Sovereign mode är en funktionsväxel, inte ett certifieringsmärke

Altovar klargör en distinktion som ständigt suddas ut i suveränitetsdiskussioner: sovereign mode, en inställning som finns i Auris, är en produktpostur, inte en certifiering. När den aktiveras ändras vad produkten gör som standard. Det innebär inte att driftsättningen har erhållit Italiens ACN-certifiering, Tysklands BSI C5, Frankrikes SecNumCloud eller något anspråk på immunitet mot US CLOUD Act.

Vad växeln faktiskt ändrar

Enligt Altovars egen produktdokumentation stänger sovereign mode av vissa USA-baserade sociala identitetsleverantörer och SMS-leverans via en amerikansk leverantör som standard, tillsammans med en liten uppsättning relaterade posturväxlar. Den exakta listan över vad som påverkas för en given driftsättning finns i produktens konfigurationsreferens, inte i marknadsföringstext -- eftersom växeln är en inställning ska dess omfattning kontrolleras mot aktuell dokumentation snarare än antas utifrån en enda mening.

Varför en växel inte är en certifiering

ACN, BSI C5 och SecNumCloud är formella system som drivs av nationella myndigheter och kräver var och en en oberoende granskning mot en publicerad uppsättning kontroller. Italiens Agenzia per la Cybersicurezza Nazionale certifierar molntjänster som säljs till offentlig sektor. Tysklands BSI driver Cloud Computing Compliance Criteria Catalogue, känt som C5. Frankrikes ANSSI driver SecNumCloud, som allmänt anses vara det strängaste av de tre eftersom det kräver att leverantören både är juridiskt hemmahörande och operativt oberoende från icke-europeiskt inflytande. Inget av dessa kan en mjukvaruleverantör ge sig själv genom att leverera en konfigurationsflagga -- var och en kräver en namngiven revisor, ett bedömningsomfång och ett certifikat med utgångsdatum.

Varför detta är viktigt för köpare

Upphandlingsteam som utvärderar krav på datasuveränitet läser ibland en leverantörs standardinställningar som likvärdiga med en certifierad garanti. Det är inte samma sak. En köpare som behöver SecNumCloud, C5 eller ACN för en specifik upphandling bör begära certifikatet och dess omfattning från leverantören, inte en lista över växlar. Altovars egen ståndpunkt är att hålla dessa som separata fakta: sovereign mode beskriver vad produkten gör; certifiering beskriver vad en oberoende revisor har verifierat.

Källor: SecNumCloud (Wikipedia), OVHcloud om EU:s säkerhetsstandarder.