Moduł 2 · 2.4
Porównywanie dostawców bez dania się zwieść
Moduł 2: Czym naprawdę jest europejska chmura? · Czas czytania: 11 minut
Cel lekcji: Po tej lekcji będą Państwo potrafili na podstawie własnej listy wymagań porównać europejskich dostawców pod względem treści, ocenić wartość certyfikatów oraz wybrać między usługą kompleksową (wszystko w jednym), usługami oddzielnymi a własnym hostingiem.
Kluczowe pojęcia: lista wymagań (musi, powinno, może), ISO/IEC 27001, zakres stosowania (scope), ISO/IEC 27701, NEN 7510, BSI C5, SecNumCloud, SOC 2, SLA, dostępność, język wsparcia, okres próbny, referencje, usługa kompleksowa, usługi oddzielne, własny hosting
Najpierw Państwa wymagania, potem dostawcy
Kto zaczyna od przeglądania stron internetowych dostawców, daje się prowadzić temu, co oni sami uważają za najładniejsze: dużą liczbę miejsca na dysku, przycisk AI, elegancki logotyp. Dlatego proszę zacząć od siebie. Piekarnia Bakkerij De Korrel najpierw spisała, czego naprawdę potrzebuje, i dopiero potem zaczęła się rozglądać.
Proszę skorzystać w tym celu z trzech poziomów:
- Musi: bez tego dostawca odpada. Na przykład: dane i kopie zapasowe w EOG, europejski właściciel, umowa powierzenia przetwarzania danych osobowych z listą podwykonawców przetwarzania, poczta na własnej domenie, IMAP i CalDAV, uwierzytelnianie dwuskładnikowe.
- Powinno: ważne, ale da się to obejść. Na przykład: internetowy pakiet biurowy w przeglądarce, wsparcie w języku polskim, aplikacja mobilna do zdjęć.
- Może: miło mieć. Na przykład: wideorozmowy, formularze, pomoc AI.
Proszę utrzymać listę wymagań typu „musi” w krótkiej formie. Listy trzydziestu punktów nikt nie zrealizuje, więc i tak wybiorą Państwo na wyczucie.
Trzy rodzaje oferty
Europejskie usługi chmurowe występują w ogólnym zarysie w trzech formach.
| Forma | Na czym polega | Zalety | Na co uważać |
|---|---|---|---|
| Usługa kompleksowa | Jeden dostawca dostarcza razem pocztę, miejsce na dysku, kalendarz, dokumenty i czat, podobnie jak pakiety dużych amerykańskich dostawców | Jedna umowa, jedno logowanie, wszystko działa razem | Znów są Państwo uzależnieni od jednego podmiotu; proszę szczególnie dokładnie sprawdzić możliwości eksportu |
| Usługi oddzielne | Poczta u jednego dostawcy, pliki i kalendarz u innego, czat u trzeciego | Dla każdego elementu najlepszy wybór; mniejsza zależność | Więcej umów, więcej loginów, więcej zarządzania |
| Własny hosting | Uruchamiają Państwo oprogramowanie open source (na przykład Nextcloud) na własnym serwerze lub serwerze wynajętym | Maksymalna kontrola | Sami Państwo zajmują się aktualizacjami, bezpieczeństwem i kopiami zapasowymi; to kosztuje wiedzę i czas, co tydzień |
Wiele małych organizacji wybiera rozwiązanie pośrednie: usługę zarządzaną opartą na oprogramowaniu open source. Wtedy dostawca zarządza serwerem, ale mogą Państwo przy tym samym oprogramowaniu przejść do innego dostawcy lub na własny hosting, jeśli kiedyś okaże się to potrzebne. Własny hosting jest dobrym pomysłem tylko wtedy, gdy ktoś ma na to stały czas i wie, co robi. Nextcloud, który przez rok nie otrzymuje aktualizacji, jest mniej bezpieczny niż dobrze zarządzana usługa, europejska czy nie.
