Módulo 2 · 2.4
Comparar fornecedores sem se deixar seduzir
Módulo 2: O que é realmente uma cloud europeia? · Tempo de leitura: 11 minutos
Objetivo de aprendizagem: Após esta lição, saberá comparar fornecedores europeus em termos de conteúdo com base numa lista de requisitos própria, avaliar o valor dos selos de certificação e escolher entre um serviço tudo-em-um, serviços separados ou alojamento próprio.
Conceitos-chave: lista de requisitos (obrigatório, desejável, facultativo), ISO/IEC 27001, âmbito de aplicação (scope), ISO/IEC 27701, NEN 7510, BSI C5, SecNumCloud, SOC 2, SLA, disponibilidade, idioma de suporte, período de teste, referências, tudo-em-um, serviços separados, alojamento próprio
Primeiro os seus requisitos, depois os fornecedores
Quem começa por consultar os sítios web dos fornecedores deixa-se guiar por aquilo que estes consideram mais atrativo: um número elevado de armazenamento, um botão de IA, um logótipo bem desenhado. Por isso, comece por si próprio. A Bakkerij De Korrel começou por escrever aquilo de que realmente precisava, e só depois começou a procurar.
Para isso, utilize três níveis:
- Obrigatório: sem isto, o fornecedor é eliminado. Por exemplo: dados e cópias de segurança no EEE, proprietário europeu, contrato de subcontratação com lista de subsubcontratantes, correio eletrónico no próprio domínio, IMAP e CalDAV, autenticação de dois fatores.
- Desejável: importante, mas pode contornar-se. Por exemplo: pacote de escritório online no navegador, suporte em português, aplicação móvel para fotografias.
- Facultativo: bom de ter. Por exemplo: videochamadas, formulários, apoio de IA.
Mantenha a lista de requisitos obrigatórios curta. Uma lista de requisitos obrigatórios com trinta pontos não é cumprida por ninguém, e acaba por escolher com base na intuição.
Três tipos de oferta
Os serviços de cloud europeus apresentam-se, de forma geral, em três formatos.
| Formato | O que é | Vantagens | Atenção |
|---|---|---|---|
| Tudo-em-um | Um único fornecedor disponibiliza correio eletrónico, armazenamento, agenda, documentos e chat em conjunto, como as suites de grandes fornecedores americanos | Um contrato, um início de sessão, tudo funciona em conjunto | Volta a depender de uma única entidade; verifique especialmente bem as possibilidades de exportação |
| Serviços separados | Correio eletrónico junto de um fornecedor, ficheiros e agenda junto de outro, chat junto de um terceiro | A melhor escolha para cada componente; menor dependência | Mais contratos, mais inícios de sessão, mais gestão |
| Alojamento próprio | Executa software de código aberto (por exemplo, Nextcloud) num servidor próprio ou alugado | Controlo máximo | É você quem faz as atualizações, a segurança e as cópias de segurança; isso exige conhecimento e tempo, todas as semanas |
Muitas organizações de pequena dimensão optam por uma solução intermédia: um serviço gerido sobre software de código aberto. Nesse caso, um fornecedor gere o servidor, mas pode mudar, com o mesmo software, para outro fornecedor ou para alojamento próprio, se tal for alguma vez necessário. O alojamento próprio só é uma boa ideia se alguém tiver, de forma estrutural, tempo para isso e souber o que está a fazer. Um Nextcloud que não recebe atualizações durante um ano é menos seguro do que um serviço bem gerido, europeu ou não.
