Opt pași către suveranitatea digitală

 Sursa: https://www.heise.de/hintergrund/In-acht-Schritten-zur-digitalen-Souveraenitaet-10862064.html

Dependența de furnizorii individuali de tehnologie și de infrastructurile IT proprietare devine din ce în ce mai mult punctul central al planificării IT strategice. Organizațiile publice și companiile de astăzi trebuie să navigheze printr-o rețea complexă de aplicații dezvoltate în mod independent, soluții SaaS achiziționate și fluxuri de date transfrontaliere. Cheia aici este asigurarea suveranității digitale pe termen lung - cu alte cuvinte, menținerea controlului deplin asupra propriului IT. Dar cum poate fi structurată calea către acest obiectiv?

Pasul 1: Implicarea părților interesate și identificarea nevoilor concrete de suveranitate

A dobândi încredere în mediul digital este un proces care, la fel ca majoritatea proiectelor de transformare, începe cu un dialog deschis. Primul pas implică interacțiunea cu părțile interesate cheie, cum ar fi membrii consiliului de administrație, partenerii tehnologici și echipele IT, pentru a le înțelege cerințele, preocupările și prioritățile. Pe această bază, procesul de transformare poate fi conceput împreună, iar temele cheie pot fi identificate.

Toate aceste părți interesate aduc cerințe și perspective diferite la întrebările cheie: Unde ar trebui stocate datele sensibile? Cine are acces la ele? Și cum se poate evita dependența tehnologică de furnizorii individuali? Răspunsurile la aceste întrebări oferă informații nu numai despre nevoile respective, ci și despre riscurile potențiale. Astfel, aceste discuții stau la baza unor decizii solide în cele trei domenii cheie de acțiune: date, operațiuni și tehnologie.

Pasul 2: Monitorizarea modificărilor de reglementare

După identificarea nevoilor, riscurilor și priorităților interne, următorul pas este luarea în considerare a cadrului extern. Protecția datelor, localizarea datelor și mecanismele de control devin din ce în ce mai mult în centrul reglementărilor guvernamentale la nivel mondial. Programe precum FedRAMP în SUA, Manualul de Securitate a Informațiilor din Noua Zeelandă (NZISM) și strategia Chinei pentru autosuficiență tehnologică sunt doar câteva exemple de cadre naționale de reglementare care definesc suveranitatea digitală în moduri foarte diferite.

Și în cadrul UE există o interacțiune complexă a reglementărilor la nivel european, cum ar fi GDPR, Directiva NIS2 și Regulamentul DORA. În plus, există inițiative naționale precum SecNumCloud din Franța și Catalogul de criterii de conformitate pentru cloud computing (C5) din Germania. Aceste reglementări urmăresc două obiective centrale: protejarea datelor europene și asigurarea independenței față de furnizorii non-europeni în domenii strategice precum apărarea, finanțele sau asistența medicală.

Pentru organizații, aceasta înseamnă să fie mereu la curent cu evoluțiile din domeniul reglementărilor și să își adapteze strategiile în consecință. Surse oficiale precum EUR-Lex sau informațiile furnizate de Comisia Europeană ajută la menținerea unei imagini de ansamblu.

Pasul 3: Cartografiați ecosistemul și lanțul de aprovizionare cu software

O componentă cheie pe calea către suveranitatea digitală este o înțelegere precisă a întregului lanț de aprovizionare cu software și a documentației sale cuprinzătoare. Un instrument util în acest sens este o listă de materiale software (SBOM). Aceasta este utilizată în special pentru aplicații critice și se bazează pe standarde recunoscute, cum ar fi SPDX sau CycloneDX. Astfel, o SBOM face posibilă înregistrarea sistematică a tuturor componentelor software, a originilor acestora și a dependențelor existente.

O atenție deosebită ar trebui acordată aplicațiilor care prelucrează date extrem de sensibile, inclusiv informații personale, date financiare sau date care se încadrează în definiția infrastructurii critice. Astfel de aplicații sunt, în general, supuse unor cerințe de supraveghere reglementară și de conformitate deosebit de stricte.

Pasul 4: Clasificarea sarcinilor de lucru în funcție de riscul de suveranitate

Pe lângă aplicațiile deosebit de sensibile, este important să se capteze și să se evalueze toate sarcinile de lucru zilnice. Un pas cheie este identificarea acelor sarcini de lucru care necesită ca organizațiile să își proceseze datele pe propriile servere sau în medii complet izolate, sigilate în rețea. Măsurile tehnice pot face diferența decisivă aici, cum ar fi o stivă open source cu orchestrare Kubernetes, capabilități de tip „air-gap” și management dedicat al pachetelor.

