Digitaalinen itsemääräämisoikeus on organisaation, hallituksen tai laitoksen kyky hallita digitaalista ympäristöään omilla ehdoillaan. Se tarkoittaa, että tiedetään, missä järjestelmät toimivat, missä tietoja säilytetään, kuka voi käyttää niitä, mitkä tekniikat tukevat kriittisiä toimintoja ja miten tietoturvapäätökset tehdään.
Yritysjohtajille tästä on tullut käytännön liiketoimintakysymys. Pilvipalveluiden käyttöönotto, tekoäly, tiedon jakaminen, ulkoistetut IT-palvelut ja maailmanlaajuiset teknologian toimitusketjut ovat lisänneet ulkoisten riippuvuuksien määrää nykyaikaisten organisaatioiden sisällä. Nämä riippuvuudet voivat tukea nopeutta ja laajuutta, mutta ne herättävät myös tärkeitä kysymyksiä.
Kuka hallitsee kriittisiä järjestelmiä? Mihin arkaluonteiset tiedot menevät? Minkä lainkäyttöalueen lakeja sovelletaan? Voiko organisaatio jatkaa toimintaansa, jos palveluntarjoajan tai alustan toiminta häiriintyy tai yhteys katkeaa? Voidaanko tietoturvapäivityksiä ja uhkatietoa käyttää paljastamatta sisäisiä tietoja?
Nämä eivät enää ole vain laki- tai hankintakysymyksiä – ne ovat kyberturvallisuutta, sietokykyä ja hallintoa koskevia kysymyksiä.
Käytännössä digitaaliseen itsemääräämisoikeuteen sisältyy määräysvalta seuraavista asioista:
- Missä tietoja säilytetään ja käsitellään
- Kuka voi käyttää järjestelmiä, työkuormia ja telemetriaa
- Miten digitaalisia palveluita otetaan käyttöön, hallitaan ja päivitetään
- Mitkä toimittajat, alustat ja tekniikat tukevat kriittisiä toimintoja
- Miten kyberturvallisuustyökalut käyttävät uhkatietoa ja jakavat tietoja
- Miten organisaatio osoittaa vaatimustenmukaisuutta ja joustavuutta.
Digitaalisen itsemääräämisoikeuden ei pitäisi välttämättä tarkoittaa irtautumista globaaleista teknologiaekosysteemeistä. On selvää, että useimmille yrityksille se olisi epärealistista ja haitallista. Sen sijaan se tarkoittaa auktoriteetin ja valintamahdollisuuksien säilyttämistä käyttäessäsi nykyaikaisia digitaalisia palveluita turvallisesti.
Itsemääräämisoikeuden takaavan digitaalisen strategian pitäisi antaa organisaatiolle mahdollisuus hyötyä pilvipalveluista, tekoälystä, automaatiosta ja uhkatiedosta pitäen samalla arkaluonteiset tiedot, kriittiset työkuormat ja tietoturvapäätökset asianmukaisesti hallinnassa.
Miksi digitaalisella itsemääräämisoikeudella on nyt merkitystä
Digitaalisesta infrastruktuurista on tullut keskeinen osa organisaatioiden toimintaa. Liiketoimintaprosessit, asiakaspalvelu, toimitusketjut, maksu- ja muut taloudelliset tapahtumat, teollisuusjärjestelmät ja julkiset palvelut ovat kaikki riippuvaisia yhdistetyistä teknologioista.
Samaan aikaan organisaatiot kohtaavat tiukempia vaatimuksia kyberturvallisuuden, yksityisyyden, sietokyvyn ja kolmansien osapuolten riskien suhteen. Säänneltyjen teollisuudenalojen, kuten julkishallinnon, rahoituksen, energian, televiestinnän, terveydenhuollon ja kriittisten infrastruktuurien, on todistettava, että arkaluonteiset tiedot ja olennaiset toiminnot pysyvät valtuutettujen tahojen hallinnassa.
Tässä korostuu digitaalisen itsemääräämisoikeuden tärkeys. Se auttaa organisaatioita vähentämään vältettävissä olevaa riippuvuutta, vahvistamaan joustavuutta ja osoittamaan sidosryhmille, että heillä on selkeä näkemys digitaalisesta ympäristöstään.
