Wdrożenie chmury w firmie rzadko zaczyna się od białej kartki. Najczęściej organizacja ma już lokalny serwer plików, pocztę, foldery projektowe, prywatne dyski pracowników, kopie na laptopach i kilka narzędzi używanych równolegle. Dlatego najważniejsze pytanie nie brzmi: „która chmura jest najlepsza?”, ale: „jaki porządek chcemy w niej zbudować?”.
W artykule
Ocena chmury zaczyna się od klasyfikacji danych
Nie wszystkie pliki wymagają tego samego poziomu ochrony. Materiały ofertowe, umowy, dokumentacja kadrowa, dane finansowe, projekty techniczne i kopie baz danych powinny zostać opisane osobno. Dla każdej grupy trzeba ustalić właściciela, minimalne uprawnienia, czas przechowywania, akceptowalny czas niedostępności oraz sposób odtworzenia.
W praktyce dobry projekt chmurowy zaczyna się od prostego katalogu zasobów. Nie musi to być rozbudowany system GRC. Wystarczy tabela, w której firma zapisze: nazwa zasobu, dział, właściciel biznesowy, poziom poufności, liczba użytkowników, zależności od innych systemów i konsekwencje utraty dostępu przez 24 godziny.
Model oceny projektu chmurowego
Wykres pokazuje przykładową wagę obszarów, które warto ocenić przed migracją. To autorski model kontrolny SafeClouds, a nie statystyka rynkowa.
Najwyżej punktowane są te elementy, które po błędnej konfiguracji najszybciej prowadzą do realnego incydentu: konto bez MFA, zbyt szerokie uprawnienia lub brak niezależnej kopii danych.
Najczęstszy błąd: przeniesienie chaosu do nowego narzędzia
Chmura nie naprawi sama nieczytelnej struktury katalogów. Jeżeli przed migracją każdy dział tworzył własne foldery, a dostęp nadawano „na wszelki wypadek”, to po migracji problem będzie tylko wygodniej synchronizowany. Właśnie dlatego warto wykonać etap porządkowania: usunąć duplikaty, wydzielić archiwa, nazwać właścicieli i odciąć konta osób, które nie pracują już w organizacji.
Ryzyko, którego nie widać w ofercie
Najtańszy pakiet może okazać się kosztowny, jeżeli nie pozwala wymusić MFA, nie daje sensownych logów, ma ograniczoną retencję wersji albo utrudnia eksport danych. W chmurze nie kupuje się samego miejsca - kupuje się kontrolę nad dostępem i zdolność odtworzenia pracy.
Chmura a RODO: nie wystarczy zapis „dane są bezpieczne”
Jeżeli w chmurze będą przechowywane dane osobowe, firma powinna rozumieć role administratora i podmiotu przetwarzającego, zakres przetwarzania, podwykonawców, transfery danych oraz obowiązki w razie naruszenia. Europejska Rada Ochrony Danych zwraca uwagę na odpowiedzialność administratora i konieczność korzystania z procesorów dających wystarczające gwarancje. To oznacza, że wybór dostawcy nie jest wyłącznie decyzją techniczną.
| Obszar | Pytanie kontrolne | Dobry sygnał | Ostrzeżenie |
|---|---|---|---|
| Tożsamość | Czy można wymusić MFA i zasady haseł? | Centralne wymuszanie MFA, role administracyjne, logi logowań. | MFA tylko opcjonalne albo zależne od użytkownika. |
| Udostępnianie | Czy linki zewnętrzne mogą mieć hasło i datę wygaśnięcia? | Polityki globalne, ograniczenia domen, audyt udostępnień. | Publiczne linki bez kontroli i bez przeglądu. |
| Backup | Czy istnieje niezależna kopia poza synchronizacją? | Oddzielny backup, retencja, test odtworzenia. | Założenie, że kosz i wersjonowanie wystarczą. |
| Umowy | Czy są opisane role, podwykonawcy i lokalizacja danych? | DPA, SLA, lista subprocessors, procedura naruszeń. | Ogólne hasła marketingowe bez dokumentacji. |
| Wyjście | Czy da się sprawnie wyeksportować dane? | Jasny format eksportu, procedura zamknięcia kont, czas na migrację. | Brak planu exit i ryzyko vendor lock-in. |
Jak podjąć decyzję bez przepłacania?
Najlepsza usługa nie zawsze jest największa. Dla części firm wystarczy uporządkowana chmura plików z MFA, politykami udostępniania i backupem. Inne potrzebują integracji z katalogiem użytkowników, zaawansowanego DLP, archiwizacji poczty, szyfrowania z zarządzaniem kluczami i logów eksportowanych do systemu monitoringu. Różnica polega na ryzyku biznesowym, nie na modzie technologicznej.
Warto wdrożyć od razu
- MFA dla wszystkich kont.
- Role właścicieli folderów.
- Zakaz publicznych linków bez kontroli.
- Niezależny backup zasobów krytycznych.
Warto zaplanować etapowo
- SSO i integrację z katalogiem użytkowników.
- DLP dla dokumentów wrażliwych.
- Automatyczny przegląd uprawnień.
- Eksport logów do monitoringu.
Najlepsza migracja do chmury to taka, po której firma ma mniej przypadkowych dostępów, mniej duplikatów i lepiej opisane procedury niż przed migracją.
Wnioski dla właściciela i zarządu
Chmura powinna zmniejszać liczbę miejsc, w których żyją dane firmy. Jeżeli po wdrożeniu dokumenty nadal są równolegle na prywatnych dyskach, starym serwerze, mailach i komunikatorach, projekt nie został domknięty. Warto więc mierzyć sukces nie tylko tym, że pracownicy „mają dostęp”, ale tym, że dostęp jest uzasadniony, logowany, możliwy do wycofania i wsparty kopią zapasową.
Źródła i punkty odniesienia:
- ENISA Cloud Security Guide for SMEs - praktyczne pytania, które mała i średnia firma powinna zadać dostawcy chmury przed migracją danych.
- Cloud Security Alliance - Cloud Controls Matrix - matryca kontroli bezpieczeństwa dla środowisk cloud i oceny odpowiedzialności dostawcy oraz klienta.
- EDPB Guidelines 07/2020 - rozróżnienie ról administratora i podmiotu przetwarzającego przy usługach opartych na danych.