Negdje je u posebnoj prostoriji, negdje u uredskom ormaru, a ponekad čak i ispod umivaonika. Poslovni server često je smješten ondje gdje se za njega pronašlo dovoljno prostora, uz uvjerenje da je nekoliko zaključanih vrata i klima-uređaj dovoljno da sigurno obavlja svoj posao.
Dok nema kvara, nestanka struje ili pregrijavanja, takvo se rješenje čini praktičnim i povoljnim. Premještanje opreme u podatkovni centar zato lako završi pri dnu liste poslovnih prioriteta. No dovoljan je jedan ozbiljniji incident da pitanje „Gdje držimo server?“ preko noći postane ozbiljno pitanje o sigurnosti poslovanja.
Ako tvrtka ovisi o webshopu, ERP sustavu, kartičnom plaćanju, korisničkoj podršci ili pristupu poslovnim podacima, prekid rada nije samo posao za IT odjel. On znači izgubljene narudžbe, neizvršena plaćanja, probijene rokove i nezadovoljne klijente. Ono što je započelo kvarom opreme vrlo brzo može postati financijski, a zatim i reputacijski problem.
Kad sustav stane
Rizici neadekvatno smještene IT infrastrukture mogu se podijeliti u četiri skupine: nedostupnost sustava, fizičke incidente, poslovne i financijske gubitke te narušavanje reputacije. Problem je u tome što se oni gotovo nikada ne pojavljuju odvojeno.
Nestane li električne energije, baterije neprekidnog napajanja mogu nakratko održati sustav na životu. Bez agregata njihova je autonomija, međutim, ograničena. Ako prekid potraje, gase se serveri, a s njima i aplikacije koje zaposlenicima i kupcima omogućuju normalan rad.
Slično je s hlađenjem. Dvije klima-uređajne jedinice mogu zvučati kao dovoljno osiguranje, ali što ako se jedna pokvari tijekom vikenda, a druga ne može preuzeti cijelo opterećenje? Serverska oprema ne prestaje stvarati toplinu samo zato što u uredu nema zaposlenika. Temperatura raste, performanse padaju, a nakon određene granice sustav se automatski gasi ili dolazi do oštećenja komponenti.
Tu su i fizički rizici koje je lako previdjeti: voda, požar, dim, prašina ili pristup neovlaštene osobe. Tvrtka može ulagati u vatrozid, antivirusne sustave i edukaciju zaposlenika, ali sigurnosni lanac i dalje ostaje slab ako se ključnom serveru može pristupiti običnim uredskim ključem.
Više od IT-ja
Zato odluka o smještaju infrastrukture više ne pripada samo IT odjelu. O dostupnosti ključnih sustava ovise prodaja, financije, logistika, proizvodnja i komunikacija s kupcima. Drugim riječima, o njoj ovisi može li tvrtka normalno poslovati.
Takav pogled dodatno je učvrstio novi regulatorni okvir. Direktiva NIS2 u Hrvatskoj je prenesena Zakonom o kibernetičkoj sigurnosti, koji je na snazi od veljače 2024., dok pripadajuća uredba detaljnije uređuje mjere upravljanja rizicima, kategorizaciju subjekata, samoprocjene i prijavljivanje značajnih incidenata.
Za ključne i važne subjekte poruka je jasna: kibernetička sigurnost mora biti organizirana, dokumentirana i nadzirana.
NIS2 ne propisuje da svaka tvrtka mora preseliti opremu u vanjski podatkovni centar. Od organizacija se, međutim, očekuje da poznaju vlastite rizike i uvedu primjerene tehničke, operativne i organizacijske mjere. To uključuje kontinuitet poslovanja, upravljanje incidentima, sigurnost dobavnog lanca, sigurnosne kopije, oporavak nakon katastrofe i nadzor pristupa sustavima.
Certificirani podatkovni centar neće korisnika automatski učiniti usklađenim sa svim NIS2 zahtjevima. Može mu, međutim, osigurati provjerenu infrastrukturnu osnovu i olakšati dokazivanje da se kritičnom opremom i podacima upravlja sustavno, a ne improvizirano.
Što znači certifikat?
Certifikati podatkovnog centra na prvi pogled mogu djelovati kao još jedan niz tehničkih kratica. Za korisnika je ipak važnije ono što one znače u praksi: što će se dogoditi ako nestane struje, otkaže hlađenje ili neki dio infrastrukture treba servisirati?
A1 podatkovni centar u Zagrebu izgrađen je prema zahtjevima Tier III standarda, a 2024. prošao je recertificiranje i dobio Tier III Facility certifikat međunarodne organizacije Uptime Institute. Ta razina podrazumijeva redundantne infrastrukturne komponente i mogućnost održavanja pojedinih dijelova sustava bez prekida rada korisničke opreme.
Jednostavnije rečeno, napajanje, hlađenje i ostali ključni sustavi ne oslanjaju se na samo jednu komponentu čiji bi kvar mogao zaustaviti sve ostalo. Kontrolirani pristup, videonadzor, senzori pokreta, sustavi za rano otkrivanje požara i stalno praćenje uvjeta dio su okruženja koje je u običnom poslovnom prostoru teško, a često i preskupo uspostaviti.
