Κυριαρχία δεδομένων: ζήτημα ελέγχου, όχι γεωγραφίας
Στέλεχος της NTT DATA υποστηρίζει ότι η πραγματική κυριαρχία δεδομένων δεν κρίνεται από το πού αποθηκεύονται, αλλά από το ποιος τα ελέγχει νομικά και λειτουργικά.
Η κυριαρχία των δεδομένων (data sovereignty) δεν είναι πρόβλημα γεωγραφίας αλλά ελέγχου. Αυτή είναι η κεντρική θέση που αναπτύσσει σε άρθρο γνώμης του στο SDxCentral ο Warren O’Driscoll, επικεφαλής του τομέα ασφάλειας της NTT DATA για το Ηνωμένο Βασίλειο και την Ιρλανδία, ο οποίος έχει τριάντα χρόνια εμπειρίας στον χώρο των συμβουλευτικών υπηρεσιών ασφάλειας. Το βασικό επιχείρημα είναι ότι πολλοί οργανισμοί έχουν πλέον χάσει την πλήρη ορατότητα σχετικά με το πού βρίσκονται τα δεδομένα τους, ποιος μπορεί να τα προσπελάσει και ποια νομική δικαιοδοσία τα ελέγχει τελικά.
Τα δεδομένα ως θεμέλιο των οικονομιών
Σύμφωνα με τον αρθρογράφο, τα δεδομένα αποτελούν σήμερα το θεμέλιο πάνω στο οποίο λειτουργούν οι εθνικές οικονομίες, με αποτέλεσμα ένα μεμονωμένο περιστατικό να μπορεί να αποσταθεροποιήσει μεγάλους οργανισμούς και φορείς του δημοσίου. Ως χαρακτηριστικό παράδειγμα αναφέρει τη διακοπή λειτουργίας που προκάλεσε η CrowdStrike τον Ιούλιο του 2024, η οποία επηρέασε αεροπορικές εταιρείες, παρόχους υγειονομικής περίθαλψης, χρηματοπιστωτικά ιδρύματα και κυβερνητικές υπηρεσίες παγκοσμίως. Το περιστατικό κατέδειξε πώς ένα μοναδικό σημείο αστοχίας στο ψηφιακό οικοσύστημα μπορεί να έχει εκτεταμένες επιχειρησιακές και οικονομικές συνέπειες. Με βάση ανάλυση του διεθνούς μεσίτη αντασφαλίσεων Guy Carpenter που παραθέτει το άρθρο, οι ασφαλισμένες ζημίες από το συμβάν αναμενόταν να φτάσουν το 1 δισ. δολάρια.
Για μία δεκαετία, σημειώνει ο O’Driscoll, οι επιχειρήσεις μετανάστευσαν στο cloud επιδιώκοντας μεγαλύτερη αποδοτικότητα, χαμηλότερο κόστος και άμεση κλιμάκωση, χωρίς το κεφαλαιακό βάρος της κατοχής και λειτουργίας κέντρων δεδομένων. Ωστόσο, δίνοντας προτεραιότητα στη λειτουργική ευελιξία έναντι της στρατηγικής αυτονομίας, πολλοί οργανισμοί παραχώρησαν παράλληλα έναν βαθμό ελέγχου επί των ίδιων τους των δεδομένων — τα οποία πλέον φιλοξενούνται συχνά σε περιβάλλοντα cloud ξένων παρόχων, διέπονται από ξένους νόμους και βρίσκονται εκτός εγχώριας εποπτείας.
Γιατί η κυριαρχία έγινε ζήτημα υποδομών
Ο αρθρογράφος τονίζει ότι η έννοια της κυριαρχίας δεδομένων σημαίνει διαφορετικά πράγματα για κάθε άνθρωπο. Για ορισμένους αφορά απλώς το πού αποθηκεύονται τα δεδομένα — ένα ζήτημα εντοπιότητας (residency). Αυτή όμως, υποστηρίζει, είναι μια επικίνδυνα στενή οπτική. Η πραγματική κυριαρχία αφορά το επίπεδο ελέγχου: την ικανότητα ενός οργανισμού να διατηρεί πλήρη νομική, κανονιστική και λειτουργική εξουσία επί των δεδομένων του. Ακόμη κι αν τα δεδομένα φιλοξενούνται εντός των εθνικών συνόρων, εάν ο έλεγχος των ταυτοτήτων, της διαχείρισης και της υποδομής βρίσκεται αλλού, η αληθινή κυριαρχία παραμένει άπιαστη.