Certificações: o que dizem e o que não dizem
Os fornecedores gostam de mencionar certificações. São úteis, mas é preciso saber o que significam.
| Certificação | O que atesta | A que deve prestar atenção |
|---|---|---|
| ISO/IEC 27001 | A empresa tem um sistema de gestão da segurança da informação: riscos identificados, medidas implementadas, controlo anual por uma entidade certificadora | O âmbito de aplicação (scope): aplica-se ao serviço que você contrata, ou apenas ao centro de dados ou a um único departamento? O certificado está válido e foi emitido por uma entidade acreditada? |
| ISO/IEC 27701 | Extensão da norma 27001 para a gestão da privacidade | As mesmas questões sobre o âmbito de aplicação |
| NEN 7510 | Norma neerlandesa para a segurança da informação na área da saúde | Apenas relevante se tratar dados de saúde; nesse caso, é frequentemente um requisito |
| BSI C5 | Catálogo de requisitos alemão para serviços de cloud, do Bundesamt für Sicherheit in der Informationstechnik | Relatório com observações, não um simples "aprovado" |
| SecNumCloud | Qualificação francesa da ANSSI para serviços de cloud, com requisitos contra o acesso ao abrigo de legislação de fora da UE | Rigorosa; diz muito sobre a independência jurídica |
| SOC 2 | Relatório de auditoria americano (AICPA) sobre medidas de segurança | Não é um certificado mas sim um relatório; peça o relatório, não apenas o logótipo |
Duas armadilhas. Em primeiro lugar: o centro de dados está certificado, mas o próprio fornecedor não. Nesse caso, o certificado diz algo sobre a energia, a refrigeração e os controlos de acesso, mas nada sobre quem pode aceder aos seus dados. Em segundo lugar: uma certificação não responde às cinco perguntas da lição 2.1. Um serviço americano pode ter o ISO 27001 e, ainda assim, estar sujeito ao CLOUD Act.
Os pequenos fornecedores, por vezes, não têm certificação, porque esta tem um custo elevado. Isso não os torna inseguros. Pergunte, nesse caso, de forma concreta, que medidas tomam: autenticação de dois fatores para administradores, encriptação, cópias de segurança noutra localização, política de atualizações, um procedimento de notificação em caso de violações de dados.
Ler o SLA
Um SLA (service level agreement, acordo de nível de serviço) descreve aquilo que um fornecedor promete: disponibilidade, tempo de resposta do suporte, janelas de manutenção e o que recebe se o fornecedor não cumprir a sua promessa.
Converta sempre a disponibilidade em tempo. 99,9% por mês parece quase perfeito, mas significa que o serviço pode estar inacessível durante pouco mais de 43 minutos por mês. Com 99%, isso corresponde a pouco mais de sete horas. Verifique também se a manutenção planeada conta para esse valor, e qual é a compensação: muitas vezes, um pequeno crédito, sem reembolso dos seus danos.
Leia também o que não consta do documento. Pontos importantes que devem constar de um SLA ou das condições:
- durante quanto tempo e onde são guardadas as cópias de segurança, e se pode repor algo por si próprio;
- com que rapidez é resolvida uma falha de segurança;
- como é informado em caso de avaria (página de estado, correio eletrónico);
- o que acontece aos seus dados após a rescisão (lições 2.3 e 8.2).
Experimentar, perguntar, testar
O papel é paciente. Por isso, não compare apenas com base no sítio web:
- Utilize um período de teste ou um pacote pequeno, e coloque nele um conjunto de teste real: algumas caixas de correio, uma agenda com compromissos recorrentes, uma pasta com os seus documentos mais complicados (lição 6.5).
- Faça ao suporte uma pergunta real, por exemplo "Como exporto tudo se sair?" Preste atenção à rapidez, ao idioma e se a resposta está correta.
- Peça os documentos: contrato de subcontratação, lista de subsubcontratantes, SLA, certificados com âmbito de aplicação.
- Peça referências de uma organização semelhante à sua, e contacte-a.
- Faça um teste de exportação antes de assinar.
