O que é GAIA-X e por que AWS, Google e Azure estão envolvidos?

Fotos do Shutterstock / Fractal

GAIA-X é uma iniciativa europeia destinada a fornecer um ecossistema unificado de serviços em nuvem e centros de dados regidos pelas leis de dados da UE. Então, por que as empresas americanas de nuvem estão correndo para se inscrever?

Soberania dos dados

A soberania dos dados é um grande problema. É o conceito de que os dados — especialmente as informações de identificação pessoal (PII) — são regidos pelas leis de proteção de dados e práticas gerais do país em que são processados. mesmo o armazenamento inerte geralmente conta como processamento de acordo com a legislação de proteção de dados. As coisas ficam mais complicadas quando os dados são processados ​​em outro país.

A postura usual é que o país para o qual os dados são enviados para processamento ou armazenamento deve ter uma estrutura de proteção de dados em vigor que seja pelo menos tão eficaz quanto a estrutura do país original. O Regulamento Geral de Proteção de Dados (RGPD) adotou essa postura e a transformou em lei na UE.

A Europa não é um caso isolado. Muitos países não europeus têm leis relacionadas à residência e soberania dos dados, como Rússia, Vietnã e Indonésia. A residência e a soberania dos dados costumam ser confundidas ou combinadas em uma coisa só. Eles são, na verdade, conceitos diferentes, aliados.

• Residência de dados: a residência de dados é onde um país ou empresa especifica que os dados são armazenados em uma localização geográfica específica. Uma empresa pode fazer isso para tirar proveito de um sistema legal permissivo ou de leis tributárias atraentes.
• Soberania de dados: a soberania de dados se baseia nas demandas geográficas de residência de dados. Os dados também estão sujeitos às leis do país em que os servidores estão fisicamente localizados. Isso é ditado pela legislação e não pela escolha comercial.

Geografia e privacidade de dados

Os maiores participantes da nuvem, como IBM, Microsoft, Amazon Web Services (AWS), Alibaba e Google, têm os recursos para construir centros de dados cuidadosamente posicionados em todo o mundo. Eles estão localizados estrategicamente para lidar com a questão da soberania dos dados. Os fornecedores menores podem apenas oferecer a opção de um ou dois data centers. Se eles estiverem usando um dos principais players para sua infraestrutura, eles podem ter acesso apenas a um único data center.

Construir data centers para satisfazer os requisitos geográficos de seus clientes pode ser uma mudança de negócios sensata, mas não significa que todos os seus problemas de soberania de dados foram resolvidos. Em 2013, o FBI emitiu um mandado para a Microsoft para e-mails relacionados a um caso que eles estavam investigando.

A Microsoft recusou, apontando que a Seção 2703 do Stored Communications Act (SCA) não poderia obrigar as empresas americanas a produzir dados armazenados em servidores fora dos Estados Unidos. Os e-mails foram armazenados em servidores hospedados no data center da Microsoft em Dublin. Extrair os e-mails e entregá-los teria violado a Diretiva Europeia de Proteção de Dados, a precursora do GDPR.

A Microsoft argumentou que o pedido de e-mails deve ser feito ao governo irlandês usando o Tratado de Assistência Jurídica Mútua EUA-Irlanda (MLAT), como se os dados estivessem armazenados em papel no Irlanda. A Microsoft perdeu o caso, apelou e venceu a apelação.

O governo dos EUA devidamente lançou seu próprio apelo. Enquanto o caso estava sendo preparado, o Congresso aprovou o Esclarecimento do Uso Legal de Dados no Exterior, ou ato CLOUD. Um novo mandado foi levantado sob a Lei CLOUD e o mandado anterior, casos e recursos foram retirados conforme um novo mandado foi emitido sob a Lei CLOUD.

Ao contrário do SCA, o ato da CLOUD obriga inequivocamente uma empresa dos EUA a entregar dados e informações em sua posse, custódia ou controle, independentemente de tal comunicação, registro ou outras informações estarem localizadas dentro ou fora dos Estados Unidos. ” Isso está em oposição direta aos princípios e requisitos do GDPR e vai contra a soberania dos dados.

Já vimos o início da reação contra esse tipo de ampla coleta de dados. Foi a capacidade do governo dos EUA e de suas agências de segurança de pedir a qualquer empresa dos EUA que entregasse os dados que causou o fim da UE-EUA. e Swiss-U.S. Frameworks do Privacy Shield. Um caso foi levado ao Tribunal de Justiça da União Europeia que disse que a privacidade dos cidadãos da UE não poderia ser mantida se as empresas dos EUA pudessem ser obrigadas a entregar seus dados pessoais. O caso foi mantido e o contrato do Privacy Shield foi invalidado.

