Euroopan pilvikysymys ei ole se, missä palvelin sijaitsee
Sijainti voi olla totta ja silti jättää kysymyksen avoimeksi
Pilvikeskustelussa on tuttu hetki. Joku kysyy, mihin tiedot tallennetaan. Joku muu vastaa eurooppalaisen kaupungin nimellä. Tunnelma rentoutuu hieman. Vastaus voi olla täysin paikkansapitävä, ja sillä voi olla suuri merkitys. Maantiede vaikuttaa viiveeseen, fyysiseen turvallisuuteen, sähköön, häiriönsietosuunnitteluun, työllisyyteen, julkiseen vastuuvelvollisuuteen ja palvelun ympärillä oleviin oikeudellisiin järjestelyihin. Julkishallinnon toimijalla, jonka on pidettävä tietyt asiakirjat määrätyllä alueella, on perusteltu syy kysyä. Ongelma alkaa, kun kaupungin nimen odotetaan ratkaisevan kaikki muut järjestelyn kysymykset.
Palvelin sijaitsee jossakin. Palvelu ei sijaitse. Palvelu on suhde oikeushenkilöiden, pääkäyttöoikeudellisten henkilöiden, ohjelmistokomponenttien, laitteistotoimittajien, sopimusten, tukitiimien, verkkojen, salausta koskevien järjestelyjen, alihankkijoiden ja asiakkaan välillä, joka on riippuvainen lopputuloksesta. Rakennus on yksi aineellinen osa tätä suhdetta. Se ei paljasta, kuka voi antaa etuoikeutetun käskyn muualta, mikä konserni hallitsee käyttävää yhtiötä, minkä lainkäyttöalueen toimivalta voi ulottua palveluntarjoajaan, onko alikäsittelijä vaihtunut tai mitä asiakas voi viedä mukanaan sopimuksen päättyessä.
Tämä ei ole argumentti eurooppalaisia datakeskuksia tai eurooppalaisia palveluntarjoajia vastaan. Se on argumentti sitä vastaan, että hyödyllisen vastauksen annetaan tehdä työtä, johon se ei pysty. Eurooppalainen pilvikysymys ei ole se, voidaanko palvelin sijoittaa eurooppalaiselle maaperälle. Se on se, pystyykö palvelua käyttävä organisaatio ymmärtämään ja käyttämään riittävästi hallintaa koko järjestelyyn käsillä olevan työn kannalta. Sijainti kuuluu tähän vastaukseen. Se ei voi olla koko vastaus, sen paremmin kuin yrityksen osoite kertoo, kenellä on avaimet sen tileihin.
Erottelu on tärkein silloin, kun pilvi tekee tavallista, seurauksellista työtä. Paikallishallinto voi säilyttää kirjeenvaihtoa, asiakirjoja ja julkista tietoa isännöidyssä ympäristössä. Valmistaja voi säilyttää suunnitelmia ja toimintatietoja. Tutkimusryhmä voi säilyttää tietoaineistoa, jota ei voi huoletta siirtää. Sairaala voi käyttää palveluita, jotka koskettavat henkilötietoja. Yksikään näistä esimerkeistä ei vaadi dramaattista häiriötä tai vakoiluromaania tullakseen vakavaksi. Päivittäinen kysymys on yksinkertaisempi: kenellä on käytännön valta järjestelmään, josta on tullut osa organisaation kykyä toimia?
Eurooppalainen lainsäädäntö ja ohjeistus käsittelevät tätä yhä useammin kysymyksenä näytöstä, rooleista ja vaihtamisesta eikä rauhoittavasta sanastosta. Data-asetus antaa asiakkaille oikeuksia ja palveluntarjoajille velvollisuuksia, jotka liittyvät vaihtamiseen, vietävissä olevaan dataan ja datankäsittelypalvelujen rajapintoihin. Euroopan tietosuojavaltuutettu on jo pitkään todennut, että eurooppalaiset toimielimet, jotka käyttävät pilvipalveluita, ovat edelleen vastuussa tietosuojavelvoitteistaan. ENISAn pilviriskityö nimeää lukkiutumisen ja oikeudellisen riskin arvioitaviksi asioiksi. Nämä eivät ole samanlaisia välineitä, eivätkä ne luo yhtä yhtenäistä pilvioppia. Yhdessä ne osoittavat hyödylliseen suuntaan: hallinnasta on kerrottava, ei vain vihjattava.
Kartan merkki ja hallintataso
Pilvikieli tekee erottelun usein vaikeammaksi nähdä. Sana pilvi viittaa säähän: laajaan, kaukaiseen ja ehkä väistämättömään. Käytännössä pilvipalvelulla on hallintataso ja toimintataso. Toimintataso on se, jossa työkuorma suoritetaan, data tallennetaan, pyynnöt käsitellään ja tulokset palautetaan. Hallintataso on joukko mekanismeja, joiden kautta identiteettejä hallinnoidaan, käytäntöjä muutetaan, ohjelmistoa päivitetään, kapasiteettia kohdennetaan, tukea tarjotaan, tietueita haetaan ja järjestelmiä pysäytetään tai palautetaan. Molemmat tasot voivat olla teknisesti hajautettuja. Molemmat voivat ylittää organisaatiorajat.
Sijaintilausuma kertoo yleensä ensin työskentelytasosta. Se voi kertoa, missä tietty tietovarasto, virtuaalikone tai alue sijaitsee. Tiedon pitäisi olla riittävän tarkkaa ollakseen hyödyllistä. Sen pitäisi kertoa, mitä se kattaa, mitä tietoluokkia se koskee, miten muutoksista ilmoitetaan ja noudattavatko varmuuskopiot, lokit, tukitiedot ja johdetut tiedot samaa sääntöä. Väite, joka mainitsee vain Euroopan ilman rajausta, on kysymyksen alku, ei vastaus. Eurooppa on suuri alue, ja palveluarkkitehtuuri on täynnä poikkeuksia.
