2. modulis · 2.4
Pakalpojumu sniedzēju salīdzināšana, neļaujoties pievilšanai
2. modulis: Kas patiesībā ir Eiropas mākonis? · Lasīšanas laiks: 11 minūtes
Mācību mērķis: Pēc šīs nodarbības Jūs varēsiet ar savu prasību sarakstu pēc satura salīdzināt Eiropas pakalpojumu sniedzējus, novērtēt sertifikātu vērtību un izvēlēties starp visaptverošu pakalpojumu, atsevišķiem pakalpojumiem vai pašu hostēšanu.
Pamatjēdzieni: prasību saraksts (obligāti, vēlams, var), ISO/IEC 27001, piemērošanas joma (scope), ISO/IEC 27701, NEN 7510, BSI C5, SecNumCloud, SOC 2, SLA, pieejamība, atbalsta valoda, izmēģinājuma periods, atsauksmes, visaptverošs pakalpojums, atsevišķi pakalpojumi, pašu hostēšana
Vispirms savas prasības, tad pakalpojumu sniedzēji
Kas sāk ar pakalpojumu sniedzēju vietņu apskatīšanu, ļaujas tam, ko viņi paši uzskata par visskaistāko: lielu krātuves apjomu, MI pogu, glītu logotipu. Tāpēc sāciet ar sevi. Bakkerij De Korrel vispirms pierakstīja, kas tai patiešām ir vajadzīgs, un tikai tad sāka skatīties.
Izmantojiet tam trīs līmeņus:
- Obligāti: bez tā pakalpojumu sniedzējs atkrīt. Piemēram: dati un dublējumkopijas EEZ, Eiropas īpašnieks, datu apstrādes līgums ar apakšapstrādātāju sarakstu, e-pasts uz sava domēna, IMAP un CalDAV, divu faktoru autentifikācija.
- Vēlams: svarīgi, bet var iztikt bez tā. Piemēram: tiešsaistes biroja pakete pārlūkā, atbalsts Jūsu valodā, telefona lietotne fotoattēliem.
- Var: patīkami, ja ir. Piemēram: videozvani, veidlapas, MI palīdzība.
Turiet obligāto sarakstu īsu. Trīsdesmit punktu obligāto sarakstu neviens nesasniedz, un tad Jūs tomēr izvēlēsieties pēc sajūtas.
Trīs piedāvājuma veidi
Eiropas mākoņpakalpojumi aptuveni iedalās trīs formās.
| Forma | Kas tas ir | Priekšrocības | Pievērsiet uzmanību |
|---|---|---|---|
| Visaptverošs pakalpojums | Viens pakalpojumu sniedzējs nodrošina e-pastu, krātuvi, kalendāru, dokumentus un tērzēšanu kopā, tāpat kā lielo amerikāņu pakalpojumu sniedzēju komplekti | Viens līgums, viena pieteikšanās, viss darbojas kopā | Jūs atkal esat atkarīgs no viena uzņēmuma; īpaši rūpīgi pārbaudiet eksporta iespējas |
| Atsevišķi pakalpojumi | E-pasts pie viena pakalpojumu sniedzēja, faili un kalendārs pie cita, tērzēšana pie trešā | Katrai daļai labākā izvēle; mazāka atkarība | Vairāk līgumu, vairāk pieteikšanos, vairāk pārvaldības |
| Pašu hostēšana | Jūs darbinat atvērtā koda programmatūru (piemēram, Nextcloud) savā serverī vai nomātā serverī | Maksimāla kontrole | Jūs pats veicat atjauninājumus, drošību un dublējumkopijas; tas prasa zināšanas un laiku katru nedēļu |
Daudzas mazas organizācijas izvēlas vidusceļu: pārvaldītu pakalpojumu uz atvērtā koda programmatūras. Tad pakalpojumu sniedzējs pārvalda serveri, bet ar to pašu programmatūru Jūs varat pāriet pie cita pakalpojumu sniedzēja vai uz pašu hostēšanu, ja tas kādreiz būs vajadzīgs. Pašu hostēšana ir laba ideja tikai tad, ja kādam ir pastāvīgi laiks tam un viņš zina, ko dara. Nextcloud, kas gadu nesaņem atjauninājumus, ir mazāk drošs nekā labi pārvaldīts pakalpojums, Eiropas vai ne.
