili ma coprire servizi, periodi, cause ed esclusioni diversi, con crediti calcolati su basi diverse. Prima di confrontare le percentuali vanno allineati definizione di «indisponibilità», servizi coperti, periodo di riferimento ed eccezioni. Allora la cifra assume lo stesso significato.

Le penali si leggono con le soglie. Un credito che scatta solo oltre una certa durata di interruzione, o limitato a una percentuale del canone mensile, protegge meno di un rimborso automatico. Chiedere come si calcola il credito, chi lo attiva e se serve una richiesta formale dell'acquirente.

Per il confronto per nome, a Swisscom, Hostpoint e UMB vanno poste le stesse domande nella stessa forma. Disponibilità garantita e periodo di misurazione. Preavviso e conteggio della manutenzione. Tempi contrattuali di prima risposta e ripristino. Soglie e percentuali dei crediti, con le esclusioni applicabili.

I fornitori comunicano la disponibilità soprattutto in forma qualitativa: Swisscom parla di massima disponibilità, Hostpoint di servizio affidabile, UMB di protezione dei dati nel private cloud svizzero. Per confrontarli, tradurre queste formule in voci contrattuali: disponibilità garantita, periodo, manutenzione, tempi di risposta e ripristino, crediti, soglie ed esclusioni.

Swisscom accompagna la massima disponibilità con la formula «Massima protezione dalle interruzioni con bassa latenza» e promette una performance IT eccellente e stabile. Sono impegni dichiarati, non metriche contrattuali: la percentuale garantita e il periodo di misurazione restano da fissare per iscritto.

Per nome, il punto di partenza differisce. Swisscom dichiara la massima disponibilità e la lega all'uso esclusivo di banda e memoria. Hostpoint dichiara un servizio affidabile e un supporto vicino al cliente. UMB mette al centro la protezione dei dati nel private cloud svizzero. Il periodo di misurazione e la definizione contrattuale di «indisponibilità» vanno chiesti per iscritto per ciascuno dei tre fornitori.

Le cifre da ottenere per contratto sono: percentuale di disponibilità garantita e periodo di misurazione; tempi di prima risposta e di ripristino; percentuali dei crediti di servizio. Penali, soglie ed esclusioni restano clausole da negoziare.

Per nome, le formule non sono metriche. Swisscom lega la massima disponibilità all'uso esclusivo di banda e memoria. Hostpoint lega l'affidabilità al supporto vicino al cliente. UMB lega la sicurezza al cloud privato svizzero. Negli estratti disponibili nessuna delle tre è una percentuale.

Per confrontare la manutenzione programmata, chiedere a Swisscom, Hostpoint e UMB quale preavviso applicano, come conteggiano le finestre e se queste incidono sulla disponibilità misurata. Registrare la risposta nella stessa forma per tutti e tre, distinguendo manutenzioni ordinarie ed eventuali interventi urgenti.

Per i crediti di servizio, verificare con ciascun fornitore quale soglia li attiva, come si calcola l'importo e se il cliente deve presentare una richiesta. Il confronto è utile solo se percentuali, base di calcolo, esclusioni e procedura sono esplicitate in modo omogeneo.

Per raccogliere risposte confrontabili, chiedere a Swisscom, Hostpoint e UMB la percentuale garantita, la base temporale, gli eventi esclusi e il metodo di misurazione. Precisare anche quale servizio viene conteggiato e come il cliente può consultare i risultati. Una percentuale isolata non consente un confronto omogeneo.

La scheda di confronto dovrebbe avere una riga per fornitore e campi distinti per disponibilità, manutenzione e crediti. Per ogni valore registrare la definizione, il periodo di riferimento e le esclusioni; per ogni rimedio, indicare soglia e procedura di attivazione. Così le formule commerciali restano separate dagli impegni contrattuali.

Swisscom affianca alle formule di disponibilità i Managed Services, con «servizi operativi erogati dalla Svizzera», «massimo livello di sicurezza» e «rigorosa compliance». È una dichiarazione di modello operativo. Tempi di prima risposta e di ripristino non ne derivano: vanno fissati nel contratto.

