Due diligence is becoming increasingly important as the battle for cloud sovereignty intensifies

By Guy Bartram – Director of Product Marketing at VMware

Ten eerste heeft AWS een openbare belofte gedaan, namelijk de: ‘AWS Digital Sovereignty Pledge’. Deze bestaat uit een toezegging om ‘de meest geavanceerde set aan soevereiniteitscontroles en -functies die beschikbaar zijn in de Cloud’ te bieden. Na de samenwerking van Google met T-Systems en het ‘Delos’-aanbod van Microsoft, SAP en Arvato, volgt nu AWS. Deze initiatieven versterken het groeiende potentieel van soevereine Cloud-services in een wereld die steeds meer wordt gedomineerd door vragen over Cloud-keuze en -controle en complexe nalevingsvereisten.

Dus, wat betekent een belofte? Het woordenboek definieert een belofte als een ‘plechtige toezegging’ - wat redelijkerwijs de vraag zou oproepen: is dit niet een erkenning dat er tegenwoordig weinig soevereiniteit is in het aanbod? Waarom zou het anders een belofte zijn? Een belofte is toekomstgericht, iets dat nog niet is uitgevoerd of geleverd. Zou een dergelijke aankondiging ook niet idealiter moeten worden ondersteund met een stappenplan? Waar is de garantie dat zaken in deze toezegging worden nagekomen? In plaats daarvan vermeldt AWS wat de belofte in het algemeen inhoudt: controle over de locatie van uw gegevens, verifieerbare controle over gegevenstoegang, de mogelijkheid om alles overal te versleutelen en de veerkracht van hun Cloud. De belofte klinkt uitstekend, maar voldoet het aan de standaarden van de meeste vereisten voor gegevenssoevereiniteit wereldwijd? Het lijkt echter dat niets de kritieke zorgen wegneemt rond gebruik op grote schaal, jurisdictiecontrole, wettelijke rechten om toegang te krijgen tot de gegevens en het voldoen aan soevereine gegevensvereisten die bescherming vereisen van de Amerikaanse CLOUD-act of sectie 702 van de U.S. Foreign Intelligence Surveillance Act.

Ten tweede heeft Microsoft problemen in Duitsland omdat Office 365 naar verluid niet voldoet aan de AVG. De AVG is nu meer dan 4 jaar oud en de meeste bedrijven hebben zich hier in alle haast bij aangesloten om niet gestraft te worden door de EU. Nu de Duitse federale en nationale gegevensbeschermingsautoriteiten (DSK) hun bezorgdheid hebben geuit over de verenigbaarheid van Office 365 met gegevensbeschermingswetten in Duitsland en de EU, vraag je je af hoe andere bedrijven mogelijk ook tekortschieten in hun verplichtingen om de gegevens van EU-klanten te beschermen. Daarnaast, hoeveel andere wettelijke vereisten (zoals vereisten voor gegevenssoevereiniteit) waaraan wereldwijde openbare Cloud-providers denken te voldoen, kunnen door de regelgevers worden onderzocht? Dit nieuws stemt natuurlijk tot nadenken. Microsoft heeft ontkend dat dit juist is en heeft een verklaring uitgegeven waarin om meer opheldering wordt gevraagd met betrekking tot de mening die DSK heeft. IT-managers zouden dit nieuws daarom moeten beschouwen als een opmerkelijke casestudy om de beslissingen over hun Cloud-keuze te voeden, aangezien de wettelijke vereisten met betrekking tot datasoevereiniteit veel complexer zijn om aan te voldoen dan AVG.

‍

All these issues put U.S. and global hyperscalers in a precarious position when operating a sovereign cloud (or any other regulated cloud solution) in jurisdictions like the EU, where they must adhere to both EU GDPR and U.S. law. It also places the EU in a precarious position, as 72% of European cloud market spending in Q2 2022 was aligned with AWS, Microsoft, and Google. The EU wants a fair market and a protected European cloud without compromising cloud functionality. However, with ongoing investments of around $4 billion in U.S. hyperscale organizations, no European cloud company will ever be able to seriously challenge this market. The EU certainly has a dilemma: on one hand, enforcing sovereignty would mean not being able to use foreign clouds, which would severely damage the EU cloud market. On the other hand, how can sufficient legislation be created to maintain a level of sovereignty that does not exclude foreign providers with a degree of external jurisdictional control? It seems there will be no answer to this dilemma in the near future. The most prudent approach to compliance appears to be a national, purpose-built sovereign cloud, using external clouds when your data classification meets the needs of non-regulated or non-sovereign environments: Cloud Smart!

