Digitális szuverenitás: mennyi ellenőrzést gyakorol az Ön digitális üzletmenete felett?

A vállalatok ma egyre több adatukat, alkalmazásukat és üzleti folyamataikat bízzák felhőszolgáltatásokra, digitális platformokra és külső szolgáltatókra. Ez számos előnyt hoz: gyorsabb megoldásbevezetést, nagyobb rugalmasságot és hozzáférést olyan technológiákhoz, amelyeket önállóan nehéz lenne fejleszteni vagy üzemeltetni. 

Ugyanakkor nő a függés a szolgáltatóktól, technológiáiktól, üzleti feltételeiktől és infrastruktúrájuktól is. Ezért egyre fontosabb kérdés, mennyi ellenőrzést képes a vállalat ténylegesen megtartani. 

A digitális szuverenitás nem azt jelenti, hogy a vállalatnak minden rendszert magának kell fejlesztenie és üzemeltetnie. Nem jelenti a teljes függetlenséget sem a külső szolgáltatóktól. Elsősorban azt jelenti, hogy a vállalat érti digitális függőségeit, megőrzi a kontrollt a kulcsfontosságú adatok és rendszerek felett, és képes cselekedni, amikor a technológia, a szolgáltatók vagy az üzleti körülmények megváltoznak. 

Ez a választás, az alkalmazkodás és a folyamatos működés képességéről szól. Ezért a digitális szuverenitás nem csak a közintézmények és a nagyvállalatok számára fontos, hanem minden olyan szervezetnek, amelynek működése digitális megoldásoktól függ. 

Ki ellenőrzi adatainkat? 

Amikor a digitális szuverenitásról beszélünk, gyakran először azt kérdezzük, hol vannak az adatok tárolva. Ez fontos, de önmagában a hely nem árulja el, ki gyakorol tényleges kontrollt felettük. 

Még ha az adatok fizikailag az Európai Unióban vannak is tárolva, ez nem jelenti automatikusan, hogy a szervezet teljes körűen ellenőrzi őket. Bizonyos körülmények között hozzáférhetnek a felhőszolgáltatók, a tárhelyszolgáltatók, az üzleti szoftverek szolgáltatói vagy más menedzselt IT-szolgáltatások, valamint alvállalkozóik és más felhatalmazott személyek is. 

Ezért a hely mellett fontos megvizsgálni, hogy ki fér hozzá az adatokhoz, milyen jogi és szerződéses alapon és milyen feltételek mellett. A hozzáféréseket a szervezetnek megfelelően korlátoznia, naplóznia és rendszeresen felül kell vizsgálnia. 

Lényeges kérdés az is, hogy ki kezeli a titkosítási kulcsokat. Ha az adatok titkosítottak, de a kulcsokat kizárólag a szolgáltató kezeli, az ügyfél kevesebb közvetlen kontrollt gyakorol a védelem felett, mint amennyinek elsőre tűnhet. Érzékenyebb adatok esetén ezért érdemes megvizsgálni, hogy a szervezet képes-e maga kezelni a kulcsokat, illetve tudja-e felügyelni azok használatát, cseréjét és visszavonását. 

Az adatok feletti kontroll világos válaszokat is jelent a gyakorlati kérdésekre: 

• kinek van adminisztrátori hozzáférése, 

• rendszeresen felülvizsgálják-e a hozzáférési jogosultságokat, 

• miként szüntetik meg a volt munkavállalók és külső közreműködők fiókjait, 

• megállapítható-e, hogy ki és mikor fért hozzá az adatokhoz, valamint 

• ki felel az esetleges visszaélések esetén történő intézkedésért. 

A digitális szuverenitás ezért nem a szervernél, hanem az átláthatóságnál kezdődik. A szervezetnek tudnia kell, mely adatok kulcsfontosságúak számára, hol találhatók, ki dolgozza fel őket, és ki férhet hozzájuk. 

A „Hol vannak az adataink?” kérdés jó kiindulópont. A tényleges kontrollhoz azonban hozzá kell tennünk még egyet: „Kinél vannak a kulcsok hozzájuk?” 

Mennyire függünk egy-egy szolgáltatótól? 

Külső szolgáltatók igénybevétele ma a digitális működés szokásos része. A felhőszolgáltatások, üzleti szoftverek és menedzselt IT-megoldások gyorsabb fejlődést, nagyobb rugalmasságot és olyan tudáshoz való hozzáférést tesznek lehetővé, amellyel a vállalat esetleg nem rendelkezik. A probléma ezért nem önmagában a függőség, hanem a függés, amelyet nem ismerünk elég jól, vagy nincs a kontrollunk alatt. 

