Euroopa pilve küsimus ei ole selles, kus server asub
Asukoht võib olla tõene ja jätta küsimuse siiski lahtiseks
Pilveteemalistes aruteludes on tuntud hetk. Keegi küsib, kus andmeid hoitakse. Keegi teine vastab Euroopa linna nimega. Ruum lõdvestub veidi. Vastus võib olla täiesti täpne ja sellel võib olla suur tähtsus. Geograafia mõjutab latentsust, füüsilist turvalisust, elektrit, vastupidavuse planeerimist, tööhõivet, avalikku vastutust ja teenusega seotud õiguslikke kokkuleppeid. Avalikul asutusel, kellel on vajadus hoida teatud andmeid kindlaksmääratud territooriumil, on põhjendatud küsimus. Probleem algab siis, kui linna nime abil püütakse lahendada kõik muud kokkuleppega seotud küsimused.
Server asub kuskil. Teenus ei asu kuskil. Teenus on suhe õiguslike üksuste, administraatoriõigustega inimeste, tarkvarakomponentide, riistvaratarnijate, lepingute, tugimeeskondade, võrkude, krüpteerimiskokkulepete, allhankijate ja kliendi vahel, kes tulemusest sõltub. Hoone on üks materiaalne osa sellest suhtest. See ei näita, kes võib mujalt privilegeeritud käsu anda, milline kontsern haldab tegevusettevõtet, milline jurisdiktsioon võib teenusepakkujani ulatuda, kas alltöötleja on muutunud või mida klient saab lepingu lõppedes kaasa võtta.
See ei ole argument Euroopa andmekeskuste ega Euroopa teenusepakkujate vastu. See on argument selle vastu, et kasulikul vastusel lastakse teha tööd, mida see teha ei suuda. Euroopa pilve küsimus ei ole see, kas serveri saab paigutada Euroopa pinnasele. Küsimus on selles, kas teenust kasutav organisatsioon suudab kogu kokkulepet mõista ja selle üle piisavalt kontrolli teostada, arvestades kaalul olevat tööd. Asukoht kuulub sellesse vastusesse. See ei saa olla kogu vastus, nagu ka ettevõtte aadress ei ütle meile, kelle käes on selle kontode võtmed.
See eristus on kõige olulisem seal, kus pilv teeb tavalist, olulist tööd. Kohalik omavalitsus võib hoida kirjavahetust, toimikuid ja avalikku teavet majutatud keskkonnas. Tootja võib hoida disainilahendusi ja tegevusandmeid. Teadusrühm võib hoida andmekogumit, mida ei saa kergesti teisaldada. Haigla võib kasutada teenuseid, mis puudutavad isikuandmeid. Ükski neist näidetest ei vaja dramaatilist katkestust ega spioonilugu, et tõsiseks muutuda. Igapäevane küsimus on lihtsam: kellel on praktiline volitus süsteemi üle, millest on saanud osa organisatsiooni suutlikkusest töötada?
Euroopa õigus ja juhised käsitlevad seda üha enam tõendite, rollide ja vahetamise küsimusena, mitte rahustava sõnavara küsimusena. Andmemäärus annab klientidele õigused ja teenusepakkujatele kohustused seoses vahetamise, eksporditavate andmete ja andmetöötlusteenuste liidestega. EDPS on pikka aega öelnud, et Euroopa institutsioonid, kes kasutavad pilveteenuseid, jäävad vastutavaks oma andmekaitsekohustuste täitmise eest. ENISA pilveriski käsitlus nimetab lukustumise ja õigusliku riski hinnatavate küsimustena. Need ei ole identsed õigusaktid ega loo ühtset pilvedoktriini. Koos osutavad nad kasulikus suunas: kontroll tuleb kirjeldada, mitte eeldada.
Kaardimärk ja juhtimistasand
Pilvekeele sõnavara muudab eristuse sageli raskemini nähtavaks. Sõna pilv viitab ilmasüsteemile: suur, kauge ja võib-olla vältimatu. Praktikas on pilveteenusel juhtimistasand ja töötasand. Töötasandil töötab koormus, hoitakse andmeid, töödeldakse päringuid ja tagastatakse tulemusi. Juhtimistasand on mehhanismide kogum, mille kaudu hallatakse identiteete, muudetakse poliitikaid, uuendatakse tarkvara, määratakse võimsust, pakutakse tuge, hangitakse andmeid ning peatatakse või taastatakse süsteeme. Mõlemad tasandid võivad olla tehniliselt hajutatud. Mõlemad võivad ületada organisatsioonilisi piire.
Asukohakinnitus räägib tavaliselt kõigepealt töötasandist. See võib öelda, kus asub konkreetne andmeladu, virtuaalmasin või regioon. See teave peaks olema piisavalt konkreetne, et olla kasulik. See peaks ütlema, mida see hõlmab, milliseid andmekategooriaid see puudutab, kuidas muudatustest teatatakse ning kas varukoopiad, logid, tugiteave ja tuletatud andmed järgivad sama reeglit. Väide, mis ütleb lihtsalt Euroopa, ilma piirita, on pigem küsimuse alguspunkt kui vastus. Euroopa on suur paik ja teenusearhitektuurile meeldivad erandid.
