Evropsko vprašanje oblaka ni v tem, kje stoji strežnik

Evropsko vprašanje oblaka ni v tem, kje stoji strežnik

Lokacija je lahko resnična in vseeno pusti vprašanje odprto

V razpravah o oblaku obstaja znan trenutek. Nekdo vpraša, kje bodo shranjeni podatki. Nekdo drug odgovori z imenom evropskega mesta. V prostoru se malce sprosti. Odgovor je lahko povsem točen in je lahko zelo pomemben. Geografija vpliva na zakasnitve, fizično varnost, električno energijo, načrtovanje odpornosti, zaposlovanje, javno odgovornost in pravne ureditve okoli storitve. Javni organ, ki potrebuje, da določeni zapisi ostanejo na ozemlju določene države, ima utemeljen razlog za vprašanje. Težave se začnejo, ko naj bi ime mesta razrešilo vsa druga vprašanja v ureditvi.

Strežnik je nekje. Storitev ni. Storitev je razmerje med pravnimi subjekti, ljudmi s skrbniškimi pravicami, programskimi komponentami, dobavitelji strojne opreme, pogodbami, ekipami za podporo, omrežji, ureditvami šifriranja, podizvajalci in stranko, ki je odvisna od rezultata. Stavba je en materialni del tega razmerja. Ne razkrije, kdo lahko od drugod izda privilegirano navodilo, katera poslovna skupina nadzoruje operativno podjetje, katera jurisdikcija lahko doseže ponudnika, ali se je spremenil podizvajalec ali kaj lahko stranka odnese s seboj ob izteku pogodbe.

To ni argument proti evropskim podatkovnim centrom ali evropskim ponudnikom. Je argument proti temu, da koristnemu odgovoru dovolimo opraviti delo, ki ga ne more opraviti. Evropsko vprašanje o oblaku ni, ali je strežnik lahko nameščen na evropskih tleh. Je, ali lahko organizacija, ki uporablja storitev, razume in izvaja dovolj nadzora nad celotno ureditvijo za delo, ki je na kocki. Lokacija spada v ta odgovor. Ne more biti celoten odgovor, tako kot nam naslov podjetja ne pove, kdo ima ključe do njegovih računov.

Razlika je najpomembnejša tam, kjer oblak opravlja običajno, pomembno delo. Lokalna uprava lahko v gostiteljskem okolju hrani korespondenco, spise in javne informacije. Proizvajalec lahko hrani načrte in operativne podatke. Raziskovalna skupina lahko hrani nabor podatkov, ki ga ni mogoče kar tako premakniti. Bolnišnica lahko uporablja storitve, ki se dotikajo osebnih podatkov. Noben od teh primerov ne potrebuje dramatičnega izpada ali vohunskega romana, da postane resen. Vsakdanje vprašanje je preprostejše: kdo ima praktično oblast nad sistemom, ki je postal del zmožnosti organizacije za delo?

Evropska zakonodaja in smernice vse pogosteje obravnavajo to kot vprašanje dokazov, vlog in zamenjave ponudnika, ne pa kot vprašanje pomirjujočega besednjaka. Akt o podatkih strankam daje pravice in ponudnikom dolžnosti v zvezi z zamenjavo ponudnika, izvozom podatkov in vmesniki za storitve obdelave podatkov. EDPS že dolgo poudarja, da evropske institucije, ki uporabljajo oblačne storitve, ostajajo odgovorne za svoje obveznosti glede varstva podatkov. Delo ENISA o tveganjih v oblaku imenuje zaklenjenost in pravno tveganje kot zadevi, ki ju je treba oceniti. To niso enaki instrumenti in ne ustvarjajo enotne doktrine o oblaku. Skupaj kažejo v koristno smer: nadzor je treba opisati, ne pa domnevati.

Označba na zemljevidu in nadzorna ravnina

Jezik oblaka pogosto otežuje videnje razlike. Beseda oblak namiguje na vremenski sistem: velik, oddaljen in morda neizogiben. V praksi ima oblačna storitev nadzorno ravnino in delovno ravnino. Delovna ravnina je tam, kjer teče delovna obremenitev, kjer so shranjeni podatki, kjer se obdelujejo zahteve in vračajo rezultati. Nadzorna ravnina je nabor mehanizmov, prek katerih se upravljajo identitete, spreminjajo pravilniki, posodablja programska oprema, dodeljuje zmogljivost, zagotavlja podpora, pridobivajo zapisi ter ustavljajo ali obnavljajo sistemi. Obe ravnini sta lahko tehnično porazdeljeni. Obe lahko prečkata organizacijske meje.

