Ενότητα 2 · 2.4
Σύγκριση παρόχων χωρίς να αφήνεστε να σας παρασύρουν
Ενότητα 2: Τι είναι πραγματικά ένα ευρωπαϊκό cloud; · Χρόνος ανάγνωσης: 11 λεπτά
Στόχος μαθήματος: Μετά από αυτό το μάθημα θα μπορείτε, με τη δική σας λίστα απαιτήσεων, να συγκρίνετε ευρωπαίους παρόχους ουσιαστικά, να αξιολογείτε την αξία πιστοποιήσεων και να επιλέγετε ανάμεσα σε μια all-in-one υπηρεσία, μεμονωμένες υπηρεσίες ή δικό σας hosting.
Βασικές έννοιες: λίστα απαιτήσεων (πρέπει, καλό θα ήταν, μπορεί), ISO/IEC 27001, πεδίο εφαρμογής (scope), ISO/IEC 27701, NEN 7510, BSI C5, SecNumCloud, SOC 2, SLA, διαθεσιμότητα, γλώσσα υποστήριξης, δοκιμαστική περίοδος, συστάσεις, all-in-one, μεμονωμένες υπηρεσίες, δικό σας hosting
Πρώτα οι απαιτήσεις σας, μετά οι πάροχοι
Όποιος ξεκινά εξετάζοντας τις ιστοσελίδες παρόχων, αφήνεται να επηρεαστεί από αυτό που εκείνοι θεωρούν πιο εντυπωσιακό: έναν μεγάλο αριθμό αποθηκευτικού χώρου, ένα κουμπί AI, ένα κομψό λογότυπο. Ξεκινήστε λοιπόν από τον εαυτό σας. Ο Αρτοποιείο Κόκκος κατέγραψε πρώτα τι πραγματικά χρειάζεται και μετά άρχισε να ψάχνει.
Χρησιμοποιήστε γι' αυτό τρία επίπεδα:
- Πρέπει: χωρίς αυτό, ο πάροχος αποκλείεται. Για παράδειγμα: δεδομένα και αντίγραφα ασφαλείας στον ΕΟΧ, ευρωπαίος ιδιοκτήτης, σύμβαση επεξεργασίας δεδομένων με λίστα υπεκτελούντων την επεξεργασία, email στο δικό σας domain, IMAP και CalDAV, έλεγχος ταυτότητας δύο παραγόντων.
- Καλό θα ήταν: σημαντικό, αλλά μπορείτε να το παρακάμψετε. Για παράδειγμα: online πακέτο γραφείου στον browser, υποστήριξη στα ελληνικά, εφαρμογή κινητού για φωτογραφίες.
- Μπορεί: ωραίο να το έχετε. Για παράδειγμα: βιντεοκλήσεις, φόρμες, βοήθεια AI.
Κρατήστε τη λίστα των «πρέπει» σύντομη. Μια λίστα με τριάντα σημεία «πρέπει» δεν την πληροί κανείς, και τότε καταλήγετε και πάλι να επιλέγετε με το ένστικτο.
Τρία είδη προσφοράς
Οι ευρωπαϊκές υπηρεσίες cloud έρχονται χονδρικά σε τρεις μορφές.
| Μορφή | Τι είναι | Πλεονεκτήματα | Προσέξτε |
|---|---|---|---|
| All-in-one | Ένας πάροχος παρέχει μαζί email, αποθήκευση, ημερολόγιο, έγγραφα και chat, όπως οι σουίτες μεγάλων αμερικανικών παρόχων | Μία σύμβαση, μία σύνδεση, όλα λειτουργούν μαζί | Βρίσκεστε και πάλι σε έναν μόνο πάροχο· ελέγξτε ιδιαίτερα καλά τις δυνατότητες εξαγωγής |
| Μεμονωμένες υπηρεσίες | Email σε έναν πάροχο, αρχεία και ημερολόγιο σε άλλον, chat σε τρίτο | Η καλύτερη επιλογή για κάθε κομμάτι ξεχωριστά· λιγότερη εξάρτηση | Περισσότερες συμβάσεις, περισσότερες συνδέσεις, περισσότερη διαχείριση |
| Δικό σας hosting | Εκτελείτε λογισμικό ανοικτού κώδικα (για παράδειγμα Nextcloud) σε δικό σας server ή σε έναν ενοικιαζόμενο server | Μέγιστος έλεγχος | Εσείς κάνετε τις ενημερώσεις, την ασφάλεια και τα αντίγραφα ασφαλείας· αυτό απαιτεί γνώση και χρόνο, κάθε εβδομάδα |
Πολλοί μικροί οργανισμοί επιλέγουν μια μέση οδό: μια διαχειριζόμενη υπηρεσία πάνω σε λογισμικό ανοικτού κώδικα. Τότε έναν server τον διαχειρίζεται ο πάροχος, αλλά με το ίδιο λογισμικό μπορείτε να μεταβείτε σε άλλον πάροχο ή σε δικό σας hosting αν αυτό χρειαστεί κάποτε. Το δικό σας hosting είναι καλή ιδέα μόνο αν κάποιος διαθέτει σταθερά χρόνο γι' αυτό και ξέρει τι κάνει. Ένα Nextcloud που δεν λαμβάνει ενημερώσεις για έναν χρόνο είναι λιγότερο ασφαλές από μια καλά διαχειριζόμενη υπηρεσία, ευρωπαϊκή ή όχι.