Hallintataso esittää erilaisen kysymyssarjan. Kuka voi luoda tai poistaa järjestelmänvalvojan? Kuka hyväksyy hätätoimenpiteen? Kuka ylläpitää identiteettipalvelua? Kuka voi nähdä diagnostiikkatiedot? Mikä yritys ylläpitää ohjelmistoa, joka saa alustan toimimaan? Mikä oikeushenkilö vastaanottaa viranomaisen pyynnön? Mikä alihankkija saa käsitellä tukipyyntöjä? Mikä osapuoli voi muuttaa palvelunkuvausta tai lopettaa ominaisuuden? Asiakas voi kirjautua sisään joka päivä, eikä silti ole itsenäistä reittiä vastata yhteenkään näistä kysymyksistä.
Tämä ei tarkoita, että asiakkaiden pitäisi odottaa voivansa käyttää jokaista fyysistä laitetta. He eivät yleensä voi, eivätkä useimmat tarvitsekaan. Tarkoitus on tehdä delegoinnista näkyvää. Delegoitu toiminta voi olla vastuullista ja tehokasta, kun delegoidut valtuudet on määritelty, niitä valvotaan ja ne ovat peruutettavissa. Siitä tulee suvereniteettiongelma, kun asiakkaalla on vain sopimuksellinen nimike hallinnasta, kun taas palveluntarjoajalla on ihmiset, rajapinnat, tallenteet ja tekninen osaaminen, joita hallinnan käyttäminen edellyttää. Sopimus, jota ei voi käytännössä käyttää, on koriste-esine hyvällä typografialla.
Ostajalle käytännön seuraus on yksinkertainen. Pidä sijaintikysymys. Lisää hallintakysymys sen viereen. Kysy, missä työkuorma sijaitsee, ja kysy sitten, kuka voi muuttaa sen ehtoja. Kysy, missä tiedot käsitellään, ja kysy sitten, kuka pääsee hallinnolliseen reittiin. Kysy, missä varmuuskopio säilytetään, ja kysy sitten, kuka voi palauttaa sen ja minkä valtuutuksen nojalla. Vastaukset voivat olla tyydyttäviä. Ne voivat paljastaa riippuvuuden, joka on hyväksyttävä tietoisesti. Kumpikin lopputulos on parempi kuin se, että karttanasta teki käyttömallin työn.
Omistajuus ei ole hallinnollinen yksityiskohta
Omistajuutta käsitellään joskus erillisenä keskusteluna lipuista, pörsseistä ja kansallisesta ylpeydestä. Se on konkreettisempaa kuin siltä kuulostaa. Omistajuus voi määrätä, kuka nimittää hallituksen, kuka hyväksyy myynnin, kuka ohjaa investointeja, kenellä on immateriaalioikeudet, mitkä konsernin käytännöt soveltuvat ja mikä yhteisö lopulta päättää, pysyykö palvelu liiketoimintalinjana. Asiakas ei tarvitse yksinkertaistettua sääntöä, jonka mukaan vain yksi omistusrakenne on hyväksyttävä. Sen on kuitenkin tiedettävä rakenne ennen kuin järjestelyä voi kutsua riippumattomaksi.
Yritysjärjestely vaikuttaa myös siihen, mitä pilvilupaus tarkoittaa. Brändi voi olla paikallinen, vaikka palvelua ylläpitää eri yhteisö. Eurooppalainen tytäryhtiö voi tehdä sopimuksen eurooppalaisen asiakkaan kanssa, kun taas konserni muualla tarjoaa keskeisen ohjelmiston, tietoturvaoperaatiot, tuen, laskutuksen, data-analyysin tai johtovallan. Paikallinen kumppani voi aidosti tuottaa arvokasta käyttöönottotyötä samalla kun se on riippuvainen alustasta, jota se ei voi muuttaa. Yksikään näistä järjestelyistä ei ole automaattisesti väärä. Ne ovat erilaisia hallintajärjestelyjä, eikä niitä pitäisi saada näyttämään samanlaisilta yhteisen logon ja paikallisen puhelinnumeron avulla.
Olennainen kysymys ei ole se, löytääkö ostaja jonkin ulkomaankytkennän jostain pitkästä toimitusketjusta. Nykyaikainen teknologia on toisiinsa kytkeytynyttä, eikä puhtausvaatimuksilla hankita palveluita. Kysymys on siitä, milloin riippuvuudesta tulee ratkaiseva. Mikä taho voi muuttaa sopimusta? Mikä taho hallitsee palvelun immateriaalioikeuksia? Mikä taho voi antaa tukisitoumuksen? Millä taholla on valtuudet tai tietämys, joita toiminnon palauttaminen edellyttää? Mikä taho voidaan ostaa, asettaa pakotteiden kohteeksi, organisoida uudelleen tai ohjeistaa tavalla, joka muuttaa asiakkaan asemaa? Nämä ovat kysymyksiä todellisesta vipuvoimasta.
Omistajuus myös muuttuu. Yrityskauppa, rahoituskierros, uudelleenjärjestely tai sisäinen siirto voi muuttaa määräysvaltakuvaa ilman, että yhtäkään palvelinta siirretään. Sopimuksen allekirjoitushetkellä kirjattu sijaintilauseke voi säilyä tosiasiallisesti oikeana, vaikka organisaatiota koskevat tosiasiat sen ympärillä ovat muuttuneet. Siksi vakavasti otettava pilviasiakirja edellyttää muutosprosessia. Asiakkaan tulisi tietää, mikä muutos on ilmoitettava, kuka arvioi sen vaikutuksen, mitkä todisteet on päivitettävä ja millä toimivallalla uusi tietovirta voidaan keskeyttää arvioinnin ajaksi. Se ei ole hohdokasta työtä. Ei ole auton öljyn tarkistaminenkaan, mikä on ehkä syy siihen, että se muistetaan vasta kun moottori valittaa.
