Εισαγωγή
Αυτή είναι η δεύτερη φορά που γράφω για τη ΔΥΠΑ. Η πρώτη αφορούσε τη μετάβασή της στο Linux — μια επιλογή που αποτέλεσε θετικό παράδειγμα αξιοποίησης ανοιχτού λογισμικού στον δημόσιο τομέα. Η δεύτερη αφορά τη μετάβαση σε υπηρεσίες Microsoft Azure, μια εξέλιξη που δημιουργεί ερωτήματα σχετικά με το κόστος, την πολυπλοκότητα, την προστασία των δεδομένων, τη διατήρηση της τεχνογνωσίας και την ψηφιακή αυτονομία του οργανισμού.
Το άρθρο δεν υποστηρίζει ότι κάθε χρήση cloud ή κάθε εμπορική λύση είναι λανθασμένη. Εξετάζει, όμως, αν η συγκεκριμένη επιλογή ανταποκρίνεται στις πραγματικές ανάγκες της ΔΥΠΑ, αν αξιοποιεί με τον καλύτερο τρόπο τις υφιστάμενες υποδομές και αν συνοδεύεται από επαρκή τεχνική, οικονομική και θεσμική τεκμηρίωση. Παράλληλα, εξετάζει αν θα μπορούσε να είχε αναπτυχθεί ένα ιδιόκτητο ή ελεγχόμενο cloud ανοιχτού κώδικα, βασισμένο στην υπάρχουσα υποδομή, σε ανοιχτά πρότυπα και σε λύσεις όπως το Nextcloud.
Το Αρχικό Πλαίσιο
Από το 2019, η ΔΥΠΑ είχε στραφεί σε λύσεις ανοιχτού λογισμικού, όπως το Linux ως λειτουργικό σύστημα και το LibreOffice ως σουίτα γραφείου. Η επιλογή αυτή φαινόταν να ανταποκρίνεται στις βασικές ανάγκες ενός οργανισμού του οποίου πολλές εφαρμογές λειτουργούν μέσω web browser. Για μεγάλο μέρος των χρηστών, οι βασικές απαιτήσεις ήταν ένας υπολογιστής, ένα λειτουργικό σύστημα, ένας σύγχρονος browser και μια σουίτα επεξεργασίας εγγράφων. Το LibreOffice μπορούσε να καλύψει την τελευταία ανάγκη χωρίς κόστος αδειοδότησης ανά χρήστη.
Αυτό δε σημαίνει ότι το συνολικό λειτουργικό κόστος ήταν μηδενικό. Υπάρχουν πάντοτε δαπάνες για υποστήριξη, διαχείριση, εκπαίδευση, ενημερώσεις και συντήρηση. Ωστόσο, απουσίαζε το αντίστοιχο κόστος ιδιόκτητων αδειών χρήσης και μειωνόταν η εξάρτηση από έναν συγκεκριμένο προμηθευτή.
Το Linux προσέφερε επίσης μεγαλύτερο έλεγχο του περιβάλλοντος εργασίας. Η επιλογή ανοιχτού λογισμικού δεν αποτελεί από μόνη της εγγύηση ασφάλειας — η ασφάλεια προϋποθέτει συστηματικές ενημερώσεις, σωστή παραμετροποίηση, κεντρική διαχείριση, έλεγχο δικαιωμάτων, καταγραφή συμβάντων και οργανωμένες διαδικασίες αντιμετώπισης ευπαθειών. Ωστόσο, η δυνατότητα ανεξάρτητου ελέγχου του κώδικα, η χρήση ανοιχτών προτύπων και η δυνατότητα μεταφοράς των υπηρεσιών σε διαφορετική υποδομή αποτελούν σημαντικά πλεονεκτήματα για έναν δημόσιο οργανισμό.
Η Μετάβαση στο Azure και η Νέα Ροή Εργασιών
Η μετάβαση στο Azure δεν αφορά απλώς την αλλαγή του σημείου όπου φιλοξενούνται ορισμένες εφαρμογές. Επηρεάζει και τον τρόπο με τον οποίο οι εργαζόμενοι αποκτούν πρόσβαση στις υπηρεσίες της ΔΥΠΑ, καθώς και τον τρόπο με τον οποίο συνδέονται οι σταθμοί εργασίας, το δίκτυο του οργανισμού και οι κεντρικές υποδομές.
Με βάση τις διαθέσιμες πληροφορίες, η ενδεικτική ροή εργασιών έχει ως εξής:
Υπολογιστής υπηρεσίας → δίκτυο υπηρεσίας → VPN → κεντρικό σημείο εξόδου στο Internet → Azure → απομακρυσμένη επιφάνεια εργασίας → browser → web εφαρμογή ΔΥΠΑ
Σε αυτή την αρχιτεκτονική, ο υπάλληλος συνδέεται αρχικά στα Windows 11 με εταιρικό λογαριασμό Microsoft, στη συνέχεια αποκτά πρόσβαση σε απομακρυσμένη επιφάνεια εργασίας και μέσα από εκεί χρησιμοποιεί browser για να συνδεθεί στις web εφαρμογές της ΔΥΠΑ. Ακόμη και εφαρμογές του Microsoft 365 χρησιμοποιούνται μέσω web περιβάλλοντος.