Izjava o lokaciji običajno najprej spregovori o delovni ravnini. Lahko pove, kje se nahaja določena podatkovna shramba, navidezni strežnik ali regija. Ti podatki morajo biti dovolj natančni, da so uporabni. Povedati morajo, kaj zajemajo, katerih kategorij podatkov se nanašajo, kako so spremembe sporočene ter ali za varnostne kopije, dnevnike, podporne informacije in izpeljane podatke velja isto pravilo. Trditev, ki preprosto reče Evropa, brez meje, je izhodišče za vprašanje in ne odgovor. Evropa je velik prostor in arhitektura storitev je polna izjem.

Krmilna ravnina postavlja drugačen niz vprašanj. Kdo lahko ustvari ali odstrani skrbnika? Kdo odobri nujni poseg? Kdo upravlja storitev identitete? Kdo lahko vidi diagnostične podatke? Katero podjetje vzdržuje programsko opremo, ki omogoča delovanje platforme? Kateri pravni subjekt prejme zahtevo organa? Kateremu podizvajalcu je dovoljeno obravnavati podporo? Katera stran lahko spremeni opis storitve ali ukine funkcijo? Stranka se lahko vsak dan prijavi in še vedno nima neodvisne poti do odgovora na nobeno od teh vprašanj.

To ne pomeni, da bi morale stranke pričakovati, da bodo upravljale vsako fizično napravo. Običajno tega ne morejo in večina tega tudi ne potrebuje. Bistvo je, da je prenos pooblastil viden. Preneseno upravljanje je lahko odgovorno in učinkovito, kadar so prenesena pooblastila opredeljena, nadzorovana in preklicljiva. Postane problem suverenosti, kadar ima stranka le pogodbeno oznako za nadzor, medtem ko ponudnik obdrži ljudi, vmesnike, evidence in tehnično znanje, potrebne za njegovo izvajanje. Pogodba, ki je v praksi ni mogoče uporabiti, je okrasni predmet z dobro tipografijo.

Za kupca je praktična posledica preprosta. Obdržite vprašanje o lokaciji. Zraven dodajte vprašanje o nadzoru. Vprašajte, kje je delovna obremenitev, nato vprašajte, kdo lahko spremeni njene pogoje. Vprašajte, kje se podatki obdelujejo, nato vprašajte, kdo lahko doseže administrativno pot. Vprašajte, kje je shranjena varnostna kopija, nato vprašajte, kdo jo lahko obnovi in pod katero avtoriteto. Odgovori so lahko zadovoljivi. Lahko razkrijejo odvisnost, ki jo je treba zavestno sprejeti. Kateri koli izid je boljši od odkritja, da je pika na zemljevidu opravljala delo operativnega modela.

Lastništvo ni administrativna podrobnost

Lastništvo se včasih obravnava kot ločena razprava o zastavah, borzah in narodnem ponosu. Je bolj konkretno od tega. Lastništvo lahko določa, kdo imenuje upravni odbor, kdo odobri prodajo, kdo usmerja naložbe, kdo ima intelektualno lastnino, katere skupinske politike veljajo in kateri subjekt na koncu odloča, ali storitev ostaja poslovna linija. Stranka ne potrebuje poenostavljenega pravila, da je sprejemljiva le ena struktura lastništva. Vedeti mora strukturo, preden razmerje imenuje neodvisno.

Korporativna organizacija vpliva tudi na to, kaj pomeni obljuba oblaka. Blagovna znamka je lahko lokalna, medtem ko storitev upravlja drug subjekt. Evropska podružnica lahko sklene pogodbo z evropsko stranko, medtem ko skupina drugje zagotavlja bistveno programsko opremo, varnostne operacije, podporo, obračunavanje, analitiko podatkov ali izvršno avtoriteto. Lokalni partner lahko resnično prispeva dragoceno delo pri implementaciji, hkrati pa je odvisen od platforme, ki je ne more spremeniti. Nobena od teh ureditev ni samodejno neprimerna. Gre za različne ureditve nadzora in ne bi smele biti prikazane kot enake zaradi skupnega logotipa in lokalne telefonske številke.

Relevantno vprašanje ni, ali lahko kupec v dolgi dobavni verigi najde kakšno tujo povezavo. Sodobna tehnologija je med seboj povezana in testi čistosti niso metoda javnega naročanja. Vprašanje je, kje odvisnost postane odločilna. Kateri subjekt lahko spremeni pogodbo? Kateri subjekt obvladuje intelektualno lastnino storitve? Kateri subjekt lahko prevzame zavezo glede podpore? Kateri subjekt ima poverilnice ali znanje, potrebno za obnovitev delovanja? Kateri subjekt je mogoče kupiti, sankcionirati, prestrukturirati ali mu dati navodila tako, da se spremeni položaj kupca? To so vprašanja o dejanski moči.

