Wiesz, gdzie są twoje dane? Ważniejsze pytanie brzmi: kto ma do nich dostęp

Czym właściwie jest suwerenność w praktyce? Jak europejskie inicjatywy takie jak GAIA-X, CISPE czy francuska certyfikacja SecNumCloud wpływają na rynek chmurowy? I jak europejscy dostawcy zamierzają konkurować z globalnymi gigantami, nie rezygnując przy tym z otwartości i modelu multicloud?

O tym wszystkim rozmawiamy z Grzegorzem Soczewką, VP sprzedaż dla naszego regionu w OVHcloud, jednym z największych europejskich dostawców usług chmurowych.

Karol Kopańko, Bizblog.pl Spider’s Web: Czy pojęcia „suwerennej chmury” i „zaufanej chmury” to synonimy?

Grzegorz Soczewka, VP Sales CEE w OVHcloud: Nie. Zaufanie buduje się poprzez bezpieczeństwo, wysoką jakość usług czy zgodność z regulacjami, suwerenność idzie jednak znacznie dalej. To przede wszystkim możliwość zachowania kontroli nad własnymi danymi, technologią i przyszłością środowiska IT. Nie chodzi wyłącznie o to, gdzie dane są przechowywane, ale również o to, jakiemu prawu podlega dostawca, kto może uzyskać dostęp do infrastruktury i czy klient może swobodnie zmienić dostawcę bez kosztownego uzależnienia od jednego ekosystemu.

To podejście znajduje odzwierciedlenie również w europejskich inicjatywach, takich jak Cloud Sovereignty Framework opracowany przez Komisję Europejską w ramach programu SEAL (Secure European Cloud Application Landscape), które wskazują, że suwerenność cyfrowa opiera się na kilku wzajemnie uzupełniających się filarach: kontroli nad danymi, przejrzystości, zgodności z europejskim porządkiem prawnym, interoperacyjności oraz ograniczaniu ryzyka uzależnienia od pojedynczego dostawcy. Suwerenność nie jest więc pojedynczą cechą usługi, lecz zestawem zasad, które pozwalają organizacjom zachować strategiczną kontrolę nad swoimi zasobami cyfrowymi.

W OVHcloud często mówimy, że prawdziwa suwerenność zaczyna się tam, gdzie kończy się vendor lock-in. Suwerenność jest kolejnym poziomem dojrzałości: pozwala organizacjom świadomie zarządzać ryzykiem i budować odporność na zmiany technologiczne, regulacyjne oraz geopolityczne.

Temat suwerenności cyfrowej zyskał na znaczeniu właśnie w ostatnich latach. Dlaczego?

Jeszcze kilka lat temu o chmurze rozmawialiśmy głównie w kontekście wydajności i optymalizacji kosztów, dzisiaj coraz częściej temat chmury łączy się z wątkiem odporności państw, gospodarek i całych łańcuchów dostaw.

Pandemia pokazała, jak ważna jest elastyczna infrastruktura. Wojna w Ukrainie i dynamiczna sytuacja geopolityczna uświadomiły z kolei, że infrastruktura cyfrowa stała się elementem bezpieczeństwa strategicznego. Europa dostrzegła, że konkurencyjność gospodarki będzie zależeć nie tylko od dostępu do AI czy mocy obliczeniowej, ale również od zachowania kontroli nad kluczową infrastrukturą cyfrową. Stąd coraz większy nacisk na rozwój europejskich kompetencji technologicznych.

Suwerenność cyfrowa nie oznacza izolacji – to możliwość podejmowania własnych decyzji technologicznych oraz budowania innowacji bez niepotrzebnych zależności.

W Europie mamy różne inicjatywy dążące w tym kierunku: C5 w Niemczech, AgID we Włoszech czy G-Cloud w Wielkiej Brytanii. Czy widzi Pan szansę na ich ujednolicenie?

Bardziej prawdopodobny jest model oparty na wspólnych europejskich zasadach przy jednoczesnym zachowaniu specyfiki poszczególnych państw.

Z perspektywy klientów najważniejsze jest, aby rozwiązania wdrożone w jednym kraju mogły być łatwiej wykorzystywane również na innych rynkach europejskich. To upraszcza prowadzenie działalności transgranicznej, ogranicza koszty związane z compliance i zwiększa interoperacyjność usług chmurowych.

Są już takie inicjatywy oparte o harmonizację?

