CLOUD Yasası, veri egemenliği ve İsviçre: Avrupa BT stratejileri için bir dönüm noktası mı?

Kasım ayı ortasında İsviçre'de hiç kimsenin bu şekilde beklemediği bir şey oldu: Ülkenin veri koruma komisyon üyeleri net ve neredeyse tarihi bir karar aldı. Bunun arkasındaki mesaj basit ve aynı zamanda oldukça tartışmalı: kamu kurumları artık en hassas verilerini Microsoft 365 gibi uluslararası bulut hizmetlerine tereddüt etmeden vermemeli. Peki neden?

Çünkü özellikle gizli verilerin - sağlık kayıtları, sosyal davalar, ceza soruşturmaları, dahili belgeler - sorumluluğu, bu verilere erişimi teknik olarak asla tamamen ortadan kaldıramayacak şirketlere verilmemelidir. İsviçre'nin aldığı kararın özü de tam olarak budur. Temel fikri anlamak için BT ile derinlemesine ilgilenmeniz gerekmiyor. Geçmişte önemli dosyalar belediye binasındaki kilitli bir dosya dolabında saklanırdı. Bugün ise aynı veriler genellikle yurtdışında bir yerde, büyük ABD şirketlerinin sunucularında saklanıyor ve bu şirketler de kendi ortak şirketlerini ve taşeronlarını kullanıyor. Ve bu sağlayıcılar bize her şeyin güvende olduğunu garanti etseler bile, yetkililer artık bunu gerçekten kontrol edemiyor.

---

---

Ayrıca kamuoyundaki tartışmalarda sıklıkla gözden kaçan bir nokta var: ABD şirketleri, CLOUD Yasası gibi ABD yasaları uyarınca verileri teslim etmeye zorlanabilir - bu veriler aslında Avrupa'da depolanıyor olsa bile. Avrupa ülkeleri ve hatta geleneksel olarak bağımsızlığa büyük değer veren İsviçre gibi bir ülke için bu ağır bir yüktür. Bu çerçevede, İsviçre veri koruma yetkilileri şimdi pozisyonlarını netleştirdi:

Eğer bir kamu kurumu özel olarak korunan ve hatta resmi gizlilik kapsamına giren verileri depoluyorsa, o zaman başka hiç kimse - bulut sağlayıcısı bile - bu verilere erişememelidir. Ve otoritenin tek başına anahtarları yönettiği gerçek bir uçtan uca şifreleme olmadığı sürece, günümüzün bulut hizmetleriyle bu mümkün değildir.

İsviçre böylece ihtiyat, gelenek ve devlet verilerinin özellikle değerli bir varlık olduğuna dair köklü bir anlayışla ipleri eline alıyor. Ve ilginç bir şekilde, Alman yetkililer, veri koruma görevlileri ve BT yöneticileri de şimdi burada yeni bir standardın ortaya çıkıp çıkmadığını görmek için çok yakından bakıyorlar.

İsviçre kararı gerçekte ne diyor

Nasıl Heise Online ve BT'nin İçinde Raporumuzda da belirttiğimiz üzere, bu karar Federal Veri Koruma Komiseri ve tüm kanton denetim makamlarının bir araya geldiği Veri Koruma Konferansı privatim tarafından alınmıştır. Kararları kanun niteliğinde olmasa da büyük bir ağırlığa sahiptir. Uygulamada pek çok yetkili, veri koruma perspektifinden neye izin verilebileceğini ve neyin sorumlu olduğunu belirledikleri için kılavuzlarını bağlayıcıymış gibi uygulamaktadır. Karar kime yöneliktir? Hedef grup kamu yetkilileridir:

• Federal yetkililer
• Kanton ofisleri
• Belediyeler
• Mahkemeler
• devlet kurumlari

Özel şirketler karardan resmi olarak etkilenmiyor. Ancak, devlet kurumları için standartlar bu kadar katı bir şekilde belirlenirse, özel sektörün gelecekte - özellikle sağlık, eğitim ve sigorta gibi alanlarda - çok daha gevşek bir yaklaşım benimsemesi zor olacaktır.

Temel mesaj: hassas veriler uluslararası bulutlara ait değildir

Bu Çözünürlük dikkatli ama kesin bir şekilde formüle ediyor: sağlayıcılar teknik erişime sahip olabildiği sürece en hassas kamu verileri bulut hizmetlerine dış kaynak olarak verilmemelidir. Ve bu sadece herhangi bir niş uygulama için değil, tam olarak birçok idarenin şu anda standart olarak kullandığı bulut ürünleri için geçerlidir

• Microsoft 365
• Google Çalışma Alanı
• Uluslararası sağlayıcılardan çeşitli SaaS uygulamaları

Anlaşmazlık noktası her zaman aynıdır: Yetkilinin anahtarları elinde tuttuğu ve sağlayıcının teknik olarak hariç tutulduğu durumlarda gerçek bir uçtan uca şifreleme yoktur. Bulut hizmetinin kendisi güncellemeleri yayınladığı, yapılandırmaları gerçekleştirdiği veya destek durumunda yönetici haklarına sahip olduğu sürece, teorik erişim devam eder - ve bu İsviçreli veri koruma uzmanları için fazlasıyla yeterli bir risktir.