Prestazioni e architettura dei servizi di hosting e cloud

Sul piano tecnico il confronto dipende dallo scenario. Conta la latenza verso gli utenti finali. Conta la ridondanza prevista nell'infrastruttura. Conta se la capacità di calcolo e memoria è dedicata o condivisa con altri clienti. Conta il grado di isolamento dell'ambiente. Conta come e con quale rapidità si scala in caso di picchi.

Hosting condiviso, server dedicati e cloud privato rispondono in modo diverso a ciascun punto. Le promesse contrattuali variano di conseguenza.

Alcuni fornitori svizzeri formulano impegni tecnici espliciti. Swisscom descrive Enterprise Service Cloud come soluzione con risorse dedicate in esclusiva: banda e memoria. L'obiettivo dichiarato è la massima disponibilità e una protezione elevata grazie al funzionamento isolato in Svizzera. Swisscom cita anche bassa latenza, alta scalabilità e integrazione con centri di calcolo on premise e infrastruttura Public Cloud.

Swisscom affianca all'Enterprise Service Cloud servizi di rete, Security e Managed Services, per esempio per sfruttare l'automazione. Il cloud è presentato come strumento per trattare dati sensibili e rispettare le regole di compliance.

Hostpoint afferma di gestire l'infrastruttura interamente in Svizzera e in modo indipendente da fornitori terzi. Dichiara di investire diversi milioni ogni anno nell'infrastruttura server e nello sviluppo del proprio software.

UMB descrive il Private Cloud come fornibile sia per più clienti sia per una singola azienda, sempre nel rispetto delle rigide norme svizzere sulla protezione dei dati. È la variante che il fornitore contrappone ai cloud esteri.

Nel confronto è utile chiedere quale architettura stia sotto l'SLA. Se la capacità è garantita o «best effort». Se l'isolamento è fisico o logico. Dove sono i sistemi ridondanti. Se il fornitore dipende da terzi per parti critiche. Le risposte determinano quanto l'SLA sia realizzabile.

I tre fornitori non presidiano gli stessi scenari. Swisscom e UMB si rivolgono al cloud privato per imprese; Hostpoint copre anche web hosting, domini, e-mail e Managed Flex Server. Swisscom vende Enterprise Service Cloud per ambienti IT complessi e dati sensibili. UMB presenta la propria soluzione privata svizzera come l'opzione più sicura per gli imprenditori elvetici. Hostpoint punta su infrastruttura propria, gestita interamente in Svizzera.

Per i propri data center, Swisscom indica che i dati sono archiviati unicamente in Svizzera e che la georidondanza è garantita entro i confini nazionali (Swisscom). È un'informazione sull'archiviazione e sull'infrastruttura; il contratto deve precisare quali servizi e carichi di lavoro copre.

Swisscom dichiara che, se un data center diventa indisponibile, ne viene attivato immediatamente un altro (Swisscom). Questa indicazione descrive la gestione dell'infrastruttura, mentre il tempo di ripristino garantito per il singolo servizio va definito nel relativo SLA.

La ridondanza dell'infrastruttura e la disponibilità contrattuale sono aspetti distinti. Nel confronto, verificare quali componenti sono ridondanti, quali guasti attivano il passaggio a un altro sistema e se il tempo di ripristino è garantito per il servizio acquistato. La formulazione dell'SLA deve riferirsi al perimetro effettivo.

Sul piano delle prestazioni le cifre contrattuali — latenza garantita, capacità minima, tempi di ripristino — vanno richieste per contratto. Swisscom cita bassa latenza, Hostpoint tempi di caricamento rapidi; per UMB le metriche di prestazione vanno chieste al fornitore.

Per nome resta una differenza di perimetro. Swisscom copre IaaS e PaaS in Enterprise Service Cloud. Hostpoint copre web hosting, domini, e-mail e Managed Flex Server. UMB copre il cloud privato, per più clienti o per una singola azienda. Il perimetro determina quali metriche ha senso chiedere.

