Ryzyka biznesowe w przedsięwzięciach cloud computing
Rekomendacje dla CIO i CFO
Cloud computing od pewnego czasu nie przestaje być jednym z wiodących trendów w świecie IT. Ten nowy, aczkolwiek wywodzący się historycznie z technologii wirtualizacji, klastrowej i mainframe, model przetwarzania danych i model dostarczania usług teleinformatycznych, pomimo swojej kilkuletniej obecności na rynku w dalszym ciągu owiany jest pewną dozą sceptycyzmu. Czy słusznie? Niniejsza publikacja stara się odpowiedzieć na to pytanie za pomocą podejścia ukierunkowanego na ryzyko.
Definicja cloud computing
Ponieważ istnieje wiele definicji cloud computing, istotne jest aby określić, jak jest ten termin rozumiany w niniejszej publikacji. Cloud computing nie jest samodzielną technologią, a w szczególności nie jest to produkt w rozumieniu specjalnego oprogramowania lub sprzętu. Jest to nowy model przetwarzania danych, który różni się od dotychczas spotykanych na rynku. Jedna z najbardziej dokładnych i kompletnych definicji cloud computing została zaproponowana przez amerykański Narodowy Instytut Standaryzacji i Technologii (NIST). Zgodnie z nią1, cloud computing to model umożliwiający powszechny i wygodny dostęp na żądanie za pomocą sieci do współdzielonej puli konfigurowalnych zasobów teleinformatycznych (np. serwerów, pamięci masowych, aplikacji, platform, sieci) oraz ich szybkie pozyskanie i wydanie przy minimalnym wysiłku i interakcji z dostawcą modelu. Należy zwrócić uwagę na elementy składowe tej definicji, które tworzą kryteria pozwalające zakwalifikować dany model przetwarzania danych jako cloud computing. Są to:
Ponieważ istnieje wiele definicji cloud computing, istotne jest aby określić, jak jest ten termin rozumiany w niniejszej publikacji. Cloud computing nie jest samodzielną technologią, a w szczególności nie jest to produkt w rozumieniu specjalnego oprogramowania lub sprzętu. Jest to nowy model przetwarzania danych, który różni się od dotychczas spotykanych na rynku. Jedna z najbardziej dokładnych i kompletnych definicji cloud computing została zaproponowana przez amerykański Narodowy Instytut Standaryzacji i Technologii (NIST). Zgodnie z nią1, cloud computing to model umożliwiający powszechny i wygodny dostęp na żądanie za pomocą sieci do współdzielonej puli konfigurowalnych zasobów teleinformatycznych (np. serwerów, pamięci masowych, aplikacji, platform, sieci) oraz ich szybkie pozyskanie i wydanie przy minimalnym wysiłku i interakcji z dostawcą modelu. Należy zwrócić uwagę na elementy składowe tej definicji, które tworzą kryteria pozwalające zakwalifikować dany model przetwarzania danych jako cloud computing. Są to:
- Samoobsługa na żądanie. Klient jest w stanie samodzielne i w sposób automatyczny zamówić i otrzymać zasoby niezbędne do przetwarzania danych (np. moc obliczeniowa, pojemność dyskowa, dostęp do bazy danych, dostęp do aplikacji). Odbywa to się bez ręcznej interakcji z dostawcą zasobów (dostawcą usługi cloud computing).
- Dostęp szerokopasmowy. Dostęp do zasobów jest realizowany poprzez łącze szerokopasmowe. Odbywa się za pomocą powszechnie dostępnych, wystandaryzowanych narzędzi jak np. przeglądarka internetowa. Dzięki temu możliwy jest dostęp z różnych urządzeń np. laptopów, tabletów, smarfonów itp.