İsviçre neden bu çizgiyi çekiyor?

İsviçre kararı, klasik, neredeyse eski moda bir ilke ile özetlenebilecek açık bir mantık izlemektedir:
Kendi etki alanınızda olmayan bir şeyi gerçekten koruyamazsınız. Bunun merkezinde üç güdü vardır:

• Devlet egemenliğinin korunmasıDevlet verileri egemenliğin temelidir. Uluslararası sağlayıcılar - hatta muhtemelen yabancı yargı yetkisi altında - teorik olarak buna erişebilirse, devlet bu egemenliğin bir parçasını kaybeder.
• Resmi gizliliğin korunması: İsviçre'de resmi gizlilik özellikle önemlidir. Bunun amacı sadece siyasi entrikaları önlemek değil, aynı zamanda vatandaşların güvenini de sağlamaktır. Veriler ülke dışına çıkar çıkmaz, bu güveni garanti etmek daha zor hale gelir.
• Özellikle hassas kişisel verilerin korunmasıSağlık verileri, polis dosyaları, sosyal vakalar - bunların hepsi yetkisiz erişimin ciddi sonuçlar doğurabileceği alanlardır. Ve burada en ufak bir risk bile kabul edilemez olarak değerlendirilir.

Özellikle hangi veriler etkileniyor?

Kararda açıkça şu ifadeler yer almaktadır:

• özellikle hassas kişisel veriler
• Yasal gizliliğe tabi veriler (resmi gizlilik)
• Polis, adalet, sosyal hizmetler, sağlık, idare verileri

Bu tür bilgiler için karar, günümüz SaaS sistemlerinin sunmadığı bir standart çağrısında bulunuyor: otoritenin tek kontrolü altında tam şifreleme. Bu standart olmadan, uluslararası bulutlara dış kaynak kullanımı „çoğu durumda kabul edilemez“ - ifadeye göre.

Yetkililerin yapması gereken ne kaldı?

Teknik olarak konuşursak, sadece dar bir koridorları var:

• Kendi yukarı akış şifrelemesine sahip bulut depolama
• Kendi anahtar altyapısının işletilmesi
• veya tamamen yerel çözümler, yani şirket içi veya İsviçre sağlayıcıları

Bu, yetkililerin artık bulutu hiç kullanamayacağı anlamına gelmiyor. Ancak sağlayıcının verileri düz metin olarak okumasının mümkün olmadığından emin olmalıdırlar. Ve pratikte bu, çoğu modern bulut aracında neredeyse imkansızdır çünkü bu sistemler işlevlerini ancak verileri kendileri işledikleri takdirde yerine getirebilirler. İsviçre böylece dolaylı olarak şunu söylüyor:

„Bulutu idareli bir şekilde ve yalnızca gerçekten kontrol edebileceğiniz yerlerde kullanın.“

Bu da başlı başına dikkate değer bir adımdır ve İsviçre dışında da tartışmalara neden olmaktadır.

Uçtan uca şifreleme eksikliğinden sözleşme piyangosuna kadar beş temel argüman

1. gerçek uçtan uca şifrelemenin olmaması

En önemli nokta aynı zamanda en basit olanıdır: bir bulut sağlayıcısı verilere teknik erişime sahip olduğu sürece, özellikle hassas bilgiler için kullanmasına izin verilmez. İşte tam da bu noktada, kendilerini „güvenli“, „sertifikalı“ veya „veri koruma uyumlu“ olarak adlandırsalar bile, neredeyse tüm uluslararası SaaS teklifleri başarısız olmaktadır. Neden mi? Çünkü Microsoft 365, Google Workspace veya diğer büyük bulut platformları gibi hizmetler ancak işimizden elde ettiğimiz verileri işleyebildikleri takdirde işe yarar: Belgeler, e-postalar, takvimler, toplantılar, sohbetler. Sistemler içeriği analiz eder, arar, senkronize eder ve birbirine bağlar - bu onların iş modelidir.

