Informacje strategiczne, dane finansowe oraz bazy klientów są kapitałem cenniejszym niż zawartość skarbca. Dbanie o cyfrową suwerenność, czyli pełną i niezależną od zewnętrznych podmiotów politycznych kontrolę nad własnymi zasobami na stałe weszło do zadań zarządów dużych przedsiębiorstw. Jakie technologie chmurowe wybrać, aby osiągnąć pełną zgodność prawną i utrzymać ścisłą kontrolę nad danymi?
Przed jakimi wyzwaniami prawnymi i operacyjnymi stają współczesne firmy?
Regulacje ustalane przez Unię Europejską
Duże przedsiębiorstwa muszą funkcjonować w bardzo wymagającym środowisku prawnym. Standardy wyznaczone przez RODO nałożyły na firmy restrykcyjne obowiązki w zakresie transparentności i bezpieczeństwa przetwarzania danych osobowych. Szczególne wyzwania stoją przed sektorem finansowym, zdrowotnym i bankowością. Tam procedury zarządzania informacją podlegają dodatkowym nadzorom instytucjonalnym.
Sytuację zaostrzają nowe regulacje unijne, w tym dyrektywy NIS 2 oraz DORA. Wprowadzają one dodatkowe kryteria w zakresie odporności cyfrowej, raportowania incydentów oraz odpowiedzialności za całe łańcuchy dostaw IT. Dla menedżerów i dyrektorów IT oznacza to drobiazgową weryfikację każdego podmiotu przetwarzającego firmowe dane pod kątem pełnej zgodności z nowym stanem prawnym.
Korzystanie z infrastruktury w krajach o niepewnej sytuacji geopolitycznej
Korzystanie z usług tzw. hyperscalerów, czyli globalnych dostawców chmurowych, niesie za sobą wyzwania natury prawno-politycznej. Wiele z tych korporacji podlega jurysdykcji państw zlokalizowanych poza obszarem Unii Europejskiej. Przykładem jest amerykańska regulacja Cloud Act, która w określonych sytuacjach daje tamtejszym organom ścigania prawo do żądania dostępu do danych przechowywanych przez amerykańskie firmy, nawet jeśli fizyczne serwery znajdują się na terenie Europy.
Dla dużego biznesu taki stan rzeczy generuje ryzyko geopolityczne. Nagłe napięcia handlowe, zmiany w międzynarodowych traktatach o przepływie danych albo nieprzewidziane decyzje polityczne mogą wpłynąć na stabilność operacyjną przedsiębiorstwa. Utrata kontroli nad miejscem i prawem, jakiemu podlegają firmowe zasoby, staje się realnym zagrożeniem dla ciągłości działania biznesu.
Dane jako cel cyberataków
Informacje strategiczne dla firmy, takie jak patenty, algorytmy oraz unikalne bazy danych są dziś celem zorganizowanych grup cyberprzestępców. Ataki ransomware nie są incydentami losowymi, tylko stałym elementem, który powinien być wpisany w ryzyko biznesowe.
Konsekwencje ewentualnego wycieku lub zablokowania dostępu do danych zazwyczaj są drastyczne. Poza dotkliwymi karami finansowymi nakładanymi przez organy regulacyjne firmy mierzą się z trudnymi do odwrócenia stratami wizerunkowymi. Utrata zaufania ze strony partnerów biznesowych i klientów bezpośrednio przekłada się na spadek pozycji rynkowej oraz przychodów.
Kiedy infrastruktura IT jest suwerenna?
Fizyczna lokalizacja centrów danych
Z perspektywy europejskiego prawa najbezpieczniejszym i najprostszym rozwiązaniem jest wybór centrów danych zlokalizowanych na terenie kraju prowadzenia działalności lub w innym państwie w granicach Unii Europejskiej. Daje to gwarancję jednolitych przepisów i eliminuje ryzyko konfliktów prawnych.
Istotne jest także fizyczne oraz geograficzne bezpieczeństwo samych obiektów. Standardem dla krytycznych zasobów stają się centra danych posiadające certyfikację Tier III lub Tier IV. Obiekty z taką klasyfikacją mają najwyższy stopień nadmiarowości systemów zasilania, chłodzenia oraz wielopoziomowej ochrony fizycznej. Ryzyko przerw w dostępie do systemów jest zmniejszone do ułamków procenta w skali roku.
Transparentność prawna
Suwerenność cyfrowa wymaga jasnych i przejrzystych zapisów umownych. Firma musi być pewna, że ma wyłączne prawo do zarządzania swoimi zasobami, a dostawca infrastruktury pełni jedynie funkcję techniczną i nie ma wglądu w strukturę przesyłanych informacji.
