Suwerenna chmura
Suwerenna chmura to infrastruktura, w której lokalizacja danych, jurysdykcja prawna regulująca te dane oraz podmiot obsługujący systemy są kontrolowane przez jeden określony organ — zazwyczaj państwo lub blok gospodarczy — a nie pozostawione regulaminowi zagranicznego dostawcy. Odpowiada na pytanie, kto może zostać zmuszony do wydania danych, a nie tylko gdzie fizycznie znajdują się serwery.
Pod pojęciem „suwerennej chmury" łączone są trzy odrębne kwestie, a większość nieporozumień wynika właśnie z ich mylenia: rezydencja danych (w jakim kraju fizycznie znajdują się bajty), jurysdykcja prawna (sądy i organy którego kraju mogą wymusić dostęp do tych danych, niezależnie od tego, gdzie się znajdują) oraz suwerenność operacyjna (kto — jaka firma, w jakiej strukturze korporacyjnej — faktycznie zarządza infrastrukturą i może zostać poddany presji, przejęty lub objęty sankcjami). Hiperskaler otwierający centrum danych w UE spełnia wyłącznie pierwsze kryterium. Nie rozwiązuje drugiego: firma z siedzibą główną w USA nadal podlega prawu amerykańskiemu — w tym przepisom o zasięgu eksterytorialnym — niezależnie od tego, gdzie fizycznie znajdują się jej serwery. Dlatego oferty „suwerennej chmury" amerykańskich hiperskalerów, bez względu na to, jak rzeczywiście unijnie działające są skonstruowane ich lokalne spółki zależne, są oceniane inaczej niż infrastruktura prowadzona od początku do końca przez firmę zarejestrowaną i mającą siedzibę w danej jurysdykcji.
W praktyce suwerenność to spektrum wyborów, a nie certyfikat, który się albo posiada, albo nie. Organizacja podlegająca regulacjom może trzymać najbardziej wrażliwe obciążenia lokalnie (on-premise) lub u dostawcy bare-metal fizycznie zlokalizowanego w kraju, mniej wrażliwe obciążenia uruchamiać u dostawcy chmury z siedzibą w UE (często wymieniane przykłady to Hetzner, OVHcloud, Scaleway i UpCloud), a amerykańskiego hiperskalera zaakceptować dla obciążeń, w których rezydencja danych liczy się mniej niż parytet funkcji. Dla wiarygodnego twierdzenia o suwerenności liczy się to, czy klient potrafi konkretnie wskazać, który podmiot posiada klucze szyfrujące, sąd którego kraju ma jurysdykcję nad wezwaniem do ujawnienia danych oraz kto może jednostronnie odebrać dostęp. Słowo „suwerenna" użyte jako etykieta funkcji bez odpowiedzi na te trzy pytania to zwykle język marketingowy zapożyczony z terminu, który pierwotnie opisywał konkretne, poddające się audytowi rozwiązanie.
Dlaczego to ważne
Dla branż regulowanych i organów administracji publicznej działających w ramach RODO, NIS2 lub przepisów sektorowych suwerenność nie jest abstrakcyjną preferencją — decyduje o tym, który system prawny faktycznie rozpatrzy spór, który organ może wymusić ujawnienie danych oraz czy zagraniczna ustawa może sięgnąć po dane, które fizycznie nigdy nie opuściły UE. Kształtuje też egzekwowalność umowy: umowa powierzenia przetwarzania danych podlegająca prawu UE i rozstrzygana przed sądem unijnym to istotnie inna gwarancja niż ten sam dokument osadzony w globalnej umowie ramowej dostawcy podlegającej prawu USA. NIS2 szczególnie podnosi poprzeczkę w zakresie dowodów — zapisy incydentów, dzienniki dostępu i ujawnienia dotyczące podprocesorów muszą wytrzymać kontrolę regulacyjną, co jest łatwiejsze do zagwarantowania, gdy sam operator znajduje się w tej samej jurysdykcji co regulacja.
Jak w to wpisuje się Sencai
Sencai jest budowany i prowadzony przez Sencai Tech s.r.o. w Pradze, zgodnie z prawem UE — nie jako regionalna spółka zależna podmiotu spoza UE. Model BYOC (bring-your-own-cloud) pozostawia konto, umowę i rozliczenia dla każdego podłączonego dostawcy — w tym opcji z siedzibą w UE, takich jak Hetzner, OVHcloud, Scaleway i UpCloud — po stronie klienta; nic nie jest migrowane, a dostęp pozostaje odwoływalny u dostawcy w dowolnym momencie. Tam, gdzie Sencai bezpośrednio udostępnia i rozlicza zasoby, umowa podlega prawu czeskiemu i unijnemu. Sencai nie posiada certyfikatów ISO 27001 ani SOC 2 i mówi o tym wprost; zamiast tego przekazuje dowody, których wymaga przegląd suwerenności — eksportowalny dziennik audytu w postaci łańcucha skrótów (hash chain), rejestr czynności przetwarzania, rejestr podprocesorów, oświadczenie o rezydencji danych oraz opublikowaną umowę powierzenia przetwarzania danych (DPA).
Zobacz model bezpieczeństwa i zgodności platformy →