Dlaczego organizacje publiczne coraz częściej szukają alternatyw dla globalnych platform MDM?

Jeszcze jakiś czas temu, wybierając system MDM, zespoły IT w organizacjach publicznych skupiały się głównie na jego możliwościach technicznych. Dziś kryteria oceny platform do zarządzania urządzeniami mobilnymi wykraczają poza listę funkcjonalności. Dużą rolę odgrywają kwestie związane z suwerennością cyfrową, lokalizacją danych i kontrolą nad infrastrukturą IT. Złożyły się na to nowe regulacje dotyczące cyberbezpieczeństwa oraz rosnąca świadomość ryzyka związanego z przetwarzaniem danych przez globalnych dostawców usług.

Suwerenność danych oznacza zdolność organizacji do kontrolowania, gdzie są przetwarzane jej dane i kto może uzyskać do nich dostęp. Wpływa na nią również jurysdykcja, której podlega producent rozwiązania. Ta ostatnia kwestia często okazuje się nieoczywista – i właśnie dlatego warto zacząć od amerykańskiej ustawy Cloud Act.

Czym jest Cloud Act i jak wpływa na ochronę danych?

Dyskusja o suwerenności danych i jurysdykcji dostawców usług cyfrowych nabrała tempa w 2018 roku, gdy w Stanach Zjednoczonych uchwalono ustawę Clarifying Lawful Overseas Use of Data Act (Cloud Act). Powstała ona m.in. w następstwie wieloletniego sporu między Departamentem Sprawiedliwości USA a Microsoftem o dostęp do wiadomości e-mail przechowywanych na serwerach w Irlandii. Amerykański ustawodawca przesądził wówczas, że organy ścigania mogą żądać danych od dostawców podlegających jurysdykcji USA także wtedy, gdy informacje są przechowywane poza terytorium Stanów Zjednoczonych. Dotyczy to nie tylko spółek amerykańskich, ale też ich podmiotów zależnych, np. europejskich.

Cloud Act nie oznacza automatycznego ani swobodnego dostępu do wszystkich danych znajdujących się w Europie – żądanie musi mieć podstawę w konkretnym postępowaniu i podlega procedurom przewidzianym w prawie USA. Pokazuje to jednak, że o sposobie udostępniania informacji może decydować nie tylko lokalizacja serwerów, lecz także jurysdykcja, której podlega dostawca usług.

W przypadku systemu MDM problem suwerenności danych jest szczególnie istotny, ponieważ platforma tej klasy przetwarza znacznie więcej informacji niż typowa aplikacja biurowa. Konsola z uprawnieniami administracyjnymi do całej floty urządzeń gromadzi dane o użytkownikach, lokalizacji sprzętu, zainstalowanych aplikacjach, certyfikatach, skonfigurowanych zabezpieczeniach czy logach administracyjnych.

Wady globalnych platform MDM w sektorze publicznym

Wdrożenie globalnej platformy MDM w instytucji publicznej – choć ze względu na renomę dostawcy i szeroki zakres funkcji może wydawać się kuszące – nie zawsze jest optymalnym rozwiązaniem. Szczególnej uwagi wymagają przy tym systemy MDM dostępne w modelu wyłącznie chmurowym, który dominuje wśród rynkowych gigantów.

Wady globalnych platform MDM w polskim sektorze publicznym to przede wszystkim ryzyko:

• braku kontroli nad danymi – u części globalnych producentów wdrożenie chmurowe jest jedyną dostępną opcją, więc to dostawca przesądza, gdzie przetwarzane są dane organizacji;
• niezgodności z polskimi regulacjami – podczas audytu trudniej wykazać, że wybór dostawcy i sposób przetwarzania przez niego danych odpowiadają wymaganiom prawnym dotyczącym ochrony informacji;
• ograniczonej kontroli nad infrastrukturą – w modelu chmurowym część decyzji dotyczących środowiska technicznego i dostępu do niego zapada poza organizacją;
• nagłych zmian warunków usługi – globalny producent kształtuje model licencjonowania, zakres funkcji i zasady świadczenia usługi w oparciu o największe rynki zbytu, trendy oraz wymagania własnej jurysdykcji;
• braku wpływu na rozwój produktu – model obsługi globalnych platform nie przewiduje bliskiej współpracy z pojedynczymi klientami, więc ich potrzeby rzadko przekładają się na kształt systemu;
• uzależnienia się od jednego dostawcy (vendor lock-in) – gdy rozwiązanie jest silnie zintegrowane z pozostałymi usługami producenta, późniejsza migracja dużej floty urządzeń do innego narzędzia jest bardzo czasochłonna i kosztowna.

Wymagania sektora publicznego: bezpieczeństwo i zgodność z normami

Obecnie polskie organizacje publiczne muszą uwzględniać kilka nakładających się regulacji prawnych dotyczących bezpieczeństwa danych, sposobu ich przetwarzania oraz ryzyka związanego z dostępem do informacji przez podmioty trzecie. Poza RODO istotna jest dyrektywa NIS2, wdrożona w Polsce nowelizacją ustawy o Krajowym Systemie Cyberbezpieczeństwa (KSC).