- Wspólne wykorzystanie zasobów. Dostawca usług cloud computing łączy posiadane zasoby w jedną wielką pulę zasobów – dzięki temu jest możliwe ich bardziej selektywne wydzielanie klientom, a tym samym większa utylizacja. Technologią która umożliwia łączenie niejednolitych zasobów w pulę jest wirtualizacja. Bez wirtualizacji nigdy nie powstałby cloud computing. Pula jest współużytkowana przez wielu klientów dostawcy na zasadzie dynamicznego przydziału i zwalniania precyzyjnie określonych porcji zasobów wirtualnych. Stopień wykorzystania puli jest wprost proporcjonalny do zmian w popycie na zasoby przetwarzania po stronie klienta. Ta abstrakcja zasobów powoduje, że klient nie ma wiedzy o dokładnej fizycznej lokalizacji zasobów, aczkolwiek jest w stanie wyspecyfikować lokalizację ogólną (np. pożądany kraj przetwarzania ze względu na zasady ochrony danych osobowych)
- Elastyczność. Zasoby w sposób elastyczny i niemalże natychmiastowy są dostarczane i odbierane ręcznie, zgodnie ze zgłoszeniem klienta lub automatycznie, zgodnie z predefiniowanymi regułami decyzyjnymi. Dzięki temu możliwe jest dynamiczne skalowanie rozwiązania w zależności od popytu na usługę. Z perspektywy odbiorcy usług cloud computing zasoby wydają się być nieograniczone tzn. możliwe jest ich nieskończone zwiększanie na żądanie.
- Mierzalność. Dostawcy usług cloud computing w trybie ciągłym prowadzą monitorowanie i mierzenie wykorzystania zasobów przez swoich klientów. Mierzenie obywa się w predefiniowanych jednostkach charakterystycznych dla danego typu usług (np. dla pojemności dyskowej będzie to jednostka pojemności, dla mocy obliczeniowej będzie to czas procesora). Działanie to dostarcza korzyści dwojakiego typu. Po pierwsze dostawca może na tej podstawie dokonywać optymalizacji pracy posiadanych zasobów. Po drugie klient uzyskuje pełną przezroczystość kosztów pozyskiwanej usługi.
Oprócz samej definicji cloud computing należy powiedzieć jeszcze o dwóch rzeczach tj. modelu usługowym i modelu wdrożenia. Model usługowy określa jakie zasoby są dostarczane w trybie usługi cloud computing. Wyróżniamy trzy podstawowe modele usługowe:
- Infrastruktura jako usługa (z ang. IaaS – Infrastructure as a Service). Jest to najbardziej podstawowy model dostarczania usług. W tym modelu oferowana jest „żywa” moc obliczeniowa (w postaci serwera o określonej specyfikacji technicznej) i pojemność dyskowa. Klient może dowolnie wykorzystać uzyskany wirtualny serwer lub serwery do uruchomienia systemu operacyjnego i np. instalacji bazy danych, a następnie aplikacji. Wszystko co znajduje się ponad podstawowymi jednostkami przetwarzania jest zarządzane przez klienta. Przykładami dostawców usług typu IaaS to np. Rackspace (moc obliczeniowa) i Amazon S3 (pojemność dyskowa).
- Platforma jako usługa (z ang. PaaS – Platform as a Service). W tym modelu dostarczana jest platforma, rozumiana jako narzędzie do instalowania, uruchamiania lub rozwijania aplikacji. Klient nie ma w tym przypadku dostępu do systemu operacyjnego na jakim uruchomiona jest platforma, ani do przestrzeni dyskowej na której składowe są dane. Dostęp możliwy jest tylko do samej platformy, co jest ograniczeniem idącym dalej niż w przypadku IaaS. Przykładami dostawców usług typu PaaS to np. Microsoft Azure, force.com
- Aplikacja/Oprogramowanie jako usługa (z ang. SaaS – Software as a Service). Zasobem dostarczanym do klienta w tym modelu jest wyłącznie sama aplikacja. Restrykcje odnośnie dostępu są w tym modelu największe, gdyż klient nie sprawuje kontroli nad platformą niezbędną do działania aplikacji, nad systemem operacyjnym wymaganym do działania platformy i nad przestrzenią dyskową wykorzystywaną do zapisu danych z aplikacji. Przykładami dostawców usług typu SaaS to np. Microsoft Office 365, Google Apps.