Le descrizioni di localizzazione hanno perimetri diversi: Swisscom indica georidondanza dei data center in Svizzera; Hostpoint dichiara un'infrastruttura gestita interamente in Svizzera e indipendente da fornitori terzi; UMB afferma che il proprio private cloud è in Svizzera (Swisscom; Hostpoint; UMB). Queste dichiarazioni non dimostrano che i tre servizi offrano le stesse risorse o lo stesso SLA.

Per interpretare le dichiarazioni architetturali, distinguere la sede di archiviazione dall'isolamento delle risorse e dalla ridondanza dei sistemi. Chiedere se la capacità è dedicata o condivisa, quali componenti sono ridondanti e quali dipendenze da terzi rientrano nel perimetro contrattuale.

Per confrontare le prestazioni, associare ogni indicatore al servizio e al carico di lavoro interessati. Latenza, capacità minima e tempi di ripristino devono avere una definizione e un metodo di verifica; senza questi elementi, una descrizione architetturale non permette di valutare l'impegno misurabile del fornitore.

Ubicazione dei dati e responsabilità dei fornitori

L'ubicazione dei dati e la catena dei fornitori possono pesare più di un decimale di uptime. L'EDÖB annovera tra gli aspetti rilevanti responsabili e sub-responsabili e il trasferimento di dati personali in Paesi terzi. Chiedere l'elenco dei sub-responsabili e la loro sede fa parte del confronto, non è un dettaglio formale.

UMB illustra con un esempio perché ubicazione e nazionalità del fornitore contano. Il CLOUD Act statunitense consente alle autorità degli Stati Uniti di costringere aziende americane a rilasciare dati, anche se archiviati all'estero.

Secondo UMB, un imprenditore svizzero che usa un fornitore cloud con sede negli Stati Uniti rischia che i dati sensibili siano consultati dalle autorità statunitensi senza preavviso o ricorso. Sarebbe probabilmente in contraddizione con le leggi svizzere sulla protezione dei dati.

UMB ricorda che la Svizzera è leader mondiale nella protezione dei dati, un primato che si riflette nelle leggi federali. Aggiunge un elemento temporale: le recenti misure statunitensi, come il licenziamento di alcuni membri del Privacy and Civil Liberties Oversight Board nel gennaio 2025, hanno indebolito meccanismi di controllo ritenuti cruciali per il quadro UE-USA. Sollevano dubbi sulla sostenibilità a lungo termine.

Sul versante svizzero, UMB ricorda che la legge federale sulla protezione dei dati aggiornata nel 2023 (revDSG) si orienta fortemente al GDPR dell'Unione Europea. Prescrive regole severe per trasparenza, sicurezza e responsabilità nella gestione dei dati. Negli Stati Uniti manca una legge unificata; vige un sistema frammentato di norme settoriali.

In pratica, nella griglia di confronto inserire per ogni fornitore sede legale e sede dei data center. Aggiungere elenco e sede dei sub-responsabili. Indicare trasferimenti verso Paesi terzi e relativa base. Aggiungere una dichiarazione su come il fornitore reagisce a richieste di accesso da autorità estere.

Sull'ubicazione i tre fornitori argomentano in modo distinto. Swisscom indica il funzionamento isolato in Svizzera. Hostpoint dichiara infrastruttura gestita interamente in Svizzera e indipendente da terzi. UMB fa della propria soluzione privata svizzera la risposta al rischio di accesso da parte delle autorità statunitensi previsto dal CLOUD Act. Sede legale e sede dei data center restano la prima cella da compilare.

Hostpoint aggiunge un argomento di compliance territoriale: le aziende svizzere possono scambiare dati con gli Stati UE/SEE senza ulteriori garanzie legali. È un'affermazione da mettere accanto all'analisi di UMB sul CLOUD Act e alle garanzie di isolamento in Svizzera di Swisscom.

Per nome, l'elenco dei sub-responsabili è una voce da richiedere al fornitore e allegare al contratto. L'EDÖB lo annovera tra gli aspetti rilevanti del trattamento in cloud.

L'ubicazione non è una metrica di disponibilità: le celle da compilare restano sede legale, indirizzo dei data center, elenco e sede dei sub-responsabili, trasferimenti verso Paesi terzi e relativa base giuridica.

