# Self-hosting ako profesionálna prax

> Cuadernos Lacre
> https://solo2.net/sk/sesity/articulos/otazka-medzi-cloudom-a-pivnicou-self-hosting.html

Je dobré začať demýtizáciou slova, ktoré bezdôvodne straší: server. Server nie je tajomný stroj v chladenej miestnosti. Je to jednoducho počítač inej osoby —alebo váš vlastný—, ktorý uchováva informácie a odovzdáva ich tomu, kto o ne požiada. Desaťročia sme uchovávali informácie našich klientov v priečinku, v kartotéke, na kancelárskom stole a nikto kvôli tomu nestrácal spánok. Informácie neboli strašidelné preto, že boli na papieri; nemusia byť strašidelné ani preto, že sú na disku.

Ani „cloud“ nie je éterický. Je to počítač nejakej firmy, takmer vždy ďaleko a takmer vždy niekoho iného. Naučil som sa to neúmyselne v deň, keď som v presvedčení, že moje súbory sú v bezpečí na Google Drive, zistil, že priečinok na mojom počítači neobsahoval moje dokumenty, ale skratky k dokumentom, ktoré žili niekde inde. Ak by sa to iné miesto rozhodlo zatvoriť, zmeniť cenu alebo zrušiť službu, môj pokoj by odišiel s ním. Nevlastnil som svoje veci; mal som povolenie na prístup k nim.

Odtiaľ pramení otázka tohto Zošita, ľahšia na vyslovenie než na zodpovedanie: kde by mali žiť dáta vašich klientov? A vaše vlastné? Verejná diskusia ju predkladá, akoby existovali len dve protichodné odpovede — cloud veľkých platforiem, alebo si to zariadiť sám —, takmer ako otázku tábora. Lenže nie sú to dve cesty: sú tri, a žiadna nie je aktom viery. Keď ich čítame pomaly, majú viac odtieňov a žiadajú si viac, než sa zdá.

Je ľahké si myslieť, že dôvernosť je záležitosťou právnikov, lekárov alebo novinárov a že ostatní nemajú čo skrývať. Je to chyba, a to drahá. Takmer každá firma uchováva údaje svojich klientov podliehajúce zákonu a mnohí uchovávajú, bez toho aby o tom vedeli, informácie oveľa citlivejšie, než sa zdá.

Obchod s pohovkami si zapíše meno, adresu a telefón toho, kto nakupuje; ak je v tom financovanie, tak aj jeho ekonomické údaje. Firma na rekonštrukcie alebo dekorácie uchováva fotografie interiérov domov svojich klientov a kompletné plány ich bývania. Upratovacia firma pracuje s plánmi kancelárií, ktoré upratuje, často označenými farbami a číslami udávajúcimi, ktorý zamestnanec kam vstupuje, o koľkej a akým kľúčom. Nič z toho nevyzerá ako veľká vec, kým si človek nepoloží otázku, pre koho ďalšieho by to malo cenu: tie upratovacie plány sú, videné inými očami, dokonalou mapou pre toho, kto sa chce vlámať kradnúť.

To, že je firma malá alebo že predáva pohovky namiesto obhajoby v súdnych sporoch, nerobí jej údaje bezcennými ani nespôsobuje, že sa na ňu prestáva vzťahovať zákon. Spôsobuje to len to, že jej majiteľ o tom zvyčajne menej premýšľa. A málo premýšľať o niečom, čo je vašou zodpovednosťou, je presne to miesto, kde začínajú problémy.

Tu vyvstáva okamžitá námietka, a je rozumná: ak mám všetko na kancelárskom počítači, čo sa stane, ak sa pokazí? Otázka je dobrá. Odpoveď je, že záchranná sieť, ktorú si predstavujeme u veľkých poskytovateľov, je skromnejšia —a ľahšie napodobniteľná—, než sa zdá.

Keď nechám svoje údaje v dátovom centre nadnárodnej firmy, dôverujem, že má kópie na viacerých miestach. A pravdepodobne ich má: na druhom mieste, možno na treťom. Ale tá redundancia nie je nekonečná a predovšetkým nie je moja: stále je to pevný disk, ktorého nie som vlastníkom, spravovaný niekým, do koho vkladám vieru, ktorú takmer nikdy neoverujem.