To jaki model usługowy cloud computing powinien zostać wybrany wynika wprost z rodzaju zasobu komputerowego jaki chcemy pozyskać jako usługę. Jeśli przykładowo jesteśmy firmą rozwijającą własne oprogramowanie to najprawdopodobniej nie znajdziemy w ofercie SaaS satysfakcjonującej nas oferty, gdyż aplikacje dostępne w tym modelu są praktycznie zawsze wystandaryzowane, a dopuszczalny zakres modyfikacji sprowadza się do możliwości zmiany naturalnie dostępnych parametrów.
Trzecim elementem o jakim należy wspomnieć omawiając cloud computing to model wdrożenia. W przeciwieństwie do modelu usługowego, model wdrożenia mówi nam bardziej kto będzie dostawcą usługi cloud computing (a nie co jest przedmiotem usługi). Wyróżniamy cztery podstawowe modele wdrożeniowe:
Trzecim elementem o jakim należy wspomnieć omawiając cloud computing to model wdrożenia. W przeciwieństwie do modelu usługowego, model wdrożenia mówi nam bardziej kto będzie dostawcą usługi cloud computing (a nie co jest przedmiotem usługi). Wyróżniamy cztery podstawowe modele wdrożeniowe:
- Publiczny. Dostawca jest firmą specjalizującą się w usługach cloud computing (przy czym może to być IaaS, PaaS lub SaaS) i sprzedaje swoje usługi szerokiemu spektrum klientów. Dostęp jest nieograniczony tzn. każdy ma możliwość zakupu i korzystania z usługi w modelu współdzielenia z innymi użytkownikami. Podstawową zaletą jest brak konieczności ponoszenia kosztów inwestycyjnych IT po stronie odbiorcy usługi, wadą natomiast brak lub niepełna kontrola nad dostawcą.
- Prywatny. W tym przypadku my sami stajemy się dostawcą cloud computing. Wymagany jest zakup specjalnego oprogramowania, który połączy nasze wewnętrzne zasoby sprzętowe w jedną pulę, która następnie będzie mogła być dynamicznie przydzielana w zależności od faktycznego popytu ze strony użytkowników. Podstawową zaletą jest fakt, że my sami sprawujemy pełną kontrolę nad usługą. Niewątpliwą wadą jest natomiast wymóg wykonania inwestycji w oprogramowanie i ewentualnie sprzęt, jeśli takowy nie jest już w naszym posiadaniu.
- Wspólnotowy. Jest to rozwinięcie modelu prywatnego, gdyż w tym przypadku wydzielamy kompetencje związane z uruchomieniem i dostawą usług typu cloud computing do podmiotu zależnego. Może to być np. wydzielona spółka w grupie kapitałowej zajmująca się dostarczaniem usług teleinformatycznych.
- Hybrydowy. Stanowi połączenie dowolnych dwóch powyższych modeli wdrożeniowych.
Wybór modelu wdrożenia w znacznej mierze podyktowany jest możliwościami technicznymi i finansowymi oraz apetytem na ryzyko. Przykładowo jeśli klient posiada już sprzęt teleinformatyczny (np. serwery, macierze), którego utylizacja jest na niskim poziomie to może rozważyć budowę własnego „clouda” i prowadzenie wewnętrznej kontroli ryzyk. Jeśli klient nie ma sprzętu teleinformatycznego, ale ma finansową zdolność jego nabycia (i nabycia kompetencji do jego obsługi) to również ta opcja jest możliwa. Jeśli natomiast klient nie ma ani sprzętu ani źródeł finansowania i jest w stanie zacząć polegać na dostawcy to potencjalnie najlepszym rozwiązaniem jest model publiczny.