Πιστοποιήσεις: τι λένε και τι όχι
Οι πάροχοι αναφέρουν ευχαρίστως πιστοποιήσεις. Είναι χρήσιμες, αλλά πρέπει να γνωρίζετε τι σημαίνουν.
| Πιστοποίηση | Τι δηλώνει | Τι να προσέξετε |
|---|---|---|
| ISO/IEC 27001 | Η εταιρεία διαθέτει σύστημα διαχείρισης ασφάλειας πληροφοριών: καταγραφή κινδύνων, μέτρα, ετήσιος έλεγχος από διαπιστευμένο φορέα πιστοποίησης | Το πεδίο εφαρμογής (scope): ισχύει για την υπηρεσία που χρησιμοποιείτε εσείς ή μόνο για το data center ή ένα τμήμα; Είναι το πιστοποιητικό έγκυρο και από διαπιστευμένο φορέα; |
| ISO/IEC 27701 | Επέκταση του 27001 για τη διαχείριση της ιδιωτικότητας | Οι ίδιες ερωτήσεις σχετικά με το πεδίο εφαρμογής |
| NEN 7510 | Ολλανδικό πρότυπο για την ασφάλεια πληροφοριών στον τομέα της υγείας | Σχετικό μόνο αν επεξεργάζεστε δεδομένα υγείας· τότε συχνά αποτελεί απαίτηση |
| BSI C5 | Γερμανικός κατάλογος απαιτήσεων για υπηρεσίες cloud από το Bundesamt für Sicherheit in der Informationstechnik | Έκθεση με ευρήματα, όχι απλό «πέρασε» |
| SecNumCloud | Γαλλική πιστοποίηση της ANSSI για υπηρεσίες cloud, με απαιτήσεις κατά της πρόσβασης βάσει νόμων εκτός ΕΕ | Αυστηρή· λέει πολλά για τη νομική ανεξαρτησία |
| SOC 2 | Αμερικανική έκθεση ελέγχου (AICPA) σχετικά με μέτρα ασφάλειας | Δεν είναι πιστοποιητικό αλλά έκθεση· ζητήστε την έκθεση, όχι μόνο το λογότυπο |
Δύο παγίδες. Πρώτον: το data center είναι πιστοποιημένο, ο ίδιος ο πάροχος όχι. Τότε το πιστοποιητικό λέει κάτι για ρεύμα, ψύξη και σημεία ελέγχου πρόσβασης, αλλά τίποτα για το ποιος έχει πρόσβαση στα δικά σας δεδομένα. Δεύτερον: μια πιστοποίηση δεν απαντά στις πέντε ερωτήσεις του μαθήματος 2.1. Μια αμερικανική υπηρεσία μπορεί να έχει ISO 27001 και παρόλα αυτά να υπάγεται στον CLOUD Act.
Μικρότεροι πάροχοι ενίοτε δεν διαθέτουν πιστοποίηση, επειδή κοστίζει πολύ. Αυτό δεν τους κάνει μη ασφαλείς. Ρωτήστε τότε συγκεκριμένα ποια μέτρα λαμβάνουν: έλεγχος ταυτότητας δύο παραγόντων για διαχειριστές, κρυπτογράφηση, αντίγραφα ασφαλείας σε άλλη τοποθεσία, πολιτική ενημερώσεων, διαδικασία αναφοράς παραβιάσεων δεδομένων.
