Microsoft proširuje Sovereign Cloud i donosi veću kontrolu nad podacima i umjetnom inteligencijom

Microsoft nastavlja proširivati mogućnosti digitalnog suvereniteta putem platforme Microsoft Sovereign Cloud, koja povezuje usluge u javnom oblaku, privatnu infrastrukturu kojom upravljaju korisnici i tehnološka okruženja partnera. Nova rješenja namijenjena su organizacijama koje obrađuju osjetljive podatke, upravljaju ključnim informacijskim sustavima i posluju pod strogim regulatornim zahtjevima. Među njima su državna tijela, banke, zdravstvene ustanove, energetske kompanije i drugi operatori kritične infrastrukture.

Raširenija primjena oblaka i umjetne inteligencije nameće pitanja koja nadilaze fizičku lokaciju pohranjenih podataka. Organizacije moraju znati tko može pristupiti sustavima, tko nadzire temeljnu infrastrukturu, kako su zaštićena osjetljiva digitalna sredstva i koliko poslovanje ovisi o pojedinom dobavljaču. Važno je i mogu li ključne usluge nastaviti raditi tijekom regulatornih ili geopolitičkih promjena, sigurnosnih incidenata i prekida mrežnih veza.

Microsoft je platformu Sovereign Cloud predstavio prošle godine kako bi korisnicima omogućio više izbora u upravljanju podacima i infrastrukturom. Razvoj je obuhvatio usluge javnog oblaka, sustave kojima izravno upravljaju korisnici i partnerska rješenja prilagođena lokalnim tržištima. Novo proširenje donosi dodatne tehničke i operativne kontrole, veću preglednost pristupa sustavima te mogućnost lokalnog izvođenja aplikacija i opterećenja povezanih s umjetnom inteligencijom.

Douglas Phillips, predsjednik i glavni tehnološki direktor Microsoft Specialized Cloudsa, naglašava da je digitalni suverenitet sve više povezan sa sposobnošću organizacija da usvajaju napredne tehnologije bez gubitka kontrole nad najvažnijim sustavima. Takva je ravnoteža posebno važna javnim institucijama, operatorima kritične infrastrukture i reguliranim sektorima.

Različiti infrastrukturni modeli za različite sustave

Microsoft Sovereign Cloud temelji se na načelu da se odgovarajuća razina kontrole određuje za svaku aplikaciju i pojedino radno opterećenje, ovisno o osjetljivosti podataka, operativnim zahtjevima, tehnološkim ovisnostima i potrebi za neprekinutim poslovanjem.

Takav pristup dopušta kombiniranje različitih infrastrukturnih okruženja bez nametanja jedinstvenog modela svim aplikacijama. Digitalna usluga dostupna građanima može koristiti skalabilnost i stalni razvoj javnog oblaka, dok sustav koji podržava ključne operacije možda mora raditi lokalno i ostati dostupan bez internetske veze.

Za sustave umjetne inteligencije koji obrađuju posebno osjetljive informacije zahtjevi mogu uključivati potpuno zadržavanje modela, podataka i računalne obrade unutar infrastrukture koju korisnik izravno kontrolira.

Microsoft je ponudu stoga organizirao u tri povezane sastavnice: Sovereign Public Cloud, Sovereign Private Cloud i Sovereign Partner Ecosystem.

Sovereign Public Cloud namijenjen je organizacijama koje žele koristiti infrastrukturu i usluge Azurea uz dodatnu kontrolu nad podacima, pristupom i usklađenošću s regionalnim pravilima. Sovereign Private Cloud proširuje funkcionalnosti oblaka na korisničku infrastrukturu, uključujući okruženja koja mogu raditi povezana s mrežom ili bez nje.

Treća sastavnica, Sovereign Partner Ecosystem, obuhvaća neovisno upravljanu infrastrukturu, specijalizirane tehnološke dobavljače i lokalne partnere upoznate s nacionalnim regulatornim i sektorskim zahtjevima.

