2 modulis · 2.4
Kaip palyginti paslaugų teikėjus, nepasiduodant pagundoms
2 modulis: Kas iš tikrųjų yra Europos debesija? · Skaitymo trukmė: 11 min.
Mokymosi tikslas: Po šios pamokos galėsite, turėdami savo reikalavimų sąrašą, lyginti Europos paslaugų teikėjus pagal turinį, įvertinti sertifikatų vertę ir rinktis tarp visko viename paslaugos, atskirų paslaugų arba savarankiško talpinimo.
Pagrindinės sąvokos: reikalavimų sąrašas (privalo, turėtų, gali), ISO/IEC 27001, taikymo sritis (scope), ISO/IEC 27701, NEN 7510, BSI C5, SecNumCloud, SOC 2, SLA, prieinamumas, palaikymo kalba, bandomasis laikotarpis, rekomendacijos, viskas viename, atskiros paslaugos, savarankiškas talpinimas
Pirmiausia Jūsų reikalavimai, tada paslaugų teikėjai
Kas pradeda nuo paslaugų teikėjų svetainių peržiūros, leidžiasi vedamas to, ką jie patys laiko gražiausiu dalyku: didelio saugyklos skaičiaus, DI mygtuko, tvarkingo logotipo. Todėl pradėkite nuo savęs. Kepykla Bakkerij De Korrel pirmiausia užsirašė, ko jai iš tikrųjų reikia, ir tik tada pradėjo žvalgytis.
Tam naudokite tris lygmenis:
- Privalo: be to paslaugų teikėjas atkrenta. Pavyzdžiui: duomenys ir atsarginės kopijos EEE, Europos savininkas, duomenų tvarkymo sutartis su subtvarkytojų sąrašu, paštas savo domene, IMAP ir CalDAV, dviejų veiksnių autentifikacija.
- Turėtų: svarbu, bet galima apsieiti be to. Pavyzdžiui: internetinis biuro paketas naršyklėje, palaikymas lietuvių kalba, telefono programėlė nuotraukoms.
- Gali: malonu turėti. Pavyzdžiui: vaizdo skambučiai, formos, DI pagalba.
Privalo sąrašą laikykite trumpą. Trisdešimties punktų privalo sąrašo niekas neįvykdo, ir tuomet vis tiek renkatės iš nuojautos.
Trys pasiūlymo rūšys
Europos debesijos paslaugos paprastai būna trijų formų.
| Forma | Kas tai yra | Privalumai | Į ką atkreipti dėmesį |
|---|---|---|---|
| Viskas viename | Vienas paslaugų teikėjas kartu tiekia paštą, saugyklą, kalendorių, dokumentus ir pokalbius, kaip didelių Amerikos tiekėjų paketai | Viena sutartis, vienas prisijungimas, viskas veikia kartu | Vėl priklausote nuo vienos šalies; ypač gerai patikrinkite eksporto galimybes |
| Atskiros paslaugos | Paštas pas vieną teikėją, failai ir kalendorius pas kitą, pokalbiai pas trečią | Kiekvienai daliai geriausias pasirinkimas; mažesnė priklausomybė | Daugiau sutarčių, daugiau prisijungimų, daugiau administravimo |
| Savarankiškas talpinimas | Jūs patys paleidžiate atvirojo kodo programinę įrangą (pavyzdžiui, Nextcloud) savo arba nuomojamame serveryje | Maksimali kontrolė | Jūs patys atliekate atnaujinimus, saugumą ir atsargines kopijas; tam reikia žinių ir laiko, kiekvieną savaitę |
Daugelis mažų organizacijų renkasi vidurinį kelią: valdomą paslaugą, veikiančią atvirojo kodo programine įranga. Tuomet serverį administruoja paslaugų teikėjas, bet su ta pačia programine įranga galite bet kada pereiti pas kitą teikėją arba į savarankišką talpinimą, jei tai kada nors prireiktų. Savarankiškas talpinimas yra geras sprendimas tik tuomet, jei kažkas tam nuolat skiria laiko ir žino, ką daro. Nextcloud, kuris metus laiko negauna atnaujinimų, yra mažiau saugus nei gerai valdoma paslauga, nesvarbu, Europos ji ar ne.
