Modul 2 · 2.4
Uspoređivanje pružatelja usluga bez da Vas zavedu
Modul 2: Što je europski cloud zapravo? · Vrijeme čitanja: 11 minuta
Cilj učenja: Nakon ove lekcije moći ćete pomoću vlastite liste zahtjeva sadržajno usporediti europske pružatelje usluga, procijeniti vrijednost certifikata te izabrati između sve-u-jednom usluge, zasebnih usluga ili vlastitog hostinga.
Ključni pojmovi: lista zahtjeva (mora, trebalo bi, smije), ISO/IEC 27001, područje primjene (scope), ISO/IEC 27701, NEN 7510, BSI C5, SecNumCloud, SOC 2, SLA, dostupnost, jezik podrške, probno razdoblje, preporuke, sve-u-jednom, zasebne usluge, vlastiti hosting
Prvo Vaši zahtjevi, zatim pružatelji usluga
Tko počne s pregledavanjem web stranica pružatelja usluga, pusti se voditi onime što oni smatraju najljepšim: velikim brojem u pogledu prostora za pohranu, AI gumbom, urednim logotipom. Zato počnite od sebe. Pekara De Korrel prvo je zapisala što joj je zaista potrebno, a tek je onda počela razgledavati ponude.
Za to upotrijebite tri razine:
- Mora: bez ovoga pružatelj usluge otpada. Na primjer: podaci i sigurnosne kopije unutar EGP a, europski vlasnik, ugovor o obradi podataka s popisom podizvršitelja obrade, pošta na vlastitoj domeni, IMAP i CalDAV, dvofaktorska autentifikacija.
- Trebalo bi: važno, ali se može zaobići. Na primjer: online uredski paket u pregledniku, podrška na hrvatskom jeziku, mobilna aplikacija za fotografije.
- Smije: lijepo je imati. Na primjer: videopozivi, obrasci, AI pomoć.
Neka popis "mora" zahtjeva bude kratak. Popis od trideset stavki nitko ne ispunjava, pa ćete ionako birati na osjećaj.
Tri vrste ponude
Europske cloud usluge otprilike dolaze u tri oblika.
| Oblik | Što to je | Prednosti | Na što pazite |
|---|---|---|---|
| Sve-u-jednom | Jedan pružatelj usluge isporučuje poštu, pohranu, kalendar, dokumente i chat zajedno, poput paketa velikih američkih pružatelja usluga | Jedan ugovor, jedna prijava, sve radi zajedno | Opet ste ovisni o jednoj strani; dodatno dobro provjerite mogućnosti izvoza |
| Zasebne usluge | Pošta kod jednog pružatelja usluge, datoteke i kalendar kod drugog, chat kod trećeg | Za svaki dio najbolji izbor; manja ovisnost | Više ugovora, više prijava, više upravljanja |
| Vlastiti hosting | Sami pokrećete softver otvorenog koda (na primjer Nextcloud) na vlastitom poslužitelju ili unajmljenom poslužitelju | Maksimalna kontrola | Vi obavljate nadogradnje, sigurnost i sigurnosne kopije; to iziskuje znanje i vrijeme, svaki tjedan |
Mnoge manje organizacije biraju srednji put: upravljanu uslugu na softveru otvorenog koda. Tada pružatelj usluge upravlja poslužiteljem, ali s istim softverom možete prijeći na drugog pružatelja usluge ili na vlastiti hosting ako to ikad bude potrebno. Vlastiti hosting dobra je ideja samo ako netko za to ima trajno vrijeme i zna što radi. Nextcloud koji godinu dana ne dobiva nadogradnje manje je siguran od dobro upravljane usluge, bila ona europska ili ne.