Yetkilinin anahtarı tek başına elinde tuttuğu ve sağlayıcının hiçbir bilgiye sahip olmadığı gerçek uçtan uca şifreleme, bu işlevleri büyük ölçüde imkansız hale getirecektir. İşte tam da bu nedenle sağlayıcılar bu konuda tam bir ayrım sunmamaktadır. İşte bu yüzden İsviçreli veri koruma uzmanları şöyle diyor:

„Bu mümkün olmadığı sürece, bu tür sistemleri vicdanımız rahat bir şekilde kullanamayız.“

2. şeffaf olmayan taşeron zincirleri ve kontrol eksikliği

Büyük bulut sağlayıcıları devasa bir taşeron ağı ile çalışır. Bu yapılar genellikle küresel olarak dağıtılır, düzenli olarak değişir ve dışarıdan bakanların anlaması neredeyse imkansızdır. Microsoft veya Google ile resmi bir sözleşme olsa bile, arka planda genellikle aşağıdakiler geçerlidir:

• Diğer şirketler destek sağlıyor
• Dış ekipler bakım çalışmalarını yürütür
• diğer hizmet sağlayıcılar altyapının bazı bölümlerini barındırır veya yönetir

Bir kamu kurumu için bu, kimin ne zaman verilere eriştiğini veya erişebileceğini tam olarak bilemeyeceği anlamına gelmektedir. Bu da bir kamu kurumunun verilerinin her zaman nerede olduğunu ve kimlerin potansiyel olarak bu verilere erişebileceğini görebilmesi gerektiği ilkesiyle çelişmektedir. İsviçre makamları bu noktayı bilinçli olarak vurgulamıştır çünkü şeffaflık ve hesap verebilirlik birbiriyle yakından ilişkilidir.

3. tek taraflı sözleşme değişiklikleri - yasal olarak sallantılı bir temel olarak bulut

Genellikle göz ardı edilen bir risk faktörü de sözleşme tasarımıdır. Birçok bulut sağlayıcısı, hüküm ve koşullarını istediği zaman değiştirme hakkını saklı tutar - bazen çok kısa teslim süreleriyle. Bu, özel şirketler için bir şekilde kabul edilebilir, ancak:

Öngörülebilirlik ilkesi kamu makamları için geçerlidir. İdare hangi verilerin nasıl işlendiğini belgeleyebilmeli ve gerekçelendirebilmelidir. Ancak, çerçeve koşulların kendiliğinden değişmesi halinde - sağlayıcının yeni hükümler eklemesi veya mevcut hükümleri kısıtlaması nedeniyle - idarenin kendi yasal uyumluluğunu artık kesin olarak değerlendiremeyeceği bir durum ortaya çıkar.

İsviçreli veri koruma uzmanları bu „sözleşme piyangosunun“ devletin yükümlülükleriyle bağdaşmadığını düşünüyor. Bir devlet, ortak karar olmaksızın her an değiştirilebilecek iş modellerine güvenemez.

4. Kontrol kaybı ve temel haklar riski

Veriler ülkeyi terk ettiği veya kendi sorumluluk alanı dışında işlendiği anda bir risk ortaya çıkar: devlet kontrolünün bir kısmını kaybeder.

Bu ilk bakışta soyut görünebilir, ancak günlük hayatta çok gerçektir: bir hata meydana gelirse, veriler tehlikeye girerse veya yasal bir anlaşmazlık ortaya çıkarsa, bir kamu kurumu artık dışarıdan yardım almadan yönetebileceğinden emin olamaz. İşleyen bir kamu idaresinin temel fikriyle çelişen şey de tam olarak budur:

Bir devlet acil bir durumda dışarıdaki şirketlere ya da yabancı hukuk sistemlerine bağımlı olmaksızın kendi başına hareket edebilmelidir. İsviçreli veri korumacılar bu konuda geleneksel, neredeyse eski moda bir yaklaşıma sahipler - ve konumlarını bu kadar tutarlı kılan da tam olarak bu. Devlet görevleri devlet görevi olarak kalır. Ve devlete ait veriler devletin elindedir.

5 ABD CLOUD Yasası - endişelerin merkezinde yer alıyor

CLOUD Yasası belki de tüm bu tartışmanın en önemli arka planını oluşturmaktadır. Bu ABD yasası, Amerikan şirketlerini, bu veriler yurtdışında depolansa ve aslında yabancı yasaların korumasına tabi olsa bile, talep üzerine verileri ABD makamlarına teslim etmeye zorlamaktadır. İsviçre için bu kesinlikle söz konusu olamaz.

Bu durum teorik olarak ABD makamlarının İsviçre mahkemelerini veya makamlarını dahil etmeden hassas İsviçre idari verilerine erişimini mümkün kılacaktır. Bulut sağlayıcıları bu tür verileri yalnızca katı koşullar altında yayınlayacaklarını iddia etseler bile, temel sorun devam etmektedir:

Otorite, sadece teknik hizmet sağlayıcısını seçerek verileri üzerindeki egemenliğini kaybeder. Geleneksel olarak bağımsızlığını koruyan bir ülke için bu, almaya değmeyecek bir risktir. İsviçreli veri koruma uzmanları da tam olarak bu noktayı çok net bir şekilde ortaya koyuyor.

