Microsoft lar deg kjøre 365 i private skymiljøer – skal gi kundene full kontroll

IT-gigantene akter ikke å stå passiv mens kunder og myndigheter i diskuterer hvordan de kan redusere avhengigheten av amerikanske skyleverandører.

I Norge snakker digitaliseringsminister Karianne Tung om behovet for en exit-strategi, og hennes danske kollega har begynt arbeidet med å fase ut programvaren.

Microsoft svarer nå med å introdusere «Microsoft Sovereign Cloud» i Europa. Plattformen skal gi virksomheter økt datakontroll gjennom offentlig sky, privat sky og nasjonale partnerløsninger.

Lover full kontroll

Dette er et direkte svar på bekymringer rundt personvern, sikkerhet og amerikanske myndigheters mulige tilgang til data.

– Designet for å gi maksimal kontroll og beskyttelse, inkludert tiltak som kundestyrt kryptering, sier pressekontakt Cornelia Bjørke-Hill i Microsoft.

Sovereign Public Cloud er for øyeblikket i forhåndsvisning og vil bli generelt tilgjengelig i alle europeiske skyregioner senere i år.

– Eksisterende arbeidsbelastninger i europeiske datasentre krever ingen migrering for å dra nytte av Sovereign Public Cloud. Krypteringsnøklene og kontroll forblir hos kunden, opplyser Bjørke-Hill.

Hvordan forholder Microsoft seg til norske og europeiske krav om at offentlig sektor ikke skal være underlagt amerikansk jurisdiksjon, som for eksempel den amerikanske Cloud Act?

– Sovereign Public Cloud sikrer at kundedata forblir i Europa, underlagt europeisk lov, med drift og tilgang kontrollert av personell bosatt i Europa.

Tilbyr Sovereign Cloud faktisk beskyttelse mot slike utenlandske rettskrav?

– Ja, Sovereign Cloud er designet for å gi maksimal kontroll og beskyttelse i henhold til europeiske lover og reguleringer, inkludert tiltak som Data Guardian og kundestyrt kryptering, svarer Cornelia Bjørke-Hill.

– Ørsmå skritt

Etter Schrems II og veiledning fra EUs personvernråd kan full kryptering, der bare kunden har nøklene, være nok for GDPR-overholdelse.

– Det avgjørende er om tjenesten leveres av aktører som ikke er amerikansk eid, for det er dette den amerikanske etterretningsloven Cloud Act i praksis handler om, sier teknologiadvokat Jan Sandtrø.

Microsoft tilbyr nå nasjonale skytjenester i Tyskland og Frankrike, noe Sandtrø mener er positivt.

Eierskapet til den offentlige skyplattformen, ser imidlertid fortsatt ut til å være underlagt amerikansk jurisdiksjon.

– Mange er kritiske og mener tiltakene hittil er preget av kommersielle hensyn og ikke går langt nok. Likevel er dette viktige steg i riktig retning – i påvente av bedre alternativer, sier Sandtrø.

Med det mener han løsninger som er både eid og drevet av europeiske selskaper: – Først da kan man fullt ut løse utfordringene knyttet til datasuverenitet og amerikansk jurisdiksjon.

Juristen mener tiltakene reduserer risiko og sårbarhet, men ikke nok.

– Det er ørsmå steg i riktig retning, men om det holder tviler jeg litt på. Veldig mange vurderer exit-strategier fra amerikanske skyleverandører, men problemet er at det ikke finnes så mange alternativer, sier Jan Sandtrø.

Kunden kan drifte selv

Microsoft åpner blant annet for lokal drift av Microsoft 365 i kundens egne datasentre eller hos partnere.

Tjenesten, som er døpt Microsoft 365 Local, forutsetter bruk av Azure Local og er rettet mot virksomheter med særskilte krav til datasuverenitet.

Ved lansering i løpet av 2025, skal sentrale verktøy som Exchange, Sharepoint og Teams være tilgjengelige. I kunngjøringen fremgår det ikke om hele bredden av Microsoft 365 – som OneDrive, Copilot og avansert sikkerhet – blir med fra start.

