Európska cloudová otázka nespočíva v tom, kde stojí server
Poloha môže byť pravdivá a predsa nechať otázku otvorenú
V diskusiách o cloude prichádza známy moment. Niekto sa spýta, kde budú uložené údaje. Niekto iný odpovie názvom európskeho mesta. Miestnosť sa trochu uvoľní. Odpoveď môže byť úplne presná a môže veľa znamenať. Geografia ovplyvňuje latenciu, fyzickú bezpečnosť, elektrinu, plánovanie odolnosti, zamestnanosť, verejnú zodpovednosť a právne dojednania okolo služby. Verejný orgán, ktorý potrebuje, aby konkrétne záznamy zostali v rámci určeného územia, má oprávnený dôvod sa pýtať. Problém začína vtedy, keď má názov mesta zodpovedať všetky ostatné otázky v rámci dojednania.
Server sa nachádza niekde. Služba nie. Služba je vzťah medzi právnickými osobami, ľuďmi s právami správcu, softvérovými komponentmi, dodávateľmi hardvéru, zmluvami, tímami podpory, sieťami, dojednaniami o šifrovaní, subdodávateľmi a zákazníkom, ktorý závisí od výsledku. Budova je jednou materiálnou súčasťou tohto vzťahu. Neodhaľuje, kto môže odniekiaľ vydať privilegovaný príkaz, ktorá podniková skupina kontroluje prevádzkovú spoločnosť, ktorá jurisdikcia môže zasiahnuť voči poskytovateľovi, či sa zmenil subdodávateľ spracúvania, ani čo si zákazník môže odniesť, keď zmluva skončí.
Toto nie je argument proti európskym dátovým centrám ani európskym poskytovateľom. Je to argument proti tomu, aby užitočná odpoveď robila prácu, ktorú robiť nemôže. Európska cloudová otázka nie je o tom, či možno server umiestniť na európsku pôdu. Je o tom, či organizácia používajúca službu dokáže pochopiť a vykonávať dostatočnú kontrolu nad celým dojednaním pre prácu, o ktorú ide. Poloha do tejto odpovede patrí. Nemôže byť celou odpoveďou, rovnako ako adresa spoločnosti nepovie, kto drží kľúče od jej účtov.
Tento rozdiel je najdôležitejší tam, kde cloud vykonáva bežnú a dôležitú prácu. Miestna samospráva môže v hostovanom prostredí uchovávať korešpondenciu, spisové záznamy a verejné informácie. Výrobca môže uchovávať návrhy a prevádzkové údaje. Výskumná skupina môže uchovávať dátový súbor, ktorý sa nedá len tak presunúť. Nemocnica môže používať služby, ktoré sa dotýkajú osobných informácií. Žiadny z týchto príkladov nepotrebuje dramatický výpadok ani špionážny román, aby sa stal vážnym. Každodenná otázka je jednoduchšia: kto má praktickú právomoc nad systémom, ktorý sa stal súčasťou schopnosti organizácie pracovať?
Európske právo a usmernenia čoraz častejšie pristupujú k tejto otázke ako k otázke dôkazov, úloh a prechodu, nie ako k otázke upokojujúceho slovníka. Akt o údajoch dáva zákazníkom práva a poskytovateľom povinnosti týkajúce sa prechodu, exportovateľných údajov a rozhraní pre služby spracúvania údajov. EDPS už dlho hovorí, že európske inštitúcie používajúce cloudové služby zostávajú zodpovedné za svoje povinnosti v oblasti ochrany údajov. Práca ENISA o cloudových rizikách označuje uzamknutie a právne riziko za záležitosti, ktoré treba posúdiť. Tieto nástroje nie sú identické a nevytvárajú jedinú cloudovú doktrínu. Spoločne ukazujú užitočným smerom: kontrola musí byť opísaná, nie iba naznačená.
Mapový pin a riadiaca rovina
Cloudová terminológia často sťažuje videnie tohto rozdielu. Slovo cloud naznačuje poveternostný systém: veľký, vzdialený a možno nevyhnutný. V praxi má cloudová služba riadiacu rovinu a pracovnú rovinu. Pracovná rovina je miesto, kde beží pracovná záťaž, ukladajú sa údaje, spracúvajú sa požiadavky a vracajú sa výsledky. Riadiaca rovina je súbor mechanizmov, prostredníctvom ktorých sa spravujú identity, menia sa pravidlá, aktualizuje sa softvér, prideľuje sa kapacita, poskytuje sa podpora, získavajú sa záznamy a systémy sa zastavujú alebo obnovujú. Obe roviny môžu byť technicky distribuované. Obe môžu prekračovať organizačné hranice.
Vyhlásenie o umiestnení zvyčajne hovorí najprv o pracovnej rovine. Môže uviesť, kde sa nachádza konkrétne dátové úložisko, virtuálny stroj alebo región. Táto informácia by mala byť dostatočne konkrétna, aby bola užitočná. Malo by uviesť, čo pokrýva, ktorých kategórií údajov sa týka, ako sa oznamujú zmeny a či sa rovnaké pravidlo vzťahuje na zálohy, protokoly, informácie o podpore a odvodené údaje. Tvrdenie, ktoré len hovorí Európa, bez vymedzenia hraníc, je skôr východiskom pre otázku než odpoveďou. Európa je veľké miesto a architektúra služieb má rada výnimky.
