В Україні є різні моделі розміщення та обробки критичних даних. Частину систем розміщують у локальних дата-центрах та хмарній інфраструктурі українських провайдерів — зокрема De Novo, GigaCloud і Київстар, — які працюють у межах української юрисдикції та відповідають чинним вимогам захисту інформації.
Частина держсектору й бізнесу користується міжнародними хмарними платформами. Доступ до них відкрився у березні 2022 року — тоді Кабінет міністрів постановою № 263 дозволив тимчасово розміщувати державні інформаційні ресурси в міжнародних хмарних сервісах. Це рішення допомогло зберегти безперервну роботу державних реєстрів і цифрових платформ, коли удари були спрямовані по енергетичній та телекомунікаційній інфраструктурі.
Хмарні технології вже стали частиною цифрової стійкості держави, тому настав час закріпити ці підходи на законодавчому рівні — так, щоб нове регулювання зміцнювало цифровий суверенітет, а не підмінювало його ізоляцією. Локальні дата-центри та міжнародні хмарні сервіси можуть і повинні розвиватися паралельно, щоб українські державні установи та бізнес мали доступ до ряду безпечних технологічних рішень відповідно до своїх потреб.
Водночас дозвіл на використання міжнародних хмарних платформ для державних ресурсів діятиме лише до завершення воєнного стану. Після цього держава може знову повернутися до вимоги зберігати дані фізично в Україні.
Україні потрібні чіткі правила для нової цифрової реальності
За понад чотири роки великої війни Україна фактично випередила власне законодавство. Держава, оборонний сектор, банки та бізнес уже активно використовують хмарні технології.
На початку повномасштабної війни ПриватБанк перемістив критичні ІТ-системи з фізичних дата-центрів у хмару в Європейському Союзі, що забезпечило безперервність роботи банківських сервісів. Водночас частина важливих цифрових сервісів продовжила працювати на українській хмарній інфраструктурі. Наприклад, Prozorro роками використовує українські хмарні потужності та залишається доступним протягом повномасштабної війни. На українській інфраструктурі також розміщені окремі компоненти державних цифрових сервісів, зокрема «Дії», а також сервіси державних компаній, таких як «Нафтогаз».
Військова система DELTA, яка об’єднує дані від безпілотників, супутників, радарів та підрозділів у єдину картину поля бою, також інтегрована з хмарною інфраструктурою. Це дало змогу масштабувати її використання та забезпечити доступ до даних для військових підрозділів.
Тобто питання хмарної інфраструктури стосується стійкості держави, захисту критичних даних і здатності України інтегруватися у глобальну технологічну екосистему.
Такий підхід відповідає логіці нашого міжфракційного об'єднання Trusted Tech Caucus (Платформа технологічної дипломатії України), яке працює на перетині технологічної політики, національної безпеки та міжнародної співпраці. Для України питання trusted technology — це про довіру до технологій, їхніх постачальників і правил використання, а також до надійних механізмів технічного захисту — зокрема шифрування, контролю доступу та інших інструментів кібербезпеки. Тому ми розглядаємо хмарні сервіси, штучний інтелект, кіберстійкість, комерційні кіберможливості, санкційну політику, експортний контроль і залучення інвестицій у high-tech як взаємопов'язані елементи однієї стратегії.
Компанії, які планують розвивати AI, хмарні технології чи кібербезпеку в Україні, розраховують інвестиції на роки вперед — і потребують чітких умов, які збережуться після війни.
Саме тому в законопроєкті №15344-1 я запропонував оновити правила відповідно до того, як держава та бізнес уже використовують хмарні технології. Йдеться, зокрема, про чіткіше розмежування повноважень державних органів, зрозумілі вимоги до постачальників, прозорі процедури перевірок і контролю. Такий підхід має зменшити простір для надмірної дискреції та корупційних ризиків, створивши передбачувані умови для ринку.
Документ визначає повноваження державних органів і вимоги до постачальників хмарних послуг, а також відповідальність сторін за безпеку даних, безперервність роботи та реагування на інциденти. Окремо передбачена можливість укладати прямі договори між державними замовниками та фактичними постачальниками хмарних послуг, без зайвих посередників. Це зробить роботу з державним сектором прозорішою і прибере процедури, які ускладнюють впровадження технологій.
Відповідно до принципу узгодження з міжнародними стандартами, законопроєкт передбачає визнання міжнародних сертифікатів і результатів аудитів як достатнього підтвердження відповідності українським вимогам безпеки. Це дозволить не проводити в Україні повторні перевірки хмарних послуг, які вже пройшли оцінку за визнаними у світі стандартами, зменшити адміністративне навантаження та водночас зберегти належний рівень гарантій безпеки.
Ще одна важлива зміна — перехід до ризик-орієнтованого підходу. Рішення про те, де і як розміщувати інформаційні системи, мають залежати від критичності даних і конкретних ризиків, а не лише від фізичного розташування сервера. Для держави це означає можливість обирати технологічне рішення відповідно до рівня ризику, а для постачальників — чіткіші правила роботи з державним сектором.
Глобальні хмари та державні дані: як це працює у світі
Україна не єдина країна, яка прагне поєднати безпеку державних даних із перевагами глобальної хмарної інфраструктури — світовий досвід показує весь спектр моделей, від максимальної ізоляції до повної відкритості.
Найбільш цінними для України є приклади зваженого підходу.
Сінгапур реалізував той самий ризик-орієнтований принцип на практиці, поєднавши його з використанням глобальних хмарних платформ — AWS, Google Cloud, Microsoft Azure.
Ірландія та Польща демонструють інвестиційний аспект. Стабільне регулювання допомогло Ірландії стати одним із найбільших центрів хмарної інфраструктури в Європі, а передбачуваність правил роботи з даними у Польщі стала одним із чинників, що дозволили Microsoft інвестувати $1 млрд у свій перший хмарний регіон у країні.
Ізраїль демонструє безпековий вимір. Країна класифікує інформаційні системи за рівнем ризику та застосовує до критичної інфраструктури окремі вимоги кібербезпеки, водночас не відмовляючись від використання сучасних хмарних технологій.
Україна може взяти найкраще з кожної моделі: ризик-орієнтований підхід Сінгапуру, інвестиційну передбачуваність Ірландії та Польщі, безпековий фокус Ізраїлю. Саме це поєднання здатне дати Україні те, чого бракує сьогодні: правила, яким одночасно довіряють держава, бізнес і міжнародні партнери.
Читайте такожЕксперт з кібербезпеки Єгор Аушев: «Коли росіяни не зможуть бити ракетами, вони почнуть активніше діяти в кіберпросторі»