Dobrym przykładem jest francuska certyfikacja SecNumCloud, uznawana za jeden z najbardziej wymagających europejskich standardów dla usług chmurowych. Obejmuje ona nie tylko kwestie cyberbezpieczeństwa, ale również wymagania dotyczące kontroli operacyjnej, zarządzania ryzykiem oraz ograniczenia wpływu przepisów pozaeuropejskich na dostęp do danych. Doświadczenia z takich inicjatyw mogą stanowić wartościową podstawę dla budowy przyszłych, paneuropejskich ram certyfikacji i właśnie w tym kierunku, jak sądzę, będzie rozwijał się europejski rynek – mniej poprzez ujednolicanie krajowych inicjatyw, a bardziej poprzez budowę wspólnych zasad i wzajemnie uznawanych standardów. To ułatwi współpracę, zwiększy zaufanie do europejskich usług chmurowych i zapewni organizacjom większą swobodę wyboru dostawców.

A projekt GAIA-X? W końcu bierzecie w nim udział.

Największą wartością inicjatyw takich jak GAIA-X jest budowanie wspólnych europejskich standardów dotyczących interoperacyjności, przejrzystości i wymiany danych. To o tyle ważne, że coraz więcej organizacji korzysta z wielu środowisk chmurowych jednocześnie i oczekuje możliwości swobodnego przenoszenia danych oraz aplikacji między nimi.

OVHcloud od początku uczestniczy w tej inicjatywie jako współzałożyciel, a naszym celem było wniesienie praktycznej perspektywy dostawcy infrastruktury oraz wspieranie rozwiązań opartych na otwartych standardach. Wierzymy, że europejski rynek będzie rozwijał się szybciej, jeśli klienci zachowają możliwość wyboru technologii i unikną uzależnienia od zamkniętych ekosystemów.

Takie ekosystemy proponują BigTechy. Jak chcecie z nimi konkurować, promując jednocześnie otwarty, oparty na open source model chmury?

Przyszłość chmury nie będzie należała do jednego dostawcy z jednego regionu choćby dlatego, że klienci cenią możliwość wyboru i porównania warunków. Większość organizacji już dziś korzysta z architektury hybrydowej lub multicloud i chce zachować możliwość wyboru najlepszych rozwiązań dla konkretnych zastosowań. 

Naszą przewagą są otwarte technologie, przewidywalność kosztów, europejska jurysdykcja oraz swoboda wyboru klientów. Public Cloud oferowana przez OVHcloud opiera się na otwartych standardach, takich jak OpenStack i Kubernetes, dzięki czemu organizacje mogą łatwiej przenosić aplikacje między środowiskami i ograniczać ryzyko vendor lock-in. Widzimy, że to podejście odpowiada na realne potrzeby rynku. Nasze badania pokazują, że zdecydowana większość europejskich firm obawia się przechowywania danych u dostawców spoza Europy, deklarując, że preferowałoby europejskiego dostawcę chmury i jednocześnie wskazując uzależnienie od jednego dostawcy jako istotne ryzyko

To nie przypadek. Organizacje coraz częściej wybierają rozwiązania, które pozwalają zachować kontrolę nad danymi i architekturą IT. Dlatego inwestujemy w technologie open source, interoperacyjność oraz rozwiązania wspierające strategie multicloud i hybrid cloud. Naszym celem jest umożliwienie klientom wyboru najlepszych technologii bez zamykania ich w jednym ekosystemie.

Nie konkurujemy wyłącznie skalą. Pokazujemy, że europejska chmura może być jednocześnie innowacyjna, bezpieczna, konkurencyjna i otwarta. Właśnie dlatego mówimy o Innovation for Freedom – innowacje powinny zwiększać możliwości klientów, a nie ograniczać ich wybór.

W jaki sposób technicznie uniemożliwiacie dostęp do danych europejskich klientów podmiotom spoza Unii Europejskiej, w tym amerykańskim oddziałom firmy?

Aby chronić dane klientów, które w naszym rozumieniu należą tylko do nich, w OVHcloud stosujemy podejście sovereign by design, które łączy warstwy techniczną, organizacyjną i prawną.

Dane klientów są przetwarzane w lokalizacji, którą klienci wskażą, a my jako europejska firma działamy w oparciu o europejską jurysdykcję. To ważny element modelu suwerenności, ale równie istotne są procedury zarządzania dostępem. Dostęp administracyjny jest ściśle kontrolowany, rejestrowany i audytowany, a klienci mogą korzystać z własnych mechanizmów szyfrowania oraz zarządzania kluczami.

W praktyce to właśnie połączenie technologii, odpowiednich procesów i przejrzystego modelu działania daje organizacjom większą kontrolę nad danymi i pozwala skuteczniej ograniczać ryzyko.