Tietoturvajohtajille asia on erityisen kiireellinen. Nykyaikainen kyberturvallisuus perustuu uhkatiedon, mainetietojen, tietoturvapäivitysten ja asiantuntija-analyysien nopeaan käyttöön. Jotkut organisaatiot eivät kuitenkaan voi sallia sisäisen telemetrian, tiedostojen, URL-osoitteiden tai muiden arkaluonteisten tietojen poistuvan ympäristöstään. Toiset käyttävät eristettyjä, tiiviitä tai erittäin rajoitettuja verkkoja.
Haaste on tässä: kuinka organisaatio voi ylläpitää vahvaa suojausta nykyisiä uhkia vastaan vaarantamatta tietojensa ja infrastruktuurinsa hallintaa?
Digitaalinen itsemääräämisoikeus vs. datasuvereniteetti
Digitaalinen itsemääräämisoikeus ja datasuvereniteetti liittyvät toisiinsa, mutta ne eivät ole sama asia.
Datasuvereniteetti keskittyy tietoihin. Se koskee sitä, missä tietoja kerätään, säilytetään, käsitellään ja käytetään, ja mitkä lait tai sisäiset käytännöt säätelevät näitä tietoja.
Esimerkiksi rahoituslaitoksen on ehkä varmistettava, että asiakkaiden tiedot säilyvät tietyllä lainkäyttöalueella, terveydenhuollon organisaation on ehkä valvottava potilastietojen käyttöoikeutta ja ministeriön on ehkä estettävä arkaluonteisten tietojen käsittely hyväksyttyjen ympäristöjen ulkopuolella.
Datasuvereniteetti vastaa muun muassa seuraaviin kysymyksiin:
- Missä näitä tietoja säilytetään?
- Kuka voi käyttää niitä?
- Mitä lakeja sovelletaan?
- Voidaanko niitä siirtää rajojen yli?
- Miten ne suojataan koko niiden elinkaaren ajan?
Digitaalinen itsemääräämisoikeus on laajempi. Se sisältää datasuvereniteetin, mutta kattaa myös infrastruktuurin, sovellukset, tietoturvatyökalut, toiminnanohjauksen, toimittajariippuvuuden ja teknologian valinnan.
Organisaatiolla voi olla vahva hallinta tietojen sijainnin suhteen, mutta niiltä voi puuttua digitaalinen itsemääräämisoikeus. Esimerkiksi sen tiedot voidaan tallentaa paikallisesti, mutta sen kriittiset järjestelmät voivat silti olla riippuvaisia ulkoisesti hallinnoiduista alustoista, ulkomaisista tukitiimeistä, läpinäkymättömistä päivitysmekanismeista tai pilvipalveluista, jotka rajoittavat toimintojen hallintaa.
Datasuvereniteetti on tietojen hallintaa. Digitaalinen itsemääräämisoikeus on sen laajemman digitaalisen ympäristön hallintaa, joka luo, tallentaa, käsittelee, suojaa ja käyttää kyseisiä tietoja.
Mitä on toiminnallinen itsemääräämisoikeus?
Toiminnallinen itsemääräämisoikeus on kyky hallita digitaalisten järjestelmien käyttöä, hallintaa ja ylläpitoa.
Tämä sisältää ihmiset, prosessit, käyttöoikeudet ja operatiiviset päätökset, jotka liittyvät järjestelmien saatavuuteen ja turvallisuuteen. Se on erityisen tärkeä organisaatioille, jotka tarjoavat olennaisen tärkeitä palveluja tai toimivat erittäin säännellyillä aloilla.
Toiminnallinen itsemääräämisoikeus vastaa muun muassa seuraaviin kysymyksiin:
- Kuka hallinnoi järjestelmiä?
- Kuka voi tehdä hallinnollisia muutoksia?
- Kenellä on etuoikeutettu käyttöoikeus?
- Voiko toimintaa jatkaa häiriön aikana?
- Voiko organisaatio valvoa ja tarkastaa, mitä tapahtuu?
- Voiko se ylläpitää tietoturvaa ilman, että se on riippuvainen hallitsemattomista ulkoisista prosesseista?
Toiminnallinen itsemääräämisoikeus ei ole vain sisäistä omistajuutta. Monet organisaatiot jatkavat yhteistyötä luotettujen palveluntarjoajien ja palvelukumppaneiden kanssa. Tärkeää on se, säilyttääkö organisaatio riittävän näkyvyyden, valtuudet ja sopimuksellisen hallinnan kriittisten toimintojen suhteen.
