Europsko pitanje oblaka nije u tome gdje poslužitelj stoji

Europsko pitanje oblaka nije u tome gdje poslužitelj stoji

Lokacija može biti istinita, a pitanje i dalje ostati otvoreno

U raspravama o oblaku postoji poznati trenutak. Netko pita gdje će se podaci pohranjivati. Netko drugi odgovori imenom nekog europskog grada. Prostorija se malo opusti. Odgovor može biti posve točan i može biti vrlo važan. Geografija utječe na latenciju, fizičku sigurnost, električnu energiju, planiranje otpornosti, zapošljavanje, javnu odgovornost i pravne aranžmane povezane s uslugom. Javno tijelo kojemu određeni zapisi moraju ostati unutar propisanog područja ima opravdan razlog za takvo pitanje. Problem počinje kada se od imena grada očekuje da riješi sva ostala pitanja u tom aranžmanu.

Poslužitelj se nalazi negdje. Usluga se ne nalazi nigdje. Usluga je odnos između pravnih subjekata, osoba s administratorskim pravima, softverskih komponenti, dobavljača hardvera, ugovora, timova za podršku, mreža, aranžmana šifriranja, podizvođača i korisnika koji ovisi o rezultatu. Zgrada je jedan materijalni dio tog odnosa. Ona ne otkriva tko s drugog mjesta može izdati privilegiranu naredbu, koja korporativna grupa kontrolira operativnu tvrtku, koja jurisdikcija može dosegnuti pružatelja usluge, je li se podizvođač promijenio ni što korisnik može ponijeti sa sobom kada ugovor završi.

Ovo nije argument protiv europskih podatkovnih centara ili europskih pružatelja usluga. To je argument protiv toga da koristan odgovor obavlja posao koji ne može obaviti. Europsko pitanje o oblaku nije može li se poslužitelj smjestiti na europsko tlo. Pitanje je može li organizacija koja koristi uslugu razumjeti i ostvariti dovoljno kontrole nad cijelim aranžmanom za posao o kojemu je riječ. Lokacija pripada tom odgovoru. Ona ne može biti cijeli odgovor, jednako kao što nam adresa tvrtke ne govori tko drži ključeve njezinih računa.

Ta razlika najviše dolazi do izražaja tamo gdje oblak obavlja uobičajen i važan posao. Lokalna uprava može u smještenom okruženju držati korespondenciju, predmetne spise i javne informacije. Proizvođač može držati nacrte i operativne podatke. Istraživačka skupina može držati skup podataka koji se ne može olako premjestiti. Bolnica može koristiti usluge koje se odnose na osobne podatke. Nijedan od tih primjera ne zahtijeva dramatičan prekid rada ili špijunski roman da bi postao ozbiljan. Svakodnevno je pitanje jednostavnije: tko ima stvarni autoritet nad sustavom koji je postao dio sposobnosti organizacije da radi?

Europsko zakonodavstvo i smjernice sve više tretiraju to kao pitanje dokaza, uloga i promjene pružatelja, a ne kao pitanje umirujućeg rječnika. Uredba o podacima daje korisnicima prava, a pružateljima obveze u vezi s promjenom pružatelja, izvozivim podacima i sučeljima za usluge obrade podataka. EDPS već dugo tvrdi da europske institucije koje koriste usluge u oblaku ostaju odgovorne za svoje obveze zaštite podataka. ENISA-in rad o rizicima u oblaku navodi ovisnost o pružatelju i pravni rizik kao pitanja koja treba procijeniti. To nisu istovjetni instrumenti i ne stvaraju jedinstvenu doktrinu o oblaku. Zajedno upućuju u korisnom smjeru: kontrola se mora opisati, a ne podrazumijevati.

Oznaka na karti i upravljačka ravnina

Jezik oblaka često otežava uočavanje te razlike. Riječ oblak podsjeća na vremenski sustav: velik, udaljen i možda neizbježan. U praksi usluga u oblaku ima upravljačku ravninu i radnu ravninu. Radna ravnina mjesto je gdje se izvodi radno opterećenje, pohranjuju podaci, obrađuju zahtjevi i vraćaju rezultati. Upravljačka ravnina skup je mehanizama putem kojih se upravlja identitetima, mijenjaju pravila, ažurira softver, dodjeljuje kapacitet, pruža podrška, dohvaćaju zapisi te zaustavljaju ili obnavljaju sustavi. Obje ravnine mogu biti tehnički distribuirane. Obje mogu prelaziti organizacijske granice.