Η σύγκριση με το προηγούμενο μοντέλο είναι αποκαλυπτική. Στο περιβάλλον Linux, ο χρήστης συνδεόταν απευθείας στις web εφαρμογές της ΔΥΠΑ χρησιμοποιώντας τον browser του τοπικού υπολογιστή. Στη νέα ροή προστίθενται πολλαπλά ενδιάμεσα επίπεδα, τα οποία πρέπει να αξιολογηθούν ως προς την αναγκαιότητα, την ασφάλεια, την απόδοση και το κόστος.
Η δημοσίευση της οικονομοτεχνικής μελέτης που τεκμηριώνει αυτή την επιλογή θα αποτελούσε βασική προϋπόθεση διαφάνειας για μια δημόσια υπηρεσία. Το ερώτημα παραμένει ανοιχτό: υπήρξαν εναλλακτικές προτάσεις και αν ναι, γιατί απορρίφθηκαν;
Η Επιβάρυνση του Δικτύου
Η συγκεκριμένη ροή έχει ιδιαίτερη σημασία επειδή οι χρήστες και οι υπηρεσίες της ΔΥΠΑ βρίσκονται γεωγραφικά κατανεμημένοι σε διαφορετικές περιοχές και πόλεις της Ελλάδας. Όταν η πρόσβαση πραγματοποιείται μέσω VPN, κεντρικού σημείου εξόδου, απομακρυσμένης επιφάνειας εργασίας που φιλοξενείται σε υποδομές εκτός Ελλάδας και στη συνέχεια web εφαρμογών, η ποιότητα της εμπειρίας εξαρτάται από πολλούς παράγοντες:
- Τη χωρητικότητα των συνδέσεων των υπηρεσιών
- Την απόδοση των VPN πυλών
- Το διαθέσιμο bandwidth στο κεντρικό σημείο εξόδου
- Τον χρόνο απόκρισης προς το Azure
- Την ποιότητα των συνδέσεων μεταξύ των γεωγραφικά απομακρυσμένων υπηρεσιών
- Τη σωστή διαστασιολόγηση των απομακρυσμένων περιβαλλόντων εργασίας
Η ανάγκη για πιο ισχυρά δίκτυα, καλύτερες συνδέσεις και αυξημένη χωρητικότητα προσθέτει κόστος σε έναν οργανισμό με πολλές εγκαταστάσεις. Το κόστος αυτό δεν αφορά μόνο τη σύνδεση με τον cloud πάροχο — περιλαμβάνει αναβαθμίσεις κυκλωμάτων, εξοπλισμό δικτύου, VPN υποδομές, παρακολούθηση, εφεδρικές συνδέσεις και τεχνική υποστήριξη.
Εάν η ίδια λειτουργία μπορούσε να πραγματοποιηθεί απευθείας μέσω browser, χωρίς απομακρυσμένη επιφάνεια εργασίας και χωρίς επιπλέον ενδιάμεσο περιβάλλον, τότε η ανάγκη αυτής της πρόσθετης πολυπλοκότητας θα πρέπει να αιτιολογηθεί ειδικά.
Η Πολυπλοκότητα και τα Σημεία Αστοχίας
Κάθε επιπλέον επίπεδο μιας αρχιτεκτονικής προσθέτει απαιτήσεις διαχείρισης και ένα ακόμη πιθανό σημείο αστοχίας. Στη συγκεκριμένη περίπτωση, πιθανά σημεία προβλήματος μπορεί να είναι:
- Ο τοπικός υπολογιστής
- Το τοπικό δίκτυο της υπηρεσίας
- Η σύνδεση VPN
- Η κεντρική υποδομή εξόδου στο Internet
- Η σύνδεση προς το Azure
- Η υπηρεσία απομακρυσμένης επιφάνειας εργασίας
- Η ταυτοποίηση μέσω Microsoft
- Ο browser στο απομακρυσμένο περιβάλλον
- Η ίδια η web εφαρμογή της ΔΥΠΑ
Όταν μια εφαρμογή λειτουργεί μέσω τόσο σύνθετης διαδρομής, η διάγνωση ενός προβλήματος γίνεται δυσκολότερη. Ένα πρόβλημα που ο χρήστης αντιλαμβάνεται ως «η εφαρμογή δεν λειτουργεί» μπορεί να οφείλεται στη σύνδεση, στο VPN, στην ταυτοποίηση, στο απομακρυσμένο περιβάλλον, στο Azure ή στην ίδια την εφαρμογή. Η πολυπλοκότητα δεν είναι πάντα κακή — είναι όμως προβληματική όταν προστίθεται χωρίς σαφή λειτουργική ανάγκη και χωρίς ανάλογο όφελος.
