Модул 2 · 2.4
Сравняване на доставчици, без да се подвеждате
Модул 2: Какво всъщност представлява европейският облак? · Време за четене: 11 минути
Учебна цел: След този урок ще можете със собствена list от изисквания да сравнявате европейски доставчици по съдържание, да преценявате стойността на сертификатите и да избирате между all-in-one услуга, отделни услуги или собствен хостинг.
Основни понятия: list от изисквания (задължително, желателно, по избор), ISO/IEC 27001, обхват (scope), ISO/IEC 27701, NEN 7510, BSI C5, SecNumCloud, SOC 2, SLA, наличност (availability), език на поддръжката, пробен период, препоръки, all-in-one, отделни услуги, собствен хостинг
Първо Вашите изисквания, после доставчиците
Който започне с разглеждане на сайтовете на доставчиците, се поддава на това, което те самите намират за най-красиво: голямо число за съхранение, бутон с AI, стегнато лого. Затова започнете от себе си. Пекарна Зърно първо записа какво наистина ѝ е необходимо и едва след това започна да разглежда предложенията.
Използвайте за целта три нива:
- Задължително: без това доставчикът отпада. Например: данни и резервни копия в ЕИП, европейски собственик, споразумение за обработване на данни (чл. 28 ОРЗД) със списък на подизпълнителите, поща на собствен домейн, IMAP и CalDAV, двуфакторна идентификация (2FA).
- Желателно: важно, но може да се заобиколи. Например: онлайн офис пакет в браузъра, поддръжка на български език, телефонно приложение за снимки.
- По избор: приятно е да го има. Например: видеоразговори, формуляри, AI помощ.
Поддържайте списъка със задължителни изисквания кратък. Списък от тридесет задължителни точки не отговаря никой доставчик, а тогава все пак ще изберете по усещане.
Три вида предложения
Европейските облачни услуги се предлагат най-общо в три форми.
| Форма | Какво представлява | Предимства | На какво да обърнете внимание |
|---|---|---|---|
| All-in-one | Един доставчик предлага поща, съхранение, календар, документи и чат заедно, както пакетите на големите американски доставчици | Един договор, едно вход, всичко работи заедно | Отново зависите от една страна; проверете особено добре възможностите за износ |
| Отделни услуги | Поща при един доставчик, файлове и календар при друг, чат при трети | Най-добрият избор за всяка част поотделно; по-малка зависимост | Повече договори, повече входове, повече управление |
| Собствен хостинг | Вие стартирате софтуер с отворен код (например Nextcloud) на собствен сървър или нает сървър | Максимален контрол | Вие правите актуализации, сигурност и резервни копия; това изисква знания и време, всяка седмица |
Много малки организации избират среден път: управлявана услуга върху софтуер с отворен код. Тогава доставчик управлява сървъра, но Вие можете със същия софтуер да преминете към друг доставчик или към собствен хостинг, ако това някога е необходимо. Собственият хостинг е добра идея само ако някой има постоянно време за него и знае какво прави. Nextcloud, който една година не получава актуализации, е по-малко сигурен от добре управлявана услуга, независимо дали е европейска или не.
Сертификати: какво казват и какво не
Доставчиците обичат да споменават сертификати. Те са полезни, но трябва да знаете какво означават.
| Сертификат | Какво показва | На какво да обърнете внимание |
|---|---|---|
| ISO/IEC 27001 | Компанията има система за управление на информационната сигурност: идентифицирани рискове, мерки, годишна проверка от сертифициращ орган | Обхватът (scope): отнася ли се за услугата, която Вие ползвате, или само за центъра за данни или един отдел? Валиден ли е сертификатът и издаден ли е от акредитиран орган? |
| ISO/IEC 27701 | Разширение на 27001 за управление на поверителността | Същите въпроси относно обхвата |
| NEN 7510 | Нидерландски стандарт за информационна сигурност в здравеопазването | Релевантен само ако обработвате здравни данни; тогава често е изискване |
| BSI C5 | Германски каталог на изискванията за облачни услуги на Bundesamt für Sicherheit in der Informationstechnik | Доклад с констатации, не просто „издържано" |
| SecNumCloud | Френска квалификация на ANSSI за облачни услуги, с изисквания срещу достъп по закони извън ЕС | Строг; казва много за правната независимост |
| SOC 2 | Американски одитен доклад (AICPA) относно мерките за сигурност | Не е сертификат, а доклад; поискайте доклада, не само логото |
Два капана. Първо: центърът за данни е сертифициран, самият доставчик не е. Тогава сертификатът казва нещо за електричество, охлаждане и контрол на достъпа, но нищо за това кой има достъп до Вашите данни. Второ: сертификатът не е отговор на петте въпроса от урок 2.1. Американска услуга може да има ISO 27001 и въпреки това да попада под CLOUD Act.
Малките доставчици понякога нямат сертификация, защото тя струва скъпо. Това не ги прави несигурни. Попитайте тогава конкретно какви мерки предприемат: двуфакторна идентификация за администраторите, криптиране, резервни копия на друго местоположение, политика за актуализации, процедура за уведомяване при пробив на данни.
Четене на SLA
SLA (service level agreement, споразумение за ниво на обслужване) описва какво обещава доставчикът: наличност, време за реакция на поддръжката, прозорци за поддръжка и какво получавате, ако той не изпълни обещанието си.