İsviçre Microsoft 365'e karşı - ve Almanya yakından izliyor | heise & c't

İsviçre ve AB - Microsoft 365 ile başa çıkmanın iki yolu

İsviçre çok temkinli bir yaklaşım benimseyip hassas verilerin uluslararası SaaS hizmetlerine verilmemesi konusunda yetkilileri açıkça uyarırken, Avrupa Birliği farklı bir yaklaşım benimsiyor. Anlaşmalar, sözleşmeye dayalı iyileştirmeler ve teknik düzenlemeler yoluyla bir orta yol bulmaya çalışıyor - bulut hizmetlerini temelde yasaklamayan, ancak koşullar koyarak onları „kullanılabilir“ hale getirmeyi amaçlayan bir yol.

Bu fark dikkat çekicidir ve devletlerin dijital egemenlik konusunu ne kadar farklı ele aldıkları hakkında çok şey söylemektedir.

İsviçre: ihtiyat, veri egemenliği ve net bir sınır

İsviçre'nin pozisyonu tek bir cümleyle özetlenebilir:

„Kontrol edemediğim şeyi ellerimden bırakmayacağım.“

İsviçre böylece geleneksel bir ilkeye sadık kalıyor: devlet verileri - özellikle gizli veya özellikle hassas veriler - ülkede kalıyor veya yetkililerin kendileri dışında kimsenin erişemeyeceği şekilde şifreleniyor. Bu, dijital dünyanın bugününe aktarılan eski ilkelere kasıtlı bir geri dönüştür.

AB: anlaşmalar, muafiyetler ve uzlaşmacı çözümler

Avrupa Birliği farklı bir yaklaşım benimsiyor. Büyük bulut platformlarını tamamen yasaklamadan bu platformların avantajlarından faydalanmak istiyor. Bu amaçla:

• Müzakere edilen yeni sözleşmeler
• Veri koruma güvenceleri eklendi
• Kontrol mekanizmaları ve denetimler başlatıldı
• Sonradan sağlanan teknik garantiler

Avrupa Veri Koruma Denetmeni'nin AB Komisyonu'nun Microsoft 365'i belirli koşullar altında veri koruma düzenlemelerine uygun olarak kullanabileceğine dair kararı buna bir örnektir. Almanya'nın bazı bölgeleri de dahil olmak üzere birçok üye ülkeden benzer açıklamalar gelmeye başladı. Temel fikir:

„Bulutu yasaklamak yerine düzenliyoruz.“

Ancak bu yaklaşım, sağlayıcılara duyulan güvene ve karmaşıklığın yönetilebilir kalmasına dayanmaktadır. Eleştirmenler buna karşı çıkmaktadır: Platform ne kadar büyük olursa, kontrol edilmesi de o kadar zor olur.

Almanya iki dünya arasında

Almanya bir kaya ile sert bir yer arasında sıkışmış durumda. Bazı eyalet veri koruma otoriteleri daha temkinli, diğerleri ise daha pratik odaklı.
Örneğin okul sektöründe Microsoft 365'e karşı katı kararlar alınırken, federal düzeyde 365'in kullanımını mümkün kılacak çözümler üzerinde çalışılıyor. Sonuç: yamalı bir yorgan.

İşte tam da bu nedenle pek çok kişi artık İsviçre hattına bakıyor - çünkü uzlaşmalar yoluyla ilerlemek yerine ilk kez net bir standart belirliyor.

İki felsefe çarpışıyor

Kısaca ifade etmek gerekirse, iki karşıt düşünce ekolü vardır:

1. İsviçre geleneği: „Verilerimiz bizde kalır - ya da şifrelenmiş olarak kalır ve başka kimse görmez.“
2. Avrupa pragmatiği: „Modern platformlara ihtiyacımız var - bu yüzden elimizden geldiğince onlarla uzlaşmaya çalışıyoruz.“

Her iki yaklaşımın da güçlü yanları var. Ancak İsviçre net bir sinyal gönderiyor: bir devletin 21. yüzyılda küresel şirketlere bağımlı hale gelmeden bilinçli bir şekilde dijital bağımsızlığa odaklanabileceğini gösteriyor.

Ve sadece bu tutum bile, Avrupa'daki yetkililerin, veri koruma görevlilerinin ve BT departmanlarının önceki uygulamaların gerçekten her zaman göründüğü kadar reddedilemez olup olmadığını daha yakından incelemelerine neden oluyor.

Sınırın ötesine bir bakış: Almanya neden şimdi daha yakından bakmalı?

İsviçre'nin kararı, Alman yetkililerin ve şirketlerin bulut hizmetleriyle nasıl başa çıkacakları konusunda giderek daha kararsız hale geldikleri bir dönemde geldi. Bir yandan ekonomi, otomasyon, işbirliği ve maliyet verimliliği vaat eden buluta doğru ilerliyor. Öte yandan, en önemli soru şu: ne kadar kontrolden vazgeçeceğiz?

