Спор о критериях EUCS

Схема сертификации облачных технологий ЕС (EUCS)
Спор о критериях EUCS

Когда политики требуют от бизнеса инноваций и хотят обеспечить их посредством нормативно-правовой и бюрократической системы, козел часто превращается в садовника. Еще неизвестно, применимо ли это к Европейской схеме сертификации кибербезопасности облачных сервисов (EUCS).

На уровне ЕС уже некоторое время в фоновом режиме разрабатывается «схема EUCS». Аббревиатура расшифровывается как «Европейская схема сертификации кибербезопасности для Облако Услуги«. Короче говоря, оно должно быть единым. Стандартный для облачной безопасности и защиты данных в ЕС. Это должна быть система добровольной сертификации, созданная ENSIA (Агентством Европейского Союза по кибербезопасности). EUCS — это добровольная сертификация, которая в идеале должна быть идентична во всех государствах-членах ЕС. Однако вокруг этой темы существует множество вопросительных знаков. Начиная с вопроса о том, почему аббревиатура ENSIA не соответствует полностью сформулированному названию агентства, и заканчивая неуверенностью в том, включает ли система сертификации облачные сервисы США в состав гиперскейлеров или исключает их. Что касается аббревиатуры: они изменили название и сохранили старую аббревиатуру, а что касается гиперскейлеров США, то тут все усложняется.

Уровни сертификации безопасности

Ожидается, что предлагаемая схема EUCS будет иметь различные уровни сертификации безопасности. Для предусмотренного уровня сертификации «Высокий+» необходимо, чтобы облачные сервисы полностью управлялись и эксплуатировались европейскими поставщиками или поставщиками с европейским участием. Это сделано для того, чтобы данные и системы не подпадали под действие законов или мер надзора стран, не входящих в ЕС. Это требует не только локализации данных внутри ЕС, но и отсутствия зависимости или юридических обязательств по отношению к неевропейским странам.

Если это будет реализовано таким образом, США придут ОБЛАЧНЫЙ закон (Закон о разъяснении законного использования данных за рубежом). Это позволяет властям США при определенных условиях получать доступ к данным, хранящимся американскими компаниями за рубежом, в том числе в ЕС. Это означает, что американские поставщики облачных услуг, такие как Amazon, Майкрософт или Google по закону могут быть обязаны раскрывать данные своих клиентов, в том числе в ЕС, в ответ на запросы правительства США. Это сделало бы критерий High+ в схеме EUCS очень далеким.

Приверженность строгим рамочным условиям

В OVHcloud технологический суверенитет европейского облака даже поставлен в зависимость от такого прочтения и этой формы структуры EUCS. По крайней мере, Фальк Вайнрайх, генеральный директор OVHcloud по Центральной Европе, говорит, что они решительно поддерживают критерии High+, «поскольку они предназначены для обеспечения защиты услуг от доступа третьих лиц посредством экстерриториальных законов». принцип OVHcloud: «Мы никогда не видим данные наших клиентов и что они юридически полностью защищены GDPR и европейские права защищены».

Значение критериев на практике

Если для определенных видов использования облака установлены критерии High+ — например, в тендерах или официальных требованиях — эти критерии в конечном итоге устанавливают своего рода фильтр, в который попадают только поставщики из ЕС. Однако продолжается дискуссия о том, следует ли ослабить или удалить критерии High+ схемы EUCS. В частности, в начале апреля 2024 года из проекта были исключены изменения в схему сертификации EUCS по критериям кибербезопасности High+. Это, в свою очередь, открывает двери для американских гиперскейлеров, для которых High+ фактически должен представлять собой замок. Другими словами: блокировка снята.

Ссоры продолжаются

Так что споры по поводу критериев продолжаются, например, в форме открытого письма, которое подписала и OVHcloud. «Как подписавшие стороны мы хотели бы предупредить о негативных последствиях отмены этих критериев», — говорят в компании. Критерии High+ — единственный реальный рычаг, гарантирующий европейским пользователям облачных технологий защиту конфиденциальных данных.

(ID:50234920)