Izjava o lokaciji obično najprije govori o radnoj ravnini. Može navesti gdje se nalazi određena pohrana podataka, virtualno računalo ili regija. Te informacije trebaju biti dovoljno konkretne da budu korisne. Trebaju reći na što se odnose, kojih se kategorija podataka tiču, kako se najavljuju promjene te vrijedi li isto pravilo za sigurnosne kopije, zapise, informacije o podršci i izvedene podatke. Tvrdnja koja samo kaže Europa, bez granice, početna je točka za pitanje, a ne odgovor. Europa je velik prostor, a arhitektura usluga voli iznimke.

Kontrolna ravnina postavlja drukčiji niz pitanja. Tko može stvoriti ili ukloniti administratora? Tko odobrava hitnu intervenciju? Tko upravlja uslugom identiteta? Tko može vidjeti dijagnostičke informacije? Koja tvrtka održava softver koji omogućuje rad platforme? Koji pravni subjekt prima zahtjev tijela vlasti? Kojem podizvođaču je dopušteno rješavati podršku? Koja strana može promijeniti opis usluge ili ukinuti značajku? Korisnik se može prijavljivati svaki dan, a da i dalje nema neovisan put do odgovora ni na jedno od tih pitanja.

To ne znači da bi korisnici trebali očekivati da upravljaju svakim fizičkim uređajem. Obično ne mogu, a većini to ni ne treba. Poanta je učiniti delegiranje vidljivim. Delegirano upravljanje može biti odgovorno i učinkovito kada su delegirane ovlasti definirane, nadzirane i opozive. Ono postaje problem suvereniteta kada korisnik ima samo ugovornu oznaku za kontrolu, dok pružatelj zadržava ljude, sučelja, zapise i tehničko znanje potrebne za njezino ostvarivanje. Ugovor koji se u praksi ne može upotrijebiti ukrasni je predmet s dobrom tipografijom.

Za kupca je praktična posljedica jednostavna. Zadržite pitanje o lokaciji. Uz njega dodajte pitanje o kontroli. Pitajte gdje se nalazi radno opterećenje, a zatim pitajte tko može mijenjati njegove uvjete. Pitajte gdje se podaci obrađuju, a zatim pitajte tko može doći do administrativnog puta. Pitajte gdje se čuva sigurnosna kopija, a zatim pitajte tko je može vratiti i na temelju kojeg ovlaštenja. Odgovori mogu biti zadovoljavajući. Mogu otkriti ovisnost koju treba svjesno prihvatiti. Bilo koji ishod bolji je od otkrića da je pribadača na karti obavljala posao operativnog modela.

Vlasništvo nije administrativni detalj

Vlasništvo se ponekad tretira kao zasebna rasprava o zastavama, burzama i nacionalnom ponosu. Ono je konkretnije od toga. Vlasništvo može odrediti tko imenuje upravni odbor, tko odobrava prodaju, tko usmjerava ulaganja, tko posjeduje intelektualno vlasništvo, koje se grupne politike primjenjuju i koji subjekt u konačnici odlučuje hoće li usluga ostati poslovna linija. Korisniku ne treba pojednostavljeno pravilo da je samo jedna struktura vlasništva prihvatljiva. Ono što mu treba jest upoznati strukturu prije nego što aranžman nazove neovisnim.

Korporativna organizacija također utječe na to što obećanje o oblaku znači. Marka može biti lokalna dok uslugu vodi drukčiji subjekt. Europska podružnica može sklopiti ugovor s europskim korisnikom dok grupa drugdje pruža ključni softver, sigurnosne operacije, podršku, naplatu, analitiku podataka ili izvršno ovlaštenje. Lokalni partner može istinski doprinositi vrijednim implementacijskim radom dok ovisi o platformi koju ne može mijenjati. Nijedan od tih aranžmana nije automatski neprimjeren. Riječ je o različitim aranžmanima kontrole i ne bi ih smjeli činiti istovjetnima zajednički logotip i lokalni telefonski broj.

Relevantno pitanje nije može li kupac pronaći inozemnu poveznicu negdje u dugom lancu opskrbe. Moderna tehnologija je međusobno povezana, a testovi čistoće nisu metoda nabave. Pitanje je gdje ovisnost postaje presudna. Koji subjekt može promijeniti ugovor? Koji subjekt kontrolira intelektualno vlasništvo usluge? Koji subjekt može dati obvezu podrške? Koji subjekt ima vjerodajnice ili znanje potrebno za oporavak funkcije? Koji subjekt može biti kupljen, podvrgnut sankcijama, reorganiziran ili dobivši upute na način koji mijenja položaj kupca? To su pitanja o stvarnoj poluzi.

