Jak porovnávat poskytovatele, aniž byste se nechali zlákat
Modul 2: Co evropský cloud skutečně znamená? · Doba čtení: 11 minut
Cíl lekce: Po této lekci dokážete pomocí vlastního seznamu požadavků obsahově porovnat evropské poskytovatele, odhadnout hodnotu certifikátů a vybrat mezi all-in-one službou, samostatnými službami nebo vlastním hostováním.
Klíčové pojmy: seznam požadavků (musí, mělo by, může), ISO/IEC 27001, rozsah působnosti (scope), ISO/IEC 27701, NEN 7510, BSI C5, SecNumCloud, SOC 2, SLA, dostupnost, jazyk podpory, zkušební období, reference, all-in-one, samostatné služby, vlastní hostování
Nejprve Vaše požadavky, pak poskytovatelé
Kdo začne prohlížením webových stránek poskytovatelů, nechá se vést tím, co oni sami prezentují jako nejlepší: velké číslo u úložiště, tlačítko s AI, elegantní logo. Začněte proto u sebe. Bakkerij De Korrel si nejprve sepsala, co skutečně potřebuje, a teprve poté se začala dívat po nabídkách.
Použijte k tomu tři úrovně:
- Musí: bez tohoto poskytovatel vypadává ze hry. Například: údaje a zálohy v EHP, evropský vlastník, zpracovatelská smlouva (čl. 28 GDPR) se seznamem subzpracovatelů, pošta na vlastní doméně, IMAP a CalDAV, dvoufázové ověření.
- Mělo by: důležité, ale dá se to obejít. Například: online kancelářský balík v prohlížeči, podpora v češtině, mobilní aplikace pro fotografie.
- Může: příjemný bonus. Například: videohovory, formuláře, AI pomoc.
Udržujte seznam „musí“ krátký. Seznam s třiceti body nikdo nesplní, a nakonec stejně rozhodnete podle pocitu.
Tři druhy nabídky
Evropské cloudové služby mají zhruba tři podoby.
| Forma | Co to je | Výhody | Na co si dát pozor |
|---|---|---|---|
| All-in-one | Jeden poskytovatel dodává poštu, úložiště, kalendář, dokumenty a chat dohromady, podobně jako sady velkých amerických poskytovatelů | Jedna smlouva, jedno přihlášení, vše funguje společně | Opět jste závislí na jediné straně; o to pečlivěji zkontrolujte možnosti exportu |
| Samostatné služby | Pošta u jednoho poskytovatele, soubory a kalendář u jiného, chat u třetího | U každé části nejlepší volba; menší závislost | Více smluv, více přihlášení, více správy |
| Vlastní hostování | Provozujete open source software (například Nextcloud) na vlastním nebo pronajatém serveru | Maximální kontrola | Aktualizace, zabezpečení a zálohy děláte Vy sami; to vyžaduje znalosti a čas, každý týden |
Mnoho malých organizací volí střední cestu: spravovanou službu postavenou na open source softwaru. Server pak spravuje poskytovatel, ale se stejným softwarem můžete kdykoli přejít k jinému poskytovateli nebo na vlastní hostování, pokud to bude potřeba. Vlastní hostování je dobrý nápad jen tehdy, pokud se mu někdo soustavně věnuje a ví, co dělá. Nextcloud, který rok nedostává aktualizace, je méně bezpečný než dobře spravovaná služba, ať už evropská, nebo ne.