A1 pritom nije samo pružatelj prostora za smještaj opreme. Njegov tim s poslovnim korisnicima može analizirati postojeću infrastrukturu, prepoznati slabe točke i predložiti rješenje koje odgovara stvarnim potrebama i planiranom rastu tvrtke.
Zaštita kartičnih podataka
Posebno strogi zahtjevi vrijede za tvrtke koje sudjeluju u obradi kartičnih podataka. Za njih je sigurnost pitanje dobre poslovne prakse, ali i uvjet suradnje s financijskim institucijama i kartičnim kućama.
A1 podatkovni centar posjeduje PCI DSS certifikat. Riječ je o međunarodnom standardu koji definira zahtjeve za zaštitu podataka o platnim karticama, od kontrole pristupa i zaštite sustava do praćenja, testiranja i dokumentiranja sigurnosnih postupaka.
Time je poslovnim korisnicima koji obrađuju ili pohranjuju kartične podatke dostupna infrastruktura provjerena prema zahtjevima platne industrije. Sigurnosni okvir centra uključuje i ISO/IEC 27001 za upravljanje informacijskom sigurnošću te ISO/IEC 27017, usmjeren na sigurnosne kontrole povezane s uslugama u oblaku.
Naravno, preseljenje opreme ne znači da prestaje odgovornost korisnika. Banka, trgovac ili IT dobavljač i dalje mora zaštititi svoje aplikacije, račune, pristupne ovlasti i interne procese. Razlika je u tome što fizički i infrastrukturni dio sigurnosnog lanca ne mora sam graditi i održavati.
Milijuni kartica
Koliko je takvo okruženje važno pokazuje primjer riječke IT tvrtke Sofistika. Ona razvija softverska rješenja za statističku obradu podataka povezanih s kartičnim poslovanjem te pruža podršku sestrinskoj kompaniji u Njemačkoj, koja je isporučila sustav za obradu kreditnih kartica za više od 500 banaka i štedionica.
Kroz takav sustav prolaze podaci povezani s milijunima Visa i Mastercard kartica. U poslu tog opsega sigurnost infrastrukture nije dodatna prednost koju je dobro imati. Ona je jedan od osnovnih preduvjeta poslovanja.
A1 je za Sofistiku nabavio potrebnu opremu i smjestio je u svoj podatkovni centar, uz infrastrukturu i podršku potrebnu za siguran i učinkovit rad.
– A1 nam je osigurao potrebnu opremu i uvjete za siguran i pouzdan rad u svom podatkovnom centru. Budući da radimo na rješenjima povezanima s obradom podataka za više od 500 banaka i štedionica na njemačkom tržištu, sigurnost i odgovarajući certifikati bili su ključni uvjeti. Cijeli je posao obavljen profesionalno, prema dogovoru i u skladu s našim zahtjevima – ističe Nenad Milković, direktor Sofistike.
Njihovo iskustvo pokazuje da podatkovni centar nije samo sigurna adresa za servere. Za tvrtke koje posluju u reguliranim industrijama jednako su važni certifikati, dokumentirani procesi, stručna podrška i mogućnost prilagodbe infrastrukture novim poslovnim potrebama.
Koliko stoji prekid?
Kada uspoređuju mogućnosti, tvrtke često gledaju cijenu usluge kolokacije i trošak držanja servera u vlastitom prostoru. No takav izračun rijetko uključuje sve što je potrebno za pouzdan rad: rezervno napajanje, agregate, profesionalno hlađenje, protupožarne sustave, videonadzor, kontrolu pristupa, održavanje i stručnjake dostupne kada nešto pođe po zlu.
Još se rjeđe izračunava stvarna cijena nedostupnosti.
Ako webshop ne radi nekoliko sati, tvrtka ne gubi samo prodaju ostvarenu u tom razdoblju. Kupci mogu otići konkurenciji, partneri mogu posumnjati u njezinu pouzdanost, a zaposlenici ostati bez alata potrebnih za rad. Sustav se možda može ponovno pokrenuti istoga dana, ali posljedice za poslovne odnose mogu trajati znatno dulje.
Prvi korak pritom ne mora biti trenutačno preseljenje cjelokupne infrastrukture. Razumno je početi od nekoliko jednostavnih, ali neugodnih pitanja: koji su sustavi doista ključni, koliko dugo tvrtka može raditi bez njih, postoje li provjerene sigurnosne kopije, gdje se one nalaze i koliko bi trajao oporavak nakon ozbiljnog incidenta?
Odgovori pokazuju koliko je poslovanje zaista otporno i kakvo mu je rješenje potrebno. To može biti smještaj vlastite opreme u podatkovnom centru, povezivanje s uslugama u oblaku ili kombinacija više modela.
Podatkovni centar tako prestaje biti samo mjesto na kojem se nalaze serveri i postaje važan dio plana kako zaštititi prihode, sačuvati povjerenje klijenata i omogućiti tvrtki da nastavi raditi kada se dogodi ono što nitko nije planirao.
* Sadržaj omogućio A1
