Euvic Talks - Rozwiązania Chmurowe Bez Tajemnic: Demaskujemy mity

Pełnia funkcję wiceprezesa i dyrektora technicznego. Zarządzam dość dużym zespołem realizacyjnym, który skupia się między innymi na technologiach, jakby na dostarczeniu technologii w obszarze chmury obliczeniowej, ale też cyberbezpieczeństwa, sieci komputerowych, technologii związanych z tak zwanym ładnie modern workplacem, czyli Microsoft 365 i wszystko co wokół, Google Workspace i wszystko co wokół. W sumie dzisiaj nie ma co bardzo alternatyw, więc taki stos technologiczny. No właśnie, pamiętam jeszcze kilkanaście lat temu, kiedy jeszcze przeżywałem piękne czasy studenckie.

I nagle się okazuje, że adopcja chmury tam jest można powiedzieć zerowa, bo sprowadza się tylko i wyłącznie np. do platformy Microsoft 365, czyli jakby modern workplace jest ok, ale w obszarze tych systemów czysto biznesowych i tego jak dostarczamy np. aplikacje swoim użytkownikom z perspektywy tego dostawcy usługi. Wszystko jest serwowane z On-Prem Data Center. Ewentualnie poszczególne małe, punktowe elementy są serwowane z platform chmury publicznej. Natomiast najczęściej te najmniej znaczące, najczęściej te, które rzucają najmniej kłód pod nogi, W postaci na przykład wymogów na zgodność regulacyjną, czy na zasady cyberbezpieczeństwa, które w sumie rzeczy powinny być cały czas na jednakowo mocnym poziomie, ale z jakiegoś powodu często nie są.

I też te dane sobie kolekcjonujemy, więc jakby z naszych estymacji wynika, że to jest jeden z takich głównych podnoszonych argumentów przeciw. Natomiast czy rzeczywiście ta chmura jest droga? Jeżeli policzymy sobie wszystkie koszty, policzymy sobie kwestie jak efektywnie z tej chmury skorzystać, Zastanowimy się nad tym, jakie rzeczywiście systemy powinny w ramach chmury obliczeniowej wylądować, jakie może niekoniecznie, albo jak podejść do swojego stosu technologicznego, jak go przemodelować, żeby on był bardziej adekwatny do chmury, to nagle może się okazać, że po pierwsze sam koszt per se jest wcale nie taki duży,

Po polsku mamy szereg wytycznych budowanych przez dostawców platform chmurowych, które prowadzą nas za rękę w tej drodze do chmury. Myślę, że to bardziej należy rozpatrywać w kategorii trochę takiego strachu, który nie do końca się materializuje na koniec dnia. Więc regulacje to jest na pewno wyzwanie, na pewno trzeba wziąć to pod uwagę. Natomiast jest szereg narzędzi, którymi można się posłużyć do tego, żeby zbudować chmurę w sposób całkowicie zgodny z wymaganiami regulatora, jeżeli to jest rynek regulowany. Czy z wymaganiami jakimiś ogólnymi, bo też tutaj należy wspomnieć o na przykład wymaganiach ustawy o Krajowym Systemie Cyberbezpieczeństwa, czy NIS-ie drugim, który właśnie wchodzi i teraz jest na ustach wszystkich.

Także to jest też na pewno duży element. Dużo też naszych klientów często podnosi element, czy może nawet nie naszych klientów, ale też często słyszy się to po prostu z rynku, że chmura jest niebezpieczna. Tak, bo ja muszę te systemy wypuścić właśnie z tego mojego data center, muszę otworzyć się, można powiedzieć, na świat, co powoduje, że być może tracę pewną kontrolę. Teraz, co oznacza wejście do chmury i czy rzeczywiście ona jest taka niebezpieczna? Ja generalnie nie słyszałem o dużym, jak to się ładnie mówi, case związanym z cyberbezpieczeństwa i z dostawcą chmurowym pod tytułem Amazon, czy Google, czy Microsoft.

Tutaj nie ma mowy o tym, że na przykład budynek sąsiaduje z innym, który ma kompletnie inną specyfikę działalności, to znaczy jest na przykład zapakowany od podłogi po sam dach teksteliami. Są odpowiednie granice bezpieczeństwa, strefy bezpieczeństwa i fizycznego i tego związanego z IT, z cyberbezpieczeństwem. Kwestia pożaru to też ciągłość działania i tutaj Ja bym to troszeczkę uogólnił, to znaczy czy moja utrata ciągłości działania związana z utratą dostępu do danych, które przetwarzam w zewnętrznym datacenter nastąpiła w następstwie pożaru, czy też nastąpiła w następstwie ataku typu ransomware, to znaczy datacenter nie spłonęło, ale wszystkie dane zostały zaszyfrowane.