Certifikati: što govore, a što ne
Pružatelji usluga rado ističu certifikate. Korisni su, ali morate znati što zapravo znače.
| Certifikat | Što govori | Na što pazite |
|---|---|---|
| ISO/IEC 27001 | Tvrtka ima sustav upravljanja sigurnošću informacija: popisane rizike, mjere, godišnju provjeru od strane certifikacijskog tijela | Područje primjene (scope): vrijedi li to za uslugu koju Vi koristite, ili samo za podatkovni centar ili jedan odjel? Je li certifikat valjan i izdan od akreditiranog tijela? |
| ISO/IEC 27701 | Proširenje norme 27001 za upravljanje privatnošću | Ista pitanja o području primjene |
| NEN 7510 | Nizozemska norma za sigurnost informacija u zdravstvu | Relevantno samo ako obrađujete zdravstvene podatke; tada je to često zahtjev |
| BSI C5 | Njemački katalog zahtjeva za cloud usluge njemačkog Saveznog ureda za informacijsku sigurnost (Bundesamt für Sicherheit in der Informationstechnik) | Izvještaj s nalazima, nije jednostavno "položeno" |
| SecNumCloud | Francuska kvalifikacija francuske agencije ANSSI za cloud usluge, sa zahtjevima protiv pristupa na temelju zakona izvan EU a | Strog; govori mnogo o pravnoj neovisnosti |
| SOC 2 | Američko revizijsko izvješće (AICPA) o sigurnosnim mjerama | Nije certifikat nego izvještaj; tražite izvještaj, ne samo logotip |
Dvije zamke. Prvo: podatkovni centar je certificiran, ali sam pružatelj usluge nije. Tada certifikat govori nešto o napajanju, hlađenju i kontroli pristupa, ali ništa o tome tko ima pristup Vašim podacima. Drugo: certifikat nije odgovor na pet pitanja iz lekcije 2.1. Američka usluga može imati ISO 27001 i ipak biti podložna CLOUD Actu.
Manji pružatelji usluga ponekad nemaju certifikat jer on puno košta. To ih ne čini nesigurnima. Tada konkretno pitajte koje mjere poduzimaju: dvofaktorsku autentifikaciju za administratore, enkripciju, sigurnosne kopije na drugoj lokaciji, politiku nadogradnji, postupak prijave u slučaju povrede podataka.
Čitanje SLA a
SLA (service level agreement, ugovor o razini usluge) opisuje što pružatelj usluge obećava: dostupnost, vrijeme reakcije podrške, prozore za održavanje i što dobivate ako ne ispuni obećanje.
Dostupnost uvijek preračunajte u vrijeme. 99,9% mjesečno zvuči gotovo savršeno, ali znači da usluga smije biti nedostupna više od 43 minute mjesečno. Kod 99% to je više od sedam sati. Provjerite i ubraja li se planirano održavanje, te kakva je naknada: često je riječ o malom dobropisu, a ne o naknadi Vaše štete.
Pročitajte i što NIJE navedeno. Važne točke koje pripadaju u SLA ili u uvjete korištenja:
- koliko dugo i gdje se čuvaju sigurnosne kopije, te možete li sami nešto vratiti;
- koliko brzo se otklanja sigurnosni propust;
- kako se obavještavate u slučaju ispada (stranica statusa, e-pošta);
- što se događa s Vašim podacima nakon otkazivanja (lekcija 2.3 i 8.2).
Isprobajte, pitajte, testirajte
Papir je strpljiv. Zato ne uspoređujte samo na temelju web stranice:
- Uzmite probno razdoblje ili manji paket, i u njega stavite pravi testni skup: nekoliko poštanskih sandučića, kalendar s ponavljajućim terminima, mapu s Vašim najzahtjevnijim dokumentima (lekcija 6.5).
- Postavite podršci pravo pitanje, na primjer "Kako izvesti sve podatke kada odem?" Obratite pažnju na brzinu, jezik i je li odgovor točan.
- Zatražite dokumente: ugovor o obradi podataka, popis podizvršitelja obrade, SLA, certifikate s područjem primjene.
- Zatražite preporuke od organizacije slične Vašoj, i nazovite ih.
- Provedite test izvoza prije nego što potpišete ugovor.
