Kam ukládat firemní data? Rozhodnutí, které ovlivňuje celý byznys

Většina firem dnes pracuje s daty prakticky nepřetržitě. Objednávky, účetnictví, CRM, výrobní dokumentace, interní komunikace, smlouvy nebo zákaznické databáze. Když data nejsou dostupná, firma přestává fungovat. Proto je potřeba o ukládání dat rozhodovat nejen podle ceny, zvyku nebo aktuální kapacity IT oddělení.

V případě ukládání dat dnes mají firmy na výběr v podstatě ze tří možností: data mohou ukládat do cloudu, na vlastní servery nebo v rámci takzvané hybridní infrastruktury, tedy kombinace obojího. Volba mezi těmito řešeními přitom není jen otázkou technologií. Ve skutečnosti si tak firma vybírá, jaké riziko je ochotna nést a jak rychle bude schopna reagovat ve chvíli, kdy se něco pokazí.

Ukládání dat říká, jak firma funguje

Ještě před lety firmy řešily z hlediska ukládání dat hlavně kapacitu serverů, cenu disků nebo rychlost připojení. Jenže způsob práce se dramaticky změnil. Data už neleží na jednom místě. Zaměstnanci pracují vzdáleně, aplikace běží v cloudu, týmy sdílí dokumenty napříč pobočkami a firmy zároveň čelí výrazně vyšším bezpečnostním rizikům než dřív.

Právě proto dnes otázka, kam ukládat data, ve skutečnosti znamená něco jiného:

• Jak rychle firma obnoví provoz po útoku? 
• Kdo bude mít k datům přístup? 
• Co se stane při výpadku? 
• Kde budou data fyzicky uložena? 
• Kdo za ně nese odpovědnost? 
• A jak dlouho firma přežije bez nich? 

Už se tedy nejedná o čistě technickou debatu, ale o řízení byznysového rizika. Při útoku, havárii nebo lidské chybě totiž najednou nejde o to, jaké jsou náklady na úložiště, ale jaké škody vlastně výpadek způsobí.

Tři možnosti, různá rizika

Z hlediska výběru možností ukládání dat neexistuje jedno univerzálně správné řešení. Každý model ukládání firemních dat má své výhody i slabiny. Rozdíl je hlavně v tom, kdo nese odpovědnost, jak rychle firma zvládne případný incident a jak velkou kontrolu nad daty potřebuje.

On-premise: vše ve vlastních rukou

Mnoho firem stále ukládá data na vlastní server nebo do vlastního datového úložiště. Důvody jsou pochopitelné: kontrola nad prostředím, interní pravidla, specifické aplikace nebo obava ze sdílení dat s externím poskytovatelem.

Vlastní infrastruktura může dobře fungovat. Jenže zároveň znamená, že firma sama odpovídá prakticky za všechno, tedy za bezpečnost serverů, aktualizace, monitoring, fyzickou ochranu, zálohování dat, obnovu po havárii i dostupnost infrastruktury.

A právě tady často vzniká problém. Mnohé, zejména menší firmy mívají i dnes servery umístěné přímo v kanceláři nebo ve skladové místnosti. Bez redundantního napájení, bez profesionálního chlazení, bez nepřetržitého dohledu. Jenže v takovém případě stačí výpadek elektřiny, požár, havárie klimatizace nebo úspěšný útok a firma najednou zjišťuje, že nemá plán B.

Velkým rizikem bývá i personální závislost. Správu infrastruktury často detailně zná jeden administrátor nebo externista. Pokud odejde, firma může přijít nejen o know-how, ale v krajním případě i o přístup k vlastním systémům.

Cloud: přináší dobrou dostupnost, ale i nutnost řešit odpovědnost

V cloudu lze dnes využívat prakticky jakékoli nástroje, které firma potřebuje: od řešení pro e-mailovou komunikaci přes kancelářské nástroje a ERP systémy až po kompletní firemní infrastrukturu.

Cloud má řadu zjevných výhod: je rychle škálovatelný, vysoce dostupný, disponuje profesionálním zabezpečením a klade nižší nároky na vlastní firemní infrastrukturu. Zároveň potenciálně přináší rychlejší možnosti obnovy po incidentu.

