Moodul 2 · 2.4
Teenusepakkujate võrdlemine ilma end ära meelitamata
Moodul 2: Mis on Euroopa pilv tegelikult? · Lugemisaeg: 11 minutit
Õpieesmärk: Pärast seda tundi oskad oma nõuete loetelu abil võrrelda Euroopa teenusepakkujaid sisuliselt, hinnata turvamärgiste tegelikku väärtust ja valida kõigeüheskoos teenuse, eraldi teenuste või iseenda majutuse vahel.
Põhimõisted: nõuete loetelu (peab, võiks, tohib), ISO/IEC 27001, kohaldamisala (scope), ISO/IEC 27701, NEN 7510 (Hollandi norm), BSI C5, SecNumCloud, SOC 2, SLA, kättesaadavus, kasutajatoe keel, prooviperiood, viited, kõigeüheskoos lahendus, eraldi teenused, iseenda majutus
Kõigepealt oma nõuded, siis teenusepakkujad
Kes alustab teenusepakkujate veebilehtede vaatamisest, laseb end juhtida sellest, mida nemad kõige ilusamaks peavad: suur salvestusmaht, tehisintellekti nupp, lihvitud logo. Alusta seepärast endast. Pagarikoda De Korrel kirjutas kõigepealt üles, mida ta tegelikult vajab, ja alles siis hakkas vaatama.
Kasuta selleks kolme taset:
- Peab: ilma selleta langeb teenusepakkuja kõrvale. Näiteks: andmed ja varukoopiad EMP-s, Euroopa omanik, isikuandmete töötlemise leping koos alltöötlejate nimekirjaga, e-post oma domeenil, IMAP ja CalDAV, kaheastmeline autentimine.
- Võiks: oluline, aga sellest saab mööda minna. Näiteks: veebipõhine kontoripakett brauseris, kasutajatugi eesti keeles, telefonirakendus fotode jaoks.
- Tohib: tore, kui on olemas. Näiteks: videokõned, vormid, tehisintellekti abi.
Hoia peab-loetelu lühike. Kolmekümnepunktilist peab-loetelu ei täida keegi ja siis valid sa ikkagi tunde järgi.
Kolm pakkumise liiki
Euroopa pilveteenused jagunevad põhimõtteliselt kolmeks.
| Vorm | Mis see on | Eelised | Millele tähelepanu pöörata |
|---|---|---|---|
| Kõigeüheskoos | Üks teenusepakkuja pakub koos e-posti, salvestusruumi, kalendrit, dokumente ja vestlust, nagu suurte USA teenusepakkujate komplektid | Üks leping, üks sisselogimine, kõik töötab koos | Oled jälle ühe pakkuja käes; kontrolli eriti hoolikalt ekspordivõimalusi |
| Eraldi teenused | E-post ühe pakkuja juures, failid ja kalender teise juures, vestlus kolmanda juures | Iga osa jaoks parim valik; väiksem sõltuvus | Rohkem lepinguid, rohkem sisselogimisi, rohkem haldust |
| Iseenda majutus | Kasutad avatud lähtekoodiga tarkvara (näiteks Nextcloud) omaenda serveris või renditud serveris | Maksimaalne kontroll | Sina teed uuendused, turvalisuse ja varukoopiad; see nõuab teadmisi ja aega, iga nädal |
Paljud väikesed organisatsioonid valivad keskmise tee: hallatava teenuse avatud lähtekoodiga tarkvaral. Siis haldab serverit teenusepakkuja, aga sama tarkvaraga saad vajadusel minna mõne teise pakkuja juurde või hakata ise majutama. Iseenda majutus on mõttekas ainult siis, kui kellelgi on selleks pidevalt aega ja teadmisi. Nextcloud, mis ei saa aasta aega uuendusi, on vähem turvaline kui hästi hallatud teenus, olgu see Euroopa oma või mitte.
