Як має виглядати цифровий суверенітет — у ЄС надали відповідь

Черговим кроком стала розробка критеріїв автономності хмарних сервісів, які представило Федеральне управління інформаційної безпеки Німеччини (BSI). Ці критерії покликані допомогти оцінити реальний, а не формальний суверенітет хмарних сервісів.

Від абстракції до конкретики

Європа прагне незалежності в ІТ-галузі, однак проблема полягає в тому, що, попри наявність великої кількості формально суверенних рішень, на практиці конкретні критерії часто залишаються нечіткими або розмитими. Втім, спроби конкретизації здійснюються постійно. Наприклад, у оновленому європейському каталозі C5 (Cloud Computing Compliance Criteria Catalogue) нарешті було визначено конкретніші характеристики безпеки хмарних сервісів. У BSI підтримали цю тенденцію та запропонували власний перелік «Критеріїв, що забезпечують автономність хмарних обчислень» (Criteria enabling Cloud Computing Autonomy, C3A). За словами Томаса Касперса, віцепрезидента організації, документ описує технічні рішення, які формулюють конкретні умови цифрового суверенітету операторів.

Німецка ініцітива доповнює більш загальний «Закон про розвиток хмарних технологій та штучного інтелекту» (Cloud and AI Development Act, CADA), що наразі проходить законодавчу процедуру в Європарламенті та Раді ЄС.

Як це виглядає на практиці

Один із найбільш показових критеріїв C3A — SOV-4-09-C — вимагає, щоб хмарна інфраструктура могла продовжувати роботу після відключення всіх мережевих з’єднань із системами за межами ЄС. Йдеться не лише про передачу даних, але й про більш широкий програмний та управлінський шар. Хмара повинна пережити відключення серверів оновлень, систем перевірки ліцензій, інших зовнішні сервісів, без яких окремі програмні платформи можуть втрачати частину функціональності.

При цьому відключення не повинно негативно впливати на доступність, цілісність та конфіденційність даних або сервісів користувачів. До того ж провайдер повинен мати задокументовану процедуру такого відключення й щонайменше раз на рік перевіряти її на практиці. Додатковий критерій SOV-4-09-AC передбачає, що документація щодо процедури та результатів таких перевірок має бути доступною для контролю з боку відповідальних держструктур.

Також визначено детальні критерії відбору персоналу. Пункт SOV-4-01-C1 передбачає, що всі працівники, які мають логічний або фізичний доступ до ресурсів постачальника хмарних послуг, повинні бути громадянами ЄС та проживати на території Євросоюзу або навіть у конкретній країні, як це передбачає SOV-4-01-C2. Цей критерій особливо актуальний для застосунків із підвищеними вимогами до безпеки, зокрема у сфері військового програмного забезпечення. Критерії C3A також включають вимоги до процедур аудиту операторів.

Варто зазначити, що C3A наразі не має обов’язкової юридичної сили, однак очікується, що він може стати основою для формування загальноєвропейських регламентів уже найближчим часом. Важливо й те, що критерії прямо не вимагають використання виключно європейських операторів. Поточні трактування допускають залучення ресурсів, зокрема американських гіперскейлерів, за умови чіткого визначення меж європейського суверенітету.

Нова концепція дозволяє поєднувати вимоги до цифрового суверенітету з використанням технологій глобальних постачальників. Один із прикладів — Delos Cloud, дочірня компанія SAP, яка будує суверенну хмарну платформу для державного сектору Німеччини на базі технологій Microsoft Azure. У Франції за схожою моделлю працює S3NS — спільний проєкт Thales і Google Cloud, у межах якого сервіси Google Cloud надаються в середовищі з локальним операційним контролем та під французькою юрисдикцією.