Vien tai, kad įmonės duomenys saugomi Lietuvoje, savaime neužtikrina didesnės jų kontrolės ar saugumo. Vertinant duomenų suverenumą svarbi ne tik fizinė serverių vieta, bet ir paslaugų teikėjo jurisdikcija, infrastruktūros valdymas, apsaugos priemonės bei atsarginių kopijų saugojimo lokacija.
Apie tai pasakoja telekomunikacijų bendrovės „Telia“ ekspertai – IRT produktų valdymo srityje dirbantis produktų vadovas Kipras Kretavičius ir už IRT plėtrą bei sprendimų kainodarą atsakingas Rokas Ališauskas.
Vienas partneris gali apimti skirtingą infrastruktūrą
Įmonės, kurioms reikia skirtingų sistemų, nebūtinai turi rinktis kelis infrastruktūros tiekėjus. Vietinę ir debesijos infrastruktūrą galima derinti pasitelkus vieną partnerį.
„Telia“ debesijos paslaugas teikia iš vienų rankų. Tai gali būti aktualu verslams, siekiantiems sumažinti skirtingų tiekėjų skaičių ir paprasčiau valdyti IT aplinką.
„Turime ryšio paslaugas ir nuosavus duomenų centrus, kuriuose veikia debesijos paslaugos. Prireikus galima derinti vietinę infrastruktūrą su viešuoju debesiu ir pasirinkti skirtingas lokacijas pagal konkrečių sistemų poreikius“, – sako K. Kretavičius.
„Telia Cloud“ siūlo ir atsarginių kopijų sprendimus, tarp jų – nutolusių kopijų saugojimą už Lietuvos ribų. Šią infrastruktūrą taip pat galima integruoti su „Amazon Web Services“, „Microsoft Azure“ ir kitais viešaisiais debesimis.
Eksperto teigimu, visų sistemų sutelkti vienoje infrastruktūroje nėra būtina – tai ir yra hibridinio modelio esmė.
Senos sistemos gali tapti silpniausia grandimi
Renkantis infrastruktūrą būtina atsižvelgti ne tik į būsimus sprendimus, bet ir į įmonėje jau veikiančias sistemas. Anot K. Kretavičiaus, senosios „Legacy“ sistemos dažnai yra pažeidžiamiausios, todėl jas reikėtų tinkamai apsaugoti arba izoliuoti nuo interneto.
„Pirmiausia reikia įvertinti įmonės strategiją ir veiklos lauką – ar tai Lietuva, ES, ar visas pasaulis. Tik tada galima spręsti, kokie tiekėjai ir techniniai sprendimai tinkamiausi skirtingoms sistemoms“, – sako IRT produktų valdymo specialistas.
Serverio vieta – tik viena duomenų suverenumo dalis
Įmonėms, kurioms taikomi konkretūs reguliaciniai reikalavimai, nepakanka patikrinti, kur fiziškai stovi serveris.
„Vien serverio fizinė vieta suverenumo neužtikrina. Reikia kompleksiškai vertinti duomenų centro valdytoją, ryšio tiekėją ir teisinę aplinką. Europos Sąjungos šalyse veikiančioms įmonėms svarbu, kad debesijos paslaugų teikėjas veiktų pagal ES teisės aktus, o ne būtų priklausomas nuo JAV ar Kinijos teisės“, – teigia K. Kretavičius.
Visa tiekimo grandinė tampa ypač svarbi, kai įmonei taikomi NIS2 ir BDAR reikalavimai. Tokiais atvejais reguliacinės atsakomybės turi būti įgyvendinamos ne tik pačios organizacijos, bet ir jos pasitelkiamų tiekėjų grandinėje.
Vis dėlto vien teisinio suderinamumo nepakanka. Infrastruktūrą reikia vertinti ir atsižvelgiant į konkrečias galimas grėsmes.
Ekspertas pabrėžia, kad Lietuvoje laikomi duomenys automatiškai netampa saugesni. Lietuvos tiekėjai tikėtina atitiks Lietuvoje galiojančius teisės aktus, tačiau pasauliniu mastu veikiančiai įmonei, vertinančiai geopolitines rizikas, vien Lietuvos infrastruktūra nebūtinai bus tinkamiausias pasirinkimas.
Debesijos pasirinkimą lemia prastovos ir atsakomybės
Prieš perkeldama kritines sistemas į debesiją, įmonė turėtų įvertinti, kaip jos naudojamos ir kokia rizika jai priimtina. Reikia iš anksto nustatyti, kiek laiko galima toleruoti sistemos neveikimą, kokį duomenų kiekį būtų galima prarasti incidento atveju, kur duomenys gali būti saugomi ir kokie reguliaciniai reikalavimai taikomi.
Taip pat svarbu aiškiai suprasti atsakomybės pasidalijimą. Debesijos tiekėjas atsako už savo infrastruktūrą, tačiau aplikacijų konfigūravimas, prieigos, duomenų apsauga ir atsarginių kopijų kūrimas lieka kliento atsakomybė.
Dėl to skirtingoms sistemoms gali būti pasirenkami skirtingi sprendimai. Viena dalis sistemų gali veikti Lietuvoje, kita – „Amazon Web Services“ ar „Microsoft Azure“ aplinkoje.
Stabilios apkrovos sistemoms, kurioms svarbus duomenų lokalumas arba maža delsa, gali tikti Lietuvos infrastruktūra. Tuo metu sistemoms, aptarnaujančioms vartotojus keliose šalyse, greitai didinančioms resursus ar naudojančioms tokias paslaugas kaip AI modeliai, daugiau galimybių gali suteikti viešasis debesis.
Atsarginės kopijos turi būti atskirtos nuo pagrindinės infrastruktūros
Kritinių duomenų atsargines kopijas rekomenduojama saugoti geografiškai atskirai nuo pagrindinės infrastruktūros ir nepriklausomoje aplinkoje. Tokiu būdu vienas incidentas, paveikęs pagrindinę lokaciją ar sistemas, neturėtų sunaikinti ir kopijų.
Atsarginių kopijų atskyrimo svarbą pabrėžia ir Europos Sąjungos kibernetinio saugumo agentūra (ENISA).
„Grėsmės gali būti skirtingos – nuo kibernetinių atakų ir ryšio sutrikimų iki fizinės infrastruktūros ar visos lokacijos nepasiekiamumo. Todėl kritinių duomenų atveju verta turėti geografiškai atskirtas ir nuo pagrindinės infrastruktūros nepriklausomas atsargines kopijas“, – aiškina R. Ališauskas.
Kopijos gali būti laikomos kitame duomenų centre, kitoje valstybėje arba viešojo debesies regione. Tačiau vien jų turėti nepakanka – būtina reguliariai tikrinti, ar prireikus sistemas iš šių kopijų iš tiesų pavyks atkurti.
„Telia“ atsarginių kopijų atskyrimą užtikrina naudodama savo infrastruktūros ir debesijos paslaugas, įskaitant nutolusių kopijų saugojimą už Lietuvos ribų.