Spremeni se tudi lastništvo. Prevzem, krog financiranja, prestrukturiranje ali notranji prenos lahko spremenijo sliko nadzora, ne da bi se premaknil en sam strežnik. Klavzula o lokaciji, zapisana ob podpisu, lahko ostane dejansko pravilna, medtem ko so se organizacijska dejstva okoli nje spremenila. Zato resna oblačna datoteka potrebuje postopek za spremembe. Kupec mora vedeti, katero spremembo je treba razkriti, kdo bo ocenil njen učinek, katere dokaze je treba posodobiti in kateri organ lahko začasno ustavi nov pretok podatkov, doker ocena ne bo opravljena. To ni glamurozno delo. Prav tako ni preverjanje olja v avtomobilu, kar je morda razlog, da se ga ljudje spomnijo šele, ko se motor pritoži.

EDPS je v svojih smernicah o oblaku iz leta 2018 poudaril, da institucije EU ostajajo odgovorne za svoje obveznosti glede varstva podatkov, ko uporabljajo storitve računalništva v oblaku, in da bi morale zagotoviti enakovredno raven zaščite kot pri drugih modelih infrastrukture. To ni zahteva, da vsaka institucija vse poseduje. Je opomin, da oddaja funkcije ne pomeni oddaje dolžnosti razumevanja ureditve. Dolžnost naredi lastništvo pomembno, ker odgovornosti ni mogoče izvajati prek diagrama, ki izpušča stranko z dejansko močjo.

Pravni doseg ne izgine z evropskim naslovom

Jurisdikcija je pogosto najbolj neprijetna plast, ker se upira preprostemu odgovoru. Pogodba lahko določi pravo, ki se uporablja, in sodišče. Te izbire so pomembne. Ne povzročijo, da druge pravne moči izginejo. Pravni doseg lahko sledi subjektu, ustanovi, ponudniku storitev, poslovni skupini, osebi z dostopom, prodajalcu strojne opreme ali lokaciji in naravi določenih podatkov. Natančna analiza je odvisna od dejstev in prava. Objave v spletnem dnevniku ne morejo rešiti tega za resnično organizacijo in predloga javnega naročila ne more nadomestiti ustreznega svetovanja, kadar je tveganje pomembno.

Koristna disciplina je ločiti pravno vprašanje od geografske izjave. Podatkovni center v Evropski uniji nam pove, kje je oprema. Sam po sebi nam ne pove, katere subjekte je mogoče prisiliti, kateri organi bi lahko podali zahtevo, kakšno obveščanje je mogoče ali ali ima ponudnik obveznosti po drugem pravnem redu. Če ti dve stvari obravnavamo kot enakovredni, lahko dobimo lažen občutek zaključka. Kupec je morda izpolnil zahtevo glede stalnega prebivališča, medtem ko je pravno analizo povsem izpustil.

Končne smernice EDPB o medsebojnem vplivu člena 3 GDPR in V. poglavja o mednarodnih prenosih so koristne prav zato, ker se upirajo bližnjicam. Ločujejo ozemeljsko področje uporabe GDPR od vprašanja, ali je obdelava mednarodni prenos. To razlikovanje ne daje univerzalnega zaključka o vsaki ureditvi v oblaku. Vendar pokaže, zakaj fraze, kot sta na podlagi EU ali zajeto z GDPR, ne morejo nositi vsakega pravnega sklepanja, ki ga kupec morda želi narediti. Analiza varstva podatkov sledi dejanski obdelavi in akterjem.

The Data Act brings a related question into the cloud-services file. Its Chapter VII concerns unlawful international governmental access and transfer of non-personal data held in the Union. The Regulation requires providers of data processing services to take adequate technical, organisational and legal measures, including contractual measures, in the circumstances described by Article 32. It does not promise that a provider can make every external request vanish. It requires a disciplined response to a conflict that cannot be wished away by a marketing term.

For customers, the immediate work is an evidence map. Identify the contracting entity, the provider entities that operate material parts of the service, the places where data and administration occur, the stated jurisdictions, the route for receiving and challenging requests, the notification conditions, and the legal advice needed for the particular workload. Mark what is known, what is stated by the supplier, what is contractually committed and what still needs investigation. A map with a date and a gap is more useful than an evergreen assurance paragraph.

Operational control is where a promise becomes real

Operational control is the ability to make a system do something, or stop doing it, through a defined authority and mechanism. It includes mundane things: creating an account, changing a network policy, rotating a key, restoring a backup, approving a release, isolating a tenant, withdrawing an administrator, inspecting a log and exporting a record. None of these actions is a sovereignty certificate. Together they show whether the customer and provider have an intelligible division of responsibility.

A cloud arrangement is weak where every consequential action ends with an email to a generic support address. Support matters, and expert support can be one of the good reasons to use a managed service. But a critical organisation should distinguish between a support route and an authority route. A support route is how a provider helps. An authority route is how the customer can initiate, approve, observe and record an action for which it remains responsible. The two may meet in a ticket. They should not be confused.