Organizacije mogu istodobno koristiti sva tri modela, određujući stupanj nadzora i operativne neovisnosti prema važnosti pojedinih sustava. Pritom je moguće uskladiti pravila upravljanja i nadzora u različitim dijelovima IT infrastrukture.

Veća preglednost pristupa javnom oblaku

U okviru Sovereign Public Clouda Microsoft uvodi dodatne mogućnosti praćenja usklađenosti s pravilima digitalnog suvereniteta, uključujući lokaciju podataka, povjerljivost, pristup operatora infrastrukturi, provedbu sigurnosnih pravila i kontinuitet poslovanja.

Jedna od novosti je Sovereign Control Panel, čija će javna pretpregledna verzija biti predstavljena na konferenciji Microsoft Ignite. Alat unutar portala Azure pruža jedinstveno mjesto za pregled i upravljanje kontrolama digitalnog suvereniteta.

Korisnici mogu pregledati postojeće mjere zaštite, prepoznati nedostatke i rizike te poduzeti korektivne radnje. Uz sigurnost i regulatornu usklađenost, sustav podržava planiranje kontinuiteta poslovanja analizom ovisnosti među aplikacijama i procjenom mogućnosti premještanja radnih opterećenja između različitih okruženja.

Pri procjeni kontinuiteta poslovanja organizacije mogu provjeriti ne samo položaj podataka nego i međuovisnosti aplikacija te mogućnost njihova premještanja u drugo infrastrukturno okruženje. Takva provjera posebno je važna za sustave kojima dostupnost pojedine usluge javnog oblaka nije dovoljna ako ovise o drugim, udaljenim upravljačkim funkcijama.

Kontrola pristupa dodatno se oslanja na postojeće mehanizme Just-in-time Access i Customer Lockbox, koji korisnicima omogućuju upravljanje pristupom njihovim okruženjima, osobito kada je nužna intervencija Microsoftova tehničkog osoblja.

Za korisnike u Europskoj uniji i državama Europskog udruženja slobodne trgovine (EFTA) Microsoft postupno uvodi Data Guardian. Ta funkcionalnost omogućuje nadzor pouzdanog partnera sa sjedištem u EU nad određenim udaljenim pristupima Microsoftovih inženjera produkcijskim sustavima obuhvaćenima programom.

Uvodi se i Production Touch Ledger, sustav koji bilježi pristupe produkcijskoj infrastrukturi i radnje provedene tijekom tih sesija. Zapisi su zamišljeni tako da omogućuju otkrivanje neovlaštenih izmjena i korisnicima daju dodatni način naknadne provjere aktivnosti.

Obje su mogućnosti relevantne za organizacije koje trebaju dokazati regulatornu usklađenost, nadzirati privilegirani pristup infrastrukturi i dokumentirati rad vanjskih tehnoloških pružatelja usluga.

Kriptografski ključevi mogu ostati izvan Microsoftove infrastrukture

Važno područje razvoja jest upravljanje kriptografskim ključevima i zaštita osjetljivih podataka. Azure Key Vault Managed Hardware Security Module (HSM) već pruža zaštitu ključeva korištenjem namjenskih hardverskih sigurnosnih modula dodijeljenih jednom korisniku.

Microsoft sada proširuje taj pristup vanjskim upravljanjem ključevima unutar usluge Azure Managed HSM, koja je postala opće dostupna.

Organizacije mogu zadržati svoje korijenske kriptografske ključeve na hardveru kojim same raspolažu i upravljaju, u vlastitim prostorima ili kod pouzdane treće strane. Tako fizička kontrola ključnog dijela kriptografske infrastrukture ostaje odvojena od Microsoftovih podatkovnih centara.

Takva je mogućnost važna sustavima u kojima interna sigurnosna pravila ili propisi zahtijevaju izravan nadzor organizacije nad ključevima kojima se štite osjetljivi podaci.

Microsoft također širi mogućnosti povjerljivog računalstva, koje štiti podatke i tijekom obrade u hardverski zaštićenim, provjerljivim pouzdanim izvršnim okruženjima.