Uma tabela de comparação que funciona
Coloque os fornecedores em colunas e os seus requisitos em linhas. Preencha cada célula com um facto e a respetiva fonte, não com uma impressão. Exemplo de algumas linhas para a padaria:
| Requisito | Nível | Fornecedor A | Fornecedor B | Fornecedor C |
|---|---|---|---|---|
| Proprietário europeu | obrigatório | sim (registo comercial) | não (empresa-mãe nos EUA) | sim (relatório anual) |
| Dados e cópias de segurança no EEE | obrigatório | sim (contrato de subcontratação, anexo 1) | sim | sim, cópia de segurança na Suíça (adequação) |
| IMAP, CalDAV, CardDAV | obrigatório | sim (testado) | apenas aplicação própria | sim (testado) |
| Exportação de tudo em formatos padrão | obrigatório | sim (testado) | parcialmente | sim |
| Pacote de escritório online | desejável | sim | sim | não |
| Suporte em português | desejável | sim | não | sim |
O fornecedor B é eliminado por não cumprir dois requisitos obrigatórios, por melhor que seja o resto. Entre A e C, a decisão depende dos requisitos desejáveis.
Na prática: como se apresenta junto de um fornecedor
Um Nextcloud da WebOké é um exemplo de um serviço gerido sobre software de código aberto: pode escolher entre um ambiente partilhado e um servidor próprio por pacote, sendo o software o mesmo Nextcloud que também pode utilizar junto de outros fornecedores ou de forma autónoma. Outros fornecedores europeus oferecem formatos semelhantes: serviços tudo-em-um com correio eletrónico, armazenamento e agenda (por exemplo, mailbox.org, Infomaniak, Proton ou IONOS), serviços de correio eletrónico separados (por exemplo, Posteo ou Tuta) e servidores para alojamento próprio (por exemplo, junto da Hetzner, OVHcloud, Scaleway ou STACKIT). Este curso não escolhe por si: utilize a lista de requisitos.
Resumo
- Comece pelos seus próprios requisitos, divididos em obrigatório, desejável e facultativo. Mantenha a lista de requisitos obrigatórios curta.
- Escolha de forma consciente entre tudo-em-um, serviços separados e alojamento próprio; o alojamento próprio exige, de forma estrutural, conhecimento e tempo.
- Uma certificação diz, sobretudo, algo dentro do seu âmbito de aplicação, e não responde à pergunta sobre o proprietário.
- Converta a disponibilidade em tempo e leia o que não consta do SLA.
- Teste com um período de teste, uma pergunta real ao suporte e um teste de exportação antes de assinar.
Quiz
Exercício
Exercício E2.4: A sua própria lista de requisitos e comparação. Elabore uma lista de requisitos com, pelo menos, cinco requisitos obrigatórios e três requisitos desejáveis. Compare, com base nela, dois ou três fornecedores numa tabela semelhante à anterior, com um facto e uma fonte em cada célula. Explique, em três frases, qual fornecedor escolheria e porquê.
Exercício E2.4: A sua própria lista de requisitos e comparação
Elabore uma lista de requisitos e compare dois ou três fornecedores (colunas: requisito, nível obrigatório/desejável/opcional, fornecedor 1, 2, 3).
As suas marcações e notas ficam apenas neste navegador; não as enviamos para lado nenhum. Se tiver sessão iniciada, guardamos em Os meus cursos apenas que concluiu o exercício.
Para saber mais
Os passos descritos nestes artigos aplicam-se aos serviços da WebOké; junto de outros fornecedores, o funcionamento é semelhante.
- Manual do Nextcloud 1.4: Nextcloud Free, Personal, Family ou Max: diferenças e mudança de pacote
- Manual do WebOké 2.2: Escolher um plano de alojamento (alojamento web, plano de e-mail, Nextcloud, AI Builder)
- Manual do Nextcloud 6.6: Cópias de segurança no WebOké: o que guardamos e o que pode fazer você mesmo
- ISO/IEC 27001:2022, Information security management systems (iso.org, norma 27001)
- BSI C5 (Cloud Computing Compliance Criteria Catalogue): https://www.bsi.bund.de/EN/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/Kriterienkatalog-C5/kriterienkatalog-c5_node.html