Modul 2 · 2.4
Sammenlign udbydere uden at lade dig forføre
Modul 2: Hvad er en europæisk cloud egentlig? · Læsetid: 11 minutter
Læringsmål: Efter denne lektion kan du med din egen kravliste sammenligne europæiske udbydere på indhold, vurdere certificeringers værdi og vælge mellem en alt-i-en-tjeneste, løse tjenester eller selv-hosting.
Nøglebegreber: kravliste (skal, bør, kan), ISO/IEC 27001, anvendelsesområde (scope), ISO/IEC 27701, NEN 7510, BSI C5, SecNumCloud, SOC 2, SLA, oppetid, supportsprog, prøveperiode, referencer, alt-i-en, løse tjenester, selv-hosting
Først dine krav, så udbyderne
Den der starter med at kigge på udbyderes hjemmesider, lader sig lede af det, de selv synes er flottest: et stort tal for opbevaringsplads, en AI-knap, et stramt logo. Start derfor hos dig selv. Bakkerij De Korrel skrev først ned, hvad virksomheden egentlig havde brug for, og først derefter begyndte den at kigge sig om.
Brug tre niveauer til det:
- Skal: uden dette falder udbyderen fra. For eksempel: data og backup i EØS, europæisk ejer, databehandleraftale med underdatabehandlerliste, mail på eget domæne, IMAP og CalDAV, totrinsbekræftelse.
- Bør: vigtigt, men du kan leve uden. For eksempel: online kontorpakke i browseren, support på dansk, mobilapp til billeder.
- Kan: rart at have. For eksempel: videoopkald, formularer, AI-hjælp.
Hold skal-listen kort. En skal-liste med tredive punkter når ingen frem til, og så vælger du alligevel på mavefornemmelse.
Tre slags udbud
Europæiske cloudtjenester findes groft sagt i tre former.
| Form | Hvad det er | Fordele | Vær opmærksom på |
|---|---|---|---|
| Alt-i-en | Én udbyder leverer mail, lagerplads, kalender, dokumenter og chat samlet, ligesom de store amerikanske udbyderes pakker | Én kontrakt, ét login, alt virker sammen | Du sidder igen hos én part; tjek eksportmulighederne ekstra godt |
| Løse tjenester | Mail hos én udbyder, filer og kalender hos en anden, chat hos en tredje | Det bedste valg per del; mindre afhængighed | Flere kontrakter, flere logins, mere administration |
| Selv-hosting | Du kører open source software (for eksempel Nextcloud) på en egen server eller en lejet server | Maksimal kontrol | Du står selv for opdateringer, sikkerhed og backup; det kræver viden og tid, hver uge |
Mange små organisationer vælger en mellemvej: en administreret tjeneste baseret på open source software. Så administrerer en udbyder serveren, men du kan skifte til en anden udbyder eller til selv-hosting med den samme software, hvis det bliver nødvendigt. Selv-hosting er kun en god idé, hvis nogen har fast afsat tid til det og ved, hvad de gør. En Nextcloud der ikke har fået opdateringer i et år, er mindre sikker end en veladministreret tjeneste, uanset om den er europæisk eller ej.
Certificeringer: hvad de siger, og hvad de ikke siger
Udbydere nævner gerne certificeringer. De er nyttige, men du skal vide, hvad de betyder.
| Certificering | Hvad den siger | Hvad du skal være opmærksom på |
|---|---|---|
| ISO/IEC 27001 | Virksomheden har et ledelsessystem for informationssikkerhed: risici er kortlagt, der er indført foranstaltninger, årlig kontrol af et certificeringsorgan | Anvendelsesområdet (scope): gælder det for den tjeneste, du benytter, eller kun for datacentret eller én afdeling? Er certifikatet gyldigt og udstedt af et akkrediteret organ? |
| ISO/IEC 27701 | Udvidelse af 27001 til privatlivsstyring | Samme spørgsmål om anvendelsesområde |
| NEN 7510 | Hollandsk standard for informationssikkerhed i sundhedssektoren | Kun relevant hvis du behandler sundhedsdata; så ofte et krav |
| BSI C5 | Tysk kravkatalog for cloudtjenester fra Bundesamt für Sicherheit in der Informationstechnik | En rapport med observationer, ikke et simpelt "bestået" |
| SecNumCloud | Fransk kvalifikation fra ANSSI til cloudtjenester, med krav mod adgang via love uden for EU | Streng; siger meget om juridisk uafhængighed |
| SOC 2 | Amerikansk revisionsrapport (AICPA) om sikkerhedsforanstaltninger | Ikke et certifikat, men en rapport; bed om rapporten, ikke kun logoet |
To faldgruber. For det første: datacentret er certificeret, udbyderen selv er det ikke. Så siger certifikatet noget om strøm, køling og adgangskontrol, men intet om hvem der kan tilgå dine data. For det andet: en certificering er ikke svaret på de fem spørgsmål fra lektion 2.1. En amerikansk tjeneste kan have ISO 27001 og stadig være omfattet af CLOUD Act.
Små udbydere har nogle gange ingen certificering, fordi det koster meget. Det gør dem ikke usikre. Spørg i stedet konkret, hvilke foranstaltninger de har: totrinsbekræftelse for administratorer, kryptering, backup på en anden placering, opdateringspolitik, en procedure for anmeldelse af databrud.
Sådan læser du SLA'en
En SLA (service level agreement) beskriver, hvad en udbyder lover: oppetid, supportens reaktionstid, vedligeholdelsesvinduer, og hvad du får, hvis løftet ikke holdes.
