Cum se risipeste cloud-ul guvernamental

Am scris cât se poate de elegant despre unul dintre subiectele care m-au frământat mult în ultima perioadă. Nu cred că îngroparea sub preș, în numele atragerii de fonduri, justifică irosirea acestora (mai ales când 1/2 sunt datorii, nu grant-uri), nu justifică timpul pierdut și nu justifică grava alterare a industriei și a administrației publice indusă de proiecte artificiale și supraevaluate.

PNRR a venit prea repede, noi am acționat prea improvizat, sumele teoretic disponibile dar cu condiții nemaivăzut de drastice pentru rambursare, toate sunt motive de îngrijorare. Poate ne revenim, în stil românesc, în al 12-lea ceas ?

https://www.contributors.ro/cum-se-risipeste-cloud-ul-guvernamental/

Textul articolului

Nu avem azi un cloud guvernamental deși a apărut ca promisiune politică într-un program de guvernare încă din urmă cu 9 ani. Mai mult, cu cât pare mai probabil să se întâmple cu atât semnificația acestui cuvânt devine mai neclară. Voi încerca să punctez în continuare cauzele reale care au împiedicat apariția sa, surpriză, niciodată banii nu au lipsit.

Nu voi descrie ce este un cloud, voi spune doar că sunt necesare minim două centre de date de o siguranță cât mai bună (clasificată pe nivele TIER de la 1 la 4) iar în interiorul acestora o cantitate mare de servere configurate într-o progresie de servicii (IaaS, PaaS, SaaS) adecvate diverselor grade de acceptare a cloud-ului de către utilizatorii săi.

Deși în comunicarea politică acest cuvânt are azi o valoare proprie în realitate cloud-ul a apărut ca o soluție a unor probleme economice și societale, existente și în România. Evaluarea acestor provocări ar trebui să ne indice versiunea ideală de cloud pentru administrația românească, identificarea blocajelor ar trebui să ne permită implementarea.

Pierdem bani, zi de zi

Să începem cu câteva informații statistice din surse oficiale. Ca bază putem alege tentativa unui inventar al sistemelor informatice realizată în anul 2015 de GLIT la nivelul administrației centrale și fructificată în studiul RGEAIF. La acel moment erau remarcabile cele 10.000 cores procesor server utilizate de Ministerul Finanțelor Publice sau cele peste 600 de aplicații instalate în sistemul de justiție tot pe 10.000 de cores împrăștiate pe servere din sute de locații (cele mai multe fiind sedii de instanțe și parchete). Cele două exemple sunt diferite și din perspectiva optimizării încărcării, dacă MFP avea posibilitatea redistribuirii prin sistemul de virtualizare, răspândirea geografică din justiție făcea imposibilă acest lucru. Merită subliniat că așa-zisul cloud guvernamental de la ICI oferea la acel moment 2600 de cores, nefiind astfel relevant pentru administrația publică centrală.

Deși astăzi aceste valori sunt desigur mai mari să le luăm totuși ca bază pentru un mic calcul contabil. Pornind de la ideea că un server tipic din administrația publică românească are 8 cores și 800 Wh consum mediu rezultă 19 Kw / zi sau 7000 Kw/an sau 875 Kw/core sau 500 lei/core/an. Din păcate această valoare nu este finală, aceste servere trebuie răcite existând un consum specific proporțional cu consumul serverului. Pentru serverele amplasate în locații improvizate aceste raport este de peste 2, respectiv consumul total este mai mult decât dublul consumului serverului putând ajunge astfel și la un cost de 1000 lei/core/an. Acest tip de calcul de natură economică este unul dintre pilonii apariției tehnologiei de cloud, aceasta optimizând consumul energetic printr-un factor de eficiență energetică între 1,1 și 1,2 obținut de centrele de date moderne de mari dimensiuni. O altă reducere de costuri semnificativă se obține prin echilibrarea și creșterea încărcării la nivel de core scăzând astfel numărul acestora. Astfel, în zona costurilor de operare, rezultă că cea mai eficientă soluție este virtualizarea tuturor serverelor în centre de date puține dar cât mai mari.

Deși în anul 2003, în strategia sa de informatizare, MFP a calculat economiile substanțiale date de centralizarea activităților sale într-un singur centru de date, în ciuda rolului său în eficientizarea cheltuirii bugetelor publice, nu a extins evaluarea la nivelul întregii administrații publice și nu a continuat ajustarea calculelor cu progresul tehnologic al procesoarelor a căror performanță per watt este în creștere exponențială.

