Modul 2 · 2.4
Primerjava ponudnikov, ne da bi se pustili zapeljati
Modul 2: Kaj evropski oblak resnično je? · Čas branja: 11 minut
Cilj lekcije: Po tej lekciji boste z lastno seznamom zahtev lahko vsebinsko primerjali evropske ponudnike, pravilno ovrednotili potrdila kakovosti in izbrali med celovito storitvijo, ločenimi storitvami ali lastnim gostovanjem.
Ključni pojmi: seznam zahtev (mora, bi moral, sme), ISO/IEC 27001, področje uporabe (scope), ISO/IEC 27701, NEN 7510, BSI C5, SecNumCloud, SOC 2, SLA, razpoložljivost, jezik podpore, poskusno obdobje, reference, celovita storitev, ločene storitve, lastno gostovanje
Najprej Vaše zahteve, nato ponudniki
Kdor začne z ogledovanjem spletnih strani ponudnikov, se pusti voditi tistim, kar se njim samim zdi najlepše: veliko število za prostor za shranjevanje, gumb z UI, dovršen logotip. Zato začnite pri sebi. Pekarna De Korrel je najprej zapisala, kaj resnično potrebuje, in šele nato začela gledati ponudnike.
Za to uporabite tri ravni:
- Mora: brez tega ponudnik odpade. Na primer: podatki in varnostne kopije v EGP, evropski lastnik, pogodba o obdelavi osebnih podatkov s seznamom podobdelovalcev, epošta na lastni domeni, IMAP in CalDAV, dvostopenjsko preverjanje.
- Bi moral: pomembno, vendar se brez tega da shajati. Na primer: spletni pisarniški paket v brskalniku, podpora v Vašem jeziku, telefonska aplikacija za fotografije.
- Sme: lepo je imeti. Na primer: video klici, obrazci, pomoč UI.
Seznam "mora" naj bo kratek. Seznama "mora" s tridesetimi točkami ne izpolni nihče, in potem boste vseeno izbirali po občutku.
Tri vrste ponudbe
Evropske storitve v oblaku grobo delimo na tri oblike.
| Oblika | Kaj je to | Prednosti | Na kaj paziti |
|---|---|---|---|
| Celovita storitev | En ponudnik skupaj zagotavlja epošto, prostor za shranjevanje, koledar, dokumente in klepet, podobno kot paketi velikih ameriških ponudnikov | Ena pogodba, ena prijava, vse deluje skupaj | Spet ste odvisni od enega ponudnika; še posebej dobro preverite možnosti izvoza |
| Ločene storitve | Epošta pri enem ponudniku, datoteke in koledar pri drugem, klepet pri tretjem | Za vsak del najboljša izbira; manjša odvisnost | Več pogodb, več prijav, več upravljanja |
| Lastno gostovanje | Poganjate odprtokodno programsko opremo (na primer Nextcloud) na lastnem ali najetem strežniku | Največji nadzor | Posodobitve, varnost in varnostne kopije opravljate sami; to zahteva znanje in čas, vsak teden |
Mnoge manjše organizacije izberejo vmesno pot: upravljano storitev na odprtokodni programski opremi. Takrat strežnik upravlja ponudnik, vendar lahko z isto programsko opremo pozneje, če je to potrebno, preidete k drugemu ponudniku ali na lastno gostovanje. Lastno gostovanje je dobra zamisel samo, če ima nekdo za to stalno na voljo čas in zna z njim ravnati. Nextcloud, ki leto dni ne prejme posodobitev, je manj varen kot dobro upravljana storitev, naj bo evropska ali ne.