İşte tam da bu noktada İsviçre'nin kararı bir sinyal etkisi yaratıyor. Almanya'ya bir ayna tutuyor ve her şeyi sonuna kadar düşündüğünüzde neler olabileceğini gösteriyor. Bu durum sadece bakanlıkları ve resmi makamları değil, aynı zamanda okulları, hukuk firmalarını, doktor muayenehanelerini, KOBİ'leri ve hassas verilerle çalışan herkesi etkilemektedir. İsviçreliler temel olarak şöyle diyor:

„Modern teknolojiyi kullanıyoruz - ancak bağımsızlığımız pahasına değil.“

Bu cümle kolaylıkla bir Alman dijital stratejisinin üzerine yazılabilirdi. Henüz değil - ancak Bern'de alınan karar tartışmaya yeni bir ivme kazandırdı.

Hiçbir şirketin görmezden gelemeyeceği soru

Bugün şirketler kendilerine basit gibi görünen bir soru sormak zorunda - on ya da on beş yıl önce sorulması pek mümkün olmayan bir soru:

„Şüphe durumunda verilerimize kimin erişimi var?“

Geçmişte cevap netti: kendiniz. Bugün ise genellikle: „Duruma göre değişir.“

Birçok kuruluş için sorun olan da tam olarak bu „ona bağlı olma“ durumudur. Veriler bulut sistemlerinde depolandığı andan itibaren, bu verilere kimin erişebileceğine karar veren artık yalnızca şirket değildir. O karar verir:

• sağlayıcı
• alt yüklenicileri
• sözleşmeli veri işleyicisi
• yabancı makamlar (ABD'li sağlayıcılar söz konusu olduğunda Avrupa'nın onayı olmasa bile)

Olaya soğukkanlı bir şekilde baktığınızda, gerçek veri egemenliği sorusuna verilebilecek net cevapların giderek azaldığını fark edersiniz.
İşte bu yüzden İsviçre hattı artık eski moda değil, kesinlikle modern görünüyor.

Konfor ve kontrol kaybı arasında orta sınıf

Almanya'daki birçok orta ölçekli şirket şu anda iki kutup arasında sıkışmış durumda:

• Modern bulut platformlarının rahatlığı
  - Dosyalar her yerde senkronize edildi
  - Saniyeler içinde video konferans
  - Entegre e-posta, takvim ve iletişim sistemleri
• Kontrol, gizlilik ve bağımsızlık arzusu
  - özellikle gizli veriler için
  - strateji̇k ti̇cari̇ sirlar
  - fi̇kri̇ mülki̇yet
  - Müşteri veya çalışan verileri

İsviçre'nin kararı olası bir yönü gösteriyor: teknolojiyi kullanabilirsiniz, ancak her eğilimi körü körüne takip etmek zorunda değilsiniz. Bazı yollar kullanışlıdır, ancak kullanışlılık her zaman güvenli değildir.

---

Günlük yaşamda dijitalleşmeye ilişkin güncel araştırma

---

HostEurope ile kendi bulut anım

İsviçre'deki bu gelişmeyi özellikle yakından takip ediyorum çünkü bir süre önce ben de kendimi çok benzer bir durumda bulmuştum. HostEurope'ta tüm e-posta sistemim değiştirilecekti - danışılmadan, sorgulanmadan. basitçe Microsoft 365'e geçirildi olur. Bu, iletişimimin aniden uluslararası bir bulutta, kontrol edemeyeceğim koşullar altında ve şüphe durumunda yabancı yetkililerin erişim sağlama riskiyle saklanacağı anlamına gelirdi.

Benim için bu, şunu söylediğim net bir noktaydı: Dur - bu şekilde değil. HostEurope'a karşı bilinçli olarak karar verdim çünkü verilerimin artık üzerinde gerçek bir kontrolüm olmayan bir sisteme taşınmasını istemiyordum. Bu an, hiç istemediğiniz yapılara ne kadar çabuk kapılabileceğinizi ve başkaları kendi verilerinizin kontrolünü ele geçirmeden önce ipleri kendinizin çekmesinin ne kadar önemli olduğunu bir kez daha fark etmemi sağladı.

Bu gelişme hepimiz için ne anlama geliyor?

Son yıllardaki gelişmelere ayık bir şekilde bakarsanız, dünyanın teknolojik bağımlılığa doğru son hızla ilerlediğini düşünebilirsiniz. Her şey merkezileştiriliyor, standartlaştırılıyor ve buluta taşınıyor - çoğu zaman uzun vadeli sonuçları gerçekten incelenmeden.