Juhtimistasand esitab teistsuguse küsimuste seeria. Kes saab administraatori luua või eemaldada? Kes kiidab heaks erakorralise sekkumise? Kes haldab identiteediteenust? Kes näeb diagnostikateavet? Milline ettevõte haldab tarkvara, mis platvormi töös hoiab? Milline juriidiline isik saab ametiasutuselt taotluse? Millisel allhankijal on lubatud tugiteenust osutada? Milline osapool saab teenuse kirjeldust muuta või funktsiooni kasutuselt eemaldada? Klient võib iga päev sisse logida ja siiski ei pruugi tal olla ühtegi iseseisvat teed, et neile küsimustele vastuseid leida.
See ei tähenda, et kliendid peaksid ootama, et nad haldavad iga füüsilist seadet. Tavaliselt nad ei saa seda teha ja enamikul pole selleks vajadustki. Asi on selles, et delegeerimine oleks nähtav. Delegeeritud haldus võib olla vastutustundlik ja tõhus, kui delegeeritud volitused on määratletud, jälgitud ja tagasipööratavad. Sellest saab suveräänsusprobleem, kui kliendil on kontrolli kohta vaid lepinguline silt, samal ajal kui teenusepakkuja hoiab enda käes inimesed, liidesed, andmed ja tehnilised teadmised, mida selle teostamiseks vaja on. Leping, mida praktikas kasutada ei saa, on dekoratiivne ese hea tüpograafiaga.
Ostja jaoks on praktiline tagajärg lihtne. Jäta asukohaküsimus alles. Lisa selle kõrvale juhtimisküsimus. Küsi, kus töökoormus asub, ja seejärel küsi, kes saab selle tingimusi muuta. Küsi, kus andmeid töödeldakse, ja seejärel küsi, kes pääseb haldusteele. Küsi, kus varukoopiat hoitakse, ja seejärel küsi, kes saab selle taastada ja millise volituse alusel. Vastused võivad olla rahuldavad. Need võivad paljastada sõltuvuse, mis tuleb teadlikult vastu võtta. Kumbki tulemus on parem kui avastada, et kaardil olev nööpnõel tegi ära operatsioonimudeli töö.
Omandus ei ole halduslik üksikasja
Omandust käsitletakse mõnikord eraldi aruteluna lippude, börside ja rahvusliku uhkuse üle. See on sellest konkreetsem. Omandus võib määrata, kes nimetab juhatuse, kes kiidab heaks müügi, kes suunab investeeringuid, kellele kuulub intellektuaalomand, milliseid kontsernipoliitikaid kohaldatakse ja milline üksus otsustab lõpuks, kas teenus jääb ärisuunaks. Klient ei vaja lihtsustatud reeglit, et ainult üks omandistruktuur on vastuvõetav. Küll aga peab ta struktuuri teadma enne, kui nimetab korraldust iseseisvaks.
Ettevõtte struktuur mõjutab ka seda, mida pilveteenuse lubadus tähendab. Bränd võib olla kohalik, samal ajal kui teenust haldab teine üksus. Euroopa tütarettevõte võib sõlmida lepingu Euroopa kliendiga, samal ajal kui kontsern mujal pakub olulist tarkvara, turbeoperatsioone, tuge, arveldust, andmeanalüütikat või juhtkonna volitusi. Kohalik partner võib tõesti anda väärtuslikku panust juurutustöösse, sõltudes samal ajal platvormist, mida ta muuta ei saa. Ükski neist korraldustest pole automaatselt sobimatu. Need on erinevad juhtimiskorraldused ja neid ei tohiks ühise logo ja kohaliku telefoninumbriga ühesugusena näidata.
Asjakohane küsimus ei ole see, kas ostja suudab pikas tarneahelas kuskilt leida välismaise seose. Kaasaegne tehnoloogia on omavahel ühendatud ja puhtusetestid ei ole hankemeetod. Küsimus on selles, kus sõltuvus muutub otsustavaks. Milline üksus saab lepingut muuta? Milline üksus kontrollib teenuse intellektuaalomandit? Milline üksus saab võtta kohustuse toe osas? Millisel üksusel on volitused või teadmised, mida on vaja funktsiooni taastamiseks? Millist üksust saab osta, sanktsioneerida, ümber korraldada või juhendada viisil, mis muudab kliendi positsiooni? Need on küsimused tegeliku mõjuvõimu kohta.
Omandus muutub samuti. Ülevõtmine, rahastusvoor, ümberkorraldus või sisemine ülekanne võib muuta kontrollipilti ilma ühtegi serverit liigutamata. Allkirjastamise ajal kirjutatud asukohaklausel võib jääda faktiliselt õigeks, samal ajal kui organisatsioonilised faktid selle ümber on muutunud. Seepärast vajab tõsine pilvefail muudatuste protsessi. Klient peaks teadma, milline muudatus tuleb avalikustada, kes hindab selle mõju, milliseid tõendeid tuleb uuendada ja milline asutus saab uue andmevoo peatada hindamise ajaks. See ei ole glamuurne töö. Nii nagu auto õlitaseme kontrolliminegi, mida inimesed ehk seetõttu mäletavad, kui mootor kaebama hakkab.
