Pet stopenj digitalne suverenosti: koliko nadzora imate v resnici?

Prav zato se vse pogosteje govori o digitalni suverenosti. Izraz uporabljajo vsi, od Bruslja do ponudnikov oblaka, ki svoje storitve označujejo kot »evropske« in »suverene«. Toda kaj digitalna suverenost sploh pomeni? In kako vedeti, ali je storitev res suverena ali le dobro zapakirana?

Preprosto povedano digitalna suverenost pomeni, da posameznik, podjetje ali država ohrani dejanski nadzor nad svojimi podatki, digitalnimi storitvami in tehnologijo. Pomembno je, kdo lahko dostopa do podatkov, po čigavih pravilih storitev deluje, kdo jo upravlja in ali jo je mogoče po potrebi zamenjati brez izgube podatkov ali prekinitve delovanja. Suverenost zato ni stikalo z dvema položajema, temveč lestvica z različnimi stopnjami nadzora, ki jo je Evropska komisija nedavno tudi uradno opredelila.

Okvir, ki ga je postavila Evropa

Evropska komisija je v okviru Cloud Sovereignty Framework opredelila pet stopenj suverenosti, imenovanih SEAL (Sovereignty Effectiveness Assurance Levels), od SEAL-0 do SEAL-4. Okvir je nastal kot orodje za javna naročila, vendar je njegova logika uporabna tudi širše: organizacijam pomaga primerjati, koliko dejanskega nadzora jim ponujajo različni ponudniki oblačnih storitev.

V središču okvira je torej preprosto vprašanje: kdo ima na koncu zadnjo besedo? Ne šteje le, kje stoji podatkovni center, temveč kdo nadzoruje podatke, storitev in tehnologijo. Okvir to preverja na osmih področjih:

• strateško: lastništvo in upravljanje ponudnika,
• pravno in jurisdikcijsko: katero pravo velja in ali je izvršljivo,
• podatkovno in UI: kdo nadzoruje podatke in modele,
• operativno: kdo storitev upravlja in vzdržuje,
• dobavno verigo: od kod prihajajo komponente,
• tehnološko: ali je tehnologija odprta in zamenljiva,
• varnostno in skladnostno,
• okoljsko trajnost.

Ponudnik s strežniki v Frankfurtu je zato lahko še vedno nizko na lestvici, če ga nadzoruje podjetje zunaj EU. Lokacija ni enako kot nadzor.

Poglejmo stopnje eno po eno.

SEAL-0: Brez suverenosti

Na najnižji stopnji je storitev v celoti pod nadzorom ponudnika zunaj EU in zanjo veljajo tuji zakoni. Evropsko pravo tu v praksi nima prave moči.

Pri takšni globalni oblačni storitvi so podatki lahko kjer koli na svetu, pogodba je sklenjena po tujem pravu, upravljanje in podpora pa potekata zunaj Evrope. Če tuja oblast zahteva dostop do podatkov, ji mora ponudnik ugoditi. Vi za to morda sploh ne izveste.

To ni nujno napačna izbira. Za javno spletno stran, marketinška gradiva ali nekritična orodja je SEAL-0 povsem sprejemljiv. Težava nastane, ko na isti ravni pristanejo osebni podatki, poslovne skrivnosti ali podatki državljanov. Pogosto se to zgodi iz navade in udobja, ne po premisleku.

SEAL-1: Pravna suverenost

Na stopnji SEAL-1 za storitev formalno velja evropsko pravo, a predvsem na papirju. Pogodba je lahko sklenjena po pravu EU in podatki so lahko shranjeni v evropski regiji, odločilni nadzor pa ima še vedno podjetje zunaj EU.

Ključna beseda je izvršljivost. Če za matično podjetje veljajo tuji zakoni, kot je ameriški CLOUD Act, lahko prejme zahtevo za dostop do podatkov ne glede na to, kje so fizično shranjeni. Evropska pravila tedaj trčijo ob tuja. Ponudnik se znajde med dvema pravnima redoma in v praksi pogosto uboga tistega, ki mu je bližje.