EDPS korosti vuoden 2018 pilvipalveluja koskevissa ohjeissaan, että EU:n toimielimet ovat vastuussa tietosuojavelvoitteistaan myös käyttäessään pilvipalveluja, ja niiden tulisi varmistaa vastaava suojan taso kuin muissa infrastruktuurimalleissa. Se ei ole vaatimus siitä, että jokaisen toimielimen on omistettava kaikki. Se on muistutus siitä, että toiminnon ulkoistaminen ei ulkoista velvollisuutta ymmärtää järjestely. Velvollisuus tekee omistajuudesta merkityksellistä, koska vastuuta ei voida käyttää sellaisen kaavion avulla, joka jättää pois osapuolen, jolla on käytännön valta.
Oikeudellinen ulottuvuus ei katoa eurooppalaiseen osoitteeseen
Tuomioistuimen toimivalta on usein epämukavin kerros, koska se vastustaa yksinkertaista vastausta. Sopimuksessa voidaan valita sovellettava laki ja tuomioistuin. Näillä valinnoilla on merkitystä. Ne eivät kuitenkaan saa muita oikeudellisia toimivaltuuksia katoamaan. Oikeudellinen ulottuvuus voi seurata tahoa, toimipaikkaa, palveluntarjoajaa, yritysryhmää, henkilöä, jolla on pääsy, laitteistovalmistajaa tai tiettyjen tietojen sijaintia ja luonnetta. Tarkka analyysi riippuu tosiseikoista ja laista. Blogikirjoitus ei voi ratkaista sitä todellisen organisaation puolesta, eikä hankintamalli voi korvata asianmukaista neuvontaa, kun riski on olennainen.
Hyödyllinen lähestymistapa on erottaa oikeudellinen kysymys maantieteellisestä toteamuksesta. Euroopan unionissa sijaitseva datakeskus kertoo, missä laitteet sijaitsevat. Se ei itsessään kerro, mitkä tahot voidaan velvoittaa, mitkä viranomaiset saattavat esittää pyynnön, millainen ilmoitus on mahdollinen tai onko palveluntarjoajalla velvoitteita toisen oikeusjärjestyksen nojalla. Näiden kahden rinnastaminen voi tuottaa väärän turvallisuuden tunteen. Ostaja on voinut täyttää sijoittautumisvaatimuksen jättäen oikeudellisen analyysin kokonaan tekemättä.
EPDB:n lopulliset ohjeet GDPR:n 3 artiklan ja V luvun kansainvälisten siirtojen välisestä suhteesta ovat hyödyllisiä juuri siksi, että ne vastustavat oikoteitä. Ne erottavat GDPR:n alueellisen soveltamisalan kysymyksestä siitä, onko käsittelytoimi kansainvälinen siirto. Tämä erottelu ei tarjoa yleispätevää johtopäätöstä kaikkiin pilvijärjestelyihin. Se osoittaa, miksi ilmaukset kuten EU:ssa sijaitseva tai GDPR:n kattama eivät voi kantaa kaikkia niitä oikeudellisia päätelmiä, joita ostaja haluaa tehdä. Tietosuoja-analyysi seuraa todellista käsittelyä ja toimijoita.
The Data Act tuo pilvipalveluita koskevaan asiakirjaan myös siihen liittyvän kysymyksen. Sen VII luku koskee laitonta kansainvälistä viranomaisten tietojen saantia ja EU:ssa säilytettävien muiden kuin henkilötietojen siirtoa. Asetus edellyttää, että datankäsittelypalvelujen tarjoajat toteuttavat asianmukaiset tekniset, organisatoriset ja oikeudelliset toimenpiteet, mukaan lukien sopimusperusteiset toimenpiteet, 32 artiklassa kuvatuissa tilanteissa. Se ei lupaa, että palveluntarjoaja voi saada kaikki ulkopuoliset pyynnöt katoamaan. Se edellyttää kurinalaista suhtautumista ristiriitaan, jota ei voi toivoa pois markkinointitermillä.
Asiakkaiden kannalta välitön tehtävä on näyttökartta. Selvittäkää sopimusosapuoli, palveluntarjoajan yhteisöt, jotka ylläpitävät palvelun olennaisia osia, paikat, joissa dataa ja hallintoa käsitellään, ilmoitetut lainkäyttöalueet, reitti pyyntöjen vastaanottamista ja haastamista varten, ilmoitusehdot sekä tarvittava oikeudellinen neuvonta kyseistä työkuormaa varten. Merkitkää, mikä on tiedossa, mitä toimittaja on ilmoittanut, mikä on sopimuksella sitoutettu ja mikä vaatii vielä selvitystä. Kartta, jossa on päivämäärä ja aukko, on hyödyllisempi kuin ikuisesti voimassa oleva vakuuttelukappale.
Operatiivinen hallinta on se, missä lupaus muuttuu todeksi
Operatiivinen hallinta on kyky saada järjestelmä tekemään jotain tai lopettamaan sen tekeminen määritellyn toimivallan ja mekanismin kautta. Se sisältää arkisia asioita: tilin luominen, verkkokäytännön muuttaminen, avaimen vaihtaminen, varmuuskopion palauttaminen, julkaisun hyväksyminen, vuokralaisen eristäminen, ylläpitäjän poistaminen, lokin tarkastelu ja tietueen vieminen. Mikään näistä toimista ei ole suvereniteettitodistus. Yhdessä ne osoittavat, onko asiakkaalla ja palveluntarjoajalla ymmärrettävä vastuunjako.