Usporedna tablica koja funkcionira
Pružatelje usluga stavite u stupce, a Vaše zahtjeve u retke. U svaku ćeliju upišite činjenicu s izvorom, ne dojam. Primjer nekoliko redaka za pekaru:
| Zahtjev | Razina | Pružatelj A | Pružatelj B | Pružatelj C |
|---|---|---|---|---|
| Europski vlasnik | mora | da (trgovački registar) | ne (matična tvrtka u SAD u) | da (godišnje izvješće) |
| Podaci i sigurnosne kopije unutar EGP a | mora | da (UoOP prilog 1) | da | da, sigurnosna kopija u CH (odgovarajuća razina zaštite) |
| IMAP, CalDAV, CardDAV | mora | da (testirano) | samo vlastita aplikacija | da (testirano) |
| Izvoz svega u standardnim formatima | mora | da (testirano) | djelomično | da |
| Online uredski paket | trebalo bi | da | da | ne |
| Podrška na hrvatskom jeziku | trebalo bi | da | ne | da |
Pružatelj B otpada na dva "mora" zahtjeva, koliko god ostalo bilo lijepo. Između A i C odlučujete na temelju "trebalo bi" zahtjeva.
U praksi: tako to izgleda kod jednog pružatelja usluge
WebOké Nextcloud primjer je upravljane usluge na softveru otvorenog koda: možete birati između zajedničkog okruženja i vlastitog poslužitelja po paketu, a softver je isti Nextcloud koji možete koristiti i kod drugih pružatelja usluga ili samostalno. Drugi europski pružatelji usluga nude slične oblike: sve-u-jednom usluge s poštom, pohranom i kalendarom (na primjer mailbox.org, Infomaniak, Proton ili IONOS), zasebne usluge e-pošte (na primjer Posteo ili Tuta) te poslužitelje za vlastiti hosting (na primjer kod Hetznera, OVHclouda, Scalewaya ili STACKIT a). Ovaj tečaj ne bira umjesto Vas: koristite listu zahtjeva.
Sažetak
- Počnite s vlastitim zahtjevima, podijeljenima na mora, trebalo bi i smije. Neka popis "mora" zahtjeva bude kratak.
- Svjesno birajte između sve-u-jednom, zasebnih usluga i vlastitog hostinga; vlastiti hosting trajno iziskuje znanje i vrijeme.
- Certifikat uglavnom govori nešto unutar svog područja primjene, a ne odgovara na pitanje o vlasništvu.
- Preračunajte dostupnost u vrijeme i pročitajte što nije navedeno u SLA u.
- Testirajte probnim razdobljem, pravim upitom podršci i testom izvoza prije potpisivanja ugovora.
Kviz
Zadatak
Zadatak E2.4: Vaš vlastiti popis zahtjeva i usporedba. Napravite listu zahtjeva s najmanje pet "mora" zahtjeva i tri "trebalo bi" zahtjeva. Pomoću nje usporedite dva ili tri pružatelja usluga u tablici poput gornje, s činjenicom i izvorom u svakoj ćeliji. U tri rečenice objasnite kojeg biste pružatelja usluge odabrali i zašto.
Zadatak E2.4: Vaš vlastiti popis zahtjeva i usporedba
Izradite popis zahtjeva i usporedite dva ili tri pružatelja usluga (stupci: zahtjev, razina mora/trebao bi/smije, pružatelj 1, 2, 3).
Vaše kvačice i bilješke ostaju samo u ovom pregledniku; ne šaljemo ih nikamo. Ako ste prijavljeni, u Moji tečajevi čuvamo samo podatak da ste zadatak završili.
Dodatna literatura
Koraci u ovim člancima vrijede za usluge WebOkéa; kod drugih pružatelja usluga postupak je sličan.
- Nextcloud priručnik 1.4: Nextcloud Free, Personal, Family ili Max: razlike i prelazak
- Priručnik za WebOké 2.2: Odabir paketa hostinga (web hosting, e-mail paket, Nextcloud, AI Builder)
- Nextcloud priručnik 6.6: Sigurnosne kopije kod WebOké: što mi čuvamo i što možete sami učiniti
- ISO/IEC 27001:2022, Information security management systems (iso.org, standaard 27001)
- BSI C5 (Cloud Computing Compliance Criteria Catalogue): https://www.bsi.bund.de/EN/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/Kriterienkatalog-C5/kriterienkatalog-c5_node.html