Kyberturvallisuuden alalla toiminnallinen itsemääräämisoikeus liittyy läheisesti häiriötilanteiden hallintaan. Hyökkäyksen aikana organisaatioiden on tiedettävä, kuka voi toimia, mitkä järjestelmät voidaan eristää, mihin lokit tallennetaan ja voidaanko vastaustoimet suorittaa nopeasti ilman ulkopuolisten hyväksyntöjen odottamista tai arkaluonteisten tietojen paljastamista.
Mitä on teknologinen itsemääräämisoikeus?
Teknologinen itsemääräämisoikeus on kyky valita, hallita ja mukauttaa organisaatiota tukevia tekniikoita.
Kyse on tarpeettomien lukitustilanteiden välttämisestä , joustavuuden säilyttämisestä eri alustojen välillä ja sen varmistamisesta, että keskeiset tekniikat täyttävät tietoturva-, vaatimustenmukaisuus- ja joustavuusvaatimukset.
Teknologinen itsemääräämisoikeus vastaa kysymyksiin, kuten:
- Voiko organisaatio valita, missä ja miten ratkaisuja otetaan käyttöön?
- Voiko se käyttää kriittisiä työkaluja paikallisesti toimitiloissaan, pilvessä, hybridiympäristöissä tai eristetyissä verkoissa?
- Voiko se integroida olemassa olevien järjestelmien ja kolmansien osapuolten teknologioiden kanssa?
- Voiko se vaihtaa tai mukauttaa palveluntarjoajaa, jos liiketoiminnan, tietoturvan tai sääntelyn tarpeet muuttuvat?
- Ymmärtääkö se teknologiapinonsa sisällä olevat riippuvuudet?
Tietoturvatiimeille teknologinen itsemääräämisoikeus on erityisen tärkeää, koska kyberturvallisuustyökalut sijaitsevat lähellä organisaation herkimpiä järjestelmiä ja tietoja. Päätepisteiden suojaus, EDR, XDR, SIEM, NDR ja uhkatietoratkaisut voivat käsitellä suuria määriä tietoturvatelemetriaa. Ne voivat myös vaatia päivityksiä, mainehakuja ja pilviavusteista tietoa uusien uhkien havaitsemiseksi.
Tämä luo jännitteitä – organisaatiot tarvitsevat suojaa, mutta niiden pitää myös pystyä hallitsemaan, miten tietoturvatietoja käsitellään. Teknologinen itsemääräämisoikeus auttaa ratkaisemaan nämä jännitteet priorisoimalla joustavia käyttöönottomalleja, läpinäkyviä tietovirtoja ja vahvaa hallinnollista valvontaa.
Näin itsemääräämisoikeus- ja suvereniteettikäsitteet toimivat yhdessä
Nämä neljä käsitettä liittyvät toisiinsa.
- Datasuvereniteetti suojaa tietoja
- Toiminnallinen itsemääräämisoikeus ohjaa järjestelmien käyttöä
- Teknologinen itsemääräämisoikeus säilyttää valinnanvaran ja joustavuuden
- Digitaalinen itsemääräämisoikeus yhdistää nämä laajemmaksi strategiaksi, joka lisää digitaalista valvontaa, kestävyyttä ja luottamusta.
Ajattele asiaa seuraavasti:
- Datasuvereniteetti kysyy: missä tiedot ovat ja kuka voi käyttää niitä?
- Toiminnallinen itsemääräämisoikeus kysyy: kuka ylläpitää ympäristöä ja miten päätökset tehdään?
- Teknologinen itsemääräämisoikeus kysyy: mistä tekniikoista organisaatio on riippuvainen ja voiko se muuttaa niitä?
- Digitaalinen itsemääräämisoikeus kysyy: onko organisaatiolla yleinen ja kokonaisvaltainen määräysvalta digitaalisissa järjestelmissä, joihin se luottaa?
Tietoturvajohtajien, tietohallintojohtajien ja riskijohtajien tavoitteena ei ole maksimoida itsemääräämisoikeutta tai suvereniteettia kaikilla mahdollisilla alueilla – se olisi kallista ja voisi haitata innovaatioita – tavoitteena on tunnistaa, missä itsemääräämisoikeudella on eniten merkitystä ja soveltaa oikeita valvontamenetelmiä oikeisiin järjestelmiin.