Tú istú sieť si môžem utkať sám, a to s rozhodujúcou výhodou. Moja každodenná služba žije na kancelárskom počítači. Odtiaľ uchovávam šifrovanú kópiu na počítači priateľskej firmy —kolegu z profesie, inej dôveryhodnej kancelárie— a ďalšiu šifrovanú kópiu, ak chcem, u toho istého európskeho poskytovateľa, o ktorom sme hovorili. Rozdiel je vo všetkom: to, čo nechávam vonku, nie je moja služba ani moje údaje v čitateľnej forme, ale šifrovaná kópia, ktorú môžem otvoriť len ja. Externý poskytovateľ uchováva zamknutú truhlicu, od ktorej nemá kľúč. Nezverujem mu svoje informácie: zverujem mu pár bajtov, ktoré bezo mňa nič neznamenajú.

Dovoľte mi osobný príbeh, pretože ten to ilustruje lepšie než akýkoľvek argument. Viac ako desať rokov som bol oddaným klientom CrashPlan, technicky výnimočnej služby na zálohovanie. Zálohoval som do ich cloudu všetky svoje počítače aj počítače mojej rodiny —firemné aj domáce, všetko—, s verziami, ktoré som mohol obnoviť s ľubovoľnou frekvenciou, pričom som cestoval späť v čase až ku konkrétnemu súboru spred mesiacov. Po prvej kópii prenášal už len rozdiely, šifrované a komprimované, takže som bez väčšieho úsilia udržiaval obrovskú zálohu aktuálnu. Zachránilo ma to mnohokrát, od banálneho dokumentu až po celý disk. Cena v priebehu rokov stúpala a bolo mi to jedno: platil som rád.

Čo som však nevedel, bolo, že CrashPlan urobil chybu vo výpočtoch: zmluvne sľúbili neobmedzené úložisko, v priestore aj čase. A priestor vynásobený časom —roky histórie, verzie každých pár minút— rastie, až kým sa nestane neudržateľným. Jedného dňa nám všetkým oznámili, že služba končí. Urobili to elegantne a s veľkorysým termínom, takmer rok, a dali nám prostriedky na stiahnutie našich vecí. Ale kam ide človek s viac ako desiatimi rokmi verziovaných kópií všetkých svojich diskov? Tam zistíte, že nemáte ani spôsob, ako všetko stiahnuť, ani kam to dať, a že aj keby ste mohli, nový sklad by stál majetok.

Zachránil som štyri nevyhnutné veci. Zvyšok zmizol, keď vypli vypínač. Bol som pokojný, moje informácie boli v bezpečí... kým neprestali byť. A nie pre zradu: CrashPlan sa zachoval bezchybne — na rozdiel od Evernote, ktorý sa o roky neskôr zachoval hanebne —; jednoducho sa môj strážny anjel v cloude rozhodol, plným právom, ním prestať byť. Výsledok bol pre mňa totožný: čo som považoval za isté, zmizlo.

To, čo tento príbeh v skutočnosti učí, má viac spoločného s ľudskou povahou než s technológiou. Keď niekto cíti, že je niečo jeho zodpovednosťou, koná preventívne: robí kópie, istí sa, je podozrievavý so zdravým úsudkom. Keď verí —mylne—, že zodpovednosť nesie veľká a solventná tretia strana, uvoľní sa a nechá veci plynúť. Ten delegovaný pokoj nie je obozretnosť: je to, bez prikrášlenia, forma nezodpovednosti.

Tá tichá nezodpovednosť sa veľmi podobá rodičom, ktorí zapíšu syna do najdrahšej školy, zaplatia mu potom magisterské štúdium a tým veria, že si splnili svoju povinnosť. Nesplnili. Byť rodičom znamená starať sa o to, čo sa dnes naučil, o to, čomu nerozumie, o jeho hodnoty, o jeho sebavedomie. Ak v dvadsiatich piatich rokoch ten syn nevie pracovať ani sa správať, chyba nie je v škole, ktorá zinkasovala peniaze: je v tom, kto delegoval a zaplatil v presvedčení, že to stačilo. Platenie tretej strane nezbavuje zodpovednosti. Nikdy to tak nebolo.

S dátami je to rovnako a nedávna história to potvrdzuje. Pred päťdesiatimi či sto rokmi si profesionál ukladal veci svojich klientov do zložiek, vo svojej kancelárii alebo doma, a cítil sa za ne zodpovedný. Málokedy sa niečo stratilo. Prešli sme do digitálneho sveta a s ohromujúcou ľahkosťou nahrávame všetko do „cloudu“ — čo nie je nič iné než počítač jednej nadnárodnej firmy — a prestávame sa starať. A často dochádza k nehodám, sú firmy, ktoré stratia všetko, a potom sa hovorí: vina bola na Googli, vina bola na Microsofte. Nie. Informácie sú vaše, alebo vašich klientov, ale zodpovedný ste vy.