Pilvijärjestely on heikko silloin, kun jokainen merkittävä toimi päättyy sähköpostiin yleiseen tukiosoitteeseen. Tuki on tärkeää, ja asiantunteva tuki voi olla yksi hyvistä syistä käyttää hallinnoitua palvelua. Kriittisen organisaation tulisi kuitenkin erottaa tukireitti ja toimivaltareitti toisistaan. Tukireitti on se, miten palveluntarjoaja auttaa. Toimivaltareitti on se, miten asiakas voi käynnistää, hyväksyä, seurata ja tallentaa toimen, josta se on edelleen vastuussa. Nämä kaksi voivat kohdata tikettijärjestelmässä. Niitä ei pidä sekoittaa keskenään.
Tarkastellaan selvästi hypoteettista tapausta. Eurooppalainen tutkimuskonsortio käyttää isännöityä analytiikkaympäristöä arkaluonteiseen mutta lailliseen hankkeeseen. Sillä on Euroopan alueen sopimus ja dokumentoitu tietojen sijainti. Sisäisen tarkastuksen aikana konsortio haluaa keskeyttää tietyn putkilinjan, säilyttää siihen liittyvät tietueet ja estää uuden tietolähteen liittämisen, kunnes tarkastus päättyy. Hyödylliset kysymykset eivät ole siitä, toimiiko kuvitteellinen operaattori sankarillisesti. Ne ovat siitä, onko konsortiolla nimetty rooli, joka voi määrätä muutoksen, tarjoaako alusta kontrolloidun mekanismin, tallennetaanko toimi ja ovatko riippuvaiset virrat näkyvissä ennen kuin kytkintä käytetään.
Hypoteettinen tapaus on tarkoituksella rauhallinen, koska tavallinen toimivalta on asian ydin. Palvelun ei tarvitse epäonnistua, jotta asiakas tarvitsisi hallintaa. Yksityisyyden tarkastelu, käyttötarkoituksen muutos, hankintapäätös, sopimusriita, tietoturvahuoli tai henkilöstön lähtö voivat kaikki edellyttää rajattua toimea. Jos kukaan ei tiedä, kuka sen saa suorittaa, tai jos asiakas ei voi tarkastella, mitä toimi teki, ongelma ei ole se, että pilvi on salaperäinen. Ongelma on se, että toimintamallia ei koskaan saatettu loppuun.
Hyvä toiminnallinen valvonta ei välttämättä ole keskitettyä. Suuri organisaatio voi jakaa vastuita palvelun omistajan, tietoturvaroolin, tietosuojatoiminnon, operatiivisen tiimin ja toimittajan kesken. Vastuiden jakaminen voi vähentää riskiä siitä, että yksi henkilö tekee yksin haitallisen päätöksen. Tärkeää on, että toimivallan rajat ovat selkeät. Jokaisen roolin tulisi tietää, mitä se voi käynnistää, mitä se voi hyväksyä, mitä sen on kirjattava, milloin sen on eskaloitava ja miten organisaatio toimii, kun tavallinen henkilö ei ole saatavilla. Pilvi ei ole vapautettu hallinnosta vain siksi, että sen hallintapaneeli on siisti.
Alihankkijaraja on osa palvelua
Useimpia pilvipalveluita ei toimita yksi yritys, joka käyttää yhtä rakennusta ja yhtä ohjelmistopinoa. Niihin voi liittyä infrastruktuurin tarjoajia, verkkotoimijoita, hallinnoituja tietoturvapalveluita, tukikumppaneita, maksunvälittäjiä, ohjelmistojen ylläpitäjiä, identiteettipalveluita, laitevalmistajia ja erikoistuneita alihankkijoita. Monimutkainen ketju ei ole merkki epäonnistumisesta. Se on syy kuvata ketju. Asiakkaan on tiedettävä, mistä olennaiset riippuvuudet alkavat, mitä niille on sallittua tehdä ja miten muutoksesta tiedotetaan.
Tietosuojan käsitteet rekisterinpitäjä ja henkilötietojen käsittelijä ovat tässä hyödyllisiä, mutta niistä ei pitäisi tulla ymmärryksen korviketta. Käsittelijäluettelo voi tunnistaa organisaatiot, jotka käsittelevät henkilötietoja toimittajan puolesta. Se ei välttämättä vastaa jokaiseen operatiiviseen kysymykseen ohjelmistotoimituksesta, laitetuesta, etähallinnasta, telemetriasta, häiriöiden hallinnasta tai yrityksen toimivallasta. Toisaalta tekninen inventaario voi tunnistaa komponentit, mutta jättää mainitsematta, kenellä on sopimusvelvoite asiakasta kohtaan. Näitä kahta näkymää on luettava yhdessä, ei kilpailevina asiakirjoina.
EDPS:n pilviohjeistus suosittaa vastuiden selkeää kohdentamista ja huomion kiinnittämistä pilvipalveluihin osallistuvien osapuolten rooleihin. Tämä käytännön huoli on edelleen ajankohtainen, koska monimutkaiset toimitusmallit voivat luoda vaikutelman, että vastuu on haihtunut arkkitehtuuriin. Näin ei ole. Joku päättää edelleen käsittelyn tarkoituksesta. Joku asettaa edelleen tekniset ehdot. Joku hyväksyy edelleen alihankkijan. Jonkun on edelleen selitettävä, mitä tapahtui, kun järjestelmä muuttui. Monimutkaisuus voi selittää, miksi vastauksen saaminen vie aikaa. Se ei tee kysymyksestä kohtuutonta.
