Polskie realia chmury obliczeniowej

A jak to dziś wygląda w Polsce? Kancelaria Bird & Bird opracowała dla Związku Banków Polskich raport "Cloud Computing w sektorze finansowym - regulacje i standardy". "Dotychczas nie ma w Polsce przepisów ani urzędowych interpretacji, czy zaleceń odnoszących się bezpośrednio do przetwarzania chmurowego. Istnieją natomiast normy regulujące powierzanie przetwarzania informacji oraz outsourcing. Stąd w tym dokumencie staramy się interpretować istniejące regulacje pod kątem tego, jakie tworzą uwarunkowania dla przetwarzania w chmurze" - mówi Maciej Gawroński, pod redakcją którego powstał raport. Raport miał premierę 16 listopada 2011 r. na konferencji IT@Bank 2011 a ponadto został również zaprezentowany w Brukseli na wyżej wspomnianej konferencji w Parlamencie Europejskim. Jest on dostępny na stronach internetowych Związku Banków Polskich i Bird & Bird.

Regulacje, które stosują się do przetwarzania chmurowego, to przede wszystkim przepisy o ochronie danych osobowych oraz przepisy dotyczące outsourcingu. Z punktu widzenia ochrony danych osobowych co do zasady cloud computing stanowi powierzenie przetwarzania danych osobowych innemu podmiotowi. Istnieje rozbieżność pomiędzy tradycyjnym, terytorialnym spojrzeniem na ochronę danych osobowych a modelem przetwarzania w chmurze. Organy ochrony danych osobowych wskazują na to, że w kontekście chmury uprawnienia właściciela informacji względem dostawcy chmury, w szczególności uprawnienia do nadzoru nad przetwarzaniem danych (w tym dawania wiążących wytycznych dostawcy chmury, czy możliwością audytu) są iluzoryczne. Rozwiązaniem może być nowe podejście do rozumienia tych uprawnień.

Zobacz również:

• Cyfrowa transformacja z AI - co nowego na Google Cloud Next 24
• Nvidia odtworzyła całą planetę. Teraz wykorzysta jej cyfrowego bliźniaka do dokładnego prognozowania pogody
• Sprzedaż zarządzanych usług IT jest coraz bardziej opłacalna

Po pierwsze, prawo nadzoru nad danymi powinno być rozumiane w ten sposób, że właściciel informacji wybierając dostawcę chmury dokonuje wyboru sposobu przetwarzania danych w chmurze. Ten wybór byłby oparty na tym, że właściciel informacji może skorzystać z usługi o określonych standardowych parametrach i może w każdym czasie z niej zrezygnować - nie może jednak modyfikować usługi czy dostosowywać jej do swoich indywidualnych potrzeb. Po drugie, nadzór i audyt mógłby być dokonywany za pośrednictwem odpowiednich certyfikowanych podmiotów trzecich.

Kolejnym zagadnieniem jest wymóg, aby właściciel danych miał każdorazowo świadomość tego, gdzie znajdują się dane a także kto przetwarza dane w imieniu ich właściciela. Z perspektywy praktycznej rozwiązaniem mogłoby być konkretne określenie podmiotów, które mogą przetwarzać dane, a także lokalizacji, w których dane mogą być przetwarzane. Jeśli byłoby to potrzebne w konkretnym przypadku, możliwe byłoby zlokalizowanie konkretnego miejsca przetwarzania danych oraz podmiotu przetwarzającego. Natomiast z perspektywy bezpieczeństwa danych nie ma potrzeby, aby właściciel danych permanentnie śledził dane lub miał wiedzę o ich położeniu w danej chwili.

Regulacje sektora finansowego dotyczące powierzania czynności na zewnątrz zwracają przede wszystkim uwagę na to, czy dana czynność lub proces, które mają być wydzielone na zewnątrz, są dla organizacji krytyczne. Za takie uważa się w szczególności czynności związane z dostępem do informacji prawnie chronionej ale także i inne, których zakłócenie naruszyłoby zdolność świadczenia przez instytucję finansową usług swoim klientom. Przy tym, podobnie jak w przypadku ochrony danych osobowych, Unia Europejska z dużo większą nieufnością (a co za tym idzie z większym formalizmem) traktuje przetwarzanie danych poza terytorium Europejskiego Obszaru Gospodarczego.

"Wydaje się, że przechodzenie do chmury będzie następować. Już w tej chwili duża część najpopularniejszych usług konsumenckich świadczona jest z wykorzystaniem chmur obliczeniowych. Wygoda dla konsumenta z tym związana powoduje, że procesu tego w obszarze B2C raczej nie da się zatrzymać. W obszarze B2B proces jest wolniejszy - bardziej kontrolowany administracyjnie i z większą odpowiedzialnością traktowany przez potencjalnych klientów" - podsumowuje Maciej Gawroński.