Azure Confidential Clean Rooms trenutačno je dostupan u ograničenoj pretpreglednoj verziji. Odobrenim sudionicima iz više organizacija omogućuje zajedničku analizu osjetljivih skupova podataka uz ograničavanje izloženosti samih izvornih informacija.

Takav se pristup može koristiti kada više organizacija želi zajednički analizirati podatke, ali drugim sudionicima ne želi ili ne smije omogućiti širi pristup vlastitim izvornim bazama.

Kombiniranjem nadzora nad ključevima, zaštićenih izvršnih okruženja i evidencije pristupa Microsoft želi osigurati dodatne tehničke mehanizme za strategije digitalnog suvereniteta prilagođene poslovnim, sigurnosnim i pravnim zahtjevima.

Kritični sustavi moraju raditi i bez interneta

Digitalni suverenitet sve se snažnije povezuje s operativnom otpornošću, posebno u infrastrukturi koja mora nastaviti raditi tijekom sigurnosnih incidenata, prekida mreže ili geopolitičkih poremećaja.

Microsoft stoga razvija nove smjernice i arhitekturne obrasce za kontinuitet poslovanja u suverenim infrastrukturnim okruženjima. Njihova je namjena pomoći organizacijama da zahtjeve otpornosti pretvore u tehnička rješenja koja se mogu unaprijed planirati, uvesti i ispitati.

Za brojne aplikacije javni oblak osigurava otpornost geografski raspoređenim podatkovnim centrima i mogućnošću pokretanja sustava na više lokacija. No za pojedine ključne poslovne procese sama ovisnost o mrežnoj povezanosti može predstavljati neprihvatljiv rizik.

Sovereign Private Cloud zato podržava rad uz mrežnu vezu i bez nje. Mogućnost prijelaza radnih opterećenja iz povezanih u nepovezana okruženja ulazi u javnu pretpreglednu fazu.

Time organizacije dobivaju dodatnu fleksibilnost u održavanju ključnih usluga kada se promijene uvjeti povezivosti ili operativni zahtjevi.

Funkcionalnost je posebno relevantna državnim sustavima, industrijskim pogonima, energetskoj infrastrukturi i drugim organizacijama kojima je potrebna visoka operativna neovisnost. Lokalni rad ipak ne uklanja potrebu za razrađenim postupcima oporavka, upravljanjem podacima i redovitim provjerama kontinuiteta poslovanja.

Azure Local proširuje lokalno upravljanje aplikacijama

Veća operativna neovisnost ne odnosi se samo na infrastrukturu na kojoj aplikacije rade. Organizacijama su potrebne i lokalno dostupne baze podataka, razvojni alati, AI modeli i sustavi produktivnosti o kojima aplikacije ovise.

Microsoft Sovereign Private Cloud temelji se na platformi Azure Local, koja mogućnosti Microsoftova oblaka prenosi na infrastrukturu kojom izravno upravljaju i koju kontroliraju korisnici.

SQL Server na platformi Azure Local već je opće dostupan za povezane i nepovezane instalacije. DocumentDB i Blob Storage na Azure Localu ulaze u javnu pretpreglednu fazu te proširuju izbor tehnologija za lokalnu pohranu i upravljanje poslovno važnim podacima.

Organizacije tako mogu veći dio podatkovne infrastrukture zadržati unutar vlastitog operativnog okruženja, umjesto da se pojedine sastavnice aplikacija moraju oslanjati na udaljene usluge javnog oblaka.

Promjene obuhvaćaju i razvoj softvera. GitHub Enterprise Local postat će opće dostupan na Microsoft Igniteu kao validirani uređajski paket GitHub Enterprise Servera namijenjen platformi Azure Local.

Time će organizacije moći zadržati repozitorije izvornog koda, razvojne artefakte i povezane informacije unutar infrastrukture kojom lokalno upravljaju.