Sertifikatai: ką jie sako ir ko nesako
Paslaugų teikėjai mėgsta minėti sertifikavimus. Jie naudingi, bet turite žinoti, ką jie iš tikrųjų reiškia.
| Sertifikatas | Ką jis reiškia | Į ką atkreipti dėmesį |
|---|---|---|
| ISO/IEC 27001 | Įmonė turi informacijos saugumo valdymo sistemą: nustatytą riziką, priemones, metinį sertifikavimo įstaigos auditą | Taikymo sritį (scope): ar ji galioja paslaugai, kurią Jūs naudojate, ar tik duomenų centrui, ar vienam skyriui? Ar sertifikatas galiojantis ir išduotas akredituotos įstaigos? |
| ISO/IEC 27701 | 27001 standarto išplėtimas privatumo valdymui | Tie patys klausimai dėl taikymo srities |
| NEN 7510 | Nyderlandų informacijos saugumo standartas sveikatos priežiūros sektoriuje | Aktualu tik jei tvarkote sveikatos duomenis; tuomet dažnai yra reikalavimas |
| BSI C5 | Vokietijos Federalinės informacijos saugumo tarnybos (Bundesamt für Sicherheit in der Informationstechnik) debesijos paslaugų reikalavimų katalogas | Tai ataskaita su išvadomis, o ne paprastas „išlaikė“ įvertinimas |
| SecNumCloud | Prancūzijos ANSSI debesijos paslaugų kvalifikacija, su reikalavimais prieš prieigą pagal ne ES valstybių įstatymus | Griežta; daug pasako apie teisinę nepriklausomybę |
| SOC 2 | JAV audito ataskaita (AICPA) apie saugumo priemones | Tai ne sertifikatas, o ataskaita; prašykite pačios ataskaitos, ne vien logotipo |
Dvi spąstai. Pirma: sertifikuotas duomenų centras, o ne pats paslaugų teikėjas. Tuomet sertifikatas kažką sako apie elektros tiekimą, aušinimą ir įėjimo kontrolę, bet nieko apie tai, kas gali pasiekti Jūsų duomenis. Antra: sertifikatas neatsako į penkis klausimus iš 2.1 pamokos. JAV paslauga gali turėti ISO 27001 sertifikatą ir vis tiek patekti po CLOUD Act galiojimu.
Mažesni paslaugų teikėjai kartais neturi sertifikavimo, nes tai brangiai kainuoja. Tai nereiškia, kad jie nesaugūs. Tuomet konkrečiai paklauskite, kokių priemonių jie imasi: dviejų veiksnių autentifikacijos administratoriams, šifravimo, atsarginių kopijų kitoje vietoje, atnaujinimų politikos, pranešimo apie duomenų saugumo pažeidimus tvarkos.
SLA skaitymas
SLA (service level agreement, paslaugų lygio sutartis) aprašo, ką paslaugų teikėjas pažada: prieinamumą, palaikymo reagavimo laiką, techninės priežiūros langus ir ką gaunate, jei pažadas neįvykdomas.
Prieinamumą visada perskaičiuokite į laiką. 99,9 proc. per mėnesį skamba beveik tobulai, tačiau tai reiškia, kad paslauga gali būti nepasiekiama daugiau nei 43 minutes per mėnesį. Esant 99 proc., tai daugiau nei septynios valandos. Taip pat pažiūrėkite, ar į tai įskaičiuojama planinė priežiūra, ir kokia yra kompensacija: dažniausiai tai nedidelis kreditas, o ne Jūsų patirtos žalos atlyginimas.
Perskaitykite ir tai, ko tekste NĖRA. Svarbūs dalykai, kurie turėtų būti SLA ar sąlygose:
- kiek laiko ir kur saugomos atsarginės kopijos, ir ar galite pats ką nors atkurti;
- kaip greitai ištaisomas saugumo pažeidimas;
- kaip informuojami apie sutrikimą (būsenos puslapis, el. laiškas);
- kas nutinka su Jūsų duomenimis po sutarties nutraukimo (2.3 ir 8.2 pamokos).
Bandyti, klausti, testuoti
Popierius viską pakenčia. Todėl lyginkite ne vien pagal svetainę:
- Pasinaudokite bandomuoju laikotarpiu arba mažu paketu, ir į jį įkelkite realų testinį rinkinį: kelias pašto dėžutes, kalendorių su pasikartojančiais susitikimais, aplanką su Jūsų sudėtingiausiais dokumentais (6.5 pamoka).
- Užduokite palaikymo tarnybai realų klausimą, pavyzdžiui: „Kaip eksportuoti viską, jei išeinu?“ Atkreipkite dėmesį į greitį, kalbą ir ar atsakymas teisingas.
- Paprašykite dokumentų: duomenų tvarkymo sutarties, subtvarkytojų sąrašo, SLA, sertifikatų su nurodyta taikymo sritimi.
- Paprašykite rekomendacijų iš organizacijos, panašios į Jūsų, ir jiems paskambinkite.
- Atlikite eksporto testą prieš pasirašydami sutartį.
