Za organizaciju koja upravlja osjetljivim zapisima o sigurnosti, revizijskim dokazima i regulatornim obvezama, odluka o mjestu na kojem se ti podaci obrađuju nije tehnički detalj. On premise rješenje za usklađenost može biti opravdan izbor kada uprava, CISO i odgovorne osobe moraju zadržati izravnu kontrolu nad podacima, pristupima i okruženjem u kojem se provodi procjena usklađenosti sa ZKS-om, Uredbom o kibernetičkoj sigurnosti i NIS2 regulativom.
Takva odluka nije automatski bolja od korištenja cloud usluge. Ona ima smisla kada proizlazi iz konkretne procjene rizika, regulatornih zahtjeva, klasifikacije podataka i operativnog modela organizacije. Pravo pitanje nije može li se sustav instalirati u vlastitom podatkovnom centru, nego povećava li taj model stvarnu sigurnost, dokazivost i sposobnost organizacije da odgovori na nadzor.
Kada je on premise rješenje za usklađenost opravdano
On-premise implementacija najčešće se razmatra u sektorima s visokim zahtjevima za povjerljivost i dostupnost: zdravstvu, financijama, energetici, telekomunikacijama, farmaciji te drugim kritičnim djelatnostima. U tim okruženjima platforma za usklađenost može sadržavati informacije o ranjivostima, incidentima, mjerama zaštite, vlasnicima imovine, internim kontrolama i nedostacima koji još nisu otklonjeni. To nisu dokumenti koje organizacija želi nepotrebno širiti izvan strogo definiranog sigurnosnog perimetra.
Potreba za lokalnom implementacijom može proizaći i iz internih politika. Neke organizacije imaju pravilo da određene kategorije podataka, posebno podaci povezani s kritičnim sustavima ili nacionalnom sigurnošću, ne smiju napustiti vlastitu infrastrukturu. Druge moraju integrirati platformu s internim imenikom korisnika, sustavom upravljanja identitetima, SIEM-om, repozitorijima dokumentacije ili alatima za upravljanje incidentima koji nisu dostupni izvan njihove mreže.
Treći čest razlog jest potreba za potpunom kontrolom pristupa. Kod on-premise modela organizacija sama definira mrežne zone, pravila vatrozida, administrativne ovlasti, evidenciju pristupa i način povezivanja s drugim internim sustavima. To ne znači da je lokalno okruženje sigurno samo zato što je lokalno. Sigurnost ovisi o pravilnoj konfiguraciji, segmentaciji mreže, upravljanju zakrpama, sigurnosnim kopijama i redovitom nadzoru. Međutim, odgovornost i kontrola ostaju jasno u rukama organizacije.
Podaci o usklađenosti također su sigurnosni podaci
Usklađenost se često promatra kao administrativni proces: upitnici, politike, tablice i izvješća. U praksi, dobro vođen sustav usklađenosti objedinjuje vrlo osjetljivu sliku stvarne razine kibernetičke otpornosti organizacije. Revizijski dokaz može otkriti konfiguraciju zaštitnih mjera, rezultate testiranja, postojanje neusklađenosti ili rokove za njihovo otklanjanje.
Zato je nužno postaviti jasna pitanja prije odabira modela implementacije. Koje će se vrste dokaza učitavati? Tko im može pristupiti? Hoće li se obrađivati dokumenti s osobnim podacima, poslovnim tajnama ili podacima o kritičnoj infrastrukturi? Gdje se pohranjuju sigurnosne kopije i zapisnici aktivnosti? Može li se svaka promjena na dokazu, procjeni ili akcijskom planu naknadno dokazati?
On-premise rješenje može odgovoriti na dio tih zahtjeva, ali samo uz disciplinu upravljanja. Ako organizacija nema kapacitet za održavanje poslužitelja, nadzor sigurnosti i pravodobno ažuriranje aplikacije, lokalna instalacija može stvoriti dodatni rizik. Kontrola nad infrastrukturom nije vrijednost sama po sebi – vrijednost nastaje kada je ta infrastruktura profesionalno upravljana.
Što organizacija mora imati prije lokalne implementacije
Lokalna implementacija nije projekt nabave jednog alata. Ona je operativna obveza koja uključuje IT, informacijsku sigurnost, usklađenost, internu reviziju i vlasnike poslovnih procesa. Prije odluke potrebno je dogovoriti tko upravlja platformom, tko odobrava korisničke pristupe, tko prati ažuriranja te tko jamči dostupnost i oporavak nakon incidenta.
Posebnu pozornost treba posvetiti identitetima i ovlastima. Platforma za usklađenost mora podržati jasno odvajanje uloga, primjerice između osobe koja dostavlja dokaz, osobe koja provodi procjenu, vlasnika korektivne aktivnosti i osobe koja odobrava izvješće. Načelo najmanjih ovlasti ovdje ima vrlo praktičnu vrijednost: korisnik treba vidjeti samo one zapise koji su nužni za njegov posao.