Olennaisuudelle on hyödyllinen testi. Jos toimittaja katoaisi järjestelystä huomenna, menettäisikö palvelu toiminnon, jota asiakas tarvitsee, menettäisikö se tietoturvaominaisuuden, pääsyn tietueeseen tai kyvyn siirtyä? Jos vastaus on kyllä, kyseinen toimittaja kuuluu valvontakarttaan. Kartan ei tarvitse paljastaa jokaista vastusta eikä tehdä jokaista kaupallista suhdetta julkiseksi. Sen on kuitenkin osoitettava riippuvuudet, jotka muuttavat asiakkaan kykyä hallinnoida työtä. Piilotettu riippuvuus ei ole nokkelaa abstrahointia. Se on tuleva kokous, jonka sävy on hieman erilainen.
Alihankkijoiden valvonta riippuu myös ajasta. Ostajan tulisi tietää, miten uudet käsittelijät ja olennaiset operatiiviset toimittajat otetaan käyttöön, mitä ilmoitusaikaa noudatetaan, mikä vastustus- tai arviointiprosessi soveltuu ja miten muutos kirjataan. Staattinen luettelo on parempi kuin ei luetteloa lainkaan. Ajantasainen ja tarkistettavissa oleva luettelo on parempi, koska se tunnustaa, että palvelu ei ole jäädytetty allekirjoitushetkellä. Organisaatio ei voi hallinnoida riippuvuuksia, joiden saapumisesta sille ei ole kerrottu.
Laitteistolla on politiikkansa ja toiminnallinen seurauksensa
Analyysin pysäyttäminen ohjelmistorajapintaan on houkuttelevaa. Palvelu toimii, hallintanäkymä on oikealla kielellä, sopimus mainitsee eurooppalaisen alueen, ja sen alla oleva infrastruktuuri tuntuu liian kaukaiselta ollakseen hyödyllinen. Silti laitteisto ja sen tukiketju voivat olla ratkaisevia, kun saatavuudella, luottamuksellisuudella, ylläpidolla, korjauksella, kapasiteetilla tai jatkuvuudella on merkitystä. Kysymys ei ole siitä, pitääkö asiakkaan tarkastaa jokaista sirua. Kysymys on siitä, tietääkö asiakas, mistä riippuvuuksista valitun palvelun toiminta riippuu ja mitä tapahtuu, kun jokin niistä muuttuu.
Tässä kohtaa suvereeniuden tavoittelun ja omavaraisuuden välinen ero ansaitsee huomiota. Eurooppa osallistuu maailmanlaajuisiin toimitusketjuihin. Yksikään vakavasti otettava organisaatio ei voi valmistaa jokaista puolijohdetta, kaapelia, palvelinta, laiteohjelmistokomponenttia, käyttöjärjestelmää ja työkalua yhden hankintarajauksen sisällä. Eikä sekään olisi järkevä kynnys jokaiselle työkuormalle. Käytännöllinen suvereenius on kykyä tunnistaa riippuvuus, asettaa sille ehtoja, pitää vaihtoehtoja siellä, missä niitä tarvitaan, ja olla teeskentelemättä, että korvaamaton ulkoinen komponentti ei ole korvaamaton.
Laitteistoriippuvuudet voivat vaikuttaa pilvipalvelun hallintaan kapasiteetin kohdentamisen, ylläpitopääsyn, ohjelmistopäivitysten, korvausreittien ja luotettujen komponenttien kautta. Ne voivat vaikuttaa myös siirron toteutettavuuteen. Tietyn hallinnoidun ominaisuuden, tietyn kiihdytinympäristön tai dokumentoimattoman integraation ympärille rakennettu työkuorma voi olla teknisesti siirrettävissä vain samalla tavalla kuin piano on siirrettävissä, kun joku tarjoutuu kantamaan sen kuuteen kerrokseen portaita ylös. Sana on oikea. Suunnitelma on puutteellinen.
ENISA:n pilviriskinarviointi on nykyään vanhempi julkaisu, mutta sen varoitus lukkiutumisesta, oikeudellisesta riskistä ja hallinnan menettämisestä ei ole vanhentunut. Tekninen sanasto on muuttunut moneen kertaan julkaisun jälkeen. Taustalla oleva kysymys ei ole muuttunut: mitä asiakas menettää, jos palvelu muuttuu, suhde päättyy tai riippuvuus ei toimi odotetulla tavalla? Riskinarviointi ei edellytä ostajalta jokaisen hallinnoidun palvelun hylkäämistä. Se pyytää ostajaa liittämään riippuvuuksiin seuraukset ennen kuin riippuvuudesta tulee hätätilanne.
Laitteistotietoinen pilvitiedosto voi pysyä mittasuhteiltaan järkevänä. Kirjaa arkkitehtuuri sillä tasolla, jolla on merkitystä työkuormalle. Tunnista yksittäiset riippuvuudet ja toiminnallisen osaamisen yksittäiset pisteet. Ilmoita ne sopimusehdot, jotka vaikuttavat jatkuvuuteen ja siirtoon. Kysy, mikä tukipolku on tarpeen tietoturvapäivityksille tai palautukselle. Tarkista, vaatiiko korvaava ympäristö samat omat komponentit. Tavoitteena ei ole museoluettelo. Tavoitteena on selväpiirteinen kuva asioista, joiden on pysyttävä saatavilla, jotta organisaatio voi jatkaa työtään.
Poistuminen on kyvykkyys, ei latauspainike
Paljastavin pilvikysymys on usein se, mitä tapahtuu, kun asiakas haluaa lähteä. Lähteminen voi tarkoittaa siirtymistä toiselle palveluntarjoajalle, toiminnon tuomista takaisin omiin tiloihin, arkkitehtuurin muuttamista, palvelun supistamista tai sen lopettamista. Asiakas voi joskus viedä tietokannan ja silti olla kykenemätön jatkamaan palvelua. Toiminto voi myös riippua konfiguraatiosta, identiteeteistä, avaimista, lokeista, käyttöoikeuksista, automatisoinnista, malleista, arviointimateriaalista, datan alkuperästä, integraatiosäännöistä ja toiminnallisesta osaamisesta, joka saa osat toimimaan yhdessä.
