Denne klumme er et debatindlæg og er alene udtryk for forfatterens synspunkter.
Den hurtigste måde at finde ud af, hvor du står med en cloud-udbyder, er at bede om noget på skrift.
Stil tre spørgsmål og kræv skriftlige svar:
- Hvilken juridisk enhed ejer og driver tjenesten?
- Hvem kontrollerer krypteringsnøglerne?
- Kan opsætningen flyttes, hvis du skifter udbyder?
En sælger svarer gerne mundtligt på alt.
Det er, når svaret skal stå på skrift, at den reelle forskel mellem mulighederne på markedet træder frem.
Europæisk som udgangspunkt for det nye
Udgangspunktet er europæisk cloud eller on-prem for alle nye systemer og applikationer.
Ikke fordi alt eksisterende skal ud med det samme, men fordi det er her, organisationen styrer, hvad den bygger, og dermed hvordan dens infrastruktur ser ud om tre år.
Medmindre der foreligger et dokumenteret teknisk krav, en europæisk udbyder ikke kan opfylde, er udgangspunktet europæisk.
Det er undtagelserne, der skal begrundes, ikke hovedreglen. Det kræver ingen migration, kun en beslutning og en instruks om at bygge europæisk fremover.
Over to til tre år skifter infrastrukturprofilen mærkbart, uden en eneste tvungen flytning af eksisterende systemer.
Europæiske udbydere er kun underlagt europæisk ret
T Cloud, OVHcloud, Scaleway og tilsvarende europæiske udbydere er udelukkende underlagt europæisk ret.
Der er ingen amerikansk modervirksomhed, ingen forpligtelse under CLOUD Act, ingen juridisk eksponering mod ikke-europæiske myndigheder indlejret i strukturen.
Det er ikke markedsføring, men en strukturel egenskab ved den juridiske enhed, der driver tjenesten.
På infrastrukturlaget er ydelserne konkurrencedygtige for de fleste standard-systemer: virtuelle maskiner, objektlagring, databaser.
Priserne er i mange tilfælde lavere end de tilsvarende hyperscaler-tjenester.
For de systemer, der håndterer de mest kritiske data, og hvis tekniske krav kan opfyldes europæisk, er det den anbefalede vej.
Begrænsningerne skal ikke undervurderes. Det globale netværk, de proprietære AI- og maskinlæringstjenester og det brede katalog af administrerede tjenester er ikke tilgængeligt i samme omfang.
For komplekse, globale produktionsopsætninger med afhængigheder af specialiserede tjenester kan prisen være høj. Det er en del af regnestykket, men kun den ene side af det.
Det eksisterende kræver en plan
For systemer, der allerede kører hos hyperscalerne, er billedet et andet.
AWS, Microsoft og Google har alle lanceret EU-lokaliserede produkter (EU Data Boundary, Sovereign Controls, europæiske GovCloud-regioner), der forbedrer dataplaceringen og i visse tilfælde aktiverer kundekontrollerede krypteringsnøgler.
Det er fremskridt på ét punkt, nemlig hvor data fysisk ligger, men ikke på det juridiske: udbyderen er fortsat en amerikansk virksomhed underlagt amerikansk ret, og Cloud Act gælder uændret.
Gorrissen Federspiel konkluderer i sin juridiske gennemgang, at hyperscalernes standardvilkår sjældent er tilstrækkelige til at sikre overholdelse af GDPR, NIS2 og Dora.
Det er en juridisk vurdering af vilkår, ikke en nedvurdering af teknikken, som er i verdensklasse.
For eksisterende systemer er spørgsmålet ikke “er det her perfekt”, men “hvad er planen."
Et system hos en hyperscaler med kontraktudløb om tolv måneder er en kandidat til vurdering.
Et system, der er dybt integreret med proprietære administrerede tjenester, er en opgave, der kræver planlægning.
Kortlæg, prioritér efter datakritikalitet og kontraktudløb, og lav en realistisk plan.
Portabilitet er kravet, ikke en bonus
Den vigtigste egenskab ved en cloud-opsætning er ikke, hvilken udbyder du er på i dag.
Det er, om du kan skifte.
Dora, der trådte i kraft i januar 2025, kræver, at finansielle virksomheder sikrer exit-muligheder, der er uafhængige af leverandørens goodwill.
Det formaliserer, hvad der burde have været udgangspunktet i ethvert kontraktforhold.
En opsætning beskrevet i OpenTofu (en open source-platform til infrastrukturudrulning), der bruger åbne standardgrænseflader, kan i princippet køres mod en anden udbyder.
En opsætning bygget tæt op ad proprietære administrerede tjenester, og det er, hvad mange organisationer ubevidst bygger over tid, kan ikke.
Portabilitet er ikke gratis. Men prisen for ikke at have den betales ved kontraktbordet, og igen når udbyderen hæver priser, ændrer vilkår eller bliver opkøbt.
Bemærk også, at koden, der beskriver din infrastruktur, selv er en del af forsyningskæden: Europæisk cloud kræver europæisk versionsstyring og byggeinfrastruktur for at løftet holder hele vejen.
De tre spørgsmål er forhandlingsgrundlaget
Uanset hvilken udbyder det drejer sig om, europæisk eller hyperscaler, ny eller eksisterende kontrakt, er de tre spørgsmål fra begyndelsen ikke bare evalueringskriterier.
De er forhandlingsgrundlaget. Hvilken juridisk enhed ejer og driver tjenesten? Hvem kontrollerer krypteringsnøglerne? Kan opsætningen flyttes?
En udbyder, der ikke kan svare klart og skriftligt, har allerede sagt noget vigtigt. En udbyder, der kan, giver dig et fundament at indgå kontrakten på.
For nye systemer er udgangspunktet nu klart: europæisk, medmindre der foreligger en dokumenteret grund til det modsatte.
Læs også de andre klummer i serien:
Klummer er læsernes platform på Computerworld til at fortælle de bedste historier, og samtidig er det vores meget populære og meget læste forum for videndeling.
Har du en god historie, eller har du specialviden, som du synes trænger til at blive delt?
Læs vores klumme-guidelines og send os din tekst, så kontakter vi dig - måske bliver du en del af vores hurtigt voksende korps af klummeskribenter.