Ve şimdi Avrupa'nın merkezinde küçük bir ülke ortaya çıkıyor ve herkese farklı davranmanın mümkün olduğunu hatırlatıyor: düşünceli, saygılı, dikkatli - ve kişinin kendi sorumluluğunu net bir şekilde görerek. İsviçre'nin bu tutumu geriye doğru atılmış bir adım değildir. Dijitalleşmenin yoğun temposu içinde pek çok kişinin neredeyse unuttuğu eski soruya bir geri dönüştür:

„Bir şey olursa sorumlusu kim?“

Eğer cevap artık net değilse, o zaman bir şeyler yanlış demektir.

Bu her birey için ne anlama geliyor

Nihayetinde bu karar sadece kamu makamlarını ya da büyük şirketleri değil, veri üreten, depolayan ya da değiş tokuş eden herkesi etkilemektedir.

• Her dış kaynak kullanımının bir parça kontrole mal olduğunu anlamak için teknisyen olmanıza gerek yok.
• Hassas bilgilerin nerede saklandığını bilmenizin daha iyi olacağını anlamak için veri koruma uzmanı olmanıza gerek yok.
• Ve yabancı yasaların kendi verileriniz hakkında karar verebilmelerinin sorunlu olduğunu anlamak için avukat olmanıza gerek yok.

Sağduyu yeterlidir. İsviçre'nin yeniden ön plana çıkarmaya çalıştığı şey de tam olarak budur.

Bern'in kararı teknolojiye karşı bir düşmanlık çağrısı değil, kendi standartlarımıza bir çağrıdır. Bu, dijitalleşmenin kendimizi körü körüne en büyük sağlayıcılara teslim etmek anlamına gelmediğini hatırlatıyor - bu, kendimize ne kadar sorumluluk verdiğimizi sormak anlamına geliyor. Konu hakkında Bulut ve veri egemenliği Bu konuda daha önce de bir yazı yazmıştım.

Girişimciler, aşağıdakilerden yana Bulut olmadan ERP yazılımı bu ayrı makalede yararlı bilgiler bulacaksınız.

Bir bakıma İsviçre bize hepimizin uzun zamandır bildiği ama çoğu zaman bastırdığı bir şeyi gösteriyor: Egemenlik teknoloji ile başlamaz - tutum ile başlar. Karar verme şeklinizle. Olayları eleştirel bir gözle inceleme isteğiyle.

Ve gerekirse, eğer daha mantıklı ise, farklı bir yol izleme cesareti ile.