Data-asetus on tässä kohdassa poikkeuksellisen konkreettinen. Sen vaihtamista koskevat säännökset edellyttävät, että sopimuksissa vahvistetaan oikeudet ja velvollisuudet, jotka liittyvät vaihtamiseen ja siirrettävän datan sekä digitaalisten hyödykkeiden siirtämiseen. Se vahvistaa tavanomaiseksi enimmäissiirtymäajaksi 30 kalenteripäivää asiaankuuluvan irtisanomisajan jälkeen, mutta sallii vaihtoehtoisen ajanjakson määritellyissä teknisen toteuttamiskelvottomuuden tapauksissa edellytysten mukaisesti. Se käsittelee myös avoimia rajapintoja ja yhteentoimivuutta. Asetus antaa ostajille jotain arvokasta: oikeudellisen syyn pyytää reittiä ennen kuin he tarvitsevat sitä.
Rajat ovat yhtä tärkeitä. Data-asetus ei tee kaikista digitaalisista varoista siirrettäviä, ei edellytä palveluntarjoajalta suojatun immateriaalioikeuden tai liikesalaisuuksien paljastamista eikä takaa toiminnallista vastaavuutta kohdeympäristössä. Palveluntarjoaja voi täyttää lakisääteiset velvoitteensa, vaikka siirtymä olisi edelleen vaikeaa. Ostajalla voi olla vientioikeus, mutta häneltä voi puuttua sen käyttöön tarvittavat henkilöt, budjetti tai kohdeympäristö. Siksi poistumista tulisi käsitellä kykynä, joka jakautuu sopimuksen, arkkitehtuurin ja organisaation kesken, ei lupauksena, jonka yksi rivi tilauslomakkeessa antaa.
Uskottava poistumistiedosto kirjaa kohdepalvelutyypin, vietävissä olevat tiedot ja varat, niiden formaatit, hankintamenettelyn, odotetut jatkuvuusehdot, noutoajan, kohdeympäristöä koskevat oletukset sekä ne toiminnot, joita ei voi yksinkertaisesti siirtää. Se yksilöi sen, kuka varmistaa, että viety materiaali on käyttökelpoista. Se kirjaa, mitkä lokit ja todisteet on säilytettävä. Se nimeää tahon, joka voi hyväksyä siirtymän tai päättää, ettei sen loppuun saattaminen ole vielä turvallista. Tämä on vähemmän jännittävää kuin siirtymäilmoitus. Se tekee ilmoituksesta paljon todennäköisemmin totta.
Testaamisella on merkitystä. Pieni ja rajattu harjoitus voi paljastaa, onko formaatti vain saatavilla vai oikeasti käyttökelpoinen, voidaanko identiteetti luoda uudelleen muuttamatta käyttöoikeuksia, voidaanko avain siirtää oikean valtuutuksen nojalla, säilyttävätkö tietueet merkityksensä ja voiko supistettu palvelu jatkua täyden palvelun siirtyessä. Tämä ei ole väite, että jokaisen organisaation on harjoiteltava täydellistä pilvipoistumista kuukausittain. Laajuuden tulisi heijastaa keskeytyksen seurauksia. Väite on, että testaamaton poistuminen on aikomus, ei vielä vaihtoehto.
Mitä eurooppalaisen pilviarvioinnin tulisi sisältää
Hyödyllinen arviointi alkaa toiminnon, ei toimittajan, nimeämisestä. Mitä työtä palvelun odotetaan tukevan? Mitä tietoja, tietueita, oikeuksia, jatkuvuustarpeita ja julkisia seurauksia siihen liittyy? Vähämerkityksinen yhteistyötyökalu ja järjestelmä, joka sisältää arkaluonteisia operatiivisia tietueita, eivät tarvitse samanlaisia valvontatoimia. Aloittamalla työmäärästä organisaatio välttää suuren suvereniteettileiman kiinnittämisen pieneen ja erityiseen päätökseen tai kriittisen palvelun kohtelemisen kuin se olisi toinen toimistotilaus.
Sitten tehdään sijaintilausunto rajan kanssa. Ilmoitetaan, missä asianomaisen työtason odotetaan toimivan, mitkä tietoluokat se kattaa, mitkä kopiot ja diagnostiikat sisältyvät, mitkä siirrot ovat sallittuja, miten sijainti osoitetaan ja miten muutoksista ilmoitetaan. Jos toimittaja voi antaa vain laajan alueellisen lausunnon, tämä rajoitus kirjataan. Ostaja saa erottaa täsmällisen sitoumuksen yleisestä kaupallisesta kuvauksesta. Ero ei ole vihamielinen. Se on juuri sitä varten, mitä sopimukset ovat.
Seuraavaksi laaditaan toimija- ja valtuuskartta. Kirjataan sopimuspuoli, ryhmän yhteisöt, joilla on aineellinen rooli, nimetyt käsittelijät tai alakäsittelijät tarvittaessa, roolit, jotka voivat hallinnoida palvelua, eskalaatiopolku, identiteetti- ja avainjärjestelyt sekä asiakkaan valtuus, joka säilyy ulkoistamisen jälkeen. Mukaan otetaan kunkin merkinnän tueksi oikeudelliset ja tekniset todisteet. Ei kirjoiteta palveluntarjoaja tai asiakas, kun tiedetään tietty yhteisö, rooli tai mekanismi. Yleiset substantiivit ovat erittäin hyviä peittämään yksittäisiä puutteita.