European cloud providers are generally more specialized in their services and almost all offer managed services, something not immediately found in the offerings of large U.S. hyperscalers. I believe this is a good thing. VMware has consistently stated that the future of a well-executed Cloud Smart IT strategy is Multi-Cloud and Hybrid Cloud, and that being Cloud Smart means we cannot ignore hyperscale offerings. We need them, especially because there is significant innovation and market-leading scalability in these clouds. This is why VMware’s strategy is unique: VMware encourages Multi-Cloud and helps organizations maintain a cloud strategy that avoids lock-in and maintains quality and security while monitoring performance. The VMware Sovereign Cloud initiative offers national and local cloud provider partners the ability to build purpose-built sovereign clouds, including clouds that meet local specific requirements in areas such as data sovereignty, including data residency and jurisdictional control, data access and integrity, data security and compliance, data independence and mobility, and data innovation and analytics.

‍

‍

‍

The common misunderstanding when considering using a global hyperscaler for workloads that require data sovereignty is that there is compliance because the portfolio, data, and applications are limited to only what can be run in a region. This still does not make it sovereign – it is simply a farce. To be clear: physical location (or data residency), while necessary for data sovereignty, does not constitute full data sovereignty for almost all, if not all, data sovereignty requirements around the world. Data sovereignty requirements are unique to each jurisdiction but all have needs beyond just data residency. For example, they all also require jurisdictional control, which cannot be assumed to be met with a data-resident cloud, particularly for U.S. or global cloud providers subject to the CLOUD Act and the FISA ruling. It is therefore essential to recognize that VMware’s sovereign cloud providers are independent third-party partners around the world who also manage extensive portfolios of cloud capabilities. Based on VMware solutions and ecosystem vendors, with tools and a competitive advantage (under the current regulatory climate) to provide the highest level of compliance comfort with data sovereignty requirements and/or other regulations such as the GDPR.

‍

So, what is the answer here? VMware’s position has not changed: the use of ‘trusted’ hyperscale clouds implies a level of trust where data placed in a hyperscale cloud is not top secret, must be protectable (e.g., using encryption or bring-your-own-key), and must be public. In other words: only low-risk data should be placed in a hyperscale cloud. Around the world, customers should no longer wait for a magical one-size-fits-all solution. Instead, consider a strategy that leverages the best of all Multi-Cloud solutions and makes cloud choices based on data classification, data operations, and risks.

As the diagram shows, there is an increased risk associated with non-sovereign cloud solutions, as jurisdictional control is negated in a trusted or hyperscale public cloud. The amount of data applicable to non-sovereign services that should be considered may be lower if you have performed a thorough data classification. Remember that a sovereign cloud provider delivers services suitable for your industry, whether it is government, the public sector, the financial sector, or many other industries, and also provides managed services to assist you with your cloud adoption strategy. Some also develop secure data exchange solutions to monetize your data, a crucial component in the growing data market. Furthermore, VMware Sovereign Cloud Providers may be best suited to support you in managing locally tailored privacy, classifications, and risk analysis to ensure the strictest standards are met. As data relates to personal and non-personal data (think industrial and IoT), a classification exercise will help you understand your risks and how to protect them in accordance with legal requirements and future threats from new data classification standards that are coming.

As data markets evolve and data exchange for supply chains and revenue generation becomes a critical part of how we do business, it is essential that the right strategy is determined on day zero and that the limitations of a cloud choice do not compromise the principles of sovereignty. Additionally, ensure that the cloud provider you select has the right technological capabilities, security infrastructure, and data management processes to protect your data, meet compliance standards, and provide a secure platform for your business.

‍