Vlasništvo se također mijenja. Akvizicija, krug financiranja, restrukturiranje ili interni prijenos mogu promijeniti sliku kontrole bez pomicanja ijednog poslužitelja. Odredba o lokaciji napisana pri potpisu može ostati činjenično točna dok su se organizacijske činjenice oko nje promijenile. Zato ozbiljan dokument o oblaku treba proces promjena. Kupac bi trebao znati koja se promjena mora objaviti, tko će procijeniti njezin učinak, koji dokazi moraju biti ažurirani i koje tijelo može zaustaviti novi protok podataka dok se procjena provodi. To nije glamurozan posao. Niti je provjera ulja u automobilu, što je možda razlog zašto je se ljudi sjećaju nakon što se motor požali.

U svojim smjernicama o oblaku iz 2018. godine, EDPS je naglasio da institucije EU-a ostaju odgovorne za svoje obveze zaštite podataka kada koriste usluge računalstva u oblaku te bi trebale osigurati ekvivalentnu razinu zaštite kao i drugi modeli infrastrukture. To nije zahtjev da svaka institucija posjeduje sve. To je podsjetnik da eksternalizacija funkcije ne eksternalizira dužnost razumijevanja aranžmana. Dužnost čini vlasništvo relevantnim jer se odgovornost ne može provoditi kroz dijagram koji izostavlja stranku sa stvarnom moći.

Pravni doseg ne nestaje s europskom adresom

Nadležnost je često najneugodniji sloj jer se opire jednostavnom odgovoru. Ugovor može odabrati mjerodavno pravo i sud. Ti izbori su važni. Oni ne čine druge pravne ovlasti nestalima. Pravni doseg može pratiti subjekt, poslovni nastan, pružatelja usluga, korporativnu grupu, osobu s pristupom, dobavljača hardvera ili lokaciju i prirodu određenih podataka. Točna analiza ovisi o činjenicama i pravu. Post na blogu to ne može riješiti za stvarnu organizaciju, a predložak za nabavu ne može zamijeniti odgovarajući savjet tamo gdje je rizik materijalan.

Korisna disciplina je odvojiti pravno pitanje od geografske izjave. Podatkovni centar u Europskoj uniji govori nam gdje se oprema nalazi. Sam po sebi ne govori nam koji subjekti mogu biti prisiljeni, koja tijela bi mogla podnijeti zahtjev, kakva je obavijest moguća ili ima li pružatelj obveze prema drugom pravnom poretku. Tretiranje ta dva kao ekvivalentnih može proizvesti lažan osjećaj zatvorenosti. Kupac je možda zadovoljio zahtjev prebivališta dok je pravnu analizu ostavio potpuno neprovedenom.

Konačne smjernice EDPB-a o međudjelovanju članka 3. GDPR-a i poglavlja V. o međunarodnim prijenosima korisne su upravo zato što se opiru prečacima. Razlikuju teritorijalni opseg GDPR-a od pitanja je li operacija obrade međunarodni prijenos. Ta razlika ne pruža univerzalni zaključak o svakom aranžmanu u oblaku. Pokazuje zašto izrazi poput "sa sjedištem u EU-u" ili "obuhvaćeno GDPR-om" ne mogu nositi svaki pravni zaključak koji kupac možda želi izvesti. Analiza zaštite podataka slijedi stvarnu obradu i aktere.

The Data Act brings a related question into the cloud-services file. Its Chapter VII concerns unlawful international governmental access and transfer of non-personal data held in the Union. The Regulation requires providers of data processing services to take adequate technical, organisational and legal measures, including contractual measures, in the circumstances described by Article 32. It does not promise that a provider can make every external request vanish. It requires a disciplined response to a conflict that cannot be wished away by a marketing term.

For customers, the immediate work is an evidence map. Identify the contracting entity, the provider entities that operate material parts of the service, the places where data and administration occur, the stated jurisdictions, the route for receiving and challenging requests, the notification conditions, and the legal advice needed for the particular workload. Mark what is known, what is stated by the supplier, what is contractually committed and what still needs investigation. A map with a date and a gap is more useful than an evergreen assurance paragraph.

Operational control is where a promise becomes real

Operational control is the ability to make a system do something, or stop doing it, through a defined authority and mechanism. It includes mundane things: creating an account, changing a network policy, rotating a key, restoring a backup, approving a release, isolating a tenant, withdrawing an administrator, inspecting a log and exporting a record. None of these actions is a sovereignty certificate. Together they show whether the customer and provider have an intelligible division of responsibility.

A cloud arrangement is weak where every consequential action ends with an email to a generic support address. Support matters, and expert support can be one of the good reasons to use a managed service. But a critical organisation should distinguish between a support route and an authority route. A support route is how a provider helps. An authority route is how the customer can initiate, approve, observe and record an action for which it remains responsible. The two may meet in a ticket. They should not be confused.

