Holenderski fiskus rezygnuje z Microsoft 365 i przenosi pocztę na własne serwery

Holenderski urząd skarbowy porzucił plany korzystania z chmurowego pakietu biurowego Microsoftu. Poczta elektroniczna, kalendarze i narzędzia biurowe będą działać na serwerach, które urząd posiada lub kontroluje, w oparciu o europejskie oprogramowanie open source. Belastingdienst, holenderska służba celna oraz agencja wypłacająca świadczenia miały pracować w publicznej chmurze Microsoftu, korzystając z Outlooka, Teams i internetowych aplikacji Office. Teraz instytucja przechowująca dane finansowe wszystkich holenderskich podatników przenosi te usługi z powrotem na własny sprzęt.

Bezpośrednim powodem tej decyzji była opinia rządowego organu nadzorującego technologie informatyczne. Advisory Council on ICT Assessment uznała, że projekt oparty na chmurze publicznej „nie spełnia wymagań w zakresie bezpieczeństwa informacji, przetwarzania danych i przygotowania na przyszłość”, jak podał The Register. Wskazane problemy przypominają listę kontrolną, z którą mogłaby zmierzyć się każda organizacja korzystająca z chmury Microsoftu: poufne dokumenty przesyłane przez amerykańskie serwery oraz standardowe szyfrowanie Microsoftu zamiast Double Key Encryption — rozwiązania, w którym jeden z kluczy pozostaje w rękach klienta.

Rada ustaliła również, że indywidualne rozmowy w Teams nie były domyślnie szyfrowane end-to-end, a połączeń grupowych w ogóle nie dało się szyfrować w ten sposób. Największym problemem pozostawało jednak uzależnienie od dostawcy: jeden amerykański usługodawca i brak planu awaryjnego na wypadek, gdyby urząd skarbowy musiał kiedyś z niego zrezygnować. Holenderscy parlamentarzyści już wcześniej argumentowali, że oparcie się na jednym dostawcy z USA naraża kluczowe zadanie państwa, ponieważ amerykańskie prawo może zobowiązać firmy z tego kraju do przekazania danych niezależnie od miejsca ich przechowywania.

Jeszcze niedawno urząd skarbowy utrzymywał, że suwerenna alternatywa „nie jest realistyczna ani wykonalna”. Jak wyjaśnił sekretarz stanu ds. finansów Eelco Eerenberg, zmieniły się możliwości: Belastingdienst rozbudował własne centra danych na tyle, by samodzielnie hostować oprogramowanie. Aby ograniczyć koszty, urząd będzie w miarę możliwości ponownie wykorzystywać posiadane licencje. Zgodnie z zaleceniami rady zamierza też dobierać narzędzia do poszczególnych zadań, zamiast kupować cały pakiet od jednego dostawcy.

Plan wciąż ma jednak luki. Rząd nie wskazał konkretnych produktów, więc „europejskie oprogramowanie open source” to na razie kierunek, a nie dokonany wybór. Niektóre funkcje zarządzania dokumentacją dostępne w Microsoft 365 nie mają odpowiedników instalowanych lokalnie, a agencja nadal szuka sposobu, by je zastąpić. Według The Register około 5 tys. spośród 47 500 osób pracujących w urzędach skarbowych, celnych i instytucjach wypłacających świadczenia zdążyło już przejść do chmury. Nikt nie podał przy tym szacunkowego kosztu odwrotu od tej decyzji. Mieszane są również pierwsze oceny europejskich alternatyw: Politico informowało, że pracownik Komisji Europejskiej ostro skrytykował na wewnętrznym forum komunikacyjnym Element, konkurenta Teams.

Microsoft odmówił komentarza. Szybciej wypowiedzieli się dostawcy, którzy mogą skorzystać na tej decyzji. Frank Karlitschek, dyrektor generalny Nextcloud, wyraził zadowolenie z decyzji i poinformował, że w ubiegłym roku jego firma dodała ponad dwa miliony stanowisk pracy w suwerennej przestrzeni roboczej. Z kolei Matthew Hodgson, dyrektor generalny Element, określił opinie klientów jako „wyłącznie pozytywne i konstruktywne” oraz stwierdził, że należało się spodziewać pewnego oporu ze strony użytkowników niechętnych zmianom.

Poza Holandią decyzja ma znaczenie przede wszystkim jako precedens, a nie projekt informatyczny. Urzędy skarbowe należą do najbardziej ostrożnych instytucji państwowych, a ten właśnie oficjalnie stwierdził, że popularny amerykański pakiet chmurowy nie przeszedł jego oceny bezpieczeństwa. Słabości wskazane przez radę nie dotyczą żadnych rzadko używanych ustawień. Domyślne szyfrowanie, połączenia w Teams i umowa z jednym dostawcą — to standardowe warunki, na jakie godzi się większość organizacji, wybierając Microsoft 365. Większość holenderskich instytucji publicznych nadal korzysta z chmury Microsoftu.

Najpierw, w 2027 roku, poczta elektroniczna i kalendarze zostaną przeniesione na własne serwery urzędu skarbowego. Europejskie narzędzia open source do przechowywania danych osobistych i współpracy mają dołączyć później, w 2027 i 2028 roku, a Izba Reprezentantów otrzyma szczegółowy harmonogram w pierwszym kwartale 2027 roku. Eerenberg przedstawił plan w liście do parlamentu z 6 października, odpowiadając na pytania posłów.

Prawdziwym sprawdzianem będzie skrzynka odbiorcza: poranek, gdy dziesiątki tysięcy pracowników urzędów skarbowych, celnych i instytucji wypłacających świadczenia otworzą pocztę na serwerach kontrolowanych przez państwo holenderskie — i albo nie zauważą żadnej różnicy, albo zauważą ją od razu.

Tagi: microsoft, Open Source, Microsoft 365, Belastingdienst, Element, Nextcloud