Hostovanie vlastných vecí nie je technický rozmar: je to znovuzískanie toho pokoja spred desaťročí, toho, že viete, kde sa každá vec nachádza a prečo. Ochrana údajov medzitým zažila prudký výkyv kyvadla —od neexistencie akejkoľvek normy, keď ktokoľvek bez rozmýšľania vystavoval údaje klienta, až po požiadavku, ktorá s neúmernou tvrdosťou dopadá na toho najmenšieho, na živnostníka, ktorý dá telefón klienta kuriérovi. Nespochybňujem cieľ; pozorujem nepomer. Ale nepomer nás nezbavuje viny: v deň, keď administratíva bude mať prostriedky na sledovanie a sankcionovanie vo veľkom meradle, veľkosť prestane kohokoľvek chrániť a je rozumné nečakať na ten deň s neuprataným domom. Mať údaje pod vlastnou kontrolou pomáha spĺňať pravidlá a pomáha to dokázať. A predovšetkým to vracia veci na svoje miesto: keď sú informácie vaše, zodpovednosť je plne vaša —neexistuje žiadna tretia strana, ktorú by ste mohli viniť, ani tretia strana, ktorej zlyhanie by vás ohrozilo—.

Bolo by nepoctivé líčiť to bez tieňov. Zaujať miesto sprostredkovateľa znamená niesť jeho bremeno: udržiavať aktuálne zálohy, inštalovať aktualizácie a právnu zodpovednosť — tú podľa RGPD —, ktorá v skutočnosti nikdy neprestala byť tak celkom vaša (odkazy v pätičke spresňujú konkrétne články). Je tu práca a je tu deň, keď niečo zlyhá v nevhodnej chvíli. Neskrývame to.

Ale strach, ktorý obklopuje to slovo, zodpovednosť, je zle nastavený. Je oveľa ľahšie stratiť svoje súbory v cloudovej službe, ktorá skončí, alebo svoje fotky vo Fotkách Google, než stratiť tú zložku dôležitých dokumentov, ktorú máte vo vlastnom počítači: tú, o ktorej viete, kde je, a pri ktorej by ste si všimli, že chýba, hneď ako by zmizla. To, čo cítite ako svoje, opatrujete; to, čo považujete za bezpečné v rukách niekoho iného, zanedbávate.

Spomeňte si na predošlé fotoalbumy, tie z vyvolaného papiera schované v zásuvke. Počuli ste niekedy niekoho povedať, že „stratil“ svoj rodinný album? Počúva sa o dome, ktorý zhorel aj s albumom vnútri; ale stratiť ho len tak, nie. A naopak ľudia, ktorí mali všetky svoje fotky vo Fotkách Google alebo vo Fotkách Apple a zostali bez ničoho: táto historka sa vracia každých pár mesiacov, pretože verili, že je to v bezpečí. Fotky Google sa o vaše fotky starajú, to áno; ale nestarajú sa o ne tak, ako sa rodičia starajú o album, kde sú ich deti a vnúčatá. Tento rozdiel nenapraví žiadne dátové centrum: zodpovednosť, keď je vaša, nie je len bremeno; je tiež tou najlepšou zárukou.

## Zdroje a ďalšie čítanie

- Nariadenie (EÚ) 2016/679 — článok 28 (sprostredkovateľ), článok 32 (bezpečnosť spracúvania), článok 33 (oznamovanie porušenia), článok 37 (určenie zodpovednej osoby).
- Španielsky úrad na ochranu údajov (AEPD) — *Praktická príručka pre analýzu rizík pri spracúvaní osobných údajov* (aktuálna revízia). Rámec pre prevádzkovateľov, ktorí preberajú vlastné technické funkcie.
- Európsky výbor pre ochranu údajov (EDPB) — *Guidelines 1/2024 on processing of personal data based on legitimate interests*. Použiteľné aj pre test proporcionality pri rozhodovaní o vlastnej infraštruktúre.
- Európska komisia — verejný adresár poskytovateľov informačných služieb so sídlom v európskej jurisdikcii. Administratívny východiskový bod pre identifikáciu európskych možností spravovaného hostingu.
- Nextcloud GmbH (Nemecko) — *Nextcloud Enterprise architecture and compliance documentation*. Zdokumentovaný prípad slobodného softvéru so samo-hostovanými aj spravovanými modelmi cez európskeho poskytovateľa; užitočné ako technická referencia projektu udržiavaného v európskej jurisdikcii od roku 2016.

---

*Cuadernos Lacre · Publikácia spoločnosti Menzuri Gestión S.L. · napísal R.Eugenio · edituje tím Solo2.*
*https://solo2.net/sk/sesity/*