Винаги преизчислявайте наличността във време. 99,9% на месец звучи почти перфектно, но означава, че услугата може да е недостъпна над 43 минути на месец. При 99% това са над седем часа. Проверете също дали планираната поддръжка се брои, и каква е компенсацията: често малък кредит, не възстановяване на Вашите щети.
Прочетете и какво липсва. Важни точки, които трябва да присъстват в SLA или в условията:
- колко дълго и къде се съхраняват резервните копия, и дали можете сами да възстановите нещо;
- колко бързо се отстранява пробив в сигурността;
- как се информирате при прекъсване (страница за статус, имейл);
- какво се случва с Вашите данни след прекратяване (урок 2.3 и 8.2).
Пробване, въпроси, тестване
Хартията търпи всичко. Затова не сравнявайте само по уебсайта:
- Вземете пробен период или малък пакет и поставете там реален тестов набор: няколко пощенски кутии, календар с повтарящи се срещи, папка с Вашите най-трудни документи (урок 6.5).
- Задайте на поддръжката реален въпрос, например „Как да експортирам всичко, ако напусна?" Обърнете внимание на скоростта, езика и дали отговорът е верен.
- Поискайте документите: споразумение за обработване на данни, списък на подизпълнителите, SLA, сертификати с обхват.
- Поискайте препоръки от организация, подобна на Вашата, и им се обадете.
- Направете тест за износ, преди да подпишете.
Сравнителна таблица, която работи
Поставете доставчиците в колони и Вашите изисквания в редове. Попълнете във всяка клетка факт с източник, не впечатление. Пример на няколко реда за пекарната:
| Изискване | Ниво | Доставчик A | Доставчик B | Доставчик C |
|---|---|---|---|---|
| Европейски собственик | задължително | да (търговски регистър) | не (компания майка в САЩ) | да (годишен отчет) |
| Данни и резервни копия в ЕИП | задължително | да (DPA приложение 1) | да | да, резервно копие в Швейцария (адекватност) |
| IMAP, CalDAV, CardDAV | задължително | да (тествано) | само собствено приложение | да (тествано) |
| Износ на всичко в стандартни формати | задължително | да (тествано) | частично | да |
| Онлайн офис пакет | желателно | да | да | не |
| Поддръжка на български език | желателно | да | не | да |
Доставчик B отпада по две задължителни изисквания, колкото и добро да е останалото. Между A и C решавате по желателните изисквания.
На практика: ето как изглежда при един доставчик
WebOké Nextcloud е пример за управлявана услуга върху софтуер с отворен код: можете да избирате между споделена среда и собствен сървър за всеки пакет, а софтуерът е същият Nextcloud, който може да се използва и при други доставчици или самостоятелно. Други европейски доставчици предлагат сравними форми: all-in-one услуги с поща, съхранение и календар (например mailbox.org, Infomaniak, Proton или IONOS), отделни пощенски услуги (например Posteo или Tuta) и сървъри за собствен хостинг (например при Hetzner, OVHcloud, Scaleway или STACKIT). Този курс не избира вместо Вас: използвайте списъка с изисквания.
Обобщение
- Започнете със собствените си изисквания, разделени на задължителни, желателни и по избор. Поддържайте списъка със задължителни изисквания кратък.
- Избирайте съзнателно между all-in-one, отделни услуги и собствен хостинг; собственият хостинг изисква постоянно знания и време.
- Сертификатът казва нещо предимно в рамките на своя обхват и не отговаря на въпроса за собствеността.
- Преизчислявайте наличността във време и четете какво липсва в SLA.
- Тествайте с пробен период, реален въпрос към поддръжката и тест за износ, преди да подпишете.
Тест
Задача
Задача E2.4: Вашият собствен списък с изисквания и сравнение. Съставете списък с изисквания с поне пет задължителни и три желателни изисквания. Сравнете с него два или три доставчика в таблица както по-горе, с факт и източник във всяка клетка. Обяснете в три изречения кой доставчик бихте избрали и защо.
Задача E2.4: Вашият собствен списък с изисквания и сравнение
Съставете списък с изисквания и сравнете двама или трима доставчици (колони: изискване, ниво задължително/желателно/допустимо, доставчик 1, 2, 3).
Вашите отметки и бележки остават само в този браузър; не ги изпращаме никъде. Ако сте влезли, в Моите курсове запазваме само че сте изпълнили задачата.
Допълнително четене
Стъпките в тези статии важат за услугите на WebOké; при други доставчици процедурата е сходна.
- Nextcloud наръчник 1.4: Nextcloud Free, Personal, Family или Max: разлики и преминаване
- Ръководство на WebOké 2.2: Изберете хостинг пакет (хостинг, имейл пакет, Nextcloud, AI Builder)
- Nextcloud наръчник 6.6: Резервни копия при WebOké: какво съхраняваме ние и какво можете да направите сами
- ISO/IEC 27001:2022, Information security management systems (iso.org, стандарт 27001)
- BSI C5 (Cloud Computing Compliance Criteria Catalogue): https://www.bsi.bund.de/EN/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/Kriterienkatalog-C5/kriterienkatalog-c5_node.html