Turvamärgised: mida need ütlevad ja mida mitte
Teenusepakkujad armastavad mainida sertifikaate. Need on kasulikud, aga pead teadma, mida need tegelikult tähendavad.
| Turvamärgis | Mida see ütleb | Millele tähelepanu pöörata |
|---|---|---|
| ISO/IEC 27001 | Ettevõttel on infoturbe juhtimissüsteem: riskid on kaardistatud, meetmed olemas, aastane kontroll sertifitseeriva asutuse poolt | Kohaldamisala (scope): kas see kehtib teenusele, mida sina kasutad, või ainult andmekeskusele või ühele osakonnale? Kas sertifikaat kehtib ja on akrediteeritud asutuse väljastatud? |
| ISO/IEC 27701 | 27001 laiendus privaatsuse haldamiseks | Samad küsimused kohaldamisala kohta |
| NEN 7510 | Hollandi norm infoturbe kohta tervishoius | Oluline ainult siis, kui töötled terviseandmeid; siis sageli nõue |
| BSI C5 | Saksa Bundesamt für Sicherheit in der Informationstechnik'i nõuete kataloog pilveteenustele | Aruanne leidudega, mitte lihtne "läbitud" |
| SecNumCloud | Prantsuse ANSSI kvalifikatsioon pilveteenustele, nõuetega ELi-väliste riikide seaduste alusel toimuva juurdepääsu vastu | Range; ütleb palju õigusliku sõltumatuse kohta |
| SOC 2 | USA auditiaruanne (AICPA) turvameetmete kohta | Pole sertifikaat, vaid aruanne; küsi aruannet, mitte ainult logo |
Kaks lõksu. Esiteks: sertifitseeritud on andmekeskus, mitte teenusepakkuja ise. Siis räägib sertifikaat toitest, jahutusest ja sissepääsuväravatest, aga mitte sellest, kes pääseb ligi sinu andmetele. Teiseks: turvamärgis ei vasta tunni 2.1 viiele küsimusele. USA teenusel võib olla ISO 27001 ja ta võib siiski kuuluda CLOUD Act'i alla.
Väikestel teenusepakkujatel pole mõnikord sertifikaati, sest see maksab palju. See ei tee neid ebaturvaliseks. Küsi siis konkreetselt, milliseid meetmeid nad rakendavad: kaheastmeline autentimine haldajatele, krüpteerimine, varukoopiad teises asukohas, uuenduspoliitika, andmelekete teatamise kord.
SLA lugemine
SLA (service level agreement, teenustaseme kokkulepe) kirjeldab, mida teenusepakkuja lubab: kättesaadavus, kasutajatoe reageerimisaeg, hooldusaknad ja mida saad siis, kui lubadust ei peeta.
Arvuta kättesaadavus alati ajaks ümber. 99,9% kuus kõlab peaaegu täiuslikuna, aga see tähendab, et teenus tohib olla kättesaamatu üle 43 minuti kuus. 99% juures on see üle seitsme tunni. Vaata ka, kas plaaniline hooldus läheb arvesse, ja milline on hüvitis: tihti väike krediit, mitte sinu kahju hüvitamine.
Loe ka seda, mida ei ole kirjas. Olulised punktid, mis peaksid olema SLA-s või tingimustes:
- kui kaua ja kus varukoopiaid hoitakse, ning kas sa saad ise midagi taastada;
- kui kiiresti turvaauk parandatakse;
- kuidas sind rikke korral teavitatakse (olekuleht, e-kiri);
- mis juhtub su andmetega pärast lepingu lõpetamist (tunnid 2.3 ja 8.2).
Proovimine, küsimine, testimine
Paber on kannatlik. Seepärast ära võrdle ainult veebilehe põhjal:
- Võta prooviperiood või väike pakett ja pane sinna päris testandmed: paar postkasti, korduvate kohtumistega kalender, kaust oma kõige keerukamate dokumentidega (tund 6.5).
- Esita kasutajatoele päris küsimus, näiteks "Kuidas ma ekspordin kõik, kui lahkun?" Jälgi kiirust, keelt ja seda, kas vastus on õige.
- Küsi dokumente: isikuandmete töötlemise leping, alltöötlejate nimekiri, SLA, sertifikaadid koos kohaldamisalaga.
- Küsi viiteid organisatsioonilt, kes sarnaneb sinuga, ja helista neile.
- Tee ekspordi test enne lepingu allkirjastamist.