Za razvojne timove lokalno upravljanje ne obuhvaća samo mjesto pohrane izvornog koda. Važno je i gdje se obrađuju podaci koje alati za razvoj koriste, uključujući sadržaj repozitorija i informacije povezane s radom programera. Povezivanje GitHub Enterprise Locala s lokalno pokrenutim modelima omogućuje da i taj dio razvojnog procesa ostane u korisničkom okruženju.

Programeri će moći koristiti GitHub Copilot uz lokalno smještene modele koji izvode zaključivanje, tako da prijedlozi i odgovori umjetne inteligencije nastaju u korisnikovu vlastitom okruženju.

Takav model približava AI potpomognut razvoj izvornom kodu i podacima te smanjuje potrebu da se razvojni procesi u cijelosti oslanjaju na vanjsku infrastrukturu.

AI modeli i agenti sele se bliže lokalnoj infrastrukturi

Microsoft proširuje i mogućnosti lokalne umjetne inteligencije kroz Foundry Local.

Na konferenciji Microsoft Ignite očekuje se opća dostupnost Foundry Locala za povezani i nepovezani rad na Azure Localu. Katalog podržanih modela proširit će se na Microsoftove modele, modele partnera, modele s javno dostupnim težinama i modele otvorenog koda.

Organizacije će tako dobiti veći izbor modela i načina njihove primjene u skladu sa sigurnosnim, regulatornim, izvedbenim i poslovnim zahtjevima.

Posebna se pozornost posvećuje lokalnom izvođenju modela i agentskom dohvaćanju informacija. Takvi sustavi omogućuju korisnicima da postavljaju pitanja o internim poslovnim podacima prirodnim jezikom i dobivaju odgovore utemeljene na informacijama dostupnima u lokalnom okruženju organizacije.

Time se omogućuju generativna umjetna inteligencija i funkcije AI agenata bez nužnog prijenosa osjetljivih poslovnih podataka na udaljenu računalnu infrastrukturu.

Integracija s Microsoft 365 Localom, dostupna u pretpreglednoj verziji odobrenim korisnicima, proširuje funkcionalnosti na lokalno pokrenute poslužitelje SharePoint i Exchange.

Organizacije tako mogu povezati lokalno instalirane AI modele s poslovnim dokumentima, komunikacijskim sustavima i drugim internim sadržajem, uz zadržavanje kontrole nad infrastrukturom koja te informacije obrađuje.

Ovaj razvoj otvara dodatne mogućnosti primjene umjetne inteligencije u djelatnostima u kojima regulatorni ili sigurnosni zahtjevi ograničavaju korištenje vanjskih usluga. Stvarna razina nadzora i zaštite ipak će ovisiti o arhitekturi uvođenja, izboru modela i pravilima upravljanja podacima.

Povjerljivi virtualni strojevi i dodatna hardverska zaštita

Uz lokalne AI i podatkovne usluge Microsoft je omogućio opću dostupnost povjerljivih virtualnih strojeva na platformi Azure Local.

Povjerljivo računalstvo time se proširuje na infrastrukturu kojom izravno upravljaju korisnici. Zaštita se temelji na hardverskom šifriranju memorije i hardverskoj izolaciji, čime se smanjuje izloženost osjetljivih podataka tijekom obrade.

Dodatnu provjeru pruža atestacija radnog opterećenja, postupak kojim se potvrđuju integritet i sigurnosno stanje izvršnog okruženja prije odobravanja pristupa osjetljivim podacima ili kriptografskim ključevima.

Ovi su mehanizmi važni reguliranim i sigurnosno osjetljivim aplikacijama u kojima podaci moraju biti zaštićeni ne samo pri pohrani i prijenosu nego i tijekom obrade.

Azure Local dobiva i podršku za višekorisničko odvajanje okruženja, odnosno multitenancy. Organizacije će moći razdvajati računalne resurse, pravila upravljanja i administrativne funkcije između različitih korisničkih okruženja uz dijeljenje iste fizičke infrastrukture.