Certyfikaty: co mówią, a czego nie
Dostawcy chętnie powołują się na certyfikaty. Są one przydatne, ale trzeba wiedzieć, co oznaczają.
| Certyfikat | Co oznacza | Na co zwrócić uwagę |
|---|---|---|
| ISO/IEC 27001 | Firma posiada system zarządzania bezpieczeństwem informacji: zidentyfikowane ryzyka, wdrożone środki, coroczna kontrola przez jednostkę certyfikującą | Zakres stosowania (scope): czy dotyczy usługi, z której Państwo korzystają, czy tylko centrum danych lub jednego działu? Czy certyfikat jest ważny i wydany przez akredytowaną jednostkę? |
| ISO/IEC 27701 | Rozszerzenie normy 27001 o zarządzanie prywatnością | Te same pytania dotyczące zakresu stosowania |
| NEN 7510 | Niderlandzka norma bezpieczeństwa informacji w ochronie zdrowia | Istotne tylko wtedy, gdy przetwarzają Państwo dane medyczne; wtedy często stanowi wymóg |
| BSI C5 | Niemiecki katalog wymagań dla usług chmurowych opracowany przez Bundesamt für Sicherheit in der Informationstechnik | Raport z ustaleniami, a nie proste „zaliczone” |
| SecNumCloud | Francuska kwalifikacja ANSSI dla usług chmurowych, z wymaganiami przeciwko dostępowi na podstawie przepisów spoza UE | Rygorystyczny; dużo mówi o niezależności prawnej |
| SOC 2 | Amerykański raport z audytu (AICPA) dotyczący środków bezpieczeństwa | To nie certyfikat, lecz raport; proszę poprosić o sam raport, nie tylko o logo |
Dwie pułapki. Po pierwsze: certyfikowane jest centrum danych, a nie sam dostawca. Wtedy certyfikat mówi coś o zasilaniu, chłodzeniu i bramkach dostępowych, ale nic o tym, kto ma dostęp do Państwa danych. Po drugie: certyfikat nie jest odpowiedzią na pięć pytań z lekcji 2.1. Amerykańska usługa może posiadać ISO 27001, a mimo to podlegać CLOUD Act.
Mali dostawcy czasem nie mają certyfikacji, ponieważ dużo ona kosztuje. Nie oznacza to, że są niebezpieczni. Proszę wtedy zapytać konkretnie, jakie środki stosują: uwierzytelnianie dwuskładnikowe dla administratorów, szyfrowanie, kopie zapasowe w innej lokalizacji, politykę aktualizacji, procedurę zgłaszania naruszeń ochrony danych.
Jak czytać SLA
SLA (umowa o poziomie usług) opisuje, co obiecuje dostawca: dostępność, czas reakcji wsparcia, okna konserwacyjne oraz to, co otrzymają Państwo, jeśli obietnica nie zostanie dotrzymana.
Dostępność zawsze proszę przeliczyć na czas. 99,9% miesięcznie brzmi niemal idealnie, ale oznacza, że usługa może być niedostępna ponad 43 minuty w miesiącu. Przy 99% jest to ponad siedem godzin. Proszę sprawdzić też, czy zaplanowana konserwacja jest wliczana, oraz jaka jest rekompensata: zwykle niewielki kredyt, a nie zwrot poniesionej szkody.
Proszę przeczytać również to, czego w dokumencie nie ma. Ważne punkty, które powinny znaleźć się w SLA lub w regulaminie:
- jak długo i gdzie przechowywane są kopie zapasowe oraz czy mogą Państwo sami coś przywrócić;
- jak szybko usuwana jest luka bezpieczeństwa;
- jak są Państwo informowani o awarii (strona statusu, e-mail);
- co dzieje się z Państwa danymi po rezygnacji (lekcja 2.3 i 8.2).
Wypróbować, zapytać, przetestować
Papier jest cierpliwy. Dlatego proszę nie porównywać tylko na podstawie strony internetowej:
- Proszę skorzystać z okresu próbnego lub małego pakietu i umieścić w nim prawdziwy zestaw testowy: kilka skrzynek pocztowych, kalendarz z powtarzającymi się spotkaniami, folder z najtrudniejszymi dokumentami (lekcja 6.5).
- Proszę zadać wsparciu prawdziwe pytanie, na przykład „Jak wyeksportować wszystko, jeśli zrezygnuję?”. Proszę zwrócić uwagę na szybkość, język oraz to, czy odpowiedź jest poprawna.
- Proszę poprosić o dokumenty: umowę powierzenia przetwarzania danych osobowych, listę podwykonawców przetwarzania, SLA, certyfikaty wraz z zakresem stosowania.
- Proszę zapytać o referencje organizacji podobnej do Państwa i do niej zadzwonić.
- Proszę przeprowadzić test eksportu przed podpisaniem umowy.