Η Μετάβαση Χωρίς Προετοιμασία
Μια αλλαγή αυτής της κλίμακας — που αφορά χιλιάδες χρήστες, δεκάδες υπηρεσίες και γεωγραφικά κατανεμημένες εγκαταστάσεις — απαιτεί συστηματική προετοιμασία. Αυτό περιλαμβάνει:
- Σταδιακή μετάβαση με πιλοτικές εγκαταστάσεις πριν από τη γενική εφαρμογή
- Επιμόρφωση του συνόλου των εργαζομένων στο νέο περιβάλλον
- Τεχνική υποστήριξη κατά τη μεταβατική περίοδο
- Παράλληλη λειτουργία παλαιού και νέου συστήματος για ορισμένο διάστημα
- Σαφές πλάνο επιστροφής σε περίπτωση αστοχίας
Από τις διαθέσιμες πληροφορίες, η μετάβαση δε φαίνεται να συνοδεύτηκε από οργανωμένο πρόγραμμα επιμόρφωσης. Οι χρήστες κλήθηκαν να προσαρμοστούν σε ένα εντελώς διαφορετικό τεχνολογικό περιβάλλον χωρίς επαρκή προετοιμασία. Αυτό δεν αυξάνει απλώς τα λειτουργικά προβλήματα — αυξάνει και το κόστος, καθώς η μειωμένη παραγωγικότητα, τα λάθη και οι καθυστερήσεις έχουν άμεσο οικονομικό αντίκτυπο.
Η εμπειρία από αντίστοιχες μεταβάσεις σε άλλους οργανισμούς δείχνει ότι η επιμόρφωση δεν είναι προαιρετική — είναι προϋπόθεση επιτυχίας. Η παράλειψή της μετατρέπει μια ήδη πολύπλοκη αλλαγή σε πηγή καθημερινής δυσλειτουργίας.
Το Συνολικό Κόστος
Η οικονομική αξιολόγηση δε θα πρέπει να περιορίζεται στη χρέωση του Azure. Θα πρέπει να περιλαμβάνει το συνολικό κόστος ιδιοκτησίας:
- Άδειες λειτουργικών συστημάτων (Windows 11 )
- Άδειες Microsoft 365
- Άδειες Remote Desktop αποκλειστικά για να συνδέονται οι χρήστες σε απομακρυσμένη επιφάνεια εργασίας με σκοπό να ανοίξουν… browser
- Υπολογιστικοί πόροι και αποθήκευση Azure
- Κόστος δικτύων και αναβαθμίσεων συνδέσεων
- VPN υποδομές και εξοπλισμός
- Κόστος εγκατάστασης και μετάπτωσης
- Εκπαίδευση και τεχνική υποστήριξη
- Κόστος μελλοντικής επέκτασης
- Κόστος πιθανής εξόδου από την πλατφόρμα
Το τελευταίο στοιχείο αξίζει ιδιαίτερης προσοχής: το κόστος εξόδου από το Azure δεν είναι μόνο οικονομικό. Περιλαμβάνει την αποδυνάμωση της εσωτερικής τεχνογνωσίας, την εξάρτηση από ιδιόκτητα APIs και μορφότυπα και τη δυσκολία επαναφοράς σε αυτόνομη υποδομή μετά από χρόνια εξάρτησης.
| Παράμετρος | Εμπορικό cloud Azure | Ιδιόκτητο cloud ανοιχτού κώδικα |
|---|---|---|
| Άδειες χρήσης | Επαναλαμβανόμενες χρεώσεις ανά χρήστη | Περιορισμένες ή μηδενικές |
| Υποδομή | Μικρότερη αρχική επένδυση, συνεχές λειτουργικό κόστος | Μεγαλύτερη αρχική επένδυση, χαμηλότερο μακροπρόθεσμο κόστος |
| Δίκτυο | Πρόσθετες απαιτήσεις VPN και bandwidth | Δυνατότητα τοπικής πρόσβασης |
| Έλεγχος δεδομένων | Εξαρτάται από τους όρους του παρόχου | Πλήρης έλεγχος από τον οργανισμό |
| Vendor lock-in | Αυξημένος | Μειωμένος με ανοιχτά πρότυπα |
| Τεχνογνωσία | Μεταφέρεται στον πάροχο | Αναπτύσσεται εντός του οργανισμού |
| Μακροπρόθεσμος έλεγχος κόστους | Εξαρτάται από τιμολογιακές αποφάσεις τρίτου | Μεγαλύτερη προβλεψιμότητα |
Η Εναλλακτική ενός Ιδιόκτητου Cloud Ανοιχτού Κώδικα
Η επιλογή δεν είναι αναγκαστικά μεταξύ ενός παλαιού data center και ενός μεγάλου εμπορικού cloud παρόχου. Υπάρχει και μια τρίτη προσέγγιση: η ανάπτυξη ενός ιδιόκτητου ή ελεγχόμενου private cloud βασισμένου σε ανοιχτές τεχνολογίες.