Veikiantis palyginimo stalelis
Sudėkite paslaugų teikėjus į stulpelius, o savo reikalavimus į eilutes. Kiekvienoje langelyje nurodykite faktą su šaltiniu, o ne įspūdį. Keleto eilučių pavyzdys kepyklai:
| Reikalavimas | Lygmuo | Teikėjas A | Teikėjas B | Teikėjas C |
|---|---|---|---|---|
| Europos savininkas | privalo | taip (įmonių registras) | ne (patronuojanti įmonė JAV) | taip (metinė ataskaita) |
| Duomenys ir atsarginės kopijos EEE | privalo | taip (duomenų tvarkymo sutarties 1 priedas) | taip | taip, atsarginė kopija Šveicarijoje (tinkamumo sprendimas) |
| IMAP, CalDAV, CardDAV | privalo | taip (testuota) | tik nuosava programėlė | taip (testuota) |
| Visko eksportas standartiniais formatais | privalo | taip (testuota) | iš dalies | taip |
| Internetinis biuro paketas | turėtų | taip | taip | ne |
| Palaikymas lietuvių kalba | turėtų | taip | ne | taip |
Teikėjas B atkrenta dėl dviejų privalomų reikalavimų, kad ir kokia graži būtų likusi dalis. Tarp A ir C sprendžiate pagal turėtų reikalavimus.
Praktikoje: kaip tai atrodo pas vieną paslaugų teikėją
WebOké Nextcloud yra valdomos paslaugos ant atvirojo kodo programinės įrangos pavyzdys: galite rinktis tarp bendros aplinkos ir atskiro serverio pagal paketą, o naudojama programinė įranga yra tas pats Nextcloud, kurį galite naudoti ir pas kitus teikėjus, ir savarankiškai. Kiti Europos paslaugų teikėjai siūlo panašias formas: viskas viename paslaugas su paštu, saugykla ir kalendoriumi (pavyzdžiui, mailbox.org, Infomaniak, Proton arba IONOS), atskiras pašto paslaugas (pavyzdžiui, Posteo arba Tuta) ir serverius savarankiškam talpinimui (pavyzdžiui, Hetzner, OVHcloud, Scaleway arba STACKIT). Šis kursas už Jus nesirenka: naudokitės savo reikalavimų sąrašu.
Santrauka
- Pradėkite nuo savo reikalavimų, suskirstytų į privalo, turėtų ir gali. Privalo sąrašą laikykite trumpą.
- Sąmoningai rinkitės tarp viskas viename, atskirų paslaugų ir savarankiško talpinimo; savarankiškas talpinimas reikalauja nuolatinių žinių ir laiko.
- Sertifikatas visų pirma kažką sako savo taikymo srities ribose ir neatsako į klausimą apie savininką.
- Prieinamumą perskaičiuokite į laiką ir perskaitykite, ko SLA nėra.
- Testuokite bandomuoju laikotarpiu, realiu klausimu palaikymo tarnybai ir eksporto testu prieš pasirašydami sutartį.
Testas
Užduotis
Užduotis E2.4: Jūsų pačių reikalavimų sąrašas ir palyginimas. Sudarykite reikalavimų sąrašą su bent penkiais privalo reikalavimais ir trimis turėtų reikalavimais. Pagal jį palyginkite du arba tris paslaugų teikėjus lentelėje, kaip aukščiau, su faktu ir šaltiniu kiekviename langelyje. Trimis sakiniais paaiškinkite, kurį paslaugų teikėją rinktumėtės ir kodėl.
Užduotis E2.4: Jūsų pačių reikalavimų sąrašas ir palyginimas
Sudarykite reikalavimų sąrašą ir palyginkite du arba tris teikėjus (stulpeliai: reikalavimas, lygis privaloma/pageidautina/galima, 1 teikėjas, 2, 3).
Jūsų pažymėti varneliai ir pastabos lieka tik šioje naršyklėje; niekur jų nesiunčiame. Jei esate prisijungę, skiltyje Mano kursai išsaugome tik tai, kad užduotį atlikote.
Skaitykite daugiau
Šiuose straipsniuose aprašyti žingsniai galioja WebOké paslaugoms; pas kitus paslaugų teikėjus procesas panašus.
- Nextcloud vadovas 1.4: Nextcloud Free, Personal, Family ir Max: skirtumai ir perėjimas
- WebOké vadovas 2.2: Pasirinkti talpinimo planą (talpinimas, el. pašto planas, Nextcloud, AI Builder)
- Nextcloud vadovas 6.6: Atsarginės kopijos WebOké sistemoje: ką saugome mes ir ką galite padaryti patys
- ISO/IEC 27001:2022, Information security management systems (iso.org, standartas 27001)
- BSI C5 (Cloud Computing Compliance Criteria Catalogue): https://www.bsi.bund.de/EN/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/Kriterienkatalog-C5/kriterienkatalog-c5_node.html