Modul 2 · 2.4
Szolgáltatók összehasonlítása anélkül, hogy megtévesztenék Önt
Modul 2: Mi az európai felhő valójában? · Olvasási idő: 11 perc
Tanulási cél: E lecke után saját követelménylista alapján tartalmi szempontból tudja összehasonlítani az európai szolgáltatókat, meg tudja ítélni a tanúsítványok értékét, és választani tud egy all-in-one szolgáltatás, különálló szolgáltatások vagy az önüzemeltetés között.
Kulcsfogalmak: követelménylista (kötelező, kívánatos, lehet), ISO/IEC 27001, alkalmazási terület (scope), ISO/IEC 27701, NEN 7510, BSI C5, SecNumCloud, SOC 2, SLA, rendelkezésre állás, ügyfélszolgálati nyelv, próbaidőszak, referenciák, all-in-one, különálló szolgáltatások, önüzemeltetés
Először a saját követelmények, aztán a szolgáltatók
Aki azzal kezdi, hogy a szolgáltatók weboldalait nézegeti, az hagyja, hogy azok vezessék, amit ők a legszebbnek tartanak: egy nagy tárhelyszám, egy AI-gomb, egy letisztult logó. Ezért kezdje saját magánál. A Bakkerij De Korrel pékség először leírta, mire van valójában szüksége, és csak utána kezdett el körülnézni.
Ehhez használjon három szintet:
- Kötelező: enélkül a szolgáltató kiesik. Például: adatok és biztonsági mentések az EGT-ben, európai tulajdonos, adatfeldolgozási szerződés (GDPR 28. cikk) alvállalkozói listával, levelezés saját domainen, IMAP és CalDAV, kétlépcsős azonosítás (2FA).
- Kívánatos: fontos, de megkerülhető. Például: böngészőben futó online irodai programcsomag, magyar nyelvű ügyfélszolgálat, telefonos alkalmazás fotókhoz.
- Lehet: jó, ha megvan. Például: videóhívás, űrlapok, AI-segítség.
Tartsa röviden a kötelező lista elemeit. Egy harminc pontból álló kötelező listát senki nem teljesít, és akkor végül mégis megérzésre fog választani.
Háromféle kínálat
Az európai felhőszolgáltatások nagyjából három formában léteznek.
| Forma | Mi ez | Előnyök | Mire figyeljen |
|---|---|---|---|
| All-in-one | Egyetlen szolgáltató biztosítja együtt a levelezést, a tárhelyet, a naptárat, a dokumentumokat és a csevegést, mint a nagy amerikai szolgáltatók csomagjai | Egy szerződés, egy bejelentkezés, minden együttműködik | Ismét egyetlen félnél kötötte le magát; ellenőrizze alaposan az exportálási lehetőségeket |
| Különálló szolgáltatások | Levelezés az egyik szolgáltatónál, fájlok és naptár egy másiknál, csevegés egy harmadiknál | Elemenként a legjobb választás; kevésbé kiszolgáltatott helyzet | Több szerződés, több bejelentkezés, több üzemeltetés |
| Önüzemeltetés | Ön nyílt forráskódú szoftvert (például Nextcloud) futtat saját szerveren vagy bérelt szerveren | Maximális kontroll | Önnek kell elvégeznie a frissítéseket, a biztonságot és a mentéseket; ez tudást és időt igényel, minden héten |
Sok kisebb szervezet egy középutat választ: felügyelt szolgáltatást nyílt forráskódú szoftveren. Ekkor a szervert egy szolgáltató üzemelteti, de ugyanazzal a szoftverrel bármikor átválthat másik szolgáltatóra vagy önüzemeltetésre, ha ez szükségessé válik. Az önüzemeltetés csak akkor jó ötlet, ha valaki tartósan rászánja az időt, és tudja, mit csinál. Egy Nextcloud, amely egy évig nem kap frissítést, kevésbé biztonságos, mint egy jól felügyelt szolgáltatás, legyen az európai vagy sem.