Tabela porównawcza, która działa
Proszę umieścić dostawców w kolumnach, a swoje wymagania w wierszach. W każdej komórce proszę wpisać fakt wraz ze źródłem, a nie wrażenie. Przykład kilku wierszy dla piekarni:
| Wymóg | Poziom | Dostawca A | Dostawca B | Dostawca C |
|---|---|---|---|---|
| Europejski właściciel | musi | tak (rejestr handlowy) | nie (spółka matka w USA) | tak (sprawozdanie roczne) |
| Dane i kopie zapasowe w EOG | musi | tak (umowa powierzenia, załącznik 1) | tak | tak, kopia zapasowa w CH (kraj uznany za zapewniający odpowiedni poziom ochrony) |
| IMAP, CalDAV, CardDAV | musi | tak (przetestowano) | tylko własna aplikacja | tak (przetestowano) |
| Eksport wszystkiego w formatach standardowych | musi | tak (przetestowano) | częściowo | tak |
| Internetowy pakiet biurowy | powinno | tak | tak | nie |
| Wsparcie w języku polskim | powinno | tak | nie | tak |
Dostawca B odpada ze względu na dwa wymogi typu „musi”, bez względu na to, jak dobra jest reszta. Między A i C decydują Państwo na podstawie wymogów typu „powinno”.
W praktyce: tak to wygląda u dostawcy
Nextcloud od WebOké jest przykładem usługi zarządzanej opartej na oprogramowaniu open source: mogą Państwo wybrać między środowiskiem współdzielonym a własnym serwerem dla danego pakietu, a oprogramowanie to ten sam Nextcloud, który można uruchomić również u innych dostawców lub samodzielnie. Inni europejscy dostawcy oferują podobne formy: usługi kompleksowe z pocztą, miejscem na dysku i kalendarzem (na przykład mailbox.org, Infomaniak, Proton lub IONOS), oddzielne usługi pocztowe (na przykład Posteo lub Tuta) oraz serwery do własnego hostingu (na przykład u Hetzner, OVHcloud, Scaleway lub STACKIT). Ten kurs nie dokonuje wyboru za Państwa: proszę skorzystać z listy wymagań.
Podsumowanie
- Proszę zacząć od własnych wymagań, podzielonych na musi, powinno i może. Lista typu „musi” powinna być krótka.
- Proszę świadomie wybrać między usługą kompleksową, usługami oddzielnymi a własnym hostingiem; własny hosting wymaga stałej wiedzy i czasu.
- Certyfikat mówi przede wszystkim coś w ramach swojego zakresu stosowania i nie odpowiada na pytanie o właściciela.
- Dostępność proszę przeliczyć na czas i przeczytać to, czego nie ma w SLA.
- Proszę przetestować usługę za pomocą okresu próbnego, prawdziwego pytania do wsparcia i testu eksportu przed podpisaniem umowy.
Quiz
Zadanie
Zadanie E2.4: Własna lista wymagań i porównanie. Proszę stworzyć listę wymagań zawierającą co najmniej pięć wymogów typu „musi” i trzy typu „powinno”. Proszę na jej podstawie porównać dwóch lub trzech dostawców w tabeli takiej jak powyżej, podając w każdej komórce fakt i źródło. Proszę w trzech zdaniach wyjaśnić, którego dostawcę by Państwo wybrali i dlaczego.
Zadanie E2.4: Własna lista wymagań i porównanie
Proszę sporządzić listę wymagań i porównać dwóch lub trzech dostawców (kolumny: wymaganie, poziom musi/powinien/może, dostawca 1, 2, 3).
Zaznaczenia i notatki pozostają tylko w tej przeglądarce; nie są nigdzie wysyłane. Po zalogowaniu w Moje kursy zapisywana jest jedynie informacja, że zadanie zostało wykonane.
Dalsza lektura
Kroki opisane w tych artykułach dotyczą usług WebOké; u innych dostawców działa to w podobny sposób.
- Podręcznik Nextcloud 1.4: Nextcloud Free, Personal, Family lub Max: różnice i zmiana pakietu
- Podręcznik WebOké 2.2: Wybór pakietu hostingowego (hosting, pakiet e-mail, Nextcloud, AI Builder)
- Podręcznik Nextcloud 6.6: Kopie zapasowe w WebOké: co przechowujemy i co mogą Państwo zrobić samodzielnie
- ISO/IEC 27001:2022, Information security management systems (iso.org, standaard 27001)
- BSI C5 (Cloud Computing Compliance Criteria Catalogue): https://www.bsi.bund.de/EN/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/Kriterienkatalog-C5/kriterienkatalog-c5_node.html