Pierdem calitatea serviciilor guvernamentale

Acest grafic, produs de Consiliul Concurenței, ne arată distribuția istorică a costurilor în zona investițiilor IT și potențialul de optimizare al acestora. Costul hardware-ului se poate optimiza prin achiziții centralizate, de mari dimensiuni, licențele software printr-o preferință pentru open source iar restul componentelor prin externalizare. Cloud-ul guvernamental ar fi atât o achiziție de mari dimensiuni cât și o miză care să justifice efortul semnificativ de acumulare a cunoștințelor necesare pentru utilizarea aplicațiilor open source, de altfel toți marii furnizori de cloud comercial folosesc ori aplicații open source ori produse dezvoltate prin eforturi interne. Externalizarea este la rândul ei tentantă, deși suntem departe de a avea un cloud guvernamental Autoritatea pentru Digitalizarea României ADR a propus deja o lege prin care să devină singurul achizitor de servicii de dezvoltare pentru aplicațiile de cloud.

Chiar dacă instituțiile publice sunt tradițional insensibile în fața oportunităților de reducere a costurilor odată ce le-a fost aprobat bugetul, buna execuție a activității de operare și mentenanță le este critică, neputându-și permite întreruperea activității, fiindu-le astfel principalul stimulent pentru adoptarea cloud-ului.

Ne-am putea deci aștepta să vedem toate serverele guvernamentale adunate într-o pereche (pentru redundanță) de centre de date performante (Tier 3-4) în grija unei echipe tehnice de înaltă calificare, cu responsabilități inclusiv în zona de standardizare, interoperabilitate, a managementului identității și accesului la nivelul întregii administrații.

În egală măsură acesta economie a bugetului reprezintă o reducere a cifrei de afaceri a furnizorilor tradiționali ai instituțiilor publice, o pierdere a sporurilor pentru membrii echipei de proiect și o reducere a bugetelor, respectiv a prestanței, conducătorilor acestor instituții. Toate acestea le sunt inacceptabile azi, când valul de bani PNRR pare a se prăbuși asupra noastră și orice parcimonie își pierde sensul.

Pierdem timp evitând decizii supărătoare

Există însă câteva probleme spinoase și pentru acei puțini care decid fără a se uita la acest mărunțiș. Odată cu activarea armelor economice de tip embargo tehnologic de către SUA împotriva Chinei, Uniunea Europeană și-a descoperit vulnerabilitatea strategică și a introdus în discursul public conceptul de cloud suveran. Viziunea  sa cuprinde o rețea de centre de date guvernamentale, în fiecare stat membru, interoperabile și capabile să preia din mers activitatea unui membru dacă acesta suferă un incident catastrofic, toate fiind bazate pe tehnologie hardware și software produsă de companii aflate 100% sub jurisdicție europeană. Cum administrația americană și-a dovedit controlul asupra activității companiilor americane cu activitate și filiale în Europa, prin legislația CLOUD Act, există un proces de îndepărtare a acestora din zona guvernamentală europeană bazat pe apariția unui standard de evaluare, în lucru la ENISA (agenția UE răspunzătoare de securitatea rețelelor informatice), a serviciilor de cloud, precum și pe un efort privat al unor companii cu rădăcini europene de completare a portofoliului de tehnologii necesare (proiectul GAIA-X). Pe de o parte, pentru România, relațiile cu partenerul strategic nu par a impune astfel de măsuri de prevedere, pe de altă parte este greu să ignorăm viziunea europeană cât timp aceasta este sursa finanțării proiectului actual iar integrarea sa în rețeaua europeană este o condiție pentru finanțarea dezvoltării sale ulterioare.

O altă problemă dificilă este identificarea ” echipei tehnice de înaltă calificare”. Deși legislativ ar avea misiunea să ofere aceste servicii ADR nu a acumulat astfel de competențe tehnice iar CNIF nu a alocat resurse, în realitate singura instituție care oferă în mod curent servicii de centru de date și IaaS pentru instituțiile publice este STS. Explicația faptului că în ultimii 10 ani STS și-a extins serviciile cantitativ dar nu și calitativ (practic nu a evoluat de la IaaS la PaaS și SaaS) s-ar putea baza pe prevederile Art.15 al Legii 362/2018 care oferă independență în activitatea proprie, din punctul de vedere al asigurării securității datelor, unui număr de instituții printre care și STS. Oferirea de servicii de tip PaaS și SaaS de către STS ar muta responsabilitatea asupra unei părți semnificative de activitate guvernamentală din zona SRI – Cert-RO către STS afectând o activitate mult mai complexă decât zona de cyber-security și astfel a suferit, în timp, blocaje mai mult sau mai puțin transparente. Departe de mine nostalgia perioadei în care o singură instituție rezolva întreaga RSR, dar poate că în cadrul discuțiilor curente de actualizare a Strategiei Naționale de Securitate Cibernetică  va fi diminuat numărul acestor abordări independente și redusă competiția colegială, în definitiv faptul că Serviciul Român de Informații, Ministerul Afacerilor Interne, Oficiul Registrului Naţional al Informaţiilor Secrete de Stat, Serviciul de Informaţii Externe, Serviciul de Telecomunicaţii Speciale şi Serviciul de Protecţie şi Pază au o origine comună nu implică și că absolut toate au capabilități egale în tehnologiile anului 2021. Recurgerea la operarea cloud-ului guvernamental de către un operator privat ar putea fi securizată prin metode specifice însă ar fi, probabil, primită negativ de populație atrăgând costuri politice.

