Moduuli 2 · 2.4
Vertaile palveluntarjoajia antamatta houkutella itseäsi
Moduuli 2: Mitä eurooppalainen pilvipalvelu oikeasti tarkoittaa? · Lukuaika: 11 minuuttia
Oppimistavoite: Tämän oppitunnin jälkeen osaat vertailla eurooppalaisia palveluntarjoajia sisällöllisesti oman vaatimuslistasi avulla, arvioida sertifikaattien todellista arvoa ja valita alles-in-één-palvelun, erillisten palvelujen ja itse ylläpidon välillä.
Keskeiset käsitteet: vaatimuslista (pakollinen, toivottava, kiva olla), ISO/IEC 27001, toepassingsgebied (soveltamisala), ISO/IEC 27701, NEN 7510, BSI C5, SecNumCloud, SOC 2, SLA, saatavuus, tukikieli, kokeilujakso, referenssit, alles-in-één, erilliset palvelut, itse ylläpito
Ensin omat vaatimukset, sitten palveluntarjoajat
Joka aloittaa vertailun katsomalla palveluntarjoajien verkkosivuja, antaa niiden ohjata itseään: suuri tallennustilan luku, tekoälypainike, siisti logo. Aloita siis itsestäsi. Bakkerij De Korrel kirjoitti ensin ylös, mitä se todella tarvitsee, ja vasta sen jälkeen alkoi katsoa vaihtoehtoja.
Käytä tähän kolmea tasoa:
- Pakollinen: ilman tätä palveluntarjoaja putoaa pois. Esimerkiksi: tiedot ja varmuuskopiot ETA-alueella, eurooppalainen omistaja, tietojenkäsittelysopimus alihankkijaluetteloineen, sähköposti omalla verkkotunnuksella, IMAP ja CalDAV, kaksivaiheinen tunnistautuminen.
- Toivottava: tärkeä, mutta sen puutetta voi kiertää. Esimerkiksi: verkkoselaimessa toimiva toimistopaketti, tuki suomeksi, puhelinsovellus kuville.
- Kiva olla: mukava lisä. Esimerkiksi: videopuhelut, lomakkeet, tekoälyavustus.
Pidä pakollisten vaatimusten lista lyhyenä. Kolmekymmentä kohtaa sisältävää listaa ei täytä kukaan, ja silloin päätyy silti valitsemaan fiiliksen perusteella.
Kolme tarjonnan muotoa
Eurooppalaiset pilvipalvelut jakautuvat karkeasti kolmeen muotoon.
| Muoto | Mitä se on | Edut | Huomioitavaa |
|---|---|---|---|
| Alles-in-één | Yksi palveluntarjoaja tarjoaa sähköpostin, tallennustilan, kalenterin, dokumentit ja chatin yhdessä, kuten suurten yhdysvaltalaisten palveluntarjoajien suite-paketit | Yksi sopimus, yksi kirjautuminen, kaikki toimii yhdessä | Olet taas riippuvainen yhdestä toimijasta; tarkista vientimahdollisuudet erityisen tarkkaan |
| Erilliset palvelut | Sähköposti yhdeltä palveluntarjoajalta, tiedostot ja kalenteri toiselta, chat kolmannelta | Paras valinta joka osa-alueelle; vähemmän riippuvuutta | Enemmän sopimuksia, enemmän kirjautumisia, enemmän hallintaa |
| Itse ylläpito | Ajat avoimen lähdekoodin ohjelmistoa (esimerkiksi Nextcloudia) omalla tai vuokratulla palvelimella | Maksimaalinen hallinta | Teet itse päivitykset, tietoturvan ja varmuuskopiot; tämä vaatii osaamista ja aikaa joka viikko |
Moni pieni organisaatio valitsee välimuodon: hallinnoidun palvelun avoimen lähdekoodin ohjelmistolla. Silloin palveluntarjoaja hallinnoi palvelinta, mutta samalla ohjelmistolla voit siirtyä toiselle palveluntarjoajalle tai itse ylläpitoon, jos se joskus on tarpeen. Itse ylläpito on hyvä idea vain, jos jollakulla on siihen jatkuvasti aikaa ja hän tietää mitä tekee. Nextcloud, joka ei saa päivityksiä vuoteen, on vähemmän turvallinen kuin hyvin hallinnoitu palvelu, eurooppalainen tai ei.