Organizacija također treba definirati životni ciklus dokaza. Dokument nije dovoljan zato što je učitan u sustav. Potrebno je znati na koji se zahtjev odnosi, tko ga je dostavio, je li aktualan, koja procjena proizlazi iz njega te kada ga treba ponovno preispitati. Bez takve strukture, lokalni repozitorij brzo postaje samo još jedno mjesto s velikim brojem datoteka i malom dokaznom vrijednošću.
Kvalitetna platforma mora povezati regulatorne zahtjeve, procjene, dokaze, utvrđene neusklađenosti i planove postupanja u sljediv proces. Kada nadzor zatraži obrazloženje, organizacija ne bi trebala sastavljati odgovor iz e-pošte, mapa na mrežnom disku i zasebnih tablica. Trebala bi moći pokazati što je procijenjeno, na temelju kojeg dokaza, koji je rizik prepoznat, tko je zadužen za mjeru i kakav je stvarni status provedbe.
AI funkcionalnosti bez gubitka kontrole
AI može znatno smanjiti vrijeme potrebno za analizu dokumentacije, povezivanje dokaza s kontrolama i izradu nacrta procjene. Međutim, u reguliranom okruženju treba znati gdje se dokumenti obrađuju, koji model sudjeluje u analizi i ostaju li podaci pod kontrolom organizacije.
Kod lokalne implementacije posebno je važno da AI obrada ne postane netransparentan proces. Korisnik mora moći pregledati zaključak sustava, razumjeti na kojem se dokazu temelji i potvrditi ili izmijeniti procjenu. AI može ubrzati administrativni dio posla, ali odgovornost za usklađenost ostaje na imenovanim osobama i upravi.
ITrevizija.hr taj pristup povezuje s AI upravljanjem dokazima, analizom dokumentacije, procjenom usklađenosti i upravljanjem neusklađenostima, uz mogućnost on-premise implementacije za organizacije s najzahtjevnijim sigurnosnim uvjetima. Ključna je korist u tome što se regulatorna obveza pretvara u operativni tijek rada, a ne u višemjesečni projekt konfiguriranja općeg GRC sustava.
On premise, EU hosting ili kombinirani model?
Odluka se ne mora svesti na izbor između dva krajnostna modela. EU hosting može biti primjeren za velik broj organizacija koje traže visoku razinu zaštite podataka, ugovornu jasnoću i brzi početak rada bez održavanja vlastite infrastrukture. Za njih je često važnije da su podaci hostani unutar EU-a, enkriptirani, pod kontroliranim pristupima i uz jasno definirane obveze pružatelja usluge, nego da se fizički nalaze u njihovom podatkovnom centru.
On-premise model ima prednost kada interni zahtjevi traže potpunu lokalnu kontrolu, kada integracije ne smiju prijeći mrežni perimetar ili kada se obrađuju podaci za koje je procjena rizika stroža od uobičajene. Kombinirani model može biti razuman kada se osjetljivi dokazi zadržavaju lokalno, a manje osjetljivi dijelovi procesa koriste u kontroliranom vanjskom okruženju. Takav pristup zahtijeva vrlo jasnu podjelu podataka i odgovornosti.
Najčešća pogreška jest odabrati on-premise isključivo zbog dojma veće sigurnosti. Druga je pogreška odabrati cloud samo zato što je brži za pokretanje. Oba modela mogu biti sigurna i učinkovita ako odgovaraju stvarnim poslovnim okolnostima, kapacitetu tima i prihvatljivoj razini rizika.
Kako procijeniti stvarnu vrijednost lokalnog modela
Dobra odluka počinje procjenom ukupnog operativnog troška, a ne samo licencijske cijene. U lokalni model treba uračunati infrastrukturu, administraciju, nadogradnje, sigurnosne kopije, nadzor, upravljanje certifikatima, testiranje oporavka i podršku korisnicima. Ako taj teret nadmašuje korist dodatne kontrole, EU-hostano rješenje može biti racionalniji izbor.
S druge strane, vrijednost lokalnog modela raste kada smanjuje prepreke u radu odgovornih timova. Ako sigurnosni tim može bez iznimki povezati platformu s internim sustavima, ako se dokazi ne moraju ručno izvoziti te ako uprava dobiva aktualan i dokaziv pregled rizika, on-premise implementacija postaje poslovna prednost, a ne tehnička preferencija.
Najkorisniji sljedeći korak nije rasprava o tehnologiji, nego zajednička radionica sigurnosti, IT-a, usklađenosti i interne revizije. Kada se na jednom mjestu mapiraju vrste podataka, obveze iz ZKS-a i NIS2, potrebne integracije te odgovornosti za održavanje, odabir modela implementacije postaje mjerljiva odluka – i temelj za trajnu spremnost na nadzor.