Digitalna suverenost: koliko nadzora imate nad svojim digitalnim poslovanjem?

Poduzeća danas sve više svojih podataka, aplikacija i poslovnih procesa povjeravaju oblačnim uslugama, digitalnim platformama i vanjskim pružateljima usluga. To donosi brojne prednosti: brže uvođenje rješenja, veću prilagodljivost i pristup tehnologijama koje bi bilo teško samostalno razvijati ili održavati. 

Istodobno se povećava i ovisnost o pružateljima, njihovim tehnologijama, poslovnim uvjetima i infrastrukturi. Stoga postaje sve važnije pitanje, koliko nadzora poduzeće pri tome zapravo zadržava. 

Digitalna suverenost ne znači da poduzeće mora sve sustave razvijati i smještati samo. Ne znači ni potpunu neovisnost o vanjskim pružateljima. Znači prije svega da poduzeće razumije svoje digitalne ovisnosti, zadržava nadzor nad ključnim podacima i sustavima te može djelovati kada se tehnologija, pružatelji ili poslovne okolnosti promijene. 

Riječ je o sposobnosti izbora, prilagodbe i neprekinutog djelovanja. Zato digitalna suverenost nije važna samo za javne ustanove i velike korporacije, već za svaku organizaciju čije je poslovanje ovisno o digitalnim rješenjima. 

Tko nadzire naše podatke? 

Kad govorimo o digitalnoj suverenosti, često se najprije pitamo gdje su podaci pohranjeni. To je važno, no sama lokacija još ne govori tko nad njima ima stvarni nadzor. 

Čak i ako su podaci fizički pohranjeni u Europskoj uniji, to još ne znači da organizacija nad njima ima potpun nadzor. U određenim okolnostima do njih mogu pristupati pružatelji oblačnih usluga, hostinga, poslovnih softverskih rješenja ili drugih upravljanih IT-usluga, kao i njihovi podizvođači i druge ovlaštene osobe. 

Zato je, osim lokacije, važno provjeriti tko ima pristup podacima, na kojoj pravnoj i ugovornoj osnovi te pod kojim uvjetima. Organizacija također mora odgovarajuće ograničiti, evidentirati i redovito preispitivati pristupe. 

Važno je i pitanje tko upravlja šifrirnim ključevima. Ako su podaci šifrirani, ali ključevima upravlja isključivo pružatelj, naručitelj ima nad njihovom zaštitom manje neposrednog nadzora nego što se možda čini na prvi pogled. Kod osjetljivijih podataka stoga je razumno provjeriti može li organizacija ključevima upravljati sama, odnosno može li nadzirati njihovu uporabu, zamjenu i opoziv. 

Nadzor nad podacima uključuje i jasne odgovore na praktična pitanja: 

• tko ima administratorski pristup, 

• preispituju li se redovito prava pristupa, 

• kako se ukidaju računi bivših zaposlenika i vanjskih suradnika, 

• može li se utvrditi tko je pristupao podacima i kada te 

• tko je odgovoran za postupanje u slučaju moguće zlouporabe. 

Digitalna se suverenost stoga ne počinje na poslužitelju, nego s transparentnošću. Organizacija mora znati koji su joj podaci ključni, gdje se nalaze, tko ih obrađuje i tko može intervenirati u njih. 

Pitanje »Gdje su naši podaci?« dobar je početak. Za stvaran nadzor treba mu dodati još jedno: »Tko sve ima ključeve do njih?« 

Koliko ovisimo o pojedinom pružatelju? 

Korištenje vanjskih pružatelja danas je uobičajen dio digitalnog poslovanja. Oblačne usluge, poslovni softver i upravljana IT-rješenja poduzećima omogućuju brži razvoj, veću prilagodljivost i pristup znanju koje možda sama nemaju. Problem stoga nije ovisnost sama po sebi, već ovisnost koju nedovoljno poznajemo ili nemamo pod nadzorom. 

