Suwerenność cyfrowa polega na kontroli. Nie o robienie wszystkiego samemu, nie o cyfrową samowystarczalność i nie o brak zaufania jako podstawową postawę. Podstawowe pytanie jest prostsze i bardziej administracyjne: kto ostatecznie ma ostatnie słowo w sprawie danych, systemów, ciągłości i dostępu?

Autonomia jest bliska tej, ale nie jest taka sama. Autonomia to zdolność do samodzielnego działania. Suwerenność to władza i praktyczna zdolność dokonywania wyborów i egzekwowania tych wyborów. Organizacja może świadomie współpracować, zachowując jednocześnie suwerenność, o ile wie, co oddaje, dlaczego jest to dopuszczalne i jak może działać, jeśli zmienią się okoliczności.

To rozróżnienie jest ważne. Całkowita niezależność cyfrowa jest rzadko możliwa i często nieskuteczna w połączonym świecie. Chmura, łańcuchy oprogramowania, międzynarodowe standardy i wyspecjalizowani dostawcy przynoszą realne korzyści. Problem nie wynika z zależności samej w sobie, ale z zależności, która jest niewidoczna, nieodwracalna lub niedyskutowana.

Suwerenność zaczyna się zatem od wglądu. Które procesy są krytyczne? Gdzie znajdują się dane? Jakiemu prawu podlega dostawca? Kto zarządza kluczami, dostępem i aktualizacjami? Którzy podwykonawcy są zaangażowani? Czy istnieje realna strategia wyjścia, czy tylko zapewnienie umowne? Bez odpowiedzi na takie pytania kierunek to głównie język.

Bezpieczeństwo informacji zapewnia dobrze znane ramy w tym zakresie. Dostępność, integralność i poufność bezpośrednio wpływają na suwerenność. Jeśli strona trzecia może zablokować dostęp, wpłynąć na dane lub zgodnie z prawem naruszyć poufność, ma to wpływ na same cele bezpieczeństwa. Suwerenność nie jest zatem odrębnym tematem politycznym obok bezpieczeństwa informacji. Jest to część zarządzalności.

Podstawy bezpieczeństwa informacji dodatkowo to udoskonalają: obowiązek dbałości o bezpieczeństwo jest szeroki i dynamiczny. Zależy to od stanu technologii, charakteru i wielkości organizacji, wrażliwości danych i procesów oraz zagrożeń dla innych. Suwerenność należy do tych samych względów. Nie chodzi tu o symbolikę, ale o to, czy organizacja może uzasadnić odpowiednie środki.

Dla LibreKAT suwerenność oznacza, że ​​organizacje nie pozwalają, aby ich cyfrowa przyszłość była w pełni determinowana przez zamknięte platformy, zagraniczną jurysdykcję lub dostawców bez realnej alternatywy. Wymaga to, tam gdzie to możliwe, otwartej technologii, tam, gdzie to konieczne, jasnych umów i wyraźnie zarejestrowanych wyborów administracyjnych.

Autonomia staje się wówczas praktyczna. Czy możemy migrować? Czy rozumiemy architekturę? Czy posiadamy własną wiedzę niezbędną do oceny zawartości dostawcy? Czy możemy eksportować dane w użytecznych formatach? Czy możemy kontynuować, jeśli usługa się zmieni, stanie się droższa lub zniknie?

Suwerenność i autonomia nie są stanem końcowym. Tworzą cykl wyboru, testowania i dostosowywania. Dostawcy są przejmowani, zmieniają się przepisy, organizacje dodają nowe powiązania, a wiedza znika, gdy ludzie odchodzą. Zarządzanie wymaga zatem okresowej konserwacji.

Dlatego suwerenność należy do rejestru ryzyka i SZBI. Nie jako dodatek dla entuzjastów, ale jako informacja zarządcza dla zarządu i kierownictwa liniowego. Które zależności są za duże? Kto jest właścicielem ryzyka? Jakie środki zostały podjęte? Które ryzyko szczątkowe zostało świadomie zaakceptowane? Dopiero wtedy autonomia staje się możliwa do kontrolowania.

LibreKAT chce pomóc organizacjom ograniczyć tę kontrolę do łatwych do opanowania pytań. Nie hasłami, ale metodami, otwartymi narzędziami i dzieleniem się wiedzą. Bycie suwerennym nie oznacza, że ​​nikogo nie potrzebujesz. Oznacza to, że świadomie wybierasz zależności i że możesz poruszać się wraz z ruchem świata.