Ar Lietuvoje laikomi duomenys automatiškai reiškia didesnę jų kontrolę? Nebūtinai. Vien fizinės serverio vietos nepakanka: svarbi ir tiekėjo jurisdikcija, infrastruktūros valdymas, sistemų apsauga bei atsarginių kopijų vieta.
Apie tai pasakoja telekomunikacijų bendrovės „Telia“ ekspertai – įmonės produktų vadovai Kipras Kretavičius, dirbantis IRT produktų valdymo srityje, ir Rokas Ališauskas, atsakingas už IRT plėtrą ir sprendimų kainodarą.
Kaip išsirinkti hibridinės infrastruktūros partnerį?
Susiję straipsniai
Skirtingų sistemų poreikius galima derinti ir renkantis vieną infrastruktūros partnerį, kuris gali pasiūlyti tiek vietinę, tiek debesijos infrastruktūrą.
„Telia“ debesijos paslaugas teikia iš vienų rankų – tai aktualu verslams, kurie nori mažinti skirtingų tiekėjų skaičių ir paprasčiau valdyti savo IT infrastruktūrą.
„Turime ryšio paslaugas ir nuosavus duomenų centrus, kuriuose veikia debesijos paslaugos. Prireikus galima derinti vietinę infrastruktūrą su viešuoju debesiu ir pasirinkti skirtingas lokacijas pagal konkrečių sistemų poreikius“, – sako K. Kretavičius.
„Telia Cloud“ taip pat siūlo atsarginių kopijų sprendimus, įskaitant nutolusias kopijas už Lietuvos ribų, o infrastruktūrą galima integruoti su „Amazon Web Services“, „Microsoft Azure“ ir kitais viešaisiais debesimis.
„Vienoje infrastruktūroje visko sutalpinti nebūtina“, – hibridinio modelio esmę apibendrina pašnekovas.
Vertinant skirtingus variantus, svarbios išlieka ir jau veikiančios sistemos.
Anot eksperto, senosios „Legacy“ sistemos dažnai yra pažeidžiamiausios, todėl jas reikia atitinkamai apsaugoti arba izoliuoti nuo interneto.
„Pirmiausia reikia įvertinti įmonės strategiją ir veiklos lauką – ar tai Lietuva, ES, ar visas pasaulis. Tik tada galima spręsti, kokie tiekėjai ir techniniai sprendimai tinkamiausi skirtingoms sistemoms“, – sako IRT produktų valdymo specialistas.
Kas iš tiesų lemia duomenų suverenumą?
Įmonėms, kurioms taikomi konkretūs reguliaciniai reikalavimai, svarbu vertinti ne tik serverio vietą.
„Vien serverio fizinė vieta suverenumo neužtikrina. Reikia kompleksiškai vertinti duomenų centro valdytoją, ryšio tiekėją ir teisinę aplinką. Europos Sąjungos šalyse veikiančioms įmonėms svarbu, kad debesijos paslaugų teikėjas veiktų pagal ES teisės aktus, o ne būtų priklausomas nuo JAV ar Kinijos teisės“, – sako K. Kretavičius.
NIS2 ir BDAR atveju tai tampa aktualu visai tiekimo grandinei.
„Kai verslui taikomos aiškios reguliacinės atsakomybės, kurias turi įgyvendinti visa tiekimo grandinė, duomenų suverenumui reikia skirti daugiau dėmesio. Tai, pavyzdžiui, aktualu laikantis NIS2 ar BDAR reikalavimų.“
Tačiau vien teisinės aplinkos nepakanka. Vertinant infrastruktūrą svarbu atsižvelgti ir į konkrečias grėsmes.
„Lietuvoje laikomi duomenys nėra automatiškai saugesni. Jei kalbame apie mūsų teisės aktus, Lietuvos tiekėjai, tikėtina, juos atitinka.
Tačiau jei įmonė vertina geopolitines grėsmes ir pati veikia visame pasaulyje, vien Lietuvos infrastruktūra nebūtinai bus saugiausias pasirinkimas“, – aiškina ekspertas.
Kaip pasirinkti infrastruktūrą kritinėms sistemoms?
Perkeliant kritines sistemas į debesiją, svarbu įvertinti, kaip jos naudojamos ir kokios rizikos įmonei priimtinos.
„Įmonė turi žinoti, kokia prastova jai priimtina, kiek duomenų gali būti prarasta incidento atveju, kur jie gali būti saugomi ir kokie reguliaciniai reikalavimai taikomi. Taip pat – suprasti atsakomybės pasidalijimą: debesijos tiekėjas atsako už savo infrastruktūrą, tačiau aplikacijų konfigūracija, prieigos, duomenų apsauga ir atsarginės kopijos lieka kliento atsakomybė.“
Skirtingoms sistemoms dėl to gali būti pasirenkama skirtinga infrastruktūra.
„Dalis sistemų gali veikti Lietuvoje, o dalis „Amazon Web Services“ ar „Microsoft Azure“. Stabilios apkrovos sistemoms, kurioms svarbus duomenų lokalumas ar maža delsa, gali būti racionali Lietuvos infrastruktūra. Jei sistemai reikia aptarnauti vartotojus skirtingose šalyse, greitai didinti resursus ar naudotis tokiomis paslaugomis kaip AI modeliai, daugiau galimybių gali suteikti viešasis debesis“, – teigia „Telia“ atstovas.
Kur laikyti atsargines kopijas, kad jos išliktų pasiekiamos incidento metu? Kritinių duomenų atsargines kopijas verta laikyti geografiškai atskirai nuo pagrindinės infrastruktūros ir nepriklausomoje aplinkoje. Taip vienas incidentas, paveikęs pagrindinę lokaciją ar sistemas, nesunaikintų ir duomenų kopijų.
Atsarginių kopijų atskyrimo nuo pagrindinės infrastruktūros svarbą pabrėžia ir Europos Sąjungos kibernetinio saugumo agentūra (ENISA).
„Grėsmės gali būti skirtingos – nuo kibernetinių atakų ir ryšio sutrikimų iki fizinės infrastruktūros ar visos lokacijos nepasiekiamumo. Todėl kritinių duomenų atveju verta turėti geografiškai atskirtas ir nuo pagrindinės infrastruktūros nepriklausomas atsargines kopijas“, – aiškina R. Ališauskas.
Kopijos gali būti laikomos kitame duomenų centre, kitoje valstybėje ar viešojo debesies regione, tačiau svarbu reguliariai tikrinti, ar sistemas iš jų iš tiesų galima atkurti.
Atsarginių kopijų atskyrimą „Telia“ užtikrina savo infrastruktūros ir debesijos paslaugomis, įskaitant nutolusių kopijų laikymą už Lietuvos ribų.