EDPS rõhutas oma 2018. aasta pilvandmetöötluse suunistes, et ELi institutsioonid jäävad vastutavaks oma andmekaitsekohustuste eest, kui nad kasutavad pilvandmetöötlusteenuseid, ja peaksid tagama samaväärse kaitse taseme nagu muude infrastruktuurimudelite puhul. See ei ole nõue, et iga institutsioon omaks kõike. See on meeldetuletus, et funktsiooni väljasttellimine ei telli välja kohustust mõista kokkulepet. Kohustus muudab omandi asjakohaseks, sest vastutust ei saa teostada diagrammi kaudu, mis jätab välja poole, kellel on tegelik võim.
Õiguslik ulatus ei kao Euroopa aadressi tõttu
Jurisdiktsioon on sageli kõige ebamugavam kiht, sest see paneb vastu lihtsale vastusele. Leping võib valida kohaldatava õiguse ja kohtu. Need valikud on olulised. Need ei pane teisi õiguslikke volitusi kaduma. Õiguslik ulatus võib järgneda üksusele, asutusele, teenusepakkujale, ettevõttekontsernile, isikule, kellel on juurdepääs, riistvaramüüjale või konkreetsete andmete asukohale ja olemusele. Täpne analüüs sõltub faktidest ja õigusest. Blogipostitus ei saa seda lahendada reaalse organisatsiooni jaoks ja hankemall ei saa asendada nõuetekohast nõustamist, kui risk on oluline.
Kasulik distsipliin on eraldada õiguslik küsimus geograafilisest väitest. Andmekeskus Euroopa Liidus ütleb meile, kus seadmed asuvad. See ei ütle iseenesest, milliseid üksusi saab kohustada, millised asutused võivad esitada taotluse, milline teavitamine on võimalik või kas teenusepakkujal on kohustusi mõne teise õiguskorra alusel. Nende kahe samastamine võib tekitada vale lõpetatuse tunde. Ostja võib olla täitnud elukohanõude, jättes õigusliku analüüsi täielikult tegemata.
EDPB lõplikud suunised GDPRi artikli 3 ja V peatüki rahvusvaheliste ülekannete koostoime kohta on abiks just seetõttu, et need seisavad vastu otseteedele. Need eristavad GDPRi territoriaalset kohaldamisala küsimusest, kas töötlemistoiming on rahvusvaheline ülekanne. See eristus ei anna universaalset järeldust iga pilvekorralduse kohta. Küll aga näitab see, miks sellised väljendid nagu ELis põhinev või GDPRiga hõlmatud ei saa kanda kõiki õiguslikke järeldusi, mida ostja võib soovida teha. Andmekaitseanalüüs järgib tegelikku töötlemist ja osalejaid.
Andmemäärus toob pilveteenuste valdkonda kaasa seotud küsimuse. Selle VII peatükk käsitleb ebaseaduslikku rahvusvahelist valitsuse juurdepääsu ja liidus hoitavate mitteisikuandmete üleandmist. Määrus nõuab, et andmetöötlusteenuste osutajad võtaksid artiklis 32 kirjeldatud asjaoludel asjakohaseid tehnilisi, organisatsioonilisi ja õiguslikke meetmeid, sealhulgas lepingulisi meetmeid. See ei luba, et teenuseosutaja suudab iga välise taotluse olematuks muuta. See nõuab distsiplineeritud reageerimist konfliktile, mida turundussõnaga eemale ei soovi.
Klientide jaoks on esmane töö tõenduskaart. Tehke kindlaks lepingu sõlminud üksus, teenuseosutaja üksused, mis haldavad olulisi teenuseosi, kohad, kus andmeid ja haldust teostatakse, deklareeritud jurisdiktsioonid, taotluste vastuvõtmise ja vaidlustamise tee, teatamistingimused ning õigusnõustamine, mida konkreetne töökoormus vajab. Märkige, mis on teada, mis on tarnija poolt kinnitatud, mis on lepinguliselt kohustatud ja mis vajab veel uurimist. Kuupäeva ja lüngaga kaart on kasulikum kui igihaljas kinnituslõik.
Operatiivne kontroll on koht, kus lubadus muutub reaalsuseks
Operatiivne kontroll on võime panna süsteem midagi tegema või lõpetama selle tegemise kindlaksmääratud volituse ja mehhanismi kaudu. See hõlmab igapäevaseid asju: konto loomine, võrgupoliitika muutmine, võtme vahetamine, varukoopia taastamine, väljalaske heakskiitmine, rentniku isoleerimine, administraatori tagasikutsumine, logi kontrollimine ja kirje eksportimine. Ükski neist toimingutest ei ole suveräänsuse sertifikaat. Koos näitavad need, kas kliendil ja teenuseosutajal on arusaadav vastutuse jaotus.