Ένα τέτοιο cloud θα μπορούσε να αναπτυχθεί στην υφιστάμενη υποδομή της ΔΥΠΑ και να αξιοποιεί Linux, ανοιχτές πλατφόρμες εικονικοποίησης, ανοιχτές λύσεις αποθήκευσης, κεντρική διαχείριση ταυτοτήτων, ανοιχτά APIs, αυτοματισμούς και εργαλεία DevOps, καθώς και το Nextcloud για συνεργασία, διαμοιρασμό αρχείων και ψηφιακό χώρο εργασίας.
Το Nextcloud δεν αποτελεί από μόνο του πλήρη αντικατάσταση όλων των υπηρεσιών Azure, μπορεί όμως να καλύψει βασικές ανάγκες όπως διαμοιρασμό και συγχρονισμό αρχείων, συνεργασία μεταξύ χρηστών, ημερολόγια και επαφές, διαχείριση εγγράφων και κεντρική διαχείριση πρόσβασης.
Ένα τέτοιο μοντέλο δεν θα ήταν απλή εγκατάσταση λογισμικού. Θα απαιτούσε υψηλή διαθεσιμότητα, εφεδρείες, αντίγραφα ασφαλείας, κρυπτογράφηση, παρακολούθηση, ενημερώσεις και επαρκή τεχνική ομάδα. Το πλεονέκτημα είναι ότι ο οργανισμός θα διατηρούσε τον πλήρη έλεγχο της αρχιτεκτονικής.
Ευρωπαϊκά Παραδείγματα
Η χρήση του Nextcloud από δημόσιους οργανισμούς δεν αποτελεί θεωρητική πρόταση.
Στη Γαλλία, το Υπουργείο Εσωτερικών έχει αναπτύξει λύσεις εσωτερικού cloud βασισμένες στο Nextcloud. Στη Γερμανία, το κρατίδιο Mecklenburg-Vorpommern έχει ανακοινώσει μετάβαση σε self-hosted Nextcloud ως μέρος ευρύτερης στρατηγικής ψηφιακής κυριαρχίας. Στην περιοχή Île-de-France, πλατφόρμα βασισμένη στο Nextcloud χρησιμοποιείται από περίπου 550.000 μαθητές, εκπαιδευτικούς και διοικητικούς υπαλλήλους. Στην Ιταλία, η Περιφέρεια Veneto έχει αναπτύξει on-premises πλατφόρμα βασισμένη στο Nextcloud για εργαζομένους σε διαφορετικά γραφεία και υπηρεσίες.
Τα παραδείγματα αυτά δείχνουν ότι δημόσιοι οργανισμοί και περιφερειακές διοικήσεις στην Ευρώπη εξετάζουν ενεργά λύσεις ανοιχτού κώδικα για κρίσιμες υπηρεσίες — όχι ως πείραμα, αλλά ως στρατηγική επιλογή.
Ψηφιακή Κυριαρχία
Η ψηφιακή κυριαρχία δεν σημαίνει απομόνωση από τις διεθνείς τεχνολογίες ούτε απόρριψη κάθε εμπορικού προϊόντος. Σημαίνει ότι ένας οργανισμός έχει τη δυνατότητα να γνωρίζει, να ελέγχει και να αλλάζει την τεχνολογική υποδομή από την οποία εξαρτάται. Πρακτικά, περιλαμβάνει έλεγχο των δεδομένων και των κρίσιμων υποδομών, διαφάνεια στη λειτουργία, χρήση ανοιχτών προτύπων, δυνατότητα μεταφοράς δεδομένων, μείωση του vendor lock-in και διατήρηση τεχνικής τεχνογνωσίας.
Η Ευρωπαϊκή Επιτροπή, μέσω της Στρατηγικής Ανοιχτού Λογισμικού 2020-2023, συνδέει ρητά το ανοιχτό λογισμικό με την τεχνολογική κυριαρχία και υιοθετεί την αρχή «open source first» για τις δημόσιες αρχές. Η Ευρώπη απομακρύνεται σταδιακά από την εξάρτηση από αμερικανικές πλατφόρμες — η ΔΥΠΑ φαίνεται να κινείται προς την αντίθετη κατεύθυνση.
Ανάπτυξη της Εγχώριας Αγοράς
Η ΔΥΠΑ δεν είναι ένας συνηθισμένος οργανισμός. Είναι η Δημόσια Υπηρεσία Απασχόλησης. Οι μεγάλες τεχνολογικές της επενδύσεις θα μπορούσαν να έχουν διπλό στόχο: να εκσυγχρονίζουν τις υπηρεσίες της και ταυτόχρονα να δημιουργούν ζήτηση για νέες δεξιότητες και θέσεις εργασίας στην εγχώρια αγορά.
Μια επένδυση σε ιδιόκτητο cloud ανοιχτού κώδικα θα μπορούσε να δημιουργήσει ευκαιρίες για ελληνικές εταιρείες πληροφορικής, παρόχους υπηρεσιών Linux και cloud, μηχανικούς DevOps, ειδικούς κυβερνοασφάλειας, προγραμματιστές, ερευνητικές ομάδες και πανεπιστήμια. Μέρος των δημόσιων δαπανών θα παρέμενε στην ελληνική αγορά και θα μετατρεπόταν σε τεχνογνωσία και επαγγελματικές ευκαιρίες. Για έναν οργανισμό που έχει ως αποστολή την απασχόληση, η διάσταση αυτή δεν θα έπρεπε να θεωρείται δευτερεύον ζήτημα.