Višekorisnička arhitektura pritom ne znači da svaka organizacija mora održavati zasebnu fizičku platformu. Na istoj infrastrukturi mogu se odvojiti računalni resursi, administrativne ovlasti i sigurnosna pravila za više poslovnih jedinica ili korisnika. Upravo je ta razlika važna pružateljima usluga koji žele ponuditi lokalno upravljana okruženja, a istodobno dijeliti infrastrukturne kapacitete.

Ta je mogućnost važna velikim kompanijama s više poslovnih jedinica, organizacijama koje zahtijevaju odvojene sigurnosne domene te pružateljima infrastrukturnih i komunikacijskih usluga.

Lokalni operatori i pružatelji usluga moći će na zajedničkoj infrastrukturi Azure Local razvijati odvojena okruženja suverenog oblaka za različite korisnike, s posebnim pravilima upravljanja i sigurnosnim kontrolama.

Time lokalna infrastruktura postupno može obuhvatiti gotovo cijeli životni ciklus aplikacija, od pohrane podataka, razvoja softvera i umjetne inteligencije do alata produktivnosti i svakodnevnog poslovanja.

Nacionalni oblaci i lokalni partneri u modelu suvereniteta

Uz vlastitu infrastrukturu i softver Microsoft širi Sovereign Partner Ecosystem, koji okuplja nacionalne pružatelje usluga u oblaku, softverske kompanije, proizvođače infrastrukture i specijalizirane integratore.

Takav pristup odražava razlike između nacionalnih i sektorskih pravila. Nekim organizacijama nije dovoljno da se podaci fizički nalaze u određenoj državi, nego traže i posebne vlasničke strukture, modele upravljanja infrastrukturom te kontrolu nad administrativnim postupcima.

Nacionalni partnerski oblaci, među kojima je Bleu u Francuskoj, primjer su neovisno upravljanih okruženja namijenjenih korisnicima s posebnim zahtjevima vlasništva i operativnog nadzora.

Microsoftovi softverski partneri nadograđuju Azure Local rješenjima za kibernetičku sigurnost, upravljanje identitetima, nadzor sustava, sigurnosne kopije i oporavak, migraciju, upravljanje podacima, mreže i aplikacije.

Partneri specijalizirani za digitalni suverenitet povezuju Microsoftove tehnologije s poznavanjem lokalnih propisa i iskustvom u uvođenju. Drugi sudjeluju u razvoju infrastrukture, od podatkovnih centara do rubnih računalnih sustava.

Partnerski ekosustav uključuje kompanije Accenture, AMD, Armada, Avanade, base-it, Bleu, Cirrus Data, CloudCasa by Catalogic, Cronos Groep, cTelecoms, DataON, Delos Cloud, Dell Technologies, F5, Felo, Fortinet, HPE, Inspark, Intel, Mattermost, Mistral, NVIDIA, Qualidev, Qumulo, RiverMeadow, Rubrik, Supermicro, Tata Consultancy Services i Veeam.

Uključivanjem infrastrukturnih, sigurnosnih i softverskih dobavljača Microsoft omogućuje korisnicima kombiniranje svojih tehnologija s proizvodima i uslugama drugih kompanija.

Nacionalnim i regionalnim pružateljima usluga u oblaku takav model otvara mogućnost razvoja specijaliziranih ponuda za javni sektor, regulirane djelatnosti i korisnike koji traže lokalno upravljanu infrastrukturu.

Takvi aranžmani ipak ne donose automatski potpunu tehnološku neovisnost. Ona ovisi o vlasništvu infrastrukture, licencijskim odnosima, tehničkoj podršci, arhitekturi aplikacija i mogućnosti migracije na druge platforme.

Korisnici takvih partnerskih rješenja zato trebaju razlikovati lokalno upravljanje sustavom od mogućnosti da ga bez većih prepreka premjeste drugom dobavljaču. Za tu su procjenu bitni licencijski uvjeti, dostupnost tehničke podrške i način na koji su pojedine aplikacije povezane s Microsoftovim tehnologijama. Samo fizički smještaj infrastrukture u određenoj državi ne daje odgovor na ta pitanja.

