Prieš kokius penkerius metus terminas „skaitmeninis suverenumas” Europos IT bendruomenėje skambėjo kaip kažkas iš politikų kalbų, ne iš techninių diskusijų. Šiandien apie tai kalba ir CTO, ir CISO, ir net tie, kurie anksčiau debesijos klausimais rūpinosi tik tiek, kiek reikėdavo pasirinkti tarp AWS ir Azure kainoraščio lentelių. Kažkas pasikeitė – ir tas kažkas nėra vien geopolitika, nors ji čia irgi svarbi.
Iš esmės klausimas paprastas: kas kontroliuoja tavo duomenis, kai jie guli serveriuose, priklausančiuose kompanijai, registruotai kitoje jurisdikcijoje? Ir kas nutinka, jei tos jurisdikcijos įstatymai staiga pasako „mums reikia prieigos”, nepaisant to, ką sako Europos duomenų apsaugos reglamentai? Būtent čia ir prasideda visa ta suverenumo istorija, kuri jau nebe teorinė – ji tapo praktine problema tūkstančiams organizacijų.
Kodėl staiga visi susirūpino, kur guli duomenys
Ilgą laiką debesijos rinka veikė paprastai: didieji trys – Amazon Web Services, Microsoft Azure ir Google Cloud – kartu valdo apie du trečdalius pasaulinės infrastruktūros rinkos, o Europoje ši dalis dar didesnė. Europos įmonės, savivaldybės, net kai kurios valstybinės institucijos migravo į šias platformas, nes jos tiesiog geresnės – platesnis paslaugų spektras, geresnė kaina dėl masto ekonomijos, patogesni įrankiai kūrėjams.
Problema iškilo ne dėl technologijos kokybės, o dėl teisinio konteksto. JAV galiojantis CLOUD Act (Clarifying Lawful Overseas Use of Data Act) leidžia JAV teisėsaugai reikalauti duomenų iš JAV kompanijų net jeigu tie duomenys fiziškai saugomi Europoje. Tai reiškia, kad net jei tavo duomenų centras stovi Frankfurte ar Dubline, jeigu jį valdo amerikietiška kompanija, teoriškai JAV valdžia gali pareikalauti prieigos. Ir čia susiduria dvi teisinės sistemos – GDPR, kuris reikalauja griežtos duomenų apsaugos ir riboja perdavimą už ES ribų, ir CLOUD Act, kuris veikia lygiai priešinga kryptimi.
Schrems II byla 2020 metais tik pagilino šią įtampą – Europos Teisingumo Teismas paskelbė negaliojančiu ES–JAV „Privacy Shield” susitarimą, nes pripažino, kad JAV teisė nesuteikia pakankamos apsaugos europiečių duomenims. Nuo tada kiekviena įmonė, naudojanti amerikietišką debesiją, teoriškai turėtų atlikti vadinamąjį transfer impact assessment – įvertinti riziką, ar duomenų perdavimas atitinka GDPR reikalavimus. Praktikoje dauguma tai daro formaliai, nes realios alternatyvos tiesiog nebuvo arba jos buvo per brangios.
Trys raidės, kurios kelia daugiausiai galvos skausmo: SaaS, PaaS, IaaS
Suverenumo klausimas atrodo skirtingai priklausomai nuo to, kokį debesijos sluoksnį naudoji. Infrastruktūros lygmenyje (IaaS) galima bent teoriškai pasirinkti Europos duomenų centrą ir pačiam kontroliuoti šifravimo raktus – tai jau šiek tiek sumažina riziką, nors visiškai jos nepašalina, nes valdymo plokštumos (control plane) dažnai vis tiek priklauso nuo amerikietiškos infrastruktūros administravimo sistemų.
Platformos lygmenyje (PaaS) situacija sudėtingesnė – čia jau naudoji patentuotus servisus, tokius kaip AWS Lambda ar Azure Cognitive Services, kurių architektūra glaudžiai susieta su tiekėjo ekosistema. Migruoti iš jų vėliau – kančia, techniškai vadinama vendor lock-in.
O programinės įrangos lygmenyje (SaaS) apskritai dažnai nėra jokios kontrolės – Microsoft 365, Google Workspace, Salesforce ir panašūs produktai reiškia, kad tavo el. laiškai, dokumentai, CRM įrašai guli kažkur infrastruktūroje, kurios tu net negali stebėti detaliai. Būtent šis lygmuo Europos institucijoms kelia daugiausiai nerimo – juk čia sukasi jautriausia informacija: susirašinėjimai, sutartys, asmens duomenys.
Gaia-X ir svajonė apie europietišką debesį
2019 metais Prancūzija ir Vokietija paskelbė apie iniciatyvą Gaia-X – projektą, kuris turėjo tapti kažkuo tarp technologinio standarto ir federuoto duomenų ekosistemos tinklo. Idėja buvo graži: sukurti sąveikumo taisykles, kurios leistų Europos kompanijoms kurti debesijos paslaugas, atitinkančias bendrus suverenumo, skaidrumo ir duomenų apsaugos principus, nesukuriant vienos monolitinės „Europos AWS” versijos.