Na tej stopnji je velik del storitev, ki se tržijo kot »evropski oblak« ali »regija EU«. Obljuba o lokaciji je resnična, obljuba o suverenosti pa le delno. SEAL-1 je sicer korak naprej od ničle, saj dobite pravni okvir, na katerega se lahko sklicujete. Pravna formalnost pa še ni dejanski nadzor.

Višja stopnja suverenosti pomeni tudi večjo odpornost, saj mora organizacija vedeti, kako bo sistem deloval, če ključni zunanji ponudnik odpove. FOTO: Depositphotos

SEAL-2: Podatkovna suverenost

Na stopnji SEAL-2 evropsko pravo ni le zapisano, temveč tudi izvršljivo. Za podatke veljajo pravila EU, ponudnik pa jih je tehnično in organizacijsko sposoben spoštovati.

Tipični ukrepi so:

• šifriranje s ključi, ki jih upravlja stranka sama ali evropski partner,
• obdelava izključno znotraj EU,
• jasna pravila o tem, kdo sme do podatkov in pod kakšnimi pogoji.

Tudi če tuja oblast zahteva dostop, brez vaših ključev ne dobi uporabnih podatkov.

Kje je meja? Tehnologija, na kateri storitev teče, ostaja v rokah akterjev zunaj EU. Programska oprema, posodobitve, licence in ključne komponente prihajajo od drugod. Tuji dobavitelj se lahko odloči storitev ukiniti ali spremeniti pogoje, lahko pa ga k temu prisilijo sankcije. Takrat so vaši podatki sicer varni, sistema, ki jih obdeluje, pa morda ni več.

SEAL-2 je za mnoga podjetja realen in smiseln cilj, še posebej pri obdelavi osebnih podatkov po GDPR. Varnost podatkov pa je le en del suverenosti.

SEAL-3: Digitalna odpornost

SEAL-3 odgovori na vprašanje, ki ga SEAL-2 pusti odprto: kaj se zgodi, ko tuji dobavitelj odpove? Na tej stopnji evropsko pravo velja in je izvršljivo, evropski akterji pa imajo pomemben vpliv tudi na delovanje in tehnologijo.

Storitev upravljajo ljudje in podjetja v EU. Obstaja načrt, kako sistem deluje naprej brez tujega partnerja, ključne komponente pa je mogoče zamenjati. Pogosto gre za odprtokodne tehnologije, ki jih evropski ponudnik lahko sam vzdržuje in razvija, brez odvisnosti od volje tujega proizvajalca.

Popolne neodvisnosti tu še ni. Nekatere odvisnosti ostajajo, na primer pri strojni opremi, čipih ali specializirani programski opremi. So pa znane, omejene in obvladljive.

SEAL-3 je primerna raven za sisteme in storitve, od katerih je odvisno nemoteno delovanje države in družbe, pa tudi za javni sektor, zdravstvo in finance. Povsod tam prekinitev storitve ni le nevšečnost, temveč resno tveganje za ljudi ali gospodarstvo. Odpornost pomeni, da imate izhod v sili, še preden ga potrebujete.

SEAL-4: Popolna digitalna suverenost

SEAL-4 je najvišja stopnja. Pri njej so tehnologija, podatki in delovanje storitve v celoti pod evropskim nadzorom, velja izključno pravo EU, bistvenih odvisnosti od akterjev zunaj EU pa ni.

To pomeni evropsko lastništvo in upravljanje ponudnika ter evropsko ali odprto in pregledno programsko opremo. Pomeni tudi dobavno verigo, ki je odločitev tuje vlade ne more ustaviti. Tudi če se geopolitične razmere čez noč spremenijo, storitev deluje naprej.