Lisää riippuvuuskartta. Sen tulee kattaa materiaaliohjelmistot, laitteisto, verkko, tuki- ja integraatioriippuvuudet, muutospolku kullekin sekä menetyksen tai muutoksen seuraukset. Sen ei tarvitse ennustaa tulevaisuutta. Sen on tehtävä nykyisestä suunnittelusta haastettavissa oleva. Jos riippuvuus on hyväksyttävä, kirjaa miksi. Jos se ei ole hyväksyttävä, ilmoita hylkäämisen ehto. Jos se on tuntematon, älä ratkaise epämukavuutta kutsumalla sitä matalariskiseksi. Tuntematon on todellinen tila, ja se johtaa usein seuraavaan työtehtävään.
Liitä lopuksi mukaan poistumis- ja tarkastusasiakirja. Kirjaa sovellettavat sopimusmääräykset, vientimenettelyt, suoritetut testit, havaitut puutteet, korjaavat toimenpiteet, tarkastuspäivä sekä tapahtumat, jotka käynnistävät uudelleenarvioinnin. Tarkoitus ei ole tuottaa täydellistä kansiota. Tarkoitus on luoda elävä hallinnan tili, joka säilyy henkilöstövaihdoksen, palvelupäivityksen, sopimuksen uusimisen ja sen päivän yli, jolloin jonkun on tehtävä nopeasti epämiellyttävä päätös. Raporttia, jota ei voi päivittää, voi kutsua historiaksi, johon on liitetty lasku.
Mitä julkinen hankinta voi kysyä yrittämättä ratkaista kaikkea
Julkisilla ostajilla on erityinen syy vaatia tätä näyttöä, koska heillä on usein vastuita, jotka eivät pääty sopimuksen allekirjoittamiseen. He voivat olla tilivelvollisia kansalaisille, julkisuuslain alaisia, vastuussa välttämättömistä toiminnoista tai velvollisia selittämään, miksi päätös oli kohtuullinen. Tämä ei tarkoita, että julkinen hankinta voisi poistaa kaikki ulkomaiset riippuvuudet tai että kansallinen suosiminen korvaisi teknisen arvioinnin. Se tarkoittaa, että tarjouspyyntö voi esittää kysymyksiä, jotka tekevät järjestelystä näkyvän ennen kuin se juurtuu käyttöön.
Oikeasuhtainen tarjouspyyntö voi kysyä tahoja, jotka tuottavat olennaisia osia palvelusta, väitettyjä maantieteellisiä ja oikeudellisia rajoja, rooli- ja valtuusmallia, alihankkijan vaihtoprosessia, tuki- ja vikareittiä, asiakkaalle säilytettävää näyttöä, vienti- ja vaihtomenettelyä sekä ehtoja, joilla asiakas voi keskeyttää, rajoittaa tai lopettaa käytön. Se voi arvioida vastausten laatua sen sijaan, että se palkitsisi adjektiivin. Toimittajan, joka tuntee oman toimintamallinsa, pitäisi pystyä selittämään se ilman sumutusta.
On olemassa kompromisseja. Lisääntynyt näyttö voi pidentää hankintaa. Jotkin vaatimukset voivat vähentää tarjousten määrää. Pienellä toimittajalla voi olla vähemmän valmiuksia tuottaa laajoja asiakirjoja, vaikka sen hallintamalli olisi vahva. Nykyisellä toimittajalla voi olla erinomainen tekninen palvelu, mutta poistumispolku, joka vaatii neuvottelua. Nämä eivät ole perusteita jättää kysymyksiä kysymättä. Ne ovat tosiasioita, joita ostaja tarvitsee päättääkseen, mikä kustannus on hyväksyttävä: näytön ja vaihtoehtojen kustannus nyt vai riippuvuuden kustannus myöhemmin.
Euroopan komission työ pilvisuvereniteetin parissa on tehnyt tästä suunnasta näkyvän hankintatermein, mutta ostajien ei tarvitse odottaa yleistä merkkiä. He voivat määritellä oman riskirajansa ja vaatia sitä vastaavaa näyttöä. Yleinen kirjasto, tutkimusvirasto, kaupungin yksikkö ja kriittisen infrastruktuurin toimija eivät käytä samaa kynnystä. Niin ei pidäkään olla. Testi on, seuraavatko vaatimukset toimintoa, julkaistaanko ne reilusti, voidaanko ne arvioida johdonmukaisesti ja säilyttääkö asiakas kykynsä selittää, mitä on valinnut.
Tämä on eurooppalaisen pilvipolitiikan hiljaisempi lupaus. Se voi siirtää keskustelua pois kansallisuusteatterista kohti suhteiden hallintaa. Eurooppalaisen vastauksen ei tarvitse olla suljettu teknologinen saari. Se voi olla kypsempi markkina, jossa väitteet sijainnista, hallinnasta, laista ja poistumisesta ovat erillisiä väitteitä, joita tuetaan erillisellä näytöllä. Keskinäisriippuvuus ei katoa, kun se nimetään. Siitä tulee mahdollista päättää, missä se on siedettävää.
Hallintakeinot eivät vastaa toisiinsa
Yhtä viimeistä oikotietä kannattaa vastustaa. Vahva salaus ei vastaa omistajuuskysymykseen. Asiakkaan hallussa olevat avaimet voivat vähentää tiettyjä pääsyriskejä ja olla tärkeä valvontakeino, mutta ne eivät yksinään osoita, kuka palvelua operoi, kuka hallitsee alustaa, mitä tietoja metatiedoissa on näkyvissä tai voiko asiakas siirtää toiminnon. Hyvä irtautumislauseke ei vastaa lainkäyttökysymykseen. Eurooppalainen emoyhtiö ei vastaa laitteistotuen kysymykseen. Jokaisella valvontakeinolla on oma tehtävänsä. Kutakin tulee arvioida sen mukaan, minkä tehtävän se todella suorittaa.
