Modul 2 · 2.4
Porovnávanie poskytovateľov bez toho, aby ste sa nechali zlákať
Modul 2: Čo je európsky cloud naozaj? · Čas čítania: 11 minút
Cieľ lekcie: Po tejto lekcii dokážete pomocou vlastného zoznamu požiadaviek obsahovo porovnať európskych poskytovateľov, odhadnúť hodnotu certifikátov a vybrať medzi all-in-one službou, samostatnými službami alebo vlastným hostingom.
Kľúčové pojmy: zoznam požiadaviek (musí, malo by, môže), ISO/IEC 27001, rozsah pôsobnosti (scope), ISO/IEC 27701, NEN 7510, BSI C5, SecNumCloud, SOC 2, SLA, dostupnosť, jazyk podpory, skúšobné obdobie, referencie, all-in-one, samostatné služby, vlastný hosting
Najprv vaše požiadavky, potom poskytovatelia
Kto začne prezeraním webových stránok poskytovateľov, necháva sa viesť tým, čo si oni sami myslia, že je najkrajšie: veľké číslo úložiska, tlačidlo AI, elegantné logo. Začnite preto od seba. Pekáreň De Korrel si najprv napísala, čo skutočne potrebuje, a až potom sa začala obzerať.
Použite na to tri úrovne:
- Musí: bez tohto poskytovateľ vypadáva z hry. Napríklad: údaje a zálohy v EHP, európsky vlastník, zmluva so sprostredkovateľom (čl. 28 GDPR) so zoznamom subspracovateľov, pošta na vlastnej doméne, IMAP a CalDAV, dvojfaktorové overenie (2FA).
- Malo by: dôležité, ale dá sa to obísť. Napríklad: online kancelársky balík v prehliadači, podpora v slovenčine, mobilná aplikácia na fotografie.
- Môže: príjemný bonus. Napríklad: videohovory, formuláre, pomoc AI.
Zoznam musí-požiadaviek udržujte krátky. Zoznam musí-požiadaviek s tridsiatimi položkami nikto nesplní, a potom si aj tak vyberiete podľa pocitu.
Tri druhy ponuky
Európske cloudové služby existujú zhruba v troch formách.
| Forma | Čo to je | Výhody | Na čo si dať pozor |
|---|---|---|---|
| All-in-one | Jeden poskytovateľ dodáva poštu, úložisko, kalendár, dokumenty a chat spolu, podobne ako balíky veľkých amerických poskytovateľov | Jedna zmluva, jedno prihlásenie, všetko funguje spolu | Opäť ste odkázaní na jednu stranu; skontrolujte dôkladne možnosti exportu |
| Samostatné služby | Pošta u jedného poskytovateľa, súbory a kalendár u iného, chat u tretieho | Pre každú časť najlepšia voľba; menšia závislosť | Viac zmlúv, viac prihlásení, viac správy |
| Vlastný hosting | Prevádzkujete softvér s otvoreným zdrojovým kódom (napríklad Nextcloud) na vlastnom alebo prenajatom serveri | Maximálna kontrola | Vy robíte aktualizácie, zabezpečenie a zálohy; to si vyžaduje znalosti a čas, každý týždeň |
Mnohé malé organizácie volia strednú cestu: spravovanú službu postavenú na softvéri s otvoreným zdrojovým kódom. Vtedy server spravuje poskytovateľ, ale s rovnakým softvérom môžete v prípade potreby prejsť k inému poskytovateľovi alebo na vlastný hosting. Vlastný hosting je dobrý nápad len vtedy, keď má niekto na to trvalo čas a vie, čo robí. Nextcloud, ktorý rok nedostáva aktualizácie, je menej bezpečný než dobre spravovaná služba, európska alebo nie.