Realybė pasirodė sudėtingesnė. Gaia-X taip ir netapo tuo, kuo tikėjosi jo kūrėjai – projektas tapo labiau standartizacijos organizacija nei realiu produktu, o kai kurie kritikai net sako, kad amerikietiškos kompanijos (tarp jų ir AWS bei Google) tapo Gaia-X nariais, kas šiek tiek nuvertino visą suverenumo idėją. Vis dėlto Gaia-X principai – ypač duomenų sąveikumo ir portabilumo reikalavimai – šiandien atsispindi kituose iniciatyvose, pavyzdžiui, Europos duomenų erdvėse (data spaces) sveikatos, energetikos ar mobilumo sektoriuose.
Šalia Gaia-X gyvuoja ir konkretesni komerciniai žaidėjai: OVHcloud iš Prancūzijos, Scaleway (irgi Prancūzijos), IONOS ir Deutsche Telekom’s T-Systems iš Vokietijos, Aruba iš Italijos. Šie tiekėjai siūlo realias alternatyvas – kainos dažnai konkurencingos, o kai kurie servisai (ypač bazinė virtualizacija, saugykla, tinklai) veikia visai neblogai. Problema kita: jų ekosistema tiesiog neturi tokio paslaugų gylio kaip pas hyperscalerius. Nori pažangaus mašininio mokymosi įrankio, sudėtingos duomenų analitikos platformos ar plataus serverless funkcijų rinkinio – ir staiga pasirinkimas smarkiai susiaurėja.
Kai patys hyperscaleriai bando tapti „suvereniais”
Įdomiausia dalis šioje istorijoje – kaip patys amerikietiški milžinai reagavo į spaudimą. Microsoft paskelbė EU Data Boundary iniciatyvą, kurios tikslas – užtikrinti, kad visi Microsoft 365, Azure ir Dynamics 365 klientų duomenys bei jų apdorojimas vyktų išimtinai Europos Sąjungos ribose, įskaitant techninį palaikymą. AWS savo ruožtu pristatė AWS European Sovereign Cloud – atskirą infrastruktūrą, kuri turi veikti fiziškai ir organizaciškai atskirtai nuo likusios AWS ekosistemos, su vokiečiais darbuotojais, valdančiais operacijas, ir su teisiniu subjektu, registruotu ES.
Google turi panašų sprendimą – Google Cloud pasiūlymus, kuriuose duomenų suverenumą užtikrina partnerystė su vietiniais operatoriais, pavyzdžiui, Prancūzijoje su Thales grupe (S3NS projektas).
Skeptikai iš karto klausia – ar tai tikras suverenumas, ar tik marketingo sluoksnis virš tos pačios infrastruktūros? Argumentas prieš toks: kol pati patronuojanti kompanija registruota JAV, CLOUD Act teoriškai vis tiek gali pasiekti šias struktūras, nesvarbu, kokie techniniai izoliavimo sluoksniai sukurti. Argumentas už: bent jau technine prasme šios „sovereign cloud” versijos smarkiai apsunkina prieigą, nes duomenys tiesiog fiziškai ir organizaciškai atskirti, o kai kurie sprendimai (pvz., AWS European Sovereign Cloud valdymas išimtinai per ES piliečių komandą) sukurti būtent tam, kad sumažintų teisinę riziką iki minimumo.
Ką tai reiškia praktikoje CIO ir architektams
Jei sėdi organizacijoje, kuri sprendžia, ar migruoti į debesiją, ar keisti esamą tiekėją, suverenumo klausimas neturėtų būti abstrakti diskusija apie geopolitiką. Verta žiūrėti į konkrečius, praktinius aspektus:
- Duomenų klasifikavimas. Ne visi duomenys vienodai jautrūs. Rinkodaros analitika ir asmens sveikatos duomenys neturėtų būti traktuojami vienodai. Pirmiausia reikia suprasti, kur konkrečiai kyla teisinė ar reputacinė rizika, o ne bandyti visą infrastruktūrą perkelti „dėl principo”.
- Šifravimo raktų valdymas. Bring Your Own Key (BYOK) ir Hold Your Own Key (HYOK) modeliai leidžia bent iš dalies užtikrinti, kad be tavo dalyvavimo niekas negali iššifruoti duomenų, net jei fizinis serveris priklauso trečiajai šaliai.
- Multi-cloud ir hibridinės strategijos. Nebūtinai reikia rinktis „arba–arba”. Dauguma didesnių organizacijų dabar kuria architektūras, kur kritiniai, jautrūs duomenys lieka Europos tiekėjo infrastruktūroje arba on-premise, o mažiau jautri apkrova išlieka pas hyperscalerį dėl kainos ir funkcionalumo.