Rovina riadenia kladie iný rad otázok. Kto môže vytvoriť alebo odstrániť správcu? Kto schvaľuje núdzový zásah? Kto prevádzkuje službu identity? Kto môže vidieť diagnostické informácie? Ktorá spoločnosť udržiava softvér, vďaka ktorému platforma funguje? Ktorá právnická osoba dostane žiadosť od orgánu? Ktorému subdodávateľovi je dovolené zaoberať sa podporou? Ktorá strana môže zmeniť opis služby alebo ukončiť funkciu? Zákazník sa môže prihlasovať každý deň a napriek tomu nemusí mať žiadnu nezávislú cestu, ako na niektorú z nich odpovedať.
To neznamená, že by zákazníci mali očakávať, že budú prevádzkovať každé fyzické zariadenie. Zvyčajne nemôžu a väčšina to ani nepotrebuje. Ide o to, aby bolo delegovanie viditeľné. Delegovaná prevádzka môže byť zodpovedná a efektívna, keď sú delegované právomoci definované, monitorované a odvolateľné. Stáva sa problémom suverenity, keď má zákazník len zmluvný štítok pre kontrolu, zatiaľ čo poskytovateľ si ponecháva ľudí, rozhrania, záznamy a technické znalosti potrebné na jej výkon. Zmluva, ktorú nemožno v praxi použiť, je dekoratívny predmet s dobrou typografiou.
Pre kupujúceho je praktický dôsledok priamočiary. Ponechajte si otázku umiestnenia. Pridajte k nej otázku kontroly. Opýtajte sa, kde sa pracovné zaťaženie nachádza, a potom sa opýtajte, kto môže zmeniť jeho podmienky. Opýtajte sa, kde sa údaje spracúvajú, a potom sa opýtajte, kto sa môže dostať k administratívnej ceste. Opýtajte sa, kde je uložená záloha, a potom sa opýtajte, kto ju môže obnoviť a na základe akej právomoci. Odpovede môžu byť uspokojivé. Môžu odhaliť závislosť, ktorú treba vedome prijať. Každý z týchto výsledkov je lepší ako zistiť, že špendlík na mape robil prácu prevádzkového modelu.
Vlastníctvo nie je administratívny detail
Vlastníctvo sa niekedy považuje za samostatnú debatu o vlajkách, burzách a národnej hrdosti. Je konkrétnejšie ako to. Vlastníctvo môže určiť, kto vymenúva predstavenstvo, kto schvaľuje predaj, kto riadi investície, kto vlastní duševné vlastníctvo, ktoré skupinové politiky sa uplatňujú a ktorá entita v konečnom dôsledku rozhoduje o tom, či služba zostane líniou podnikania. Zákazník nepotrebuje zjednodušené pravidlo, že je prijateľná len jedna štruktúra vlastníctva. Potrebuje poznať štruktúru skôr, než označí usporiadanie za nezávislé.
Firemná organizácia tiež ovplyvňuje, čo znamená sľub cloudu. Značka môže byť miestna, zatiaľ čo službu prevádzkuje iná entita. Európska dcérska spoločnosť môže uzavrieť zmluvu s európskym zákazníkom, zatiaľ čo skupina inde poskytuje základný softvér, bezpečnostné operácie, podporu, fakturáciu, analýzu údajov alebo výkonnú právomoc. Miestny partner môže skutočne hodnotne prispieť k implementačnej práci, pričom závisí od platformy, ktorú nemôže zmeniť. Žiadne z týchto usporiadaní nie je automaticky nesprávne. Sú to rôzne kontrolné usporiadania a nemali by vyzerať identicky vďaka spoločnému logu a miestnemu telefónnemu číslu.
Relevantná otázka nie je, či kupujúci dokáže v dlhom dodávateľskom reťazci nájsť nejaké zahraničné prepojenie. Moderné technológie sú vzájomne prepojené a testy čistoty nie sú metódou obstarávania. Otázkou je, kde sa závislosť stáva rozhodujúcou. Ktorý subjekt môže zmeniť zmluvu? Ktorý subjekt vlastní duševné vlastníctvo služby? Ktorý subjekt môže poskytnúť záväzok podpory? Ktorý subjekt má poverenia alebo znalosti potrebné na obnovenie funkcie? Ktorý subjekt môže byť kúpený, sankcionovaný, reorganizovaný alebo dostane pokyn spôsobom, ktorý zmení postavenie zákazníka? To sú otázky o skutočnej páke.
Mení sa aj vlastníctvo. Akvizícia, investičné kolo, reštrukturalizácia alebo interný prevod môžu zmeniť obraz o kontrole bez toho, aby sa presunul čo i len jeden server. Klauzula o umiestnení napísaná pri podpise môže zostať fakticky správna, zatiaľ čo organizačné fakty okolo nej sa zmenili. Preto seriózny cloudový dokument potrebuje proces zmien. Zákazník by mal vedieť, ktorá zmena sa musí oznámiť, kto posúdi jej vplyv, aké dôkazy sa musia aktualizovať a ktorý orgán môže pozastaviť nový tok údajov, kým sa posudzovanie vykonáva. Nie je to oslnivá práca. Ani kontrola oleja v aute nie je, a možno preto si ju ľudia pamätajú, až keď sa motor začne sťažovať.