Pilvekorraldus on nõrk seal, kus iga oluline toiming lõpeb meiliga üldisele tugiaadressile. Tugi on oluline ja asjatundlik tugi võib olla üks häid põhjusi hallatava teenuse kasutamiseks. Kuid kriitiline organisatsioon peaks eristama tugiteed ja volitusteed. Tugi tee on see, kuidas teenuseosutaja aitab. Volituste tee on see, kuidas klient saab algatada, heaks kiita, jälgida ja salvestada toimingu, mille eest ta vastutab. Need kaks võivad kohtuda piletis. Neid ei tohiks segi ajada.
Vaatleme selgelt hüpoteetilist juhtumit. Euroopa teaduskonsortsium kasutab majutatud analüüsikeskkonda tundliku, kuid seadusliku projekti jaoks. Sellel on Euroopa piirkonna leping ja dokumenteeritud andmete asukoht. Siseülevaatuse ajal soovib konsortsium peatada konkreetse torujuhtme, säilitada seotud kirjed ja takistada uue andmeallika ühendamist kuni ülevaatuse lõpuni. Kasulikud küsimused ei ole see, kas kujuteldav operaator käitub kangelaslikult. Need on see, kas konsortsiumil on nimeline roll, kes saab muudatust korraldada, kas platvorm pakub kontrollitud mehhanismi, kas toiming on salvestatud ja kas sõltuvad voogud on enne lüliti kasutamist nähtavad.
Hüpoteetiline juhtum on tahtlikult vaikne, sest tavaline volitus ongi mõte. Teenus ei pea ebaõnnestuma, et klient vajaks kontrolli. Privaatsuse ülevaatus, eesmärgi muutus, hankimisotsus, lepinguvaidlus, turvaprobleem või töötaja lahkumine võivad kõik nõuda piiratud toimingut. Kui keegi ei tea, kes võib seda teha, või kui klient ei saa kontrollida, mida toiming tegi, ei ole probleem see, et pilv on salapärane. Probleem on see, et ärimudel ei olnud kunagi lõpule viidud.
Hea tegevusjuhtimine ei pruugi olla tsentraliseeritud. Suur asutus võib jagada vastutuse teenuseomaniku, turberolli, andmekaitsefunktsiooni, operatiivmeeskonna ja tarnija vahel. Jagamine võib vähendada riski, et üks inimene teeb üksi kahjuliku otsuse. Oluline on, et volituste piir oleks selgelt määratletud. Iga roll peaks teadma, mida ta võib algatada, mida ta võib heaks kiita, mida ta peab registreerima, millal ta peab eskalatsiooni tegema ja kuidas organisatsioon taastub, kui tavaline inimene pole kättesaadav. Pilv ei ole valitsemisest vabastatud ainult sellepärast, et selle juhtpaneel on korras.
Alltöövõtja piir on osa teenusest
Enamikku pilveteenuseid ei osuta üks ettevõte, kasutades ühte hoonet ja ühte tarkvaravirna. Need võivad hõlmata infrastruktuuri pakkujaid, võrguoperaatoreid, hallatava turbe teenuseid, tugipartnereid, maksetöötlejaid, tarkvara haldajaid, identiteediteenuseid, riistvaratootjaid ja spetsialiseerunud alltöövõtjaid. Keeruline ahel ei ole tõend ebaõnnestumisest. See on põhjus ahelat kirjeldada. Klient peab teadma, kust algavad olulised sõltuvused, mida neil on lubatud teha ja kuidas muudatusest teatatakse.
Andmekaitse terminoloogia, nagu vastutav töötleja ja volitatud töötleja, on siin kasulik, kuid see ei tohiks muutuda mõistmise asendajaks. Töötlejate loend võib tuvastada organisatsioone, kes töötlevad isikuandmeid tarnija nimel. See ei pruugi vastata kõigile operatiivsetele küsimustele tarkvara tarne, riistvara toe, kaugadministreerimise, telemeetria, intsidentidele reageerimise või ettevõtte volituste kohta. Vastupidi, tehniline inventuur võib tuvastada komponente, kuid jätta mainimata, kellel on lepinguline kohustus kliendi ees. Neid kahte vaadet tuleb lugeda koos, mitte kasutada konkureerivate dokumentidena.
EDPS pilveteemaline juhend soovitab selget vastutuse jaotust ja tähelepanu pilveteenustes osalevate osapoolte rollidele. See praktiline mure on endiselt terav, sest keerulised osutamismudelid võivad luua mulje, et vastutus on arhitektuuri sisse hajunud. See ei ole. Keegi otsustab endiselt töötlemistoimingu eesmärgi. Keegi seab endiselt tehnilised tingimused. Keegi võtab endiselt vastu alltöövõtja. Keegi peab endiselt selgitama, mis juhtus, kui süsteem muutub. Keerukus võib selgitada, miks vastus võtab aega. See ei muuda küsimust ebamõistlikuks.
Olulisuse jaoks on kasulik test. Kui tarnija kaoks homme kokkuleppest, kas teenus kaotaks funktsiooni, mida klient vajab, kaotaks turbeomaduse, kaotaks juurdepääsu kirjele või kaotaks võimaluse liikuda? Kui vastus on jah, kuulub see tarnija kontrollikaardile. Kaart ei pea paljastama iga detaili ega muutma iga ärisuhet avalikuks. See peab näitama sõltuvusi, mis muudavad kliendi võimet tööd juhtida. Varjatud sõltuvus ei ole nutikas abstraktsioon. See on tulevane kohtumine veidi teistsuguse tooniga.