Consider a clearly hypothetical case. A European research consortium uses a hosted analytical environment for a sensitive but lawful project. It has a European-region contract and a documented data location. During an internal review, the consortium wants to suspend a particular pipeline, preserve the associated records and prevent a new data source from being connected until the review ends. The useful questions are not whether an imaginary operator behaves heroically. They are whether the consortium has a named role able to order the change, whether the platform exposes a controlled mechanism, whether the action is recorded, and whether dependent flows are visible before the switch is used.

The hypothetical is deliberately quiet because ordinary authority is the point. A service does not need to fail for the customer to need control. A privacy review, change of purpose, procurement decision, contract dispute, security concern or staff departure can all require a bounded action. If nobody knows who may take it, or if the customer cannot inspect what the action did, the issue is not that the cloud is mysterious. The issue is that the operating model was never completed.

Dober operativni nadzor ni nujno centraliziran. Velika institucija lahko odgovornosti razdeli med lastnika storitve, varnostno vlogo, funkcijo varstva podatkov, operativno ekipo in dobavitelja. Delitev lahko zmanjša tveganje, da bi ena oseba sama sprejela škodljivo odločitev. Pomembno je, da je meja pooblastil jasna. Vsaka vloga mora vedeti, kaj lahko sproži, kaj lahko odobri, kaj mora zabeležiti, kdaj mora eskalirati in kako organizacija ukrepa, ko običajna oseba ni na voljo. Oblak ni oproščen upravljanja samo zato, ker je njegova nadzorna plošča urejena.

Linija podizvajalcev je del storitve

Večine oblačnih storitev ne zagotavlja eno podjetje z eno zgradbo in enim programskim skladom. Vključujejo lahko ponudnike infrastrukture, operaterje omrežij, upravljane varnostne storitve, podporne partnerje, ponudnike plačil, vzdrževalce programske opreme, storitve identitete, proizvajalce strojne opreme in specializirane podizvajalce. Zapletena veriga ni dokaz neuspeha. Je razlog, da verigo opišemo. Stranka mora vedeti, kje se začnejo pomembne odvisnosti, kaj jim je dovoljeno početi in kako bo sprememba sporočena.

Slovar varstva podatkov z izrazoma upravljavec in obdelovalec je tu uporaben, vendar ne sme postati nadomestek za razumevanje. Seznam obdelovalcev lahko opredeli organizacije, ki v imenu dobavitelja obdelujejo osebne podatke. Morda ne odgovori na vsa operativna vprašanja o dobavi programske opreme, podpori strojne opreme, oddaljenem upravljanju, telemetriji, odzivanju na incidente ali pooblastilih podjetja. Nasprotno pa lahko inženirski popis opredeli komponente, a izpusti, kdo ima pogodbeno obveznost do stranke. Oba pogleda je treba brati skupaj in ju ne smemo uporabljati kot konkurenčna dokumenta.

Smernice EDPS za oblak priporočajo jasno razdelitev odgovornosti in pozornost na vloge strank, vključenih v oblačne storitve. Ta praktična skrb ostaja pereča, ker lahko zapleteni modeli zagotavljanja ustvarijo vtis, da je odgovornost izpuhtela v arhitekturo. Ni izpuhtela. Nekdo še vedno odloča o namenu obdelave. Nekdo še vedno določa tehnične pogoje. Nekdo še vedno sprejme podizvajalca. Nekdo mora še vedno pojasniti, kaj se je zgodilo, ko se sistem spremeni. Zapletenost lahko pojasni, zakaj odgovor zahteva čas. Ne naredi vprašanja nerazumnega.

Obstaja uporaben preizkus pomembnosti. Če bi dobavitelj jutri izginil iz ureditve, ali bi storitev izgubila funkcijo, ki jo stranka potrebuje, izgubila varnostno lastnost, izgubila dostop do zapisa ali izgubila zmožnost prehoda? Če je odgovor pritrdilen, ta dobavitelj sodi v zemljevid nadzora. Zemljevidu ni treba razkriti vsakega upora ali javno objaviti vsakega poslovnega razmerja. Mora pa prikazati odvisnosti, ki spremenijo zmožnost stranke, da upravlja delo. Skrita odvisnost ni pametna abstrakcija. Je prihodnji sestanek z nekoliko drugačnim tonom.

Nadzor nad podizvajalci je odvisen tudi od časa. Kupec mora vedeti, kako se uvajajo novi obdelovalci in pomembni operativni dobavitelji, kakšno obvestilo je dano, kakšen postopek ugovora ali ocene velja in kako se sprememba zabeleži. Statičen seznam je boljši kot noben seznam. Aktualen seznam, ki ga je mogoče pregledati, je boljši, ker priznava, da storitev ob podpisu ni zamrznjena. Organizacija ne more upravljati odvisnosti, za katere ji ni bilo sporočeno, da so prisotne.