Sertifikāti: ko tie saka un ko ne
Pakalpojumu sniedzēji labprāt min sertifikācijas. Tās ir noderīgas, bet Jums jāzina, ko tās nozīmē.
| Sertifikāts | Ko tas nosaka | Kam pievērst uzmanību |
|---|---|---|
| ISO/IEC 27001 | Uzņēmumam ir informācijas drošības pārvaldības sistēma: apzināti riski, pasākumi, ikgadēja pārbaude, ko veic sertificēšanas iestāde | Piemērošanas joma (scope): vai tā attiecas uz pakalpojumu, ko Jūs izmantojat, vai tikai uz datu centru vai vienu nodaļu? Vai sertifikāts ir derīgs un izdots no akreditētas iestādes? |
| ISO/IEC 27701 | 27001 paplašinājums privātuma pārvaldībai | Tie paši jautājumi par piemērošanas jomu |
| NEN 7510 | Nīderlandes standarts informācijas drošībai veselības aprūpē | Aktuāls tikai tad, ja apstrādājat veselības datus; tad bieži vien ir prasība |
| BSI C5 | Vācijas prasību katalogs mākoņpakalpojumiem, ko izstrādājis Bundesamt für Sicherheit in der Informationstechnik | Ziņojums ar konstatējumiem, nevis vienkāršs apliecinājums par "izturēts" |
| SecNumCloud | Francijas ANSSI kvalifikācija mākoņpakalpojumiem ar prasībām pret piekļuvi saskaņā ar ārpus ES esošiem likumiem | Stingrs; daudz pasaka par juridisko neatkarību |
| SOC 2 | Amerikas revīzijas ziņojums (AICPA) par drošības pasākumiem | Nav sertifikāts, bet gan ziņojums; pieprasiet ziņojumu, nevis tikai logotipu |
Divas lamatas. Pirmkārt: datu centrs ir sertificēts, bet pats pakalpojumu sniedzējs nav. Tad sertifikāts pasaka kaut ko par strāvu, dzesēšanu un piekļuves vārtiem, bet neko par to, kas var piekļūt Jūsu datiem. Otrkārt: sertifikāts nav atbilde uz pieciem jautājumiem no nodarbības 2.1. Amerikas pakalpojumam var būt ISO 27001, un tomēr tas var būt pakļauts CLOUD Act.
Maziem pakalpojumu sniedzējiem dažreiz nav sertifikācijas, jo tā maksā dārgi. Tas nepadara tos nedrošus. Tad konkrēti pajautājiet, kādus pasākumus viņi veic: divu faktoru autentifikāciju administratoriem, šifrēšanu, dublējumkopijas citā vietā, atjaunināšanas politiku, procedūru datu noplūžu gadījumā.
SLA lasīšana
SLA (service level agreement, pakalpojuma līmeņa vienošanās) apraksta, ko pakalpojumu sniedzējs sola: pieejamību, atbalsta reaģēšanas laiku, uzturēšanas logus un to, ko Jūs saņemat, ja viņš nepilda solījumu.
Vienmēr pārrēķiniet pieejamību laikā. 99,9% mēnesī izklausās gandrīz perfekti, bet tas nozīmē, ka pakalpojums drīkst būt nepieejams aptuveni 43 minūtes mēnesī. Pie 99% tas ir vairāk nekā septiņas stundas. Pārbaudiet arī, vai plānotā uzturēšana tiek ieskaitīta, un kāda ir kompensācija: bieži vien neliels kredīts, nevis Jūsu zaudējumu atlīdzība.
Izlasiet arī to, kas tajā NAV minēts. Svarīgi punkti, kuriem jābūt SLA vai noteikumos:
- cik ilgi un kur tiek glabātas dublējumkopijas, un vai Jūs pats varat kaut ko atjaunot;
- cik ātri tiek novērsta drošības problēma;
- kā Jūs tiekat informēts darbības traucējuma gadījumā (statusa lapa, e-pasts);
- kas notiek ar Jūsu datiem pēc līguma izbeigšanas (nodarbība 2.3 un 8.2).
Izmēģiniet, jautājiet, testējiet
Papīrs ir pacietīgs. Tāpēc salīdziniet ne tikai pēc tīmekļa vietnes:
- Izmantojiet izmēģinājuma periodu vai mazu pakotni, un ievietojiet tur īstu testa kopu: pāris pastkastes, kalendāru ar atkārtotām tikšanām, mapi ar Jūsu visgrūtākajiem dokumentiem (nodarbība 6.5).
- Uzdodiet atbalsta dienestam īstu jautājumu, piemēram, "Kā es eksportēju visu, ja aizeju?" Pievērsiet uzmanību ātrumam, valodai un tam, vai atbilde ir pareiza.
- Pieprasiet dokumentus: datu apstrādes līgumu, apakšapstrādātāju sarakstu, SLA, sertifikātus ar piemērošanas jomu.
- Pajautājiet atsauksmes no organizācijas, kas līdzinās Jūsējai, un piezvaniet tai.
- Veiciet eksporta testu pirms parakstāt.