Consider a clearly hypothetical case. A European research consortium uses a hosted analytical environment for a sensitive but lawful project. It has a European-region contract and a documented data location. During an internal review, the consortium wants to suspend a particular pipeline, preserve the associated records and prevent a new data source from being connected until the review ends. The useful questions are not whether an imaginary operator behaves heroically. They are whether the consortium has a named role able to order the change, whether the platform exposes a controlled mechanism, whether the action is recorded, and whether dependent flows are visible before the switch is used.

The hypothetical is deliberately quiet because ordinary authority is the point. A service does not need to fail for the customer to need control. A privacy review, change of purpose, procurement decision, contract dispute, security concern or staff departure can all require a bounded action. If nobody knows who may take it, or if the customer cannot inspect what the action did, the issue is not that the cloud is mysterious. The issue is that the operating model was never completed.

Dobra operativna kontrola nije nužno centralizirana. Velika institucija može podijeliti odgovornosti između vlasnika usluge, sigurnosne uloge, funkcije za zaštitu podataka, operativnog tima i dobavljača. Podjela može smanjiti rizik da jedna osoba sama donese štetnu odluku. Važno je da granica ovlasti bude jasna. Svaka uloga treba znati što može pokrenuti, što može odobriti, što mora zabilježiti, kada mora eskalirati i kako se organizacija oporavlja kada uobičajena osoba nije dostupna. Oblak nije oslobođen upravljanja samo zato što je njegova nadzorna ploča uredna.

Linija podizvođača dio je usluge

Većinu usluga u oblaku ne isporučuje jedna tvrtka koja koristi jednu zgradu i jedan softverski stog. One mogu uključivati pružatelje infrastrukture, operatere mreže, upravljane sigurnosne usluge, partnere za podršku, pružatelje plaćanja, održavatelje softvera, usluge identiteta, proizvođače hardvera i specijalizirane podizvođače. Složeni lanac nije dokaz neuspjeha. To je razlog da se lanac opiše. Kupac mora znati gdje počinju materijalne ovisnosti, što im je dopušteno činiti i kako će se promjena komunicirati.

Rječnik zaštite podataka koji razlikuje voditelja i izvršitelja obrade koristan je ovdje, ali ne bi smio postati zamjena za razumijevanje. Popis izvršitelja može identificirati organizacije koje obrađuju osobne podatke u ime dobavljača. On možda neće odgovoriti na svako operativno pitanje o isporuci softvera, podršci za hardver, daljinskoj administraciji, telemetriji, odgovoru na incidente ili korporativnoj ovlasti. S druge strane, inženjerski popis može identificirati komponente, ali izostaviti tko ima ugovornu obvezu prema kupcu. Ta dva prikaza treba čitati zajedno, a ne koristiti ih kao konkurentne dokumente.

Smjernice EDPS-a za oblak preporučuju jasnu raspodjelu odgovornosti i pozornost na uloge stranaka uključenih u usluge u oblaku. Ta praktična briga ostaje važna jer složeni modeli isporuke mogu stvoriti dojam da je odgovornost isparila u arhitekturu. Nije. Netko i dalje odlučuje o svrsi operacije obrade. Netko i dalje postavlja tehničke uvjete. Netko i dalje prihvaća podizvođača. Netko i dalje mora objasniti što se dogodilo kada se sustav promijeni. Složenost može objasniti zašto odgovor traje. Ona ne čini pitanje nerazumnim.

Postoji koristan test materijalnosti. Kad bi dobavljač sutra nestao iz aranžmana, bi li usluga izgubila funkciju koju kupac treba, izgubila sigurnosno svojstvo, izgubila pristup zapisu ili izgubila mogućnost migracije? Ako je odgovor da, taj dobavljač pripada karti kontrole. Karta ne mora otkriti svaki otpornik niti učiniti svaki komercijalni odnos javnim. Mora pokazati ovisnosti koje mijenjaju sposobnost kupca da upravlja radom. Skrivena ovisnost nije pametna apstrakcija. To je budući sastanak s pomalo drugačijim tonom.

Kontrola podizvođača također ovisi o vremenu. Kupac treba znati kako se uvode novi izvršitelji i materijalni operativni dobavljači, kakva se obavijest daje, koji se postupak prigovora ili procjene primjenjuje i kako se promjena bilježi. Statički popis bolji je od nikakvog popisa. Aktualan popis koji se može pregledati bolji je jer prepoznaje da usluga nije zamrznuta u trenutku potpisa. Organizacija ne može upravljati ovisnostima za koje joj nije rečeno da su stigle.

