Digitalna suverenost: koliko nadzora imate nad svojim digitalnim poslovanjem?

Podjetja danes vse več svojih podatkov, aplikacij in poslovnih procesov zaupajo oblačnim storitvam, digitalnim platformam in zunanjim izvajalcem. To prinaša številne prednosti: hitrejše uvajanje rešitev, večjo prilagodljivost in dostop do tehnologij, ki bi jih bilo težko razvijati ali vzdrževati samostojno. 

Hkrati pa se povečuje tudi odvisnost od ponudnikov, njihovih tehnologij, poslovnih pogojev in infrastrukture. Zato postaja vse pomembnejše vprašanje, koliko nadzora podjetje ob tem dejansko ohrani. 

Digitalna suverenost ne pomeni, da mora podjetje vse sisteme razviti in gostiti samo. Prav tako ne pomeni popolne neodvisnosti od zunanjih ponudnikov. Pomeni predvsem, da podjetje razume svoje digitalne odvisnosti, ohranja nadzor nad ključnimi podatki in sistemi ter lahko ukrepa, kadar se tehnologija, ponudniki ali poslovne okoliščine spremenijo. 

Gre za sposobnost izbire, prilagajanja in neprekinjenega delovanja. Zato digitalna suverenost ni pomembna le za javne ustanove in velike korporacije, temveč za vsako organizacijo, katere poslovanje je odvisno od digitalnih rešitev. 

Kdo nadzoruje naše podatke? 

Ko govorimo o digitalni suverenosti, se pogosto najprej vprašamo, kje so podatki shranjeni. To je pomembno, vendar lokacija sama še ne pove, kdo ima nad njimi dejanski nadzor. 

Tudi če so podatki fizično shranjeni v Evropski uniji, to še ne pomeni, da ima organizacija nad njimi popoln nadzor. Do njih lahko v določenih okoliščinah dostopajo ponudniki oblačnih storitev, gostovanja, poslovne programske opreme ali drugih upravljanih IT-storitev, pa tudi njihovi podizvajalci in druge pooblaščene osebe. 

Zato je poleg lokacije pomembno preveriti, kdo ima dostop do podatkov, na kakšni pravni in pogodbeni podlagi ter pod katerimi pogoji. Prav tako mora organizacija dostope ustrezno omejiti, beležiti in redno pregledovati. 

Pomembno vprašanje je tudi, kdo upravlja šifrirne ključe. Če so podatki šifrirani, vendar ključe upravlja izključno ponudnik, ima naročnik nad njihovim varovanjem manj neposrednega nadzora, kot se morda zdi na prvi pogled. Pri občutljivejših podatkih je zato smiselno preveriti, ali lahko organizacija ključe upravlja sama oziroma ali lahko nadzoruje njihovo uporabo, menjavo in preklic. 

Nadzor nad podatki vključuje tudi jasne odgovore na praktična vprašanja: 

• kdo ima administratorski dostop, 

• ali se dostopne pravice redno pregledujejo, 

• kako se ukinjajo računi nekdanjih zaposlenih in zunanjih sodelavcev, 

• ali je mogoče ugotoviti, kdo je do podatkov dostopal in kdaj ter 

• kdo je odgovoren za ukrepanje ob morebitni zlorabi. 

Digitalna suverenost se zato ne začne pri strežniku, temveč pri preglednosti. Organizacija mora vedeti, kateri podatki so zanjo ključni, kje se nahajajo, kdo jih obdeluje in kdo lahko posega vanje. 

Vprašanje »Kje so naši podatki?« je dober začetek. Za resničen nadzor pa mu moramo dodati še drugo: »Kdo vse ima ključe do njih?« 

Kako odvisni smo od posameznega ponudnika? 

Uporaba zunanjih ponudnikov je danes običajen del digitalnega poslovanja. Oblačne storitve, poslovna programska oprema in upravljane IT-rešitve podjetjem omogočajo hitrejši razvoj, večjo prilagodljivost in dostop do znanja, ki ga sama morda nimajo. Težava zato ni odvisnost sama po sebi, temveč odvisnost, ki je ne poznamo dovolj dobro ali je nimamo pod nadzorom. 