Strojna oprema ima svojo politiko in operativne posledice

Mamljivo je, da bi analizo ustavili pri programski opremi. Storitev deluje, nadzorna plošča je v pravem jeziku, pogodba omenja evropsko regijo, infrastruktura pod njo pa se zdi predaleč, da bi bila uporabna. Vendar pa so lahko strojna oprema in njena podporna veriga odločilne, kadar so pomembni razpoložljivost, zaupnost, vzdrževanje, popravila, zmogljivost ali neprekinjenost delovanja. Vprašanje ni, ali bi moral kupec revidirati vsak čip. Vprašanje je, ali kupec ve, katere odvisnosti omogočajo izbrano storitev in kaj se zgodi, ko se ena od njih spremeni.

Tu je treba razlikovati med suverenimi željami in samozadostnostjo. Evropa sodeluje v globalnih dobavnih verigah. Nobena resna organizacija ne more izdelati vsakega polprevodnika, kabla, strežnika, komponente vdelane programske opreme, operacijskega sistema in orodja v okviru ene nabavne meje. Prav tako to ne bi bil smiseln prag za vsako delovno obremenitev. Praktična suverenost je zmožnost prepoznati odvisnost, postaviti pogoje okoli nje, ohraniti alternative tam, kjer so potrebne, in se ne pretvarjati, da nepogrešljiva zunanja komponenta ni nepogrešljiva.

Odvisnosti od strojne opreme lahko vplivajo na nadzor nad oblakom prek dodeljevanja zmogljivosti, dostopa za vzdrževanje, posodobitev programske opreme, poti zamenjave in zaupanja vrednih komponent. Lahko vplivajo tudi na izvedljivost selitve. Delovna obremenitev, zasnovana okoli določene upravljane funkcije, določenega okolja za pospeševalnike ali nedokumentirane integracije, je lahko tehnično prenosljiva le na enak način, kot je klavir prenosljiv, ko nekdo ponudi, da ga ponese po šestih nadstropjih stopnic. Samostalnik je pravilen. Načrt je nepopoln.

Ocena tveganja za oblak agencije ENISA je zdaj starejša publikacija, vendar njeno opozorilo o zaklenjenosti, pravnih tveganjih in izgubi nadzora ni postalo staromodno. Tehnični besednjak se je od takrat že večkrat spremenil. Temeljno vprašanje pa ne: kaj kupec izgubi, če se storitev spremeni, razmerje preneha ali odvisnost ne deluje, kot je pričakovano? Ocena tveganja od kupca ne zahteva, da zavrne vsako upravljano storitev. Od kupca zahteva, da odvisnostim pripiše posledice, preden odvisnost postane nujen primer.

Datoteka oblaka, ki se zaveda strojne opreme, lahko ostane sorazmerna. Zabeležite arhitekturo na ravni, ki je pomembna za delovno obremenitev. Opredelite izključne odvisnosti in posamezne točke operativnega znanja. Navedite pogodbene pogoje, ki vplivajo na neprekinjenost in selitev. Vprašajte, katera podporna pot je potrebna za varnostne posodobitve ali obnovitev. Preverite, ali nadomestno okolje potrebuje iste lastniške komponente. Cilj ni muzejski katalog. Cilj je trezna slika stvari, ki morajo ostati na voljo, da lahko organizacija nadaljuje svoje delo.

Izhod je zmožnost, ne gumb za prenos

Najbolj razkrivajoče vprašanje o oblaku je pogosto, kaj se zgodi, ko kupec želi oditi. Odhod lahko pomeni selitev k drugemu ponudniku, vrnitev funkcije v okolje na lastnih strežnikih, spremembo arhitekture, zmanjšanje obsega storitve ali njeno ukinitev. Kupec lahko včasih izvozi podatkovno zbirko in še vedno ne more nadaljevati storitve. Funkcija je lahko odvisna tudi od konfiguracije, identitet, ključev, dnevnikov, dovoljenj, avtomatizacije, modelov, evalvacijskega gradiva, izvora podatkov, integracijskih pravil in operativnega znanja, ki omogoča, da deli delujejo skupaj.

Akt o podatkih je na tej točki nenavadno konkreten. Njegove določbe o zamenjavi ponudnika zahtevajo, da pogodbe opredelijo pravice in obveznosti v zvezi z zamenjavo ponudnika in prenosom izvozljivih podatkov ter digitalnih sredstev. Določa običajno najdaljše prehodno obdobje 30 koledarskih dni po ustreznem odpovednem roku, hkrati pa omogoča drugačno obdobje v opredeljenih primerih tehnične neizvedljivosti, ob izpolnjevanju pogojev. Ureja tudi odprte vmesnike in medobratovalnost. Uredba daje kupcem nekaj dragocenega: pravno podlago, da zahtevajo pot, preden jo potrebujejo.