Egy szervezet erősen kötődhet egy adott szolgáltatóhoz technológia, szerződéses feltételek, munkamódszerek vagy olyan speciális funkcionalitások miatt, amelyeket máshol nem lehet egyszerűen pótolni. Az ilyen kötődés gyakran csak akkor válik nyilvánvalóvá, amikor a vállalat szolgáltatót szeretne váltani, csökkenteni szeretné a szolgáltatás terjedelmét, vagy folyamatait más környezethez igazítani. 

Ezért fontos tudni: 

• milyen mértékben kötődnek folyamataink, tudásunk és mindennapi működésünk az egyes szolgáltatókhoz, 

• lehetővé teszi-e a megoldás a jól dokumentált és lehető leginkább szabványosított kapcsolódást más rendszerekhez, 

• átveheti-e a megoldást egy másik szolgáltató, 

• hozzáfér-e a szervezet a dokumentációhoz, a beállításokhoz és az adminisztrátori fiókokhoz, 

• mennyi időt és erőforrást igényelne a szolgáltatóváltás, és 

• milyenek a szerződéses és műszaki korlátok az együttműködés megszűnésekor. 

A szolgáltatóktól való teljes függetlenség a gyakorlatban ritkán értelmes. A specializált megoldások használata gyakran jelentős előnyökkel jár, de az alkalmazásukról szóló döntésnek tudatosnak kell lennie. A vállalatnak ismernie kell a választott megoldás előnyeit, valamint az esetleges kilépés költségeit és következményeit is. 

A digitális szuverenitás tehát nem azt jelenti, hogy minden áron el kell kerülni a szolgáltatói kötöttséget. Azt jelenti, hogy értjük, hol vagyunk függők, miért döntöttünk így, és hogyan járnánk el, ha az együttműködés feltételei megváltoznának. 

A jó kérdés nem csak az: „Elégedettek vagyunk a szolgáltatónkkal?” Ugyanilyen fontos: „Mi történne, ha le kellene cserélnünk?” 

Fenn tudjuk tartani a működést zavar esetén? 

A digitális szuverenitás nemcsak az adatok és a szolgáltatók feletti kontrollról szól, hanem az üzletmenet ellenálló-képességéről is. A kulcskérdés az, hogy a szervezet tudja-e folytatni a munkát, ha egy fontos digitális szolgáltatás átmenetileg meghibásodik vagy elérhetetlenné válik. 

A zavaroknak számos oka lehet: felhőszolgáltatás kiesése, internetkapcsolat megszakadása, kibertámadás vagy incidens, a szolgáltatónál bekövetkezett hiba, a felhasználói fiókokhoz való hozzáférés elvesztése vagy a rendszerek közötti kapcsolódási probléma. Ilyen esetekben nemcsak az a fontos, hogy létezik-e biztonsági mentés, hanem az is, milyen gyorsan állítható helyre a működés, és mely üzleti folyamatok végezhetők ideiglenesen más módon. 

Ezért a szervezetnek ismernie kell néhány alapvető kérdésre a választ: 

• mely rendszerek valóban kulcsfontosságúak a működés szempontjából, 

• mennyi ideig állhat egy-egy rendszer, 

• vannak-e használható és ellenőrzött biztonsági mentések, 

• ki felel a működés helyreállításáért, 

• dokumentáltak-e az incidenskezelési eljárások, és 

• milyen alternatív kommunikációs csatornák állnak rendelkezésre a dolgozók és az ügyfelek számára a zavar idején. 

Fontos különbség a biztonsági mentés és az üzletmenet-folytonossági terv között. A biztonsági mentés lehetővé teszi az adatok visszaállítását, de önmagában nem garantálja, hogy a szervezet gyorsan folytatni tudja a munkát. Ha előre nincs meghatározva a helyreállítás kezdeményezéséért viselt felelősség, a szolgáltatások prioritási sorrendje és a várható helyreállítási idő, a biztonsági mentés önmagában nem garantálja az üzletmenet-folytonosságot. 

A digitális szuverenitását erősíteni kívánó szervezet ezért nem abból indul ki, hogy nem lesznek zavarok. Ismernie kell kritikus függőségeit, rendelkeznie kell meghatározott eljárásokkal a reagálásra és a működés helyreállítására, és rendszeresen ellenőriznie kell, hogy ezek a gyakorlatban is működnek-e. 

A kérdés tehát nem csak az: „Vannak-e biztonsági mentéseink?” Még fontosabb: „Tudunk-e tovább működni zavar esetén?” 

Át tudjuk vinni a rendszereinket és adatainkat máshová? 