Organizacija je lahko močno vezana na posameznega ponudnika zaradi tehnologije, pogodbenih pogojev, načina dela ali posebnih funkcionalnosti, ki jih drugje ni mogoče preprosto nadomestiti. Takšna vezanost se pogosto pokaže šele, ko želi podjetje storitev zamenjati, zmanjšati njen obseg ali svoje procese prilagoditi drugemu okolju. 

Zato je pomembno vedeti: 

• kako močno so naši procesi, znanje in vsakodnevno delovanje vezani na posameznega ponudnika, 

• ali rešitev omogoča dobro dokumentirano in čim bolj standardizirano povezovanje z drugimi sistemi, 

• ali lahko rešitev prevzame drug izvajalec, 

• ali ima organizacija dostop do dokumentacije, nastavitev in administratorskih računov, 

• koliko časa in sredstev bi zahtevala zamenjava ponudnika ter 

• kakšne so pogodbene in tehnične omejitve ob prenehanju sodelovanja. 

Popolna neodvisnost od ponudnikov je v praksi redko smiselna. Uporaba specializiranih rešitev pogosto prinaša pomembne prednosti, vendar mora biti odločitev o njihovi uporabi zavestna. Podjetje bi moralo poznati koristi izbrane rešitve, pa tudi stroške in posledice morebitnega izhoda. 

Digitalna suverenost zato ne pomeni, da se vezanosti na ponudnike izognemo za vsako ceno. Pomeni, da razumemo, kje smo odvisni, zakaj smo se za to odločili in kako bi ukrepali, če bi se pogoji sodelovanja spremenili. 

Dobro vprašanje ni le: »Ali smo zadovoljni s svojim ponudnikom?« Enako pomembno je tudi: »Kaj bi se zgodilo, če bi ga morali zamenjati?« 

Ali lahko ob motnji nadaljujemo poslovanje? 

Digitalna suverenost ni povezana le z nadzorom nad podatki in ponudniki, temveč tudi z odpornostjo poslovanja. Ključno vprašanje je, ali lahko organizacija nadaljuje delo, če pomembna digitalna storitev začasno odpove ali postane nedosegljiva. 

Motnje imajo lahko različne vzroke: izpad oblačne storitve, prekinitev internetne povezave, kibernetski incident, napaka pri ponudniku, izguba dostopa do uporabniških računov ali težava pri povezovanju med sistemi. V takšnih primerih ni pomembno le, ali obstaja varnostna kopija, temveč tudi, kako hitro je mogoče obnoviti delovanje in katere poslovne procese je mogoče v vmesnem času izvajati drugače. 

Organizacija bi zato morala poznati odgovore na nekaj osnovnih vprašanj: 

• kateri sistemi so za poslovanje resnično ključni, 

• kako dolgo lahko posamezen sistem ne deluje, 

• ali obstajajo uporabne in preverjene varnostne kopije, 

• kdo je odgovoren za obnovitev delovanja, 

• ali so postopki ob incidentu dokumentirani ter 

• kateri nadomestni komunikacijski kanali so na voljo zaposlenim in strankam med motnjo. 

Pomembna je tudi razlika med varnostno kopijo in načrtom neprekinjenega poslovanja. Varnostna kopija omogoča obnovitev podatkov, ne zagotavlja pa nujno, da bo organizacija lahko hitro nadaljevala delo. Če niso vnaprej določeni odgovornost za sprožitev obnove, prednostni vrstni red storitev in pričakovani čas vzpostavitve, varnostna kopija sama po sebi ne zagotavlja neprekinjenega poslovanja. 

Organizacija, ki želi okrepiti svojo digitalno suverenost, zato ne računa na to, da do motenj ne bo prišlo. Poznati mora svoje kritične odvisnosti, imeti opredeljene postopke za odziv in obnovitev delovanja ter redno preverjati, ali ti delujejo tudi v praksi. 

Vprašanje torej ni le: »Ali imamo varnostne kopije?« Bolj pomembno je: »Ali lahko ob motnji še naprej poslujemo?« 

Ali lahko svoje sisteme in podatke preselimo drugam? 

Možnost selitve podatkov in sistemov je eden najbolj konkretnih preizkusov digitalne suverenosti. Organizacija ima lahko dober nadzor nad trenutnim okoljem, vendar je njena dejanska svoboda omejena, če ponudnika, platforme ali infrastrukture ne more zamenjati brez nesorazmernih stroškov, dolgotrajnih prekinitev ali izgube podatkov. 