Perspektywy wykorzystania
Cloud Computing jest tematem, który nie schodzi z czołówek toplist największych trendów IT. Nie dzieje się tak bez powodu. Według raportu Forrestera globalny rynek usług cloud computing w 2011 wyniósł 40,7 mld USD2. Prognoza przewiduje, że rynek ten wzrośnie do wartości szacunkowej 241 mld USD w 2020. Jest to prawie sześciokrotny przyrost wartości rynku na przełomie 8 lat. Największy wzrost przewidziany jest dla publicznego modelu wdrożeniowego (ponad sześciokrotny wzrost wartości), najmniejszy dla modelu prywatnego (zaledwie dwukrotny wzrost).
Wartość polskiego rynku usług typu cloud computing w 2010 została oszacowana przez IDC3 na kwotę 36 mln USD. Stanowi to 7% wartości całego rynku outsourcingu IT szacowanego na ponad 520 mln USD. Jednocześnie rynek cloud computing, jest najdynamiczniej rozwijającą się częścią polskiego rynku ICT. Prognozowana, średnioroczna stopa wzrostu rynku cloud computing do roku 2015 to 33%, a więc zdecydowanie powyżej średniej całego rynku usług IT pozostającej na poziomie ok. 5%.
Liczby potwierdzają, że za medialnym szumem kryją się twarde fakty. Tematyką cloud computing warto się zainteresować chociażby ze względu na obiecujące prognozy dalszego rozwoju4. Niemniej jednak już na początku warto zaznaczyć, że nie jest to lekarstwo na wszelkie problemy współczesnych usług informatycznych wspierających biznes. Do wniosku, czy cloud computing jest dla nas dobrym rozwiązaniem możemy dojść dopiero po przeprowadzeniu analizy ryzyka. Wejście w rozwiązanie klasy cloud computing powoduje zmianę profilu ryzyka organizacji i w związku z tym decyzja ta powinna by podejmowana nie tylko w oparciu o kryterium ekonomiczne, ale również o kryterium ryzyka. Ryzyko jest niepewnym zdarzeniem (lub kilkoma zdarzeniami) w przyszłości, które w momencie materializacji będzie mieć zauważalny wpływ na osiągnięcie postawionych celów. Istotne jest, aby na potrzeby analizy ryzyka uwzględnić jego dwa wymiary: pozytywny i negatywny. Ryzyka o negatywnym wpływie nazywamy potocznie zagrożeniami (ten wymiar rozumienia, identyfikacji i oceny ryzyka jest o wiele częściej spotykany w życiu powszechnym). Z kolei ryzyka o pozytywnym wpływie są naszymi szansami – możemy je wykorzystać do realizacji korzyści dla naszego biznesu.
W pierwszej kolejności należy zidentyfikować wszystkie ryzyka jakie mają zastosowanie do naszego projektu związanego z usługami cloud computing. Następnie należy dokonać ich subiektywnej oceny, przy czym nie zawsze kwantyfikacja będzie możliwa w ramach jednolitego modelu. Każde z ryzyk należy traktować indywidualnie i na podstawie analizy określić najlepszy (naszym zdaniem) sposób postępowania. W przypadku zagrożeń możemy je:
Cloud Computing jest tematem, który nie schodzi z czołówek toplist największych trendów IT. Nie dzieje się tak bez powodu. Według raportu Forrestera globalny rynek usług cloud computing w 2011 wyniósł 40,7 mld USD2. Prognoza przewiduje, że rynek ten wzrośnie do wartości szacunkowej 241 mld USD w 2020. Jest to prawie sześciokrotny przyrost wartości rynku na przełomie 8 lat. Największy wzrost przewidziany jest dla publicznego modelu wdrożeniowego (ponad sześciokrotny wzrost wartości), najmniejszy dla modelu prywatnego (zaledwie dwukrotny wzrost).