Sertifikaatit: mitä ne kertovat ja mitä eivät
Palveluntarjoajat mainitsevat mielellään sertifiointeja. Ne ovat hyödyllisiä, mutta sinun täytyy tietää, mitä ne tarkoittavat.
| Sertifikaatti | Mitä se kertoo | Mihin kiinnität huomiota |
|---|---|---|
| ISO/IEC 27001 | Yrityksellä on tietoturvan hallintajärjestelmä: riskit kartoitettu, toimenpiteet käytössä, vuosittainen tarkastus sertifiointilaitoksen toimesta | Soveltamisala (scope): koskeeko se palvelua, jota sinä käytät, vai vain konesalia tai yhtä osastoa? Onko sertifikaatti voimassa ja akkreditoidun laitoksen myöntämä? |
| ISO/IEC 27701 | 27001:n laajennus tietosuojan hallintaan | Samat kysymykset soveltamisalasta |
| NEN 7510 | Hollantilainen standardi tietoturvalle terveydenhuollossa | Merkityksellinen vain, jos käsittelet terveystietoja; silloin usein vaatimus |
| BSI C5 | Saksalaisen Bundesamt für Sicherheit in der Informationstechnikin pilvipalveluille laatima vaatimuskatalogi | Raportti havainnoista, ei yksinkertainen "hyväksytty" |
| SecNumCloud | Ranskalaisen ANSSI:n pilvipalveluille myöntämä kvalifikaatio, jossa vaatimuksia EU:n ulkopuolisten lakien mukaista pääsyä vastaan | Tiukka; kertoo paljon oikeudellisesta riippumattomuudesta |
| SOC 2 | Yhdysvaltalainen tarkastusraportti (AICPA) tietoturvatoimenpiteistä | Ei sertifikaatti vaan raportti; pyydä raportti, älä pelkkää logoa |
Kaksi sudenkuoppaa. Ensinnäkin: konesali on sertifioitu, palveluntarjoaja itse ei. Silloin sertifikaatti kertoo sähköstä, jäähdytyksestä ja kulunvalvonnasta, mutta ei mitään siitä, kuka pääsee käsiksi sinun tietoihisi. Toiseksi: sertifikaatti ei vastaa oppitunnin 2.1 viiteen kysymykseen. Yhdysvaltalaisella palvelulla voi olla ISO 27001 ja silti se voi kuulua CLOUD Actin piiriin.
Pienillä palveluntarjoajilla ei ole joskus sertifiointia, koska se maksaa paljon. Se ei tee niistä turvattomia. Kysy silloin konkreettisesti, mitä toimenpiteitä ne tekevät: kaksivaiheinen tunnistautuminen ylläpitäjille, salaus, varmuuskopiot toisessa sijainnissa, päivityskäytäntö, ilmoitusmenettely tietovuodoista.
SLA:n lukeminen
SLA (service level agreement) kuvaa, mitä palveluntarjoaja lupaa: saatavuus, tuen vasteaika, huoltoikkunat ja mitä saat, jos lupaus ei täyty.
Muuta saatavuus aina ajaksi. 99,9 % kuukaudessa kuulostaa lähes täydelliseltä, mutta tarkoittaa, että palvelu saa olla tavoittamattomissa reilut 43 minuuttia kuukaudessa. 99 %:lla se on reilut seitsemän tuntia. Katso myös, lasketaanko suunniteltu huolto mukaan, ja mikä on korvaus: usein pieni hyvitys, ei vahinkojen korvausta.
Lue myös se, mitä siinä ei lue. Tärkeitä kohtia, joiden kuuluisi olla SLA:ssa tai sopimusehdoissa:
- kuinka kauan ja missä varmuuskopioita säilytetään, ja voitko itse palauttaa jotain;
- kuinka nopeasti tietoturva-aukko korjataan;
- miten sinua tiedotetaan häiriöstä (tilannesivu, sähköposti);
- mitä tiedoillesi tapahtuu irtisanomisen jälkeen (oppitunnit 2.3 ja 8.2).
Kokeile, kysy, testaa
Paperi on kärsivällinen. Älä siis vertaile vain verkkosivujen perusteella:
- Ota kokeilujakso tai pieni paketti, ja laita siihen oikea testiaineisto: muutama postilaatikko, kalenteri toistuvine tapaamisineen, kansio hankalimpien dokumenttiesi kanssa (oppitunti 6.5).
- Esitä tuelle oikea kysymys, esimerkiksi "Miten vien kaiken ulos, jos lähden?" Kiinnitä huomiota nopeuteen, kieleen ja siihen, pitääkö vastaus paikkansa.
- Pyydä dokumentit nähtäväksi: tietojenkäsittelysopimus, alihankkijaluettelo, SLA, sertifikaatit soveltamisaloineen.
- Kysy referenssejä organisaatiolta, joka muistuttaa omaasi, ja soita sille.
- Tee vientitesti ennen kuin allekirjoitat.