Vo svojich usmerneniach o cloude z roku 2018 EDPS zdôraznil, že inštitúcie EÚ zostávajú zodpovedné za svoje povinnosti v oblasti ochrany údajov, keď využívajú cloudové výpočtové služby, a mali by si zabezpečiť rovnocennú úroveň ochrany ako pri iných modeloch infraštruktúry. To nie je požiadavka, aby každá inštitúcia vlastnila všetko. Je to pripomienka, že outsourcing funkcie neznamená outsourcing povinnosti porozumieť danému usporiadaniu. Táto povinnosť robí vlastníctvo relevantným, pretože zodpovednosť nemožno vykonávať prostredníctvom diagramu, ktorý vynecháva stranu so skutočnou mocou.
Právny dosah nevymaže európska adresa
Jurisdikcia je často najnepríjemnejšou vrstvou, pretože odoláva jednoduchým odpovediam. Zmluva si môže zvoliť rozhodné právo a súd. Tieto voľby sú dôležité. Nespôsobujú však zánik iných právnych právomocí. Právny dosah môže nasledovať subjekt, prevádzkareň, poskytovateľa služieb, podnikovú skupinu, osobu s prístupom, predajcu hardvéru alebo umiestnenie a povahu konkrétnych údajov. Presná analýza závisí od faktov a práva. Blogový príspevok to nemôže vyriešiť pre reálnu organizáciu a šablóna obstarávania nemôže nahradiť riadne poradenstvo tam, kde je riziko materiálne.
Užitočnou disciplínou je oddeliť právnu otázku od geografického vyhlásenia. Datové centrum v Európskej únii nám hovorí, kde sa nachádza zariadenie. Samo o sebe nám nehovorí, ktoré subjekty možno prinútiť, ktoré orgány môžu podať žiadosť, aké oznámenie je možné alebo či má poskytovateľ povinnosti podľa iného právneho poriadku. Zaobchádzanie s týmito dvoma vecami ako s rovnocennými môže vytvoriť falošný pocit uzavretia. Kupujúci mohol splniť požiadavku na pobyt, pričom právnu analýzu úplne vynechal.
Záverečné usmernenia EDPB o vzájomnom pôsobení článku 3 GDPR a kapitoly V o medzinárodných prevodoch sú užitočné práve preto, že odolávajú skratkám. Rozlišujú územný rozsah GDPR od otázky, či je spracovateľská operácia medzinárodným prevodom. Toto rozlíšenie neposkytuje univerzálny záver pre každé cloudové usporiadanie. Ukazuje však, prečo frázy ako založené v EÚ alebo pokryté GDPR nemôžu niesť každý právny záver, ktorý chce kupujúci vyvodiť. Analýza ochrany údajov nasleduje skutočné spracovanie a skutočných aktérov.
Nariadenie o údajoch prináša do spisu o cloudových službách súvisiacu otázku. Jeho kapitola VII sa týka nezákonného medzinárodného vládneho prístupu a prenosu neosobných údajov uchovávaných v Únii. Nariadenie vyžaduje, aby poskytovatelia služieb spracúvania údajov prijali primerané technické, organizačné a právne opatrenia vrátane zmluvných opatrení za okolností opísaných v článku 32. Nesľubuje, že poskytovateľ dokáže spôsobiť, že každá externá žiadosť zmizne. Vyžaduje disciplinovanú reakciu na konflikt, ktorý sa nedá odstrániť marketingovým pojmom.
Pre zákazníkov je bezprostrednou úlohou mapa dôkazov. Identifikujte zmluvnú stranu, subjekty poskytovateľa, ktoré prevádzkujú podstatné časti služby, miesta, kde sa nachádzajú údaje a kde prebieha správa, uvedené jurisdikcie, cestu na prijímanie a napadnutie žiadostí, podmienky oznamovania a právne poradenstvo potrebné pre konkrétne pracovné zaťaženie. Označte, čo je známe, čo uvádza dodávateľ, čo je zmluvne záväzné a čo si ešte vyžaduje preskúmanie. Mapa s dátumom a medzerou je užitočnejšia ako večne platný uisťujúci odsek.
Prevádzková kontrola je miesto, kde sa sľub stáva skutočnosťou
Prevádzková kontrola je schopnosť prinútiť systém, aby niečo urobil, alebo aby to prestal robiť, prostredníctvom vymedzenej právomoci a mechanizmu. Zahŕňa všedné veci: vytvorenie účtu, zmenu sieťovej politiky, rotáciu kľúča, obnovenie zálohy, schválenie vydania, izoláciu nájomcu, odobratie právomocí správcovi, kontrolu denníka a export záznamu. Žiadna z týchto činností nie je certifikátom suverenity. Spoločne ukazujú, či zákazník a poskytovateľ majú zrozumiteľné rozdelenie zodpovednosti.