Alltöövõtjate kontroll sõltub ka ajast. Ostja peaks teadma, kuidas uusi töötlejaid ja olulisi operatiivseid tarnijaid kasutusele võetakse, milline etteteatamistähtaeg on, milline vastuväite või hindamise protsess kehtib ja kuidas muudatus registreeritakse. Staatiline loend on parem kui mitte mingi loend. Ajakohane ja ülevaatatav loend on parem, sest see tunnistab, et teenus ei ole allkirjastamise hetkel külmunud. Organisatsioon ei saa juhtida sõltuvusi, mille saabumisest talle ei teatatud.
Riistvaral on poliitika ja operatiivne tagajärg
Analüüsi on ahvatlev lõpetada tarkvaraliidese juures. Teenus töötab, armatuurlaud on õiges keeles, leping mainib Euroopa piirkonda ja selle all olev taristu tundub kasutamiseks liiga kauge. Ometi võivad riistvara ja selle tugiahel olla otsustava tähtsusega, kui olulised on kättesaadavus, konfidentsiaalsus, hooldus, remont, võimsus või järjepidevus. Küsimus pole selles, kas klient peaks iga kiipi auditeerima. Küsimus on selles, kas klient teab, millistest sõltuvustest valitud teenuse toimimine sõltub ja mis juhtub, kui mõni neist muutub.
Siin tasub hoolikalt eristada suveräänsuse püüdlust ja iseseisvust. Euroopa osaleb ülemaailmsetes tarneahelates. Ükski tõsine organisatsioon ei suuda valmistada kõiki pooljuhte, kaableid, servereid, püsivarakomponente, operatsioonisüsteeme ja tööriistu ühe hankepiiri sees. See poleks ka mõistlik kriteerium iga töökoormuse puhul. Praktiline suveräänsus on võime sõltuvust märgata, sellele tingimusi seada, vajaduse korral alternatiive hoida ja mitte teeselda, et asendamatu väline komponent pole asendamatu.
Riistvarasõltuvused võivad pilvekontrolli mõjutada võimsuse jaotamise, hooldusjuurdepääsu, tarkvaravärskenduste, asendusteede ja usaldusväärsete komponentide kaudu. Need võivad mõjutada ka migreerimise teostatavust. Töökoormus, mis on loodud kindla haldusteenuse funktsiooni, konkreetse kiirendikeskkonna või dokumenteerimata integratsiooni ümber, võib olla tehniliselt teisaldatav ainult samamoodi, nagu klaver on teisaldatav, kui keegi pakub seda kuus korrust trepist üles kanda. Nimisõna on õige. Plaan on puudulik.
ENISA pilveriski hindamine on nüüdseks vanem väljaanne, kuid selle hoiatused lukustumise, õigusriski ja kontrolli kaotamise kohta pole aegunud. Tehniline sõnavara on sellest ajast mitu korda muutunud. Alusküsimus pole muutunud: mida klient kaotab, kui teenus muutub, suhe lõpeb või sõltuvus ei käitu ootuspäraselt? Riski hindamine ei nõua ostjalt iga haldusteenuse tagasilükkamist. See palub ostjal sõltuvustele tagajärjed külge panna enne, kui sõltuvusest saab hädaolukord.
Riistvarateadlik pilvefail võib jääda proportsionaalseks. Salvestage arhitektuur töökoormuse jaoks olulisel tasemel. Tuvastage ainsad sõltuvused ja teadmiste üksikud punktid. Esitage lepingutingimused, mis mõjutavad järjepidevust ja migreerimist. Küsige, milline tugitee on vajalik turvavärskenduste või taastamise jaoks. Kontrollige, kas asenduskeskkond vajab samu patenteeritud komponente. Eesmärk pole muuseumikataloog. See on kainelt maalitud pilt asjadest, mis peavad organisatsiooni töö jätkumiseks kättesaadavaks jääma.
Väljumine on võimekus, mitte allalaadimisnupp
Kõige paljastavam pilveküsimus on sageli see, mis juhtub, kui klient soovib lahkuda. Lahkumine võib tähendada teise teenusepakkuja juurde minekut, funktsiooni toomist kohapealsesse keskkonda, arhitektuuri muutmist, teenuse vähendamist või selle lõpetamist. Klient saab mõnikord andmebaasi eksportida ja ei suuda siiski teenust jätkata. Funktsioon võib sõltuda ka konfiguratsioonist, identiteetidest, võtmetest, logidest, õigustest, automatiseerimisest, mudelitest, hindamismaterjalist, andmete päritolust, integratsioonireeglitest ja tööteadmistest, mis panevad osad koos toimima.
