Wyzwania CDO: kiedy przenieść dane do chmury i jak to zrobić bezpiecznie?

Rosnące wymagania biznesowe powodują, że liczba firm przenoszących swoje aplikacje, a z nimi swoje dane, do chmury – jednocześnie przebudowując architekturę pod kątem wykorzystania funkcji natywnych chmury – systematycznie rośnie. Choć nowe technologie chmurowe oferują szereg niewątpliwych korzyści operacyjnych istnieją pewne kluczowe problemy, których nie należy lekceważyć.

Ponieważ przedsiębiorstwa z rosnącym przekonaniem wchodzą na drogę cyfrowej transformacji, zmiany z nią związane mogą obejmować migrację aplikacji on-premises, baz danych i zgromadzonych danych – do chmury. Jednak pomimo świadomości i wiedzy na temat zalet przetwarzania w chmurze migracja bazy danych lub aplikacji do nie zawsze jest płynna i można napotkać szereg wyzwań w procesie zmian.

Po co do chmury?

Przyjrzyjmy się najpierw, dlaczego organizacje powinny rozważyć przeniesienie baz danych o znaczeniu krytycznym do chmury. Jak wspomniano powyżej, korzyści z zastosowania chmury zostały szeroko udokumentowane na przestrzeni ostatnich kilku lat. Czynniki takie jak wygoda, skalowalność, elastyczność i efektywność ekonomiczna prowadzą do poprawy produktywności, która jest dla większości przedsiębiorstw kluczowa. Podczas pierwszej fali wdrożeń chmury można było zauważyć, że główną korzyścią była dostępność taniej infrastruktury IT w chmurze, która pasowała do rozwoju projektów czy wdrożenia środowisk Test & Dev czy DevOps. Obecnie, podczas kolejnej fali adopcji można zauważyć większy udział aplikacji o znaczeniu krytycznym i szerszy zakres obciążeń migrowanych do chmury. Efektem jest przesunięcie stosu technologicznego dostawców w kierunku dostępności aplikacji i zapewnienie ciągłości działania. Wraz z tym środowiska chmurowe stają się relatywnie łatwiejsze w zarządzaniu, to z kolei pozwala firmom skupić się na bardziej strategicznych tematach IT, jak np. definiowanie kluczowych usług IT dla użytkowników wewnętrznych i zewnętrznych pozwalających na stopniową transformację cyfrową.

Dane to zasób krytyczny

Ponieważ w nowoczesnych organizacjach krytyczność zasobów danych jest coraz częściej dostrzegana i doceniana spotykamy rolę na poziomie dyrektora wykonawczego odpowiedzialnego za politykę danych – CDO (Chief Data Officer). U nowo powołanego szefa ds. danych łatwo o poczucie przytłoczenia w obliczu wyzwania, którym jest przekształcenie wizji posiadanych zasobów danych z „archiwum” w główny motor wspierający działalność biznesową. Organizacje w większości nie wiedzą od czego zacząć a rolą CDO powinna być również budowa świadomości, że zmiany nie nastąpią z dnia na dzień i jest to proces ewolucyjny.

Aby odblokować wartość danych organizacji, CDO powinien opracować i wdrożyć przejrzystą strategię danych. Strategia danych może pomóc organizacjom w spojrzeniu na dane w kontekście podejmowanych codziennie decyzji i bardziej efektywnym wykorzystaniu ich do osiągania wyników. Najlepsze strategie danych są dostosowane do potrzeb organizacji i pomagają CDO w zaangażowaniu niezbędnych interesariuszy, planowaniu, wdrażaniu strategicznych projektów i budowie partnerstw w całej organizacji.

Dlaczego strategia danych jest taka ważna? Ponieważ pomaga odpowiedzieć na pierwsze pytanie w kontekście migracji baz danych do chmury jakie zadać powinien CDO: – Jakimi kryteriami powinniśmy kierować się decydując o tym czy poszczególne zasoby danych powinny być przeniesione do chmury?

Zgodność z przepisami i standardami ochrony danych

Lista wymogów jakie spełniać powinni dostawcy usług chmury publicznej działający na rynku EOG (Europejskiego Obszaru Gospodarczego) aby spełnić podstawowe wymogi regulatorów, niekiedy dla pewnych branż również specyficzne, oraz standardy w zakresie bezpieczeństwa danych jest dość długa. Poniżej lista tych najbardziej powszechnych:

• Cloud Internet Service Providers in Europe (CISPE)
• Center for Internet Security (CIS) Benchmark
• Cloud Security Alliance
• Cyber Essentials Plus
• EU-US Privacy Shield
• General Data Protection Regulation (GDPR / RODO)
• Health Insurance Portability and Accounting Act (HIPAA)
• ISO 9001, ISO 27001, ISO 27017
• National Institute of Standards and Technology (NIST) 800-53
• Payment Card Industry Data Security Standard (PCI DSS)

Ponadto dostawcy usług chmurowych mający swoją siedzibę w USA są zobowiązani do przestrzegania kontrowersyjnej regulacji ustanowionej przez Kongres USA o nazwie Clarifying Lawful Overseas Use of Data Act (CLOUD Act). – Co ta regulacja oznacza dla organizacji europejskich?