Cloudové usporiadanie je slabé tam, kde sa každá závažná činnosť končí e-mailom na všeobecnú adresu podpory. Podpora je dôležitá a odborná podpora môže byť jedným z dobrých dôvodov na využívanie spravovanej služby. Kritická organizácia by však mala rozlišovať medzi cestou podpory a cestou právomoci. Cesta podpory je spôsob, akým poskytovateľ pomáha. Cesta právomoci je spôsob, akým zákazník môže iniciovať, schvaľovať, pozorovať a zaznamenávať činnosť, za ktorú zostáva zodpovedný. Obe sa môžu stretnúť v tiketu. Nemali by sa zamieňať.
Zvážte jasne hypotetický prípad. Európske výskumné konzorcium používa hosťované analytické prostredie na citlivý, ale zákonný projekt. Má zmluvu pre európsky región a zdokumentované umiestnenie údajov. Počas interného preskúmania chce konzorcium pozastaviť konkrétny pipeline, zachovať súvisiace záznamy a zabrániť pripojeniu nového zdroja údajov, kým sa preskúmanie neskončí. Užitočné otázky nie sú o tom, či sa imaginárny prevádzkovateľ správa hrdinsky. Sú o tom, či má konzorcium určenú rolu, ktorá môže nariadiť zmenu, či platforma poskytuje riadený mechanizmus, či je činnosť zaznamenaná a či sú závislé toky viditeľné pred použitím prepínača.
Hypotetický prípad je zámerne pokojný, pretože podstatou je bežná právomoc. Služba nemusí zlyhať, aby zákazník potreboval kontrolu. Preskúmanie ochrany súkromia, zmena účelu, rozhodnutie o nákupe, zmluvný spor, obava o bezpečnosť alebo odchod zamestnanca môžu vyžadovať ohraničenú činnosť. Ak nikto nevie, kto ju môže vykonať, alebo ak zákazník nemôže skontrolovať, čo činnosť spôsobila, problém nie je v tom, že je cloud záhadný. Problém je v tom, že prevádzkový model nebol nikdy dokončený.
Dobrá prevádzková kontrola nemusí byť nevyhnutne centralizovaná. Veľká inštitúcia môže rozdeliť zodpovednosti medzi vlastníka služby, bezpečnostnú rolu, funkciu ochrany údajov, prevádzkový tím a dodávateľa. Rozdelenie môže znížiť riziko, že jedno rozhodnutie so škodlivými následkami urobí jedna osoba sama. Dôležité je, aby bola hranica právomocí čitateľná. Každá rola by mala vedieť, čo môže iniciovať, čo môže schváliť, čo musí zaznamenať, kedy musí eskalovať a ako sa organizácia zotaví, keď obvyklá osoba nie je k dispozícii. Cloud nie je oslobodený od správy a riadenia len preto, že jeho ovládací panel je prehľadný.
Línia subdodávateľov je súčasťou služby
Väčšinu cloudových služieb nedodáva jedna spoločnosť s jednou budovou a jedným softvérovým balíkom. Môžu zahŕňať poskytovateľov infraštruktúry, prevádzkovateľov sietí, spravované bezpečnostné služby, partnerskú podporu, spracovateľov platieb, správcov softvéru, služby identity, výrobcov hardvéru a špecializovaných subdodávateľov. Zložitý reťazec nie je dôkazom zlyhania. Je dôvodom na to, aby bol reťazec opísaný. Zákazník potrebuje vedieť, kde začínajú podstatné závislosti, čo môžu robiť a ako bude zmena oznámená.
Slovník ochrany údajov, ktorý rozlišuje prevádzkovateľa a sprostredkovateľa, je tu užitočný, ale nemal by sa stať náhradou za pochopenie. Zoznam sprostredkovateľov môže identifikovať organizácie, ktoré spracúvajú osobné údaje v mene dodávateľa. Nemusí odpovedať na každú prevádzkovú otázku týkajúcu sa dodávky softvéru, podpory hardvéru, vzdialenej správy, telemetrie, reakcie na incidenty alebo podnikovej právomoci. Naopak, technický inventár môže identifikovať komponenty, ale vynechať, kto má zmluvnú povinnosť voči zákazníkovi. Oba pohľady treba čítať spoločne, nie ich používať ako konkurenčné dokumenty.
Usmernenie EDPS pre cloud odporúča jasné rozdelenie zodpovedností a pozornosť venovanú úlohám strán zapojených do cloudových služieb. Táto praktická obava zostáva aktuálna, pretože zložité modely dodávky môžu vytvoriť dojem, že zodpovednosť sa vyparila do architektúry. Nevyparila sa. Niekto stále rozhoduje o účele spracúvania. Niekto stále nastavuje technické podmienky. Niekto stále prijíma subdodávateľa. Niekto stále musí vysvetliť, čo sa stalo, keď sa systém zmení. Zložitosť môže vysvetliť, prečo odpoveď trvá. Nerobí otázku nerozumnou.
Existuje užitočný test podstatnosti. Ak by dodávateľ zajtra zmizol z usporiadania, stratila by služba funkciu, ktorú zákazník potrebuje, stratila by bezpečnostnú vlastnosť, stratila by prístup k záznamu alebo stratila by schopnosť migrovať? Ak je odpoveď áno, tento dodávateľ patrí do mapy kontroly. Mapa nemusí odhaliť každý odpor ani zverejniť každý obchodný vzťah. Musí však ukázať závislosti, ktoré menia schopnosť zákazníka riadiť prácu. Skrytá závislosť nie je dômyselná abstrakcia. Je to budúce stretnutie s trochu iným tónom.