 Přejděte na flexibilní O₂ Cloud

Jenže cloud automaticky neznamená bezpečí. Jedním z nejčastějších omylů bývá představa, že přesunutím dat do cloudu přebírá poskytovatel kompletní odpovědnost za bezpečnost dat ve firmě. Ve skutečnosti většina cloudových služeb funguje v režimu sdílené odpovědnosti.

Data v cloudu přinášejí nízké náklady a vysokou flexibilitu

Zobrazit

Poskytovatel obvykle zabezpečuje infrastrukturu. Firma ale stále odpovídá za:

• správu přístupů, 
• nastavení oprávnění, 
• ochranu účtů, 
• konfiguraci služeb, 
• práci zaměstnanců, 
• zálohování některých dat. 

Právě špatně nastavené přístupy dnes patří mezi nejčastější příčiny úniku dat v cloudovém prostředí. Čím dál důležitějším tématem pak je pro firmy i datová jurisdikce a datová suverenita, tedy to, kde jsou data fyzicky uložena a kdo k nim má přístup.

Postoj k datové suverenitě v Česku

• Více než 50 % firem by si připlatilo za ukládání dat v EU.
• 36 % firem by připlácelo za ukládání jen určitých kategorií dat, 15 % za všechna data.
• 64 % zohlední datovou suverenitu při výběru dodavatele IT řešení.
• Pro 3 firmy ze 4 je důležité, aby jejich data zůstala v EU.

Zdroj: průzkum SAP

Hybrid: kompromis, který dává smysl

V praxi dnes firmy často sahají po takzvané hybridní infrastruktuře, která mimo jiné umožňuje snáze řešit i otázky zmíněné datové suverenity. Citlivá data nebo klíčové systémy zůstávají pod kontrolou firmy, zatímco méně kritické služby běží v cloudu. Firmy tak kombinují flexibilitu cloudových služeb s možností lépe řídit kritickou část infrastruktury. 

Hybridní model ale zároveň klade vysoké nároky na správu dat a bezpečnostní architekturu. Nestačí jen „mít něco v cloudu a něco na serveru“. Firma musí:

• přesně vědět, kde jsou data uložena, 
• kdo k nim přistupuje, 
• jak se zálohují, 
• jak probíhá obnova, 
• co se stane při výpadku jedné části infrastruktury. 

Bez jasných procesů může hybridní prostředí paradoxně zvýšit složitost i bezpečnostní riziko.

Nestačí jen zálohovat

Z hlediska bezpečnosti je pro firmy zásadní neinvestovat jen do technologií jako takových, ale také nastavit procesy a být připraveny na reálný problém nejen technicky, ale i nastavením odpovědnosti a pravidel. Firma musí vědět, která data jsou kritická, kde jsou taková data uložena, kdo za ně odpovídá a jak rychle je možné je obnovit. 

Zálohy jako takové jsou pak v podstatě samostatnou kapitolou nakládání s firemními daty. Mnoho firem si myslí, že když mají zálohy, jsou v bezpečí. Jenže právě zálohování dat bývá při útocích jedním z nejslabších míst. Moderní ransomware totiž často neútočí jen na produkční data. Útočníci se zpravidla snaží právě najít zálohy, ty zašifrovat, nebo je dokonce smazat.

Útočníci už vědí, jak vysoké výkupné od vás mohou chtít

Zobrazit

Pokud firma používá špatně oddělené zálohy, může během několika minut přijít o primární data i možnost obnovy.

Co znamenají oddělené zálohy?

Bezpečné zálohování dat dnes obvykle stojí na několika principech:

• zálohy nejsou trvale připojeny k produkční síti, 
• část kopií je uložena odděleně, 
• data existují ve více verzích, 
• obnova se pravidelně testuje, 
• firma přesně ví, jak dlouho obnova potrvá. 

Cílem není jen „mít kopii dat“. Cílem je být schopen firmu skutečně obnovit.

Velkým problémem bývá i falešný pocit bezpečí. Firma například roky automaticky zálohuje, ale nikdy nezkusila obnovu dat. Teprve při incidentu zjistí, že jsou zálohy poškozené, nekompletní nebo nepoužitelné. Incident přitom nemusí znamenat jen kyberútok, ale může jít i o lidskou chybu, technickou poruchu nebo třeba živelní pohromu.

