Доверие к облаку: какие вопросы надо задавать провайдеру

Облачные сервисы в 2013 году стали рабочей реальностью для многих компаний. Электронная почта, хранение файлов, CRM, бухгалтерский учёт - всё это уже переезжает или переехало на инфраструктуру провайдера. Решение принимается по очевидным мотивам: быстрее, дешевле, не нужно держать своего администратора.

Вопрос не в том, правильно это или нет. Вопрос в том, что большинство компаний переезжают в облако, не задав провайдеру нескольких конкретных вопросов. А потом выясняется, что ответы на них были важны с самого начала.

Где физически находятся данные

Это первый вопрос, и ответ "на серверах провайдера" - не ответ. Нужно понять:

• в какой стране расположены дата-центры;
• есть ли возможность выбрать регион хранения;
• куда уходят резервные копии и в каком регионе они хранятся;
• меняется ли место хранения, если провайдер расширяет инфраструктуру.

Для части данных это вопрос регуляторных требований. Для другой части - вопрос того, под какую юрисдикцию они попадают в случае запроса от государственных органов.

Кто может видеть ваши данные

Стандартный ответ провайдера звучит успокаивающе: "мы не передаём данные третьим лицам". Но это неполный ответ. Нужно спросить конкретно:

• имеет ли технический персонал провайдера доступ к содержимому данных в рамках поддержки или мониторинга;
• как устроены права доступа внутри инфраструктуры провайдера;
• каков процесс при поступлении официальных запросов - уведомит ли вас провайдер, прежде чем передать данные;
• используется ли шифрование в состоянии покоя, и кто держит ключи.

Последний пункт принципиален. Если ключи у провайдера - он технически может расшифровать данные. Если ключи у вас - нет.

Что вы можете проверить самостоятельно

Доверие к облаку не должно быть слепым. Есть вещи, которые можно верифицировать:

• наличие независимой аттестации: SOC 2, ISO 27001 или аналог. Отчёты по этим стандартам описывают реальные контроли, а не декларации;
• политика инцидентов: как провайдер сообщает об утечках, в какие сроки, что входит в уведомление;
• условия прекращения сервиса: что происходит с данными, если вы уходите или если провайдер закрывается, в какие сроки и в каком формате вы получаете экспорт.

Если провайдер не может предоставить сертификаты или отчёт об аудите - это само по себе информация.

Что часто упускают при подписании договора

SLA в облачных договорах обычно покрывает доступность сервиса. Редко - ответственность за потерю данных. Почти никогда - компенсацию за последствия утечки.

Прежде чем подписать, стоит проверить:

• кто несёт ответственность за данные - провайдер или клиент, и в каком объёме;
• как устроены процедуры восстановления при инциденте;
• какие у вас права в случае, если провайдер изменит условия хранения данных.

Это не повод отказываться от облака. Это повод читать договор, а не только страницу с ценами.

Простой фильтр перед принятием решения

Перед переносом любой категории данных в облако я предлагаю ответить на три вопроса:

1. Что произойдёт, если эти данные станут публично известны?
2. Что произойдёт, если они станут недоступны на 24 часа?
3. Что произойдёт, если мы захотим сменить провайдера через два года?

Если ответы на все три вопроса некритичны - облако подходит без особых оговорок. Если хотя бы один ответ серьёзный - нужна более внимательная проверка провайдера и договора до начала работы.