Wyrastając z usług dla konsumentów, chmura profesjonalna musi dostosować się do wymagań instytucji względem poziomu usługi oraz regulacji prawnych reglamentujących poszczególne sektory. W sektorze finansowym różnice te są szczególnie widoczne.

Ochrona danych osobowych

Podstawowym zagadnieniem prawnym w Europie dotyczącym przetwarzania chmurowego jest ocena zgodności takiego modelu usługowego z przepisami ochrony danych osobowych.

Pojawiają się wątpliwości, czy przetwarzanie w chmurze mieści się w obecnej prawnej strukturze ochrony danych osobowych. Ze strony organu powołanego do ochrony danych osobowych niemieckiego landu Schleswig-Holstein padły nawet stwierdzenia uznające przetwarzanie chmurowe za sprzeczne z przepisami ochrony danych osobowych. Formalne problemy upatrywane są w odmiejscowieniu usługi, zaś problem fundamentalny w braku możliwości nadzoru nad przetwarzaniem danych przez dostawcę chmury (np. dawania wiążących wytycznych dostawcy chmury czy kontrolowania sposobu, w jaki dostawca przetwarza i chroni dane).

Specjaliści widzą jednak sposoby pogodzenia przetwarzania chmurowego z obecnymi regulacjami ochrony danych osobowych. Drogą do tego jest zastosowanie nowego podejścia do "starych" przepisów - podejścia odpowiadającego dobie Internetu i społeczeństwa cyfrowego (w tym przypadku z rozmysłem użyłem określenia społeczeństwo cyfrowe a nie społeczeństwo informacyjne).

"Odmiejscowienie" oznacza bowiem tyle, że dane przetwarzane mogą być równocześnie w kilku lub kilkunastu centrach danych - w ramach sieci do tego udostępnionej, zaś centra te położone są w konkretnych lokalizacjach. Z odmiejscowieniem mamy zresztą do czynienia także w aspekcie zwykle pomijanym a istniejącym obecnie powszechnie - w przypadku dostępu do sieci przedsiębiorstwa z urządzeń mobilnych.

W przypadku profesjonalnej "chmury" obliczeniowej można przecież określić lokalizacje poszczególnych centrów przetwarzania danych (niemożliwe byłoby to w przypadku botnetów tworzonych z pojedynczych maszyn z dostępem do sieci, ale to jest zupełnie inna historia). Można także określić konkretne podmioty, których infrastruktura tworzy chmurę i które ją obsługują. Z perspektywy bezpieczeństwa danych nie ma natomiast potrzeby, aby właściciel danych permanentnie śledził dane lub miał wiedzę o ich położeniu w danej chwili.

Zagadnienie nadzoru nad przetwarzaniem danych również można rozwiązać. Naturalną drogą do tego jest określenie odpowiednich standardów bezpieczeństwa informacji, ciągłości działania i jakości usługi - zarówno standardów rynkowych jak i standardów w poszczególnych umowach, a następnie wykorzystanie zewnętrznych audytorów - podmiotów, które w interesie większej grupy klientów / odbiorców usług kontrolowałyby dotrzymywanie tych standardów przez dostawców chmury. Drogę ku temu wytyczono przy określaniu standardów audytu outsourcingu w USA.

Nierozwiązany dotychczas konflikt pomiędzy zasadami ochrony danych osobowych a masowym cyfrowym przetwarzaniem informacji i zasadami bezpieczeństwa informacji rodzi zderzenie uprawnienia jednostki do żądania usunięcia swoich danych osobowych z technicznymi trudnościami w wykonaniu takiego działania.

Zderzenie to dotychczas ujawniało się w kontekście żądań usuwania danych z kopii zapasowych. Może jednak być ciekawe również w odniesieniu do systemów przetwarzania chmurowego, gdzie zapewne zagadnienie bezpieczeństwa informacji jest rozwiązywane w sposób nieco inny niż w tradycyjnym backupie. Problem ten sygnalizowany jest ostatnio mocniej w związku z intrygującym postulatem "prawa do bycia zapomnianym" ogłoszonym przez Komisję Europejską. Warto wspomnieć też, że polskie przepisy ochrony danych są dość drobiazgowe i w pewnych szczegółach nie pokrywają się z wymaganiami stosowanymi przez większość krajów europejskich. Oznacza to, że dostawca chmury powinien zwrócić szczególną uwagę na spełnienie polskich wymagań, zaś instytucja powierzająca mu swoje dane powinna tego dopilnować - zarówno na poziomie umowy z dostawcą jak i zapewne na poziomie inicjalnego sprawdzenia w praktyce zgodności działania chmury z polskim prawem.

Outsourcing w sektorze finansowym

Oprócz ogólnych zagadnień ochrony danych osobowych, regulacje sektora finansowego reglamentują także powierzenie podmiotom zewnętrznym (potocznie - outsourcingu) danych lub procesów "krytycznych" (ang. critical), czyli takich, których zakłócenie lub przerwa uniemożliwiłoby lub istotnie utrudniło wykonywanie przez organizację swojej podstawowej działalności. Czynności niekrytyczne są poza obszarem regulowanym przez prawo administracyjne, a więc w domenie prawa cywilnego i zasady swobody kontraktowania. W przypadku czynności i procesów krytycznych, regulacje wkraczają w swobodę umów i określają minimalny standard: (I) odpowiedzialności, (II) podejścia do bezpieczeństwa informacji; (III) zapewnienia ciągłości działania; (IV) wymogów monitorowania ryzyka.