Wartość polskiego rynku usług typu cloud computing w 2010 została oszacowana przez IDC3 na kwotę 36 mln USD. Stanowi to 7% wartości całego rynku outsourcingu IT szacowanego na ponad 520 mln USD. Jednocześnie rynek cloud computing, jest najdynamiczniej rozwijającą się częścią polskiego rynku ICT. Prognozowana, średnioroczna stopa wzrostu rynku cloud computing do roku 2015 to 33%, a więc zdecydowanie powyżej średniej całego rynku usług IT pozostającej na poziomie ok. 5%.
Liczby potwierdzają, że za medialnym szumem kryją się twarde fakty. Tematyką cloud computing warto się zainteresować chociażby ze względu na obiecujące prognozy dalszego rozwoju4. Niemniej jednak już na początku warto zaznaczyć, że nie jest to lekarstwo na wszelkie problemy współczesnych usług informatycznych wspierających biznes. Do wniosku, czy cloud computing jest dla nas dobrym rozwiązaniem możemy dojść dopiero po przeprowadzeniu analizy ryzyka. Wejście w rozwiązanie klasy cloud computing powoduje zmianę profilu ryzyka organizacji i w związku z tym decyzja ta powinna by podejmowana nie tylko w oparciu o kryterium ekonomiczne, ale również o kryterium ryzyka. Ryzyko jest niepewnym zdarzeniem (lub kilkoma zdarzeniami) w przyszłości, które w momencie materializacji będzie mieć zauważalny wpływ na osiągnięcie postawionych celów. Istotne jest, aby na potrzeby analizy ryzyka uwzględnić jego dwa wymiary: pozytywny i negatywny. Ryzyka o negatywnym wpływie nazywamy potocznie zagrożeniami (ten wymiar rozumienia, identyfikacji i oceny ryzyka jest o wiele częściej spotykany w życiu powszechnym). Z kolei ryzyka o pozytywnym wpływie są naszymi szansami – możemy je wykorzystać do realizacji korzyści dla naszego biznesu.
W pierwszej kolejności należy zidentyfikować wszystkie ryzyka jakie mają zastosowanie do naszego projektu związanego z usługami cloud computing. Następnie należy dokonać ich subiektywnej oceny, przy czym nie zawsze kwantyfikacja będzie możliwa w ramach jednolitego modelu. Każde z ryzyk należy traktować indywidualnie i na podstawie analizy określić najlepszy (naszym zdaniem) sposób postępowania. W przypadku zagrożeń możemy je:
- akceptować (decydujemy się na niepodejmowane żadnych działań i godzimy się na ewentualną materializację zagrożenia w przyszłości),
- unikać (tak zmieniamy działania projektowe, że ryzyko znika tj. nie ma już zastosowania),
- transferować (przenosić odpowiedzialność z nad na inny podmiot np. ubezpieczyciela),
- redukować (stosować zabezpieczenia które obniżają wpływ ryzyka).
Szanse z kolei możemy:
- wykorzystać (dołożyć starań aby zagwarantować materializację ryzyk),
- współdzielić (przekazać odpowiedzialność za to ryzyko do partnera biznesowego który jest w lepszej pozycji żeby to ryzyko wykorzystać i zrealizować korzyści dla nas),
- wzmocnić (dołożyć starań aby zwiększyć prawdopodobieństwo wystąpienia ryzyka lub jego wpływ),
- zaakceptować (podobne jak w przypadku zagrożeń, pasywnie potwierdzamy istnienie ryzyka ale nie wykonujemy żadnych celowych kroków w celu jego uwypuklenia.
