Lederbrief: Digital suverenitet i endepunktadministrasjon

Digital suverenitet i endepunktadministrasjon handler om kontroll over hvilken jurisdiksjon som rettslig kan nå endepunktdataene dine – ikke bare hvor dataene fysisk ligger. Det gjelder enhetstelemetri, driftslogger og konfigurasjonsdata, ikke bare personopplysninger. Forskjellen er viktig fordi et datasenter i Frankfurt ikke plasserer dataene utenfor rekkevidden til lovgivningen som gjelder for leverandøren som drifter det. CapaOne fjerner den usikkerheten: Data fra endepunktadministrasjonen behandles i Europa og driftes i EU, uten overføring av endepunktdata til amerikansk jurisdiksjon.

Nei – datalagring og suverenitet er ikke det samme. Datalagring (data residency) forteller hvor dataene ligger; suverenitet forteller hvilken lov som kan kreve tilgang til dem. En utenlandskeid leverandør kan bli rettslig pålagt å utlevere data som ligger i et datasenter i EU, så datalagring uten kontroll over jurisdiksjonen er bare et delvis svar. Reell suverenitet krever at dataene ligger i EU, i tillegg til europeisk eierskap, europeisk drift og en transparent kjede av underdatabehandlere. CapaOne er utviklet i Danmark og driftet i EU, uten overføring av endepunktdata til amerikansk jurisdiksjon.

Fordi en oversikt over enhetsparken, OS-versjoner og upatchet programvare i praksis er et kart over hvor en virksomhet kan angripes – uansett om det regnes som personopplysninger eller ikke. Enhetstelemetri og driftslogger gir nettopp det bildet. Når en plattform utenfor EU/EØS lagrer eller speiler disse dataene på tvers av jurisdiksjoner, kan de nås av utenlandske rettslige krav. Det skaper regulatorisk risiko og omdømmerisiko, selv uten en eneste personopplysning involvert. Derfor styrer virksomheter som er opptatt av suverenitet, hvor alle endepunktdata behandles. CapaOne behandler data fra endepunktadministrasjonen i Europa.

CapaOne er utviklet i Danmark og driftet i EU, uten overføring av endepunktdata til amerikansk jurisdiksjon – suvereniteten er en egenskap ved arkitekturen, ikke en innstilling som er lagt til i etterkant. Sentraliserte logger og rapporter gir tydelig innsikt i programvareoppdateringer, driveroppdateringer og heving av rettigheter, og policybasert styring av rettigheter er i tråd med prinsippene for nulltillit (zero trust). Plattformen fungerer med eller uten Microsoft Intune, slik at en virksomhet kan bruke den som sin primære plattform for endepunktadministrasjon, eller gi et eksisterende oppsett endepunktdata som driftes i EU.

I EU gjør de endepunktadministrasjon fra en driftsdetalj til et ansvar på styrenivå. NIS2 gjør ledelsen personlig ansvarlig for cybersikkerhetstiltakene i samfunnsviktige tjenester i EU, DORA stiller strenge krav til digital operasjonell motstandskraft for finansielle virksomheter, og CRA fastsetter sikkerhetskrav gjennom hele livsløpet til et produkt. Alle tre hever kravene til datalagring, transparens ved revisjon og et dokumenterbart sikkerhetsnivå – og presser virksomheter mot endepunktplattformer som behandler data i Europa og lager revisjonsklar dokumentasjon fra den daglige driften. CapaOne er driftet i EU og bygget for å støtte et slikt sikkerhetsnivå.

Nei – det har gått fra å være en preferanse i offentlig sektor til å bli et krav i kommersielle due diligence-prosesser. Offentlige myndigheter gikk først, men finanssektoren, helsesektoren og enhver virksomhet i en regulert leverandørkjede møter nå den samme granskingen. Partnere, investorer og revisorer ber i økende grad virksomheter dokumentere hvor dataene deres behandles før de signerer – noe som gjør suverenitet til et anskaffelsesspørsmål på tvers av sektorer, ikke en nisje. CapaOne gir virksomheter i alle regulerte sektorer et alternativ som er driftet i EU og bygget for automatisering.