Omregn altid oppetid til tid. 99,9% pr. måned lyder næsten perfekt, men betyder, at tjenesten må være utilgængelig i godt 43 minutter om måneden. Ved 99% er det godt syv timer. Tjek også om planlagt vedligeholdelse tæller med, og hvad kompensationen er: ofte en lille kredit, ikke erstatning for dit tab.
Læs også, hvad der ikke står. Vigtige punkter der hører hjemme i en SLA eller i betingelserne:
- hvor længe og hvor backup opbevares, og om du selv kan gendanne noget;
- hvor hurtigt et sikkerhedshul udbedres;
- hvordan du bliver informeret ved en driftsforstyrrelse (statusside, mail);
- hvad der sker med dine data efter opsigelse (lektion 2.3 og 8.2).
Prøv, spørg, test
Papir er tålmodigt. Sammenlign derfor ikke kun på hjemmesiden:
- Tag en prøveperiode eller en lille pakke, og brug den til et rigtigt testsæt: nogle få mailbokse, en kalender med gentagne aftaler, en mappe med dine mest besværlige dokumenter (lektion 6.5).
- Stil support et rigtigt spørgsmål, for eksempel "Hvordan eksporterer jeg alt, hvis jeg skifter udbyder?" Læg mærke til hastigheden, sproget, og om svaret er korrekt.
- Bed om dokumenterne: databehandleraftale, underdatabehandlerliste, SLA, certifikater med anvendelsesområde.
- Bed om referencer fra en organisation der ligner din, og ring til den.
- Lav en eksporttest inden du underskriver.
En sammenligningstabel der virker
Sæt udbyderne i kolonner og dine krav i rækker. Udfyld hver celle med et fakta og en kilde, ikke et indtryk. Eksempel med nogle rækker for bageriet:
| Krav | Niveau | Udbyder A | Udbyder B | Udbyder C |
|---|---|---|---|---|
| Europæisk ejer | skal | ja (handelsregister) | nej (moderselskab i USA) | ja (årsrapport) |
| Data og backup i EØS | skal | ja (databehandleraftale bilag 1) | ja | ja, backup i CH (tilstrækkelighed) |
| IMAP, CalDAV, CardDAV | skal | ja (testet) | kun egen app | ja (testet) |
| Eksport af alt i standardformater | skal | ja (testet) | delvist | ja |
| Online kontorpakke | bør | ja | ja | nej |
| Support på dansk | bør | ja | nej | ja |
Udbyder B falder fra på to skal-krav, uanset hvor flot resten er. Mellem A og C afgør du valget på bør-kravene.
I praksis: sådan ser det ud hos en udbyder
En WebOké Nextcloud er et eksempel på en administreret tjeneste baseret på open source software: du kan vælge mellem et delt miljø og en egen server pr. pakke, og softwaren er den samme Nextcloud, som du også kan køre hos andre udbydere eller selv. Andre europæiske udbydere tilbyder lignende former: alt-i-en-tjenester med mail, lagerplads og kalender (for eksempel mailbox.org, Infomaniak, Proton eller IONOS), løse mailtjenester (for eksempel Posteo eller Tuta) og servere til selv-hosting (for eksempel hos Hetzner, OVHcloud, Scaleway eller STACKIT). Dette kursus vælger ikke for dig: brug kravlisten.
Opsummering
- Start med dine egne krav, inddelt i skal, bør og kan. Hold skal-listen kort.
- Vælg bevidst mellem alt-i-en, løse tjenester og selv-hosting; selv-hosting kræver fast viden og tid.
- En certificering siger primært noget inden for sit anvendelsesområde og besvarer ikke spørgsmålet om ejerskab.
- Omregn oppetid til tid, og læs hvad der ikke står i SLA'en.
- Test med en prøveperiode, et rigtigt supportspørgsmål og en eksporttest inden du underskriver.
Quiz
Opgave
Opgave E2.4: Din egen kravliste og sammenligning. Lav en kravliste med mindst fem skal-krav og tre bør-krav. Sammenlign med den to eller tre udbydere i en tabel som ovenfor, med et fakta og en kilde i hver celle. Forklar i tre sætninger, hvilken udbyder du ville vælge, og hvorfor.
Opgave E2.4: Din egen kravliste og sammenligning
Lav en kravliste og sammenlign to eller tre udbydere (kolonner: krav, niveau skal/bør/kan, udbyder 1, 2, 3).
Dine afkrydsninger og noter forbliver kun i denne browser; vi sender dem ingen steder hen. Er du logget ind, gemmer vi kun i Mine kurser, at du har udført opgaven.
Læs mere
Trinene i disse artikler gælder for WebOkés tjenester; hos andre udbydere fungerer det tilsvarende.
- Nextcloud-vejledning 1.4: Nextcloud Free, Personal, Family og Max: forskelle og skift mellem pakker
- WebOké vejledning 2.2: Sådan vælger du en hostingpakke (webhosting, e-mailpakke, Nextcloud, AI Builder)
- Nextcloud-vejledning 6.6: Backup hos WebOké: hvad vi gemmer, og hvad du selv kan gøre
- ISO/IEC 27001:2022, Information security management systems (iso.org, standard 27001)
- BSI C5 (Cloud Computing Compliance Criteria Catalogue): https://www.bsi.bund.de/EN/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/Kriterienkatalog-C5/kriterienkatalog-c5_node.html