GDPR poradenství, kybernetická bezpečnost, vývoj software na zakázku | GORDIC
Cloudové služby
Cloudové služby a katalog cloud computingu
Cloud computingem se rozumí způsob zajištění provozu informačního systému veřejné správy nebo části takového systému prostřednictvím dálkového přístupu ke sdílenému technickému nebo programovému prostředku, který je zpřístupněný poskytovatelem cloud computingu a nastavitelný správcem samotného informačního systému veřejné správy.
Bezpečnostní pravidla pro využívání služeb cloud computingu orgány veřejné moci (dále také „OVM“) jsou vymezena řadou zákonů a vyhlášek. Jejich dodržování, respektive splnění nutných bezpečnostních pravidel pro poskytovatele cloud computingu (CC) tak, aby mohl být konkrétní CC využíván orgánem veřejné moci, kontroluje s účinností od 1. dubna 2023 Digitální a informační agentura (DIA) ve spolupráci s Národním úřadem pro kybernetickou a informační bezpečnost. Seznam poptávek, nabídek či poskytovatelů CC je obsažen v katalogu cloud computingu spravovaném DIA.
Zapsaní poskytovatelé a nabídky CC museli splnit veškeré legislativní požadavky a OVM z nich mohou vybírat cloudové služby pro své potřeby. Splnění legislativních požadavků zahrnuje prověření několika oblastí, jsou například Místo zpracování a uložení dat, Kybernetické bezpečnostní události, Zpřístupnění dat atp. GORDIC tímto procesem zápisu prošel, a proto můžete využít aplikační služby CC z naší zapsané nabídky.
Legislativní povinnosti
Od 1. února 2022 mohou orgány veřejné správy využívat pouze CC, který je zapsaný v katalogu, a tudíž je jasné, že splňuje veškeré legislativní požadavky. Zde je důležité upozornit na rozdíl mezi orgánem veřejné správy (typicky úřady) a orgánem veřejné moci (např. školy). Orgánem veřejné moci (dále jen „OVM”) jsou veškeré orgány, které jsou oprávněny ze zákona autoritativně rozhodovat o právech a povinnostech fyzických či právnických osob. Množina orgánů veřejné správy (dále jen „OVS”) je užší než OVM. Jedná se o orgány zřízené zákonem, veškeré úřady, a to jak na úrovni samosprávy, tak státní správy.
Pro OVM tedy není zásadní, jestli je daný CC zapsaný v katalogu, OVM nemusí využívat pouze CC poskytovatelů, kteří splnili podmínky podle zákona č. 365/2000 Sb., o informačních systémech veřejné správy a o změně některých dalších zákonů (dále jen „ISVS“) a vyhlášky č. 316/2021 Sb., o některých požadavcích pro zápis do katalogu cloud computingu. Nutno podotknout, že právě podmínky této nové vyhlášky v mnoha ohledech korespondují s těmi podle ISVS a vyhlášky 316,
a proto bude i pro OVM (školy) snazší vybrat si právě z “katalogových” poskytovatelů CC, než pracně dokládat, jak bezpečnostní podmínky a pravidla sami OVM splňují. Nicméně na všechny OVM, což zahrnuje i OVS, se uplatňují podmínky zákona č. 181/2014 Sb., o kybernetické bezpečnosti, a především podmínky vyhlášky č. 190/2023 Sb., o bezpečnostních pravidlech pro orgány veřejné moci využívající služby poskytovatelů cloud computingu, která je účinná od 1. 7. 2023.
Od 1. 7. 2024 navíc začala platit vyhláška č. 360/2023 Sb., o dlouhodobém řízení informačních systémů veřejné správy. Vyhláška stanovuje pro OVS řadu nových požadavků a platí pro všechny varianty provozu informačních systémů (cloud computingu, on-premise a klasický outsourcing). Pokud zvolíte variantu cloud computing, většinu těchto požadavků za vás plní poskytovatel, informace jsou ověřeny při zápisu do katalogu CC.
Bezpečnostní úrovně
Jednotlivé služby CC jsou rozděleny do bezpečnostních úrovní. Každý OVM musí dle vyhlášky č. 315/2021 Sb., o bezpečnostních úrovních pro využívání cloud computingu orgány veřejné moci určit bezpečnostní úroveň, do které zařadí svůj informační systém. Dále platí, že OVS je povinen pro své řešení využít pouze CC zapsaný v katalogu CC. OVM tuto povinnost nemá, avšak má povinnost dodržet bezpečnostní požadavky vyhlášky č. 190/2023 Sb., o bezpečnostních pravidlech pro orgány veřejné moci využívající služby poskytovatelů CC. Proto se i z tohoto důvodu doporučuje OVM využít služeb zapsaných poskytovatelů, kteří jsou prověřeni ústředními orgány státní správy. Společnost GORDIC má své služby zapsány v bezpečnostní úrovni 2 a 3.
Výhody Cloud computingu
Náklady
- Nižší počáteční investice: Cloudové řešení nevyžaduje velké investice do hardwaru a infrastruktury.
- Méně nákladů na údržbu: Aktualizace a údržba jsou často zahrnuty v ceně služby, což snižuje potřebu interních IT zdrojů.
- Úspora na mzdových nákladech za IT pracovníků: IT oddělení přechází do manažerské pozice, za provoz, bezpečnost, rozvoj infrastruktury je odpovědný poskytovatel.
Přístupnost a flexibilita
- Dostupnost odkudkoli: Ke cloudovým službám lze přistupovat z jakéhokoli místa s internetovým připojením, což umožňuje servisním pracovníkům pracovat na dálku nebo na cestách.
- Škálovatelnost: Cloudové služby mohou být snadno škálovány nahoru nebo dolů podle potřeb firmy bez nutnosti rozsáhlých investic.
Bezpečnost
- Aktualizace zabezpečení: Cloudové služby obsahují pravidelné aktualizace zabezpečení, které zajišťují ochranu proti nejnovějším hrozbám.
- Zálohování a obnova: Součástí cloudových služeb jsou robustní zálohovací (minimálně šest kopií ve dvou centrech) a obnovovací služby, které minimalizují riziko ztráty dat.
Spolehlivost
- Aktualizace zabezpečení: Cloudové služby obsahují pravidelné aktualizace zabezpečení, které zajišťují ochranu proti nejnovějším hrozbám.
Aktualizace a údržba
- Automatické aktualizace: Poskytovatelé cloudu pravidelně aktualizují software, což znamená, že uživatelé vždy pracují s nejnovějšími verzemi bez potřeby manuálních zásahů.
- Redukce IT zátěže: Interní IT týmy nemusí řešit hardware, instalace a složité konfigurace, což jim umožňuje soustředit se na strategičtější úkoly.
Compliance a regulace
- Dodržování předpisů: Mnoho cloudových poskytovatelů nabízí certifikace a dodržování regulací, což může být pro malé a střední firmy náročné zajistit vlastními silami.
Rychlost implementace
- Rychlé nasazení: Cloudová řešení mohou být implementována mnohem rychleji než on-premise systémy, protože nevyžadují instalaci a konfiguraci fyzického hardwaru.
- Okamžitý přístup k funkcionalitám: Uživatelé mohou začít využívat nové funkcionality ihned po jejich uvolnění poskytovatelem, což urychluje proces inovací a adaptace na změny.