---

---

Sıkça sorulan sorular

1. İsviçre, Microsoft 365 gibi uluslararası bulut hizmetlerine karşı neden bu kadar katı bir tutum benimsedi?
   İsviçre net bir ilke izlemektedir: devlet verileri, yetkili makam dışında hiç kimsenin erişemeyeceği şekilde korunmalıdır. Uluslararası bulut sağlayıcıları, bakım nedenleriyle, yönetici hakları yoluyla veya kendi ülkelerinden gelen hükümet talepleri yoluyla olsun, acil bir durumda verilere erişilebilme olasılığını teknik ve yasal olarak asla tamamen ortadan kaldıramaz. Bu durum, idare, adalet, polis veya sağlık sistemlerinde işlenenler gibi özellikle hassas veriler için kabul edilemez bir risktir. Bu nedenle İsviçre veri koruma yetkilileri mantıklı bir sonuca varıyor ve otoritenin tek anahtar egemenliği altında gerçek bir uçtan uca şifreleme olmadığı sürece bulut kullanımını ciddi şekilde kısıtlıyor.
2. Bu karar tüm veriler için mi yoksa yalnızca belirli kategoriler için mi geçerlidir?
   Karar öncelikle sağlık verileri, sosyal dosyalar, soruşturma bilgileri ve yetkililerle yapılan dahili iletişimler dahil olmak üzere özellikle hassas veya gizliliğe tabi verileri hedeflemektedir. İsviçre, bu kategoriler için uluslararası SaaS platformlarının şu anda yerine getirmediği en yüksek güvenlik standartlarını talep etmektedir. Daha az hassas veriler, ancak dikkatli bir risk değerlendirmesinden sonra ve belirli koruyucu önlemlere uygun olarak dışarıdan temin edilebilir.
3. İsviçre'deki şirketler de etkileniyor mu?
   Karar resmi olarak yalnızca devlet kurumlarına yöneliktir. Ancak uygulamada, özellikle hastaneler, sigorta şirketleri, bankalar veya eğitim kurumları gibi hassas veya yasal olarak korunan verileri işleyen şirketler üzerinde de etkisi olacaktır. Kamu kurumlarının belirli hizmetleri kullanmasına artık izin verilmemesi halinde, özel kuruluşların aynı hizmetleri „tamamen sorunsuz“ olarak sınıflandırması daha zor olacaktır.
4. İsviçre perspektifinden Microsoft 365 ile ilgili en büyük teknik sorun nedir?
   Temel sorun, gerçek uçtan uca şifrelemenin olmamasıdır. Microsoft 365 arama, indeksleme, ekip sohbetleri, takvimler, anti-spam veya yapay zeka özellikleri gibi işlevleri etkinleştirmek için içeriğe erişim gerektirir. Bu da sunucuların ve yöneticilerin teknik olarak her zaman düz metni görebileceği anlamına geliyor. Microsoft bunu yapmadığını vurgulasa bile, bu olasılık hala mevcuttur ve İsviçre makamları için risk teşkil eden de tam olarak bu teorik olasılıktır.
5. ABD CLOUD Yasası kararda nasıl bir rol oynuyor?
   CLOUD Yasası, ABD şirketlerini Amerikan makamlarının talebi üzerine verileri teslim etmekle yükümlü kılıyor - bu veriler yurtdışında depolanıyor olsa bile. İsviçre için bu, Microsoft Avrupa veya İsviçre veri merkezlerini kullansa bile, verilerin Amerikan makamlarının erişimine açılması gerekebileceği anlamına geliyor. Bu olası erişim, İsviçre'nin egemenlik ve resmi gizlilik anlayışıyla çelişmektedir. Bu nedenle CLOUD Yasası ciddi bir karşı argüman olarak gösterilmektedir.
6. Anlaşmalar veya „AB veri sınırları“ İsviçre için neden yeterli değil?
   Sözleşmeler ve teknik koruma önlemleri değerli araçlardır, ancak yasal gerçekliği değiştirmezler. Eğer bir ABD şirketi verileri teslim etmekle yükümlü ise, bununla ilgili bir sözleşme yoktur. Buna ek olarak, büyük bulut sağlayıcıları hüküm ve koşullarını istedikleri zaman değiştirebilirler. Bu nedenle İsviçreli veri koruma uzmanları, yasal kesinliğin vaatlerden değil, veriler üzerindeki gerçek kontrolden kaynaklandığını ve bu kontrolün SaaS bulutlarında tam olarak sağlanmadığını söylüyor.
7. Karar yetkililer için somut olarak ne anlama geliyor?
   Gelecekte, yetkililer hassas verileri bir bulut sağlayıcısının erişebileceği şekilde dış kaynak olarak kullanmadıklarını kanıtlamak zorunda kalacaklar. Pratik anlamda bu, Microsoft 365 ve diğer uluslararası SaaS platformlarının artık bu tür veriler için kullanılamayacağı anlamına gelmektedir. Yetkililer ya yerel çözümlere güvenmeli, ya İsviçreli sağlayıcılara geçmeli ya da sağlayıcının hiçbir şekilde erişemediği kendi şifreleme mekanizmalarını kullanmalıdır.
8. Yetkililer kendi şifrelemelerini kullanırlarsa bulut hizmetlerini kullanmaya devam edebilirler mi?
   Evet - ancak yalnızca yetkili makam anahtarlar üzerinde tam kontrole sahipse ve sağlayıcı teknik olarak hariç tutulursa. Sorun: içerik işlenmeden önce şifrelenirse birçok bulut hizmeti artık hiç çalışmaz. Bu nedenle Microsoft 365 pratikte yalnızca saf bir veri depolama çözümü olarak kullanılabilir - işbirliği araçları, e-posta sistemi, takvim, Teams veya otomatik Office işlevleri olmadan.
9. İsviçre'nin pozisyonu AB'nin mevcut çizgisinden ne kadar farklı?