Ryzyka strategiczne
Jedną z cech charakterystycznych cloud computing jest przesunięcie wydatków IT z budżetu inwestycyjnego (CAPEX) do budżetu operacyjnego (OPEX). W standardowych warunkach gdy trzeba dostarczyć pewnego rodzaju rozwiązanie IT, na jego koszt całkowity składają się trzy duże czynniki: koszt sprzętu teleinformatycznego (serwery, macierze dyskowe), koszt oprogramowania (licencje) oraz wszelakie koszty integracji, wsparcia i utrzymana (dotyczy zarówno sprzętu jak i oprogramowania). Te koszty w całości są ponoszone przez jednostkę wdrażającą dane rozwiązanie IT, co niekiedy stanowi problem pozyskania odpowiednich źródeł finansowania. Takie zakupy oznaczają dla jednostki poniesienie w relatywnie krótkim czasie dużego wypływu finansowego, co oznacza, że odpowiednie środki płatnicze muszą być uprzednio zakumulowane. Dodatkowo taki wypływ może mieć negatywny skutek w kontekście zachowania płynności finansowej danej jednostki. Zastosowanie cloud computing pozwala uniknąć tych problemów. Ponieważ naczelną ideą cloud computing jest płacenie zgodne z faktycznym użyciem, znika całkowicie konieczność poniesienia dużego początkowego wypływu finansowego. Zamiast inicjalnej inwestycji ponoszone są regularne opłaty zgodne z faktycznie zrealizowanymi jednostkami rozliczeniowymi (może to być np. wykorzystany czas procesora, liczba ściągniętych danych itp.). Przejście z CAPEX na OPEX pozwala uniknąć problemów związanych z zaburzeniem płynności w związku z jednorazowym wypływem o znacznej kwocie w standardowym modelu dostarczania usług IT. Ponadto, brak poniesionego wydatku CAPEX oznacza że suma bilansowa nie ulegnie zwiększeniu wobec czego nie nastąpi spadek wskaźnika zwrotu z aktywów (ROA). Wskaźnik ten jest często stosowany w analizach ekonomicznofinansowych przedsiębiorstw przez co Kierownictwu może zależeć na jego wysokiej wartości.
Istotną przewagą wymienianą często przy usługach cloud computing jest minimalizacja ryzyka inwestycji. W normalnych warunkach powinny być realizowane jedynie inwestycje najbardziej korzystne dla organizacji. Takie inwestycje wybiera się np. na podstawie rachunku efektywności ekonomicznej. Istnieje wiele wskaźników które kwantyfikują relatywną opłacalność projektów (np. ROI, PP, NPV). Jako obowiązkowy krok przy rozważaniu każdej inicjatywy związanej z cloud computing powinny zostać obliczone wybrane wskaźniki dla dwóch wariantów: a) wariantu cloud computing b) wariantu tradycyjnego. Ważne jest, aby starać się odzwierciedlić faktycznie ponoszone przez organizację koszty. Często te koszty są zaniżone gdyż organizacje w swoich wyliczeniach TCO nie uwzględniają takich czynników jak np. koszt pozyskania lub utrzymania odpowiednich kompetencji ludzkich w zakresie IT lub koszt wdrożenia lub obsługi mechanizmów bezpieczeństwa. Nieuwzględnienie wszystkich determinantów kosztu może prowadzić do zafałszowania wyniku i w efekcie do wyboru rozwiązania nieoptymalnego. Zasługuje to na podkreślenie, gdyż cloud computing nie zawsze „z definicji” jest rozwiązaniem najbardziej opłacalnym. Każdy przypadek musi być traktowany indywidualnie. Ponadto każde rozwiązanie IT ma swoją specyfikę w tym rozumieniu że może być inaczej obciążane kosztami dostarczenia w zależności od polityki cenowej dostawcy.
Przykład: decydujemy się na korzystanie z przestrzeni dyskowej w modelu cloud computing i dostawca nas obciążą za każde zdarzenie odczytu danych. Aplikacja korzysta z tej przestrzeni dyskowej w następujący sposób - dużo na niej zapisuje danych, ale relatywnie mało z tych danych czyta. Możemy zatem spodziewać się niższego rachunku za usługę dostarczania przestrzeni dyskowej niż w przypadku gdyby polityka cenowa dostawcy była odwrotna.