Toimiv võrdlustabel
Pane teenusepakkujad veergudesse ja oma nõuded ridadesse. Täida iga lahter faktiga koos allikaga, mitte muljega. Näide mõnest reast pagarikoja jaoks:
| Nõue | Tase | Pakkuja A | Pakkuja B | Pakkuja C |
|---|---|---|---|---|
| Euroopa omanik | peab | jah (äriregister) | ei (emaettevõte USA-s) | jah (aastaaruanne) |
| Andmed ja varukoopiad EMP-s | peab | jah (IKT leping, lisa 1) | jah | jah, varukoopia CH-s (adekvaatne) |
| IMAP, CalDAV, CardDAV | peab | jah (testitud) | ainult oma rakendus | jah (testitud) |
| Kõige eksport standardvormingutes | peab | jah (testitud) | osaliselt | jah |
| Veebipõhine kontoripakett | võiks | jah | jah | ei |
| Kasutajatugi eesti keeles | võiks | jah | ei | jah |
Pakkuja B langeb kõrvale kahe peab-nõude pärast, ükskõik kui ilus ülejäänu ka pole. A ja C vahel otsustad võiks-nõuete põhjal.
Praktikas: nii näeb see välja ühe teenusepakkuja juures
WebOké Nextcloud on näide hallatavast teenusest avatud lähtekoodiga tarkvaral: saad valida ühise keskkonna ja paketipõhise oma serveri vahel, ning tarkvara on sama Nextcloud, mida saad kasutada ka teiste teenusepakkujate juures või ise majutada. Teised Euroopa teenusepakkujad pakuvad sarnaseid vorme: kõigeüheskoos teenused e-posti, salvestusruumi ja kalendriga (näiteks mailbox.org, Infomaniak, Proton või IONOS), eraldi meiliteenused (näiteks Posteo või Tuta) ja serverid iseenda majutuseks (näiteks Hetzner, OVHcloud, Scaleway või STACKIT). See kursus ei vali sinu eest: kasuta oma nõuete loetelu.
Kokkuvõte
- Alusta oma nõuetest, jagatuna peab, võiks ja tohib. Hoia peab-loetelu lühike.
- Vali teadlikult kõigeüheskoos lahenduse, eraldi teenuste ja iseenda majutuse vahel; iseenda majutus nõuab pidevalt teadmisi ja aega.
- Turvamärgis ütleb midagi peamiselt oma kohaldamisala piires ega vasta omandiküsimusele.
- Arvuta kättesaadavus ajaks ümber ja loe, mida SLA-s ei ole kirjas.
- Testi prooviperioodiga, päris kasutajatoe küsimusega ja ekspordi testiga enne lepingu allkirjastamist.
Test
Ülesanne
Ülesanne E2.4: Sinu oma nõuete loetelu ja võrdlus. Koosta nõuete loetelu, milles on vähemalt viis peab-nõuet ja kolm võiks-nõuet. Võrdle sellega kaht või kolme teenusepakkujat tabelis nagu eespool, iga lahtri kohta fakt ja allikas. Selgita kolme lausega, millise teenusepakkuja sa valiksid ja miks.
Ülesanne E2.4: Sinu oma nõuete loetelu ja võrdlus
Koosta nõuete loetelu ja võrdle kahte või kolme pakkujat (veerud: nõue, tase peab/võiks/võib, pakkuja 1, 2, 3).
Su linnukesed ja märkmed jäävad ainult sellesse brauserisse, me ei saada neid kuhugi. Kui oled sisse loginud, salvestame Minu kursustes ainult info, et tegid ülesande ära.
Lisalugemine
Nende artiklite sammud kehtivad WebOké teenuste kohta; teiste teenusepakkujate juures töötab see sarnaselt.
- Nextcloudi juhend 1.4: Nextcloud Free, Personal, Family ja Max: erinevused ja üleminek
- WebOké juhend 2.2: Hostingpaketi valimine (veebimajutus, e-posti pakett, Nextcloud, AI Builder)
- Nextcloudi juhend 6.6: Varukoopiad WebOké juures: mida meie säilitame ja mida saad ise teha
- ISO/IEC 27001:2022, Information security management systems (iso.org, standard 27001)
- BSI C5 (Cloud Computing Compliance Criteria Catalogue): https://www.bsi.bund.de/EN/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/Kriterienkatalog-C5/kriterienkatalog-c5_node.html