„Kur yra mūsų duomenys?“ – klausimas, kurį vis dažniau užduoda ne IT skyrius, o vadovas, auditorius ar klientas prieš pasirašydamas sutartį. Dar prieš kelerius metus atsakymas „debesyje“ visus tenkino. Šiandien jo nepakanka: BDAR reikalauja žinoti, ar duomenys lieka Europos ekonominėje erdvėje, DORA ir TIS2 reikalauja dokumentuoti kiekvieno kritinio tiekėjo vietą, o užsakovai iš viešojo sektoriaus ar finansų kartais tiesiog reikalauja duomenų centro Lietuvoje.
Kartu rinkoje sklando du mitai. Pirmas – kad duomenys užsienyje yra automatiškai nesaugūs arba neteisėti. Antras – kad vietinis duomenų centras yra nereikalingas sentimentalumas, nes didieji tiekėjai turi regionus ES ir visko pakanka. Abu mitai klaidingi, o tiesa priklauso nuo to, ką jūsų sistema daro ir kam atsakote.
Šiame straipsnyje išskaidome duomenų buvimo vietos klausimą į keturis praktinius aspektus: greitį, teisę, atitiktį ir atsparumą, ir paaiškiname, kaip juos sujungti į sprendimą.
Vėlinimas: fizika, kurios neapeisi
Pirmasis aspektas yra techninis ir dažnai nuvertinamas. Signalas šviesolaidžiu keliauja ribotu greičiu, o kiekvienas tinklo mazgas prideda savo laiką. Iš Vilniaus, Kauno ar Klaipėdos iki duomenų centro Lietuvoje vėlinimas yra kelios milisekundės. Iki artimiausių hiperskalerių regionų Šiaurės Europoje ar Vokietijoje – dešimtys milisekundžių.
Svetainei ar el. paštui skirtumo nejausite. Bet yra sistemų, kuriose kiekviena operacija reikalauja daug mažų užklausų į serverį: apskaitos ir ERP programos, terminalų serveriai, nuotoliniai darbalaukiai, duomenų bazės su daug skaitymų, BIM ir CAD darbas su failų serveriu. Čia vėlinimas dauginasi iš tūkstančių užklausų ir virsta ta vartotojo patirtimi, kai programa „stringa“, nors serveris nė kiek neapkrautas.
Mūsų praktikoje tai dažniausia priežastis, kodėl įmonės po pusmečio grįžta iš užsienio regiono į vietinį duomenų centrą: ne dėl saugumo, o dėl to, kad buhalterija skundėsi lėta Rivile ar terminalų serveriu.
BDAR ir duomenų perdavimas: kas iš tikrųjų draudžiama
Teisinis aspektas dažnai suprantamas neteisingai. BDAR nereikalauja laikyti duomenų Lietuvoje. Jis reikalauja, kad asmens duomenų tvarkymas vyktų Europos ekonominėje erdvėje arba šalyse, kurioms Europos Komisija pripažino tinkamą apsaugos lygį, o kitais atvejais – taikyti papildomas apsaugos priemones ir dokumentuoti perdavimą.
Praktiškai tai reiškia:
- Duomenų centras Vokietijoje, Nyderlanduose ar Švedijoje BDAR požiūriu yra lygiavertis duomenų centrui Lietuvoje. Jokių papildomų sutarčių dėl perdavimo nereikia.
- Problema atsiranda, kai tiekėjas gali perkelti duomenis už EEE ribų: į JAV regionus, palaikymo komandas Azijoje, subrangovus trečiose šalyse. Tada reikia standartinių sutarčių sąlygų, perdavimo poveikio vertinimo ir aiškaus atsakymo auditoriui.
- Svarbus ne tik pirminių duomenų, bet ir kopijų, žurnalų, palaikymo prieigų buvimo vieta. Sutartyje su tiekėju turi būti įrašytas sąrašas šalių, kuriose duomenys gali atsidurti.
Pasiūlymuose ieškokite ne žodžio „saugu“, o konkrečios šalies ir subtvarkytojų sąrašo.
DORA ir TIS2: pareiga žinoti ir dokumentuoti vietą
Jei įmonė patenka į DORA (finansų įstaigos ir jų IT tiekėjai, taikoma nuo 2025 m. sausio 17 d.) ar TIS2 (NIS2 direktyvos perkėlimas į Lietuvos Kibernetinio saugumo įstatymą, taikomas svarbiems ir ypatingos svarbos sektoriams) taikymo sritį, duomenų vieta nebėra pasirinkimas, o dokumentuojama pareiga.
Abu teisės aktai reikalauja vesti trečiųjų šalių IT tiekėjų registrą, kuriame nurodoma, kokias paslaugas tiekėjas teikia, kur jos teikiamos, kur saugomi duomenys ir kokia yra išėjimo strategija. DORA papildomai reikalauja vertinti koncentracijos riziką: ar per daug kritinių funkcijų priklauso nuo vieno tiekėjo ar vienos geografinės vietos.
