Za organizaciju koja mora dokazati usklađenost sa ZKS-om, NIS2 i povezanim zahtjevima, pitanje SaaS ili on-premise usklađenost nije prvenstveno tehnološka preferencija. Riječ je o odluci koja određuje gdje se čuvaju revizijski dokazi, tko upravlja pristupima, koliko brzo možete pokrenuti procjenu i koliko je jednostavno održati stvarnu spremnost za nadzor.
Pogrešan pristup često počinje pogrešnim pitanjem: „Je li cloud siguran?” Sigurnost ne ovisi samo o lokaciji sustava, nego o arhitekturi, enkripciji, kontroli pristupa, ugovornim obvezama, operativnim procesima i sposobnosti organizacije da te kontrole trajno održava. SaaS i on-premise model mogu biti primjereni, ali za različite razine zahtjeva, rizika i internih kapaciteta.
Što se zapravo bira kada se bira SaaS ili on-premise usklađenost?
Platforma za upravljanje usklađenošću prikuplja osjetljive elemente poslovanja: procjene rizika, nalaze internih kontrola, politike, dokaze o provedbi mjera, akcijske planove, izvješća i podatke o odgovornim osobama. Zato izbor modela implementacije utječe na više od načina prijave u aplikaciju.
SaaS model podrazumijeva da je rješenje dostupno kao usluga, uz upravljanu infrastrukturu, redovita ažuriranja i brzi početak rada. Organizacija se može usmjeriti na sadržaj procjene, dokaze i provedbu korektivnih aktivnosti, umjesto na instalaciju, održavanje poslužitelja i nadogradnje aplikacije.
On-premise model znači da se rješenje implementira unutar infrastrukture organizacije ili okruženja koje ona izravno kontrolira. Takav pristup može biti potreban kada interna pravila, klasifikacija podataka, sektorski zahtjevi ili ugovorne obveze ne dopuštaju pohranu određenih podataka izvan strogo definiranog okruženja.
Bitna razlika nije u tome tko „posjeduje” podatke. U oba modela organizacija mora imati jasna prava nad svojim podacima i dokazima. Razlika je u operativnoj odgovornosti: SaaS pružatelj preuzima veći dio održavanja platforme, dok on-premise zahtijeva više interne tehničke kontrole i resursa.
Kada SaaS model donosi veću operativnu vrijednost
Za većinu srednjih i velikih organizacija najveći problem usklađenosti nije nedostatak poslužitelja. Problem su raspršeni dokazi, nejasno vlasništvo nad mjerama, dokumenti u različitim verzijama i procjene koje se ažuriraju tek neposredno prije nadzora. SaaS platforma može brzo uspostaviti jedinstveno mjesto za upravljanje tim procesima.
Prednost je posebno izražena kada organizacija želi krenuti bez višemjesečnog implementacijskog projekta. Umjesto konfiguriranja kompleksnog GRC sustava, tim može odmah otvoriti procjenu usklađenosti, dodijeliti odgovornosti, učitati dokaze i izraditi plan postupanja po utvrđenim neusklađenostima.
SaaS je često racionalan izbor kada su prioriteti sljedeći:
- brz početak rada i predvidljiv trošak
- redovito održavanje i ažuriranje platforme
- dostupnost za više poslovnih lokacija i timova
- standardizirano izvješćivanje i kontinuirano praćenje statusa
Takav model posebno odgovara organizacijama kojima su potrebni jasni pokazatelji za upravu, CISO-a, voditelja usklađenosti i internu reviziju. Umjesto ručnog objedinjavanja tablica i dokumenata, odgovorne osobe mogu pratiti razinu usklađenosti, otvorene rizike, rokove i status provedbe aktivnosti na jednom mjestu.
No SaaS nije automatski najbolji izbor samo zato što je brži. Potrebno je provjeriti gdje se podaci obrađuju, koje su mjere enkripcije primijenjene, kako se upravlja identitetima i pristupima, na koji se način odvajaju podaci korisnika te može li pružatelj dokazati vlastite sigurnosne i organizacijske kontrole. Za subjekte u Hrvatskoj i EU, lokacija hostinga i usklađenost obrade s europskim zahtjevima imaju stvarnu poslovnu važnost.
Kada je on-premise implementacija opravdana
On-premise nije sinonim za veću sigurnost. Ako organizacija nema kapacitete za pravodobno zakrpavanje sustava, nadzor pristupa, sigurnosne kopije, oporavak od incidenta i kontinuirano praćenje ranjivosti, lokalno instalirano rješenje može stvoriti dodatni rizik.
Ipak, postoje situacije u kojima je on-premise implementacija opravdana, pa i nužna. To se najčešće odnosi na organizacije koje upravljaju izrazito osjetljivim ili klasificiranim podacima, imaju stroga pravila segmentacije mreže, posluju u zatvorenim okruženjima ili moraju zadržati cjelokupnu obradu unutar vlastite infrastrukture.