Προστασία Δεδομένων
Η φιλοξενία δεδομένων δημόσιου οργανισμού σε υπηρεσίες εκτός Ευρωπαϊκής Ένωσης δεν είναι αυτομάτως παράνομη, δημιουργεί όμως πρόσθετες απαιτήσεις και ερωτήματα. Η υπαγωγή ενός παρόχου σε αμερικανική νομοθεσία, όπως ο CLOUD Act, εγείρει ερωτήματα σχετικά με την αλληλεπίδρασή του με τον GDPR. Το Ευρωπαϊκό Συμβούλιο Προστασίας Δεδομένων και ο Ευρωπαίος Επόπτης Προστασίας Δεδομένων έχουν επισημάνει ότι ένα αίτημα ξένης αρχής δεν αποτελεί από μόνο του επαρκή νομική βάση για τη διαβίβαση προσωπικών δεδομένων βάσει του GDPR.
Η αξιοποίηση υποδομών που ελέγχονται από τον ίδιο τον δημόσιο οργανισμό ή από ευρωπαϊκό δημόσιο πάροχο μπορεί να ενισχύσει τον έλεγχο, τη διαφάνεια και τη δυνατότητα εφαρμογής πολιτικών προστασίας δεδομένων.
Τι Θα Έπρεπε να Είχε Προηγηθεί
Πριν από μια αλλαγή τέτοιας κλίμακας, θα ήταν αναγκαία μια ολοκληρωμένη τεχνική και οικονομοτεχνική αξιολόγηση που θα περιλάμβανε:
- Καταγραφή της υφιστάμενης υποδομής, εφαρμογών και τεχνογνωσίας
- Καταγραφή των πραγματικών αναγκών των χρηστών
- Πρόβλεψη μελλοντικών αναγκών σε βάθος χρόνου
- Σύγκριση ιδιόκτητης, cloud, υβριδικής και πολυ-cloud αρχιτεκτονικής
- Εξέταση λύσεων ανοιχτού κώδικα, όπως το Nextcloud
- Ανάλυση συνολικού κόστους σε ορίζοντα πολλών ετών, συμπεριλαμβανομένου του κόστους εξόδου
- Αξιολόγηση ασφάλειας, διαθεσιμότητας και προστασίας δεδομένων
- Εκτίμηση επιπτώσεων στη διατήρηση της εσωτερικής τεχνογνωσίας
- Αξιολόγηση επιπτώσεων στην εγχώρια αγορά εργασίας
- Καθορισμό μετρήσιμων κριτηρίων για την επιτυχία της μετάβασης
- Σχεδιασμό προγράμματος επιμόρφωσης για το σύνολο των εργαζομένων
Συμπέρασμα
Η μετάβαση μιας δημόσιας υπηρεσίας σε cloud υποδομή δεν είναι από μόνη της λανθασμένη. Μπορεί να είναι τεχνικά και οικονομικά δικαιολογημένη, εφόσον απαντά σε συγκεκριμένες ανάγκες και συνοδεύεται από επαρκείς εγγυήσεις ασφάλειας, προστασίας δεδομένων και δυνατότητας εξόδου.
Όταν, όμως, ένας οργανισμός διαθέτει υφιστάμενη υποδομή, ανθρώπινο δυναμικό και εμπειρία σε λύσεις ανοιχτού λογισμικού, η εγκατάλειψη ή η αποδυνάμωσή τους χρειάζεται ιδιαίτερη τεκμηρίωση. Η επιλογή δεν είναι απαραίτητα μεταξύ ενός παλαιού data center και ενός εμπορικού hyperscaler. Θα μπορούσε να εξεταστεί η ανάπτυξη ενός σύγχρονου ιδιόκτητου cloud ανοιχτού κώδικα, βασισμένου σε αναβαθμισμένη υποδομή και ανοιχτά πρότυπα.
Το τελικό ερώτημα δεν είναι αν το Azure είναι τεχνικά ικανό. Είναι αν η συγκεκριμένη επιλογή — με το συγκεκριμένο κόστος, την πολυπλοκότητα της δικτυακής διαδρομής, την απουσία οργανωμένης επιμόρφωσης και τις μακροπρόθεσμες συνέπειες στην ψηφιακή αυτονομία — υπηρετεί καλύτερα το δημόσιο συμφέρον από μια καλά σχεδιασμένη λύση ιδιόκτητου cloud ανοιχτού κώδικα.