Teraz nieco o waszej kontroli - kontrolujecie cały łańcuch wartości, od budowy centrów danych po produkcję serwerów we Francji. Jak to wykorzystujecie?

Taki model oznacza większą kontrolę, przewidywalność i odporność operacyjną. Projektujemy centra danych, produkujemy serwery i zarządzamy infrastrukturą we własnym zakresie, stąd jesteśmy mniej zależni od zewnętrznych dostawców i możemy szybciej reagować na rynkową dynamikę czy zakłócenia w łańcuchach dostaw.

Dzięki temu klienci otrzymują większą stabilność usług, szybszą możliwość rozbudowy infrastruktury i pewność ciągłości działania. To szczególnie istotne dla organizacji z sektorów regulowanych, które oczekują nie tylko wysokiej dostępności usług, ale także gwarancji, że ich dostawca będzie w stanie utrzymać je również w sytuacjach kryzysowych.

Mamy też europejską organizację CISPE, której rolą jest m.in. stworzenie wspólnych zasad, pozwalających dostawcom infrastruktury wykazać zgodność z wymaganiami RODO. Jak postrzega Pan rolę tego podmiotu?

Jednym z najważniejszych zobowiązań wynikających z Kodeksu CISPE jest to, że dane klientów nie mogą być wykorzystywane do własnych celów dostawcy, takich jak profilowanie czy działania marketingowe. Mogą być przetwarzane wyłącznie w zakresie niezbędnym do świadczenia usługi, a to daje organizacjom większą pewność, że sposób wykorzystania ich danych jest jasno określony i podlega niezależnej weryfikacji.

Aktywnie uczestniczymy w pracach CISPE i postrzegamy ten kodeks jako ważny element budowania zaufania do europejskich usług chmurowych. Dla klientów to dodatkowe potwierdzenie, że ochrona danych opiera się nie tylko na deklaracjach dostawcy, ale również na wspólnych standardach i niezależnym nadzorze.

Porozmawiajmy o szczególnie wrażliwych sektorach: publicznym, ochronie zdrowia i bankowości. Czy się one wyróżniają?

Dla tych sektorów szczególnie ważne są bezpieczeństwo, ciągłość działania i kontrola nad danymi, a to oznacza, że działające w tych obszarach organizacje potrzebują wiedzieć, gdzie ich dane są przetwarzane, jakiemu systemowi prawnemu podlega dostawca, kto może uzyskać dostęp do infrastruktury oraz czy w przyszłości będą mogły bezpiecznie przenieść swoje środowisko do innego operatora. 

Sektor publiczny, zdrowotny czy finansowy łączy jedno oczekiwanie: chmura ma zwiększać niezależność organizacji, stąd rośnie znaczenie otwartych standardów, interoperacyjności i architektur hybrydowych oraz multicloud, które pozwalają zachować swobodę wyboru i lepiej zarządzać ryzykiem.

Na koniec spójrzmy w przyszłość. Jakie są największe wyzwania stojące przed europejską branżą chmurową jeśli chodzi o realną, a nie tylko deklarowaną suwerenność danych?

Rozwijamy się, dostarczamy coraz lepsze usługi dla naszych klientów, ale jednocześnie musimy nadążać za dynamicznie zmieniającym się otoczeniem regulacyjnym, biznesowym i geopolitycznym. Sądzę, że takim wyzwaniem będzie przełożenie idei suwerenności cyfrowej na konkretne decyzje biznesowe i technologiczne. Sama lokalizacja danych w Europie nie wystarczy, bo równie ważne są kwestie jurysdykcji, interoperacyjności, przejrzystości modelu świadczenia usług oraz możliwości zmiany dostawcy bez nadmiernego uzależnienia od jednego ekosystemu.

Wspomniałem o geopolityce i z tym wiąże się kolejna rzecz: już teraz zadajemy sobie pytanie, jak pogodzić innowacyjność z niezależnością. Europa chce rozwijać chmurę i AI, jednocześnie wzmacniając własne kompetencje technologiczne i ograniczając strategiczne zależności. To wymaga zarówno inwestycji w infrastrukturę, jak i budowania otwartego, konkurencyjnego rynku.

Prawdziwa suwerenność nie oznacza zamknięcia się na świat. W moim rozumieniu to bardziej możliwość świadomego wyboru technologii, zachowania kontroli nad kluczowymi zasobami i budowania odporności na ryzyka prawne, operacyjne oraz geopolityczne. To właśnie te elementy będą decydować o konkurencyjności europejskiej gospodarki w kolejnych latach.