Digitalni suverenitet postaje ključno pitanje razvoja umjetne inteligencije

Širenje umjetne inteligencije donosi nove izazove nadzora nad digitalnom infrastrukturom. AI modeli i agenti sve češće pristupaju osjetljivim informacijama, sudjeluju u poslovnim postupcima i povezuju se s informacijskim sustavima koji obavljaju važne organizacijske funkcije.

Za razliku od tradicionalnih aplikacija, agenti umjetne inteligencije mogu izvršavati složenije zadatke, koristiti više izvora podataka i poduzimati radnje u informacijskim sustavima. Sigurnost zato obuhvaća i određivanje dopuštenih aktivnosti, praćenje pristupa te mogućnost ograničavanja ili zaustavljanja rada pojedinih agenata.

Organizacije moraju jasno određivati gdje AI sustavi rade, tko njima upravlja, koje dozvole dobivaju i kako će se kontinuitet poslovanja održati kada se operativne okolnosti promijene.

Microsoft stoga naglašava kombiniranje usluga u javnom oblaku, lokalno upravljane infrastrukture i partnerskih okruženja. Korisnici mogu odrediti različite razine kontrole za pojedine sustave prema njihovoj važnosti i sigurnosnim zahtjevima, umjesto primjene jedinstvenog infrastrukturnog modela na sve aplikacije.

Lokalno pokretanje AI modela, kontrola kriptografskih ključeva, nadzor administrativnog pristupa i mogućnost rada bez veze s vanjskim podatkovnim centrima postaju sve važnije sastavnice takvog pristupa.

Proširenje Microsoft Sovereign Clouda pokazuje pomak tržišta reguliranih usluga u oblaku s pitanja fizičke lokacije podataka na širu kontrolu nad infrastrukturom, operativnim postupcima, softverskim ovisnostima i umjetnom inteligencijom.

Za organizacije koje upravljaju kritičnim sustavima važno je razlikovati suverenitet podataka, operativnu neovisnost i potpunu tehnološku autonomiju. Lokalna obrada i infrastruktura pod vlastitom kontrolom mogu povećati nadzor, ali ne uklanjaju automatski ovisnost o softverskim dobavljačima, vlasničkim tehnologijama ili ugovorima o podršci.

Sposobnost procjene tih ovisnosti, uvođenja odgovarajućih kontrola i održavanja ključnih operacija tijekom poremećaja sve će više određivati izbor infrastrukture za podatke, aplikacije i AI sustave u javnom i privatnom sektoru.

Digitalni suverenitet ne može se svesti samo na smještaj poslužitelja unutar granica Europske unije. Važnu ulogu imaju pristup administratorskim računima i mogućnost neovisnog upravljanja kriptografskim ključevima. U reguliranim djelatnostima treba voditi računa i o ugovornim obvezama prema dobavljačima informacijskih usluga. U Europskoj uniji uredba DORA postavlja zahtjeve digitalne operativne otpornosti za financijski sektor. Među njezinim područjima nalaze se upravljanje ICT rizicima, prijavljivanje incidenata i nadzor rizika povezanih s vanjskim pružateljima usluga.

Uredba NIS2 zasebno uređuje kibernetičku sigurnost obuhvaćenih ključnih i važnih subjekata. Lokalna obrada umjetne inteligencije može smanjiti izlaganje određenih podataka vanjskim uslugama. Ipak, lokalni model i dalje zahtijeva ažuriranje, provjeru prava pristupa i zaštitu od neovlaštenog korištenja. Rad bez internetske veze dodatno nameće potrebu za planiranjem sinkronizacije i naknadnog usklađivanja podataka. Ugovorna mogućnost promjene dobavljača važna je jednako kao i tehnička mogućnost izvoza podataka. Zato procjena suvereniteta mora obuhvatiti infrastrukturu, softverske licence, sigurnosne procese i plan izlaska iz pojedine platforme.