Jak ve firmě správně zálohovat a chránit data

Zobrazit

Zálohování dat tak není technickým doplňkem infrastruktury. Je to klíčová součást krizového řízení firmy. I proto sílí i různé legislativní požadavky, které řeší ochranu osobních údajů, uchovávání dat, auditovatelnost a další otázky. Legislativa přitom většinou neřeší technologie samotné. Zaměřuje se hlavně na schopnost firmy rizika řídit. A právě proto se téma ukládání dat posouvá z IT oddělení směrem k managementu.

Co dnes firmy řeší z pohledu legislativy?

• GDPR: Požaduje odpovídající ochranu osobních údajů a schopnost zabránit jejich ztrátě nebo zneužití.
• NIS2: Rozšiřuje požadavky na kybernetickou bezpečnost i mimo kritickou infrastrukturu. Týká se například řízení rizik, kontinuity provozu nebo odpovědnosti vedení firmy.
• DORA: Ve finančním sektoru klade důraz na odolnost digitálních služeb a řízení ICT rizik.
• Archivace a audit: Některé typy dat (účetní a daňové doklady, závěrky, smlouvy, mzdové listy a další) musí firmy uchovávat po zákonem stanovenou dobu (ta je někdy až 30 let) a zároveň zajistit jejich integritu a dostupnost.

Nechte si poradit

Mnoho firem dnes funguje v prostředí, které vznikalo postupně několik let. Část systémů běží interně, část v cloudu, některé služby spravují externí dodavatelé. To vyžaduje ze strany firem velkou pozornost a zvyšuje míru rizika.

Proto může být vhodné obrátit se v otázce ukládání dat na externího partnera. Ten často dokáže identifikovat slabá místa, nastavit bezpečnostní procesy, navrhnout architekturu či zajistit monitoring nebo pomoci s krizovým plánováním. Ve výsledku tak nejde jen o outsourcing technologií. Jde o snížení provozního a bezpečnostního rizika.

 Zjistit víc o O₂ Cloudu 

To, jak má firma uložená data, je dnes pro její fungování zásadní. Ukládání dat se stává součástí strategického řízení firmy. A čím více jsou firmy digitální, tím více bude kvalita těchto rozhodnutí určující pro jejich stabilitu.

Protože ve chvíli incidentu už není důležité, kde byla data uložena. Důležité je, jestli firma dokáže pokračovat dál.

Praktický checklist pro firmy

1. Zmapujte, kde všude firma ukládá data. 
2. Určete, která data jsou pro provoz kritická. 
3. Ověřte, kdo má k datům přístup. 
4. Zkontrolujte, jak funguje zálohování dat. 
5. Otestujte obnovu ze záloh v praxi. 
6. Prověřte odpovědnosti mezi firmou a dodavateli cloudových služeb.
7. Vyhodnoťte, jak dlouho firma vydrží bez klíčových systémů. 
8. Připravte krizový scénář pro případ výpadku nebo útoku. 

Co si z článku odnést?

• Ukládání firemních dat je dnes byznysové rozhodnutí, nejen IT téma.
• On-premise dává firmám nad daty velkou kontrolu, je ale náročný z hlediska zajištění provozu a bezpečnosti.
• Cloud je flexibilní a dostupný, i u něj je ale potřeba nastavit bezpečnost a odpovědnost.
• Hybridní infrastruktura umožňuje mít určitá data pod vlastní kontrolou i využívat flexibilitu cloudu, klade ale nároky na správu dat.
• Hybridní infrastruktura může dobře fungovat, pokud je správně řízená.
• Největší problém často představuje nejasná správa dat a procesů.

Kateřina Dobrá
Marketingový specialista pro B2B

Káťa se věnuje tvorbě článků, O2 CyberCastu a newsletterů na téma kyberbezpečnosti a moderních technologií. Srozumitelně překládá složitá témata do lidské řeči, propojuje technický svět s praxí a ráda jde pod povrch věcí. Zaměřuje se na bezpečnost dat, nové technologické trendy a jejich reálný dopad na firmy i jednotlivce.