Potrdila kakovosti: kaj povedo in kaj ne
Ponudniki radi navajajo certifikate. So koristni, vendar morate vedeti, kaj dejansko pomenijo.
| Potrdilo | Kaj pove | Na kaj paziti |
|---|---|---|
| ISO/IEC 27001 | Podjetje ima sistem upravljanja informacijske varnosti: popisana tveganja, ukrepi, letni nadzor s strani certifikacijskega organa | Področje uporabe (scope): ali velja za storitev, ki jo Vi uporabljate, ali samo za podatkovni center ali en oddelek? Je potrdilo veljavno in izdano s strani akreditiranega organa? |
| ISO/IEC 27701 | Razširitev standarda 27001 za upravljanje zasebnosti | Ista vprašanja glede področja uporabe |
| NEN 7510 | Nizozemski standard za informacijsko varnost v zdravstvu | Pomemben samo, če obdelujete zdravstvene podatke; takrat je pogosto zahteva |
| BSI C5 | Nemški katalog zahtev za storitve v oblaku nemškega Zveznega urada za informacijsko varnost (Bundesamt für Sicherheit in der Informationstechnik) | Poročilo z ugotovitvami, ne preprost "uspešno" |
| SecNumCloud | Francoska kvalifikacija francoske agencije ANSSI za storitve v oblaku, z zahtevami proti dostopu na podlagi zakonov zunaj EU | Strog; veliko pove o pravni neodvisnosti |
| SOC 2 | Ameriško revizijsko poročilo (AICPA) o varnostnih ukrepih | Ni potrdilo, temveč poročilo; zahtevajte poročilo, ne le logotip |
Dve past. Prvič: certificiran je podatkovni center, ponudnik sam pa ne. Takrat potrdilo pove nekaj o napajanju, hlajenju in nadzoru dostopa, nič pa o tem, kdo ima dostop do Vaših podatkov. Drugič: potrdilo kakovosti ni odgovor na pet vprašanj iz lekcije 2.1. Ameriška storitev ima lahko potrdilo ISO 27001 in kljub temu spada pod CLOUD Act.
Manjši ponudniki včasih nimajo certifikacije, ker je draga. To jih ne naredi nevarnih. Zato konkretno vprašajte, katere ukrepe izvajajo: dvostopenjsko preverjanje za skrbnike, šifriranje, varnostne kopije na drugi lokaciji, politiko posodobitev, postopek obveščanja ob kršitvi varstva podatkov.
Branje SLA
SLA (service level agreement, dogovor o ravni storitev) opisuje, kaj ponudnik obljublja: razpoložljivost, odzivni čas podpore, okna za vzdrževanje in kaj dobite, če obljube ne izpolni.
Razpoložljivost vedno preračunajte v čas. 99,9 % na mesec zveni skoraj popolno, vendar pomeni, da storitev lahko ni dosegljiva dobrih 43 minut na mesec. Pri 99 % je to dobrih sedem ur. Preverite tudi, ali se načrtovano vzdrževanje šteje zraven, in kakšno je nadomestilo: pogosto gre le za majhen dobropis, ne za povračilo Vaše škode.
Preberite tudi, česa v dokumentu NI. Pomembne točke, ki sodijo v SLA ali pogoje:
- kako dolgo in kje se hranijo varnostne kopije ter ali lahko sami kaj obnovite;
- kako hitro se odpravi varnostna ranljivost;
- kako ste obveščeni ob izpadu (stran s statusom, epošta);
- kaj se zgodi z Vašimi podatki po odpovedi (lekciji 2.3 in 8.2).
Preizkušanje, spraševanje, testiranje
Papir je potrpežljiv. Zato ne primerjajte samo na podlagi spletne strani:
- Vzemite poskusno obdobje ali majhen paket in vanj vnesite pravi testni nabor podatkov: nekaj poštnih predalov, koledar s ponavljajočimi se dogodki, mapo z Vašimi najzahtevnejšimi dokumenti (lekcija 6.5).
- Postavite podpori pravo vprašanje, na primer "Kako izvozim vse, če odidem?" Bodite pozorni na hitrost, jezik in ali je odgovor pravilen.
- Zahtevajte dokumente: pogodbo o obdelavi osebnih podatkov, seznam podobdelovalcev, SLA, potrdila s področjem uporabe.
- Vprašajte za reference organizacije, ki je podobna Vaši, in jo pokličite.
- Izvedite test izvoza, preden podpišete.
