Sovereign mode is een instelling, geen certificeringsbadge

Altovar verduidelijkt een onderscheid dat in soevereiniteitsdiscussies steeds weer vervaagt: sovereign mode, een instelling die in Auris beschikbaar is, is een productinstelling, geen certificering. Als je de instelling inschakelt, verandert wat het product standaard doet. Het betekent niet dat de implementatie de Italiaanse ACN-certificering, de Duitse BSI C5, de Franse SecNumCloud of enige aanspraak op immuniteit ten opzichte van de Amerikaanse CLOUD Act heeft verworven.

Wat de toggle daadwerkelijk verandert

Volgens de productdocumentatie van Altovar schakelt sovereign mode bepaalde Amerikaanse sociale identiteitsproviders en sms-bezorging via een Amerikaanse aanbieder standaard uit, samen met een kleine set gerelateerde instellingen. De exacte lijst van wat voor een specifieke implementatie wordt beïnvloed, staat in de configuratiereferentie van het product en niet in marketingteksten – want de toggle is een instelling en de reikwijdte ervan moet aan de hand van de actuele documentatie worden gecontroleerd in plaats van aangenomen op basis van een beschrijving van één regel.

Waarom een toggle geen certificering is

ACN, BSI C5 en SecNumCloud zijn formele regelingen die door nationale autoriteiten worden beheerd; voor elk is een onafhankelijke audit tegen een gepubliceerde set controlemaatregelen vereist. De Italiaanse Agenzia per la Cybersicurezza Nazionale certificeert clouddiensten die aan de publieke sector worden verkocht. Het Duitse BSI beheert de Cloud Computing Compliance Criteria Catalogue, bekend als C5. Het Franse ANSSI beheert SecNumCloud, dat algemeen als de strengste van de drie wordt beschouwd omdat het vereist dat een provider zowel juridisch gevestigd als operationeel onafhankelijk is van invloed van buiten de EU. Geen daarvan is iets dat een softwareleverancier zichzelf kan toekennen door een configuratievlag te leveren – voor elk zijn een met naam genoemde auditor, een beoordelingsscope en een certificaat met een vervaldatum vereist.

Waarom dit voor kopers belangrijk is

Inkoopteams die vereisten op het gebied van datasoevereiniteit beoordelen, zien de standaardinstellingen van een leverancier soms als gelijkwaardig aan een gecertificeerde garantie. Dat is niet dezelfde claim. Een koper die SecNumCloud, C5 of ACN nodig heeft voor een specifieke aanbesteding moet de leverancier om het certificaat en de reikwijdte ervan vragen, niet om een lijst met toggles. Het standpunt van Altovar is om deze als afzonderlijke feiten te behandelen: sovereign mode beschrijft wat het product doet; certificering beschrijft wat een onafhankelijke auditor heeft geverifieerd.

Bronnen: SecNumCloud (Wikipedia), OVHcloud over EU-beveiligingsnormen.