Certifikáty: čo hovoria a čo nie
Poskytovatelia radi uvádzajú certifikáty. Sú užitočné, ale musíte vedieť, čo znamenajú.
| Certifikát | Čo hovorí | Na čo si dať pozor |
|---|---|---|
| ISO/IEC 27001 | Spoločnosť má systém riadenia bezpečnosti informácií: zmapované riziká, opatrenia, ročnú kontrolu certifikačným orgánom | Rozsah pôsobnosti (scope): platí pre službu, ktorú využívate vy, alebo len pre dátové centrum či jedno oddelenie? Je certifikát platný a od akreditovaného orgánu? |
| ISO/IEC 27701 | Rozšírenie normy 27001 pre riadenie ochrany súkromia | Rovnaké otázky týkajúce sa rozsahu pôsobnosti |
| NEN 7510 | Holandská norma pre bezpečnosť informácií v zdravotníctve | Relevantné len ak spracúvate zdravotné údaje; vtedy je to často požiadavka |
| BSI C5 | Nemecký katalóg požiadaviek pre cloudové služby od Bundesamt für Sicherheit in der Informationstechnik | Správa so zisteniami, nie jednoduché "vyhovelo" |
| SecNumCloud | Francúzska kvalifikácia od ANSSI pre cloudové služby, s požiadavkami proti prístupu na základe zákonov mimo EÚ | Prísne; veľa hovorí o právnej nezávislosti |
| SOC 2 | Americká audítorská správa (AICPA) o bezpečnostných opatreniach | Nie je to certifikát, ale správa; pýtajte si správu, nie len logo |
Dve nástrahy. Po prvé: certifikované je dátové centrum, samotný poskytovateľ nie. Vtedy certifikát hovorí niečo o napájaní, chladení a prístupových turniketoch, ale nič o tom, kto sa dostane k vašim údajom. Po druhé: certifikát nie je odpoveďou na päť otázok z lekcie 2.1. Americká služba môže mať ISO 27001 a aj tak spadať pod CLOUD Act.
Malí poskytovatelia niekedy certifikáciu nemajú, pretože veľa stojí. To ich neznamená za nebezpečných. Opýtajte sa teda konkrétne, aké opatrenia prijímajú: dvojfaktorové overenie (2FA) pre správcov, šifrovanie, zálohy na inom mieste, politika aktualizácií, postup hlásenia pri porušení ochrany osobných údajov.
Čítanie SLA
SLA (service level agreement, zmluva o úrovni služieb) popisuje, čo poskytovateľ sľubuje: dostupnosť, čas reakcie podpory, okná na údržbu a čo dostanete, ak svoj sľub nedodrží.
Dostupnosť si vždy prepočítajte na čas. 99,9 % za mesiac znie takmer dokonale, ale znamená to, že služba môže byť nedostupná vyše 43 minút za mesiac. Pri 99 % je to vyše siedmich hodín. Skontrolujte tiež, či sa plánovaná údržba počíta do výpadku, a aká je kompenzácia: často malý kredit, žiadna náhrada vašej škody.
Prečítajte si aj to, čo tam nie je. Dôležité body, ktoré patria do SLA alebo do podmienok:
- ako dlho a kde sa uchovávajú zálohy a či si môžete niečo sami obnoviť;
- ako rýchlo sa rieši bezpečnostná zraniteľnosť;
- ako budete informovaní pri výpadku (stavová stránka, e-mail);
- čo sa stane s vašimi údajmi po ukončení zmluvy (lekcia 2.3 a 8.2).
Vyskúšať, pýtať sa, testovať
Papier je trpezlivý. Preto neporovnávajte len podľa webových stránok:
- Vezmite si skúšobné obdobie alebo malý balík a nasaďte tam skutočnú testovaciu sadu: niekoľko poštových schránok, kalendár s opakujúcimi sa stretnutiami, priečinok s vašimi najnáročnejšími dokumentmi (lekcia 6.5).
- Položte podpore skutočnú otázku, napríklad "Ako exportujem všetko, keď odídem?" Všímajte si rýchlosť, jazyk a to, či je odpoveď správna.
- Vyžiadajte si dokumenty: zmluvu so sprostredkovateľom, zoznam subspracovateľov, SLA, certifikáty s rozsahom pôsobnosti.
- Vyžiadajte si referencie od organizácie, ktorá sa vám podobá, a zavolajte jej.
- Urobte exportný test skôr, ako podpíšete zmluvu.