– Przyjęty przez amerykańską administrację Cloud Act zobowiązuje wszystkie podmioty oferujące rozwiązania chmurowe do udostępnienia danych na wniosek amerykańskich służb, nawet jeśli dane te fizycznie znajdują się poza jurysdykcją USA. – wyjaśnia Marcin Zmaczyński. – Dla organizacji, które korzystają z usług amerykańskich dostawców oznacza to, że nie mają gwarancji, że ich dane nie trafią w niepowołane ręce. W związku z tym coraz częściej pojawiają się głosy o potrzebie budowania europejskiej alternatywy dla największych, globalnych graczy. W tym celu powstają takie projekty jak GaiaX. Jest to pomysł utworzenia międzynarodowej, europejskiej chmury, nieco na wzór firmy Airbus. Aruba ma przyjemność pracować nad tym rozwiązaniem poprzez swoje członkostwo w CISPE, zrzeszającej europejskich dostawców chmury. – konkluduje.

Audyt

Zapewnienie zgodności z przepisami i regulacjami, jeśli chodzi o zarządzanie danymi (w tym migrację do chmury) leży po stronie organizacji, zatem jest to najczęściej odpowiedzialność CDO. Owszem, dostawcy usług zapewniają o posiadaniu odpowiednich certyfikatów lub regulacji zapewniających zgodność z poszczególnymi regulacjami i aktami – to jednak po naszej stronie leży upewnienie się, czy tak jest w rzeczywistości i czy spełnia to nasze wewnętrzne, organizacyjne wymogi. Zatem kolejne pytanie CDO: – W jaki sposób mogę przekonać się o skuteczności dostawcy w spełnieniu wszystkich interesujących mnie wymogów? Mogę przeprowadzić audyt?

– Zakres wymogów, jakie musi spełniać dostawca chmury zależy od branży, w jakiej działa klient. Zupełnie inaczej będą wyglądały regulacje dla sektora finansowego, a inaczej dla sektora ochrony zdrowia. – zaznacza Marcin Zmaczyński. – Profesjonalnie przeprowadzony audyt to najlepsza metoda, by zapewnić zgodność wykorzystywanych rozwiązań z odpowiednimi regulacjami i procedurami GRC (Governance, Risk Management, Compliance). Firmy zajmujące się tego typu rozwiązaniami, na przykład będący naszym partnerem Kylos, pomogą sprawdzić, czy dostawca usług spełnia wymagane w naszym przypadku normy, a także pomoże przeprowadzić odpowiednie testy zabezpieczeń w tym np. testy penetracyjne. – wyjaśnia.

Chmura pomaga w data governance

Nawet najbardziej błyskotliwa strategia nie wpłynie na zmianę korzystania z zasobów danych w organizacji, jeśli pozostanie na papierze. Wdrażanie strategii data governance to przenoszenie założeń z papieru do świadomości zespołów i kultury organizacji co może nie być do końca uporządkowanym procesem, a CDO powinni mieć realistyczne podejście co do tempa zmian, szczególnie na początku. Najbardziej skutecznym podejściem w obliczu bezwładności organizacyjnej jest ustalenie realistycznych oczekiwań i szybkie wykazanie konkretnej (KPI) wartości – quick-win.

Po opracowaniu strategii CDO powinien zidentyfikować kluczowe problemy biznesowe, które strategia danych ma zaadresować. Ważne aby nadać priorytet kwestiom, które wpływają na budowę wartości biznesowej organizacji. Aby udowodnić wiarygodność i użyteczność strategii danych, warto zacząć od projektów o wysokiej widoczności, które opierają się na jej kluczowych elementach i wspierają podstawowe cele biznesowe. Mogą to być np. dotrzymanie terminów związanych z zapewnieniem zgodności z wymaganiami regulacyjnymi czy zmianami legislacyjnymi. Albo też modernizacja infrastruktury i systemów narzucająca konieczność przebudowy (lub budowy od podstaw) korporacyjnego modelu danych. To jest też idealny moment na wpisanie modelu chmurowego do planu działań. Naturalne pytanie CDO w tej sytuacji – W jaki sposób model chmurowy może pomóc mi odnieść sukces, w szczególności pokazać wartość strategii danych dla organizacji w krótkim czasie?

Marcin Zmaczyński uważa, że migracja do chmury to jeden z najskuteczniejszych sposobów na podniesienie poziomu cyberbezpieczeństwa organizacji. – Firmom bardzo ciężko osiągnąć taki poziom bezpieczeństwa infrastruktury w modelu on-premises, jaką gwarantują profesjonalne centra danych. Te mogące pochwalić się certyfikatem Rating 4 w ramach systemu ANSI TIA/942 gwarantują nie tylko najwyższy poziom zabezpieczeń przed cyberatakami, ale także ciągłość świadczenia usług nawet w przypadku pożaru, powodzi czy innych katastrof naturalnych. Z kolei dla firm działających w obszarach objętych specjalnymi regulacjami w obszarze zarządzania danymi wybór odpowiedniego dostawcy chmurowego może rozwiązać szereg problemów z obszaru compliance. Dobrym przykładem było chociażby wprowadzenie RODO, które nakładało na firmy szereg obostrzeń w obszarze ochrony danych osobowych. Dostawcy usług chmurowych już znacznie wcześniej przed wejściem w życie tych regulacji dostosowali swoją infrastrukturę i praktyki, by ułatwić swoim klientom osiągnięcie zgodności z unijnymi przepisami w tym obszarze. – podsumowuje.