Dnes se ve firmách i při bezpečnostních auditech stále častěji objevuje překvapivě jednoduchá otázka: Kde přesně jsou naše data uložena? A děje se to i u tak základních služeb, jako je e-mail nebo složky s dokumenty.
Už nerozhoduje jenom cena
„Fakt, že se o umístění dat najednou začalo mluvit mnohem víc, není náhodný. Důvodem je kombinace regulací, jejich vymáhání a geopolitiky, která od základu mění pohled na cloudovou infrastrukturu,“ upozorňuje Adam Paclt, šéf společnosti IceWarp. V minulosti si firmy vybíraly cloud hlavně podle výkonu, funkcí a ceny. Umístění dat se v rozhodovacím procesu téměř neřešilo.
Tehdy to dávalo smysl. Velcí cloudoví poskytovatelé vybudovali rozsáhlé distribuované infrastruktury, které umožňují data automaticky přesouvat mezi regiony, replikovat je a zajistit jejich vysokou dostupnost odkudkoliv na světě. Postupně se ale ukázala nepříjemná realita – když jsou vaše data „někde jinde“, pak se na ně vztahuje i jiná jurisdikce.
Přečtěte si také:
Jak připravit organizaci na požadavky CRA? Začněte u přehledu kybernetických rizik
A to už není jen právní nuance, ale strategické riziko. „Typickým příkladem je americký zákon CLOUD Act, který umožňuje americkým úřadům požadovat přístup k datům firem se sídlem v USA, i když jsou tato data fyzicky uložena mimo Spojené státy,“ varuje Paclt.
Cloud jako strategické aktivum poskytovatele
Pokud se data automaticky přesouvají mezi regiony podle pravidel poskytovatele, firmy na nimi ztrácí reálnou kontrolu. A bez kontroly nad daty ztrácí i kontrolu nad tím, kdo k nim může mít přístup. Cloud tak přestává být jen technologickým řešením a stává se otázkou jurisdikce, rizika a kontroly. Jedním z hlavních důvodů této změny je geopolitika. Digitální infrastruktura už není vnímána jen jako technologie, ale jako strategické aktivum.
Proto evropské firmy i státní instituce začínají přehodnocovat silnou závislost na zahraničních hyperscalerech, jako je Google, Amazon, Meta, Apple a Microsoft. Objevuje se trend označovaný jako geopatriace – postupný návrat klíčových digitálních služeb k regionálním poskytovatelům pod lokální jurisdikcí.
„Nejde jen o ochranu soukromí. Jde o kontrolu, odolnost a nezávislost. Pokud jsou kritická firemní data uložena výhradně v zahraniční infrastruktuře, mohou politické nebo regulatorní změny ze dne na den ovlivnit přístup k datům, jejich správu nebo plnění compliance požadavků. Proto firmy začínají znovu řešit, kde jejich nejcitlivější data skutečně jsou. A kdo nad nimi má reálnou kontrolu,“ vysvětluje Adam Paclt.
A nejen firmy nebo instituce. V posledních letech výrazně sílí regulační tlak Evropské unie. Rámce jako GDPR, NIS2, připravovaná regulace AI nebo oborová kyberbezpečnostní pravidla kladou mnohem větší důraz na to, kde jsou data uložena, jak se zpracovávají a jak se přenášejí mezi jurisdikcemi.
Riziko vendor lock-in a změny geopolitické situace
Zásadní změna ale nespočívá jen v regulaci samotné. Změnila se i její vymahatelnost. Úřady už nevydávají jen varování, ale ukládají pokuty a aktivně zpochybňují přeshraniční přenosy dat. „Proto firmy dnes musí být schopné jasně odpovědět na tři základní otázky: Kde přesně jsou naše data uložena? Jaké zákony se na ně vztahují? Kdo k nim může legálně požadovat přístup? Pokud váš poskytovatel ukládá data v problematické jurisdikci, všechna rizika dopadají na vás,“ konstatuje Paclt.
Auditoři se už brzy nespokojí s vágním tvrzením „máme to v cloudu“. Vyžadují přesný přehled o tom, kde se firemní data nacházejí a jak se mezi systémy pohybují. Navíc závislost na jednom velkém zahraničním dodavateli představuje riziko vendor lock-in. Co se stane, když se přes noc změní pravidla nebo geopolitická situace?
„Moderní digitální strategie už nespočívá jen v tom, jak dobře platforma funguje. Zásadní je, kde běží, podle jakých zákonů funguje a kdo drží pomyslné klíče od vašich dat. Organizace, které dnes přesně vědí, kde se jejich data nacházejí a pod jakou jurisdikci spadají, budou mít v následujících letech výraznou výhodu. Vyhnou se vysokým pokutám, projdou audity bez zbytečných komplikací a udrží si důvěru klíčových klientů,“ uzavírá Paclt.