Kontrola subdodávateľov závisí aj od času. Kupujúci by mal vedieť, ako sa zavádzajú noví sprostredkovatelia a podstatní prevádzkoví dodávatelia, aké oznámenie sa poskytuje, aký proces námietok alebo posúdenia sa uplatňuje a ako sa zmena zaznamenáva. Statický zoznam je lepší ako žiadny zoznam. Aktuálny a preskúmateľný zoznam je lepší, pretože uznáva, že služba nie je zmrazená pri podpise. Organizácia nemôže riadiť závislosti, o ktorých jej nebolo povedané, že prišli.
Hardvér má svoju politiku a prevádzkové dôsledky
Je lákavé zastaviť analýzu na softvérovom rozhraní. Služba funguje, dashboard je v správnom jazyku, zmluva spomína európsky región a infraštruktúra pod ňou sa zdá byť príliš vzdialená na to, aby bola užitočná. Napriek tomu môže byť hardvér a jeho dodávateľský reťazec rozhodujúci, keď záleží na dostupnosti, dôvernosti, údržbe, oprave, kapacite alebo kontinuite. Otázkou nie je, či by mal zákazník auditovať každý čip. Otázkou je, či zákazník vie, od ktorých závislostí závisí zvolená služba a čo sa stane, keď sa jedna z nich zmení.
Tu si zaslúži pozornosť rozdiel medzi suverénnou ambíciou a sebestačnosťou. Európa sa zúčastňuje na globálnych dodávateľských reťazcoch. Žiadna seriózna organizácia nedokáže vyrobiť každý polovodič, kábel, server, komponent firmvéru, operačný systém a nástroj v rámci jedného obstarávacieho rámca. Ani by to nebol rozumný prah pre každú pracovnú záťaž. Praktická suverenita je schopnosť rozpoznať závislosť, stanoviť okolo nej podmienky, udržiavať alternatívy tam, kde sú potrebné, a nepredstierať, že nepostrádateľná externá komponenta nie je nepostrádateľná.
Hardvérové závislosti môžu ovplyvniť kontrolu nad cloudom prostredníctvom prideľovania kapacity, prístupu na údržbu, aktualizácií softvéru, ciest výmeny a dôveryhodných komponentov. Môžu tiež ovplyvniť uskutočniteľnosť migrácie. Pracovná záťaž postavená na konkrétnej spravovanej funkcii, špecifickom akcelerátorovom prostredí alebo nedokumentovanej integrácii môže byť technicky prenositeľná len tak, ako je prenositeľné klavír, keď ho niekto ponúkne vyniesť po šiestich poschodiach schodov. Podstatné meno je správne. Plán je neúplný.
Hodnotenie cloudových rizík agentúry ENISA je už staršou publikáciou, ale jej varovanie pred uzamknutím, právnym rizikom a stratou kontroly nezastaralo. Technický slovník sa odvtedy niekoľkokrát zmenil. Základná otázka sa nezmenila: čo zákazník stratí, ak sa služba zmení, vzťah sa skončí alebo sa závislosť nespráva podľa očakávaní? Hodnotenie rizík nevyžaduje, aby kupujúci odmietol každú spravovanú službu. Žiada kupujúceho, aby k závislostiam priradil dôsledky skôr, než sa závislosť stane núdzovou situáciou.
Súbor o cloude zohľadňujúci hardvér môže zostať primeraný. Zaznamenajte architektúru na úrovni, ktorá je dôležitá pre pracovnú záťaž. Identifikujte výhradné závislosti a jednotlivé body prevádzkových znalostí. Uveďte zmluvné podmienky, ktoré ovplyvňujú kontinuitu a migráciu. Zistite, ktorá cesta podpory je potrebná pre bezpečnostné aktualizácie alebo obnovu. Skontrolujte, či náhradné prostredie nevyžaduje rovnaké proprietárne komponenty. Cieľom nie je múzejný katalóg. Je to triezvy obraz vecí, ktoré musia zostať dostupné, aby organizácia mohla pokračovať vo svojej práci.
Odchod je schopnosť, nie tlačidlo na stiahnutie
Najvýrečnejšou cloudovou otázkou je často to, čo sa stane, keď chce zákazník odísť. Odchod môže znamenať presun k inému poskytovateľovi, vrátenie funkcie do lokálneho prostredia, zmenu architektúry, zníženie rozsahu služby alebo jej ukončenie. Zákazník môže niekedy exportovať databázu a napriek tomu nedokáže obnoviť službu. Funkcia môže tiež závisieť od konfigurácie, identít, kľúčov, protokolov, povolení, automatizácie, modelov, vyhodnocovacieho materiálu, línie údajov, integračných pravidiel a prevádzkových znalostí, vďaka ktorým časti fungujú spoločne.