Αν υπάρχει μια κεντρική διαπίστωση που προκύπτει από αυτή την ανάλυση, είναι η εξής: η ΔΥΠΑ είχε στη διάθεσή της υποδομή, τεχνογνωσία και ένα λειτουργικό μοντέλο που, με τις κατάλληλες επενδύσεις και αναβαθμίσεις, θα μπορούσε να αναπτυχθεί σε σύγχρονη και ανεξάρτητη ψηφιακή πλατφόρμα. Αντ’ αυτού, επέλεξε να εξαρτηθεί από εξωτερικό πάροχο, να αυξήσει την πολυπλοκότητα, να μεταφέρει δαπάνες εκτός της ελληνικής αγοράς και να αποδυναμώσει υποδομές που χτίστηκαν με δημόσιο χρήμα — χωρίς να έχει τεκμηριώσει δημοσίως γιατί αυτή ήταν η καλύτερη επιλογή.
Η Ευρώπη ήδη κινείται προς την ψηφιακή κυριαρχία. Απομένει να αποφασίσει και η ΔΥΠΑ αν θέλει να ακολουθήσει αυτή την κατεύθυνση.
Η πρώτη φορά ήταν αυτή;
https://opensource.ellak.gr/2019/06/26/o-oaed-ante-portas-tou-anichtou-logismikou/
Αν ναι, έχει πραγματικά ενδιαφέρον να διαβάζει κανείς τα δύο άρθρα με επτά χρόνια απόσταση.
Μάλιστα, ήδη στα σχόλια του άρθρου του 2019 είχε επισημανθεί ένα πραγματικό μειονέκτημα της τότε υλοποίησης: η έλλειψη ουσιαστικής κεντρικής διαχείρισης των χιλιάδων Linux σταθμών. Η λογική συνέχεια όμως θα μπορούσε να είναι να διορθωθεί αυτή η αδυναμία και να εξελιχθεί η υπάρχουσα υποδομή, όχι αναγκαστικά να εγκαταλειφθεί.
Το σημερινό έργο VDI χρηματοδοτήθηκε από το Ταμείο Ανάκαμψης. Αν όμως το βασικό κριτήριο μιας τόσο μεγάλης τεχνολογικής αλλαγής ήταν τελικά η αξιοποίηση διαθέσιμων κονδυλίων και όχι μια συγκριτική μελέτη πραγματικών αναγκών και εναλλακτικών λύσεων, τότε υπάρχει ένα πολύ σοβαρότερο ερώτημα: γιατί τα ίδια κονδύλια να μη χρησιμοποιηθούν για να βελτιωθεί αυτό που ήδη υπήρχε;
Θα μπορούσε, για παράδειγμα, να δημιουργηθεί ολοκληρωμένη κεντρική διαχείριση των Linux σταθμών: κεντρική ταυτοποίηση χρηστών, πολιτικές ασφαλείας, απομακρυσμένη εγκατάσταση λογισμικού και ενημερώσεων, inventory, monitoring, logging, remote support και αυτοματισμοί, με τεχνολογίες όπως FreeIPA/LDAP, Ansible/AWX ή αντίστοιχα εργαλεία ανοικτού κώδικα. Θα μπορούσαν παράλληλα να χρηματοδοτηθούν ισχυρές κεντρικές υποδομές KVM/OpenStack, storage, backup και disaster recovery.
Για συνεργασία και αρχεία υπάρχουν λύσεις όπως Nextcloud, για web επεξεργασία εγγράφων λύσεις βασισμένες σε LibreOffice/Collabora, ενώ για τους σταθμούς εργασίας το LibreOffice θα μπορούσε να παραμείνει τοπικά εγκατεστημένο. Κεντρικές υπηρεσίες ταυτοποίησης, τηλεδιάσκεψης, απομακρυσμένης πρόσβασης και ηλεκτρονικού ταχυδρομείου μπορούν επίσης να υλοποιηθούν με ανοικτά πρότυπα και χωρίς να εξαρτάται ολόκληρη η αρχιτεκτονική από έναν κατασκευαστή.
Φυσικά τίποτα από αυτά δεν είναι «δωρεάν». Χρειάζονται servers, αποθήκευση, προσωπικό, υποστήριξη, εκπαίδευση, ασφάλεια και συντήρηση. Άλλο όμως να επενδύονται δημόσια χρήματα σε υποδομή και τεχνογνωσία που παραμένουν στον φορέα και άλλο να δημιουργείται μόνιμη ανάγκη επαναλαμβανόμενων αδειών ανά χρήστη και εξάρτηση από έναν συγκεκριμένο πάροχο.
Επομένως, ακόμη και αν υπήρχε η ανάγκη να αξιοποιηθούν κονδύλια του ΤΑΑ, υπήρχαν τρόποι να επενδυθούν σε έναν πραγματικό εκσυγχρονισμό της υποδομής ανοικτού λογισμικού και στην κεντρική διαχείρισή της, χωρίς η «ψηφιακή αναβάθμιση» να σημαίνει υποχρεωτικά Microsoft 365, Azure και διαρκές vendor lock-in.
Συμπληρωματικά στο προηγούμενο σχόλιό μου, υπάρχει και ένα σημαντικό επίσημο στοιχείο που αξίζει να προστεθεί.
