AWS ha chiuso QLDB il 31 luglio 2025. La maggior parte della copertura l'ha inquadrato come problema di migrazione — cosa usare invece, come spostare i dati, chi e rimasto bloccato. La lezione piu scomoda e strutturale. Un livello di evidenza non e lo stesso tipo di dipendenza di un database o una cache. Quando il fornitore del tuo livello di evidenza sparisce, perdi piu di un servizio: perdi la capacita di difendere record che hai gia prodotto. Questo post e per leader di sicurezza e audit che stanno costruendo strategie di evidenza pluriennali e devono pensare al rischio fornitore nel livello di evidenza stesso.
Perche i livelli di evidenza sono diversi da altre dipendenze
Se il database della tua applicazione sparisce, ripristini dal backup e vai avanti. Se la tua cache sparisce, prendi un breve calo di performance. Se il tuo runner CI sparisce, riesegui le pipeline su uno nuovo. Nessuno di questi guasti mette in discussione record che hai gia prodotto o affermazioni che hai gia fatto.
Un livello di evidenza e diverso. Il suo lavoro e fare un'affermazione difendibile su qualcosa successo nel passato. Se il fornitore sparisce, l'affermazione sparisce con lui — non perche i record sono andati, ma perche la catena crittografica di fiducia non e piu raggiungibile. Puoi mostrare un record all'auditor. Non puoi mostrargli un modo per verificarlo. Quell'asimmetria e il problema strutturale.
Come si presenta il rischio di concentrazione in questa categoria
Ci sono tre modi di guasto concreti che si compongono quando il livello di evidenza vive dentro un singolo hyperscaler:
- Sunset del fornitore — il servizio viene discontinuato. AWS QLDB il 31 luglio 2025 e l'esempio canonico. Le tue prove passate sono tecnicamente ancora calcolabili per una finestra di migrazione, ma l'API di verifica sta sparendo. Tutto quello che hai ancorato e ora un'affermazione auto-firmata, non verificabile da terze parti.
- Restrizione del fornitore — sanzioni, controlli sulle esportazioni o controversie contrattuali limitano il tuo accesso. Il livello di evidenza e ancora operativo per qualcun altro; per te ha lo stesso effetto di un sunset. Non e ipotetico per operazioni finanziarie transfrontaliere.
- Compromissione dell'account del fornitore — il tuo tenant hyperscaler viene bloccato o violato. Il log di audit del livello di evidenza e co-locato con il resto del tuo account. Non puoi usare il livello di evidenza per smentire la manomissione di se stesso.
Cosa sopravvive quando un fornitore sparisce
La proprieta architettonica che conta qui e se il percorso di verifica richiede che il fornitore originale sia in vita. Con QLDB e Azure Confidential Ledger, lo richiede. Con l'ancoraggio on-chain pubblico, no. Il contratto Polygon mainnet che registra una radice Merkle non e di proprieta di Certyo. Se Certyo sparisce domani, gli ancoraggi on-chain persistono, la matematica di verifica resta invariata, e qualsiasi terza parte con il record originale puo ancora dimostrare che e stato ancorato al timestamp originale.
Questa non e un'affermazione sulla longevita di Certyo. E un'affermazione sul vincolo di design. Un livello di evidenza che puo essere chiuso dal proprio fornitore e strutturalmente un livello di evidenza peggiore di uno che non puo — indipendentemente da quanto buono sia il fornitore. La funzione di audit merita una dipendenza che sopravviva a una singola decisione aziendale.
Come valutare il tuo attuale rischio di concentrazione del livello di evidenza
Se oggi gestisci un servizio di audit-trail o di evidenza di compliance, la domanda di concentrazione si risponde percorrendo cinque checkpoint. A ognuno, la domanda e la stessa: cosa succede alle prove passate se questa dipendenza sparisce?
Se la tua architettura attuale perde verificabilita a uno qualsiasi dei primi quattro checkpoint, hai rischio di concentrazione. Se la verifica funziona solo finche il fornitore e in vita e hai un account in regola, l'evidenza e contingente alla relazione continua con il fornitore — che non e la stessa cosa di evidenza durevole. Il quinto checkpoint e la vera asticella: un regolatore, un avvocato avversario o un perito assicurativo puo verificare la tua affermazione senza il tuo aiuto e senza la cooperazione del fornitore?
Tre profili di acquirente dove questo conta di piu
Il rischio di concentrazione non e ugualmente importante per ogni team. Si compone in contesti istituzionali specifici:
- Conservazione regolamentata pluri-decennale — Healthcare, governo e certi record finanziari hanno finestre di conservazione da 7 a 30 anni. La probabilita che qualsiasi singolo fornitore rimanga operativo e accessibile su quell'orizzonte non e il 100 per cento. Una strategia di evidenza pluri-decennale che dipende da un singolo fornitore e una strategia con un punto debole noto.
- Operazioni transfrontaliere — Sanzioni, normative sulla residenza dei dati e restrizioni commerciali possono cambiare la postura di accesso a un servizio ospitato in un hyperscaler dalla sera alla mattina. Evidenza che era verificabile ieri puo richiedere azione legale per essere verificata oggi. L'ancoraggio on-chain pubblico non e soggetto a questa classe di disruzione.
- Contenzioso e assicurazioni — Quando un record e contestato, la domanda e se una terza parte — corte, regolatore, perito — puo verificarlo indipendentemente. Se la verifica richiede cooperazione di un fornitore specifico, la disputa ha una dipendenza in piu che l'avvocato avversario sfruttera. La verificabilita indipendente e l'asticella.
Cosa significa per le decisioni di architettura del livello di evidenza
La chiusura di QLDB si legge meglio come singola istanza di una classe di rischio intrinseca ai livelli di evidenza ospitati dal fornitore. La risposta strategica non e scegliere un fornitore improbabile da chiudere. E scegliere un'architettura dove la verifica non dipende da nessun singolo fornitore in vita. Gli ancoraggi di Certyo vivono su Polygon; il percorso di verifica non richiede che Certyo gestisca la chain. Quel disaccoppiamento e tutto il senso. Per le topologie di deployment che preservano questa garanzia, vedi /it/about. Per la primitiva di verifica in dettaglio, vedi /it/blog/blockchain-without-crypto.
Un livello di evidenza che puo essere chiuso dal proprio fornitore e strutturalmente un livello di evidenza peggiore di uno che non puo. La funzione di audit merita una dipendenza che sopravviva a una singola decisione aziendale.