Praktinis skirtumas tarp vietinio ir tolimo tiekėjo čia yra įrodomumo klausimas. Lietuvoje veikiantį duomenų centrą galima aplankyti, jo operatorius atsako pagal Lietuvos teisę, o sutartis derinama tiesiogiai. Hiperskalerio atveju gaunate standartines sąlygas ir sertifikatus, kuriuos reikia mokėti perskaityti ir pritaikyti savo registrui. Abu variantai yra teisėti, bet antrasis reikalauja daugiau dokumentavimo darbo. Apie tai plačiau rašome DORA ir TIS2 skiltyse.
Kopijos kitoje šalyje: atsparumas, ne prieštaravimas
Čia dažnai kyla painiava: jei duomenys turi būti Lietuvoje, ar galima laikyti kopijas užsienyje? Atsakymas – ne tik galima, bet dažnai reikia. Atsparumo požiūriu vienas duomenų centras, kad ir koks geras, yra vienas gedimo taškas. Gaisras, ilgalaikis elektros tiekimo sutrikimas, regioninė nelaimė – visa tai turi būti numatyta veiklos tęstinumo plane, kurio reikalauja ir ISO 27001, ir DORA.
Mūsų modelis yra toks: pagrindiniai duomenys ir sistemos veikia duomenų centre Lietuvoje, o atsarginės kopijos pagal poreikį dubliuojamos Amazon (AWS) duomenų centre Vokietijoje. Vokietija yra ES, todėl BDAR požiūriu tai nėra perdavimas į trečiąją šalį, o geografinis atstumas užtikrina, kad vienas įvykis nepaveiks abiejų vietų. Dalis klientų papildomai naudoja slaptąsias rezervines kopijas – nekeičiamas ir iš tinklo nematomas, kad net serverio užvaldymas nereikštų kopijų praradimo.
Kada hiperskalerio ES regionas yra teisingas pasirinkimas
Būtume nesąžiningi teigdami, kad vietinis duomenų centras visada geresnis. Hiperskalerio (Microsoft Azure, AWS) regionas ES yra teisingas pasirinkimas, kai:
- Sistema sukurta debesijos paslaugoms, ne serveriams: naudoja valdomas duomenų bazes, funkcijas, eiles, dirbtinio intelekto paslaugas, kurių vietinis centras nesiūlo.
- Vartotojai išsibarstę po Europą ar pasaulį, ir Lietuva nėra jų centras.
- Reikia staigaus, didelio mastelio keitimo – šimtų serverių kelioms valandoms.
- Jau naudojate Microsoft 365 ir norite tapatybes, saugumą ir duomenis valdyti vienoje ekosistemoje per Entra ID ir Azure.
Tokiais atvejais mes patys siūlome Microsoft Azure ir padedame parinkti regioną bei sukonfigūruoti duomenų buvimo apribojimus, kad duomenys neišeitų iš ES.
Kada vietinis duomenų centras geresnis
Ir atvirkščiai, vietinis centras laimi, kai:
- Sistemos jautrios vėlinimui: apskaita, ERP, terminalų serveriai, GPU darbo stotys, duomenų bazės su daug operacijų.
- Reikia žmogaus, kuris atsako už visą serverį, ne tik už platformą: atnaujinimus, kopijas, apsaugą, ir kurį galima pasiekti telefonu lietuviškai.
- Užsakovai, auditoriai ar vidinė politika reikalauja duomenų Lietuvoje ir tiekėjo, veikiančio pagal Lietuvos teisę.
- Apkrova pastovi ir nuspėjama, o hiperskalerio kainodara pagal naudojimą tampa sunkiai prognozuojama.
Mišrus modelis: dažniausiai teisingas atsakymas
Daugumai Lietuvos įmonių geriausias atsakymas nėra „arba, arba“. Tipinė architektūra, kurią matome ir rekomenduojame: pagrindinės verslo sistemos ir failų serveriai – valdomuose serveriuose duomenų centre Lietuvoje, el. paštas ir bendradarbiavimas – Microsoft 365, tapatybės – Entra ID, kopijos – Lietuvoje ir Vokietijoje, o specifinės debesijos paslaugos – Azure ES regione pagal poreikį.
Tokiame modelyje kiekviena sistema gyvena ten, kur jai geriausia, o duomenų vieta kiekvienai iš jų yra žinoma ir dokumentuota. Būtent to reikalauja auditorius: ne vienos šalies, o aiškaus atsakymo kiekvienai sistemai.
Nuo ko pradėti
- Sudarykite sistemų sąrašą ir prie kiekvienos įrašykite: kur ji veikia, kur jos kopijos, kas turi prieigą ir iš kur. Tai jūsų tiekėjų registro pagrindas.
- Pasitikrinkite, ar kuri nors sistema gali atsidurti už EEE ribų, įskaitant palaikymo prieigas ir subrangovus.
- Išmatuokite vėlinimą iki esamų serverių iš darbo vietų – jei sistemos „stringa“, tai dažnai ir yra priežastis.
- Nuspręskite, kurioms sistemoms reikia vietinio centro, kurioms tinka ES regionas, ir užtikrinkite, kad kopijos būtų kitoje vietoje nei pirminiai duomenys.
- Jei reikia pagalbos vertinant, mūsų rizikų vertinimo paslauga apima ir tiekėjų bei duomenų vietos analizę, o valdomi CLOUD serveriai duomenų centre Lietuvoje yra tas pagrindas, nuo kurio dauguma mišrių modelių prasideda.
