Modul 2 · 2.4
Sammenligne leverandører uten å la deg forføre
Modul 2: Hva er en europeisk sky egentlig? · Lesetid: 11 minutter
Læringsmål: Etter denne leksjonen kan du bruke en egen kravliste til å sammenligne europeiske leverandører på innhold, vurdere sertifiseringer på riktig verdi og velge mellom en alt-i-ett-tjeneste, enkelttjenester eller egen hosting.
Nøkkelbegreper: kravliste (må, bør, kan), ISO/IEC 27001, virkeområde (scope), ISO/IEC 27701, NEN 7510, BSI C5, SecNumCloud, SOC 2, SLA, tilgjengelighet, supportspråk, prøveperiode, referanser, alt-i-ett, enkelttjenester, egen hosting
Først kravene dine, så leverandørene
Den som begynner med å se på leverandørers nettsider, lar seg lede av det de selv fremhever: et stort tall for lagringsplass, en KI-knapp, en stilren logo. Begynn derfor hos deg selv. Bakkerij De Korrel skrev først ned hva den faktisk trengte, og først deretter begynte den å se seg om.
Bruk tre nivåer til dette:
- Må: uten dette faller leverandøren bort. For eksempel: data og sikkerhetskopier i EØS, europeisk eier, databehandleravtale med liste over underleverandører, e-post på eget domene, IMAP og CalDAV, tofaktorautentisering.
- Bør: viktig, men du kan løse det på andre måter. For eksempel: nettbasert kontorpakke i nettleseren, support på norsk, mobilapp for bilder.
- Kan: hyggelig å ha. For eksempel: videosamtaler, skjemaer, KI-hjelp.
Hold må-listen kort. En må-liste med tretti punkter klarer ingen å følge, og da ender du likevel opp med å velge på magefølelse.
Tre typer tilbud
Europeiske skytjenester kommer grovt sett i tre former.
| Form | Hva det er | Fordeler | Vær oppmerksom på |
|---|---|---|---|
| Alt-i-ett | Én leverandør tilbyr e-post, lagring, kalender, dokumenter og chat sammen, slik som de store amerikanske leverandørenes pakker | Én kontrakt, én innlogging, alt fungerer sammen | Du havner igjen hos én aktør; sjekk eksportmulighetene ekstra godt |
| Enkelttjenester | E-post hos én leverandør, filer og kalender hos en annen, chat hos en tredje | Beste valg for hver del; mindre avhengig | Flere kontrakter, flere innlogginger, mer administrasjon |
| Egen hosting | Du kjører åpen kildekode-programvare (for eksempel Nextcloud) på egen server eller en leid server | Maksimal kontroll | Du gjør selv oppdateringer, sikkerhet og sikkerhetskopier; det krever kunnskap og tid, hver uke |
Mange små organisasjoner velger en mellomvei: en administrert tjeneste basert på åpen kildekode-programvare. Da administrerer en leverandør serveren, men du kan med samme programvare flytte til en annen leverandør eller til egen hosting hvis det skulle bli nødvendig. Egen hosting er bare en god idé hvis noen har fast tid til det og vet hva de gjør. En Nextcloud som ikke har fått oppdateringer på et år, er mindre sikker enn en godt administrert tjeneste, europeisk eller ikke.
Sertifiseringer: hva de sier og ikke sier
Leverandører liker å vise til sertifiseringer. De er nyttige, men du må vite hva de betyr.
| Sertifisering | Hva den sier | Hva du bør sjekke |
|---|---|---|
| ISO/IEC 27001 | Selskapet har et styringssystem for informasjonssikkerhet: risikoer kartlagt, tiltak, årlig kontroll av et sertifiseringsorgan | Virkeområdet (scope): gjelder det for tjenesten du bruker, eller bare for datasenteret eller én avdeling? Er sertifikatet gyldig og utstedt av et akkreditert organ? |
| ISO/IEC 27701 | Utvidelse av 27001 for personvernstyring | Samme spørsmål om virkeområde |
| NEN 7510 | Nederlandsk standard for informasjonssikkerhet i helsesektoren | Bare relevant hvis du behandler helsedata; da ofte et krav |
| BSI C5 | Tysk kravkatalog for skytjenester fra Bundesamt für Sicherheit in der Informationstechnik | Rapport med funn, ikke et enkelt «bestått» |
| SecNumCloud | Fransk kvalifisering fra ANSSI for skytjenester, med krav mot tilgang etter lover utenfor EU | Strengt; sier mye om juridisk uavhengighet |
| SOC 2 | Amerikansk revisjonsrapport (AICPA) om sikkerhetstiltak | Ikke et sertifikat, men en rapport; be om rapporten, ikke bare logoen |
To fallgruver. For det første: det er datasenteret som er sertifisert, ikke leverandøren selv. Da sier sertifikatet noe om strøm, kjøling og adgangskontroll, men ingenting om hvem som har tilgang til dine data. For det andre: en sertifisering er ikke et svar på de fem spørsmålene fra leksjon 2.1. En amerikansk tjeneste kan ha ISO 27001 og likevel falle under CLOUD Act.
Små leverandører har noen ganger ingen sertifisering, fordi det koster mye. Det gjør dem ikke usikre. Spør da konkret hvilke tiltak de iverksetter: tofaktorautentisering for administratorer, kryptering, sikkerhetskopier på et annet sted, oppdateringsrutiner, en varslingsprosedyre ved datainnbrudd.