Πώς να διαβάσετε το SLA
Ένα SLA (service level agreement) περιγράφει τι υπόσχεται ένας πάροχος: διαθεσιμότητα, χρόνο απόκρισης της υποστήριξης, παράθυρα συντήρησης και τι λαμβάνετε αν δεν τηρήσει την υπόσχεσή του.
Μετατρέπετε πάντα τη διαθεσιμότητα σε χρόνο. 99,9% τον μήνα ακούγεται σχεδόν τέλειο, αλλά σημαίνει ότι η υπηρεσία επιτρέπεται να είναι μη προσβάσιμη περίπου 43 λεπτά τον μήνα. Στο 99% αυτό είναι περίπου επτά ώρες. Δείτε επίσης αν η προγραμματισμένη συντήρηση προσμετράται, και ποια είναι η αποζημίωση: συχνά μια μικρή πίστωση, όχι αποζημίωση της ζημιάς σας.
Διαβάστε επίσης τι *δεν* αναφέρεται. Σημαντικά σημεία που ανήκουν σε ένα SLA ή στους όρους:
- πόσο καιρό και πού διατηρούνται τα αντίγραφα ασφαλείας, και αν μπορείτε να επαναφέρετε εσείς οι ίδιοι κάτι·
- πόσο γρήγορα επιδιορθώνεται ένα κενό ασφαλείας·
- πώς ενημερώνεστε σε περίπτωση διακοπής (σελίδα κατάστασης, email)·
- τι συμβαίνει με τα δεδομένα σας μετά την καταγγελία (μαθήματα 2.3 και 8.2).
Δοκιμάστε, ρωτήστε, ελέγξτε
Το χαρτί είναι υπομονετικό. Γι' αυτό μην συγκρίνετε μόνο βάσει της ιστοσελίδας:
- Πάρτε μια δοκιμαστική περίοδο ή ένα μικρό πακέτο, και τοποθετήστε εκεί ένα πραγματικό δοκιμαστικό σύνολο: μερικά γραμματοκιβώτια, ένα ημερολόγιο με επαναλαμβανόμενα ραντεβού, έναν φάκελο με τα πιο δύσκολα έγγραφά σας (μάθημα 6.5).
- Κάντε στην υποστήριξη μια πραγματική ερώτηση, για παράδειγμα «Πώς εξάγω τα πάντα αν φύγω;» Προσέξτε την ταχύτητα, τη γλώσσα και αν η απάντηση είναι σωστή.
- Ζητήστε τα έγγραφα: σύμβαση επεξεργασίας δεδομένων, λίστα υπεκτελούντων την επεξεργασία, SLA, πιστοποιητικά με πεδίο εφαρμογής.
- Ζητήστε συστάσεις από έναν οργανισμό που μοιάζει με τον δικό σας, και καλέστε τον.
- Κάντε μια δοκιμή εξαγωγής πριν υπογράψετε.
Ένας πίνακας σύγκρισης που λειτουργεί
Βάλτε τους παρόχους σε στήλες και τις απαιτήσεις σας σε γραμμές. Συμπληρώστε σε κάθε κελί ένα γεγονός με την πηγή του, όχι μια εντύπωση. Παράδειγμα μερικών γραμμών για το αρτοποιείο:
| Απαίτηση | Επίπεδο | Πάροχος A | Πάροχος B | Πάροχος C |
|---|---|---|---|---|
| Ευρωπαίος ιδιοκτήτης | πρέπει | ναι (εμπορικό μητρώο) | όχι (μητρική στις ΗΠΑ) | ναι (ετήσια έκθεση) |
| Δεδομένα και αντίγραφα ασφαλείας στον ΕΟΧ | πρέπει | ναι (ΣΕΔ παράρτημα 1) | ναι | ναι, αντίγραφο ασφαλείας στην Ελβετία (επαρκής προστασία) |
| IMAP, CalDAV, CardDAV | πρέπει | ναι (δοκιμασμένο) | μόνο δική του εφαρμογή | ναι (δοκιμασμένο) |
| Εξαγωγή όλων σε τυπικές μορφές | πρέπει | ναι (δοκιμασμένο) | εν μέρει | ναι |
| Online πακέτο γραφείου | καλό θα ήταν | ναι | ναι | όχι |
| Υποστήριξη στα ελληνικά | καλό θα ήταν | ναι | όχι | ναι |
Ο πάροχος B αποκλείεται λόγω δύο απαιτήσεων «πρέπει», όσο ωραία κι αν είναι τα υπόλοιπα. Ανάμεσα στον A και τον C αποφασίζετε βάσει των απαιτήσεων «καλό θα ήταν».
