EUCS 基準をめぐって口論になる

EU クラウド認定制度 (EUCS)
EUCS 基準をめぐって口論になる

政治家がビジネスにイノベーションを要求し、規制や官僚的な枠組みを通じてそれを可能にしたいと考えるとき、ヤギは庭師に変身することがよくあります。これが欧州クラウド サービス向けサイバーセキュリティ認証スキーム (EUCS) に適用されるかどうかはまだわかりません。

EUレベルでは以前から「EUCSスキーム」が水面下で進められてきた。この略語は、「European Cybersecurity Certification Scheme for 雲 サービス”。要するに統一すればいいのに 標準 EU におけるクラウド セキュリティとデータ保護。これは、ENSIA (欧州連合サイバーセキュリティ庁) によって設立された自主的な認定システムである必要があります。 EUCS は自主的な認証であり、理想的にはすべての EU 加盟国で同一である必要があります。ただし、このトピックには疑問符がたくさんあります。 ENSIA という頭字語がなぜ完全に策定された機関名に適合しないのかという疑問から始まり、証明書システムにハイパースケーラーによる米国のクラウド サービスが含まれるか除外されるかについての不確実性で終わります。頭字語に関しては、彼らは名前を変更して古い頭字語を維持しましたが、米国のハイパースケーラーに関する限り、事態は複雑になります。

セキュリティ認定のレベル

提案された EUCS スキームには、さまざまなレベルのセキュリティ認証が付属することが期待されています。想定されている「High+」認定レベルでは、クラウド サービスが欧州のプロバイダーまたは欧州の関与のあるプロバイダーによって完全に管理および運用されている必要があります。これは、データやシステムが非 EU 諸国の法律や監視措置の対象となるのを防ぐことを目的としています。これには、EU 内でのデータのローカリゼーションが必要なだけでなく、非欧州諸国に対する依存や法的義務がないことも必要です。

このまま実行したらアメリカが来るだろう クラウド法 （海外におけるデータの合法的使用の明確化法）が適用されます。これにより、米国当局は一定の条件下で、EUを含む海外の米国企業が保管するデータにアクセスできるようになる。これは、Amazon などのアメリカのクラウドプロバイダーが、 マイクロソフト または グーグル 米国政府からの要求に応じて、EU 内の顧客を含む顧客のデータを開示することが法的に要求される可能性があります。これにより、EUCS スキームにおける High+ 基準の実現はかなり先になります。

厳格なフレームワーク条件への取り組み

OVHcloud では、欧州クラウドの技術主権は、この解釈とこの形式の EUCS フレームワークに依存することさえあります。少なくとも、OVHcloud の中央ヨーロッパ担当ゼネラルマネージャーである Falk Weinreich 氏は、High+ 基準を強く支持していると述べています。「結局のところ、それは域外法を通じて第三者によるアクセスから確実にサービスを保護することを目的としているからです」。 OVHcloud の原則、「当社は顧客のデータを決して見ることはなく、顧客データは法的に完全に保護されています。」 GDPR そしてヨーロッパの権利は保護されます。」

実際の基準の意味

入札や公式要件など、特定のクラウド用途に対して High+ 基準が設定されている場合、これらの基準は最終的に EU のプロバイダーのみを対象とする一種のフィルターを設定します。ただし、EUCS スキームの High+ 基準を弱めるか削除する必要があるかどうかについては、議論が進行中です。具体的には、2024 年 4 月初めに、High+ サイバーセキュリティ基準の EUCS 認証スキームへの変更が草案から削除されました。これにより、High+ が実際にロックを表す必要がある米国のハイパースケーラーに扉が開かれます。言い換えれば、ロックは解除されました。

喧嘩は続く

そのため、基準をめぐる論争は、たとえば公開書簡の形で続き、OVHcloudもそれに署名した。同社は「署名者として、これらの基準を廃止することによる悪影響について警告したい」としている。 High+ 基準は、ヨーロッパのクラウド ユーザーに機密データの保護を保証する唯一の実際の手段です。

(ID:50234920)