Organizacija može biti snažno vezana uz pojedinog pružatelja zbog tehnologije, ugovornih uvjeta, načina rada ili posebnih funkcionalnosti koje drugdje nije moguće jednostavno nadomjestiti. Takva se vezanost često pokaže tek kada poduzeće želi zamijeniti uslugu, smanjiti njezin opseg ili svoje procese prilagoditi drugom okruženju. 

Zato je važno znati: 

• koliko su naši procesi, znanje i svakodnevno funkcioniranje vezani uz pojedinog pružatelja, 

• omogućuje li rješenje dobro dokumentirano i što standardiziranije povezivanje s drugim sustavima, 

• može li rješenje preuzeti drugi izvođač, 

• ima li organizacija pristup dokumentaciji, postavkama i administratorskim računima, 

• koliko bi vremena i sredstava zahtijevala zamjena pružatelja te 

• koja su ugovorna i tehnička ograničenja pri prestanku suradnje. 

Potpuna neovisnost od pružatelja u praksi je rijetko smislena. Korištenje specijaliziranih rješenja često donosi važne prednosti, ali odluka o njihovoj uporabi mora biti svjesna. Poduzeće bi trebalo poznavati koristi odabranog rješenja, ali i troškove te posljedice mogućeg izlaska. 

Digitalna suverenost stoga ne znači da se vezanosti na pružatelje treba izbjegavati pod svaku cijenu. Znači da razumijemo gdje smo ovisni, zašto smo se za to odlučili i kako bismo postupili kada bi se uvjeti suradnje promijenili. 

Dobro pitanje nije samo: »Jesmo li zadovoljni svojim pružateljem?« Jednako je važno i: »Što bi se dogodilo kad bismo ga morali zamijeniti?« 

Možemo li nastaviti poslovanje u slučaju prekida? 

Digitalna suverenost nije povezana samo s nadzorom nad podacima i pružateljima, već i s otpornošću poslovanja. Ključno je pitanje može li organizacija nastaviti rad ako važna digitalna usluga privremeno otkaže ili postane nedostupna. 

Prekidi mogu imati različite uzroke: ispad oblačne usluge, prekid internetske veze, kibernetički incident, pogreška kod pružatelja, gubitak pristupa korisničkim računima ili problem pri povezivanju među sustavima. U takvim slučajevima nije važno samo postoji li sigurnosna kopija, već i koliko se brzo može obnoviti rad te koje se poslovne procese u međuvremenu može izvoditi na drugačiji način. 

Organizacija bi stoga trebala znati odgovore na nekoliko osnovnih pitanja: 

• koji su sustavi za poslovanje doista ključni, 

• koliko dugo pojedini sustav može biti izvan pogona, 

• postoje li upotrebljive i provjerene sigurnosne kopije, 

• tko je odgovoran za obnovu rada, 

• jesu li postupci u slučaju incidenta dokumentirani te 

• koji su zamjenski komunikacijski kanali dostupni zaposlenicima i klijentima tijekom prekida. 

Važna je i razlika između sigurnosne kopije i plana neprekinutog poslovanja. Sigurnosna kopija omogućuje obnovu podataka, ali ne jamči nužno da će organizacija moći brzo nastaviti rad. Ako unaprijed nisu određeni odgovorni za pokretanje obnove, prioritetni redoslijed usluga i očekivano vrijeme uspostave, sama sigurnosna kopija ne osigurava neprekinuto poslovanje. 

Organizacija koja želi ojačati svoju digitalnu suverenost stoga ne računa na to da do prekida neće doći. Mora poznavati svoje kritične ovisnosti, imati definirane postupke za odgovor i obnovu rada te redovito provjeravati funkcioniraju li oni i u praksi. 

Pitanje dakle nije samo: »Imamo li sigurnosne kopije?« Važnije je: »Možemo li u slučaju prekida i dalje poslovati?« 

Možemo li svoje sustave i podatke preseliti drugdje? 

Mogućnost selidbe podataka i sustava jedan je od najkonkretnijih testova digitalne suverenosti. Organizacija može imati dobar nadzor nad trenutačnim okruženjem, ali njezina je stvarna sloboda ograničena ako pružatelja, platformu ili infrastrukturu ne može zamijeniti bez nesrazmjernih troškova, dugotrajnih prekida ili gubitka podataka. 