Nariadenie o údajoch je v tomto bode nezvyčajne konkrétne. Jeho ustanovenia o zmene poskytovateľa vyžadujú, aby zmluvy stanovili práva a povinnosti týkajúce sa zmeny poskytovateľa a prenosu exportovateľných údajov a digitálnych aktív. Stanovuje bežnú maximálnu prechodnú lehotu 30 kalendárnych dní po príslušnej výpovednej lehote, pričom v definovaných prípadoch technickej neuskutočniteľnosti umožňuje alternatívnu lehotu za splnenia podmienok. Zaoberá sa tiež otvorenými rozhraniami a interoperabilitou. Nariadenie dáva kupujúcim niečo cenné: právny dôvod požiadať o cestu skôr, než ju budú potrebovať.
Obmedzenia sú rovnako dôležité. Akt o údajoch nerobí z každého digitálneho aktíva prenosné aktívum, nevyžaduje od poskytovateľa, aby zverejnil chránené duševné vlastníctvo alebo obchodné tajomstvá, a nezaručuje funkčnú rovnocennosť v cieľovom prostredí. Poskytovateľ môže spĺňať zákonné povinnosti, a migrácia môže byť napriek tomu náročná. Kupujúci môže mať právo na export, a zároveň mu môžu chýbať ľudia, rozpočet alebo cieľové prostredie potrebné na jeho využitie. Preto by sa mal odchod považovať za schopnosť zdieľanú medzi zmluvou, architektúrou a organizáciou, a nie za prísľub obsiahnutý v jednom riadku objednávkového formulára.
Dôveryhodný súbor pre odchod zaznamenáva typ cieľovej služby, údaje a aktíva, ktoré možno exportovať, ich formáty, postup ich získania, očakávané podmienky kontinuity, obdobie vyzdvihnutia, predpoklady o cieľovom prostredí a časti funkcie, ktoré sa jednoducho presunúť nedajú. Určuje, kto overí, že exportovaný materiál je použiteľný. Zaznamenáva, aké protokoly a dôkazy musia prežiť. Menuje orgán, ktorý môže prevod prijať alebo rozhodnúť, že ešte nie je bezpečné ho dokončiť. Toto je menej vzrušujúce ako oznámenie o migrácii. Oveľa pravdepodobnejšie však zabezpečí, aby sa takéto oznámenie stalo skutočnosťou.
Testovanie je dôležité. Malé a ohraničené cvičenie môže odhaliť, či je formát iba dostupný, alebo skutočne použiteľný, či možno identitu obnoviť bez zmeny povolení, či možno kľúč previesť s príslušným oprávnením, či si záznamy zachovajú svoj význam a či môže znížená služba pokračovať, kým sa presúva plná služba. Toto nie je tvrdenie, že každá organizácia musí každý mesiac nacvičovať úplný odchod z cloudu. Rozsah by mal odrážať dôsledky prerušenia. Je to tvrdenie, že netestovaný odchod je zámer, a ešte nie možnosť.
Čo by malo obsahovať európske hodnotenie cloudu
Užitočné hodnotenie začína pomenovaním funkcie, nie dodávateľa. Akú prácu má služba podporovať? Aké údaje, záznamy, práva, potreby kontinuity a verejné dôsledky sú do nej zapojené? Nástroj na spoluprácu s nízkym dopadom a systém uchovávajúci citlivé prevádzkové záznamy nepotrebujú rovnaké kontroly. Začiatok s pracovnou záťažou zabráni organizácii aplikovať veľkú nálepku suverenity na malé a konkrétne rozhodnutie alebo zaobchádzať s kritickou službou ako s ďalším kancelárskym predplatným.
Potom vypracujte vyhlásenie o umiestnení s hranicou. Uveďte, kde sa očakáva prevádzka príslušnej pracovnej roviny, aké kategórie údajov pokrýva, ktoré kópie a diagnostiky sú zahrnuté, ktoré prenosy sú povolené, ako je pozícia doložená a ako sa oznamujú zmeny. Ak dodávateľ môže poskytnúť iba široké regionálne vyhlásenie, zaznamenajte toto obmedzenie. Kupujúci má právo rozlišovať medzi presným záväzkom a všeobecným obchodným opisom. Toto rozlíšenie nie je nepriateľské. Na to slúžia zmluvy.
Ďalej vytvorte mapu subjektov a oprávnení. Zaznamenajte zmluvný subjekt, skupinové subjekty s materiálnou úlohou, príslušných menovaných spracovateľov alebo subdodávateľov, roly, ktoré môžu spravovať službu, cestu eskalácie, opatrenia týkajúce sa identity a kľúčov a oprávnenie zákazníka, ktoré zostáva po outsourcingu. Zahrňte právne a technické dôkazy podporujúce každú položku. Nepíšte poskytovateľ alebo zákazník tam, kde je známy konkrétny subjekt, rola alebo mechanizmus. Všeobecné podstatné mená sú veľmi dobré v skrývaní konkrétnych absencií.
Pridajte mapu závislostí. Mala by zahŕňať materiálny softvér, hardvér, sieť, podporu a integračné závislosti, cestu zmeny pre každú z nich a dôsledky straty alebo zmeny. Nemusí predpovedať budúcnosť. Musí umožniť spochybniť súčasný návrh. Ak je závislosť prijateľná, zaznamenajte prečo. Ak nie je prijateľná, uveďte podmienku odmietnutia. Ak je neznáma, neriešte nepohodlie tým, že ju označíte za nízkorizikovú. Neznámy je skutočný stav a často si zaslúži ďalšiu časť práce.