Salīdzinājuma tabula, kas darbojas
Novietojiet pakalpojumu sniedzējus kolonnās un savas prasības rindās. Katrā šūnā ierakstiet faktu ar avotu, nevis iespaidu. Piemērs ar dažām rindām ceptuvei:
| Prasība | Līmenis | Pakalpojumu sniedzējs A | Pakalpojumu sniedzējs B | Pakalpojumu sniedzējs C |
|---|---|---|---|---|
| Eiropas īpašnieks | obligāti | jā (komercreģistrs) | nē (mātes uzņēmums ASV) | jā (gada pārskats) |
| Dati un dublējumkopijas EEZ | obligāti | jā (datu apstrādes līguma 1. pielikums) | jā | jā, dublējumkopija Šveicē (atbilstoša) |
| IMAP, CalDAV, CardDAV | obligāti | jā (pārbaudīts) | tikai sava lietotne | jā (pārbaudīts) |
| Visa satura eksports standarta formātos | obligāti | jā (pārbaudīts) | daļēji | jā |
| Tiešsaistes biroja pakete | vēlams | jā | jā | nē |
| Atbalsts Jūsu valodā | vēlams | jā | nē | jā |
Pakalpojumu sniedzējs B atkrīt divu obligāto prasību dēļ, lai cik laba būtu pārējā daļa. Starp A un C izšķirieties pēc vēlamajām prasībām.
Praksē: kā tas izskatās pie pakalpojumu sniedzēja
WebOké Nextcloud ir pārvaldīta pakalpojuma piemērs uz atvērtā koda programmatūras: Jūs varat izvēlēties starp koplietotu vidi un savu serveri katrai pakotnei, un programmatūra ir tā pati Nextcloud, ko varat darbināt arī pie citiem pakalpojumu sniedzējiem vai pats. Citi Eiropas pakalpojumu sniedzēji piedāvā līdzīgas formas: visaptverošus pakalpojumus ar e-pastu, krātuvi un kalendāru (piemēram, mailbox.org, Infomaniak, Proton vai IONOS), atsevišķus e-pasta pakalpojumus (piemēram, Posteo vai Tuta) un serverus pašu hostēšanai (piemēram, Hetzner, OVHcloud, Scaleway vai STACKIT). Šis kurss neizvēlas Jūsu vietā: izmantojiet savu prasību sarakstu.
Kopsavilkums
- Sāciet ar savām prasībām, sadalot tās obligātajās, vēlamajās un iespējamajās. Turiet obligāto sarakstu īsu.
- Apzināti izvēlieties starp visaptverošu pakalpojumu, atsevišķiem pakalpojumiem un pašu hostēšanu; pašu hostēšana prasa pastāvīgas zināšanas un laiku.
- Sertifikāts galvenokārt pasaka kaut ko tā piemērošanas jomā un neatbild uz īpašnieka jautājumu.
- Pārrēķiniet pieejamību laikā un izlasiet, kas nav minēts SLA.
- Testējiet ar izmēģinājuma periodu, īstu atbalsta jautājumu un eksporta testu pirms parakstāt.
Tests
Uzdevums
Uzdevums E2.4: Jūsu paša prasību saraksts un salīdzinājums. Izveidojiet prasību sarakstu ar vismaz piecām obligātajām prasībām un trim vēlamajām prasībām. Ar to salīdziniet divus vai trīs pakalpojumu sniedzējus tabulā kā augstāk, katrā šūnā norādot faktu un avotu. Trīs teikumos izskaidrojiet, kuru pakalpojumu sniedzēju Jūs izvēlētos un kāpēc.
Uzdevums E2.4: Jūsu pašu prasību saraksts un salīdzinājums
Sagatavojiet prasību sarakstu un salīdziniet divus vai trīs pakalpojumu sniedzējus (kolonnas: prasība, līmenis obligāti/vēlams/pieļaujams, 1. pakalpojumu sniedzējs, 2., 3.).
Jūsu atzīmes un piezīmes paliek tikai šajā pārlūkprogrammā; mēs tās nekur nesūtām. Ja esat pieteikušies, sadaļā Mani kursi saglabājam tikai to, ka uzdevums ir paveikts.
Lasīt tālāk
Šajos rakstos aprakstītie soļi attiecas uz WebOké pakalpojumiem; pie citiem pakalpojumu sniedzējiem tas darbojas līdzīgi.
- Nextcloud rokasgrāmata 1.4: Nextcloud Free, Personal, Family un Maks: atšķirības un pāriešana uz citu pakotni
- WebOké rokasgrāmata 2.2: Hostinga paketes izvēle (hostings, e-pasta pakete, Nextcloud, MI Veidotājs)
- Nextcloud rokasgrāmata 6.6: Dublējumkopijas pakalpojumā WebOké: ko saglabājam mēs un ko varat darīt pats
- ISO/IEC 27001:2022, Information security management systems (iso.org, standarts 27001)
- BSI C5 (Cloud Computing Compliance Criteria Catalogue): https://www.bsi.bund.de/EN/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/Kriterienkatalog-C5/kriterienkatalog-c5_node.html