Julkinen verkkosivusto ei välttämättä tarvitse samaa itsemääräämisoikeusmallia kuin kansallinen maksujärjestelmä, tavallinen SaaS-työnkulku ei välttämättä tarvitse samoja hallintakeinoja kuin teollisuusverkko tai salaiseksi luokiteltu viranomaisympäristö. Kypsä suvereniteetti- tai itsemääräämisoikeusstrategia erottaa nämä käyttötapaukset toisistaan ja soveltaa asianmukaisen tasoista hallintaa.
Käyttöönoton hallinta digitaalisen itsemääräämisoikeuden perustana
Pilvipalvelut voivat tukea monia liiketoimintatavoitteita, mutta ne eivät aina sovellu jokaiseen järjestelmään, työkuormaan tai säännösympäristöön. Joidenkin organisaatioiden on säilytettävä tietoturvainfrastruktuuri, hallintajärjestelmät, telemetria ja päivitykset omassa ympäristössään.
Tästä syystä käyttöönoton valvonta on tärkeä osa digitaalista itsemääräämisoikeutta.
Paikallisen kyberturvallisuuden avulla organisaatiot voivat ottaa käyttöön ja hallita tärkeitä tietoturvaominaisuuksia omassa infrastruktuurissaan. Tämä voi auttaa heitä hallitsemaan tietovirtoja, järjestelmänvalvojan käyttöoikeuksia, päivitysprosesseja ja toimintatapoja. Se voi myös tukea ympäristöjä, joissa ulkoinen yhteys on rajoitettu tai kielletty.
Tämä valinta voi olla olennainen hallinto-, puolustus-, rahoituspalvelu-, energia-, valmistus-, televiestintä- ja muilla arkaluonteisilla aloilla toimiville organisaatioille.
Paikallinen käyttöönotto tukee digitaalista itsemääräämisoikeutta auttamalla organisaatioita:
- Säilyttämään arkaluontoiset tietoturvatiedot yrityksen rajojen sisällä
- Säilyttämään tietoturvainfrastruktuurin paikallisen hallinnan
- Tukemaan eristettyjä tai rajoitettuja verkkoja
- Yhdenmukaistamaan käyttöönottoa sisäisten vaatimusten ja säännösten vaatimusten kanssa
- Vähentämään kriittisten järjestelmien riippuvuutta ulkoisesti hallittavista ympäristöistä
- Säilyttämään toiminnan jatkuvuus, kun yhteyksiä on rajoitetusti
Avainsana on valinnanvapaus. Suvereniteettiin ja itsemääräämisoikeuteen valmis kyberturvallisuusstrategia ei saisi pakottaa jokaista organisaatiota käyttämään yhtä käyttöönottomallia. Sen tulisi tukea pilviympäristöjä, paikallisia ympäristöjä ja hybridi- ja eristettyjä ympäristöjä riskien, arkkitehtuurin ja sääntelytarpeen mukaan.
Uhkatietojen vastaanottaminen siirtämättä tietoja rajojen ulkopuolelle
Nykyaikainen kyberpuolustus riippuu oikea-aikaisista tietoturvapäivityksistä ja uhkatiedoista. Koska hyökkääjät vaihtavat työkaluja, infrastruktuuria ja tekniikoita jatkuvasti, tietoturvatiimien on käytettävä uusinta mainetietoa, haitallisten objektien havaitsemista, uusimpia uhkailmaisimia ja uusinta asiantuntijatutkimusta.
itsemääräämisoikeuden kannalta arkaluonteiset organisaatiot eivät kuitenkaan voi hyväksyä sisäisten tietojen lähettämistä rajojensa ulkopuolelle. Tämä pätee erityisesti tiukasti säänneltyihin yrityksiin, valtion virastoihin, kriittisten infrastruktuurien operaattoreihin ja organisaatioihin, joilla on erilliset verkot.
Esimerkiksi yksityinen tietoturvaverkkomalli voi antaa organisaatioille mahdollisuuden vastaanottaa tietoturvapäivityksiä ja uhkatietoa omassa valvotussa ympäristössään. Tämän mallin avulla tietoturvatietoa voidaan toimittaa organisaation ympäristöön ilman, että sisäistä tietoa on siirrettävä rajojen ulkopuolelle. Organisaatio voi hyötyä uhkatiedoista ja tietoturvapäivityksistä säilyttäen samalla infrastruktuurinsa ja tietovirtojensa paikallisen hallinnan.
