Airbus valitsi Scalewayn myös lainsäädännön piirin takia

Yritykset ostavat pilvipalveluita kriittisimpiinkin järjestelmiinsä, eikä palvelimen sijainti enää riitä vastaukseksi turvallisuuskysymykseen. Ratkaisevaa on, minkä maan lainsäädännön piirissä palveluntarjoaja itse toimii.

Miksi Airbus siirtää järjestelmänsä Scalewaylle?

Tästä on tuore esimerkki eurooppalaiselta lentokonevalmistajalta Airbusilta. The Register kertoi heinäkuussa, että yhtiö siirtää parhaillaan noin 70 kriittistä sovellustaan Amazonin pilvipalvelusta ranskalaiselle Scalewaylle. Siirto kuuluu laajempaan ohjelmaan, jota Airbus kutsuu nimellä Minimum Viable Company. Sillä tarkoitetaan järjestelmien ydinjoukkoa, jonka varassa yhtiön toiminta pysyy pystyssä poikkeustilanteessakin. Ensimmäinen vaihe on tarkoitus saada valmiiksi vuoteen 2028 mennessä.

Airbus ei valinnut Scalewayta pelkän hinnan takia eikä pelkän teknisen suorituskyvyn takia. Lehden mukaan yhtiö punnitsi tarjouksia teknisen suorituskyvyn, toiminnan häiriönsietokyvyn ja oikeudellisten suojatoimien kannalta, ja kysymys lainsäädännöstä kuului juuri viimeiseen näistä. Scalewayn tarjous oli myös kaupallisesti kilpailukykyinen, vaikka vastassa olivat alan suuret pilvijätit.

Mitä lainsäädännön piiri tarkoittaa?

Kyse on tavallisesta riskiarviosta. Palvelimen sijainti kertoo, missä data fyysisesti on, mutta ei sitä, kuka siihen pääsee käsiksi viranomaispäätöksellä. Sen määrää se, minkä maan lainsäädännön piirissä toimittaja toimii. Yhdysvaltain CLOUD Act velvoittaa yhdysvaltalaisen yrityksen luovuttamaan hallussaan olevan datan viranomaisille, vaikka data sijaitsisi fyysisesti Euroopassa. Siksi lainsäädännön piiri ansaitsee paikkansa muiden hankintakriteerien, kuten toimitusvarmuuden, tietoturvan ja hinnan, joukossa. Se on yksi rivi riskiarviossa, ei erikoistapaus.

Riittääkö eurooppalainen versio pilvipalvelusta?

Suuret pilvipalveluntarjoajat tarjoavat nykyään eurooppalaisia versioita palveluistaan, joissa data pysyy EU:n alueella ja henkilöstö on eurooppalaista. Tämä ei kuitenkaan poista alkuperäistä kysymystä. Niin kauan kuin emoyhtiö on yhdysvaltalainen, CLOUD Act ulottuu todennäköisesti myös sen eurooppalaiseen tytäryhtiöön. Alan asiantuntijoiden mukaan ylin määräysvalta jää käytännössä yleensä sinne, missä yhtiön juridinen kotipaikka on.

Mikä on lopulta ratkaisevaa?

Ratkaisevaa ei ole toimittajan kansallisuus. Ratkaisevaa on toimivalta eli se, kenen lait säätelevät pääsyä dataan. Sama koskee yhtä lailla yhdysvaltalaista, ranskalaista ja kiinalaista toimittajaa. Kun organisaatio rakentaa kriittisen toimintansa yhden toimittajan pilven varaan, se rakentaa samalla polkuriippuvuutta.

Airbus ei tehnyt ratkaisuaan periaatteen vuoksi. Se teki sen riskiarvion perusteella. Samaa harkintaa voi tehdä jokainen, joka ei halua miettiä, kenen käsissä data lopulta on.