Revizor ne procjenjuje gdje se aplikacija fizički nalazi zato što je to tehnološki zanimljivo pitanje. Procjenjuje može li organizacija dokazati tko ima pristup podacima, kako se upravlja rizicima, jesu li dokazi potpuni i može li se reagirati na incident. Zato pitanje SaaS ili on-premise nije izbor između modernog i tradicionalnog IT-a, nego odluka o modelu odgovornosti, kontroli i operativnoj spremnosti.
Za organizacije obuhvaćene Zakonom o kibernetičkoj sigurnosti, ZKS-om i NIS2 regulativom, pogrešan izbor ne stvara samo tehnički dug. Može usporiti procjenu usklađenosti, otežati prikupljanje revizijskih dokaza i ostaviti nejasnoće oko obrade podataka. Dobar izbor, s druge strane, omogućuje da se usklađenost vodi kontinuirano, a ne samo uoči nadzora.
SaaS ili on-premise nije samo pitanje hostinga
SaaS je softver dostupan kao usluga. Dobavljač upravlja aplikacijom, njezinim ažuriranjima i osnovnom infrastrukturom, dok organizacija koristi rješenje putem preglednika ili aplikacijskog sučelja. Kod on-premise modela aplikacija se postavlja u infrastrukturu organizacije, bilo u vlastitom podatkovnom centru ili u okruženju kojim organizacija izravno upravlja.
Ta definicija je jednostavna, ali stvarna odluka nije. Kod SaaS-a dio operativnog tereta preuzima dobavljač. Kod on-premise implementacije organizacija dobiva veću izravnu kontrolu, ali preuzima i više svakodnevnih obveza. U oba modela odgovornost za usklađenost ne nestaje. Uprava i odgovorne osobe i dalje moraju moći dokazati da su rizici prepoznati, aktivnosti provedene, a kontrole učinkovite.
Kada SaaS ima poslovnu prednost
Najveća prednost SaaS-a je brzina početka rada. Organizacija ne mora nabavljati poslužitelje, planirati instalaciju, usklađivati verzije komponenti ni čekati višemjesečni implementacijski projekt. To je posebno važno kada je potrebno brzo provesti samoprocjenu usklađenosti, organizirati dokaze ili izraditi plan otklanjanja nesukladnosti.
Dobro projektiran SaaS model također pojednostavljuje održavanje. Sigurnosne zakrpe, razvoj funkcionalnosti, dostupnost usluge i nadogradnje platforme provode se centralno. Interni IT tim može se više baviti poslovnim rizicima, identitetima, integracijama i nadzorom nego održavanjem same aplikacije.
No, SaaS nije automatski prikladan samo zato što je brz. Organizacija mora provjeriti gdje se podaci pohranjuju, u kojim se okolnostima obrađuju, tko im može pristupiti te kako dobavljač upravlja sigurnosnim incidentima, kontinuitetom poslovanja i izlazom iz usluge. EU hosting, enkripcija na razini polja, jasne kontrole pristupa i ugovorno uređene obveze dobavljača ovdje nisu marketinški detalji, nego elementi upravljanja rizikom.
Kada on-premise opravdava dodatni napor
On-premise pristup najviše smisla ima kada organizacija ima izrazito stroga pravila o lokaciji i izolaciji podataka, složena interna sigurnosna ograničenja ili potrebu za radom u odvojenim mrežnim zonama. Takav je slučaj moguć u dijelovima financijskog sektora, kritične infrastrukture, zdravstva, obrambenih sustava i okruženja s posebno osjetljivim poslovnim informacijama.
Prednost je izravnija kontrola nad infrastrukturom, mrežnim pravilima, integracijama i administrativnim pristupima. Organizacija može rješenje prilagoditi vlastitoj arhitekturi i povezati ga s internim sustavima bez izlaganja određenih podataka vanjskom okruženju.
Cijena te kontrole nije samo licenca. Potrebni su kapaciteti za instalaciju, nadzor, sigurnosne zakrpe, izradu sigurnosnih kopija, testiranje oporavka, upravljanje ranjivostima i dostupnost stručnih ljudi. Ako interni tim nema vremena ili jasnu odgovornost za te aktivnosti, on-premise može povećati rizik umjesto da ga smanji. Aplikacija unutar vlastitog podatkovnog centra nije sigurnija sama po sebi – sigurnost ovisi o tome kako se njome upravlja.
Kriteriji za odluku koja se može obraniti
Odluku ne treba temeljiti na dojmu da je jedan model načelno sigurniji. Potrebno ju je povezati s klasifikacijom podataka, internim kontrolama i stvarnom sposobnošću organizacije da upravlja odabranim modelom. U praksi je korisno ocijeniti najmanje pet područja:
- Osjetljivost i lokacija podataka – uključujući revizijske dokaze, procjene rizika, osobne podatke i povjerljivu dokumentaciju.