Hardver ima svoju politiku i operativnu posljedicu

Primamljivo je zaustaviti analizu na programskom sučelju. Usluga radi, nadzorna ploča je na ispravnom jeziku, ugovor spominje europsku regiju, a infrastruktura ispod nje čini se predalekom da bi bila korisna. Ipak, hardver i njegov lanac podrške mogu biti presudni kada su važni dostupnost, povjerljivost, održavanje, popravak, kapacitet ili kontinuitet. Pitanje nije treba li kupac revidirati svaki čip. Pitanje je zna li kupac o kojim ovisnostima ovisi odabrana usluga i što se događa kada se jedna od njih promijeni.

Upravo ovdje razlikovanje između suverene težnje i samodostatnosti zaslužuje pozornost. Europa sudjeluje u globalnim lancima opskrbe. Nijedna ozbiljna organizacija ne može proizvesti svaki poluvodič, kabel, poslužitelj, komponentu firmvera, operativni sustav i alat unutar jedne granice nabave. Niti bi to bio razuman prag za svako radno opterećenje. Praktična suverenost jest sposobnost prepoznavanja ovisnosti, postavljanja uvjeta oko nje, zadržavanja alternativa tamo gdje su potrebne i izbjegavanja pretvaranja da neizostavna vanjska komponenta nije neizostavna.

Ovisnosti o hardveru mogu utjecati na kontrolu nad oblakom kroz raspodjelu kapaciteta, pristup održavanju, ažuriranja softvera, putove zamjene i pouzdane komponente. One također mogu utjecati na izvedivost migracije. Radno opterećenje napisano oko određene upravljane značajke, specifičnog okruženja akceleratora ili nedokumentirane integracije može biti tehnički prenosivo samo na način na koji je klavir prenosiv kada netko ponudi da ga odnese uz šest katova stepenica. Imenica je točna. Plan je nepotpun.

ENISA-ina procjena rizika za oblak sada je starija publikacija, ali njezino upozorenje o zaključanosti, pravnom riziku i gubitku kontrole nije postalo staromodno. Tehnički se rječnik od njezina objavljivanja nekoliko puta promijenio. Temeljno pitanje nije: što kupac gubi ako se usluga promijeni, odnos završi ili se ovisnost ne ponaša kako se očekuje? Procjena rizika ne zahtijeva od kupca da odbije svaku upravljanu uslugu. Ona od kupca traži da ovisnostima pridruži posljedice prije nego što ovisnost postane hitan slučaj.

Datoteka u oblaku koja je svjesna hardvera može ostati razmjerna. Zabilježite arhitekturu na razini koja je važna za radno opterećenje. Prepoznajte jedine ovisnosti i jedinstvene točke operativnog znanja. Navedite ugovorne uvjete koji utječu na kontinuitet i migraciju. Pitajte koji je put podrške nužan za sigurnosna ažuriranja ili oporavak. Provjerite treba li zamjensko okruženje iste vlasničke komponente. Cilj nije muzejski katalog. Cilj je trijezna slika stvari koje moraju ostati dostupne da bi organizacija nastavila obavljati svoj posao.

Izlaz je sposobnost, ne gumb za preuzimanje

Najotkrivajuće pitanje o oblaku često je ono što se događa kada kupac želi otići. Odlazak može značiti prelazak na drugog pružatelja, vraćanje funkcije u lokalno okruženje, promjenu arhitekture, smanjenje usluge ili njezin prestanak. Kupac ponekad može izvesti bazu podataka, a i dalje ne moći nastaviti uslugu. Funkcija također može ovisiti o konfiguraciji, identitetima, ključevima, zapisnicima, dopuštenjima, automatizaciji, modelima, materijalu za evaluaciju, podatkovnom rodoslovlju, pravilima integracije i operativnom znanju koje čini da dijelovi funkcioniraju zajedno.

Akt o podacima neobično je konkretan u ovoj točki. Njegove odredbe o promjeni pružatelja zahtijevaju da ugovori utvrde prava i obveze u vezi s promjenom pružatelja i prijenosom izvozivih podataka i digitalne imovine. Uspostavlja uobičajeno najdulje prijelazno razdoblje od 30 kalendarskih dana nakon relevantnog razdoblja otkaznog roka, dopuštajući pritom alternativno razdoblje u definiranim slučajevima tehničke neizvedivosti, pod uvjetima. Također se bavi otvorenim sučeljima i interoperabilnošću. Uredba kupcima daje nešto vrijedno: pravni razlog da zatraže put prije nego što im zatreba.

