Modulul 2 · 2.4
Compararea furnizorilor fără a vă lăsa sedus
Modulul 2: Ce înseamnă cu adevărat un cloud european? · Timp de citire: 11 minute
Obiectiv de învățare: După această lecție veți putea compara pe fond furnizorii europeni folosind propria listă de cerințe, veți putea aprecia valoarea reală a certificărilor și veți putea alege între un serviciu all-in-one, servicii separate sau găzduire proprie.
Noțiuni cheie: listă de cerințe (trebuie, ar trebui, poate), ISO/IEC 27001, domeniu de aplicare (scope), ISO/IEC 27701, NEN 7510, BSI C5, SecNumCloud, SOC 2, SLA, disponibilitate, limba suportului tehnic, perioadă de probă, referințe, all-in-one, servicii separate, găzduire proprie
Mai întâi cerințele dumneavoastră, apoi furnizorii
Cine începe prin a analiza site-urile web ale furnizorilor se lasă condus de ceea ce aceștia consideră cel mai atrăgător: un număr mare de spațiu de stocare, un buton de AI, un logo elegant. De aceea, începeți de la dumneavoastră înșivă. Bakkerij De Korrel a notat mai întâi de ce anume are cu adevărat nevoie și abia apoi a început să caute.
Folosiți în acest scop trei niveluri:
- Trebuie: fără aceasta, furnizorul este eliminat. De exemplu: date și copii de siguranță în SEE, proprietar european, acord de prelucrare a datelor (art. 28 GDPR) cu listă de subîmputerniciți, e-mail pe propriul domeniu, IMAP și CalDAV, autentificare în doi pași (2FA).
- Ar trebui: important, dar se poate și fără. De exemplu: pachet office online în browser, suport tehnic în limba română, aplicație mobilă pentru fotografii.
- Poate: plăcut de avut. De exemplu: videoconferințe, formulare, asistență AI.
Păstrați scurtă lista cerințelor obligatorii. O listă de "trebuie" cu treizeci de puncte nu o respectă nimeni, și atunci tot pe bază de impresie veți alege.
Trei tipuri de ofertă
Serviciile cloud europene se încadrează, în linii mari, în trei forme.
| Formă | Ce este | Avantaje | Atenție la |
|---|---|---|---|
| All-in-one | Un singur furnizor oferă împreună e-mail, stocare, calendar, documente și chat, precum suitele marilor furnizori americani | Un singur contract, o singură autentificare, totul funcționează împreună | Depindeți din nou de o singură parte; verificați foarte atent posibilitățile de export |
| Servicii separate | E-mail la un furnizor, fișiere și calendar la altul, chat la un al treilea | Cea mai bună alegere pentru fiecare componentă; mai puțină dependență | Mai multe contracte, mai multe autentificări, mai multă administrare |
| Găzduire proprie | Rulați software open source (de exemplu Nextcloud) pe un server propriu sau închiriat | Control maxim | Dumneavoastră vă ocupați de actualizări, securitate și copii de siguranță; necesită cunoștințe și timp, în fiecare săptămână |
Multe organizații mici aleg o cale de mijloc: un serviciu administrat bazat pe software open source. În acest caz, furnizorul administrează serverul, dar cu aceeași software puteți trece oricând la un alt furnizor sau la găzduire proprie, dacă va fi vreodată necesar. Găzduirea proprie este o idee bună doar dacă cineva are, în mod constant, timp pentru aceasta și știe ce face. Un Nextcloud care nu primește actualizări timp de un an este mai puțin sigur decât un serviciu bine administrat, european sau nu.