Andmemäärus on selles punktis erakordselt konkreetne. Selle vahetamist käsitlevad sätted nõuavad, et lepingud määratleksid õigused ja kohustused seoses teenusepakkuja vahetamise ja eksporditavate andmete ning digitaalsete varade ülekandmisega. See kehtestab tavapärase maksimaalse üleminekuperioodi 30 kalendripäeva pärast asjakohast etteteatamistähtaega, võimaldades samas kokku leppida teistsuguse perioodi kindlaksmääratud tehnilise teostamatuse juhtudel, teatud tingimustel. See käsitleb ka avatud liideseid ja koostalitlusvõimet. Määrus annab ostjatele midagi väärtuslikku: õigusliku aluse küsida teed enne, kui seda vaja läheb.
Piirid on sama olulised. Andmemäärus ei muuda iga digitaalse vara ülekantavaks, ei kohusta teenusepakkujat avalikustama kaitstud intellektuaalomandit ega ärisaladusi ning ei taga sihtkohas funktsionaalset samaväärsust. Teenusepakkuja saab täita õiguslikke kohustusi, samas kui migreerimine võib jääda keeruliseks. Ostjal võib olla ekspordiõigus, kuid puududa inimesed, eelarve või sihtkoht, mida selle kasutamiseks vaja oleks. Seetõttu tuleks lahkumist käsitleda kui võimekust, mis jaguneb lepingu, arhitektuuri ja organisatsiooni vahel, mitte kui lubadust, mille annab üks rida tellimusvormil.
Usaldusväärne lahkumisfail kajastab sihtteenuse tüüpi, eksporditavaid andmeid ja varasid, nende vorminguid, nende hankimise korda, eeldatavaid järjepidevuse tingimusi, väljavõtuperioodi, sihtkoha eeldusi ja funktsiooni osi, mida lihtsalt üle kanda ei saa. See määrab, kes kinnitab, et eksporditud materjal on kasutatav. See fikseerib, millised logid ja tõendid peavad säilima. See nimetab asutuse, kes saab ülemineku vastu võtta või otsustada, et seda pole veel ohutu lõpule viia. See on vähem põnev kui migreerimisteade. Kuid see muudab teate palju tõenäolisemalt tõeseks.
Testimine on oluline. Väike ja piiritletud harjutus võib paljastada, kas vorming on lihtsalt kättesaadav või tegelikult kasutatav, kas identiteedi saab taastada ilma õigusi muutmata, kas võtit saab üle kanda õige volituse alusel, kas andmed säilitavad oma tähenduse ja kas vähendatud teenus saab jätkuda, samal ajal kui täisteenus liigub. See ei tähenda väidet, et iga organisatsioon peab iga kuu harjutama täielikku pilvest lahkumist. Ulatus peaks kajastama katkestuse tagajärgi. See on väide, et testimata lahkumine on kavatsus, mitte veel valikuvõimalus.
Mida peaks Euroopa pilvehindamine sisaldama
Kasulik hindamine algab funktsiooni nimetamisest, mitte tarnijast. Millist tööd peaks teenus toetama? Millised andmed, dokumendid, õigused, järjepidevuse vajadused ja avalikud tagajärjed on seotud? Väikese riskiga koostöövahend ja süsteem, mis hoiab tundlikke operatiivdokumente, ei vaja identseid kontrolle. Alustamine töökoormusest hoiab ära olukorra, kus organisatsioon rakendab suurt suveräänsuse silti väikesele ja spetsiifilisele otsusele või kohtleb kriitilist teenust nagu veel üht kontoritellimust.
Seejärel koostage asukohaväide piiriga. Märkige, kus asjaomane töötasand peaks toimima, milliseid andmekategooriaid see hõlmab, millised koopiad ja diagnostika on kaasatud, millised ülekanded on lubatud, kuidas positsiooni tõendatakse ja kuidas muudatustest teatatakse. Kui tarnija saab teha ainult laia piirkondliku avalduse, märkige see piirang üles. Ostjal on õigus eristada täpset kohustust ja üldist ärilist kirjeldust. See eristus ei ole vaenulik. See on see, milleks lepingud on mõeldud.
Järgmisena koostage üksuse ja volituste kaart. Märkige lepinguline üksus, olulise rolliga kontserniüksused, asjakohased nimetatud töötlejad või alltöötlejad, rollid, kes saavad teenust hallata, eskalatsioonitee, identiteedi- ja võtmete korraldus ning kliendi volitus, mis jääb pärast allhanke kasutamist alles. Lisage iga kirje toetuseks õiguslikud ja tehnilised tõendid. Ärge kirjutage teenusepakkuja või klient, kui konkreetne üksus, roll või mehhanism on teada. Üldised nimisõnad on väga head konkreetsete puuduste varjamisel.
Lisage sõltuvuste kaart. See peaks hõlmama olulisi tarkvara-, riistvara-, võrgu-, toe- ja integratsioonisõltuvusi, igaühe muudatuse teed ning kaotuse või muutmise tagajärgi. See ei pea tulevikku ennustama. See peab muutma praeguse kujunduse vaidlustatavaks. Kui sõltuvus on vastuvõetav, märkige, miks. Kui see ei ole vastuvõetav, esitage keeldumise tingimus. Kui see on teadmata, ärge lahendage ebamugavust, nimetades seda väikese riskiga. Teadmata on reaalne staatus ja see teenib sageli järgmise töö.