Ograničenja su jednako važna. Akt o podacima ne čini svaku digitalnu imovinu prenosivom, ne zahtijeva od pružatelja da otkrije zaštićeno intelektualno vlasništvo ili poslovne tajne te ne jamči funkcionalnu istovjetnost na odredištu. Pružatelj može ispunjavati zakonske obveze dok migracija i dalje ostaje teška. Kupac može imati pravo na izvoz, a pritom mu nedostaju ljudi, proračun ili odredište potrebni za njegovo ostvarenje. Zato izlazak treba promatrati kao sposobnost koju dijele ugovor, arhitektura i organizacija, a ne kao obećanje sadržano u jednom retku narudžbenice.

Vjerodostojna evidencija izlaska bilježi ciljanu vrstu usluge, podatke i imovinu koji se mogu izvesti, njihove formate, postupak njihova pribavljanja, očekivane uvjete kontinuiteta, razdoblje preuzimanja, pretpostavke o odredištu te dijelove funkcije koji se ne mogu jednostavno premjestiti. Ona utvrđuje tko će potvrditi da je izvezeni materijal upotrebljiv. Bilježi koji zapisi i dokazi moraju ostati sačuvani. Imenuje tijelo koje može prihvatiti prelazak ili odlučiti da još nije sigurno dovršiti ga. To je manje uzbudljivo od najave migracije. No mnogo je vjerojatnije da će tu najavu učiniti istinitom.

Testiranje je važno. Malena i ograničena vježba može otkriti je li format samo dostupan ili doista upotrebljiv, može li se identitet ponovno uspostaviti bez izmjene dopuštenja, može li se ključ prenijeti pod odgovarajućim ovlastima, zadržavaju li zapisi svoje značenje te može li se smanjena usluga nastaviti dok se cjelokupna usluga seli. To nije tvrdnja da svaka organizacija mora svaki mjesec uvježbavati potpuni izlazak iz oblaka. Opseg bi trebao odražavati posljedice prekida. Riječ je o tvrdnji da je neisproban izlazak namjera, a ne još i mogućnost.

Što bi europska procjena oblaka trebala sadržavati

Korisna procjena počinje imenovanjem funkcije, a ne dobavljača. Koji posao usluga treba podržavati? Koji su podaci, zapisi, prava, potrebe kontinuiteta i javne posljedice uključeni? Alat za suradnju s niskim posljedicama i sustav koji čuva osjetljive operativne zapise ne zahtijevaju istovjetne kontrole. Polazeći od radnog opterećenja, organizacija izbjegava primjenu velike oznake suverenosti na malu i konkretnu odluku ili postupanje s kritičnom uslugom kao da je riječ o još jednoj uredskoj pretplati.

Zatim slijedi izjava o lokaciji s granicom. Navedite gdje se očekuje rad relevantne radne razine, koje kategorije podataka obuhvaća, koje su kopije i dijagnostike uključene, koji su prijenosi dopušteni, kako se položaj dokazuje i kako se promjene prijavljuju. Ako dobavljač može dati samo široku regionalnu izjavu, zabilježite to ograničenje. Kupac smije razlikovati preciznu obvezu od općeg komercijalnog opisa. Ta razlika nije neprijateljska. Upravo za to služe ugovori.

Zatim izradite kartu subjekata i ovlasti. Zabilježite ugovorni subjekt, subjekte unutar grupe s materijalnom ulogom, imenovane obrađivače ili podizvođače tamo gdje je to relevantno, uloge koje mogu upravljati uslugom, put eskalacije, aranžmane identiteta i ključeva te ovlast kupca koja ostaje nakon eksternalizacije. Uključite pravne i tehničke dokaze koji podupiru svaki unos. Ne pišite pružatelj ili kupac tamo gdje je poznat određeni subjekt, uloga ili mehanizam. Općenite imenice vrlo su dobre u prikrivanju konkretnih nedostataka.

Dodajte mapu ovisnosti. Treba uključiti materijalne softverske, hardverske, mrežne, podrške i integracijske ovisnosti, put promjene za svaku od njih te posljedice gubitka ili izmjene. Ne mora predviđati budućnost. Treba učiniti trenutni dizajn osporivim. Ako je ovisnost prihvatljiva, zabilježite zašto. Ako nije prihvatljiva, navedite uvjet odbijanja. Ako je nepoznata, nemojte riješiti nelagodu nazivajući je niskim rizikom. Nepoznato je stvarni status i često zaslužuje sljedeći dio posla.