To z perspektywy mnie jako biorcy usługi nie powinno to interesować. Ja powinienem mieć plany ciągłości działania przygotowane w taki sposób, żeby praktycznie rzecz biorąc jakikolwiek typ czynnika zewnętrznego, który spowoduje, że tracę dostęp do swoich danych, bo do tego się to sprowadza, tracę dostęp do swoich danych, do możliwości ich obróbki, serwowania moim klientom i tak dalej. Żeby nie wpływał na mój biznes i tutaj i tak na to należy popatrzeć. Natomiast wracając do tego pierwszego wątku cyberbezpieczeństwa, bo to się najczęściej sprowadza właśnie ten strach na temat bezpieczeństwa zewnętrznych centrów przetwarzania danych, najczęściej jakby wrzucamy do worka pod tytułem cyberbezpieczeństwo.

I worek pod tytułem cyberbezpieczeństwo według mnie tutaj ma bardzo małe szanse zmaterializowania się u dużych dostawców publicznej chmury obliczeniowej. Natomiast im bardziej w kierunku mojego własnego on-premise data center, tym bardziej wystawiam się na to ryzyko. Z różnych czynników. Tutaj musielibyśmy wejść bardzo głęboko w kwestie zarządzania procesami związanymi z ciągłością działania i cyberbezpieczeństwem, a to myślę, że to jest też pewnie materiał na inny podcast. Ale przechodząc tak jakby gradując od góry, bo można powiedzieć, że są te platformy publicznej chmury obliczeniowej, duzi dostawcy globalni, Mamy szereg mniejszych dostawców, którzy serwują usługi kolokacyjne, serwują usługi ajasowe, czasem pasowe, ale ciężko mówić tutaj o tej skali, którą dostarczają duzi dostawcy.

I tutaj już z racji tego, że to jest też pewien typ usługi, to jest IaaS, gdzie dostawca dostarcza infrastrukturę serwerową, infrastrukturę storage'ową, infrastrukturę komunikacyjną, natomiast nie bierze odpowiedzialności za to, co się dzieje powyżej systemu operacyjnego w ramach stosu technologicznego. Czyli wchodzimy tutaj w ten model podzielonej odpowiedzialności. I więcej tej odpowiedzialności związanej z atakami na warstwę danych, warstwę aplikacyjną, warstwę systemów operacyjnych zaczyna spływać na mnie jako biorcę usługi i wtedy ja muszę sobie z tym poradzić, tak? A jeżeli jestem w ogóle w swoim on-premise data center, to muszę zadbać o cały stos technologiczny, Oczywiście, jak jestem dużą organizacją, czy jakby członkiem jakiejś grupy, globalnej grupy finansowej na przykład, to mogę próbować czerpać te best practices z moich peerów, natomiast to nigdy nie będą best practices wypracowane i zbudowane na tak dużym i tak ustrukturyzowanym i mocnym poziomie, jak globalni dostawcy publicznej chmury obliczeniowej.

Więc koszt, regulacje, cyberbezpieczeństwo to są chyba takie największe mity, podnoszone obiekcje, jak zwał tak zwał. Sprowadza się to do podobnych rzeczy na koniec dnia. Jasne. Zahaczyłeś też o ESG. Czy twoim zdaniem jest to po prostu Sexy hasło, które znowu zostało wykreowane w ostatnim czasie. Czy jest to realny problem i jak to się ma do tej chmury? Jedno i drugie, bo to jest ważne hasło. Duże organizacje, spółki giełdowe będą musiały raportować ten obszar i będą do tego zobligowane.

I to jest też jeden z elementów, które możemy połączyć właśnie tutaj z tym cyberbezpieczeństwem czy jakby podnoszeniem ryzyk związanych z tym, że muszę wyjść na zewnątrz. No bo jeżeli nie wiem jaką klasyfikację danych, nie wiem, które dane są dla mnie business critical, które są nazwijmy to takie commodity, które są mniej znaczące, które są bardziej znaczące, To może wtedy wolę jakby przyjąć pozycję taką zachowawczą i powiedzieć, no to w takim razie wszystko trzymam w tym swoim data center i to przynajmniej fizycznie mam nadzieję, że to tam jest. Oczywiście później to data center jest połączone z internetem.