Lõpuks lisage väljumise ja ülevaatuse protokoll. Jäädvustage kohaldatavad lepingutingimused, ekspordiprotseduurid, tehtud testid, leitud lüngad, parandusmeetmed, ülevaatuse kuupäev ja sündmused, mis käivitavad uuesti hindamise. Eesmärk ei ole toota täiuslikku kausta. Eesmärk on luua elav kontrolliarvestus, mis peab vastu personalivahetusele, teenuse uuendusele, lepingu pikendamisele ja päevale, mil keegi peab kiiresti ebamugava otsuse tegema. Aruanne, mida ei saa uuendada, muutub ajaloos arvega.
Mida riigihanked võivad küsida, ilma et teeseldaks kõige lahendamist
Avalikel ostjatel on eriline põhjus selle tõendusmaterjali nõudmiseks, sest neil on sageli kohustused, mis ei lõpe lepingu allkirjastamisega. Nad võivad olla aruandekohustuslikud kodanike ees, alluvad avaliku teabe eeskirjadele, vastutavad oluliste funktsioonide eest või peavad selgitama, miks otsus oli mõistlik. See ei tähenda, et riigihanked saaksid kõrvaldada kõik välismaised sõltuvused või et riiklik eelistus asendab tehnilist hinnangut. See tähendab, et hankes saab küsida küsimusi, mis muudavad korralduse nähtavaks enne, kui see muutub püsivaks.
Proportsionaalne hange võib küsida üksusi, kes osutavad olulisi osi teenusest, väidetavaid geograafilisi ja õiguslikke piire, rolli- ja volitusmudelit, alltöövõtja muutmise protsessi, toe- ja intsidentide teed, kliendile säilitatud tõendusmaterjali, ekspordi- ja üleminekuprotseduuri ning tingimusi, mille korral klient saab kasutamise peatada, piirata või lõpetada. See võib hinnata vastuste kvaliteeti, mitte premeerida omadussõna. Tarnija, kes tunneb oma tegevusmudelit, peaks suutma seda selgitada ilma uduloorita.
On kompromisse. Rohkem tõendusmaterjali võib hankemenetlust pikendada. Mõned nõuded võivad vähendada pakkumuste arvu. Väikesel pakkujal võib olla vähem suutlikkust koostada üksikasjalikku dokumentatsiooni isegi siis, kui tema kontrollimudel on tugev. Olemasoleval pakkujal võib olla suurepärane tehniline teenus, kuid väljumistee vajab läbirääkimisi. Need ei ole argumendid küsimuste vahelejätmiseks. Need on faktid, mida ostja vajab otsustamaks, milline kulu on vastuvõetav: tõendusmaterjali ja alternatiivide kulu nüüd või sõltuvuse kulu hiljem.
Euroopa Komisjoni töö pilvesuveräänsuse alal on muutnud selle suuna hanketerminoloogias nähtavaks, kuid ostjad ei pea ootama universaalset märgist. Nad saavad määrata oma riskipiiri ja nõuda sellele vastavat tõendusmaterjali. Avalik raamatukogu, teadusagentuur, linnavalitsuse osakond ja kriitilise taristu operaator ei kasuta sama künnist. Nad ei peaks seda tegema. Test on see, kas nõuded järgivad funktsiooni, on avaldatud õiglaselt, on hinnatavad järjekindlalt ja säilitavad kliendi võime selgitada, mida ta on valinud.
See on Euroopa pilvepoliitika vaiksem lubadus. See võib liigutada vestluse rahvusliku teatri juurest suhete juhtimise juurde. Euroopa vastus ei pea olema suletud tehnoloogiline saar. See võib olla küpsem turg, kus väited asukoha, kontrolli, õiguse ja väljumise kohta on eraldi väited, mida toetavad eraldi tõendid. Vastastikune sõltuvus ei kao, kui seda nimetatakse. See muutub otsustatavaks, kus see on talutav.
Kontrollid ei vasta üksteisele
Üks viimane lühitee tasub ära jätta. Tugev krüpteerimine ei vasta omandi küsimusele. Kliendi käes olevad võtmed võivad vähendada teatud juurdepääsuriske ja olla oluline kontrollimeede, kuid need ei tõenda iseenesest, kes teenust opereerib, kes platvormi kontrollib, milline teave jääb metadandis nähtavaks või kas klient saab funktsiooni teisaldada. Hea lahkumisklausel ei vasta jurisdiktsiooni küsimusele. Euroopa emaettevõte ei vasta riistvara toe küsimusele. Igal kontrollimeetmel on oma ülesanne. Igaüht tuleb hinnata selle järgi, mida ta tegelikult teeb.