Na kraju priložite zapis o izlasku i reviziji. Zabilježite primjenjive ugovorne odredbe, postupke izvoza, provedena ispitivanja, utvrđene nedostatke, korektivne radnje, datum revizije i događaje koji pokreću ponovnu procjenu. Poanta nije proizvesti savršenu mapu. Poanta je uspostaviti živi prikaz kontrole koji preživljava promjenu osoblja, ažuriranje usluge, obnovu ugovora i dan kada netko mora brzo donijeti neugodnu odluku. Izvješće koje se ne može ažurirati postaje povijest s priloženim računom.

Što javna nabava može tražiti bez pretvaranja da rješava sve

Javni kupci imaju poseban razlog inzistirati na tim dokazima jer često nose odgovornosti koje ne prestaju potpisivanjem ugovora. Mogu biti odgovorni građanima, podlijegati pravilima o javnoj dokumentaciji, biti odgovorni za ključne funkcije ili morati objasniti zašto je odluka bila razumna. To ne znači da javna nabava može ukloniti svaku stranu ovisnost ili da je nacionalna preferencija zamjena za tehničku procjenu. Znači da natječaj može postaviti pitanja koja čine aranžman vidljivim prije nego što postane ukorijenjen.

Proporcionalan natječaj može tražiti subjekte koji će pružati materijalne dijelove usluge, deklarirane zemljopisne i pravne granice, model uloga i ovlasti, postupak promjene podizvođača, put podrške i incidenata, dokaze zadržane za kupca, postupak izvoza i prebacivanja te uvjete pod kojima kupac može obustaviti, ograničiti ili prekinuti uporabu. Može ocjenjivati kvalitetu odgovora umjesto da nagrađuje pridjev. Dobavljač koji poznaje vlastiti operativni model trebao bi ga moći objasniti bez magle.

Postoje kompromisi. Više dokaza može produljiti nabavu. Neki zahtjevi mogu smanjiti broj ponuda. Mali pružatelj može imati manje kapaciteta za izradu opsežne dokumentacije čak i kada je njegov model kontrole snažan. Postojeći dobavljač može imati izvrsnu tehničku uslugu, ali put izlaska koji zahtijeva pregovore. To nisu argumenti za preskakanje pitanja. To su činjenice koje kupac treba kako bi odlučio koji je trošak prihvatljiv: trošak dokaza i alternativa sada ili trošak ovisnosti kasnije.

Rad Europske komisije o suverenosti oblaka učinio je ovaj smjer vidljivim u terminima nabave, ali kupci ne moraju čekati univerzalnu oznaku. Mogu odrediti vlastitu granicu rizika i zahtijevati dokaze koji joj odgovaraju. Javna knjižnica, istraživačka agencija, gradski odjel i operater kritične infrastrukture neće koristiti isti prag. Ne bi ni trebali. Test je jesu li zahtjevi usklađeni s funkcijom, jesu li objavljeni pošteno, mogu li se dosljedno ocjenjivati i čuvaju li kupčevu sposobnost da objasni što je odabrao.

To je tiše obećanje europske politike o oblaku. Može pomaknuti razgovor s nacionalističkog teatra prema upravljanju odnosima. Europski odgovor ne mora biti zatvoreni tehnološki otok. Može biti zrelije tržište na kojem su tvrdnje o lokaciji, kontroli, pravu i izlasku odvojene tvrdnje, potkrijepljene odvojenim dokazima. Međuovisnost ne nestaje kada se imenuje. Postaje moguće odlučiti gdje je podnošljiva.

Kontrole ne odgovaraju jedna na drugu

Vrijedi odoljeti i posljednjem prečacu. Snažna enkripcija ne odgovara na pitanje vlasništva. Ključevi u posjedu kupca mogu smanjiti pojedine rizike pristupa i mogu biti važna kontrola, ali sami po sebi ne utvrđuju tko upravlja uslugom, tko kontrolira platformu, koje informacije ostaju vidljive u metapodacima niti može li kupac premjestiti funkciju. Dobra klauzula o izlasku ne odgovara na pitanje nadležnosti. Europski vlasnik ne odgovara na pitanje podrške za hardver. Svaka kontrola ima svoju ulogu. Svaku treba procijeniti prema ulozi koju doista obavlja.

To je i razlog zašto odluka o oblaku treba moći reći „nedovoljno“ bez dramatičnosti. Kupac može utvrditi da je obveza o lokaciji primjerena, ali da je obavijest o promjenama previše nejasna. Može prihvatiti podizvođača za obradu, ali zahtijevati jasniji put ovlasti. Može prihvatiti ovisnost o stranom hardveru, ali inzistirati na dokumentiranom planu zamjene. Može odlučiti da pojedina usluga nije prikladna za pojedinu kategoriju podataka, a da ostaje prikladna za drugu. Nijansiranost nije neuspjeh u odlučivanju. Ona je preduvjet za odlučivanje na temelju dokaza, a ne prepoznatljivosti robne marke.