- Sutartinės sąlygos ir SCC. Standard Contractual Clauses (SCC) ir papildomos apsaugos priemonės (technical safeguards) tapo standartu, tačiau jų vien nepakanka – verta reikalauti iš tiekėjo skaidrumo ataskaitų (transparency reports), kuriose matyti, kiek kartų ir kokiu pagrindu buvo prašoma prieigos prie duomenų.
- Exit strategija nuo pat pradžių. Vendor lock-in problema sprendžiama ne tada, kai jau nori išeiti, o architektūros projektavimo etape – naudojant atvirus standartus, konteinerizaciją, vengiant per didelio priklausomumo nuo patentuotų PaaS servisų be jokio pakaitalo rinkoje.
Verta paminėti ir sektorių, kur suverenumo reikalavimai jau nebe rekomendacija, o įstatymo raidė – finansų sektorius (DORA reglamentas), sveikatos priežiūra, viešasis sektorius. Šiose srityse organizacijos dažnai jau privalo dokumentuoti, kur tiksliai keliauja jų duomenys ir kas juos gali pasiekti, todėl suverenumo klausimas tampa ne pasirinkimu, o audito reikalavimu.
Kaina, kurią realiai moka Europa už šią diskusiją
Sąžiningai reikia pasakyti – Europos alternatyvos dažnai kainuoja brangiau arba techniškai atsilieka. Tai ne todėl, kad europiečiai blogesni inžinieriai, o todėl, kad masto ekonomija veikia žiauriai – kuo daugiau klientų naudoja tą pačią infrastruktūrą, tuo pigiau ji kainuoja kiekvienam atskirai. AWS, Azure ir Google Cloud investuoja dešimtis milijardų dolerių per metus į naujus duomenų centrus, GPU klasterius, tinklo infrastruktūrą – Europos tiekėjai tiesiog neturi tokio kapitalo prieinamumo, nors kai kurie, pavyzdžiui OVHcloud, augina savo pajėgumus gana sparčiai.
Yra ir kita pusė – strateginė. Jeigu Europa niekada nebandys kurti savo alternatyvų, ji liks priklausoma amžinai, o priklausomybė reiškia ne tik teisinę riziką, bet ir ekonominę – pinigai, mokami už debesijos paslaugas, keliauja iš Europos ekonomikos į JAV (arba Kiniją, jei kalbame apie kitus sektorius). Būtent todėl ES politikai, nepaisant realių techninių iššūkių, toliau finansuoja tokias iniciatyvas kaip Europos duomenų erdvės, IPCEI-CIS (Important Project of Common European Interest on Cloud Infrastructure and Services) programa, kuri skiria valstybės pagalbą debesijos ir edge computing infrastruktūrai kurti.
Vietoj išvadų: ką daryti, kai rytoj reikia priimti sprendimą
Jeigu iš viso šito teksto reikėtų išsinešti vieną praktinę mintį, ji būtų tokia – suverenumas nėra binarinis perjungiklis, kurį galima įjungti ar išjungti. Tai spektras, kuriame kiekviena organizacija turi pati nuspręsti, kiek rizikos ji gali priimti, atsižvelgiant į savo duomenų pobūdį, klientų lūkesčius ir teisinę aplinką, kurioje veikia.
Realistiškas planas dažniausiai atrodo taip: pradėk nuo audito – supraski, kur šiuo metu keliauja tavo jautriausi duomenys ir kokia teisinė sutartis tai reglamentuoja. Tada išsigrynink prioritetus – ar tau svarbiau techninis pranašumas ir platus servisų pasirinkimas, ar teisinis tikrumas ir kontrolė. Neretai atsakymas bus mišrus – kritinė infrastruktūra pas Europos tiekėją arba on-premise, o eksperimentai, analitika ir mažiau jautrūs projektai pas hyperscalerį, nes ten tiesiog patogiau ir pigiau dirbti kūrėjams.
Nebijok naudoti sovereign cloud pasiūlymų iš pačių AWS ar Microsoft – jie realūs ir techniškai pagrįsti, net jeigu kritikai teisūs sakydami, kad teisinis pagrindas tebėra trapus. Bet nepamiršk ir savo pačių atsakomybės – šifravimo raktų valdymas, duomenų klasifikavimas ir aiški exit strategija dažnai suteikia daugiau realios apsaugos nei bet koks tiekėjo pažadas.
Ir galiausiai – stebėk, kaip keičiasi teisinis laukas. Schrems III jau minimas kuluaruose, DORA reikalavimai finansų sektoriui griežtėja, o ES AI Act netiesiogiai irgi paliečia klausimą, kur ir kaip apdorojami duomenys, naudojami dirbtinio intelekto modeliams treniruoti. Skaitmeninis suverenumas nėra vienkartinis projektas, kurį įgyvendinęs gali pamiršti – tai nuolatinis procesas, kuriame technologija, teisė ir geopolitika keičiasi greičiau, nei bet kuri architektūros dokumentacija spėja atsinaujinti.