Zato ni dovolj, da ponudnik omogoča izvoz podatkov. Pomembno je tudi, v kakšnem formatu jih lahko izvozimo, ali so podatki popolni, razumljivi in uporabni ter ali jih je mogoče brez večjih težav prenesti v drugo okolje. Izvoz v formatu, ki je specifičen za posameznega ponudnika ali ni dovolj dobro dokumentiran, namreč še ne pomeni resnične prenosljivosti. 

Pri presoji je smiselno preveriti: 

• ali je mogoče izvoziti vse ključne podatke skupaj z metapodatki in zgodovino, 

• ali so formati dokumentirani in podprti tudi v drugih sistemih, 

• ali so integracije in povezave z drugimi rešitvami ustrezno dokumentirane, 

• ali ima organizacija dostop do konfiguracij, dokumentacije in izvorne kode, kadar je to relevantno, 

• koliko časa, stroškov in tehničnega dela bi zahtevala selitev ter 

• ali pogodba jasno določa postopek ob prenehanju sodelovanja. 

Pomembno je tudi vprašanje, ali lahko sistem po selitvi še naprej deluje na primerljiv način. Podatke je pogosto mogoče prenesti, bistveno težje pa je nadomestiti poslovna pravila, avtomatizacije, integracije in posebne funkcionalnosti, ki so se skozi leta razvile okoli posamezne platforme. 

Prenosljivost zato ni le tehnična lastnost. Je kombinacija podatkovnih formatov, dokumentacije, pogodbenih določil, arhitekture sistema in pripravljenosti organizacije na spremembo. 

Digitalna suverenost ne zahteva, da podjetje ponudnika dejansko zamenja. Pomembno je, da ima realno možnost to storiti, kadar za to obstajajo poslovni, tehnološki ali varnostni razlogi. 

Dobro vprašanje zato ni le: »Ali lahko podatke izvozimo?« Bolj pomembno je: »Ali jih lahko tudi učinkovito uporabimo drugje?« 

Digitalna suverenost se začne z razumevanjem odvisnosti 

Digitalna suverenost ne pomeni, da mora organizacija vse podatke hraniti na lastnih strežnikih, razvijati lastno programsko opremo ali se izogibati zunanjim ponudnikom. Takšen pristop bi bil za večino podjetij drag, zahteven in pogosto tudi manj varen. 

Pomeni pa, da organizacija razume, od katerih tehnologij, ponudnikov in procesov je odvisna. Vedeti mora, kdo nadzoruje njene podatke, kako bi poslovala ob motnji in ali bi lahko ključne sisteme po potrebi preselila v drugo okolje. 

Popolna neodvisnost v digitalnem svetu skoraj ni mogoča, pogosto pa tudi ni smiselna. Pomembno pa je, da organizacija svoje odvisnosti pozna, razume njihove posledice in ustrezno obvladuje tveganja. 

Kratek preizkus digitalne suverenosti: katera vprašanja si mora zastaviti organizacija? 

Za začetno oceno stopnje digitalne suverenosti si lahko organizacija zastavi nekaj ključnih vprašanj:  

• Vemo, kje so naši ključni podatki in kdo lahko dostopa do njih?

• Imamo nadzor nad administratorskimi računi in dostopnimi pravicami? 

• Vemo, kateri sistemi so za naše poslovanje kritični? 

• Imamo preverjene postopke za odziv in obnovitev delovanja? 

• Lahko svoje podatke izvozimo v uporabnem in dokumentiranem formatu? 

• Bi lahko zamenjali ponudnika brez nesorazmernih stroškov ali dolgotrajne prekinitve? 

• Imamo dovolj dokumentacije in znanja, da lahko sistem prevzame druga ekipa? 

Če so odgovori na ta vprašanja jasni, je organizacija že naredila pomemben korak k večji digitalni suverenosti. Če niso, to še ni razlog za preplah. Je pa dober razlog, da začne svoje digitalne odvisnosti bolj sistematično pregledovati. 

Navsezadnje digitalna suverenost ni vprašanje, ali smo odvisni od drugih. Vprašanje je, ali svoje odvisnosti poznamo in jih lahko obvladujemo.