Облака с европейскими принципами

Продолжение цикла материалов о Sovereign Cloud.
- Что такое «суверенное облако» и почему это важно
- Sovereign Cloud: безопасность, конфиденциальность, комплаенс
- Ваши данные могут больше! Как извлечь пользу из "закрытой" информации не подвергаясь рискам
- Облака без границ - мечта или реальность?
✓ Облака с европейскими принципами

На мировом облачном рынке сегодня безраздельно доминируют операторы большой тройки. Все они родом из США. В Европейском союзе, например, эти операторы, по данным свежего исследования (www.spiceworks.com/it-security/cyber-risk-management/articles/eu-us-data-flows/) занимали, в прошлом году не менее 72%. При этом, суммарный сегмент местных, европейских, компаний ежегодно снижается и к началу 2023 года он едва дотягивал до 13%. Такое положение дел вовсе не устраивает руководство ЕС, которое стремительно преобразует законодательную базу таким образом, чтоб европейски данные обрабатывались на территории Европы. Как следствие, IDC прогнозирует, что уже буквально через пару лет — к 2025 году, требования по безопасности и локализации цифровых активов, заставят 80% предприятий реструктурировать свои процессы управления данными.

Ориентация на ЕС

Хотя информация на площадках гиперскейлеров надежно защищена с технической точки зрения — доступ к ней могут получить власти США, в соответствии с Законом об облачных технологиях (U.S. CLOUD Act), которому обязаны следовать американские компании, где бы они ни работали. Упомянутый Закон, в частности,  позволяет федеральным правоохранительным органам США требовать от технологических компании предоставления тех или иных данных на основе ордера или решения американского суда. Такое положение дел вызывает обеспокоенность как руководства стран ЕС, так и самих европейских компаний. Особенно, в свете того, что сама возможность такого доступа потенциально нарушает GDPR и другие общеевропейские юридические нормы в области работы с конфиденциальными данными.

Притом, что США крайне щепетильно относятся к вопросу хранения сведений о своих гражданах на зарубежных площадках. Вспомнить хотя бы недавнюю историю с TikTok. Эта популярнейшая социальная сеть стала объектом самой тщательной проверки со стороны правительства США из-за опасений, что правительственные структуры КНР могут получить доступ к данным американских граждан, поскольку материнская компания TikTok находится в Китае. Были и другие поводы, например, желание контролировать то, какую информацию распространяет эта социальная сеть (и не вредит ли она США). В итоге, для сохранения доступа к американскому рынку, TikTok было предложено создать местную дочернюю структуру и разместить мощности локально — у одного из местных гиперскейлеров. По условиям, американский поставщик облачных услуг будет отслеживать поток данных TikTok на предмет нарушений безопасности или несоблюдения нормативных требований, чтобы минимизировать возможность китайского влияния.

ЕС, как и многие страны на других континентах, не хочет отставать в этом вопросе и, соответствующим образом, модернизирует нормативную базу. Главный принцип всех изменений — «облачный суверенитет» — означает, что все данные, касающиеся граждан Евросоюза, помимо соответствия требований к их защите, не должны покидать пределов содружества и быть доступным для иностранных государств. Этот принцип уже сейчас надо учитывать и украинским компаниям при планировании дальнейшего развития. Учитывая, что наш путь в ЕС является безальтернативным, мы просто обязаны шагать в ногу с Европой и в вопросах законодательства. 

Данные — данным рознь

Общие перспективы понятны. Теперь вопрос, как реализовать все это на практике, особенно в рамках мультиоблачной стратегии, когда компания работает с разными типами данных, включая персональные, а операторские площадки могут находиться в разных странах. Здесь важно правильно разделять данные по типам — выбирая для каждого из них свою модель хранения и обработки. Наиболее распространенная и принятая в Европе классификация включает три типа данных: 

• Публичные — несекретные сведения для которых не требуется соблюдать особые правила защиты, прописанные в законах. Это самая объемная категория.
• Конфиденциальные — информация, позволяющая установить личность человека (PII), содержащая корпоративную интеллектуальную собственность и прочие данные, под защитой нормативных требований.
• С ограниченным доступом — секретные и совершенно секретные данніе, нередко относящиеся к разряду государственной тайны.

С первой категорией вопросов обычно меньше всего. Секретные сведения тоже довольно просто идентифицировать — как минимум, их так просто не разместят в облаке. Но, конфиденциальные данные — понятие довольно размытое и на практике к ним просто относят все, что в явном виде не является ни публичной ни секретной информацией. То есть это тоже довольно большой объем данных, хранение и обработка которых строго регулируется законодательством. Несоблюдение нормативных требований грозит штрафами и прочими убытками для бизнеса, особенно в ЕС, где взыскания за нарушение GDPR нередко выливаются в миллионные суммы (не в гривнах, разумеется).

Лучшее из двух миров

Чтобы избежать неприятностей, но при этом получит все преимущества современных технологий можно путем построения «суверенного облака», которое позволит сохранить все конфиденциальные данные в пределах юрисдикции вашей страны. Развернуть такое облако можно самостоятельно, но, для непрофильной компании, это сложный и длительный процесс. 

Более эффективный вариант — воспользоваться уже готовыми сервисами коммерческого оператора, на площадке которого развернуто комплексное решение, сертифицированное, согласно концепции VMware Sovereign Cloud Framework. В этом случае вы, фактически, получаете сочетание достоинств частного и коммерческого облаков в рамках единой платформы. Оператор Sovereign Cloud — это сертифицированный партнер VMware, прошедший всестороннюю аттестацию по техническим и организационным вопросам, связанным с работой облака. Помимо ИТ-экспертов, такой оператор обязательно имеет в штате и специалистов в области местного законодательства по работе с данными.

Платформа VMware Sovereign Cloud не только ограничивает доступ к конфиденциальным данным рамками местной юрисдикции, но и делает невозможным доступ к ним самого оператора облачных сервисов. Данные в «суверенном» облаке изолированы от основной сети провайдера и надежно защищены от несанкционированного доступа в соответствии с признанными отраслевыми стандартами и практиками безопасности. Никакие данные не хранятся за пределами страны — это относится, в частности, к резервным копиям, метаданным, учетной информации. 

Безопасная платформа помогает извлекать новую ценность из данных, без риска нарушения нормативных требований. Кроме того, высокая совместимость VMware Sovereign Cloud с множеством других программных платформ позволяет строить мультиоблачные среды любых конфигураций, а партнерские решения растущей экосистемы VMware Sovereign дают возможность внедрять широкий спектр дополнительных сервисов (аварийное восстановление данных, построение объектных хранилищ, защита от программ-вымогателей и т.д.).

В итоге, выбирая «суверенное» облако, вы получаете надежную и производительную платформу, которая с одной стороны имеет гибкость и удобства коммерческой площадки, но обеспечивает защиту данных на уровне лучших частных облаков. И никакая конфиденциальная информация не покидает пределов вашей страны, что позволяет избежать проблем, связанных с нарушением нормативных требований. Как следствие, вы спокойно можете концентрироваться на основных задачах вашей организации, оставляя технические и юридические вопросы, связанные с обработкой данных в облаке, профильному оператору.

Это техническая сторона вопроса. Но, главное заключается в том, что если вы — сейчас или в будущем — планируете работать с конфиденциальными данными в Украине или тем более, в ЕС, то о построении «суверенного» облака необходимо задуматься уже сейчас.