Pentru mediile cu reglementări stricte, se recomandă, de asemenea, asigurarea securității lanțului de aprovizionare cu software, de exemplu prin certificări conform Common Criteria EAL 4+ sau standarde de securitate recunoscute, cum ar fi SLSA. Aceste măsuri ajută la asigurarea verificabilă a integrității întregii aplicații, de la dezvoltare până la implementare.

Pasul 5: Implementarea arhitecturii suverane

Odată ce aplicațiile au fost cartografiate și evaluate, accentul se mută asupra arhitecturii în ansamblu. Aceasta ar trebui să se bazeze pe standarde deschise, să ofere interfețe clare și să poată interopera cu diferite sisteme. Această deschidere creează libertate de alegere, reduce dependența de furnizorii individuali și facilitează integrarea de noi componente.

Arhitectura trebuie să fie, de asemenea, ferm ancorată în organizație. Acest lucru se poate realiza atunci când responsabilitățile sunt clar definite și fluxurile de lucru sunt clar structurate.

Pasul 6: Aliniați în mod constant stiva tehnologică cu open source

Stiva tehnologică formează coloana vertebrală a unei arhitecturi suverane. Utilizarea consecventă a tehnologiilor open source creează transparența și controlul necesare pentru a evita dependențele tehnologice pe termen lung. Codul open source permite audituri de securitate independente, remedierea rapidă a vulnerabilităților și adaptarea flexibilă a funcțiilor la cerințele individuale.

Interfețele standardizate și formatele deschise asigură interoperabilitatea între diferite sisteme și facilitează schimbul de componente individuale. Acest lucru permite integrarea noilor tehnologii fără a pune în pericol funcționarea sistemelor existente. Open source-ul oferă, de asemenea, acces la un ecosistem larg de instrumente și comunități.

Pasul 7: Planificați continuitatea afacerii

Pe lângă un pachet tehnologic robust, organizațiile ar trebui să se pregătească și pentru dezastre și să planifice continuitatea afacerii. Planificarea continuității afacerii se concentrează pe stabilirea unor proceduri de gestionare a riscurilor pentru a preveni întreruperile serviciilor critice pentru afacere și pentru a restabili funcționalitatea completă cu cât mai puține întreruperi posibil.

Un plan de continuitate a afacerii ar trebui să definească modul în care sistemele vor reacționa în cazul în care furnizorii centrali dau greș - de exemplu, din cauza sancțiunilor sau a pierderii sistemelor de control din afara UE. Este important să se asigure sarcinile de lucru critice, astfel încât acestea să poată fi relocate rapid în alte locații în caz de defecțiuni. Geo-clusterizarea, adică replicarea distribuită în mai multe centre de date separate geografic, poate, de exemplu, să minimizeze riscul de perturbări regionale și, astfel, să mențină în funcțiune procesele critice pentru afacere.

Pasul 8: Stabilirea suveranității digitale ca principiu fundamental al strategiei IT

Un plan de continuitate a afacerii asigură operațiunile în caz de urgență. Cu toate acestea, pentru ca suveranitatea digitală să fie sustenabilă pe termen lung, aceasta trebuie să devină o parte integrantă a strategiei IT. Organizațiile ar trebui să o considere nu ca o măsură unică, ci ca un principiu fundamental care pătrunde în toate procesele IT.

Aceasta include revizuirea regulată a sistemelor și mediilor, identificarea timpurie a riscurilor și efectuarea de ajustări după cum este necesar. Părțile interesate relevante ar trebui să fie implicate în mod continuu, ținând cont în același timp de schimbările de reglementare și de evoluțiile tehnologice. Acest lucru face ca suveranitatea digitală să fie un principiu fundamental care face ca organizațiile să fie permanent capabile, rezistente și independente.

În esență, suveranitatea digitală se referă la interacțiunea dintre date, operațiuni și tehnologie. Cei opt pași clarifică acest lucru: Recunoașterea și abordarea dependenței crescânde de furnizorii IT externi pune bazele acțiunilor pe termen lung. Suveranitatea digitală nu funcționează ca un proiect singular, ci ca un proces continuu și un principiu fundamental ferm stabilit. Atunci când este integrată în mod constant în structuri, procese și cultura corporativă, aceasta creează un sistem IT sigur, independent și pregătit pentru viitor.