Kada organizacija prikuplja revizijske dokaze, analizira sigurnosne incidente ili priprema izvješća za nadzor, pitanje nije samo gdje će aplikacija raditi. Pitanje EU hosting ili lokalni server izravno utječe na dostupnost podataka, odgovornost dobavljača, brzinu oporavka, mogućnost nadzora i dokazivanje usklađenosti sa ZKS-om, NIS2 obvezama te internim pravilima upravljanja rizicima.
Pogrešna odluka često ne izgleda kao pogreška prvog dana. Problem se otkrije kada revizor zatraži trag pristupa, kada sigurnosni tim mora brzo utvrditi opseg incidenta ili kada uprava treba potvrditi gdje se obrađuju osjetljivi podaci. Zato izbor modela smještaja treba donijeti na temelju operativnih zahtjeva i procjene rizika, a ne samo prema početnoj cijeni ili navici da se sve drži unutar vlastite infrastrukture.
EU hosting ili lokalni server: što se zapravo uspoređuje?
EU hosting podrazumijeva rad aplikacije i pohranu podataka u podatkovnim centrima unutar Europske unije, uz ugovorno definirane sigurnosne mjere, lokaciju obrade i odgovornosti pružatelja usluge. U poslovnom smislu to je najčešće SaaS ili upravljana usluga: dobavljač održava infrastrukturu, ažuriranja, sigurnosne zakrpe i dostupnost, dok organizacija upravlja korisnicima, podacima, procesima i ovlastima.
Lokalni server, odnosno on-premise implementacija, znači da se aplikacija izvršava u infrastrukturi organizacije ili u privatnom okruženju kojim ona izravno upravlja. Tim modelom organizacija može zadržati maksimalnu kontrolu nad mrežnom segmentacijom, pristupom, integracijama i fizičkom lokacijom sustava. No preuzima i veći dio odgovornosti za održavanje, sigurnosne kopije, nadogradnje, nadzor te plan oporavka od katastrofe.
Važno je razlikovati lokaciju od stvarne sigurnosti. Poslužitelj u vlastitom podatkovnom centru nije automatski sigurniji, jednako kao što EU hosting nije sam po sebi dokaz usklađenosti. Sigurnost ovisi o arhitekturi, enkripciji, upravljanju identitetima, zapisima aktivnosti, redovitom testiranju, reakciji na incidente i jasno raspodijeljenim odgovornostima.
Kada EU hosting donosi stvarnu poslovnu prednost
Za većinu srednjih i velikih organizacija EU hosting je praktičan izbor kada je cilj brzo uvesti sustav za upravljanje usklađenošću bez višemjesečnog infrastrukturnog projekta. Umjesto nabave poslužitelja, konfiguriranja okruženja i čekanja internih promjena, tim može odmah početi organizirati dokaze, evidentirati nesukladnosti i pratiti provedbu korektivnih aktivnosti.
Prednost je posebno vidljiva u procesima koji se stalno mijenjaju. Zahtjevi ZKS-a, NIS2 regulative, internih politika i ugovornih obveza traže redovito ažuriranje kontrola, izvješća i procjena. U upravljanoj usluzi ažuriranja aplikacije, praćenje ranjivosti i održavanje platforme mogu biti standardizirani, što internom IT timu ostavlja više vremena za sigurnosne prioritete specifične za organizaciju.
EU lokacija obrade također pojednostavnjuje procjenu prekograničnih prijenosa podataka. To ne ukida potrebu za pažljivom provjerom podugovaratelja, ugovornih odredbi i kategorija podataka, ali smanjuje složenost u odnosu na modele u kojima se podaci rutinski obrađuju izvan europskog regulatornog prostora.
Za sustave koji sadrže revizijske dokaze, procjene rizika i dokumentaciju o sigurnosnim mjerama treba tražiti više od oznake „hostirano u EU”. Organizacija mora znati tko administrira sustav, gdje se nalaze sigurnosne kopije, kako se upravlja pristupom i koliko brzo dobavljač prijavljuje sigurnosni događaj. Enkripcija podataka, kontrola pristupa prema ulogama, evidencija aktivnosti i odvojeni modeli umjetne inteligencije relevantni su jednako kao geografska lokacija podatkovnog centra.
Kada je lokalni server opravdan izbor
On-premise model ima smisla kada organizacija obrađuje podatke koji zbog vlastite klasifikacije, sektorskih pravila ili procjene rizika ne smiju napustiti kontrolirano interno okruženje. To može biti slučaj kod kritične infrastrukture, određenih zdravstvenih sustava, obrambenih procesa ili okruženja s vrlo restriktivnim mrežnim pravilima.
