"Är lagring i hybrida moln tryggt nog för oss?”
Mitt i verkligheten I Ateas samtal med myndigheter, kommuner och privata företag återkommer en fundering ofta: ”Är lagring i hybrida moln tryggt nog för oss? Vilka data vågar vi egentligen placera var?”. Hybrida moln har blivit det nya normala, men det har inte gjort besluten enklare. Simon Lindén, lösningsspecialist inom Hybrid Platforms på Atea, berättar vad han hör från kunder just nu.
Har du ont om tid? Vi har summerat det viktigaste åt dig här.
Situationen
Simon Lindén vittnar om hur många organisationer känner sig osäkra på vad det innebär att övergå till en hybrid it-miljö. Han och hans kollegor får ofta frågor som:
Vilka data vågar vi lägga var? Vem har egentligen ansvar om något händer? Har vi tillräcklig kontroll? Vilket ansvar har vi kvar även om någon annan hanterar våra data? Klarar vi regelverk och granskning? Vilka risker är rimliga i förhållande till nyttan? Vad kan hända om vi gör fel?
AI gör det angeläget att komma vidare
Många organisationer som Simon kommer i kontakt med vill använda sina data för att automatisera, analysera och utveckla verksamheten med hjälp av AI. Men en hel del fastnar på vägen – bland annat för att grundarbetet kring organisationens egen data inte är gjort.
Medvetna organisationer har kommit till insikt om att de behöver datasuveränitet för mycket av sin information, men förstår inte vad det innebär i praktiken. Datasuveränitet betyder inte samma sak för alla, eller för alla typer av data.
Lösningen: Börja med att sortera och ta fram en plan
En trygg hybrid it-miljö börjar med en systematisk genomgång av verksamhetens unika förutsättningar. Det handlar bland annat om att kartlägga nuläget, klassificera data och koppla olika typer av information till rätt miljö: eget datacenter, publikt moln eller suveräna molntjänster. Ansvarsfördelning, backup, återställning, åtkomststyrning och kontinuitet behöver hänga ihop med kraven i exempelvis cybersäkerhetslagen och NIS2. Då går det att använda hybrida moln på ett sätt som ger verksamheten handlingsutrymme utan att tappa kontroll över de data som är mest kritiska.
När en CIO, it-chef eller ledningsgrupp tar upp frågan om lagring i hybrida moln möter jag nästan alltid många osäkerheter:
Vilka data vågar vi lägga var? Vem har egentligen ansvar om något händer? Har vi tillräcklig kontroll? Vilket ansvar har vi kvar även om någon annan hanterar våra data? Klarar vi regelverk och granskning? Vilka risker är rimliga i förhållande till nyttan? Vad kan hända om vi gör fel? Vilket ansvar tar vi på oss juridiskt, ekonomiskt, operativt och förtroendemässigt?
Kort och gott vill man veta: I vilken utsträckning kan vi använda hybrida moln utan att tappa kontrollen över våra viktigaste data, vårt ansvar och vår regelefterlevnad?
Hybrid verklighet i stället för ”cloud first” och ”on-prem” för allt
Pendeln har tydligt svängt från "cloud first" till hybrida lösningar de senaste åren. Jag och mina kollgor har träffat många som upplevt en komplexitet kring kostnader och kontroll i molnet som fått dem att tänka bredare. Andra har satsat tungt på egna servrar och egen drift (on-prem) och blivit frustrerade över sin begränsade flexibilitet och skalbarhet, liksom över sina begränsade möjligheter att snabbt möta nya behov från verksamheten.
Det hybrida molnet ses idag ofta som den bästa vägen framåt, även om den lösningen är mer komplex på andra sätt, inte minst eftersom man systematiskt behöver gå igenom vilken information som kan lagras var.
Behovet av suveränitet ökar
Behovet av datasuveränitet – alltså kontroll över var informationen lagras, vem som kan komma åt den, vilken jurisdiktion som gäller och hur organisationen kan styra, granska och återta kontrollen vid behov – kommer ofta upp i mina kundsamtal. Medvetna organisationer har förstått vikten av allt det.
Men alla vet inte vad suveränitet innebär för just dem. Suveränitet betyder inte samma sak för alla organisationer eller för alla typer av data. Viss information kan mycket väl hanteras i andra miljöer, så länge riskerna är kända och accepterade. Andra data kräver en annan grad av kontroll och säkerhetsnivå.
AI gör läget mer akut
Många av de organisationer som jag och mina kollegor möter har stora ambitioner med AI. Man vill effektivisera, automatisera, analysera och använda den kunskap som redan finns i organisationen för att utveckla verksamheten. Hur ska it-miljön utformas?
Där blir det till slut alltid en avvägning mellan kontroll, kostnad, flexibilitet, ansvar och verksamhetens behov av att kunna röra sig framåt.
Påfallande ofta leder diskussionerna tillbaka till datagrunden: Har ni bestämt säkerhetsklassificering internt för er data? Får viss data användas på ett visst sätt och annan data inte? Vet ni vilka data som får användas i en AI-modell?
Vissa kan skruva på sig lite inför de här frågorna. Inte sällan landar man i insikten att man behöver backa ett steg; gå från att skapa it-miljön till att först göra hemläxan att klassificera sin data. Har man inte koll är det svårt att ta sig vidare, oavsett om man använder globala molntjänster, Atea Cloud eller en annan suverän molnleverantör i Sverige.
Missförstånd kring ansvar i molnet
Att ha kontroll på sina data är avgörande. Många använder etablerade tjänster dagligen i sitt arbete, och utgår då ifrån att leverantören tar hand om allt i bakgrunden: infrastrukturen, tillgängligheten, säkerheten – och därmed också återställningen om något går fel. Men så enkelt är det inte. Alla förstår inte att ansvaret ofta bygger på en delad modell:
Leverantören ansvarar för mycket av den underliggande plattformen och erbjuder idag mycket hög säkerhet och efterlevnadsstöd. Men det förutsätter att organisationen arbetar aktivt med hur de används. Som kund ansvarar man för data, identiteter, åtkomststyrning, klassificering och förmågan att återställa verksamhetskritisk information vid incidenter, felradering eller angrepp.
Långtifrån alla förstår heller innebörden i cybersäkerhetslagens och NIS2:s krav på kontinuitet, backup, återställning, incidenthantering och krisberedskap. Många vet till exempel inte vilka säkerhetskopior som finns, hur snabbt informationen kan återställas, vem som ansvarar för processen och hur organisationen agerar om något händer.
Allt det här är viktigt att ha med sig i arbetet med att utforma sin hybrida it-miljö.
Är ni osäkra på var olika data hör hemma? Atea hjälper er att reda ut frågan steg för steg, så att ni kan ta ansvar för klassificeringen av er data och avgöra vad som är känslig data i er verksamhet. Vi hjälper er att kartlägga nuläget, bedöma risker och koppla olika typer av data till rätt miljö – till exempel eget datacenter, publikt moln, eller suveräna molntjänster. Vi tittar också på ansvarsfördelning, backup, återställning, åtkomststyrning, kontinuitet och krav kopplade till cybersäkerhetslagen och NIS2.
Målet är att ge er ett beslutsunderlag som går att agera på: vilka delar ni bör kontrollera själva, vilka delar ni bör kontrollera själva, vad ni kan köpa som tjänst och vilka tekniska, juridiska och operativa risker som behöver hanteras innan ni går vidare.