Στην πράξη: έτσι μοιάζει σε έναν πάροχο
Ένα Nextcloud της WebOké αποτελεί παράδειγμα διαχειριζόμενης υπηρεσίας πάνω σε λογισμικό ανοικτού κώδικα: μπορείτε να επιλέξετε ανάμεσα σε κοινόχρηστο περιβάλλον και δικό σας server ανά πακέτο, και το λογισμικό είναι το ίδιο Nextcloud που μπορείτε να χρησιμοποιήσετε και σε άλλους παρόχους ή μόνοι σας. Άλλοι ευρωπαίοι πάροχοι προσφέρουν παρόμοιες μορφές: all-in-one υπηρεσίες με email, αποθήκευση και ημερολόγιο (για παράδειγμα mailbox.org, Infomaniak, Proton ή IONOS), μεμονωμένες υπηρεσίες email (για παράδειγμα Posteo ή Tuta) και servers για δικό σας hosting (για παράδειγμα στη Hetzner, OVHcloud, Scaleway ή STACKIT). Αυτό το μάθημα δεν επιλέγει για εσάς: χρησιμοποιήστε τη λίστα απαιτήσεων.
Σύνοψη
- Ξεκινήστε από τις δικές σας απαιτήσεις, χωρισμένες σε πρέπει, καλό θα ήταν και μπορεί. Κρατήστε τη λίστα των «πρέπει» σύντομη.
- Επιλέξτε συνειδητά ανάμεσα σε all-in-one, μεμονωμένες υπηρεσίες και δικό σας hosting· το δικό σας hosting απαιτεί σταθερά γνώση και χρόνο.
- Μια πιστοποίηση λέει κάτι κυρίως εντός του πεδίου εφαρμογής της, και δεν απαντά στο ερώτημα της ιδιοκτησίας.
- Μετατρέψτε τη διαθεσιμότητα σε χρόνο και διαβάστε τι δεν αναφέρεται στο SLA.
- Δοκιμάστε με μια δοκιμαστική περίοδο, μια πραγματική ερώτηση στην υποστήριξη και μια δοκιμή εξαγωγής πριν υπογράψετε.
Κουίζ
Άσκηση
Άσκηση E2.4: Η δική σας λίστα απαιτήσεων και σύγκριση. Φτιάξτε μια λίστα απαιτήσεων με τουλάχιστον πέντε απαιτήσεις «πρέπει» και τρεις απαιτήσεις «καλό θα ήταν». Συγκρίνετε με αυτές δύο ή τρεις παρόχους σε έναν πίνακα όπως παραπάνω, με ένα γεγονός και μια πηγή σε κάθε κελί. Εξηγήστε σε τρεις προτάσεις ποιον πάροχο θα επιλέγατε και γιατί.
Άσκηση E2.4: Η δική σας λίστα απαιτήσεων και σύγκριση
Καταρτίστε μια λίστα απαιτήσεων και συγκρίνετε δύο ή τρεις παρόχους (στήλες: απαίτηση, επίπεδο υποχρεωτικό/επιθυμητό/προαιρετικό, πάροχος 1, 2, 3).
Τα τικ και οι σημειώσεις σας παραμένουν μόνο σε αυτό το πρόγραμμα περιήγησης· δεν τα στέλνουμε πουθενά. Αν έχετε εγγραφεί, αποθηκεύουμε στο Τα μαθήματά μου μόνο ότι έχετε ολοκληρώσει την άσκηση.
Για περαιτέρω μελέτη
Τα βήματα σε αυτά τα άρθρα ισχύουν για τις υπηρεσίες της WebOké· σε άλλους παρόχους λειτουργεί με παρόμοιο τρόπο.
- Οδηγός Nextcloud 1.4: Nextcloud Free, Personal, Family ή Max: διαφορές και αλλαγή πακέτου
- Εγχειρίδιο WebOké 2.2: Επιλογή πακέτου hosting (webhosting, πακέτο email, Nextcloud, AI Builder)
- Οδηγός Nextcloud 6.6: Αντίγραφα ασφαλείας στη WebOké: τι διατηρούμε εμείς και τι μπορείτε να κάνετε εσείς
- ISO/IEC 27001:2022, Information security management systems (iso.org, πρότυπο 27001)
- BSI C5 (Cloud Computing Compliance Criteria Catalogue): https://www.bsi.bund.de/EN/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/Kriterienkatalog-C5/kriterienkatalog-c5_node.html