Nakoniec pripojte záznam o ukončení a preskúmaní. Zachyťte príslušné zmluvné ustanovenia, exportné postupy, vykonané testy, zistené medzery, nápravné opatrenia, dátum preskúmania a udalosti, ktoré spúšťajú opätovné posúdenie. Nejde o vytvorenie dokonalého priečinka. Ide o vytvorenie živého účtu kontroly, ktorý prežije zmenu zamestnanca, aktualizáciu služby, obnovenie zmluvy a deň, keď musí niekto rýchlo urobiť nepríjemné rozhodnutie. Správa, ktorú nemožno aktualizovať, sa stáva históriou s priloženou faktúrou.
Čo môže verejné obstarávanie požadovať bez toho, aby predstieralo, že vyrieši všetko
Verejní obstarávatelia majú osobitný dôvod trvať na týchto dôkazoch, pretože často nesú zodpovednosti, ktoré nekončia podpisom zmluvy. Môžu byť zodpovední občanom, podliehať pravidlám verejných záznamov, zodpovedať za základné funkcie alebo musieť vysvetliť, prečo bolo rozhodnutie primerané. To neznamená, že verejné obstarávanie môže odstrániť všetky zahraničné závislosti, ani že národná preferencia je náhradou za technické posúdenie. Znamená to, že tender môže klásť otázky, ktoré zviditeľnia usporiadanie skôr, než sa zakorení.
Primeraný tender môže požadovať subjekty, ktoré budú poskytovať materiálne časti služby, deklarované geografické a právne hranice, model rolí a oprávnení, proces zmeny subdodávateľa, trasu podpory a incidentov, dôkazy uchovávané pre zákazníka, postup exportu a zmeny poskytovateľa a podmienky, za ktorých môže zákazník pozastaviť, obmedziť alebo ukončiť používanie. Môže hodnotiť kvalitu odpovedí namiesto odmeňovania prídavných mien. Dodávateľ, ktorý pozná svoj vlastný prevádzkový model, by ho mal vedieť vysvetliť bez hmlistých rečí.
Existujú kompromisy. Viac dôkazov môže predĺžiť obstarávanie. Niektoré požiadavky môžu znížiť počet ponúk. Malý poskytovateľ môže mať menšiu kapacitu na vypracovanie rozsiahlej dokumentácie, aj keď je jeho model kontroly silný. Existujúci poskytovateľ môže mať vynikajúcu technickú službu, ale cestu odchodu, ktorá si vyžaduje rokovanie. Toto nie sú argumenty za vynechanie otázok. Sú to fakty, ktoré kupujúci potrebuje na rozhodnutie, ktoré náklady sú prijateľné: náklady na dôkazy a alternatívy teraz, alebo náklady na závislosť neskôr.
Práca Európskej komisie v oblasti cloudovej suverenity urobila tento smer viditeľným v podmienkach obstarávania, ale kupujúci nemusia čakať na univerzálnu značku. Môžu si určiť vlastnú hranicu rizika a požadovať dôkazy, ktoré jej zodpovedajú. Verejná knižnica, výskumná agentúra, mestský úrad a prevádzkovateľ kritickej infraštruktúry nebudú používať rovnakú hranicu. Ani by nemali. Testom je, či požiadavky sledujú funkciu, sú zverejnené spravodlivo, možno ich konzistentne hodnotiť a zachovávajú schopnosť zákazníka vysvetliť, čo si vybral.
To je tichší prísľub európskej cloudovej politiky. Môže posunúť konverzáciu od divadla národnosti k riadeniu vzťahov. Európska odpoveď nemusí byť uzavretý technologický ostrov. Môže to byť vyspelejší trh, na ktorom sú tvrdenia o umiestnení, kontrole, práve a odchode samostatnými tvrdeniami podloženými samostatnými dôkazmi. Vzájomná závislosť nezmizne, keď sa pomenuje. Stáva sa možné rozhodnúť, kde je tolerovateľná.
Kontroly si navzájom neodpovedajú
Stojí za to odolať ešte jednej skratke. Silné šifrovanie neodpovedá na otázku vlastníctva. Kľúče v rukách zákazníka môžu znížiť niektoré riziká prístupu a môžu byť dôležitým kontrolným prvkom, ale samy osebe neurčujú, kto službu prevádzkuje, kto kontroluje platformu, aké informácie zostávajú viditeľné v metadátach ani či zákazník dokáže funkciu presunúť. Dobrá výpovedná klauzula neodpovedá na otázku jurisdikcie. Európsky vlastník neodpovedá na otázku hardvérovej podpory. Každý kontrolný prvok má svoju úlohu. Každý by sa mal posudzovať podľa toho, čo skutočne robí.
To je aj dôvod, prečo by rozhodnutie o cloude malo vedieť povedať „nestačí“ bez toho, aby sa stalo teatrálnym. Kupujúci môže zistiť, že záväzok o umiestnení je dostatočný, ale oznámenie o zmenách je príliš vágne. Môže akceptovať spracovateľa, ale vyžadovať jasnejšiu cestu oprávnenia. Môže akceptovať závislosť od zahraničného hardvéru, ale trvať na zdokumentovanom pláne výmeny. Môže rozhodnúť, že konkrétna služba je nevhodná pre konkrétnu kategóriu údajov, ale vhodná pre inú. Nuansa nie je zlyhaním rozhodovania. Je podmienkou rozhodovania na základe dôkazov, nie na základe rozpoznania značky.