Τρεις κατηγορίες εξελίξεων, σύμφωνα με το άρθρο, ανέδειξαν το ζήτημα στην κορυφή της ατζέντας για τις κρίσιμες εθνικές υποδομές (CNI). Πρώτον, οι πράξεις δολιοφθοράς από κρατικούς δρώντες — όπως οι επιθέσεις σε υποθαλάσσια καλώδια στη Βαλτική Θάλασσα — που εξέθεσαν τις ευπάθειες της ψηφιακής υποδομής και την απειλή για τις εθνικές οικονομίες.
Δεύτερον, κανονιστικά πλαίσια όπως η οδηγία NIS2 και η Πράξη για την Ανθεκτικότητα στον Κυβερνοχώρο (Cyber Resilience Act) της ΕΕ, που απαιτούν μεγαλύτερη λογοδοσία για τις αλυσίδες εφοδιασμού και τη διακυβέρνηση του cloud. Ο αρθρογράφος επικαλείται τη μαρτυρία της Microsoft ενώπιον του γαλλικού Κοινοβουλίου, όπου η εταιρεία δεν μπόρεσε να εγγυηθεί ότι δεδομένα πελατών που φιλοξενούνται εγχώρια βρίσκονται εκτός της εμβέλειας της αμερικανικής κυβέρνησης — γεγονός που αναδεικνύει τα όρια της λεγόμενης «τοπικής φιλοξενίας».
Τρίτον, τα μεγάλα γλωσσικά μοντέλα (LLMs), οι πράκτορες τεχνητής νοημοσύνης και τα περιβάλλοντα inference που φιλοξενούνται στο cloud επεξεργάζονται ολοένα μεγαλύτερους όγκους ευαίσθητης πνευματικής ιδιοκτησίας, πληροφοριών πελατών και επιχειρησιακών δεδομένων. Έτσι, η κυριαρχία δεν αφορά πλέον μόνο το πού αποθηκεύονται τα δεδομένα, αλλά και το πού φιλοξενούνται τα μοντέλα AI, ποιος έχει πρόσβαση στα prompts και τα αποτελέσματα, πώς διέπονται τα δεδομένα εκπαίδευσης και ποιες νομικές δικαιοδοσίες ισχύουν τελικά.
Ανθεκτικότητα μέσω πραγματικού ελέγχου
Το βασικό συμπέρασμα, όπως το θέτει ο O’Driscoll, είναι ότι οι οργανισμοί δεν πρέπει να εμπιστεύονται κανέναν πάροχο που δεν μπορεί να ορίσει και να αποδείξει με σαφήνεια τα επίπεδα κυριαρχίας δεδομένων, με εκτελεστές και συμβατικές εγγυήσεις. Για πολύ καιρό, υποστηρίζει, οι πάροχοι cloud προσέφεραν καθησυχαστικές αλλά αόριστες διαβεβαιώσεις για τη φιλοξενία δεδομένων σε εγχώρια κέντρα, χωρίς να λένε όλη την ιστορία. Η πραγματική κυριαρχία στηρίζεται στην πλήρη παρατηρησιμότητα (end-to-end observability) του επιπέδου δεδομένων: στη γνώση για το ποιος ακριβώς μπορεί να προσπελάσει ένα σύνολο δεδομένων, πώς διέπεται αυτή η πρόσβαση και ποιοι νόμοι εφαρμόζονται.
Κυβερνήσεις και ρυθμιστικές αρχές δίνουν επίσης μεγαλύτερη έμφαση στην ψηφιακή κυριαρχία, δηλαδή στη δυνατότητα εθνών και οργανισμών να διατηρούν τον έλεγχο επί της ψηφιακής υποδομής που στηρίζει κρίσιμες υπηρεσίες. Το άρθρο αναφέρει ως παράδειγμα το βρετανικό AI Opportunities Action Plan, που προσφέρει έναν οδικό χάρτη για ασφαλή και κλιμακούμενο ψηφιακό μετασχηματισμό, καθώς και τη Γαλλία, η οποία έχει καταστήσει την ψηφιακή κυριαρχία και την κυριαρχία στην AI κεντρικό πυλώνα της εθνικής της στρατηγικής, επενδύοντας σε εγχώρια υποδομή cloud, υπολογιστικής ισχύος και δεδομένων.
