Gdzie leżą Twoje dane?

„Gdzie stoją wasze serwery?" to pytanie, które dostaję może dwa razy w roku, zawsze od kogoś z branży regulowanej, i jest jednym z nielicznych pytań w tym fachu, na które odpowiedzią musi być miejsce, a nie marka. Odpowiadam budynkiem w Białymstoku, co jest albo uspokajające, albo bez znaczenia, zależnie wyłącznie od tego, czym się zajmujesz.

Powodem, dla którego to jest realne pytanie, a nie marketingowe, jest to, że dane nie istnieją w chmurze. Istnieją na konkretnym dysku, w konkretnej szafie, w konkretnym budynku, w konkretnym kraju, pod prawem tego kraju. Cała reszta to abstrakcja położona na tym fakcie, a abstrakcje są cudowne dokładnie do momentu, w którym ktoś z uprawnieniami sięga pod spód.

Dwa osobne pytania, które ludzie zlepiają w jedno

Pierwsze brzmi, gdzie dane fizycznie leżą. Drugie: który system prawny może zmusić firmę, która je trzyma. To nie są te same pytania, a ich mylenie produkuje większość złego rozumowania w tym obszarze.

Dostawca może trzymać Twoje pliki w centrum danych na terenie Unii Europejskiej i jednocześnie być spółką zarejestrowaną gdzie indziej, podlegającą żądaniom rządu gdzie indziej, z których część przychodzi z obowiązkiem nieinformowania Cię o nich. Lokalizacja dysku jest faktem z geografii. Jurysdykcja jest faktem o strukturze korporacyjnej i to ona rozstrzyga, kto o co może poprosić.

To nie jest hipotetyczna obawa wymyślona przez sprzedawców sprzętu. Była wielokrotnie przedmiotem sporów sądowych w Europie, porozumienia regulujące transfer danych osobowych przez Atlantyk były unieważniane więcej niż raz, a każde kolejne ramy napotykały ten sam podstawowy zarzut. Nie będę próbował streszczenia prawnego — grunt się przesuwa, a ja jestem inżynierem, nie prawnikiem — ale powtarzalny wzorzec warto znać: to pytanie wciąż jest zadawane, bo wciąż nie zostaje rozstrzygnięte.

Dla kogo to naprawdę ma znaczenie

Zawężę to uczciwie, bo pokusa w takim tekście jest, żeby zasugerować, że każdy powinien się martwić, a to byłby nonsens.

Ma znaczenie, jeśli trzymasz cudze dane osobowe pod obowiązkiem zawodowym: gabinet lekarski lub dentystyczny, kancelaria, biuro rachunkowe, psycholog, każdy przetwarzający informacje o zdrowiu albo dane biometryczne. Tych obowiązków nie zaspokaja zapewnienie dostawcy; wiszą na Tobie i to Ty musisz umieć powiedzieć, gdzie dane są i kto może do nich sięgnąć.

Ma znaczenie, jeśli pracujesz pod umową o poufności na tyle ostrą, że Twój klient zaprotestowałby przeciwko trzymaniu materiału przez stronę trzecią — inżynieria kontraktowa, cokolwiek w okolicach obronności, badania przed publikacją.

Nie ma istotnego znaczenia dla faktur zakładu stolarskiego czy rodzinnych zdjęć z wakacji, i powiem to klientowi raczej, niż sprzedam mu obawę, której nie ma. Uczciwa wersja tego argumentu jest wąska, a jej zawężenie jest tym, co czyni ją wiarygodną tam, gdzie faktycznie obowiązuje.

Co naprawdę rozstrzyga serwer we własnym budynku

Rozstrzyga oba pytania naraz, co jest jego główną zaletą i powodem, dla którego jest czystą odpowiedzią na pytanie regulatora. Dysk jest w pomieszczeniu, które możesz wskazać. Jedyną stroną, którą można zmusić do wydania danych, jesteś Ty, w procedurze, w której uczestniczysz i o której w związku z tym wiesz.

Nie rozstrzyga reszty Twoich obowiązków i tu widuję, jak ludzie się mylą. Postawienie serwera w biurze samo z siebie nie czyni Cię zgodnym z czymkolwiek. Wciąż musisz kontrolować, kto ma dostęp, prowadzić rejestr tego dostępu, zabezpieczyć pomieszczenie, zaszyfrować dyski przeciwko kradzieży fizycznej i — o czym zapomina każdy — zadbać, żeby kopia zapasowa podlegała temu samemu reżimowi co oryginał. Idealnie lokalny serwer backupowany na konto w innej jurysdykcji po prostu przesunął pytanie, zamiast na nie odpowiedzieć.

Wprowadza też ryzyko, które dostawca niósł za Ciebie: stratę fizyczną. Budynek może zostać zalany, spłonąć albo zostać okradziony, a regulowana praktyka, która traci jedyną kopię dokumentacji pacjentów, ma problem znacznie pilniejszy niż jakikolwiek jurysdykcyjny. Suwerenność i trwałość to osobne właściwości i potrzebujesz obu, co zwykle oznacza drugą kopię w miejscu, które wciąż mieści się wewnątrz wybranej granicy.

Pytanie, które warto zadać zamiast tamtego

Nie „czy chmura jest bezpieczna" — to pytanie nie ma odpowiedzi, bo chmura nie jest jedną rzeczą. Zapytaj zamiast tego, o każdą kategorię danych, które trzymasz: gdyby ktoś z uprawnieniami tego chciał, kogo by zapytał i czy ja bym się dowiedział?

To pytanie ma odpowiedź, zajmuje pięć minut na kategorię, a odpowiedzi układają się w oczywiste stosy. Większość rzeczy ląduje na stosie, na którym to nie ma znaczenia. Kilka ląduje tam, gdzie ma, i to je warto przenieść. To jest cała metoda i jest znacznie użyteczniejsza niż ogólne stanowisko w sprawie chmury obliczeniowej.

Maszyny, które prowadzę, trzymam w jednym kraju, pod jednym systemem prawnym, w pomieszczeniu, do którego mam klucze. Nie dlatego, że z zasady nie ufam alternatywom — używam ich codziennie do rzeczy, przy których to pytanie nie powstaje. Dlatego, że dla kategorii, przy których ktoś może kiedyś musieć mnie zapytać, gdzie są dane, chcę, żeby odpowiedzią było miejsce, do którego mogę dojść pieszo.