A lei CLOUD estende o alcance dessas solicitações de dados a qualquer servidor de propriedade de uma empresa dos Estados Unidos, independentemente de onde estejam no mundo. Desnecessário dizer que essa não é uma opção atraente para as organizações europeias sujeitas às restrições do GDPR.

RELACIONADO: O que Schrems 2 significa para computação em nuvem?

A Iniciativa GAIA-X

Em 15 de outubro de 2020, 27 estados membros da UE concordaram em trabalhar juntos para uma iniciativa de federação de nuvem europeia conhecida como GAIA-X. A iniciativa é uma colaboração entre a Comissão Europeia, os Estados membros inscritos e cerca de 100 empresas e organizações, incluindo Deutsche Telekom AG, Deutsche Bank AG, Siemens e Bosch.

O objetivo é colocar o fluxo e o armazenamento de dados europeus sob um maior controle europeu. Como a dependência da nuvem só vai aumentar, isso faz sentido. GAIA-X entende que a geografia da nuvem é muito importante para a soberania dos dados. Uma nuvem predominantemente baseada nos EUA torna difícil ou mesmo impossível para indivíduos e organizações europeus entender como seus dados serão protegidos, gerenciados e governados.

O que começou como um projeto principalmente franco-alemão agora tem amplo apoio e apoio europeu. Ele está mirando alto. Existem planos em andamento para uma nuvem federada europeia com fluxos de dados confiáveis, armazenamento e legislação consistente de proteção de dados. A realização do projeto exigiria a reutilização da infraestrutura em nuvem existente, a adoção de novas tecnologias e muitas novas interfaces.

Haverá uma “ camada de aplicativo ” onde os usuários e consumidores irão interagir com os serviços que assinaram. A camada de infraestrutura consistirá em centros de dados interconectados com larguras de banda flexíveis e dinâmicas. Uma nuvem europeia já foi discutida antes. Nada jamais se materializou, apesar de milhões de dólares sendo injetados em projetos como o CloudWatt. GAIA-X ainda está em sua infância. As ideias de prova de conceito devem ser entregues até o final de 2021. Embora o design real seja pouco mais do que um conjunto de ideais, os objetivos e os benefícios do projeto foram estabelecidos.

• Combinação de investimentos: agrupamento de investimentos privados, nacionais e da UE para fornecer infraestruturas e serviços de nuvem competitivos, verdes e seguros.
• Definição de uma abordagem comum: a abordagem europeia “ para federação de capacidades de nuvem ” apresentará um conjunto de soluções técnicas e normas políticas conjuntas. Isso fornecerá regras e diretrizes para centros de dados que desejam aderir à nuvem europeia. É uma espécie de plug-and-play para data centers.
• Impulsionando a segurança e a interoperabilidade: o aumento da segurança e da soberania dos dados deve ser um motivador na adoção da nuvem de energia GAIA-X - centros de dados e serviços eficientes. A Europa quer impulsionar a adoção da nuvem em organizações de todos os tamanhos e, em particular, pequenas e médias empresas, start-ups e o setor público.

Os meninos grandes também querem

Apesar de soar como algo que os atuais gigantes da nuvem veriam como uma competição ameaçadora, AWS, Microsoft e Google se juntaram ao projeto.

Max Peterson, vice-presidente do setor público internacional da Amazon Web Services, afirma que seu apoio é impulsionado por “ … garantir os mais altos níveis de segurança e proteção de dados, respeito pela soberania dos dados e acesso ao mundo - tecnologia líder. ”

Kasper Klynge, vice-presidente de Assuntos Governamentais Europeus da Microsoft, disse que o compromisso da Microsoft com a privacidade é duradouro e inabalável, ” e que “ … soberania digital e autodeterminação são fundamentais. ”

Seria fácil ser cínico e dizer que essas organizações estão aderindo ao movimento porque não querem a imprensa negativa se não forem vistas a defender com entusiasmo os princípios por trás da iniciativa, ou que eles não podem se dar ao luxo de ser excluídos de quaisquer oportunidades que possam surgir. Eles não podem deixar um projeto desse tamanho rolar sem seu engajamento se seus concorrentes tiverem assento à mesa. E, claro, a Europa é um mercado enorme e eles não querem alienar a Europa.

Google, Microsoft e Amazon Web Services não chegaram onde estão por serem instituições de caridade. O que quer que façam — por mais altruísta — sempre rende algum tipo de benefício para eles, mesmo que seja apenas uma boa RP. Mas, ao mesmo tempo, essas organizações são as melhores no que fazem e não gostam de se envolver em falhas de alto perfil.

Eles trazem conhecimento, experiência e recursos inestimáveis ​​para o GAIA-X. Esperemos que muitos cozinheiros não estraguem o caldo e que algo tangível seja realmente entregue.