Swisscom indica data center a Basilea, Berna, Ginevra, Losanna, Lugano e Zurigo (2) (Swisscom). Hostpoint dichiara un'infrastruttura gestita interamente in Svizzera e indipendente da fornitori terzi, mentre UMB afferma che il private cloud è in Svizzera (Hostpoint; UMB). Le dichiarazioni distinguono località specifiche e garanzie riferite al Paese.

Hostpoint afferma che le aziende svizzere possono scambiare dati con gli Stati UE/SEE senza ulteriori garanzie legali (Hostpoint). UMB sostiene che il CLOUD Act consente alle autorità statunitensi di costringere aziende americane a rilasciare dati anche se archiviati all'estero e segnala il rischio per chi usa un fornitore con sede negli Stati Uniti (UMB). Giurisdizione e ubicazione vanno valutate separatamente.

Supporto e gestione dei servizi

Il supporto è la parte dell'SLA che si verifica solo quando qualcosa non funziona. Confrontare canali, orari, lingue, tempi di prima risposta, escalation, referente tecnico e gestione unificata. Se hosting, domini ed e-mail sono gestiti da fornitori diversi, la diagnosi di un guasto richiede più interlocutori.

I provider locali costruiscono qui il proprio argomento commerciale. Hostpoint sostiene che la stretta connessione tra web hosting, e-mail e domini in un unico sistema garantisce maggiore efficienza e minori oneri amministrativi. Aggiunge che la gestione tramite un unico login è la scelta più indicata.

Il pannello di controllo consente di gestire in un unico ambiente e-mail e cloud office, domini, web hosting e Managed Flex Server. Hostpoint indica tra i criteri rilevanti supporto vicino al cliente e gestione da un unico fornitore. Ricorda che costi e prestazioni del server non sono gli unici criteri di acquisto.

Swisscom si presenta come partner IT locale che integra il cloud nella rete aziendale, nell'infrastruttura e nei processi. Offre servizi di rete, security e managed services. Nel confronto, tradurre queste dichiarazioni in domande verificabili. In quali orari risponde il supporto, in quale lingua, con quale tempo di prima risposta contrattualizzato. Chi gestisce l'escalation quando il problema coinvolge più servizi.

Anche sul supporto il confronto è nominale. Hostpoint mette avanti supporto vicino al cliente, gestione da un unico fornitore e un unico login per e-mail, cloud office, domini, web hosting e Managed Flex Server. Il suo sito è pubblicato in italiano, tedesco, francese e inglese. Orari, lingue e canali del supporto vanno verificati nel contratto, per ciascuno dei tre fornitori.

Hostpoint firma il proprio argomento per il web hosting in Svizzera il 27 febbraio 2025 con Claudius Röllin, Co-Founder e CPO. È il nome che sottoscrive la promessa di supporto vicino al cliente.

Un referente nominativo o un numero diretto non definisce da solo la copertura del supporto. Nel contratto indicare canali, orari, lingue, priorità degli incidenti, escalation e tempi di prima risposta per ciascun servizio, specificando chi coordina i casi che coinvolgono più componenti.

Orari di copertura, lingue del supporto e tempo contrattuale di prima risposta sono voci da verificare nel contratto di Swisscom, Hostpoint e UMB.

Per confrontare il supporto, chiedere a tutti i fornitori le stesse condizioni: orari di copertura, canali utilizzabili, lingue, escalation e tempi di risposta per classe di incidente. Una persona di contatto può facilitare la comunicazione, ma non sostituisce questi impegni contrattuali.

Hostpoint riunisce in un unico pannello e-mail e cloud office, domini, web hosting e Managed Flex Server; presenta inoltre il supporto vicino al cliente come un vantaggio (Hostpoint). Questi elementi descrivono gestione e posizionamento, non gli orari o i tempi di risposta garantiti. Per Swisscom e UMB, verificare le medesime condizioni contrattuali.

Il supporto è anche un argomento di vendita per nome. Swisscom promette servizi operativi erogati dalla Svizzera e un team di esperti. Hostpoint un pannello unico e un supporto vicino al cliente. UMB un referente con numero diretto. Negli estratti disponibili nessuna delle tre promesse contiene un tempo contrattuale.

