Cloud computing

Referencedefinitionen er stadig NIST SP 800-145 (Mell og Grance, september 2011): fem kendetegn (selvbetjening efter behov, bred netværksadgang, ressourcepuljer, hurtig elasticitet og målt forbrug), tre servicemodeller (IaaS, PaaS, SaaS) og fire udrulningsmodeller (offentlig, privat, fællesskabs- og hybrid sky). ISO/IEC 17788:2014 giver et tilsvarende begrebsapparat. Definitionen er bevidst teknologineutral og kan bruges som test: en server, der lejes pr. måned og sættes op via supportsager, opfylder hverken selvbetjening eller elasticitet og er derfor hosting eller outsourcing, ikke cloud i NIST's forstand. Nyere betegnelser som serverless/FaaS, containers-as-a-service og DBaaS er forfinelser af de tre servicemodeller, ikke erstatninger for dem.

Ressourcepuljerne bygger på virtualisering (hypervisorer med hardwareunderstøttet nested paging og softwaredefinerede overlay-netværk som VXLAN) og på et kontrolplan, der udstilles som et autentificeret API. Hvert klik i konsollen er et API-kald signeret med loginoplysninger (fx AWS Signature Version 4), som udbyderens IAM autoriserer, og som logges i et revisionsspor som AWS CloudTrail, Azure Activity Log eller Google Cloud Audit Logs. Adskillelsen mellem kontrolplan og dataplan er den centrale sikkerhedsegenskab: den, der har adgang til kontrolplanet, kan tage snapshots af diske, åbne netværksregler eller slette backup uden nogensinde at røre selve arbejdsbelastningen. Elasticitet realiseres med autoskalering ud fra metrikker, og målt forbrug med afregning pr. sekund eller pr. kald.

Fejlscenarierne er anderledes end ved egen drift. Availability zones er isolerede fejldomæner inden for en region, så man kun overlever tabet af en hel region med et bevidst design på tværs af regioner. Multi-tenancy giver risiko for sidekanaler mellem kunder (Spectre/Meltdown-klassen fra 2018), og elasticitet giver risiko for løbske omkostninger, typisk cryptomining på stjålne nøgler. Egress-gebyrer og proprietære managed services skaber lock-in; EU's dataforordning (forordning (EU) 2023/2854), der har fundet anvendelse siden 12. september 2025, pålægger udbydere af databehandlingstjenester forpligtelser om skift af udbyder og afskaffer gebyrer for skift helt fra 12. januar 2027.

Juridisk er en udbyder, der behandler personoplysninger efter kundens instruks, databehandler efter databeskyttelsesforordningens art. 28, hvilket kræver en databehandleraftale; overførsler til tredjelande falder under kapitel V, præget af Schrems II-dommen (C-311/18, juli 2020) og Kommissionens tilstrækkelighedsafgørelse om EU-US Data Privacy Framework fra juli 2023. Udbydere af cloud computing-tjenester er selv opført under digital infrastruktur i NIS2-direktivets bilag I. Cloud computing bør holdes adskilt fra virtualisering, som er en understøttende teknologi, og fra modellen for delt ansvar, som beskriver, hvordan driftsopgaverne fordeles, når tjenesten er købt.