Ta stopnja ima realno ceno: manjšo izbiro, včasih višje stroške in manj funkcionalnosti, kot jih ponujajo globalni velikani. Zato SEAL-4 ni cilj za vsakogar in ne za vsak sistem. Nujen pa je tam, kjer gre za nacionalno varnost, obrambo, volilne sisteme ali najobčutljivejše podatke državljanov. Prav na tem področju Evropa danes najintenzivneje gradi lastne zmogljivosti: evropske ponudnike oblaka, odprtokodne platforme in javna naročila, ki nagrajujejo suverenost.

Pri uporabi orodij umetne inteligence je pomembno vedeti, kam potujejo vneseni podatki, kdo jih lahko uporablja in ali se z njimi model dodatno uči. FOTO: Depositphotos

Posebno poglavje: umetna inteligenca

Pri umetni inteligenci se suverenost izgublja najhitreje in najtiše. Zaposleni v orodje UI prilepi pogodbo, poslovni načrt ali podatke strank. Ti se pogosto obdelajo pri tujem ponudniku, tudi če so vsi drugi sistemi podjetja lepo urejeni v Sloveniji.

Pri UI-storitvah zato ni dovolj vprašati, kje so podatki shranjeni. Vprašati je treba tudi:

• kje dejansko teče model in kdo ga upravlja,
• kdo lahko vidi vnose in odgovore,
• ali se vneseni podatki uporabljajo za nadaljnje učenje modela,
• ali lahko model ob prekinitvi zamenjate z drugim, na primer z odprtokodnim, ki ga gostite sami ali pri evropskem ponudniku.

UI prinaša veliko prednosti in se ji ni smiselno odpovedati. Smiselno pa je zanjo uporabiti enako logiko stopenj kot za druge storitve.

Katero stopnjo potrebujete vi?

Ni vam treba vsega preseliti na SEAL-4. To bi bilo drago, nepotrebno in pogosto tudi nemogoče. Pametna strategija sisteme razvrsti po občutljivosti in vsakemu dodeli ustrezno stopnjo:

• SEAL-0: javna spletna stran, marketinška gradiva, nekritična orodja.
• SEAL-1 do SEAL-2: poslovna e-pošta, dokumenti, sistemi z osebnimi podatki.
• SEAL-3: kritični poslovni sistemi, od katerih je odvisno delovanje podjetja ali ustanove.
• SEAL-4: najobčutljivejši podatki javnega sektorja in sistemi nacionalnega pomena.

Začnete lahko s tremi koraki:

1. Popišite storitve, ki jih uporabljate, tudi UI-orodja, ki so jih zaposleni morda uvedli sami.

2. Razvrstite podatke po občutljivosti.

3. Za vsako skupino določite ciljno stopnjo in preverite razkorak med želenim in dejanskim stanjem.

Digitalna suverenost torej ni enkraten projekt ali politična parola. Je stalna in zavestna odločitev o tem, komu zaupate svoje podatke, od katerih ponudnikov ste odvisni in koliko nadzora želite obdržati. Okvir SEAL pri tem ponuja skupni jezik: pomaga vam postaviti jasna vprašanja, primerjati ponudnike in izbrati stopnjo suverenosti, ki ustreza temu, kar varujete.

Od vprašanj o nadzoru do izbire partnerja

Ko podjetje določi, koliko nadzora potrebuje, je naslednji korak izbira partnerja, ki mu pomaga ta nadzor zagotoviti tudi v praksi. Telekom Slovenije s suverenimi oblačnimi rešitvami povezuje lastno podatkovno infrastrukturo v Sloveniji, upravljanje IT-okolja in kibernetsko varnost. Podatki so shranjeni in obdelovani v Sloveniji, podjetjem pa je na voljo strokovna podpora v slovenskem jeziku 24 ur na dan, vse dni v tednu.

Naročnik oglasne vsebine je Telekom Slovenije