Posao postaje lakši kada su dokazi blizu odluke. Nemojte staviti izjavu o lokaciji podataka u jedan sustav, ugovor u drugi, pregled pristupa u sandučić e-pošte, a plan izlaska u nečije pamćenje. Povežite ih sa zapisom o usluzi i dodijelite zapisu vlasnika. Kada se zahtjev promijeni, organizacija bi trebala moći pronaći dokaze, utvrditi zahvaćenu granicu i odlučiti može li se usluga nastaviti. To je upravljanje u svom najmanje glamuroznom, a najkorisnijem obliku.

Kratka napomena od nas

Naše izvješće The Sovereignty Illusion koristi pet praktičnih leća za slično pitanje: vlasništvo, tehnologiju, kapital, infrastrukturu i pravnu izloženost. To je naš istraživački okvir, a ne pravna klasifikacija niti dokaz da pojedina usluga zadovoljava potrebe kupca. Njegov koristan doprinos jest navika pažnje. Kada tvrdnja o oblaku zvuči potpuno, zapitajte se koje je od tih leća doista obuhvatila, a koje su ostale izvan okvira.

Ta navika oblikuje i način na koji opisujemo vlastiti rad. Tvrdnja o suverenosti treba biti ograničena na implementaciju, ugovor i operativnu odgovornost, a ne napuhana u obećanje koje stranica proizvoda ne može ispuniti. Kupac, radno opterećenje i dogovoreni model kontrole i dalje određuju što se može pošteno reći. U području punom velikih imenica, suzdržanost nije marketinška neugodnost. Ona je dio dokaza.

Pitanje nakon naziva grada

O europskoj lokaciji i dalje vrijedi pitati. Ona može biti pravni zahtjev, operativni zahtjev, izbor otpornosti, izbor fizičke sigurnosti ili izraz javne odgovornosti. Kupac se ne bi trebao sramiti pitati gdje sustav radi. Pitanje jednostavno treba postaviti u društvu. Tko je vlasnik subjekta koji je bitan? Tko ima operativne ovlasti? Koji pravni poredci mogu dosegnuti taj aranžman? Koji su podizvođači i komponente materijalni? Što kupac može nadzirati, zaustaviti, premjestiti i sačuvati?

Ta pitanja ne čine računalstvo u oblaku manje korisnim. Ona čine korištenje računalstva u oblaku promišljenijim. Zamjenjuju ozračje umirivanja spisom koji se može pregledati. Davateljima pružaju poštenu priliku da pokažu kontrole koje su izgradili, a kupcima pošten način da razlikuju korisno ograničenje od prazne tvrdnje. Najvažnije, ona čuvaju mogućnost promjene smjera prije nego što se ovisnost pretvori u optužbu.

Europsko pitanje oblaka stoga nije gdje se poslužitelj nalazi. Ono je gdje se nalazi kontrola kada se sustav mora promijeniti. Podatkovni centar može biti dio odgovora. Europski ugovor može biti dio odgovora. Europski pružatelj usluga može biti dio odgovora. Odgovor postaje vjerodostojan tek kada organizacija može pratiti put od mjesta do vlasništva, od vlasništva do pravnog dosega, od pravnog dosega do operativne ovlasti te od ovlasti do provjerenog izlaza. Taj je put manje upadljiv od zastave pokraj zgrade. No upravo tu počinje posao.

Izvori

• Cloud Computing, Europski nadzornik za zaštitu podataka. Korišteno za stajalište EDPS-a o smjernicama za oblak da institucije EU-a ostaju odgovorne za svoje obveze zaštite podataka te da bi trebale osigurati jednakovrijednu zaštitu.
• EDPB publishes three guidelines following public consultation, Europski odbor za zaštitu podataka, 24. veljače 2023. Korišteno za opseg i svrhu konačnih smjernica o članku 3. GDPR-a i poglavlju V. o međunarodnim prijenosima.
• Regulation (EU) 2023/2854 (Data Act), EUR-Lex. Korišteno za odredbe o promjeni pružatelja, izvozu, kontinuitetu, interoperabilnosti i pristupu međunarodnih tijela javne vlasti za usluge obrade podataka.
• Cloud Computing Risk Assessment, Agencija Europske unije za kibernetičku sigurnost. Korišteno za okvir procjene rizika vezan uz ovisnost o pružatelju, pravni rizik i gubitak kontrole.
• The Sovereignty Illusion, Dweve. Korišteno isključivo za objavljeni Dweve istraživački okvir s pet leća.