Ezek rávilágítanak arra, hogy a felhőszolgáltató megfelelően gondoskodik-e értékes adataink védelméről, megoldásai és módszerei összhangba hozhatók-e üzletmenetünkkel, továbbá egy esetleges meghibásodás esetén elfogadható időn belül képes lesz-e visszaállni a normál működésre. Az alábbiakban Jamie Tischart, az Intel Security felhőszolgáltatásokkal és SaaS- (szoftver mint szolgáltatás) megoldásokkal foglalkozó technológiai vezetőjének a Network World magazinban megjelent cikke alapján áttekintjük, milyen kérdésekkel deríthetjük ki, vajon a szolgáltató megfelel-e cégünk követelményeinek.
Biztonsági kérdések
Jó hír, hogy az elmúlt években jelentősen csökkentek a felhő biztonságával kapcsolatos aggodalmak, minthogy elegendő tapasztalat halmozódott fel az egyes szolgáltatások biztonsági gyakorlatáról. Természetesen a cégvezetőknek továbbra is alaposan meg kell győződniük arról, hogy vállalatuk értékes adatai valóban biztonságban vannak-e a felhőben. Ebben jelentenek hathatós segítséget az alábbiakhoz hasonló kérdések.
Ki fér hozzá az adatainkhoz fizikai és virtuális módon? A fizikai hozzáférés eltér a virtuális hozzáféréstől, ezért fontos feltenni mindkét hozzáféréssel kapcsolatos kérdéseket:
● Milyen biztonsági intézkedések vannak érvényben a szervezetnél az adatközponthoz hozzáféréssel kapcsolatban?
● Átvilágítják-e a személyzetet, és megvédik-e az adatokat a külső fizikai hozzáféréstől?
● Mit tartalmaz a szervezet vagy az adatközpont biztonsági politikája, és hogyan védik a létesítményeket?
● Ki férhet hozzá virtuális módon az adatokhoz? Honnan és milyen indokkal lehetséges a hozzáférés?
● Hogyan lehet az adatokhoz hozzáférni? Használnak-e VPN-t, és az adatokat titkosítva tárolják-e? Ha az adatokat titkosítják, milyen módon védik a titkosító kulcsokat?
Kiszervezi-e a szolgáltató az adattárolást? Előfordulhat, hogy a kiszemelt szolgáltató másik helyszínen vagy másik cégnél tárolja az adatokat. Ha ez a helyzet, meg kell fontolnunk, hogy megfelel-e nekünk ez a megoldás.
Hogyan kezeli a szolgáltató az adatok megtekintésére vonatkozó, hatósági vagy jogi úton érvényesített kérelmeket? Függetlenül attól, hogy ezek a megkeresések az ügyfelektől vagy a törvények és szabályozások betartását felügyelő hatóságoktól érkeznek, kezelésük körültekintést, tapasztalatot, érzékenységet, valamint a megfelelőség területén szerzett szakértelmet igényel. Mindenképpen tisztában kell lennünk adataink nyomon követhetőségével, valamint azzal, hogyan kezelik a hatósági megkereséseket.
Hogyan és mikor törlik az adatokat? Fontos tudnunk, hogy tárolási problémák léphetnek fel pusztán a világot manapság elárasztó hatalmas adatmennyiség miatt is. Érdemes tehát utánanéznünk annak, mennyi adatot tárol a felhőszolgáltatónk, és ebből mekkora részt hasítanak ki a mi adataink. Kérdezzünk rá arra is, mennyi ideig tárolják, mikor törlik őket, és hogyan hozzák meg a törlésre vonatkozó döntéseket!
Milyen adatarchitektúrát használnak? Több-bérlős környezet esetén kérdezzük meg, miképpen szigetelik el adatainkat a többi ügyfél adataitól. Mondják el, hogyan szegmentálják azokat, és a módszerük változhat-e a jövőben!
Milyen minősítésekkel és/vagy külső cég által elvégzett auditokkal rendelkezik a szolgáltató? A különféle minősítések a szolgáltató érettségét, szakértelmét és a folyamatos fejlődés iránti elkötelezettségét bizonyítják. Ami a külső auditokat illeti, tudjuk meg, hogy a vállalat milyen gyakorisággal fejleszti szolgáltatását annak érdekében, hogy minél jobban kielégítse ügyfelei igényeit!
Adatvédelmi kérdések
A biztonság és az adatvédelem szorosan egymáshoz kapcsolódó területek, léteznek azonban kifejezetten az utóbbira vonatkozó kérdések, amelyeket mindenképpen érdemes feltennünk. És bár az adatvédelemre vonatkozó kérdések nyilvánvalóan főként a szabályozásoknak megfelelőség miatt érdekesek, nem csupán a szabályozásokkal kapcsolatos esetleges problémákra terjednek ki.