Sicurezza, backup e continuità

Backup, ripristino, monitoraggio e misure di sicurezza non sono sempre dettagliati nell'SLA. Sono però coperti dagli obblighi di protezione dei dati. L'EDÖB richiama la sicurezza del trattamento tra i tre aspetti centrali del cloud. L'utente deve garantire per contratto che il responsabile rispetti i requisiti di trattamento previsti dall'art. 9 LPD. La sicurezza va pattuita e documentata, non solo dichiarata.

Sul piano operativo la verifica riguarda frequenza e conservazione dei backup. Dove sono le copie. Tempo obiettivo di ripristino e punto di ripristino. Chi accede ai dati e con quali credenziali. Quali misure tecniche e organizzative sono descritte nel contratto. Quali rapporti di audit o certificazioni offre il fornitore. Come e entro quale termine vengono notificati gli incidenti.

Le garanzie vanno chieste in forma verificabile. Una dichiarazione generica di «massima sicurezza» non permette di confrontare due fornitori. Un allegato tecnico con misure, tempi di ripristino e procedure di notifica sì.

Swisscom lega risorse dedicate — banda e memoria — alla massima disponibilità e a una protezione elevata grazie al funzionamento isolato in Svizzera. Indica inoltre che il cloud serve per trattare dati sensibili e rispettare le regole di compliance. È un esempio di sicurezza tradotta in caratteristica architetturale da verificare nel contratto.

I tre fornitori declinano la sicurezza in modo diverso. Swisscom la traduce in architettura: risorse dedicate e funzionamento isolato in Svizzera. Hostpoint la traduce in infrastruttura propria, gestita in Svizzera e indipendente da terzi, con investimenti annui di diversi milioni. UMB la traduce in scelta giuridica: cloud privato svizzero contro il CLOUD Act.

La verifica per nome si formula in modo identico. Per Swisscom: se le risorse dedicate e il funzionamento isolato in Svizzera valgano anche per backup e ripristino. Per Hostpoint: se l'infrastruttura propria copra le copie di sicurezza. Per UMB: quali misure tecniche accompagnino il cloud privato svizzero.

Frequenza e conservazione dei backup, tempo obiettivo di ripristino, punto di ripristino e termine di notifica degli incidenti sono voci che l'SLA spesso non dettaglia; vanno chieste per iscritto e verificate rispetto agli obblighi di sicurezza del trattamento richiamati dall'EDÖB.

Frequenza e conservazione dei backup, tempo obiettivo di ripristino, punto di ripristino e termine di notifica degli incidenti sono voci da chiedere per iscritto. Swisscom, Hostpoint e UMB declinano la sicurezza in modo architetturale o giuridico; le metriche vanno richieste per contratto.

Le descrizioni dei fornitori riguardano soprattutto architettura e ubicazione. Swisscom indica archiviazione in Svizzera e georidondanza; Hostpoint dichiara un'infrastruttura gestita interamente in Svizzera e indipendente da fornitori terzi; UMB presenta un private cloud in Svizzera (Swisscom; Hostpoint; UMB). Queste caratteristiche non specificano frequenza dei backup o tempi di ripristino.

Una dichiarazione sulla localizzazione dei dati non chiarisce come vengono gestiti backup, accessi o incidenti. Per confrontare le garanzie di sicurezza, chiedere procedure documentate, responsabilità operative e prove di ripristino, distinguendo le misure dichiarate dai risultati che il fornitore si impegna a garantire.

Nel contratto precisare frequenza e conservazione dei backup, tempo e punto obiettivo di ripristino e termine di notifica degli incidenti. Indicare anche chi esegue le operazioni, come vengono documentate e quali servizi sono coperti. Sono voci da confrontare separatamente per Swisscom, Hostpoint e UMB.

Scegliere hosting e cloud in base alle esigenze

Lo stesso SLA non è adatto a tutti. Per un sito web aziendale e una casella di posta dominano continuità del servizio, gestione unificata di hosting, domini ed e-mail e rapidità del supporto. Per un ambiente enterprise con dati sensibili diventano centrali isolamento, capacità dedicata, integrazione con l'IT esistente, compliance e clausole sugli accessi esteri. Per il settore pubblico si aggiungono trasparenza, interoperabilità e affidabilità dei servizi digitali.