Tämä on tärkeää, koska suvereniteetti tai itsemääräämisoikeus ei saa tarkoittaa heikompaa suojaa. Organisaatiot, joilla on tiukat rajoitukset tietojen jakamiseen, tarvitsevat edelleen nopeaa havaitsemista, päivitettyjä mainetietoja ja vahvaa reagointikykyä. Yksityinen tietoturvatietomalli auttaa kuromaan tätä kuilua.
Se tukee myös tasapainoisempaa lähestymistapaa: säilytä arkaluonteiset tiedot siellä, mihin ne kuuluvat, ja varmista samalla, että tietoturvatyökalut saavat jatkuvasti tietoja, joita ne tarvitsevat havaitakseen ja estääkseen nykyiset uhat.
Mitä suvereniteettiin ja itsemääräämisoikeuteen valmiin kyberturvallisuusarkkitehtuurin tulisi sisältää?
Suvereniteetille ja itsemääräämisoikeudelle valmiin kyberturvallisuusarkkitehtuurin tulisi yhdistää hallinta, näkyvyys ja joustavuus. Sen pitäisi auttaa organisaatioita vastaamaan yksityiskohtaisiin kysymyksiin siitä, mihin tietoturvatiedot menevät, miten työkaluja hallitaan ja miten suojausta ylläpidetään.
Keskeisiä ominaisuuksia ovat:
- Selkeät käyttöönottovaihtoehdot: organisaatioiden tulee pystyä valitsemaan pilvi-, paikalliset, hybridi- tai erilliset käyttöönottomallit ympäristön arkaluonteisuuden perusteella.
- Tietosuojatietojen paikallinen hallinta: tietoturvatelemetriaa, lokeja, mainepyyntöjä ja operatiivisia tietoja tulee käsitellä sisäisten käytäntöjen ja säännösten vaatimusten mukaisesti.
- Yksityisten uhkatietojen toimittaminen: organisaatioiden tulee pystyä vastaanottamaan uhkatietoja ja tietoturvapäivityksiä ilman tarpeetonta sisäisten tietojen siirtoa rajojensa ulkopuolelle.
- Vahva pääsyn- ja käytönhallinta: ylläpitäjän käyttöoikeuksien, etuoikeutettujen roolien ja operatiivisten vastuiden tulisi olla selkeästi määritettyjä ja tarkastettavissa.
- Integrointi olemassa olevaan infrastruktuuriin: itsemääräämisoikeus riippuu käytännön hallinnasta, ei teoreettisesta omistuksesta. Suojaustyökalujen tulee integroitua olemassa oleviin SOC-työnkulkuihin, henkilöllisyysjärjestelmiin, SIEM-alustoihin ja toimintaprosesseihin.
- Tuki eristetyille ja kriittisille verkoille: jotkin ympäristöt eivät voi olla riippuvaisia jatkuvasta ulkoisesta yhteydestä. Tietoturva-arkkitehtuurien tulisi tukea näitä skenaarioita jättämättä järjestelmiä näkyviin.
- Todistus- ja tarkastusvalmius: organisaatioiden on osoitettava hallintakykynsä. Lokiin kirjaamisen, raportoinnin, käytäntöjen täytäntöönpanon ja todisteiden keräämisen tulisi tukea tarkastuksia, viranomaistarkastuksia ja sisäistä hallintoa.
Digitaalinen itsemääräämisoikeus on turvallisuusstrategia, ei pelkkä vaatimustenmukaisuusvaatimus
Digitaalisesta itsemääräämisoikeudesta puhutaan usein lainsäädännöllisin termein, mutta sen arvo on laajempi kuin vaatimustenmukaisuus. Digitaalinen itsemääräämisoikeus auttaa organisaatioita rakentamaan digitaalisia ympäristöjä, jotka ovat kestävämpiä, läpinäkyvämpiä ja mukautuvampia.
Kyberturvallisuusjohtajille se on käytännöllinen tapa ajatella hallintaa – ei vain tietojen tallennuspaikkaa, vaan myös sitä, miten tietoturva toimitetaan; ei vain kumpaa palveluntarjoajaa käytetään, vaan myös sitä, pystyykö organisaatio ylläpitämään suojauksen, näkyvyyden ja päätöksentekovallan paineen alaisena.