Certificările: ce spun și ce nu spun
Furnizorii menționează cu plăcere certificările. Acestea sunt utile, dar trebuie să știți ce înseamnă ele.
| Certificare | Ce atestă | La ce să fiți atenți |
|---|---|---|
| ISO/IEC 27001 | Compania are un sistem de management al securității informației: riscuri identificate, măsuri, verificare anuală de către un organism de certificare | Domeniul de aplicare (scope): se aplică serviciului pe care îl utilizați dumneavoastră, sau doar centrului de date ori unui singur departament? Certificatul este valabil și emis de un organism acreditat? |
| ISO/IEC 27701 | Extensie a ISO 27001 pentru managementul confidențialității | Aceleași întrebări privind domeniul de aplicare |
| NEN 7510 | Standardul olandez pentru securitatea informației în sănătate | Relevant doar dacă prelucrați date din domeniul sănătății; adesea o cerință în acest caz |
| BSI C5 | Catalog german de cerințe pentru servicii cloud, elaborat de Bundesamt für Sicherheit in der Informationstechnik | Raport cu constatări, nu un simplu "admis" |
| SecNumCloud | Calificare franceză acordată de ANSSI pentru servicii cloud, cu cerințe împotriva accesului în baza unor legi din afara UE | Strictă; oferă multe informații despre independența juridică |
| SOC 2 | Raport de audit american (AICPA) privind măsurile de securitate | Nu este un certificat, ci un raport; solicitați raportul, nu doar logo-ul |
Două capcane. În primul rând: centrul de date este certificat, dar furnizorul însuși nu este. În acest caz certificatul spune ceva despre alimentare electrică, răcire și controlul accesului fizic, dar nimic despre cine are acces la datele dumneavoastră. În al doilea rând: o certificare nu răspunde la cele cinci întrebări din lecția 2.1. Un serviciu american poate avea ISO 27001 și totuși să intre sub incidența CLOUD Act.
Furnizorii mici nu au uneori nicio certificare, pentru că aceasta costă mult. Asta nu îi face nesiguri. Întrebați-i în mod concret ce măsuri iau: autentificare în doi pași (2FA) pentru administratori, criptare, copii de siguranță într-o locație diferită, politică de actualizare, o procedură de notificare în caz de încălcare a securității datelor cu caracter personal.
Citirea SLA-ului
Un SLA (service level agreement, acord privind nivelul de servicii) descrie ce promite un furnizor: disponibilitate, timp de răspuns al suportului tehnic, ferestre de mentenanță și ce primiți dacă furnizorul nu își respectă promisiunea.
Convertiți întotdeauna disponibilitatea în timp efectiv. 99,9% pe lună sună aproape perfect, dar înseamnă că serviciul poate fi indisponibil peste 43 de minute pe lună. La 99% este vorba de peste șapte ore. Verificați și dacă mentenanța planificată se ia în calcul, precum și care este compensația: adesea un mic credit, nu o despăgubire pentru prejudiciul suferit.
Citiți și ce NU scrie. Puncte importante care ar trebui să apară într-un SLA sau în termenii și condițiile:
- cât timp și unde sunt păstrate copiile de siguranță și dacă puteți restaura ceva dumneavoastră înșivă;
- cât de repede este remediată o breșă de securitate;
- cum sunteți informat în caz de incident (pagină de status, e-mail);
- ce se întâmplă cu datele dumneavoastră după reziliere (lecția 2.3 și 8.2).
Încercați, întrebați, testați
Hârtia rabdă orice. De aceea, nu comparați doar pe baza site-ului web:
- Luați o perioadă de probă sau un pachet mic și introduceți acolo un set de testare real: câteva cutii poștale, un calendar cu întâlniri recurente, un folder cu cele mai dificile documente ale dumneavoastră (lecția 6.5).
- Puneți suportului tehnic o întrebare reală, de exemplu "Cum export totul dacă plec?" Fiți atent la viteza, limba și corectitudinea răspunsului.
- Solicitați documentele: acordul de prelucrare a datelor, lista subîmputerniciților, SLA, certificatele cu domeniul lor de aplicare.
- Cereți referințe de la o organizație asemănătoare cu a dumneavoastră și sunați-i.
- Faceți un test de export înainte de a semna.