Per un sito aziendale, le caselle di posta e i domini, Hostpoint propone la gestione di e-mail e cloud office, domini, web hosting e Managed Flex Server in un unico pannello (Hostpoint). Nel confronto SLA, verificare separatamente la disponibilità di ciascun servizio e il supporto previsto quando un problema coinvolge più componenti.

Per un ambiente con dati sensibili, non basta valutare la sede del data center. Occorre chiarire chi può accedere ai dati, quali sistemi e copie sono coperti, come viene gestita la continuità e quali tempi di risposta e ripristino il fornitore garantisce. Il perimetro deve corrispondere ai carichi di lavoro effettivi.

Per chi valuta un cloud privato svizzero, UMB afferma che il proprio Private Cloud è in Svizzera e può essere fornito a più clienti o a una singola azienda (UMB). La scelta richiede comunque di definire nel contratto accessi, responsabilità, continuità e livelli di servizio.

Le esigenze di continuità e protezione dei dati vanno tradotte in clausole verificabili. Per ciascun fornitore, specificare i servizi coperti, il metodo di misurazione della disponibilità, le eccezioni ammesse e i rimedi in caso di mancato rispetto. Così le proposte possono essere confrontate sulla stessa base.

Per un'organizzazione che lavora con più fornitori, verificare anche la catena dei sub-responsabili, i trasferimenti di dati e la gestione delle richieste di accesso. Queste informazioni vanno affiancate alle metriche SLA, senza confondere la protezione giuridica dei dati con la disponibilità o i tempi di ripristino.

Tradotto in nomi: per un sito aziendale, caselle di posta e domini il perimetro tipico è quello di Hostpoint, con hosting, e-mail, domini e Managed Flex Server in un unico pannello. Per ambienti IT complessi e dati sensibili Swisscom indirizza l'Enterprise Service Cloud. UMB posiziona la propria soluzione privata svizzera come l'opzione più sicura per gli imprenditori elvetici.

Se il criterio è l'uptime garantito, la percentuale va chiesta per contratto a ciascun fornitore. La scelta si gioca allora anche su architettura, ubicazione dei dati e supporto. Per il settore pubblico pesano trasparenza, standard e interoperabilità.

La corrispondenza tra servizio e scenario aiuta a impostare le domande: Hostpoint riunisce in un pannello hosting, e-mail, domini e Managed Flex Server; Swisscom descrive servizi per data center in Svizzera; UMB propone un private cloud ospitato in Svizzera (Hostpoint; Swisscom; UMB). Per tutti, disponibilità e tempi devono essere verificati nel contratto.

Per il settore pubblico la griglia si allarga a trasparenza delle offerte digitali, uso di dati e soluzioni basati su standard, interoperabilità tra applicazioni e identità elettronica con diritti di accesso specifici. Sono obiettivi strategici dell'Amministrazione federale. Un fornitore che li documenta riduce il rischio di dipendenza.

Checklist per confrontare gli SLA dei fornitori

Un metodo pratico si articola in sei passi. Primo: definire le priorità in base allo scenario (continuità, prestazioni, ubicazione, sicurezza, supporto, costi) e assegnare a ciascuna un peso.

Secondo: normalizzare le metriche. Per ogni fornitore riscrivere nella stessa forma disponibilità garantita, periodo di misurazione, trattamento della manutenzione, tempi di risposta e ripristino, crediti di servizio, soglie ed esclusioni. Terzo: verificare referenze e documentazione, incluse certificazioni e rapporti di audit disponibili.

Quarto: leggere le clausole su penali e uscita. Come si attivano i crediti, con quale preavviso si recede, come si esportano i dati e in quali formati, cosa accade ai dati alla fine del contratto.

Quinto: testare supporto e ripristino. Porre domande tecniche al supporto nei diversi orari e chiedere una prova di ripristino o almeno la descrizione documentata della procedura. Sesto: calcolare i costi totali, non solo il canone. Includere backup, servizi gestiti, migrazione, formazione e oneri amministrativi legati alla gestione di più fornitori.