- Operativni kapaciteti – raspolaže li organizacija ljudima i procesima za sigurno održavanje on-premise rješenja.
- Brzina regulatorne spremnosti – koliko brzo treba provesti procjenu, evidentirati nesukladnosti i pokrenuti aktivnosti.
- Integracije i mrežna ograničenja – treba li rješenje pristupati sustavima koji ne smiju biti dostupni izvan interne mreže.
- Kontinuitet i izlazna strategija – kako se štite podaci, kako se usluga oporavlja i kako se podaci preuzimaju ako se promijeni dobavljač ili model korištenja.
Za mnoge srednje i velike organizacije SaaS će imati bolji omjer brzine, troška i funkcionalnosti. Za dio subjekata s posebnim zahtjevima on-premise će biti opravdan. Odluka može biti i hibridna: platforma radi u sigurnom EU SaaS okruženju, dok se određeni dokumenti, integracije ili vrlo osjetljivi izvori podataka zadržavaju u internim sustavima.
Što NIS2 i ZKS traže bez obzira na model
Regulatorni okvir ne propisuje univerzalno pravilo da alat mora biti SaaS ili on-premise. Propisuje obvezu upravljanja rizicima i primjene odgovarajućih mjera kibernetičke sigurnosti. To uključuje upravljanje pristupima, evidentiranje aktivnosti, zaštitu podataka, upravljanje incidentima, kontinuitet poslovanja, procjenu dobavljača i redovito preispitivanje mjera.
Kod SaaS rješenja dobavljač postaje dio lanca opskrbe koji treba procijeniti. Organizacija treba znati koje sigurnosne mjere dobavljač provodi, kako prijavljuje incidente, koji su rokovi dostupnosti, gdje se obrađuju podaci i pod kojim se uvjetima koriste podizvršitelji. Također treba jasno odrediti tko unutar organizacije upravlja korisničkim računima, ovlastima i kvalitetom unesenih dokaza.
Kod on-premise modela naglasak je više na vlastitim internim procesima. Tko provodi zakrpe? Kada se testira oporavak? Jesu li administratorski računi pod pojačanim nadzorom? Postoje li zapisi o pristupima i promjenama? Odgovori moraju biti dokazivi, a ne samo poznati IT timu.
U oba slučaja ključna je podjela odgovornosti. Dobavljač može osigurati aplikacijske kontrole i sigurno okruženje, ali ne može umjesto organizacije odobravati rizike, određivati vlasnike kontrola ili potvrditi da je dostavljeni dokaz stvarno potpun i relevantan.
Usklađenost traži sustav rada, ne samo aplikaciju
Najčešća pogreška je odabrati platformu prema funkcionalnostima, a zanemariti način rada koji će ona podržati. Ako se dokazi i dalje nalaze u nepovezanim mapama, vlasnici aktivnosti nisu određeni, a procjena usklađenosti radi se samo jednom godišnje, ni SaaS ni on-premise neće riješiti temeljni problem.
Učinkovito rješenje treba povezati obvezu, kontrolu, dokaz, pronađenu nesukladnost, korektivnu aktivnost i odgovornu osobu. Kada se promijeni stanje dokaza ili rok aktivnosti, organizacija mora odmah vidjeti utjecaj na ukupnu razinu usklađenosti. To smanjuje ručni rad i sprječava da se važni nedostaci otkriju tek tijekom interne ili vanjske revizije.
Tu AI može imati konkretnu, a ne dekorativnu ulogu. Može pomoći pri analizi dokumentacije, razvrstavanju dokaza, prepoznavanju nedostajućih informacija i pripremi izvješća. Ipak, AI rezultat mora ostati provjerljiv. Za regulirane organizacije nije dovoljno dobiti preporuku – potrebno je razumjeti na kojem je dokazu temeljena i tko ju je odobrio.
ITrevizija.hr zato kombinira AI vođenu samoprocjenu, upravljanje dokazima i planovima usklađivanja s mogućnošću EU hostinga i on-premise implementacije za organizacije koje trebaju veću razinu infrastrukturne kontrole. Cilj nije uvesti još jedan složen GRC projekt, nego omogućiti jasan put od procjene do dokazive provedbe.
Prije odluke postavite pitanje koje otkriva stvarni rizik
Umjesto pitanja “je li SaaS dovoljno siguran?”, korisnije je pitati: “Možemo li u odabranom modelu kontinuirano dokazati da upravljamo podacima, pristupima, rizicima i obvezama?” Ako je odgovor potkrijepljen odgovornostima, ugovornim obvezama, tehničkim kontrolama i redovito ažuriranim dokazima, model je vjerojatno dobro odabran.
Najsigurnije rješenje nije nužno ono koje je najbliže vašem poslužitelju. To je rješenje koje vaša organizacija može dosljedno održavati, nadzirati i objasniti kada dođe vrijeme za nadzor.