Certifikáty: co říkají a co ne
Poskytovatelé rádi zmiňují certifikace. Jsou užitečné, ale je třeba vědět, co vlastně znamenají.
| Certifikát | Co vypovídá | Na co se zaměřit |
|---|---|---|
| ISO/IEC 27001 | Firma má zaveden systém řízení bezpečnosti informací: zmapovaná rizika, opatření, roční kontrola certifikační institucí | Rozsah působnosti (scope): platí pro službu, kterou odebíráte Vy, nebo jen pro datacentrum či jedno oddělení? Je certifikát platný a od akreditované instituce? |
| ISO/IEC 27701 | Rozšíření normy 27001 pro řízení ochrany soukromí | Stejné otázky ohledně rozsahu působnosti |
| NEN 7510 | Nizozemská norma pro bezpečnost informací ve zdravotnictví | Relevantní jen pokud zpracováváte zdravotní údaje; pak bývá požadavkem |
| BSI C5 | Německý katalog požadavků pro cloudové služby od Bundesamt für Sicherheit in der Informationstechnik | Zpráva se zjištěními, žádné jednoduché „splněno“ |
| SecNumCloud | Francouzská kvalifikace od ANSSI pro cloudové služby, s požadavky proti přístupu podle zákonů mimo EU | Přísná; mnohé vypovídá o právní nezávislosti |
| SOC 2 | Americká auditní zpráva (AICPA) o bezpečnostních opatřeních | Není to certifikát, ale zpráva; vyžádejte si zprávu, ne jen logo |
Dvě past, na které si dát pozor. Zaprvé: certifikováno je datacentrum, ale sám poskytovatel ne. Pak certifikát vypovídá o napájení, chlazení a vstupních branách, ale nic o tom, kdo se dostane k Vašim údajům. Zadruhé: certifikát není odpovědí na pět otázek z lekce 2.1. Americká služba může mít ISO 27001, a přesto spadat pod CLOUD Act.
Malí poskytovatelé někdy certifikaci nemají, protože je nákladná. To z nich nedělá nebezpečné služby. Zeptejte se tedy konkrétně, jaká opatření přijímají: dvoufázové ověření pro správce, šifrování, zálohy na jiném místě, politika aktualizací, postup hlášení při porušení zabezpečení osobních údajů.
Čtení SLA
SLA (service level agreement) popisuje, co poskytovatel slibuje: dostupnost, reakční dobu podpory, okna údržby a co dostanete, pokud svůj slib nedodrží.
Dostupnost si vždy přepočítejte na čas. 99,9 % měsíčně zní téměř dokonale, ale znamená to, že služba smí být nedostupná bezmála 43 minut za měsíc. Při 99 % je to přes sedm hodin. Zkontrolujte také, zda se do toho počítá plánovaná údržba, a jaká je kompenzace: často jen malý kredit, žádná náhrada Vaší škody.
Přečtěte si i to, co tam chybí. Důležité body, které patří do SLA nebo do podmínek:
- jak dlouho a kde se uchovávají zálohy a zda si sami můžete něco obnovit;
- jak rychle se řeší bezpečnostní mezera;
- jak budete informováni při výpadku (stavová stránka, e-mail);
- co se stane s Vašimi údaji po ukončení smlouvy (lekce 2.3 a 8.2).
Vyzkoušet, zeptat se, otestovat
Papír je trpělivý. Neporovnávejte tedy jen podle webu:
- Vezměte si zkušební období nebo malý balíček a vložte do něj skutečnou testovací sadu: několik schránek, kalendář s opakujícími se schůzkami, složku s Vašimi nejobtížnějšími dokumenty (lekce 6.5).
- Položte podpoře skutečnou otázku, například „Jak exportuji všechno, když budu odcházet?“ Sledujte rychlost, jazyk a zda odpověď odpovídá skutečnosti.
- Vyžádejte si dokumenty: zpracovatelskou smlouvu, seznam subzpracovatelů, SLA, certifikáty s uvedeným rozsahem působnosti.
- Vyžádejte si reference od organizace podobné té Vaší a zavolejte jí.
- Proveďte exportní test ještě předtím, než podepíšete.