Per la decisione finale è utile una tabella con i fornitori sulle righe e i criteri sulle colonne. Disponibilità garantita (con periodo e definizione di indisponibilità). Prestazioni (latenza, ridondanza, capacità dedicata o condivisa, isolamento, scalabilità).

Ubicazione (sede dei data center, elenco dei sub-responsabili, trasferimenti verso Paesi terzi, gestione delle richieste di autorità estere). Sicurezza (backup, tempi di ripristino, monitoraggio, audit, notifica degli incidenti). Supporto (canali, orari, lingue, escalation, gestione unificata). Costi totali (canone più servizi accessori e oneri di gestione).

Nella tabella i nomi da confrontare sono almeno tre: Swisscom con Enterprise Service Cloud, Hostpoint con hosting, domini, e-mail e Managed Flex Server, UMB con la propria soluzione privata svizzera. Se una cella resta vuota, il dato manca e va richiesto per iscritto al fornitore prima della firma.

Trasposta in righe e colonne, la tabella per nome ha tre righe: Swisscom con Enterprise Service Cloud, Hostpoint con hosting, domini, e-mail e Managed Flex Server, UMB con la soluzione privata svizzera. Le colonne sono disponibilità, prestazioni, ubicazione, sicurezza, supporto e costi totali.

Alcune colonne si compilano già con quanto i fornitori dichiarano. Swisscom: risorse dedicate — banda e memoria —, funzionamento isolato in Svizzera, integrazione con centri di calcolo on premise e infrastruttura Public Cloud. Hostpoint: infrastruttura propria gestita interamente in Svizzera, indipendente da terzi, pannello unico e sito in italiano, tedesco, francese e inglese. UMB: cloud privato svizzero contro il CLOUD Act.

Prima della firma, ottenere per iscritto le voci che il contratto può precisare: disponibilità garantita con periodo di misurazione, preavviso e conteggio delle finestre di manutenzione, tempi contrattuali di prima risposta e ripristino.

Chiedere anche soglie e percentuali dei crediti di servizio, elenco delle esclusioni, sede legale e sede dei data center, elenco e sede dei sub-responsabili. Ogni cella va compilata con il dato contrattuale del fornitore, non con l'impressione commerciale. Così le differenze emergono prima della firma e non durante un incidente.

Prima della firma vanno richiesti per iscritto al fornitore, per ciascuno dei tre nomi: percentuale di disponibilità garantita e periodo di misurazione; tempi di prima risposta e di ripristino; crediti di servizio con soglie ed esclusioni; preavviso e conteggio delle finestre di manutenzione; sede legale e indirizzo dei data center; elenco e sede dei sub-responsabili.

Tre celle richiedono il dato contrattuale: percentuale di disponibilità garantita con periodo di misurazione, tempi di prima risposta e ripristino, percentuali e soglie dei crediti con esclusioni. Vanno chieste per iscritto a ciascuno dei tre nomi.

La tabella distingue le caratteristiche documentate dalle clausole SLA da verificare. Per Swisscom si possono registrare i data center in Svizzera e la georidondanza; per Hostpoint, l'infrastruttura gestita interamente in Svizzera e indipendente da fornitori terzi e il pannello unico; per UMB, il private cloud in Svizzera (Swisscom; Hostpoint; UMB). Disponibilità, manutenzione e crediti vanno compilati con le condizioni contrattuali.

Come traccia per le clausole l'IFPDT rinvia a strumenti in tedesco: la «Checkliste zur Auswahl eines Cloud-Dienstes» (2022) dell'Ufficio federale tedesco per la sicurezza dell'informazione e il Merkblatt aggiornato di privatim «Cloud-spezifische Risiken und Massnahmen» (2022). Elencano le voci da spuntare; i valori vanno ottenuti dai fornitori.

Tre domande chiudono le celle vuote. Quale percentuale di disponibilità è garantita e su quale periodo è misurata? Quali interruzioni e quali finestre di manutenzione sono escluse? Quale credito di servizio scatta, con quale soglia e con quale procedura? Le risposte vanno allegate al contratto.