Å lese SLA-en
En SLA (service level agreement, tjenesteavtale) beskriver hva en leverandør lover: tilgjengelighet, responstid fra support, vedlikeholdsvinduer og hva du får hvis leverandøren ikke holder løftet sitt.
Regn alltid tilgjengelighet om til tid. 99,9 % per måned høres nesten perfekt ut, men betyr at tjenesten kan være utilgjengelig i godt over 43 minutter per måned. Ved 99 % er det godt over sju timer. Sjekk også om planlagt vedlikehold regnes med, og hva kompensasjonen er: ofte en liten kreditt, ingen erstatning for ditt tap.
Les også hva som ikke står der. Viktige punkter som hører hjemme i en SLA eller i vilkårene:
- hvor lenge og hvor sikkerhetskopier oppbevares, og om du selv kan gjenopprette noe;
- hvor raskt et sikkerhetshull blir rettet;
- hvordan du blir informert ved en driftsforstyrrelse (statusside, e-post);
- hva som skjer med dataene dine etter oppsigelse (leksjon 2.3 og 8.2).
Prøve, spørre, teste
Papiret er tålmodig. Sammenlign derfor ikke bare på nettsiden:
- Ta en prøveperiode eller en liten pakke, og legg inn et ekte testsett: noen postbokser, en kalender med gjentakende avtaler, en mappe med dine vanskeligste dokumenter (leksjon 6.5).
- Still support et ekte spørsmål, for eksempel «Hvordan eksporterer jeg alt hvis jeg flytter?» Legg merke til hastigheten, språket og om svaret stemmer.
- Be om dokumentene: databehandleravtale, liste over underleverandører, SLA, sertifikater med virkeområde.
- Spør etter referanser fra en organisasjon som ligner på din, og ring dem.
- Gjør en eksporttest før du signerer.
En sammenligningstabell som fungerer
Sett leverandørene i kolonner og kravene dine i rader. Fyll inn et faktum med kilde i hver celle, ikke et inntrykk. Eksempel med noen rader for bakeriet:
| Krav | Nivå | Leverandør A | Leverandør B | Leverandør C |
|---|---|---|---|---|
| Europeisk eier | må | ja (foretaksregister) | nei (morselskap i USA) | ja (årsrapport) |
| Data og sikkerhetskopier i EØS | må | ja (DBA vedlegg 1) | ja | ja, sikkerhetskopi i Sveits (adekvat) |
| IMAP, CalDAV, CardDAV | må | ja (testet) | kun egen app | ja (testet) |
| Eksport av alt i standardformater | må | ja (testet) | delvis | ja |
| Nettbasert kontorpakke | bør | ja | ja | nei |
| Support på norsk | bør | ja | nei | ja |
Leverandør B faller bort på to må-krav, uansett hvor bra resten er. Mellom A og C avgjør du på bør-kravene.
I praksis: slik ser det ut hos en leverandør
En WebOké Nextcloud er et eksempel på en administrert tjeneste basert på åpen kildekode-programvare: du kan velge mellom et delt miljø og en egen server per pakke, og programvaren er den samme Nextcloud du også kan kjøre hos andre leverandører eller selv. Andre europeiske leverandører tilbyr lignende former: alt-i-ett-tjenester med e-post, lagring og kalender (for eksempel mailbox.org, Infomaniak, Proton eller IONOS), enkeltstående e-posttjenester (for eksempel Posteo eller Tuta) og servere for egen hosting (for eksempel hos Hetzner, OVHcloud, Scaleway eller STACKIT). Dette kurset velger ikke for deg: bruk kravlisten.
Oppsummering
- Begynn med dine egne krav, delt inn i må, bør og kan. Hold må-listen kort.
- Velg bevisst mellom alt-i-ett, enkelttjenester og egen hosting; egen hosting krever fast kunnskap og tid.
- En sertifisering sier først og fremst noe innenfor sitt virkeområde, og svarer ikke på eierskapsspørsmålet.
- Regn tilgjengelighet om til tid og les hva som ikke står i SLA-en.
- Test med en prøveperiode, et ekte supportspørsmål og en eksporttest før du signerer.
Quiz
Oppgave
Oppgave E2.4: Din egen kravliste og sammenligning. Lag en kravliste med minst fem må-krav og tre bør-krav. Sammenlign med den to eller tre leverandører i en tabell som over, med et faktum og en kilde i hver celle. Forklar i tre setninger hvilken leverandør du ville valgt og hvorfor.
Oppgave E2.4: Din egen kravliste og sammenligning
Lag en kravliste og sammenlign to eller tre leverandører (kolonner: krav, nivå må/bør/kan, leverandør 1, 2, 3).
Avkrysningene og notatene dine blir kun i denne nettleseren; vi sender dem ikke noe sted. Er du logget inn, lagrer vi kun i Mine kurs at du har gjort oppgaven.
Les mer
Stegene i disse artiklene gjelder for tjenestene til WebOké; hos andre leverandører fungerer det på lignende måte.
- Nextcloud-veiledning 1.4: Nextcloud Free, Personal, Family eller Max: forskjeller og overgang
- WebOké-veiledning 2.2: Velge en hostingpakke (webhotell, e-postpakke, Nextcloud, AI Builder)
- Nextcloud-veiledning 6.6: Sikkerhetskopier hos WebOké: hva vi tar vare på og hva du selv kan gjøre
- ISO/IEC 27001:2022, Information security management systems (iso.org, standard 27001)
- BSI C5 (Cloud Computing Compliance Criteria Catalogue): https://www.bsi.bund.de/EN/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/Kriterienkatalog-C5/kriterienkatalog-c5_node.html