В това интервю за Help Net Security Роджър Халбхеер, ръководител по сигурността на клиентите (Customer Security Officer) в Microsoft, твърди, че дигиталният суверенитет е преди всичко въпрос на сигурност. Той обяснява защо организациите подценяват скоростта — времето, необходимо за откриване и спиране на атакуващ — и защо кривата на разходите става стръмна, щом работните натоварвания се преместят в локална инфраструктура (on-premises).
Халбхеер посочва, че управителните съвети искат независимост, но в крайна сметка купуват просто географско местоположение и декларация за съответствие. Вместо това той призовава решенията за риск да се вземат индивидуално за всяко работно натоварване. Той също така подчертава, че правителствата могат да принудят доставчиците почти навсякъде, включително в Европа, и че компрометираната среда никога не е суверенна.
Скоростта, и то конкретно скоростта в сигурността: колко бързо откривате проникване, вземате решение и действате. Парите са фактор при решението за възлагане на обществена поръчка или покупка. Скоростта се проявява единствено в деня, когато атакуващ вече е вътре, и тогава тя е единствената величина от значение.
Този прозорец продължава да се свива. Докладът Microsoft Digital Defense Report 2026 показва, че времето от откриването на уязвимост в реални условия до нейното активно превръщане в оръжие (weaponization) може да бъде значително под 24 часа в година, очертаваща се с рекордните 72 000 публикувани CVE уязвимости. А при 52,2% от проникванията с използване на валидни акаунти, атакуващият след това е откраднал допълнителни идентификационни данни. Една отправна точка бързо се превръща в много.
Това, което повечето организации пропускат, е, че цената на суверенитета не е права линия. Това е моят модел, но го виждам във всеки проект. В рамките на облака голяма част от суверенитета излиза евтино: ключове, управлявани от клиента, съхранение на данните там, където правният ви отдел изисква, прозрачност на достъпа. Това е промяна на конфигурация, а не цялостно мигриране на платформата, като запазвате възможностите на платформата за засичане, анализ на заплахите (threat intelligence) и автоматизирана реакция. Същият доклад определя споделените и корелирани данни за заплахи като една от променливите с най-голямо значение, контролирани от защитниците. Губите съвсем малко скорост и се нуждаете от съвсем малко допълнителен персонал.
Облакът е и мястото, където са иновациите, а клиентите ги търсят: AI асистенти, агенти и аналитични инструменти, които изискват услугата да работи с техните данни. Същото важи и за защитата. Агентният AI променя възможностите на защитниците. MDASH, нашият мултимоделен агентен скенер за код, координира над сто специализирани AI агенти, за да открива и валидира уязвимости, преди киберпрестъпниците да го направят, и се предлага в регионите в ЕС и Швейцария.
Project Perception впряга червени, сини и зелени агенти за тестване, разследване и укрепване със машинна скорост, като хората одобряват всяко действие с голямо въздействие. И двете решения в момента са в предварителен преглед (preview) и се предоставят от облака. Кривата става стръмна в момента, в който преминете към локална инфраструктура и изграждате всичко сами, често върху софтуер с отворен код. Всяко правило за откриване трябва да го напишете вие, всяка корекция за сигурност трябва да бъде внедрена от вас, всеки урок се научава при собствен инцидент в три сутринта и нито една от тези иновации не идва сама. Отвореният код също не решава въпроса със зависимостта: лицензът е безплатен, но веригата за доставки не е.
Тук идва ролята на хората, защото скоростта се гради от хора: едновременни умения в областта на платформите, идентичността и сигурността, денонощно покритие, процедури за реакция (runbooks), които издържат под напрежение. В проучването ISC2 2025 Workforce Study 33% заявяват, че организацията им няма бюджет за адекватно окомплектоване на екипите по сигурност. Германия показва резултата в мащаб. През октомври 2025 г. BSI установи, че 92% от приблизително 33 000 достъпни през интернет локални Exchange сървъри работят с версии с изтекла или изтичаща поддръжка. През август 2026 г. CERT-Bund успя да види разширени корекции за сигурност само на девет от тях. Суверенитетът не е сървърът, който притежавате. Той е работата, която продължавате да вършите достатъчно бързо, след като вече го притежавате.
Изисква се независимост: никой отвън да няма достъп до данните или възможност да ги изключи. Обикновено всичко завършва с купуване на локация и уверение за съответствие, приложени общо за цялата компания.
И двете страни са част от проблема. Независимостта не се продава, а общата позиция за цялата компания няма конкретна мерна единица за вземане на решение, няма цена и не подлежи на тестване. Не можете да я защитите пред одитор, следователно не можете и да я управлявате.