Cloud computing poprzez swoją elastyczność i zdolność do świadczenia usług o teoretycznie nieograniczonej możliwości oferuje przedsiębiorstwom szanse zmniejszenia czasu określanego mianem time-to-market. W przedsiębiorstwach zwykle występuje pewien okres czasu pomiędzy inicjatywą biznesową a faktycznym uruchomieniem docelowego pomysłu. Wynika to m.in. ze skuteczności reakcji IT na deklarowane potrzeby biznesowe, czyli odpowiedzi na pytania takie jak: Czy mamy niezbędny sprzęt i oprogramowanie? Jak szybko jesteśmy w stanie pozyskać niezbędne know-how? Jak wpływ ma inicjatywa na aktualne środowisko IT? Jak szybko możemy przeprowadzić wdrożenie? itp. Cloud computing oferuje dostarczanie zasobów potrzebnych do przetwarzania danych prawie w czasie rzeczywistym. Oznacza to, że w przeciągu kilku minut jesteśmy w stanie uruchomić na komputerze np. system CRM, podczas gdy wewnętrznemu IT uruchomienie zajęłoby tygodnie, jak nie miesiące. Oczywiście, należy pamiętać, że największy wybór będzie przy standardowych zapotrzebowaniach, gdyż tego typu rzeczy są najczęściej oferowane na rynku do sprzedaży. Im większy stopień niezbędnych modyfikacji docelowej usługi tym czas time-to-market się wydłuża. Z kwestią time-to-market związana jest również inna szansa oferowana przez cloud computing - outsourcing kompetencji nie będących w zakresie kluczowej działalności firmy. Może to stanowić niekiedy uzasadnienie dla pozbycia się wewnętrznych zasobów IT na rzecz wyłącznego korzystania z dostawców zewnętrznych, w szczególności dostawców usług typu cloud computing.
Ryzyka operacyjne
Ryzyka operacyjne są ryzykami z którymi mamy do czynienia na poziomie samego procesu dostarczania danej usługi w modelu cloud computing. Jest ich znacznie więcej niż ryzyk strategicznych i dostępne są ich liczne opracowania5. Do najważniejszych zaliczamy ryzyka operacyjne z trzech kategorii: dostępności, bezpieczeństwa danych i zgodności.
W kategorii dostępności należy przed wszystkim rozważyć na ile rozwiązanie oparte o cloud computing jest w stanie zapewnić pożądaną przez biznes ciągłość świadczenia usługi. Dostawca powinien być w stanie po swojej stronie zapewnić odpowiednie mechanizmy zabezpieczające przed utratą dostępności usługi. Praktyka pokazuje, że usługodawca w większości przypadków jest w stanie bezproblemowo sprostać temu wymaganiu właśnie ze względu na cechę cloud computing – wspólną pulę zasobów, która jest odporna na przerwania gdyż wykorzystuje technologię wirtualizacji. Często przedsiębiorstwa migrując aplikację do cloud computing uzyskują niemalże automatycznie funkcjonalność wysokiej dostępność (HA). Jednakże, taka migracja może spowodować powstanie wąskich gardeł po stronie usługobiorcy, które jeśli zawiodą – skutecznie spowodują brak dostępności usługi. Przykładem jest stosowanie jednego dostawcy sieci Internet gdy usługa cloud computing jest udostępniania w publicznym modelu wdrożeniowym. Awaria łącza powoduje natychmiastowe odcięcie od usługi. Nie należy zatem zakładać, że to usługodawca w sposób całościowy dostarcza rozwiązanie niepodatne na zaburzenia dostępności, ale należy sprawdzić czy pewne krytyczne punkty nie znajdują się po stronie usługobiorcy.