Meje so prav tako pomembne. Akt o podatkih ne naredi vsakega digitalnega sredstva prenosljivega, ponudniku ne nalaga razkritja zaščitene intelektualne lastnine ali poslovnih skrivnosti in ne zagotavlja funkcionalne enakovrednosti na ciljnem mestu. Ponudnik lahko izpolnjuje zakonske obveznosti, medtem ko selitev ostaja zahtevna. Kupec ima lahko pravico do izvoza, a mu primanjkuje ljudi, proračuna ali ciljnega okolja, da bi jo uveljavil. Zato je treba izhod obravnavati kot zmožnost, ki si jo delijo pogodba, arhitektura in organizacija, ne pa kot obljubo, zapisano v eni vrstici naročilnice.

Verodostojna izhodna datoteka beleži vrsto ciljne storitve, podatke in sredstva, ki jih je mogoče izvoziti, njihove formate, postopek za njihovo pridobitev, pričakovane pogoje neprekinjenosti, obdobje prevzema, predpostavke o ciljnem okolju in dele funkcije, ki jih ni mogoče preprosto prestaviti. Določa, kdo bo preveril, ali je izvoženo gradivo uporabno. Beleži, kateri dnevniki in dokazi morajo ostati ohranjeni. Imenuje organ, ki lahko sprejme preklop ali odloči, da še ni varno, da se zaključi. To je manj razburljivo kot objava selitve. A veliko bolj verjetno naredi to objavo resnično.

Testiranje je pomembno. Majhna, omejena vaja lahko razkrije, ali je format zgolj na voljo ali dejansko uporaben, ali je mogoče znova ustvariti identiteto brez spreminjanja dovoljenj, ali je mogoče ključ prenesti pod ustreznim pooblastilom, ali zapisi ohranijo svoj pomen in ali se lahko zmanjšana storitev nadaljuje, medtem ko se celotna storitev seli. To ni trditev, da mora vsaka organizacija vsak mesec vaditi popoln izhod iz oblaka. Obseg naj odraža posledice prekinitve. Je pa trditev, da je nepreizkušen izhod namera, še ne možnost.

Kaj naj vsebuje evropska ocena oblaka

Uporabna ocena se začne z imenovanjem funkcije, ne ponudnika. Kakšno delo naj storitev podpira? Kateri podatki, zapisi, pravice, potrebe po neprekinjenosti in javne posledice so vključeni? Orodje za sodelovanje z nizkimi posledicami in sistem, ki hrani občutljive operativne zapise, ne potrebujeta enakih kontrol. Začetek z delovno obremenitvijo preprečuje organizaciji, da bi veliko oznako suverenosti prilepila na majhno in specifično odločitev, ali da bi kritično storitev obravnavala kot še eno pisarniško naročnino.

Nato pripravite izjavo o lokaciji z mejo. Navedite, kje naj deluje ustrezna delovna ravnina, katere kategorije podatkov zajema, katere kopije in diagnostike so vključene, kateri prenosi so dovoljeni, kako je položaj dokazan in kako so spremembe sporočene. Če lahko ponudnik poda le široko regionalno izjavo, to omejitev zabeležite. Kupec ima pravico razlikovati med natančno zavezo in splošnim komercialnim opisom. To razlikovanje ni sovražno. Prav za to so pogodbe.

Nato pripravite zemljevid subjektov in pooblastil. Zabeležite pogodbeni subjekt, skupinske subjekte z materialno vlogo, imenovane obdelovalce ali podobdelovalce, kjer so pomembni, vloge, ki lahko upravljajo storitev, pot eskalacije, ureditve identitet in ključev ter pooblastilo naročnika, ki ostane po zunanjem izvajanju. Vključite pravne in tehnične dokaze, ki podpirajo vsak vnos. Ne pišite ponudnik ali naročnik, če je znan določen subjekt, vloga ali mehanizem. Splošni samostalniki zelo dobro prikrivajo konkretne odsotnosti.

Dodajte zemljevid odvisnosti. Vključiti mora materialne programske, strojne, omrežne, podporne in integracijske odvisnosti, pot spremembe za vsako od njih ter posledice izgube ali spremembe. Ni treba napovedovati prihodnosti. Treba je omogočiti, da je trenutna zasnova oporečna. Če je odvisnost sprejemljiva, zapišite, zakaj. Če ni sprejemljiva, navedite pogoj za zavrnitev. Če je neznana, nelagodja ne rešujte z oznako nizko tveganje. Neznano je resničen status in pogosto prinese naslednje delo.