Porovnávacia tabuľka, ktorá funguje
Umiestnite poskytovateľov do stĺpcov a vaše požiadavky do riadkov. Do každej bunky vyplňte fakt so zdrojom, nie dojem. Príklad niekoľkých riadkov pre pekáreň:
| Požiadavka | Úroveň | Poskytovateľ A | Poskytovateľ B | Poskytovateľ C |
|---|---|---|---|---|
| Európsky vlastník | musí | áno (obchodný register) | nie (materská spoločnosť v USA) | áno (výročná správa) |
| Údaje a zálohy v EHP | musí | áno (VOP príloha 1) | áno | áno, záloha vo Švajčiarsku (primeranosť) |
| IMAP, CalDAV, CardDAV | musí | áno (otestované) | len vlastná aplikácia | áno (otestované) |
| Export všetkého v štandardných formátoch | musí | áno (otestované) | čiastočne | áno |
| Online kancelársky balík | malo by | áno | áno | nie |
| Podpora v slovenčine | malo by | áno | nie | áno |
Poskytovateľ B vypadáva na dvoch musí-požiadavkách, nech je zvyšok akokoľvek pekný. Medzi A a C rozhodujete podľa malo by-požiadaviek.
V praxi: ako to vyzerá u poskytovateľa
WebOké Nextcloud je príkladom spravovanej služby na softvéri s otvoreným zdrojovým kódom: môžete si vybrať medzi zdieľaným prostredím a vlastným serverom pre balík, a softvér je rovnaký Nextcloud, aký môžete prevádzkovať aj u iných poskytovateľov alebo sami. Iní európski poskytovatelia ponúkajú podobné formy: all-in-one služby s poštou, úložiskom a kalendárom (napríklad mailbox.org, Infomaniak, Proton alebo IONOS), samostatné poštové služby (napríklad Posteo alebo Tuta) a servery na vlastný hosting (napríklad u Hetzner, OVHcloud, Scaleway alebo STACKIT). Tento kurz za vás nerozhoduje: použite svoj zoznam požiadaviek.
Zhrnutie
- Začnite vlastnými požiadavkami, rozdelenými na musí, malo by a môže. Zoznam musí-požiadaviek udržujte krátky.
- Vedome si vyberte medzi all-in-one, samostatnými službami a vlastným hostingom; vlastný hosting si trvalo vyžaduje znalosti a čas.
- Certifikát hovorí najmä niečo v rámci svojho rozsahu pôsobnosti a nedáva odpoveď na otázku o vlastníkovi.
- Dostupnosť si prepočítajte na čas a prečítajte si, čo v SLA chýba.
- Testujte so skúšobným obdobím, skutočnou otázkou pre podporu a exportným testom skôr, ako podpíšete zmluvu.
Kvíz
Úloha
Úloha E2.4: Váš vlastný zoznam požiadaviek a porovnanie. Vytvorte zoznam požiadaviek s aspoň piatimi musí-požiadavkami a tromi malo by-požiadavkami. Porovnajte s ním dvoch alebo troch poskytovateľov v tabuľke ako vyššie, s faktom a zdrojom v každej bunke. V troch vetách vysvetlite, ktorého poskytovateľa by ste si vybrali a prečo.
Úloha E2.4: Váš vlastný zoznam požiadaviek a porovnanie
Zostavte zoznam požiadaviek a porovnajte dvoch alebo troch poskytovateľov (stĺpce: požiadavka, úroveň musí/mal by/môže, poskytovateľ 1, 2, 3).
Vaše zaškrtnutia a poznámky zostávajú iba v tomto prehliadači, nikam ich neposielame. Po prihlásení si v sekcii Moje kurzy uchovávame iba to, že ste úlohu splnili.
Ďalšie čítanie
Kroky v týchto článkoch platia pre služby WebOké; u iných poskytovateľov to funguje podobne.
- Návod na Nextcloud 1.4: Nextcloud Free, Personal, Family a Max: rozdiely a prechod medzi balíkmi
- Príručka WebOké 2.2: Výber hostingového balíka (webhosting, e-mailový balík, Nextcloud, AI Builder)
- Návod na Nextcloud 6.6: Zálohy vo WebOké: čo uchovávame my a čo môžete urobiť vy sami
- ISO/IEC 27001:2022, Information security management systems (iso.org, norma 27001)
- BSI C5 (Cloud Computing Compliance Criteria Catalogue): https://www.bsi.bund.de/EN/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/Kriterienkatalog-C5/kriterienkatalog-c5_node.html