Kyberriski ei odota täydellisiä olosuhteita. Hyökkäykset voivat kohdistua yhdistettyihin järjestelmiin, eristyneisiin verkkoihin, toimittajiin, päätepisteisiin, henkilöllisyysjärjestelmiin tai kriittiseen infrastruktuuriin. Organisaatiot tarvitsevat tietoturva-arkkitehtuureja, jotka voivat reagoida nopeasti ja kunnioittaa itsemääräämisoikeutta.
Vahvin lähestymistapa on hallittu yhteys. Yritysten tulee pystyä käyttämään kehittyneitä kyberturvallisuusteknologioita, reaaliaikaista uhkatietoa ja asiantuntevaa tietoturvatietoa luopumatta oman kriittisen tietonsa ja infrastruktuurinsa hallinnasta ja määräysvallasta. Digitaalinen itsemääräämisoikeus tarjoaa tälle puitteet.
Tukevat lähteet ja lisätietoa:
Euroopan komissio: NIS2-direktiivi | Tietolain selvitys | Suvereenin pilviverkoston selvitys | Digitaalisen vuosikymmenen tila 2025 -raportti
USEIN KYSYTYT KYSYMYKSET
Mitä on digitaalinen itsemääräämisoikeus yksinkertaisesti selitettynä?
Digitaalinen itsemääräämisoikeus on kyky hallita digitaalisia järjestelmiä, tietoja, tekniikoita ja toimintoja, joihin organisaatio luottaa. Se tarkoittaa, että tiedetään, missä järjestelmät toimivat, kuka voi käyttää niitä, miten niitä hallitaan ja pystyykö organisaatio hallitsemaan tärkeitä digitaalisia päätöksiä.
Onko digitaalinen itsemääräämisoikeus sama asia kuin datasuvereniteetti?
Ei. Datasuvereniteetti keskittyy siihen, missä tietoja säilytetään, käsitellään ja hallitaan. Digitaalinen itsemääräämisoikeus on laajempi käsite. Se sisältää tiedot, mutta kattaa myös infrastruktuurin, kyberturvallisuuden, toiminnan, teknologiatoimittajat, käyttöönottomallit ja strategisen ohjauksen.
Miksi digitaalisella itsemääräämisoikeudella on merkitystä kyberturvallisuuden kannalta?
Kyberturvallisuustyökalut käsittelevät usein arkaluonteisia telemetriatietoja, lokeja, tiedostoja, URL-osoitteita ja järjestelmätietoja. Organisaatioiden, joilla on suvereniteetti- tai itsemääräämisoikeusvaatimuksia ja -tarpeita, on varmistettava, että näitä tietoja käsitellään asianmukaisen valvonnan ja hallinnan alaisuudessa. Heidän on myös saatava tietoturvapäivitykset ja uhkatiedot paljastamatta arkaluonteisia tietoja tarpeettomasti.
Miksi paikallinen käyttöönotto on tärkeää suvereniteetin ja itsemääräämisoikeuden kannalta?
Paikallisen käyttöönoton avulla organisaatiot voivat käyttää tietoturvaratkaisuja omassa infrastruktuurissaan. Tämä voi auttaa pitämään tiedot rajojen sisällä, tukea eristettyjä verkkoja ja antaa sisäisille ryhmille paremman kyvyn hallita tietoturvatoimintoja, päivityksiä ja käyttöoikeuksia.
Voivatko organisaatiot vastaanottaa uhkatietoja lähettämättä tietoja verkkonsa ulkopuolelle?
Kyllä. Yksityiset uhkatietomallit voivat toimittaa tietoturvapäivityksiä ja mainetietoja valvottuun ja hallittuun paikalliseen ympäristöön ilman, että sisäisiä tietoja on toimitettava organisaation rajojen ulkopuolelle. Kaspersky Private Security Network on suunniteltu tukemaan tätä käyttötapausta.
Tarkoittaako digitaalinen itsemääräämisoikeus pilvipalvelujen välttämistä?
Ei. Digitaalinen itsemääräämisoikeus ei tarkoita pilvipalvelujen välttämistä kokonaan. Se tarkoittaa oikean käyttöönottomallin valitsemista kullekin työkuormalle, tietotyypille ja riskiprofiilille. Pilvipalvelut voivat sopia joillekin järjestelmille. Muille paikallinen, hybridi- tai erillinen käyttöönotto voi olla tarpeen.