Seetõttu peaks pilveteenuse otsus suutma öelda „ei piisa" ilma teatraalseks muutumata. Ostja võib leida, et asukohakinnitus on piisav, kuid muudatusteatise sõnastus on liiga ebamäärane. Ta võib alltöötleja aktsepteerida, kuid nõuda selgemat volituste rada. Ta võib välismaise riistvarasõltuvuse aktsepteerida, kuid nõuda dokumenteeritud asendusplaani. Ta võib otsustada, et teatud teenus ei sobi teatud andmekategooria jaoks, kuid sobib teise jaoks. Nüansirikkus ei ole otsustamatus. See on tingimus, et otsustada tõendite, mitte kaubamärgituntuse põhjal.
Töö muutub lihtsamaks, kui tõendid hoitakse otsuse lähedal. Ärge pange andmete asukoha avaldust ühte süsteemi, lepingut teise, juurdepääsuülevaadet meilirubriiki ja lahkumisplaani kellegi mällu. Siduge need teenusekirjega ja määrake kirjele omanik. Kui nõue muutub, peaks organisatsioon suutma leida tõendid, tuvastada mõjutatud piiri ja otsustada, kas teenus saab jätkuda. See on valitsemine selle kõige vähem glamuurses ja kõige kasulikumas vormis.
Lühike märkus meilt
Meie aruanne The Sovereignty Illusion kasutab sarnase küsimuse jaoks viit praktilist vaatenurka: omand, tehnoloogia, kapital, taristu ja õiguslik risk. See on meie uurimisraamistik, mitte õiguslik klassifikatsioon ega tõend, et konkreetne teenus vastab kliendi vajadustele. Selle kasulik panus on tähelepanu harjumus. Kui pilveteenuse väide kõlab terviklikuna, küsige, milliseid neist vaatenurkadest see tegelikult hõlmab ja millised jäävad raamist välja.
See harjumus kujundab ka seda, kuidas me oma tööd kirjeldame. Suveräänsusväide peaks piirduma juurutuse, lepingu ja operatiivse vastutusega, mitte paisuma lubaduseks, mida tooteleht ei suuda täita. Klient, töökoormus ja kokkulepitud kontrollimudel otsustavad siiski, mida saab ausalt öelda. Valdkonnas, mis on täis suuri sõnu, ei ole vaoshoitus turunduslik ebamugavus. See on osa tõenditest.
Küsimus pärast linna nime
Euroopa asukoht on endiselt küsimist väärt. See võib olla õiguslik nõue, operatiivne nõue, vastupidavuse valik, füüsilise turvalisuse valik või avaliku vastutuse väljendus. Ostja ei peaks häbenema küsida, kus süsteem töötab. Ta peaks lihtsalt esitama küsimuse koos teistega. Kes omab olulist üksust? Kellel on operatiivne volitus? Millised õiguskorrad võivad korralduseni ulatuda? Millised alltöövõtjad ja komponendid on olulised? Mida saab klient kontrollida, peatada, teisaldada ja säilitada?
Need küsimused ei muuda pilvandmetöötlust vähem kasulikuks. Need muudavad pilvandmetöötluse kasutamise kaalutletumaks. Need asendavad rahustava õhkkonna ülevaatatava toimikuga. Need annavad tarnijatele õiglase võimaluse näidata loodud kontrollimeetmeid ja ostjatele õiglase viisi eristada kasulikku piirangut tühjast väitest. Kõige tähtsam on see, et need säilitavad võimaluse kurssi muuta enne, kui sõltuvus muutub süüdistuseks.
Euroopa pilveteemaline küsimus ei ole seega see, kus server asub. See on see, kus asub kontroll, kui süsteem peab muutuma. Andmekeskus võib olla osa vastusest. Euroopa leping võib olla osa vastusest. Euroopa teenusepakkuja võib olla osa vastusest. Vastus muutub usutavaks ainult siis, kui organisatsioon suudab järgida teed kohast omandini, omandist õigusliku haardeni, õiguslikust haardest tegutsemisvolituseni ja volitusest testitud väljapääsuni. See tee on vähem meeldejääv kui lipp hoone kõrval. See on ka koht, kust töö algab.
Allikad
- Cloud Computing, Euroopa Andmekaitseinspektor. Kasutatud EDPS-i pilveteemaliste juhiste seisukoha jaoks, et ELi institutsioonid vastutavad jätkuvalt oma andmekaitsetagatiste eest ja peaksid tagama samaväärse kaitse.
- EDPB publishes three guidelines following public consultation, Euroopa Andmekaitse Nõukogu, 24. veebruar 2023. Kasutatud lõplike juhiste ulatuse ja eesmärgi jaoks, mis käsitlevad isikuandmete kaitse üldmääruse artiklit 3 ja V peatüki rahvusvahelisi edastusi.
- Regulation (EU) 2023/2854 (Data Act), EUR-Lex. Kasutatud andmetöötlusteenuste vahetamist, eksporti, järjepidevust, koostalitlusvõimet ja rahvusvahelist valitsusjuurdepääsu käsitlevate sätete jaoks.
- Cloud Computing Risk Assessment, Euroopa Liidu Küberturvalisuse Amet. Kasutatud lukustumise, õigusliku riski ja kontrolli kaotuse riskihindamise raamistiku jaoks.
- The Sovereignty Illusion, Dweve. Kasutatud ainult avalikustatud viie objektiiviga Dweve'i uurimisraamistiku jaoks.