Práca sa uľahčí, keď sú dôkazy blízko pri rozhodnutí. Neumiestňujte vyhlásenie o umiestnení údajov do jedného systému, zmluvu do druhého, preskúmanie prístupu do e-mailovej schránky a plán odchodu do niečej pamäti. Prepojte ich so záznamom o službe a dajte záznamu vlastníka. Keď sa zmení požiadavka, organizácia by mala byť schopná nájsť dôkazy, identifikovať dotknutú hranicu a rozhodnúť, či služba môže pokračovať. To je správa v jej najmenej okázalej a najužitočnejšej podobe.
Krátka poznámka od nás
Naša správa The Sovereignty Illusion používa päť praktických hľadísk na podobnú otázku: vlastníctvo, technológia, kapitál, infraštruktúra a právna expozícia. To je náš výskumný rámec, nie právna klasifikácia a nie dôkaz, že konkrétna služba spĺňa potreby zákazníka. Jeho užitočným prínosom je návyk pozornosti. Keď tvrdenie o cloude znie úplne, opýtajte sa, ktoré z týchto hľadísk skutočne pokrylo a ktoré zostávajú mimo rámca.
Tento návyk formuje aj to, ako opisujeme vlastnú prácu. Tvrdenie o suverenite by malo byť ohraničené nasadením, zmluvou a prevádzkovou zodpovednosťou, nie nafúknuté do sľubu, ktorý produktová stránka nemôže dodržať. Zákazník, pracovné zaťaženie a dohodnutý model kontroly stále rozhodujú o tom, čo možno čestne povedať. V oblasti plnej veľkých podstatných mien nie je zdržanlivosť marketingovou nepríjemnosťou. Je súčasťou dôkazov.
Otázka po názve mesta
Európske umiestnenie stále stojí za otázku. Môže byť právnou požiadavkou, prevádzkovou požiadavkou, voľbou odolnosti, voľbou fyzickej bezpečnosti alebo vyjadrením verejnej zodpovednosti. Kupujúci by sa nemal hanbiť opýtať, kde systém beží. Mal by jednoducho položiť otázku v spoločnosti. Kto vlastní subjekt, na ktorom záleží? Kto má prevádzkové oprávnenie? Ktoré právne poriadky môžu dosiahnuť na toto usporiadanie? Ktorí subdodávatelia a komponenty sú podstatné? Čo môže zákazník kontrolovať, zastaviť, presunúť a zachovať?
Tieto otázky nerobia cloud computing menej užitočným. Robia používanie cloud computingu zámernejším. Nahrádzajú atmosféru upokojenia súborom, ktorý možno preskúmať. Dávajú dodávateľom spravodlivú príležitosť ukázať kontrolné prvky, ktoré vybudovali, a kupujúcim spravodlivý spôsob, ako rozlíšiť užitočné obmedzenie od prázdneho tvrdenia. Najdôležitejšie je, že zachovávajú možnosť zmeniť kurz skôr, než sa závislosť zmení na obvinenie.
Európska otázka cloudu teda nie je o tom, kde sa nachádza server. Je o tom, kde sa nachádza kontrola, keď sa systém musí zmeniť. Datové centrum môže byť súčasťou odpovede. Európska zmluva môže byť súčasťou odpovede. Európsky poskytovateľ môže byť súčasťou odpovede. Odpoveď sa stáva dôveryhodnou až vtedy, keď organizácia dokáže sledovať cestu od miesta k vlastníctvu, od vlastníctva k právnemu dosahu, od právneho dosahu k prevádzkovej právomoci a od právomoci k overenému spôsobu úniku. Táto cesta je menej zapamätateľná ako vlajka pri budove. Je to však aj miesto, kde sa práca začína.
Zdroje
- Cloud Computing, Európsky dozorný úradník pre ochranu údajov. Použité pre pozíciu EDPS v usmerneniach o cloude, že inštitúcie EÚ zostávajú zodpovedné za svoje povinnosti v oblasti ochrany údajov a mali by zabezpečiť rovnocennú ochranu.
- EDPB publishes three guidelines following public consultation, Európsky výbor pre ochranu údajov, 24. februára 2023. Použité pre rozsah a účel záverečných usmernení k článku 3 GDPR a kapitole V o medzinárodných prenosoch.
- Regulation (EU) 2023/2854 (Data Act), EUR-Lex. Použité pre ustanovenia o zmene poskytovateľa, exporte, kontinuite, interoperabilite a medzinárodnom vládnom prístupe pre služby spracúvania údajov.
- Cloud Computing Risk Assessment, Agentúra Európskej únie pre kybernetickú bezpečnosť. Použité pre rámec hodnotenia rizík týkajúcich sa uzamknutia, právneho rizika a straty kontroly.
- The Sovereignty Illusion, Dweve. Použité výlučne pre zverejnený päťobjektívový výskumný rámec Dweve.