Srovnávací tabulka, která funguje
Poskytovatele umístěte do sloupců a Vaše požadavky do řádků. Do každé buňky vyplňte fakt se zdrojem, ne dojem. Příklad několika řádků pro pekárnu:
| Požadavek | Úroveň | Poskytovatel A | Poskytovatel B | Poskytovatel C |
|---|---|---|---|---|
| Evropský vlastník | musí | ano (obchodní rejstřík) | ne (mateřská firma v USA) | ano (výroční zpráva) |
| Údaje a zálohy v EHP | musí | ano (zpracovatelská smlouva, příloha 1) | ano | ano, záloha ve Švýcarsku (odpovídající úroveň ochrany) |
| IMAP, CalDAV, CardDAV | musí | ano (otestováno) | jen vlastní aplikace | ano (otestováno) |
| Export všeho ve standardních formátech | musí | ano (otestováno) | částečně | ano |
| Online kancelářský balík | mělo by | ano | ano | ne |
| Podpora v češtině | mělo by | ano | ne | ano |
Poskytovatel B vypadává kvůli dvěma musí-požadavkům, bez ohledu na to, jak dobrý je ve zbytku. Mezi A a C rozhodnete podle mělo by-požadavků.
V praxi: jak to vypadá u jednoho poskytovatele
WebOké Nextcloud je příkladem spravované služby postavené na open source softwaru: můžete si vybrat mezi sdíleným prostředím a vlastním serverem podle balíčku, a software je stejný Nextcloud, jaký můžete provozovat i u jiných poskytovatelů nebo sami. Jiní evropští poskytovatelé nabízejí srovnatelné formy: all-in-one služby s poštou, úložištěm a kalendářem (například mailbox.org, Infomaniak, Proton nebo IONOS), samostatné mailové služby (například Posteo nebo Tuta) a servery pro vlastní hostování (například u Hetzner, OVHcloud, Scaleway nebo STACKIT). Tento kurz za Vás nerozhoduje: použijte svůj seznam požadavků.
Shrnutí
- Začněte vlastními požadavky rozdělenými na musí, mělo by a může. Seznam musí-požadavků udržujte krátký.
- Vědomě si vyberte mezi all-in-one, samostatnými službami a vlastním hostováním; vlastní hostování trvale vyžaduje znalosti a čas.
- Certifikát vypovídá především v rámci svého rozsahu působnosti a neodpovídá na otázku vlastnictví.
- Dostupnost si přepočítejte na čas a přečtěte si, co v SLA chybí.
- Otestujte zkušební období, skutečný dotaz na podporu a exportní test ještě předtím, než podepíšete.
Kvíz
Úkol
Úkol E2.4: Váš vlastní seznam požadavků a srovnání. Vytvořte seznam požadavků s nejméně pěti musí-požadavky a třemi mělo by-požadavky. Pomocí něj porovnejte dva nebo tři poskytovatele v tabulce podobné té výše, s uvedením faktu a zdroje v každé buňce. Ve třech větách vysvětlete, kterého poskytovatele byste zvolili a proč.
Úkol E2.4: Váš vlastní seznam požadavků a srovnání
Sestavte seznam požadavků a porovnejte dva nebo tři poskytovatele (sloupce: požadavek, úroveň musí/mělo by/může, poskytovatel 1, 2, 3).
Vaše zaškrtnutí a poznámky zůstávají pouze v tomto prohlížeči; nikam je neposíláme. Pokud jste přihlášeni, ukládáme v sekci Moje kurzy pouze to, že jste úkol splnili.
Doporučená literatura
Kroky v těchto článcích platí pro služby WebOké; u jiných poskytovatelů to funguje obdobně.
- Příručka k Nextcloud 1.4: Nextcloud Free, Personal, Family nebo Max: rozdíly a přechod
- Příručka WebOké 2.2: Výběr hostingového balíčku (webhosting, e-mailový balíček, Nextcloud, AI Builder)
- Příručka k Nextcloud 6.6: Zálohování u WebOké: co uchováváme my a co můžete udělat sami
- ISO/IEC 27001:2022, Information security management systems (iso.org, standaard 27001)
- BSI C5 (Cloud Computing Compliance Criteria Catalogue): https://www.bsi.bund.de/EN/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/Kriterienkatalog-C5/kriterienkatalog-c5_node.html