U reguliranim sektorima odluka može proizaći i iz zahtjeva nadležnog tijela, ugovora s ključnim partnerima ili internog modela upravljanja rizicima. Primjerice, subjekt koji ne smije iznositi određene tehničke zapise, rezultate procjena ili dokumentaciju o kritičnim sustavima iz kontroliranog mrežnog segmenta može opravdano zahtijevati lokalnu implementaciju.
On-premise model traži realnu procjenu troška vlasništva. Osim licence, treba planirati infrastrukturu, administraciju, nadogradnje, integracije, nadzor, sigurnosne kopije i odgovornost za dostupnost. Uprava pritom ne bi trebala prihvatiti pretpostavku da je lokalni sustav jeftiniji zato što nema mjesečne naknade. Trošak se često samo premješta u interne timove i postojeće proračune.
Sigurnost podataka: pitanja koja uprava treba postaviti
Dobra odluka ne proizlazi iz općeg stava prema oblaku ili vlastitim poslužiteljima. Proizlazi iz konkretnih odgovora na pitanja o podacima, riziku i odgovornosti.
Prvo treba odrediti koje će se vrste podataka nalaziti u platformi. Hoće li sustav sadržavati samo politike i generičke dokaze ili i detalje o ranjivostima, arhitekturi mreže, incidentima, dobavljačima i kritičnim poslovnim procesima? Klasifikacija podataka mora prethoditi odluci o implementaciji.
Zatim treba provjeriti kontrole. Field level encryption, snažno upravljanje identitetima, višefaktorska autentifikacija, zapisivanje aktivnosti, odvajanje korisničkih podataka, definirani rokovi čuvanja i mogućnost izvoza podataka važniji su od pojednostavljene podjele na „cloud” i „lokalno”.
Treće, organizacija mora znati tko što radi kada nastane problem. U SaaS modelu treba jasno definirati odgovornosti pružatelja i korisnika, postupanje kod sigurnosnog incidenta, obavještavanje, podršku i kontinuitet poslovanja. U on-premise modelu iste obveze ne nestaju – većinom prelaze na interne IT i sigurnosne timove.
Usklađenost nije jednokratna procjena
Najveća vrijednost platforme za usklađenost nije u jednom generiranom izvješću. Vrijednost nastaje kada organizacija može pokazati da kontinuirano upravlja obvezama: zna koje kontrole nedostaju, tko je odgovoran za njihovu provedbu, koji dokaz potvrđuje status i koji su rizici prihvaćeni ili otvoreni.
To je posebno važno u okviru NIS2 i nacionalnih obveza kibernetičke sigurnosti. Nadzor ne traži samo dokument koji tvrdi da je kontrola uvedena. Traži se dokaziva povezanost između zahtjeva, stvarne mjere, vlasnika aktivnosti, dokaza i procjene rizika.
SaaS rješenje može znatno olakšati kontinuitet jer pružatelj održava aplikaciju, a organizacija se usmjerava na radne tokove usklađenosti. AI analiza dokumentacije i upravljanje dokazima dodatno smanjuju vrijeme potrebno za pregled materijala, prepoznavanje praznina i pripremu izvješća. On-premise rješenje može pružiti višu razinu lokalne kontrole, ali samo ako je jednako dostupno, ažurno i operativno održavano.
Kako donijeti odluku bez nepotrebnog projekta
Praktičan pristup počinje kratkom analizom potreba, a ne dugim tehnološkim natječajem. Organizacija treba utvrditi regulatorne obveze, klasifikaciju podataka, postojeća ograničenja infrastrukture i raspoložive interne kapacitete. Nakon toga može definirati prihvatljivi model hostinga i sigurnosne kontrole koje su obvezne, a ne samo poželjne.
Ako nema formalne zabrane SaaS obrade i ako pružatelj može dokazati EU hosting, enkripciju, kontrolu pristupa i jasne ugovorne obveze, SaaS će u mnogim slučajevima omogućiti brži put do mjerljive usklađenosti. ITrevizija.hr pritom objedinjuje samoprocjenu, upravljanje dokazima, AI analizu, planiranje aktivnosti i automatizirano izvješćivanje, uz mogućnost on-premise implementacije za zahtjevne subjekte.
Ako je lokalna implementacija uvjet zbog klasificiranih podataka, zatvorene mreže ili formalnih sektorskih pravila, on-premise je opravdan izbor. Tada je ključno unaprijed imenovati vlasnike održavanja i osigurati da sigurnosne nadogradnje, sigurnosne kopije i nadzor ne ostanu nečija neformalna obveza.
Prava odluka nije ona koja izgleda najkonzervativnije na arhitektonskom dijagramu. To je model koji organizaciji omogućuje da zaštiti podatke, održi kontrolu nad rizicima i svakog dana može dokazati da se obveze provode u praksi.