O altă dificultate este blocarea tentației de a fructifica imaginea vagă, dar pozitivă, a populației despre cloud-ul guvernamental. Atâția ani de discuție pe acest subiect l-au propulsat într-o zonă în care populația ar accepta orice sumă ca valoare a investiției, de altfel probabil că azi acoperă o bună parte a valorii de 2,1 miliarde euro aferentă componentei din PNRR care îl conține. Și totuși în 2010, ce-i drept cu beneficiar și antreprenor care se cunoșteau bine știind clar ce-și doresc și sub auspiciile unei piețe a construcțiilor mai ieftină, OMV-Petrom a construit în Dărmăroaia un complex ce conține cel mai mare centru de date din România, de 1000 mp / 3MW, și birouri pentru 2500 de oameni cu 130 milioane euro (locație de o dimensiune potrivită pentru a susține întreg IT-ul guvernamental). Mai recent, în 2020, Telekom a amenajat spații pre-existente ca centru de date pentru 300 de rack-uri cu 3,5 milioane de euro. Deși echipamentele IT sunt preponderente în costul unui cloud existența unor referințe interne de acest gen și internaționale a limitat istoric inițiativele românești de cloud guvernamental la zone periferice, cu sume statistic plauzibile și fragilitate a serviciilor oferite, putând enumera aici cloud-ul ICI de 17 milioane euro și inițiativa ADR de 40 de milioane.

Pierdem oportunitatea reformării prin PNRR

Parcurgând textul Planului Național de Redresare și Reziliență recent adoptat de guvern vedem explicit prevăzute, minim, un nou centru de date pentru Ministerul de Finanțe și un nou centru de date pentru justiție pentru care s-a simțit nevoia precizării că se va face ”cu respectarea independenței justiției”. În oglindă, nu există nicio prevedere care să sugereze o măsură activă de concentrare obligatorie a echipamentelor altor instituții publice măcar într-un singur centru de date dacă nu într-o paradigmă de cloud. Putem observa astfel că nu atingem beneficiile economice naturale și nici nu sunt abordate problemele sistemice istorice. În schimb în discursul public ni se explică cloud-ul guvernamental ca fiind suma centrelor de date departamentale ca și cum acestea, de la sine, oricâte ar fi, ar ajunge să fie  tehnologic compatibile și interschimbabile, într-o foarte complicată și neasumată explicit federalizare similară cu cea gândită de Comisia Europeană. O sugestie imposibilă în lipsa unei guvernanțe unice a acestui ”cloud distribuit”, la nivel de proiectare, achiziție și operare. La fel cum proiectul ICI era comunicat la lansare ca fiind cloud guvernamental iar la recepție ca fiind doar un cloud dedicat instituțiilor publice de tipul bibliotecilor și unităților educaționale și astăzi există riscul ca actualul cloud propus să sufere în timp precizări cu privire la caracterul său distribuit (sau să fie abuzată noțiunea de edge cloud) ca la final să se risipească în nori mai mici, centre de date departamentale, care nu sunt nici eficiente, nici cloud și nici nu trebuie aliniate la viziunea europeană.

Resurse

core : componentă de calcul a unui procesor, procesoarele pentru servere pot conține și 50 de cores

CLOUD Act: “A provider of electronic communication service or remote computing service shall comply with the obligations of this chapter to preserve, backup, or disclose the contents of a wire or electronic communication and any record or other information pertaining to a customer or subscriber within such provider’s possession, custody, or control, regardless of whether such communication, record, or other information is located within or outside of the United States.”.

European Union Cybersecurity Certification Scheme on Cloud Services (EUCS): https://www.enisa.europa.eu/events/webinar-certification-of-cloud-services-in-europe

GAIA-X : https://en.wikipedia.org/wiki/GAIA-X , https://www.data-infrastructure.eu/GAIAX/Navigation/EN/Home/home.html 

Investiție Telekom: https://www.economica.net/telekom-romania-a-inaugurat-doua-centre-de-date-in-cluj-napoca-in-urma-unei-investitii-de-3-5-milioane-de-euro_190126.html Planul Național de Redresare și Reziliență, pag.80 : https://mfe.gov.ro/wp-content/uploads/2021/04/ffdbdf26d6fc01f009a8059cfd94b0dd.pdf