Cloud computing związany jest trwale z przetwarzaniem, przesyłaniem i przechowywaniem danych. Dane te do tej pory tj. w modelu tradycyjnym stanowiły własność klienta i były wewnętrznie zarządzane przez jego własne zasoby. W momencie przejścia na usługę cloud computing w pierwszej kolejności należy formalnie określić właścicielstwo danych. Wbrew pozorom nie jest to oczywiste że właścicielem danych jest usługobiorca. W drugiej kolejności należy zapewnić odpowiednią poufność oraz integralność danych. Współdzielenie zasobów, które jest cechą charakterystyczną cloud computing w praktyce oznacza, że z tej samej aplikacji (ale różnych instancji) korzysta równolegle wielu klientów usługi. Podatności w aplikacji mogą spowodować, że zabezpieczenia separujące poszczególnych klientów zawiodą. W tym momencie narażamy się na ujawnienie wewnętrznych danych osobom postronnym. Ponadto dostęp do danych jest teoretycznie możliwy przez samego usługodawcę cloud computing. Stosowanie mechanizmów kryptograficznych może w obydwu przypadkach stanowić racjonalne zabezpieczenie przed tym ryzykiem.
Kwestia zapewnienia zgodności w usługach cloud computing ma dwa aspekty. Pierwszy dotyczy zapewnienia usługi na odpowiednim poziomie. Powszechna praktyką jest zawieranie umów SLA z dostawcami usług cloud computing. Oprócz samego zawarcia umowy, należy pamiętać, że po stronie usługobiorcy jest monitorowanie zgodności dostawcy z SLA. Nadzór nad należytą jakością usługi jest pełniony właśnie przez monitorowanie SLA. Drugi aspekt zapewnienia zgodności to kwestia posiadania przez dostawcę odpowiednich zabezpieczeń, wymaganych np. przez Ustawę o Ochronie Danych Osobowych. Odbiorcy usług cloud computing z terytorium Polski w szczególności powinni oczekiwać od swojego usługodawcy spełnienia wymagań polskiej Ustawy o Ochronie Danych Osobowych, niezależnie od kraju w którym dostawca jest zarejestrowany lub kraju w którym znajdują się fizyczne zasoby wykorzystywane w ramach usługi. Dlatego też w umowie z dostawcą usług cloud computing powinna znajdować się klauzula audytu pozwalająca nam zweryfikować dostawcę względem wymagań usługobiorcy odnośnie bezpieczeństwa. Alternatywną może być raport ISAE3402, należy jednak pamiętać, że zakres ISAE3402 obejmuje zabezpieczenia związane z raportowaniem finansowym, co może nie być do końca zbieżne np. z zakresem wymaganym przez ochronę danych osobowych.
Podsumowanie
Cloud computing jest rozwiązaniem które stara się zaadresować problemy przedsiębiorstw związane z koniecznością ponoszenia długofalowych inwestycji w IT. Zamiast tego oferuje przystępną formułę w której klient płaci zgodnie z faktycznym wykorzystaniem danego zasobu informatycznego. Stanowi to realną alternatywę wobec dotychczasowego, tradycyjnego schematu zarządzania inwestycjami informatycznymi. Należy zdawać sobie sprawę, że cloud computing jest w bardzo dużym stopniu przejściem z zarządzania wewnętrznym IT na zarządzanie dostawcą. Może to w pewnych przypadkach oznaczać konieczność zdobycia nowych umiejętności. Niemniej jednak decyzja o skorzystaniu z cloud computing powinna być decyzją przemyślaną i opartą o analizę ryzyka. Cloud computing nie jest pewnym remedium na istniejące problemy, ale może nim być w zależności od danego przypadku. Dlatego też z jednej strony nie należy pochopnie adaptować rozwiązań cloud computing tylko dlatego, że otacza je szum medialny, ale z drugiej strony nie należy ich automatycznie odrzucać, gdyż rozwiązania te mają wiele potencjalnych korzyści do zaoferowania.
Autor: Dariusz Sadowski - Starszy Konsultant w Zespole Zarządzania Ryzykiem Deloitte
Żródło: ttp://robertjesionek.wordpress.com/