Warto wspomnieć, że podstawowym wystarczającym (choć nie koniecznym) kryterium uznania procesu za "krytyczny" w omawianym rozumieniu jest, jeżeli w jego ramach przetwarza się informacje objęte szczególną ochroną prawną - jak np. tajemnica bankowa.

Regulacje outsourcingu w sektorze finansowym kreują kilka utrudnień dla możliwości zastosowania przetwarzania chmurowego.

Wydaje się, że podstawową obecnie barierą obecną w Prawie bankowym i kilku innych regulacjach sektora jest zakaz wprowadzania ograniczeń odpowiedzialności dostawcy usługi za szkody wyrządzone klientom banku. Restrykcja ta jest twórczym rozwinięciem zaleceń regulacji europejskich (jak Markets in Financial Instruments Directive czy Payment Services Directive) zakazujących powoływania się na outsourcing w celu ograniczenia przez instytucję finansową własnej odpowiedzialności względem klientów.

Rozwinięcie to uznaję za "twórcze", ponieważ zdaje się, że wykracza nie tylko poza wymogi wspominanych aktów unijnych ale i poza ich cel. Nadto może rodzić fałszywe poczucie bezpieczeństwa w związku z formalnym (umownym) przerzuceniem ryzyka instytucji finansowej na dostawcę usług. W konsekwencji uśpienie czujności co do faktycznego monitorowania sposobu obsługi procesu obsługiwanego przez tego dostawcę.

Do niedawna jeszcze toczyłem dyskusję ze ś.p. prof. Remigiuszem Kaszubskim na temat potrzeby takiego ograniczenia - egzotycznego z punktu widzenia innych krajów UE i niezwykle odległego od przyjętych standardów i kultury kontraktowej w obszarze informatyki.

Negocjując kontrakty informatyczne w imieniu instytucji finansowych na pewno osiągałbym porozumienie łatwiej i szybciej, gdyby nie to ograniczenie lub gdyby międzynarodowi dostawcy byli do niego przyzwyczajeni. Są argumenty za oboma stanowiskami (porównanie zasobów obliczeniowych do energii elektrycznej daje ciekawe wnioski) i dyskusję o tym chyba warto prowadzić, szczególnie że inne kraje jak na przykład Wielka Brytania dorobiły się przemyśleń w tym zakresie w ramach orzecznictwa sądowego.

Warto zaznaczyć, że Cloud computingiem w sektorze finansowym, w Polsce, zajmuje się grupa robocza Forum Technologii Bankowych Związku Banków Polskich. Grupa ta opracowuje kompleksowy raport, który ma się ukazać w najbliższych miesiącach. Już w listopadzie 2011 została wydana i ogłoszona na konferencji IT@Bank 2011 prawna część tego raportu Cloud computing w sektorze finansowym - Regulacje i standardy2 pod moją redakcją, w której dość kompleksowo opisane są polskie uwarunkowania prawne przetwarzania chmurowego w sektorze finansowym. W niniejszym artykule sygnalizuję tylko podstawowe aspekty tych uwarunkowań.

W Polsce i na świecie istnieje szereg regulacji określających prawne warunki przetwarzania pewnych typów informacji, w tym przetwarzania z wykorzystaniem podmiotów trzecich. Instytucje unijne są niezwykle aktywne w obszarze prób regulacji samego przetwarzania. Jednak do tej pory ani w Polsce, ani na poziomie UE nie ma przepisów odnoszących się bezpośrednio do przetwarzania chmurowego (Komisja Europejska pracuje nad strategią dotyczącą chmury w ramach Agendy Cyfrowej dla Europy3).

Przyszłość

Wydaje się, iż z każdym rokiem chmura będzie zyskiwać na popularności a przechodzenie do niej stanie się tak samo naturalne jak dziś korzystanie z zewnętrznych dostawców energii elektrycznej (w przeciwieństwie do XIX w., gdzie każdy większy podmiot gospodarczy miał swoją własną elektrownię).

Wygoda dla konsumenta związana z korzystaniem z zasobów dostępnych z dowolnego miejsca powoduje, że procesu tego w obszarze usług konsumenckich raczej nie da się zatrzymać (a przynajmniej tak długo jak Internet nie będzie miał skutecznych granic). W obszarze usług adresowanych do instytucji proces jest wolniejszy - bardziej kontrolowany administracyjnie oraz też z większą odpowiedzialnością potencjalnych zainteresowanych. Tym niemniej, zważywszy na możliwe korzyści ekonomiczne oraz chyba w istocie niedużą różnicę od strony technologicznej względem obecnie stosowanych przez przedsiębiorstwa rozwiązań informatycznych, także i tu oczekiwać można ekspansji chmury.

Źródło: www.wnp.pl