Vertailutaulukko, joka toimii
Laita palveluntarjoajat sarakkeisiin ja vaatimuksesi riveihin. Täytä jokaiseen soluun fakta lähteineen, ei vaikutelmaa. Esimerkki muutamasta rivistä leipomolle:
| Vaatimus | Taso | Palveluntarjoaja A | Palveluntarjoaja B | Palveluntarjoaja C |
|---|---|---|---|---|
| Eurooppalainen omistaja | pakollinen | kyllä (kaupparekisteri) | ei (emoyhtiö Yhdysvalloissa) | kyllä (vuosikertomus) |
| Tiedot ja varmuuskopiot ETA-alueella | pakollinen | kyllä (tietojenkäsittelysopimuksen liite 1) | kyllä | kyllä, varmuuskopio Sveitsissä (riittävä tietosuojan taso) |
| IMAP, CalDAV, CardDAV | pakollinen | kyllä (testattu) | vain oma sovellus | kyllä (testattu) |
| Kaiken vienti vakiomuodoissa | pakollinen | kyllä (testattu) | osittain | kyllä |
| Verkkotoimistopaketti | toivottava | kyllä | kyllä | ei |
| Tuki suomeksi | toivottava | kyllä | ei | kyllä |
Palveluntarjoaja B putoaa pois kahden pakollisen vaatimuksen takia, vaikka muu olisi kuinka hyvää. A:n ja C:n välillä ratkaisu tehdään toivottavien vaatimusten perusteella.
Käytännössä: näin se näyttää palveluntarjoajalla
WebOké Nextcloud on esimerkki hallinnoidusta palvelusta avoimen lähdekoodin ohjelmistolla: voit valita jaetun ympäristön ja oman palvelimen väliltä paketin mukaan, ja ohjelmisto on sama Nextcloud, jota voit ajaa myös muilla palveluntarjoajilla tai itse. Muut eurooppalaiset palveluntarjoajat tarjoavat vastaavia muotoja: alles-in-één-palveluja sähköpostilla, tallennustilalla ja kalenterilla (esimerkiksi mailbox.org, Infomaniak, Proton tai IONOS), erillisiä sähköpostipalveluja (esimerkiksi Posteo tai Tuta) ja palvelimia itse ylläpitoon (esimerkiksi Hetzner, OVHcloud, Scaleway tai STACKIT). Tämä kurssi ei valitse puolestasi: käytä vaatimuslistaasi.
Yhteenveto
- Aloita omista vaatimuksistasi, jaettuna pakollisiin, toivottaviin ja kiva olla -kohtiin. Pidä pakollisten lista lyhyenä.
- Valitse tietoisesti alles-in-één-palvelun, erillisten palvelujen ja itse ylläpidon väliltä; itse ylläpito vaatii jatkuvaa osaamista ja aikaa.
- Sertifikaatti kertoo ennen kaikkea jotain omalla soveltamisalallaan, eikä vastaa omistajakysymykseen.
- Muuta saatavuus ajaksi ja lue, mitä SLA:ssa ei lue.
- Testaa kokeilujaksolla, oikealla tukikysymyksellä ja vientitestillä ennen kuin allekirjoitat.
Tietovisa
Tehtävä
Tehtävä E2.4: Oma vaatimuslistasi ja vertailu. Laadi vaatimuslista, jossa on vähintään viisi pakollista vaatimusta ja kolme toivottavaa vaatimusta. Vertaile sen avulla kahta tai kolmea palveluntarjoajaa yllä olevan kaltaisessa taulukossa, jokaisessa solussa fakta ja lähde. Selitä kolmella lauseella, minkä palveluntarjoajan valitsisit ja miksi.
Tehtävä E2.4: Oma vaatimuslistasi ja vertailu
Laadi vaatimuslista ja vertaile kahta tai kolmea palveluntarjoajaa (sarakkeet: vaatimus, taso pakollinen/toivottava/vapaaehtoinen, palveluntarjoaja 1, 2, 3).
Merkintäsi ja muistiinpanosi pysyvät vain tässä selaimessa, emme lähetä niitä minnekään. Jos olet kirjautunut sisään, tallennamme kohtaan Omat kurssit vain sen, että olet tehnyt tehtävän.
Lue lisää
Näiden artikkeleiden vaiheet koskevat WebOkén palveluja; muilla palveluntarjoajilla toiminta on samankaltaista.
- Nextcloud-opas 1.4: Nextcloud Free, Personal, Family vai Max: erot ja vaihtaminen
- WebOké-käyttöopas 2.2: Hostingpaketin valitseminen (webhotelli, sähköpostipaketti, Nextcloud, AI Builder)
- Nextcloud-opas 6.6: Varmuuskopiot WebOkéssa: mitä me säilytämme ja mitä voit tehdä itse
- ISO/IEC 27001:2022, Information security management systems (iso.org, standardi 27001)
- BSI C5 (Cloud Computing Compliance Criteria Catalogue): https://www.bsi.bund.de/EN/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/Kriterienkatalog-C5/kriterienkatalog-c5_node.html