Milyen adatokat gyűjtenek a vállalatunkról, és hogyan gondoskodnak ezek védelméről? Az adatvédelem egy kicsit mást jelent minden szervezet esetében, ezért nagyon fontos tisztáznunk, hogy a szolgáltató pontosan mit ért ez alatt.
Mire használják az adatokat? Érdekes lehet megismernünk adataink más irányú felhasználásait is, amelyek meglepetésekkel szolgálhatnak, de aggodalomra is okot adhatnak. Gondoskodjunk arról, hogy felhőszolgáltatónk tisztában legyen azzal, mi minősül elfogadható adathasználatnak a vállalati szabályozásunk szerint!
Mennyi ideig tárolja a felhőszolgáltató ezeket az adatokat? Ez az időtartam minden szolgáltató, minden szolgáltatás és minden adatrekord esetén eltérő lehet. Előfordulhat, hogy valamely adatunkat anonimizálják és eltárolják, majd sok éven keresztül használják tesztelésre, így mindenképpen kérdezzünk rá, mennyi ideig szavatolt a tárolás.
Titkosítja-e a szolgáltató az adatainkat, és ha igen, milyen módszerrel teszi ezt? Ezt nagyon fontos tudnunk, mert a titkosítás biztosítja, hogy az általunk bizalmasnak vagy privátnak tartott adatokat a felhőszolgáltató nem használja fel más célokra.
Hol tárolják az adatokat? Létezik olyan, földrajzi helyre vonatkozó adattárolási előírásunk, amelyet a felhőszolgáltatónak be kell tartania? A szolgáltatók gyakran több különböző helyen tárolják az adatokat többféle célból, és tudnunk kell, hogy gyakorlatuk összeegyeztethető-e a mi üzleti követelményeinkkel.
Továbbítják-e az adatokat más belső részlegekhez vagy külső cégekhez? Nagyon fontos tudnunk, hogy felhőszolgáltatónk megosztja-e bárkivel az adatainkat, és ha igen, kivel, illetve hogyan, mikor és miért teszi ezt.
Üzemeltetési kérdések
Felhőszolgáltatónk tevékenysége a biztonságon és az adatvédelmen túlmenően is komoly hatással lehet napi üzletmenetünkre. Rendkívül fontos tehát meggyőződnünk arról, hogy a szolgáltató adatkezelési módszerei valóban támogatják vállalatunk működését, nem pedig akadályozzák azt.
Milyen adatbázis- és tárolásiarchitektúra-redundancia modellt alkalmaz a szolgáltató? Fontos a redundancia, mert ennek révén elkerülhető, hogy az infrastruktúra-problémák komoly hatással legyenek az üzletmenet folytonosságára.
Milyen gyakorisággal készítenek biztonsági mentést? Amióta csak léteznek számítógépek, a szakértők felhívják a figyelmet a rendszeres biztonsági mentések fontosságára. Ezért nagyon lényeges megtudnunk, hogy a felhőszolgáltató milyen gyakorisággal készít tartalékmásolatot adatainkról. Nyilvánvaló, hogy minél sűrűbben készülnek mentések, annál nagyobb biztonságban vannak az adataink, mivel leállás esetén a felhőszolgáltató egy időben viszonylag közel lévő múltbeli állapotra tud visszaállni.
Meghibásodás esetén mennyi idő alatt áll helyre a működés? Előbb vagy utóbb minden szolgáltatónál fellép valamilyen üzemeltetési probléma, ezért fontos megtudnunk, mennyi ideig tart, amíg ismét hozzáférhetünk adatainkhoz. Percekig, órákig, napokig vagy esetleg hetekig?
Hogyan férhetünk hozzá az adatokhoz vagy tölthetjük le azokat a szolgáltatásról? E kérdés révén megismerhetjük a szolgáltató által kínált hozzáférési módszereket, és kideríthetjük, hogy ezek összhangban vannak-e üzletmenetünkkel, vagy pedig problémákat okozhatnak.
Milyen elemzőeszközökkel értékelhetjük adatainkat? Mivel a felhőszolgáltatónál vannak az adataink, ezek letöltése és elemző feldolgozása, illetve modellezése helyett jobban járunk, ha a szolgáltató analitikai eszközeivel végezzük el ezt a műveletet, feltéve persze, hogy vannak ilyenek.
Az adatállomány megsérülése esetén mi az adatvesztés maximális mértéke? Ez a kérdés szoros kapcsolatban van a redundanciára és a helyreállításra vonatkozó korábbi kérdésekkel. Mennyi ideig tart a helyreállítás, és milyen tényleges hatással lesz a visszaállítási folyamat az adatminőségre?