– Vi har foreløpig ikke en konkret tidsplan for dette, men det skal omfatte hele bredden, skriver pressekontakt Cornelia Bjørke-Hill i Microsoft i en e-post til Digi.

Offentlige virksomheter med særskilte krav, som helse, justis og forsvar, kan drifte Microsoft 365 Local i egne datasentre. Løsningen er en del av Sovereign Private Cloud og er utviklet for å støtte kritiske produktivitetstjenester i private skymiljøer.

Forutsetningene som må være oppfylt inkluderer støtte for kundestyrt kryptering (External Key Management), Regulated Environment Management for forenklet konfigurasjon og bruk av Data Guardian for europeisk drift og tilgangskontroll.

Nyhetene ble presentert under selskapets «AI Tour» i Amsterdam på tirsdag denne uken.

Administrerende direktør Satya Nadella betegnet kunngjøringen som «neste steg i våre digitale forpliktelser i Europa», og understreket at målet er å gi europeiske organisasjoner mulighet til å vokse og operere på egne premisser.

Ny modell for europeisk «suverenitet»

Microsoft Sovereign Cloud er en ny modell som samler både eksisterende og nye løsninger i tre kategorier:

• Sovereign Public Cloud – skytjenester fra Microsofts datasentre i Europa. Kundedata behandles og lagres i Europa, underlagt europeisk lovgivning, med tilgang begrenset til personell i Europa. Kundene har selv kontroll over krypteringsnøkler.
• Sovereign Private Cloud – drift i kundens eget datasenter via lokal Azure-infrastruktur, inkludert Microsoft 365 Local.
• Nasjonale partnerløsninger i Frankrike og Tyskland, der Microsoft-tjenester som 365 og Azure leveres av uavhengige, lokale aktører.

Ifølge Microsoft skal modellen gi bedre kontroll, lokal datalagring og oppfyllelse av krav, som blant annet GDPR.

Dette skjer i en tid hvor flere land og virksomheter i økende grad tar til orde for mer kontroll over egne data, og vurderer mer eller mindre konkrete planer for å redusere avhengigheten av amerikanske teknologigiganter.

En del av større strategi

Kunngjøringen bygger videre på tidligere initiativer fra Microsoft rettet mot europeiske kunder.

Selskapet har de siste årene etablert datasentre i flere EU-land og tilpasset sine skytjenester for å møte økende krav om digital suverenitet og lokal kontroll. Det har også Google, Amazon Web Services, Oracle og andre gjort.

Under følger en tidslinje over noen tidligere steg på denne reisen:

• 2015–2018: Microsoft Cloud Germany ble lansert etter Snowden-avsløringene for å imøtekomme tysk skepsis til amerikansk innsyn i data på europeisk jord. Skytjenestene ble levert fra datasentre eid av T-Systems (Deutsche Telekom), med en uavhengig dataforvalter som sperret Microsofts adgang til kundedata. Ordningen ble avviklet i 2018 grunnet en uttalt lav etterspørsel og begrenset fleksibilitet.

• Mai 2021: Microsoft lover at persondata for europeiske kunder skal lagres innenfor EU, som del av initiativet EU Data Boundary.

• Juli 2022: Microsoft lanserer Cloud for Sovereignty – en løsning som skal gi offentlige kunder mer kontroll over data og etterlevelse av lover og regler.

• Januar 2023: Første fase av EU Data Boundary rulles ut. Kundedata for tjenester som Microsoft 365 og Azure behandles nå innenfor EU.

• Januar 2024: Fase to er en utvidelse som blant annet inkluderer pseudonymiserte personopplysninger og systemlogger.

• Februar 2025: Microsoft fullfører EU Data Boundary (fase tre). Alle sentrale skytjenestedata, inkludert støttedata og logger, holdes nå innenfor EU og EFTA.

• April 2025: Selskapet kunngjør fem nye digitale forpliktelser i Europa, med fokus på åpenhet, sikkerhet og rettslig beskyttelse.

• Juni 2025: Microsoft lanserer Microsoft Sovereign Cloud, en samling av skytjenester for offentlig og privat drift med suverenitetsgarantier. Samtidig introduseres Data Guardian, som sikrer at kun europeisk ansatte har fjernaksess til kundedata.