Tanúsítványok: mit mondanak és mit nem
A szolgáltatók szívesen hivatkoznak tanúsítványokra. Ezek hasznosak, de tudnia kell, mit jelentenek valójában.
| Tanúsítvány | Mit jelent | Mire figyeljen |
|---|---|---|
| ISO/IEC 27001 | A vállalatnak van információbiztonsági irányítási rendszere: feltérképezett kockázatok, intézkedések, éves ellenőrzés egy tanúsító szervezet által | Az alkalmazási terület (scope): az Ön által igénybe vett szolgáltatásra vonatkozik, vagy csak az adatközpontra vagy egyetlen részlegre? Érvényes-e a tanúsítvány, és akkreditált szervezettől származik-e? |
| ISO/IEC 27701 | A 27001 kiterjesztése az adatvédelmi irányításra | Ugyanazok a kérdések az alkalmazási területről |
| NEN 7510 | Holland szabvány az egészségügyi információbiztonságra | Csak akkor releváns, ha egészségügyi adatokat kezel; ebben az esetben gyakran követelmény |
| BSI C5 | Német követelménykatalógus felhőszolgáltatásokra, a Bundesamt für Sicherheit in der Informationstechnik kiadásában | Megállapításokat tartalmazó jelentés, nem egyszerű "megfelelt" |
| SecNumCloud | Francia minősítés az ANSSI-tól felhőszolgáltatásokra, az EU-n kívüli jogszabályok általi hozzáférés elleni követelményekkel | Szigorú; sokat elárul a jogi függetlenségről |
| SOC 2 | Amerikai auditjelentés (AICPA) a biztonsági intézkedésekről | Nem tanúsítvány, hanem jelentés; kérje el magát a jelentést, ne csak a logót |
Két csapda. Először: az adatközpont rendelkezik tanúsítvánnyal, maga a szolgáltató nem. Ekkor a tanúsítvány az áramellátásról, a hűtésről és a beléptetésről mond valamit, de semmit arról, hogy ki férhet hozzá az Ön adataihoz. Másodszor: egy tanúsítvány nem válasz a 2.1. leckében szereplő öt kérdésre. Egy amerikai szolgáltatás rendelkezhet ISO 27001 tanúsítvánnyal, és mégis a CLOUD Act hatálya alá tartozhat.
A kisebb szolgáltatóknak néha nincs tanúsítványuk, mert az sokba kerül. Ettől még nem lesznek bizonytalanok. Ilyenkor kérdezzen rá konkrétan, milyen intézkedéseket alkalmaznak: kétlépcsős azonosítás (2FA) a rendszergazdáknak, titkosítás, biztonsági mentés más helyszínen, frissítési szabályzat, eljárás adatvédelmi incidens bejelentésére.
Az SLA olvasása
Az SLA (service level agreement, szolgáltatási szintmegállapodás) leírja, mit ígér a szolgáltató: rendelkezésre állást, az ügyfélszolgálat válaszidejét, karbantartási időablakokat, és azt, mit kap, ha az ígéretét nem tartja be.
A rendelkezésre állást mindig számítsa át időre. A havi 99,9% szinte tökéletesnek hangzik, de azt jelenti, hogy a szolgáltatás havonta körülbelül 43 percig lehet elérhetetlen. 99%-nál ez már több mint hét óra. Nézze meg azt is, hogy a tervezett karbantartás beleszámít-e, és mi a kompenzáció: gyakran csak egy kis jóváírás, nem az Ön kárának megtérítése.
Olvassa el azt is, mi hiányzik belőle. Fontos pontok, amelyeknek egy SLA-ban vagy a feltételekben szerepelniük kell:
- meddig és hol tárolják a biztonsági mentéseket, és hogy Ön maga tud-e visszaállítani valamit;
- milyen gyorsan hárítanak el egy biztonsági rést;
- hogyan értesítik Önt üzemzavar esetén (állapotoldal, e-mail);
- mi történik az adataival a felmondás után (2.3. és 8.2. lecke).
Kipróbálás, kérdezés, tesztelés
A papír türelmes. Ezért ne csak a weboldal alapján hasonlítson össze:
- Vegyen igénybe próbaidőszakot vagy egy kisebb csomagot, és helyezzen bele egy valódi tesztkészletet: néhány postafiókot, egy ismétlődő eseményeket tartalmazó naptárat, egy mappát a legnehezebben kezelhető dokumentumaival (6.5. lecke).
- Tegyen fel egy valódi kérdést az ügyfélszolgálatnak, például: "Hogyan exportálhatok mindent, ha felmondok?" Figyeljen a válaszadás sebességére, a nyelvre, és arra, hogy a válasz helyes-e.
- Kérje el a dokumentumokat: adatfeldolgozási szerződés, alvállalkozói lista, SLA, tanúsítványok alkalmazási területtel.
- Kérjen referenciákat egy Önhöz hasonló szervezettől, és hívja fel őket.
- Végezzen exporttesztet, mielőtt aláírna.
