Centralizzazione o disseminazione

Risposta breve

L’architettura conta. Informazioni sensibili disperse tra più fornitori responsabili non hanno lo stesso profilo di rischio di informazioni centralizzate in sistemi di comunicazione automatica e scambiate tra amministrazioni. Il modello attuale disperde i dati cripto tra fornitori direttamente responsabili della loro protezione. DAC8 aggiunge una circolazione sistematica verso le autorità fiscali e tra giurisdizioni: i dati escono dal loro perimetro iniziale, si moltiplicano e diventano più facili da ricercare, copiare, correlare e usare in modo improprio. Per le cripto-attività, che possono collegare una persona a un bene liquido trasferibile sotto costrizione, questo spostamento verso la centralizzazione è particolarmente pericoloso. La minimizzazione e l’accesso mirato restano opzioni predefinite più sicure della centralizzazione sistematica.

Fatti chiave

L’architettura determina il rischio: i dati dispersi e i dati centralizzati non hanno lo stesso profilo.
Modello disperso: i fornitori (CASP) conservano i dati dei clienti nei propri sistemi e sono soggetti a obblighi di sicurezza, sanzioni, rischio commerciale e rischio di perdere la licenza, il che crea una responsabilità diretta e forti incentivi a proteggere i dati.
Modello DAC8: circolazione sistematica verso le autorità fiscali e tra giurisdizioni; i dati escono dal loro perimetro commerciale iniziale e si moltiplicano in ambienti diversi.
Regola semplice: più i dati circolano, più aumentano i punti di guasto.
Effetto della centralizzazione: un bersaglio unico o semi-unico, più leggibile e più redditizio da compromettere, con dati più facili da ricercare, copiare, correlare e usare in modo improprio, sia da parte di aggressori esterni sia di insider.
Specificità cripto: i dati possono collegare una persona a un bene liquido trasferibile sotto costrizione.
Opzione predefinita migliore: minimizzazione e accesso mirato piuttosto che centralizzazione sistematica.

Il modello disperso

Nel modello attuale, i fornitori di servizi per le cripto-attività (CASP) conservano i dati dei propri clienti nei loro sistemi. Questi attori sono soggetti a obblighi di sicurezza, sanzioni, rischio commerciale e rischio di perdere la licenza.

Questa responsabilità diretta crea forti incentivi a proteggere i dati. Ogni attore risponde dei propri fallimenti, e i dati restano confinati nel loro perimetro commerciale originario.

Il modello DAC8

DAC8 aggiunge una circolazione sistematica verso le autorità fiscali e tra giurisdizioni. I dati escono dal loro perimetro commerciale iniziale e si moltiplicano in ambienti diversi, ciascuno con le proprie regole, i propri strumenti e i propri livelli di protezione.

Più i dati circolano, più aumentano i punti di guasto. Ogni copia, ogni trasferimento e ogni ambiente aggiuntivo è un’opportunità per una fuga, un errore o un uso improprio.

L’argomento di sicurezza

La centralizzazione non è neutra. Crea un bersaglio unico o semi-unico, più leggibile per gli aggressori e più redditizio da compromettere. I dati concentrati diventano anche più facili da ricercare, copiare, correlare e usare in modo improprio, che la minaccia provenga da aggressori esterni o da insider.

Per le cripto-attività, questa scelta è particolarmente pericolosa: i dati possono collegare una persona a un bene liquido trasferibile sotto costrizione. Il rischio non è solo amministrativo o fiscale; è anche fisico.

L’opzione predefinita migliore

Per i dati cripto sensibili, la minimizzazione e l’accesso mirato sono opzioni predefinite più sicure della centralizzazione sistematica. Raccogliere meno, limitare l’accesso ed evitare la costituzione di un database centralizzato riducono la superficie di attacco invece di ampliarla.