Primerjalna tabela, ki deluje
Ponudnike razvrstite v stolpce, Vaše zahteve pa v vrstice. V vsako celico vpišite dejstvo z virom, ne vtisa. Primer nekaj vrstic za pekarno:
| Zahteva | Raven | Ponudnik A | Ponudnik B | Ponudnik C |
|---|---|---|---|---|
| Evropski lastnik | mora | da (poslovni register) | ne (matično podjetje v ZDA) | da (letno poročilo) |
| Podatki in varnostne kopije v EGP | mora | da (pogodba o obdelavi osebnih podatkov, priloga 1) | da | da, varnostna kopija v CH (ustrezen sklep) |
| IMAP, CalDAV, CardDAV | mora | da (preizkušeno) | samo lastna aplikacija | da (preizkušeno) |
| Izvoz vsega v standardnih formatih | mora | da (preizkušeno) | deloma | da |
| Spletni pisarniški paket | bi moral | da | da | ne |
| Podpora v Vašem jeziku | bi moral | da | ne | da |
Ponudnik B odpade na podlagi dveh zahtev iz kategorije "mora", ne glede na to, kako lepo je vse ostalo. Med A in C se odločate na podlagi zahtev iz kategorije "bi moral".
V praksi: tako je videti pri enem ponudniku
WebOké Nextcloud je primer upravljane storitve na odprtokodni programski opremi: izbirate lahko med skupnim okoljem in lastnim strežnikom za vsak paket, programska oprema pa je ista različica Nextclouda, ki jo lahko poganjate tudi pri drugih ponudnikih ali sami. Drugi evropski ponudniki nudijo podobne oblike: celovite storitve z epošto, prostorom za shranjevanje in koledarjem (na primer mailbox.org, Infomaniak, Proton ali IONOS), ločene poštne storitve (na primer Posteo ali Tuta) in strežnike za lastno gostovanje (na primer pri Hetznerju, OVHcloud, Scaleway ali STACKIT). Ta tečaj ne odloča namesto Vas: uporabite svoj seznam zahtev.
Povzetek
- Začnite s svojimi zahtevami, razdeljenimi na mora, bi moral in sme. Seznam "mora" naj bo kratek.
- Zavestno izbirajte med celovito storitvijo, ločenimi storitvami in lastnim gostovanjem; lastno gostovanje stalno zahteva znanje in čas.
- Potrdilo kakovosti pove predvsem nekaj znotraj svojega področja uporabe in ne odgovarja na vprašanje o lastništvu.
- Razpoložljivost preračunajte v čas in preberite, česa v SLA ni.
- Pred podpisom preizkusite s poskusnim obdobjem, pravim vprašanjem za podporo in testom izvoza.
Kviz
Naloga
Naloga E2.4: Vaš lastni seznam zahtev in primerjava. Pripravite seznam zahtev z vsaj petimi zahtevami iz kategorije "mora" in tremi iz kategorije "bi moral". S tem primerjajte dva ali tri ponudnike v tabeli, podobni zgornji, z dejstvom in virom za vsako celico. V treh stavkih pojasnite, katerega ponudnika bi izbrali in zakaj.
Naloga E2.4: Vaš lastni seznam zahtev in primerjava
Pripravite seznam zahtev in primerjajte dva ali tri ponudnike (stolpci: zahteva, raven mora/bi moral/sme, ponudnik 1, 2, 3).
Vaše kljukice in zapiski ostanejo samo v tem brskalniku, nikamor jih ne pošiljamo. Če ste prijavljeni, v Moji tečaji shranimo samo podatek, da ste nalogo opravili.
Za nadaljnje branje
Koraki v teh člankih veljajo za storitve WebOké; pri drugih ponudnikih je postopek podoben.
- Priročnik za Nextcloud 1.4: Nextcloud Free, Personal, Family ali Max: razlike in prehod med paketi
- Priročnik WebOké 2.2: Izbira paketa gostovanja (spletno gostovanje, e-poštni paket, Nextcloud, AI Builder)
- Priročnik za Nextcloud 6.6: Varnostne kopije pri WebOké: kaj hranimo mi in kaj lahko storite sami
- ISO/IEC 27001:2022, Information security management systems (iso.org, standard 27001)
- BSI C5 (Cloud Computing Compliance Criteria Catalogue): https://www.bsi.bund.de/EN/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/Kriterienkatalog-C5/kriterienkatalog-c5_node.html