   AB, anlaşmalar, denetimler ve sözleşme garantileri yoluyla Microsoft 365 kullanımını veri koruma yönetmelikleriyle uyumlu hale getirmeye çalışmaktadır. Amaç, bulutun avantajlarını temelden sorgulamadan kullanmaktır. İsviçre ise ihtiyatlılık ilkesine odaklanıyor ve net bir çizgi çiziyor: veriler üzerinde tam kontrol olmadan kullanıma izin verilmiyor. Bu da Avrupa pragmatizmi ile İsviçre tutarlılığı arasında bir zıtlık yaratmaktadır.
10. Alman makamları bu gelişmeye nasıl tepki veriyor?
    Birçok Alman devlet veri koruma kuruluşu İsviçre'nin kararını yakından takip ediyor. Bazıları Microsoft 365'i zaten eleştiriyordu - örneğin izleme mekanizmalarının ve belirsiz veri akışlarının eleştirildiği okullarda. İsviçre'nin kararı bir argüman güçlendirici olarak hizmet edebilir: Yüksek standartlara sahip bir ülke kullanımı kısıtlarsa, Alman yetkililerin iyi bir şekilde gerekçelendirmeden daha liberal bir çizgi izlemesi daha zor olacaktır.
11. Şeffaflık taşeronlar için neden bu kadar önemli bir rol oynuyor?
    Büyük bulut sağlayıcıları destek, bakım ve teknik hizmetler için küresel ortak ve taşeron ağları kullanmaktadır. Bir kamu otoritesinin hangi şirketlerin ne zaman erişime sahip olabileceğini anlaması neredeyse imkansızdır. İşte tam da bu şeffaflık eksikliği, risklerin doğru bir şekilde değerlendirilmesini imkansız hale getirmektedir. İsviçre bunu temel bir sorun olarak görmektedir: bir kamu otoritesinin verilerine kimin erişebileceğini bilmesi gerekir ve bu, karmaşık bulut yapılarında neredeyse imkansızdır.
12. Bu karar Avrupa'daki dijital egemenlik tartışmalarını nasıl etkiliyor?
    İsviçre'nin tutumu bir katalizör görevi görüyor. Birçok AB ülkesi yıllardır dijital egemenlikten bahsediyor, ancak genellikle aynı küresel sağlayıcılara güveniyor. İsviçre şimdi bir devletin de tutarlı bir şekilde farklı davranabileceğini gösteriyor. Bu karar Avrupa'daki tartışmaları yeniden alevlendirecektir - özellikle de katı bir çizginin özellikle mantıklı görünebileceği adalet, yönetim ve sağlık verileri alanlarında.
13. Şirketler bu gelişmeden ne öğrenebilir?
    Şirketler, verilerin dışarıya aktarılmasının her zaman kontrol kaybı anlamına geldiğinin farkında olmalıdır. İsviçre kararı, hangi verilerin nereye aktarıldığının dikkatle incelenmesinin önemli olduğunu hatırlatmaktadır. Şirketler, bulut ilk bakışta daha uygun görünse bile, bazı kritik alanların yerel olarak mı yoksa egemen altyapılarda mı bırakılmasının daha iyi olacağını düşünmelidir.
14. İsviçre'nin kararı geçmişe doğru atılmış bir geri adım mı?
    Hayır - bu daha ziyade dijitalleşmede bazen kaybolan temel ilkelere bir geri dönüştür: Sorumluluk, kontrol, izlenebilirlik. İsviçre modern teknolojileri kullanıyor, ancak bu süreçte en hassas verileri üzerindeki egemenliğini kaybetmeyi kabul etmiyor. Bu tutum eski moda gibi görünse de aslında geleceğe yöneliktir.
15. Yetkililer veya şirketler bulut hizmetlerinden kaçınmak istiyorlarsa ne gibi alternatiflere sahipler?
    Birkaç seçenek vardır: yerel sunucular, sıkı veri egemenliğine sahip İsviçre veya Avrupa sağlayıcıları, kendi şifrelemelerine sahip hibrit modeller veya tamamen kendi kendine çalışan altyapı. Bu seçenekler „Microsoft 365“e Abone Ol" seçeneğine tıklamak kadar kullanışlı değildir, ancak kontrolü güçlendirir ve birçok hassas uygulama için tamamen yeterlidir.
16. Sizin HostEurope olayınız bu bağlamda nasıl bir rol oynuyor?
    Bu olay, istemediğiniz yapılara ne kadar çabuk kapılabileceğinizi gösteren tipik bir örnektir. Bir sağlayıcı size danışmadan e-postalarınızı Microsoft 365'e taşımak isterse, aynı anda egemenliğinizin bir kısmını kaybedersiniz - ve tamamen size sorulmadan. Hemen vazgeçme kararınız, sonuçta İsviçre'nin şimdi resmi olarak attığı adımla aynı yönde atılmış bir adımdı: Kolaylık yerine kontrol. İşte tam da bu nedenle, bu hikaye İsviçre'nin tutumunun pratikteki geçerliliğine iyi bir örnek teşkil ediyor.
17. Tüm bunlar kamu sektöründe çalışmayan özel kişiler için ne anlama geliyor?
    Özel kişiler de verilerinin nerede depolandığı konusunda daha bilinçli olmalıdır. Günümüzde pek çok kişi, bu şirketlerin dijital yaşamlarının ne kadarını görebileceğini düşünmeden otomatik olarak uluslararası platformları kullanıyor. İsviçre'nin kararı, kendi verilerinizi önemsiz bir mesele olarak görmemeniz gerektiğini hatırlatıyor; çünkü güvenlik her zaman kime güveneceğinize dair kişisel kararınızla başlar.
18. Önümüzdeki birkaç yıl içinde durum nasıl gelişebilir?
    İsviçre'nin bu kararla daha sonra AB'de de ele alınacak bir trend oluşturması oldukça olasıdır. Egemenlikle ilgili tartışma zayıflamak yerine güçleniyor. Devletler ve şirketler bulutun bir doğa kanunu değil, bir seçim olduğunu giderek daha fazla fark edecekler. Ve her seçim gibi bu da yeniden gözden geçirilebilir - özellikle de riskler bir noktada kolaylıktan daha büyük görünüyorsa.

---

---