Az adatok és rendszerek áttelepíthetősége a digitális szuverenitás egyik legkézzelfoghatóbb próbája. Egy szervezet rendelkezhet jó kontrollal a jelenlegi környezet felett, tényleges mozgástere azonban korlátozott, ha a szolgáltatót, a platformot vagy az infrastruktúrát nem tudja kicserélni aránytalan költségek, hosszas leállások vagy adatvesztés nélkül. 

Ezért nem elég, ha a szolgáltató lehetővé teszi az adatexportot. Az is lényeges, milyen formátumban exportálhatók, teljesek-e, értelmezhetők és használhatók-e az adatok, illetve gond nélkül átvihetők-e másik környezetbe. Az egyes szolgáltatókra jellemző vagy nem kellően dokumentált formátumba történő export ugyanis még nem jelent valódi hordozhatóságot. 

Értékeléskor érdemes megvizsgálni: 

• exportálhatók-e minden kulcsadat a metaadatokkal és az előzményekkel együtt, 

• dokumentáltak-e a formátumok, és támogatottak-e más rendszerekben is, 

• a más megoldásokkal való integrációk és kapcsolatok megfelelően dokumentáltak-e, 

• hozzáfér-e a szervezet a konfigurációkhoz, a dokumentációhoz és – ahol releváns – a forráskódhoz, 

• mennyi időt, költséget és technikai munkát igényelne az áttelepítés, és 

• egyértelműen rögzíti-e a szerződés az eljárást az együttműködés megszűnése esetére. 

Lényeges kérdés az is, hogy a rendszer a költözés után is képes-e összehasonlítható módon működni. Az adatok gyakran átvihetők, jóval nehezebb azonban pótolni az üzleti szabályokat, az automatizmusokat, az integrációkat és azokat az egyedi funkcionalitásokat, amelyek az évek során egy-egy platform köré épültek. 

A hordozhatóság ezért nem pusztán technikai tulajdonság. Az adatformátumok, a dokumentáció, a szerződéses rendelkezések, a rendszerarchitektúra és a szervezet változásra való felkészültségének kombinációja. 

A digitális szuverenitás nem követeli meg, hogy a vállalat ténylegesen szolgáltatót váltson. Az a fontos, hogy reális lehetősége legyen megtenni, amikor üzleti, technológiai vagy biztonsági okok indokolják. 

A jó kérdés tehát nem csak az: „Ki tudjuk-e exportálni az adatokat?” Még fontosabb: „Hatékonyan fel is tudjuk használni őket máshol?” 

A digitális szuverenitás a függőségek megértésével kezdődik 

A digitális szuverenitás nem jelenti azt, hogy a szervezetnek minden adatot saját szerverein kell tárolnia, saját szoftvereket kell fejlesztenie, vagy kerülnie kell a külső szolgáltatókat. Ez a megközelítés a legtöbb vállalat számára drága, nehézkes és gyakran kevésbé biztonságos lenne. 

Azt jelenti viszont, hogy a szervezet érti, mely technológiáktól, szolgáltatóktól és folyamatoktól függ. Tudnia kell, ki ellenőrzi az adatait, miként működne zavar esetén, és szükség esetén át tudná-e helyezni a kulcsrendszereket másik környezetbe. 

A teljes függetlenség a digitális világban szinte lehetetlen, és gyakran nem is célszerű. Fontos azonban, hogy a szervezet ismerje a függőségeit, értse azok következményeit, és megfelelően kezelje a kockázatokat. 

Rövid digitális szuverenitási teszt: milyen kérdéseket kell feltennie a szervezetnek? 

A digitális szuverenitás szintjének kezdeti felméréséhez a szervezet feltehet néhány kulcskérdést:  

• Tudjuk, hol vannak a kulcsadataink, és ki férhet hozzájuk?

• Ellenőrzésünk alatt tartjuk az adminisztrátori fiókokat és a hozzáférési jogosultságokat? 

• Tudjuk, mely rendszerek kritikusak a működésünk szempontjából? 

• Rendelkezünk ellenőrzött eljárásokkal a reagálásra és a működés helyreállítására? 

• Ki tudjuk exportálni adatainkat használható és dokumentált formátumban? 

• Tudnánk szolgáltatót váltani aránytalan költségek vagy elhúzódó leállás nélkül? 

• Rendelkezünk elegendő dokumentációval és tudással ahhoz, hogy a rendszert egy másik csapat átvehesse? 

Ha ezekre a kérdésekre világos válaszok vannak, a szervezet már fontos lépést tett a nagyobb digitális szuverenitás felé. Ha nincsenek, az még nem ok pánikra. Jó ok viszont arra, hogy a digitális függőségeit rendszerszerűbben áttekintse. 

Végső soron a digitális szuverenitás nem arról szól, hogy függünk-e másoktól. Arról szól, hogy ismerjük-e a függőségeinket, és képesek vagyunk-e kezelni azokat.