Zato nije dovoljno da pružatelj omogućuje izvoz podataka. Važno je i u kojem ih formatu možemo izvesti, jesu li podaci potpuni, razumljivi i uporabni te mogu li se bez većih poteškoća prenijeti u drugo okruženje. Izvoz u formatu koji je specifičan za pojedinog pružatelja ili nije dovoljno dobro dokumentiran naime još ne znači stvarnu prenosivost. 

Pri procjeni razumno je provjeriti: 

• je li moguće izvesti sve ključne podatke zajedno s metapodacima i poviješću, 

• jesu li formati dokumentirani i podržani i u drugim sustavima, 

• jesu li integracije i veze s drugim rješenjima odgovarajuće dokumentirane, 

• ima li organizacija pristup konfiguracijama, dokumentaciji i izvornom kodu, kada je to relevantno, 

• koliko bi vremena, troškova i tehničkog rada zahtijevala selidba te 

• određuje li ugovor jasno postupak pri prestanku suradnje. 

Važno je i pitanje može li sustav nakon selidbe i dalje funkcionirati na usporediv način. Podatke je često moguće prenijeti, ali je bitno teže nadomjestiti poslovna pravila, automatizacije, integracije i posebne funkcionalnosti koje su se tijekom godina razvile oko pojedine platforme. 

Prenosivost stoga nije samo tehničko svojstvo. To je kombinacija podatkovnih formata, dokumentacije, ugovornih odredbi, arhitekture sustava i spremnosti organizacije na promjenu. 

Digitalna suverenost ne zahtijeva da poduzeće pružatelja doista zamijeni. Važno je da ima realnu mogućnost to učiniti kada za to postoje poslovni, tehnološki ili sigurnosni razlozi. 

Dobro pitanje stoga nije samo: »Možemo li izvesti podatke?« Važnije je: »Možemo li ih i učinkovito upotrijebiti drugdje?« 

Digitalna suverenost počinje razumijevanjem ovisnosti 

Digitalna suverenost ne znači da organizacija mora sve podatke čuvati na vlastitim poslužiteljima, razvijati vlastiti softver ili izbjegavati vanjske pružatelje. Takav bi pristup za većinu poduzeća bio skup, zahtjevan i često i manje siguran. 

Znači, međutim, da organizacija razumije o kojim je tehnologijama, pružateljima i procesima ovisna. Mora znati tko nadzire njezine podatke, kako bi poslovala u slučaju prekida i bi li ključne sustave po potrebi mogla preseliti u drugo okruženje. 

Potpuna neovisnost u digitalnom svijetu gotovo nije moguća, a često nije ni smislena. Važno je, međutim, da organizacija poznaje svoje ovisnosti, razumije njihove posljedice i primjereno upravlja rizicima. 

Kratki test digitalne suverenosti: koja si pitanja organizacija mora postaviti? 

Za početnu procjenu razine digitalne suverenosti organizacija si može postaviti nekoliko ključnih pitanja:  

• Znamo li gdje su naši ključni podaci i tko im može pristupiti?

• Imamo li nadzor nad administratorskim računima i pravima pristupa? 

• Znamo li koji su sustavi kritični za naše poslovanje? 

• Imamo li provjerene postupke za odgovor i obnovu rada? 

• Možemo li svoje podatke izvesti u uporabnom i dokumentiranom formatu? 

• Bismo li mogli zamijeniti pružatelja bez nesrazmjernih troškova ili dugotrajnog prekida? 

• Imamo li dovoljno dokumentacije i znanja da sustav može preuzeti drugi tim? 

Ako su odgovori na ta pitanja jasni, organizacija je već napravila važan korak prema većoj digitalnoj suverenosti. Ako nisu, to još nije razlog za uzbunu. No dobar je razlog da svoje digitalne ovisnosti počne sustavnije preispitivati. 

U konačnici, digitalna suverenost nije pitanje jesmo li ovisni o drugima. Pitanje je poznajemo li svoje ovisnosti i možemo li njima upravljati.