Na koncu priložite zapis o izhodu in pregledu. Zajemite veljavne pogodbene določbe, postopke izvoza, opravljene preizkuse, ugotovljene vrzeli, korektivne ukrepe, datum pregleda in dogodke, ki sprožijo ponovno oceno. Bistvo ni ustvariti popolne mape. Bistvo je vzpostaviti živo evidenco nadzora, ki preživi zamenjavo osebja, posodobitev storitve, podaljšanje pogodbe in dan, ko mora nekdo hitro sprejeti neprijetno odločitev. Poročilo, ki ga ni mogoče posodobiti, postane zgodovina z računom.

Kaj lahko javno naročanje zahteva, ne da bi se pretvarjalo, da rešuje vse

Javni naročniki imajo poseben razlog za vztrajanje pri teh dokazih, ker pogosto nosijo odgovornosti, ki se ne končajo s podpisom pogodbe. Lahko so odgovorni državljanom, zavezani pravilom o javnih evidencah, odgovorni za bistvene funkcije ali dolžni pojasniti, zakaj je bila odločitev razumna. To ne pomeni, da lahko javno naročanje odpravi vsako tujo odvisnost ali da je nacionalna preferenca nadomestilo za tehnično oceno. Pomeni, da lahko razpis postavlja vprašanja, ki ureditev naredijo vidno, preden se zasidra.

Sorazmeren razpis lahko zahteva subjekte, ki bodo zagotavljali materialne dele storitve, zatrjevane geografske in pravne meje, model vlog in pooblastil, postopek spremembe podizvajalca, pot podpore in incidentov, dokaze, ki se hranijo za stranko, postopek izvoza in zamenjave ter pogoje, pod katerimi lahko stranka uporabo začasno ustavi, omeji ali prekine. Oceni lahko kakovost odgovorov, namesto da nagrajuje pridevnik. Dobavitelj, ki pozna svoj operativni model, bi ga moral znati pojasniti brez megle.

Obstajajo kompromisi. Več dokazov lahko podaljša postopek naročanja. Nekatere zahteve lahko zmanjšajo število ponudb. Manjši ponudnik ima lahko manj zmogljivosti za pripravo obsežne dokumentacije, tudi če je njegov model nadzora močan. Obstoječi ponudnik ima lahko odlično tehnično storitev, vendar izhodno pot, ki zahteva pogajanja. To niso argumenti za izpuščanje vprašanj. To so dejstva, ki jih naročnik potrebuje, da se odloči, kateri strošek je sprejemljiv: strošek dokazov in alternativ zdaj ali strošek odvisnosti pozneje.

Delo Evropske komisije o suverenosti oblaka je to smer naredilo vidno v naročniškem smislu, vendar naročnikom ni treba čakati na univerzalno oznako. Določijo lahko lastno mejo tveganja in zahtevajo dokaze, ki ji ustrezajo. Javna knjižnica, raziskovalna agencija, mestni oddelek in upravljavec kritične infrastrukture ne bodo uporabljali enakega praga. Tudi ne bi smeli. Preizkus je, ali zahteve sledijo funkciji, so pošteno objavljene, jih je mogoče dosledno oceniti in ohranjajo zmožnost stranke, da pojasni, kaj je izbrala.

To je tišja obljuba evropske politike oblaka. Lahko premakne pogovor stran od gledališča nacionalnosti in proti upravljanju odnosov. Evropski odgovor ni nujno zaprt tehnološki otok. Lahko je bolj zrel trg, na katerem so trditve o lokaciji, nadzoru, pravu in izhodu ločene trditve, podprte z ločenimi dokazi. Soodvisnost ne izgine, ko jo poimenujemo. Postane mogoče odločiti, kje je sprejemljiva.

Nadzori si med seboj ne odgovarjajo

Vredno se je upreti še zadnji bližnjici. Močno šifriranje ne odgovori na vprašanje lastništva. Ključi v lasti stranke lahko zmanjšajo določena tveganja dostopa in so lahko pomemben nadzor, vendar sami po sebi ne določajo, kdo upravlja storitev, kdo nadzoruje platformo, katere informacije ostanejo vidne v metapodatkih ali ali lahko stranka funkcijo prenese drugam. Dobra izstopna klavzula ne odgovori na vprašanje pristojnosti. Evropska matična družba ne odgovori na vprašanje strojne podpore. Vsak nadzor ima svojo nalogo. Vsakega je treba oceniti glede na nalogo, ki jo dejansko opravlja.

Prav zato mora odločitev o oblaku lahko reče »ni dovolj«, ne da bi postala teatralna. Kupec lahko ugotovi, da je zaveza glede lokacije ustrezna, vendar je obvestilo o spremembah preveč nejasno. Lahko sprejme podizvajalca, vendar zahteva jasnejšo pot pooblastil. Lahko sprejme odvisnost od tuje strojne opreme, vendar vztraja pri dokumentiranem načrtu zamenjave. Lahko se odloči, da je določena storitev neprimerna za določeno kategorijo podatkov, medtem ko ostane primerna za drugo. Niansiranje ni neodločnost. Je pogoj za odločanje na podlagi dokazov in ne na podlagi prepoznavnosti blagovne znamke.