Un tabel de comparație care funcționează
Puneți furnizorii pe coloane și cerințele dumneavoastră pe rânduri. Completați fiecare celulă cu un fapt și sursa lui, nu cu o impresie. Exemplu cu câteva rânduri pentru brutărie:
| Cerință | Nivel | Furnizor A | Furnizor B | Furnizor C |
|---|---|---|---|---|
| Proprietar european | trebuie | da (registrul comerțului) | nu (societate mamă în SUA) | da (raport anual) |
| Date și copii de siguranță în SEE | trebuie | da (acord de prelucrare a datelor, anexa 1) | da | da, copie de siguranță în CH (țară cu nivel adecvat) |
| IMAP, CalDAV, CardDAV | trebuie | da (testat) | doar aplicație proprie | da (testat) |
| Export complet în formate standard | trebuie | da (testat) | parțial | da |
| Pachet office online | ar trebui | da | da | nu |
| Suport tehnic în limba română | ar trebui | da | nu | da |
Furnizorul B este eliminat din cauza a două cerințe obligatorii, oricât de bun ar fi restul. Între A și C decideți pe baza cerințelor de tip "ar trebui".
În practică: cum arată la un furnizor
Un Nextcloud WebOké este un exemplu de serviciu administrat bazat pe software open source: puteți alege între un mediu partajat și un server propriu per pachet, iar software-ul este chiar Nextcloud, același pe care îl puteți folosi și la alți furnizori sau în regim propriu. Alți furnizori europeni oferă forme comparabile: servicii all-in-one cu e-mail, stocare și calendar (de exemplu mailbox.org, Infomaniak, Proton sau IONOS), servicii de e-mail separate (de exemplu Posteo sau Tuta) și servere pentru găzduire proprie (de exemplu la Hetzner, OVHcloud, Scaleway sau STACKIT). Această cursă nu alege în locul dumneavoastră: folosiți lista de cerințe.
Rezumat
- Începeți cu propriile cerințe, împărțite în trebuie, ar trebui și poate. Păstrați scurtă lista de cerințe obligatorii.
- Alegeți conștient între all-in-one, servicii separate și găzduire proprie; găzduirea proprie necesită în mod constant cunoștințe și timp.
- O certificare spune ceva mai ales în limitele domeniului său de aplicare și nu răspunde la întrebarea privind proprietarul.
- Convertiți disponibilitatea în timp efectiv și citiți ce lipsește din SLA.
- Testați cu o perioadă de probă, o întrebare reală adresată suportului tehnic și un test de export înainte de a semna.
Quiz
Exercițiu
Exercițiul E2.4: Lista dumneavoastră proprie de cerințe și comparație. Alcătuiți o listă de cerințe cu cel puțin cinci cerințe obligatorii și trei cerințe de tip "ar trebui". Comparați cu acestea doi sau trei furnizori într-un tabel ca cel de mai sus, cu un fapt și o sursă pentru fiecare celulă. Explicați în trei propoziții ce furnizor ați alege și de ce.
Exercițiul E2.4: Lista dumneavoastră proprie de cerințe și comparație
Întocmiți o listă de cerințe și comparați doi sau trei furnizori (coloane: cerință, nivel obligatoriu/dorit/opțional, furnizor 1, 2, 3).
Bifele și notițele dumneavoastră rămân doar în acest browser; nu le trimitem nicăieri. Dacă sunteți autentificat, păstrăm în Cursurile mele doar faptul că ați finalizat exercițiul.
Lectură suplimentară
Pașii din aceste articole sunt valabili pentru serviciile WebOké; la alți furnizori procedura este similară.
- Manual Nextcloud 1.4: Nextcloud Free, Personal, Family sau Max: diferențe și trecerea de la un pachet la altul
- Manual WebOké 2.2: Alegerea unui pachet de găzduire (găzduire web, pachet de e-mail, Nextcloud, AI Builder)
- Manual Nextcloud 6.6: Copii de rezervă la WebOké: ce păstrăm noi și ce puteți face dumneavoastră
- ISO/IEC 27001:2022, Information security management systems (iso.org, standardul 27001)
- BSI C5 (Cloud Computing Compliance Criteria Catalogue): https://www.bsi.bund.de/EN/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/Kriterienkatalog-C5/kriterienkatalog-c5_node.html