Od rozwiązań MDM dla sektora publicznego w Polsce oczekuje się zatem wsparcia zgodności z powyższymi regulacjami oraz zachowania kontroli nad danymi. Dodatkowym punktem odniesienia – w zależności od poufności przetwarzanych informacji – może być również posiadanie przez dostawcę Świadectwa Bezpieczeństwa Przemysłowego. Organizacja musi wiedzieć, jakie informacje są przetwarzane, gdzie są przechowywane i kto może uzyskać do nich dostęp. Służy temu dostępność wdrożenia on-premise – instalacja systemu MDM we własnej infrastrukturze pozwala utrzymać większą kontrolę nad środowiskiem i uprościć wykazanie zgodności z przepisami. Równie istotne jest wielowarstwowe bezpieczeństwo, czyli możliwość wymuszania silnego uwierzytelniania, szyfrowania danych oraz kontroli aplikacji i uprawnień, które tworzą kilka niezależnych warstw ochrony.

Dlaczego lokalne i niezależne MDM zyskują na znaczeniu?

W praktyce może się okazać, że globalny system MDM nie zapewnia organizacji takiej kontroli nad danymi i niezależności, jakiej wymaga sektor publiczny. Z tego względu instytucje coraz częściej szukają alternatyw dla największych dostawców platform MDM. Rosnąca popularność polskich rozwiązań MDM nie wynika wyłącznie z miejsca prowadzenia działalności przez producenta, jednak jest z nim powiązana. Lokalni dostawcy podlegają polskim i europejskim regulacjom, a to ułatwia im spełnienie kluczowych wymagań zgodności.

Z perspektywy instytucji publicznych liczą się także niezależność samego systemu oraz swoboda, jaką mogą zachować. Warto przy tym pamiętać, że nie każdy polski dostawca oferuje autorskie rozwiązanie – własna technologia przesądza o niezależności od globalnych producentów i podejmowanych przez nich decyzji. I tutaj mniejsze, lokalne rozwiązania budują swoją przewagę:

• stabilniejsze warunki licencyjne – dzięki temu, że działają na lokalną skalę, niezależne rozwiązania często zapewniają większą przewidywalność rozwoju produktu i stabilniejsze warunki licencjonowania;
• dostępność modelu on-premise – producenci mają większą swobodę decydowania o modelach wdrożenia, niezależnie od globalnych trendów, na czym zyskuje klient;
• wpływ na rozwój produktu – system projektowany pod potrzeby polskich odbiorców powstaje w bliskiej współpracy użytkowników z producentem, a zgłaszane przez nich uwagi szybciej trafiają do planów rozwojowych;
• ograniczone ryzyko vendor lock-in – mniejsi dostawcy nie budują rozbudowanych, zamkniętych ekosystemów, dzięki czemu organizacja zachowuje kontrolę nad infrastrukturą i ma realną możliwość zmiany rozwiązania, gdy obecne przestanie odpowiadać jej potrzebom.

Wybór lokalnego rozwiązania MDM nie oznacza rezygnacji z nowoczesnych funkcjonalności typowych dla globalnych platform do zarządzania urządzeniami. Dla organizacji publicznych alternatywa bywa natomiast sposobem na lepsze dopasowanie systemu do wymagań dotyczących danych, bezpieczeństwa i długoterminowej strategii IT.

Jak ocenić suwerenność rozwiązania MDM?

Przed wyborem systemu należy zweryfikować kilka aspektów:

1. Gdzie przetwarzane są dane? Sprawdź lokalizację centrum danych dostawcy, miejsce przechowywania kopii zapasowych i logów.
2. Kto jest właścicielem technologii? Ustal, czy producent rozwija oprogramowanie samodzielnie, czy opiera je na komponentach i usługach podmiotów trzecich.
3. Jakiej jurysdykcji podlega dostawca? Zweryfikuj nie tylko siedzibę spółki, z którą podpisujesz umowę, lecz także strukturę właścicielską i prawo, które obowiązuje podmiot dominujący.
4. Czy dostępny jest model on-premise? Upewnij się, czy system można wdrożyć we własnym centrum danych – pozwala to samodzielnie zarządzać infrastrukturą oraz ograniczyć zależność od zewnętrznych usług chmurowych.

Podsumowanie

Wobec rosnącej liczby cyberzagrożeń i rozwoju regulacji dotyczących bezpieczeństwa informacji, suwerenność danych jest jednym z elementów oceny rozwiązań IT w sektorze publicznym. W przypadku systemów MDM analizowane są dziś nie tylko możliwości techniczne, ale również jurysdykcja dostawcy, model wdrożenia i poziom kontroli nad przetwarzanymi informacjami.

Wybór rozwiązania MDM staje się elementem strategii bezpieczeństwa i zarządzania ryzykiem. Rośnie przy tym rola lokalnych alternatyw, które dają organizacjom publicznym większą kontrolę nad danymi i przewidywalność współpracy z dostawcą. Świadomy wybór jurysdykcji, modelu wdrożenia i warunków umowy wspiera zachowanie niezależności technologicznej.

FAQ: alternatywy dla globalnych platform MDM

---