Това, което управителният съвет трябва да изисква, е решение за риск поотделно за всяко работно натоварване. Коя експозиция намаляваме, колко струва това като пари, хора и скорост, и как бихме доказали, че работи? Ако не можете да отговорите на третия въпрос, не сте купили нищо. И това решение принадлежи на регистъра на рисковете, а не на преговорите за обществени поръчки или медийния цикъл.
Прецизност. Европейската комисия отбелязва, че Съюзът разчита на държави извън ЕС за над 80% от ключовите дигитални продукти, услуги, инфраструктура и интелектуална собственост. Ако възприемете това като безнадеждно, стигате до парализа. Ако купите един суверенен слой и обявите победа, получавате просто прессъобщение.
Това, за което всъщност плащате, е контрол върху зависимостите, които имат значение за конкретно работно натоварване: кой държи ключовете, договор, указващ какво доставчикът ще оспорва и за какво ще ви уведомява, втори доставчик, където такъв съществува, и план за напускане, който реално сте изпробвали. И не само за основната ви платформа. Системите за заплати, CRM, архивните копия и мониторингът на сигурността съхраняват копия от същите данни в съответните си юрисдикции. Както правното разпореждане, така и атакуващият избират най-лесния път за проникване.
Преди всичко вие купувате сигурност, защото компрометираната среда не е суверенна. Всякакви уверения, които имате относно законния достъп, се обезсмислят в момента, в който някой получи незаконен достъп до вашите данни. В нашия доклад Digital Defense Report 63% от проникванията включват кражба на данни, а злоупотребата с облачна идентичност съставлява 78% от наблюдаваните техники за атака срещу критична инфраструктура. Това са пробиви в идентичността, а не в юрисдикцията, и никаква мярка за суверенитет върху нечий слайд не ги спира.
Сигурността не е паралелна програма спрямо суверенитета. Тя е негова предпоставка.
По-малко, отколкото би трябвало. Нямам точна цифра и не бих се доверил на никого, който твърди, че има такава, но в моите разговори това рядко се разбира. Принудителният достъп не е американска специфика. Обединеното кралство може да задължи доставчик да изгради техническа възможност. Франция може да изиска от определени доставчици да предадат ключове за декриптиране в рамките на седемдесет и два часа. А от 18 август 2026 г. регламентът e-Evidence позволява на орган в една държава членка да разпореди на доставчик в друга да предостави данни в срок от десет дни или осем часа при спешни случаи.
Честно казано, e-Evidence функционира в зона на взаимно признаване с общи стандарти за основните права. Но същността остава: може ли правителство да принуди моя доставчик? Да, почти навсякъде. Разликата между юрисдикциите е при какви условия, под какъв надзор и дали аз мога да разбера за това.
Тук ние като общество трябва да постигнем баланс. Всички искаме правоприлагащите органи да се борят със сексуалното насилие над деца, трафика на хора, тероризма и измамите, а тези престъпления са глобални. Доказателствата за тях се намират на нечий сървър, често в друга държава.
В същото време имаме нужда от неприкосновеност на личния живот и управляван риск. Така че въпросът не е дали тези правомощия трябва да съществуват, а дали са ясно ограничени: правно основание, независима оторизация, ограничение на обхвата, възможност за обжалване и начин за обществото да се увери, че системата работи.
Бих започнал от самата теза, защото тя предполага нещо, което не мога да потвърдя. Заповеди за конфиденциалност съществуват както в САЩ, така и в Европа. Колко често те засягат искания, свързани с данни на европейски предприятия, е въпрос, на който публичните данни не позволяват да се отговори категорично в нито една от двете посоки.
Самото им съществуване обаче означава, че липсата на документирани случаи има две тълкувания. Или рискът наистина е минимален, или правилата за поверителност работят според предназначението си. Ако заявите само първото, преувеличавате. Ако твърдите само второто, никога не може да бъдете опровергани. А секретността не е неоспорима: Microsoft заведе дело срещу Министерството на правосъдието на САЩ относно безсрочните заповеди за секретност през 2016 г., а министерството промени политиката си през 2017 г.
Третирайте го като риск, който не можете да измерите количествено. Попитайте доставчиците дали техните отчети за прозрачност са външно заверени. Включете ангажимента за оспорване на заповеди и уведомяване в договора, а не в публикация в блог. За ограничения клас данни, които го изискват, използвайте архитектура, при която доставчикът не може да чете съдържанието, и приемете цената под формата на ограничена функционалност. След това погледнете другия риск в същата стая — този, който се измерва в минути. Единият риск не можете да преброите. Другият ви дава число всеки ден. Само единият от тях ви показва откъде да започнете.