Το έργο VDI εντάχθηκε το 2023 στο Ταμείο Ανάκαμψης και Ανθεκτικότητας – NextGenerationEU, στο πλαίσιο της Δράσης 16942 «Ψηφιοποίηση ΟΑΕΔ», ως έργο «Προμήθεια υποδομών εικονικών επιφανειών εργασίας και εφαρμογών γραφείου», για 4.000 χρήστες, με εγκεκριμένο προϋπολογισμό 5.010.508,99 € με ΦΠΑ:
https://greece20.gov.gr/wp-content/uploads/2023/05/814.Virtual-Desktops_DYPA_5202985.pdf
Αυτό κάνει ακόμη πιο ενδιαφέρον το ερώτημα: εφόσον υπήρχαν διαθέσιμα πάνω από 5 εκατ. ευρώ για ψηφιακή αναβάθμιση, εξετάστηκε η δυνατότητα να επενδυθούν στην κεντρική διαχείριση και εξέλιξη της ήδη υπάρχουσας υποδομής Linux και ανοικτού λογισμικού;
Η χρηματοδότηση από το ΤΑΑ δεν επέβαλλε από μόνη της Microsoft, Azure ή Microsoft 365. Θα μπορούσε να χρηματοδοτηθεί κεντρική διαχείριση Linux, αυτοματοποίηση ενημερώσεων και εγκαταστάσεων, identity management, monitoring, backup/disaster recovery, private cloud και συνεργατικές λύσεις ανοικτού κώδικα.
Έτσι, αντί τα δημόσια χρήματα να δημιουργούν μακροχρόνια ανάγκη επαναλαμβανόμενων αδειών και εξάρτηση από έναν κατασκευαστή, θα μπορούσαν να επενδύονται σε υποδομή και τεχνογνωσία που παραμένουν στον δημόσιο φορέα.
Θα είχε αρκετό ενδιαφέρον να μάθουμε ποιος σκέφτηκε αυτή την υλοποίηση και αν υπήρχε συγκεκριμένη μελέτη που την πρότεινε σε σχέση με άλλες επιλογές.
Τα κρίσιμα σημεία είναι τα εξής:
Κόστος: Η συγκεκριμένη λύση είναι ιδιαίτερα δαπανηρή τόσο στην υλοποίηση όσο και στη λειτουργία της, χωρίς να προσφέρει ουσιαστική προστιθέμενη αξία, καθώς με εναλλακτικές (ή ανοιχτού κώδικα / δωρεάν) υπηρεσίες οι υπάλληλοι θα λειτουργούσαν χωρίς κανένα πρόβλημα.
Απαξίωση υποδομών: Αποδυναμώνεται η υφιστάμενη υποδομή, η οποία έχει ήδη πληρωθεί από τον ελληνικό λαό.
Ψηφιακή εξάρτηση: Η υπηρεσία χάνει την ψηφιακή της ανεξαρτησία, καθώς πλέον θα εξαρτάται πλήρως από έναν εμπορικό πάροχο (vendor lock-in).
Προσωπικά Δεδομένα & Θεσμικό Πλαίσιο: Το σημαντικότερο είναι ότι εκθέτει τα προσωπικά δεδομένα στη δικαιοδοσία του αμερικανικού δικαίου (π.χ. US CLOUD Act). Γι’ αυτόν ακριβώς τον λόγο, πολλοί ευρωπαϊκοί οργανισμοί εγκαταλείπουν τις αμερικανικές πλατφόρμες cloud (όπως το Azure) και μεταβαίνουν σε ιδιόκτητες ή ευρωπαϊκές υποδομές. Φαίνεται πως όποιοι έλαβαν τις αποφάσεις ήταν πλήρως αποκομμένοι από το ευρωπαϊκό γίγνεσθαι.
Επιπλέον, ανακύπτουν μείζονα ερωτήματα σχετικά με την ασφάλεια των δεδομένων και τη συμμόρφωση με τον Γενικό Κανονισμό Προστασίας Δεδομένων (GDPR):
Διασφάλιση Κρυπτογράφησης & Πρόσβαση Διαχειριστών: Τηρούνται πρωτόκολλα κρυπτογράφησης των δεδομένων (at-rest και in-transit) στο OneDrive και το περιβάλλον VDI, και ποιες ασφαλιστικές δικλείδες υπάρχουν ώστε να αποτρέπεται η αυθαίρετη πρόσβαση των διαχειριστών συστημάτων (sysadmins) στα προσωπικά αρχεία των εργαζομένων;
Θεσμικός Ρόλος του DPO: Ζητήθηκε η επίσημη γνωμοδότηση του Υπευθύνου Προστασίας Δεδομένων (DPO) του οργανισμού πριν από τη λήψη της απόφασης, όπως επιβάλλει το θεσμικό πλαίσιο;
Εκτίμηση Αντικτύπου (DPIA) & ΑΠΔΠΧ: Διενεργήθηκε η προβλεπόμενη Εκτίμηση Αντικτύπου σχετικά με την Προστασία Δεδομένων (DPIA) για τη χρήση cloud υπηρεσιών και VDI, και ενημερώθηκε σχετικά η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα (ΑΠΔΠΧ);
Η έλλειψη διαφάνειας στα παραπάνω σημείο γεννά εύλογους προβληματισμούς ως προς την ουσιαστική εφαρμογή της νομοθεσίας για την προστασία της ιδιωτικότητας των εργαζομένων.