W dobie masowego wdrażania rozwiązań opartych na sztucznej inteligencji duże wyzwanie stanowi ochrona własności intelektualnej. Zaufany partner technologiczny musi zagwarantować, że dane klienta nie zostaną wykorzystane do trenowania zewnętrznych modeli AI ani przetworzone w żaden inny sposób bez wyraźnej zgody organizacji.
Jakie modele przechowywania danych spełniają potrzeby dużych firm?
Chmura prywatna
W modelu chmury prywatnej zasoby sprzętowe i sieciowe są dedykowane wyłącznie jednej organizacji. Środowisko jest całkowicie odizolowane od innych użytkowników, co eliminuje występowanie efektu tzw. hałaśliwego sąsiada (wzajemnego obniżania wydajności).
Chmura prywatna umożliwia także całkowite dostosowanie architektury. Zespoły IT mogą precyzyjnie dostosować systemy operacyjne, warstwy zabezpieczeń oraz narzędzia monitorujące do wewnętrznych wytycznych bezpieczeństwa firmy. W standardowych chmurach publicznych taka opcja jest zazwyczaj niemożliwa.
Model hybrydowy
Wiele dużych firm decyduje się na wdrożenie modelu hybrydowego, ponieważ jest on postrzegany jako najbardziej efektywny ekonomicznie i operacyjnie. W modelu hybrydowym najcenniejsze dane, jak np. systemy transakcyjne, strategiczne bazy danych i własność intelektualna, pozostają w zabezpieczonej chmurze prywatnej lub lokalnej. Natomiast operacje o niższym priorytecie (np. środowiska testowe, publiczne aplikacje webowe) mogą być uruchamiane w chmurze publicznej. Taki kompromis pozwala zachować najwyższy poziom bezpieczeństwa na niezbędnych obszarach, jednocześnie korzystając z elastyczności chmury.
Kolokacja serwerów
Alternatywą dla budowy własnych obiektów jest kolokacja. Polega ona na umieszczeniu własnego sprzętu serwerowego w zewnętrznym centrum danych. Firma zachowuje pełną kontrolę nad warstwą sprzętową, jednocześnie mając dostęp do profesjonalnej infrastruktury ochronnej.
Chcesz częściej widzieć treści BNBN w Google?Dodaj nas do ulubionych źródełW połączeniu z modelem usług zarządzanych (ang. managed services), ciężar codziennego utrzymania systemów zostaje przeniesiony na wyspecjalizowanego dostawcę ICT. Zewnętrzni inżynierowie odpowiadają za monitoring 24/7/365, administrację sieciową oraz utrzymanie ciągłości działania. Firmowy dział IT może się w całości skoncentrować na projektach rozwijanych wewnątrz organizacji.
Jak wybrać zaufanego partnera do zarządzania kluczowymi zasobami?
SLA i certyfikaty zgodności
W procesie wyboru partnera technologicznego najważniejszym elementem weryfikacji nie powinna być cena, tylko posiadanie certyfikatów zgodności. Absolutnym minimum w obszarze bezpieczeństwa jest zgodność dostawcy z normą ISO/IEC 27001 oraz normami powiązanymi z ochroną danych w chmurze.
Równie istotna jest konstrukcja umowy SLA. Powinna ona w sposób jednoznaczny i transparentny określać parametry dostępności usług, czas reakcji na zgłoszenia oraz odpowiedzialność finansową dostawcy za ewentualne niedostępności systemów.
Kompleksowy wachlarz usług
W procesie cyfryzacji dużego biznesu istotnym krokiem jest wybór partnera, który posiada w swoim portfolio kompetencje telekomunikacyjne (bezpieczna transmisja danych), chmurowe (zróżnicowane modele przechowywania) oraz zaawansowane usługi cyberbezpieczeństwa (SOC – Security Operations Center). Współpraca z firmą o holistycznym podejściu eliminuje m.in. problem rozproszonej odpowiedzialności, który często pojawia się przy współpracy z wieloma mniejszymi podmiotami.
Podsumowanie
Cyfrowa suwerenność może brzmieć jak bariera, która ogranicza innowacyjność. Jednak bez niej niemożliwe jest zapewnienie bezpiecznego i w pełni kontrolowanego środowiska dla kluczowych danych.
Warto podejść świadomie do wyboru modeli chmurowych oraz centrów danych, ponieważ to właśnie te inwestycje budują trwałą przewagę na rynku oraz wzmacniają zaufanie klientów i partnerów biznesowych.