Tryb suwerenny to przełącznik funkcji, a nie certyfikat

Altovar doprecyzowuje rozróżnienie, które wciąż się zaciera w dyskusjach o suwerenności: tryb suwerenny, ustawienie dostępne w Auris, to postawa produktu, a nie certyfikacja. Jego włączenie zmienia domyślne działanie produktu. Nie oznacza to, że wdrożenie uzyskało włoski certyfikat ACN, niemiecki BSI C5, francuski SecNumCloud ani jakiekolwiek roszczenie o odporności na amerykańską ustawę CLOUD Act.

Co faktycznie zmienia ten przełącznik

Zgodnie z dokumentacją produktu Altovar tryb suwerenny domyślnie wyłącza niektórych amerykańskich dostawców tożsamości społecznościowej i dostarczanie SMS-ów przez amerykańskiego dostawcę, a także niewielki zestaw powiązanych przełączników postawy. Dokładna lista elementów objętych zmianą w danym wdrożeniu znajduje się w dokumentacji konfiguracji produktu, a nie w materiałach marketingowych — ponieważ przełącznik jest ustawieniem, jego zakres należy sprawdzać w aktualnej dokumentacji, a nie zakładać na podstawie jednowierszowego opisu.

Dlaczego przełącznik to nie certyfikacja

ACN, BSI C5 i SecNumCloud to formalne schematy prowadzone przez organy krajowe, a każdy z nich wymaga niezależnego audytu według opublikowanego zestawu kontroli. Włoska Agenzia per la Cybersicurezza Nazionale certyfikuje usługi chmurowe sprzedawane sektorowi publicznemu. Niemiecki BSI prowadzi Cloud Computing Compliance Criteria Catalogue, znany jako C5. Francuska ANSSI prowadzi SecNumCloud, powszechnie uważany za najsurowszy z tych trzech, ponieważ wymaga, aby dostawca był zarówno prawnie zarejestrowany, jak i operacyjnie niezależny od wpływów spoza UE. Żadnego z tych certyfikatów dostawca oprogramowania nie może sobie przyznać, wysyłając flagę konfiguracyjną — każdy wymaga wskazanego audytora, zakresu oceny i certyfikatu z datą wygaśnięcia.

Dlaczego ma to znaczenie dla kupujących

Zespoły zakupowe oceniające wymagania dotyczące suwerenności danych czasami traktują domyślne ustawienia dostawcy jako równoważne certyfikowanej gwarancji. To nie jest to samo roszczenie. Kupujący, który potrzebuje SecNumCloud, C5 lub ACN do konkretnego przetargu, powinien poprosić dostawcę o certyfikat i jego zakres, a nie o listę przełączników. Stanowisko Altovar polega na utrzymywaniu tych faktów osobno: tryb suwerenny opisuje, co robi produkt; certyfikacja opisuje, co zweryfikował niezależny audytor.

Źródła: SecNumCloud (Wikipedia), OVHcloud o unijnych standardach bezpieczeństwa.