Το “κερασάκι στην τούρτα” είναι ότι η ίδια η κεντρική κυβέρνηση διατηρεί τις κρίσιμες υποδομές της —που περιέχουν προσωπικά δεδομένα πολιτών— σε ιδιόκτητο cloud (G-Cloud), δημιουργώντας μια προφανή αντίφαση.
Πολύ σημαντική η διάσταση που βάζετε για GDPR, DPO και πρόσβαση διαχειριστών. Νομίζω ότι εδώ ανοίγει ένα ακόμη μεγαλύτερο θέμα που θα άξιζε να διερευνηθεί δημόσια.
Δεν αρκεί να γνωρίζουμε ότι «τα δεδομένα είναι κρυπτογραφημένα». Το κρίσιμο είναι ποιος μπορεί να αποκτήσει πρόσβαση, με ποια ιδιότητα, για ποιο σκοπό, ποιος εγκρίνει αυτή την πρόσβαση και αν κάθε τέτοια ενέργεια καταγράφεται και ελέγχεται εκ των υστέρων.
Ειδικά με την είσοδο του Copilot το ζήτημα αποκτά άλλη διάσταση. Η ίδια η Microsoft αναφέρει ότι στα Microsoft 365 Copilot/Copilot Chat αποθηκεύονται τα prompts των χρηστών και οι απαντήσεις του Copilot και ότι τα δεδομένα αυτά μπορούν, με τα κατάλληλα δικαιώματα συμμόρφωσης, να αναζητηθούν μέσω Microsoft Purview/eDiscovery. Δεν πρόκειται λοιπόν μόνο για αρχεία στο OneDrive ή για email, αλλά δυνητικά και για τα ερωτήματα που ένας εργαζόμενος θέτει στην ΤΝ, τα προσχέδιά του και τις απαντήσεις που λαμβάνει.
Microsoft Learn +2
Αυτό δημιουργεί πολύ συγκεκριμένα ερωτήματα:
– Ποιοι ακριβώς ρόλοι στη ΔΥΠΑ, στη ΓΓΠΣΔΔ ή σε τρίτους έχουν δυνατότητα eDiscovery, Content Search ή αντίστοιχης πρόσβασης;
– Ποιος εγκρίνει την απόδοση αυτών των δικαιωμάτων και υπό ποιες προϋποθέσεις μπορούν να χρησιμοποιηθούν;
– Καταγράφεται κάθε αναζήτηση ή πρόσβαση και μπορεί να ελεγχθεί ποιος είδε τι και πότε;
– Υπάρχει διαδικασία που απαιτεί καταγραφή του υπηρεσιακού λόγου για τον οποίο έγινε μια τέτοια αναζήτηση;
– Πόσο χρόνο διατηρούνται emails, αρχεία, logs και Copilot prompts/responses και ποιος έχει καθορίσει τις πολιτικές retention;
– Έχουν ενημερωθεί αναλυτικά οι εργαζόμενοι για αυτές τις δυνατότητες πρόσβασης και επεξεργασίας, όπως απαιτεί η αρχή της διαφάνειας του GDPR;
– Έχει γνωμοδοτήσει ο DPO και έχει πραγματοποιηθεί DPIA ή, εφόσον κρίθηκε ότι δεν απαιτείται, υπάρχει σχετική τεκμηρίωση;
Ο GDPR απαιτεί διαφάνεια ως προς τον σκοπό της επεξεργασίας, τη νομική βάση και τους αποδέκτες ή τις κατηγορίες αποδεκτών των προσωπικών δεδομένων, ενώ για επεξεργασίες που ενδέχεται να δημιουργούν υψηλό κίνδυνο προβλέπει Εκτίμηση Αντικτύπου.
Eur-Lex +1
Μετά και τη δημόσια συζήτηση των τελευταίων ετών γύρω από τις παρακολουθήσεις και το Predator, θεωρώ ότι σε ένα τέτοιο σύστημα η εμπιστοσύνη δεν μπορεί να βασίζεται απλώς στο “υπάρχουν δικαιώματα διαχειριστή αλλά δεν θα χρησιμοποιηθούν καταχρηστικά”. Χρειάζονται τεχνικές και θεσμικές εγγυήσεις: ελάχιστα αναγκαία δικαιώματα, σαφής διαδικασία έγκρισης, πλήρες audit trail, έλεγχος των προσβάσεων και ενημέρωση των εργαζομένων.
Ίσως λοιπόν το πιο απλό ερώτημα που πρέπει να απαντηθεί είναι: γνωρίζει σήμερα κάθε δημόσιος υπάλληλος που χρησιμοποιεί Microsoft 365 και Copilot ποια από τα δεδομένα και τις αλληλεπιδράσεις του αποθηκεύονται, για πόσο χρόνο, ποιος μπορεί να αποκτήσει πρόσβαση σε αυτά και υπό ποιες εγγυήσεις;