Lokalna implementacija često je opravdana i kada aplikacija mora biti povezana s internim sustavima koji nisu dostupni izvan organizacijske mreže. Ako se podaci o imovini, incidentima, identitetima ili zapisima o pristupu nalaze u strogo segmentiranim mrežama, lokalni model može smanjiti potrebu za dodatnim izlaganjem integracijskih sučelja.
Međutim, kontrola nije isto što i manji rizik. Organizacija koja bira lokalni server mora realno procijeniti ima li ljude, postupke i proračun za kontinuirano upravljanje platformom. To uključuje pravodobno instaliranje zakrpa, praćenje zapisa, testiranje sigurnosnih kopija, upravljanje certifikatima, skeniranje ranjivosti i redovitu provjeru plana oporavka. Ako se te aktivnosti odgađaju zbog manjka kapaciteta, lokalni sustav može postati veći operativni rizik od kvalitetno upravljane EU usluge.
Usklađenost se ne kupuje lokacijom poslužitelja
Regulatorna spremnost ne proizlazi iz jedne tehničke odluke. NIS2 i hrvatski okvir kibernetičke sigurnosti od organizacija očekuju upravljanje rizicima, primjerenost sigurnosnih mjera, evidentiranje i prijavu incidenata, kontinuitet poslovanja te odgovornost upravljačkih tijela. Model hostinga treba podržati te obveze, a ne služiti kao zamjena za njih.
Primjerice, ako koristite EU hosting, u svojim dokazima trebate moći pokazati procjenu dobavljača, ugovorne obveze, opis kontrola, upravljanje korisničkim pristupima i postupak postupanja u incidentu. Ako koristite lokalni server, trebate dokazati tko je odgovoran za administraciju, kako se upravlja promjenama, jesu li zakrpe pravodobne i mogu li se podaci vratiti nakon prekida rada ili napada ransomwareom.
Najbolji model je onaj u kojem se odgovornost može jasno dokumentirati. Upravo to revizorima, upravi i sigurnosnom timu treba: ne općenita tvrdnja da su podaci sigurni, nego provjerljivi dokazi o tome kako se sigurnost provodi.
Kako donijeti odluku bez pretpostavki
Odluku treba započeti klasifikacijom podataka, a ne odabirom tehnologije. Razdvojite podatke koji su nužni za procjenu usklađenosti od podataka koje nije potrebno unositi u platformu. Procijenite sadrži li dokumentacija osobne podatke, poslovne tajne, podatke o ranjivostima ili tehničke zapise čije bi otkrivanje povećalo sigurnosni rizik.
Zatim procijenite četiri pitanja: zahtijeva li regulatorni ili interni okvir lokalnu obradu, imate li kapacitet za sigurno upravljanje vlastitom infrastrukturom, koliko je važna brzina implementacije te koje integracije sustav mora podržati. Odgovor ne mora biti jednak za sve sustave. Organizacija može koristiti EU hosting za upravljanje usklađenošću, a pojedine najosjetljivije tehničke podatke zadržati u internim repozitorijima uz kontrolirane reference i dokaze.
Treba uzeti u obzir i izlaznu strategiju. Kod upravljane usluge provjerite kako se podaci izvoze, u kojem se roku brišu nakon prestanka ugovora i dobivate li strukturiran zapis potreban za kontinuitet poslovanja. Kod lokalnog modela utvrdite tko održava aplikaciju ako ključni administrator ode iz organizacije te kako se provodi nadogradnja bez prekida ključnih procesa.
Praktičan pristup za regulirane organizacije
Za organizacije koje trebaju brzo uspostaviti pregled nad obvezama, dokazima i akcijskim planovima, EU hosting s jasno definiranim sigurnosnim mjerama često daje najbolji omjer brzine, troška i kontrole. Takav pristup omogućuje da se fokus prebaci s održavanja infrastrukture na stvarni posao: utvrđivanje nesukladnosti, dodjelu odgovornosti i praćenje provedbe mjera.
S druge strane, za zahtjevne subjekte s posebnim pravilima obrade ili izoliranim mrežama, on-premise implementacija može biti ispravan odgovor. ITrevizija.hr zato podržava EU hosting, uz mogućnost on-premise implementacije kada procjena rizika i organizacijski zahtjevi to opravdavaju.
Dobra odluka nije ona koja zvuči najstrože, nego ona koju možete dugoročno održavati, nadzirati i dokazati. Kada su lokacija podataka, tehničke kontrole i odgovornosti zapisane u istom upravljačkom okviru, hosting prestaje biti infrastrukturna rasprava i postaje mjerljiv dio kibernetičke otpornosti.