Η διαφάνεια ως θεμέλιο
Ο αρθρογράφος επικρίνει την πρακτική των ομάδων προμηθειών να αντιμετωπίζουν την ψηφιακή υποδομή ως μια κούρσα προς τα κάτω στο κόστος, χωρίς πλήρη κατανόηση των σχετικών κινδύνων. Όταν οι συμβάσεις κατακυρώνονται στον χαμηλότερο προσφέροντα και τα ερωτήματα για την πρόσβαση και τη διακυβέρνηση παρακάμπτονται ως πολύπλοκα και δαπανηρά, δημιουργείται μια ψευδοοικονομία: οι εξοικονομήσεις εξαφανίζονται τη στιγμή που ένα περιστατικό ασφάλειας αποκαλύπτει το κόστος των κρυφών εξαρτήσεων στους παρόχους και τις αλυσίδες εφοδιασμού.
Καθώς η ψηφιακή υποδομή γίνεται πιο κρίσιμη για τις οικονομίες και τις επιχειρήσεις, τα ερωτήματα αυτά πρέπει να ενσωματωθούν σε κάθε διαδικασία προμηθειών. Τα διοικητικά συμβούλια και οι τεχνολογικοί ηγέτες θα πρέπει να απαιτούν σαφείς απαντήσεις για το ποιος ελέγχει τα κλειδιά κρυπτογράφησης, ποιος έχει προνομιακή πρόσβαση, πού αναπαράγονται και τηρούνται αντίγραφα ασφαλείας των δεδομένων, ποιες νομικές υποχρεώσεις έχουν οι πάροχοι απέναντι σε ξένες κυβερνήσεις και αν οι ρυθμίσεις αυτές μπορούν να ελεγχθούν ανεξάρτητα. Το κόστος και η ταχύτητα, καταλήγει, θα έχουν πάντα σημασία, αλλά δεν μπορούν πλέον να είναι τα μοναδικά κριτήρια αξίας — οι οργανισμοί πρέπει να προμηθεύονται με γνώμονα την ανθεκτικότητα εξίσου με την αποδοτικότητα.
Η κυριαρχία ως αρχιτεκτονική απαίτηση
Ο O’Driscoll ξεκαθαρίζει ότι η κυριαρχία δεν σημαίνει εγκατάλειψη του cloud ή επιστροφή κάθε workload σε on-premises υποδομές, ούτε αφορά απλώς το πού αποθηκεύονται τα δεδομένα. Αφορά τη διασφάλιση ότι οι οργανισμοί διαθέτουν την ορατότητα και τη διακυβέρνηση που χρειάζονται για να κατανοήσουν τις εξαρτήσεις τους, να διαχειριστούν τον κίνδυνο και να αντιδράσουν αποφασιστικά όταν συμβαίνουν περιστατικά.
Το πραγματικό ερώτημα για τους λήπτες αποφάσεων, όπως το διατυπώνει το άρθρο, δεν είναι πλέον αν έχει σημασία η κυριαρχία, αλλά πόση εξάρτηση είναι διατεθειμένοι να αποδεχθούν. Σε έναν κόσμο διασυνδεδεμένων ψηφιακών υποδομών, η κυριαρχία δεν θα είναι ποτέ απόλυτη· ωστόσο, όσοι ενσωματώσουν σήμερα μια πρακτική μορφή κυριαρχίας στην αρχιτεκτονική, τις προμήθειες και τη διακυβέρνησή τους θα βρίσκονται σε πολύ καλύτερη θέση για να αντιμετωπίσουν τις λειτουργικές, κανονιστικές και γεωπολιτικές προκλήσεις του αύριο.
Με στοιχεία από το SDxCentral (άρθρο γνώμης του Warren O’Driscoll, NTT DATA UK&I).
Πηγή: SDxCentral