Egy jól működő összehasonlító táblázat
Helyezze a szolgáltatókat oszlopokba, a követelményeit pedig sorokba. Minden cellába egy tényt írjon be a forrással együtt, ne benyomást. Példa néhány sorra a pékség esetében:
| Követelmény | Szint | A szolgáltató | B szolgáltató | C szolgáltató |
|---|---|---|---|---|
| Európai tulajdonos | kötelező | igen (cégnyilvántartás) | nem (anyavállalat az USA-ban) | igen (éves beszámoló) |
| Adatok és biztonsági mentések az EGT-ben | kötelező | igen (adatfeldolgozási szerződés 1. melléklet) | igen | igen, mentés Svájcban (megfelelőségi határozat alapján) |
| IMAP, CalDAV, CardDAV | kötelező | igen (tesztelve) | csak saját alkalmazás | igen (tesztelve) |
| Minden adat exportálása szabványos formátumban | kötelező | igen (tesztelve) | részben | igen |
| Online irodai programcsomag | kívánatos | igen | igen | nem |
| Magyar nyelvű ügyfélszolgálat | kívánatos | igen | nem | igen |
A B szolgáltató két kötelező követelményen elbukik, bármilyen szép is a többi. Az A és a C közötti döntés a kívánatos követelményeken múlik.
A gyakorlatban: így néz ki egy szolgáltatónál
A WebOké Nextcloud egy példa a nyílt forráskódú szoftveren futó felügyelt szolgáltatásra: választhat megosztott környezet és saját szerver között csomagonként, és a szoftver ugyanaz a Nextcloud, amelyet más szolgáltatóknál vagy saját maga is futtathat. Más európai szolgáltatók hasonló formákat kínálnak: all-in-one szolgáltatásokat levelezéssel, tárhellyel és naptárral (például mailbox.org, Infomaniak, Proton vagy IONOS), különálló levelezési szolgáltatásokat (például Posteo vagy Tuta) és szervereket önüzemeltetéshez (például a Hetzner, OVHcloud, Scaleway vagy STACKIT kínálatában). Ez a tanfolyam nem dönt Ön helyett: használja a követelménylistát.
Összefoglalás
- Kezdje a saját követelményeivel, kötelező, kívánatos és lehet kategóriákba osztva. Tartsa röviden a kötelező listát.
- Tudatosan válasszon all-in-one, különálló szolgáltatások és önüzemeltetés között; az önüzemeltetés tartósan tudást és időt igényel.
- Egy tanúsítvány elsősorban az alkalmazási területén belül mond valamit, és nem válaszolja meg a tulajdonosi kérdést.
- Számítsa át a rendelkezésre állást időre, és olvassa el, mi hiányzik az SLA-ból.
- Teszteljen próbaidőszakkal, valódi ügyfélszolgálati kérdéssel és exportteszttel, mielőtt aláírna.
Kvíz
Feladat
E2.4 feladat: A saját követelménylista és összehasonlítás. Készítsen egy követelménylistát legalább öt kötelező és három kívánatos követelménnyel. Ezzel hasonlítson össze két vagy három szolgáltatót egy a fentihez hasonló táblázatban, minden cellában egy ténnyel és egy forrással. Magyarázza el három mondatban, melyik szolgáltatót választaná, és miért.
E2.4. feladat: A saját követelménylista és összehasonlítás
Állítson össze egy követelménylistát, és hasonlítson össze két vagy három szolgáltatót (oszlopok: követelmény, szint kötelező/kívánatos/opcionális, 1. szolgáltató, 2. szolgáltató, 3. szolgáltató).
A pipái és jegyzetei csak ebben a böngészőben maradnak meg, sehova nem küldjük el őket. Ha bejelentkezett, a Fiókomban csak azt tároljuk, hogy elvégezte a feladatot.
További olvasnivaló
Az ezekben a cikkekben leírt lépések a WebOké szolgáltatásaira érvényesek; más szolgáltatóknál hasonlóan működik.
- Nextcloud kézikönyv 1.4: Nextcloud Free, Personal, Family vagy Max: különbségek és váltás
- WebOké útmutató 2.2: Hosztingcsomag választása (tárhely, e-mail-csomag, Nextcloud, AI Builder)
- Nextcloud kézikönyv 6.6: Biztonsági mentések a WebOké szolgáltatásnál: mit őrzünk meg mi, és mit tehet Ön saját maga
- ISO/IEC 27001:2022, Information security management systems (iso.org, 27001-es szabvány)
- BSI C5 (Cloud Computing Compliance Criteria Catalogue): https://www.bsi.bund.de/EN/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/Kriterienkatalog-C5/kriterienkatalog-c5_node.html