Delo je lažje, če so dokazi blizu odločitve. Ne shranjujte izjave o lokaciji podatkov v en sistem, pogodbe v drugega, pregleda dostopa v e-poštni predal in izstopnega načrta v spomin nekoga. Povežite jih z evidenco storitve in evidenci določite skrbnika. Ko se zahteva spremeni, mora organizacija najti dokaze, prepoznati prizadeto mejo in se odločiti, ali lahko storitev nadaljuje. To je upravljanje v njegovi najmanj glamurozni in najbolj uporabni obliki.

Kratka opomba z naše strani

Naše poročilo The Sovereignty Illusion uporablja pet praktičnih leč za podobno vprašanje: lastništvo, tehnologijo, kapital, infrastrukturo in pravno izpostavljenost. To je naš raziskovalni okvir, ne pravna klasifikacija in ne dokaz, da določena storitev ustreza potrebam stranke. Njegov uporabni prispevek je navada pozornosti. Ko se trditev o oblaku sliši popolno, se vprašajte, katere od teh leč je dejansko zajela in katere ostajajo zunaj okvirja.

Ta navada oblikuje tudi to, kako opisujemo lastno delo. Trditev o suverenosti mora biti omejena na uvedbo, pogodbo in operativno odgovornost, ne pa napihnjena v obljubo, ki je stran izdelka ne more izpolniti. Stranka, delovna obremenitev in dogovorjeni model nadzora še vedno odločajo, kaj je mogoče pošteno trditi. Na področju, polnem velikih samostalnikov, zadržanost ni marketinška nevšečnost. Je del dokazov.

Vprašanje za imenom mesta

Evropska lokacija je še vedno vredna vprašanja. Lahko je pravna zahteva, operativna zahteva, izbira odpornosti, izbira fizične varnosti ali izraz javne odgovornosti. Kupec se ne bi smel sramovati vprašati, kje sistem deluje. Vprašanje mora preprosto zastaviti v družbi. Kdo je lastnik subjekta, ki je pomemben? Kdo ima operativno pooblastilo? Kateri pravni redi lahko segajo do ureditve? Kateri podizvajalci in komponente so bistveni? Kaj lahko stranka pregleda, ustavi, prestavi in ohrani?

Ta vprašanja ne naredijo računalništva v oblaku manj uporabnega. Naredijo uporabo računalništva v oblaku bolj premišljeno. Vzdušje pomiritve zamenjajo z mapo, ki jo je mogoče pregledati. Ponudnikom dajejo pošteno priložnost, da pokažejo nadzore, ki so jih vzpostavili, kupcem pa pošten način, da ločijo uporabno omejitev od prazne trditve. Najpomembneje pa je, da ohranjajo možnost spremembe smeri, preden se odvisnost spremeni v obtožbo.

Evropsko vprašanje oblaka torej ni, kje strežnik stoji. Je vprašanje, kje je nadzor, ko je treba sistem spremeniti. Podatkovni center je lahko del odgovora. Evropska pogodba je lahko del odgovora. Evropski ponudnik je lahko del odgovora. Odgovor postane verodostojen šele, ko lahko organizacija sledi poti od lokacije do lastništva, od lastništva do pravnega dosega, od pravnega dosega do operativne avtoritete in od avtoritete do preizkušenega izhoda. Ta pot je manj opazna kot zastava ob stavbi. A prav tam se delo začne.

Viri

• Cloud Computing, Evropski nadzornik za varstvo podatkov. Uporabljeno za stališče smernic EDPS o oblaku, da institucije EU ostajajo odgovorne za svoje obveznosti varstva podatkov in morajo zagotoviti enakovredno raven zaščite.
• EDPB publishes three guidelines following public consultation, Evropski odbor za varstvo podatkov, 24. februar 2023. Uporabljeno za obseg in namen končnih smernic o 3. členu GDPR in V. poglavju o mednarodnih prenosih.
• Regulation (EU) 2023/2854 (Data Act), EUR-Lex. Uporabljeno za določbe o zamenjavi ponudnika, izvozu podatkov, kontinuiteti, interoperabilnosti in mednarodnem dostopu organov za storitve obdelave podatkov.
• Cloud Computing Risk Assessment, Agencija Evropske unije za kibernetsko varnost. Uporabljeno za okvir ocene tveganja glede zaklenjenosti v dobavitelja, pravnega tveganja in izgube nadzora.
• The Sovereignty Illusion, Dweve. Uporabljeno izključno za razkriti petlečni raziskovalni okvir Dweve.