Tästä syystä pilvipäätöksen tulisi myös voida sanoa "ei riitä" ilman teatraalisuutta. Ostaja voi todeta, että sijaintisitoumus on riittävä, mutta muutosilmoitus on liian epämääräinen. Se voi hyväksyä alikäsittelijän mutta edellyttää selkeämpää valtuutusreittiä. Se voi hyväksyä ulkomaisen laitteistoriippuvuuden mutta vaatia dokumentoidun korvaussuunnitelman. Se voi päättää, että tietty palvelu ei sovellu tietylle dataluokalle mutta soveltuu toiselle. Vivahteikkuus ei ole päättämättömyyttä. Se on edellytys sille, että päätös tehdään näytön eikä brändintunnistuksen perusteella.
Työ helpottuu, kun näyttö pidetään lähellä päätöstä. Älä laita datasijaintia koskevaa selvitystä yhteen järjestelmään, sopimusta toiseen, pääsytarkastusta sähköpostilaatikkoon ja irtautumissuunnitelmaa jonkun muistiin. Liitä ne palvelutietueeseen ja anna tietueelle omistaja. Kun vaatimus muuttuu, organisaation tulee voida löytää näyttö, tunnistaa vaikutusalue ja päättää, voiko palvelua jatkaa. Se on hallintoa vähiten loistokkaassa mutta hyödyllisimmässä muodossaan.
Lyhyt huomautus meiltä
Raporttimme The Sovereignty Illusion käyttää viittä käytännön linssiä samankaltaiseen kysymykseen: omistajuus, teknologia, pääoma, infrastruktuuri ja oikeudellinen altistuminen. Se on tutkimusviitekehyksemme, ei oikeudellinen luokittelu eikä todiste siitä, että tietty palvelu täyttää asiakkaan tarpeet. Sen hyödyllinen anti on tarkkaavaisuuden tapa. Kun pilviväite kuulostaa täydelliseltä, kysy, mitkä linssit se on todella kattanut ja mitkä jäävät kehyksen ulkopuolelle.
Tämä tapa muokkaa myös sitä, miten kuvaamme omaa työtämme. Suvereniteettiväitteen tulee rajautua käyttöönottoon, sopimukseen ja operatiiviseen vastuuseen, ei paisua lupaukseksi, jota tuotesivu ei voi pitää. Asiakas, työkuorma ja sovittu valvontamalli ratkaisevat edelleen, mitä voidaan rehellisesti sanoa. Alalla, joka on täynnä suuria substantiiveja, pidättyvyys ei ole markkinoinnin haitta. Se on osa näyttöä.
Kysymys kaupungin nimen jälkeen
Eurooppalaista sijaintia kannattaa edelleen kysyä. Se voi olla lakisääteinen vaatimus, operatiivinen vaatimus, häiriönsietovalinta, fyysisen turvallisuuden valinta tai ilmaus julkisesta vastuusta. Ostajan ei tarvitse hävetä kysyä, missä järjestelmä toimii. Kysymys kannattaa vain esittää seurassa. Kuka omistaa merkityksellisen yhteisön? Kenellä on operatiivinen toimivalta? Mitkä oikeusjärjestykset voivat ulottua järjestelyyn? Mitkä alihankkijat ja komponentit ovat olennaisia? Mitä asiakas voi tarkastaa, pysäyttää, siirtää ja säilyttää?
Nämä kysymykset eivät tee pilvilaskennasta vähemmän hyödyllistä. Ne tekevät pilvilaskennan käytöstä harkitumpaa. Ne korvaavat rauhoittelun ilmapiirin tiedostolla, jota voidaan tarkastella. Ne antavat toimittajille reilun mahdollisuuden osoittaa rakentamansa valvontakeinot ja ostajille reilun tavan erottaa hyödyllinen rajoitus tyhjästä väitteestä. Tärkeintä on, että ne säilyttävät mahdollisuuden vaihtaa suuntaa ennen kuin riippuvuus muuttuu syytökseksi.
Eurooppalainen pilvikysymys ei siis ole siinä, missä palvelin sijaitsee. Se on siinä, missä hallinta sijaitsee, kun järjestelmää on muutettava. Datakeskus voi olla osa vastausta. Eurooppalainen sopimus voi olla osa vastausta. Eurooppalainen palveluntarjoaja voi olla osa vastausta. Vastauksesta tulee uskottava vasta, kun organisaatio pystyy seuraamaan reitin paikasta omistajuuteen, omistajuudesta lain soveltamisalaan, lain soveltamisalasta toimivaltaan ja toimivallasta testattuun ulospääsyyn. Tämä reitti on vähemmän mieleenpainuva kuin lippu rakennuksen vieressä. Se on myös se kohta, josta työ alkaa.
Lähteet
- Cloud Computing, Euroopan tietosuojavaltuutettu. Käytetty EDPS:n pilviohjeistuksen kannan lähteenä, jonka mukaan EU:n toimielimet ovat vastuussa tietosuojavelvoitteistaan ja niiden on varmistettava vastaavan tasoinen suoja.
- EDPB publishes three guidelines following public consultation, Euroopan tietosuojaneuvosto, 24. helmikuuta 2023. Käytetty lopullisten suuntaviivojen soveltamisalan ja tarkoituksen lähteenä GDPR:n 3 artiklan ja V luvun kansainvälisten siirtojen osalta.
- Regulation (EU) 2023/2854 (Data Act), EUR-Lex. Käytetty vaihtamista, vientiä, jatkuvuutta, yhteentoimivuutta ja kansainvälistä viranomaisten tietojensaantia koskevien säännösten lähteenä datankäsittelypalveluille.
- Cloud Computing Risk Assessment, Euroopan unionin kyberturvallisuusvirasto. Käytetty riskinarvioinnin viitekehyksen lähteenä lukkiutumisen, oikeudellisen riskin ja hallinnan menettämisen osalta.
- The Sovereignty Illusion, Dweve. Käytetty ainoastaan julkistetun Dweven viiden linssin tutkimusviitekehyksen lähteenä.