Soustřeďte se na svůj business a správu IT systémů přenechte profesionálům

• Trendy
• Rozhovor

Jedno je jisté: hackerské útoky tu s námi jsou a budou. Nezbývá, než se na ně předem připravit a eliminovat riziko na minimum. Kybernetickou bezpečnost je dobré řešit komplexně, stanovit si celkový plán a dodržovat jej, jak říká v rozhovoru Michal Kárník, Chief Information Officer ve společnosti Aimtec. Zeptali jsme se ho, jaké přístupy mohou podle něho zaručit bezproblémový chod informačních systémů tak, aby se zákazník v ideálním případě nemusel o nic starat.  

Michale, jsi IT profesionál, již mnoho let pracuješ v zavedené technologické společnosti. Máš jednoduchý návod, jak se vyhnout kybernetickým útokům a s tím spojeným ztrátám kontroly, reputace a peněz? Jaká preventivní opatření by měly společnosti přijmout?

Jednoduchý návod neexistuje. Je potřeba si uvědomit možná rizika takového útoku a kybernetickou bezpečnost řešit komplexně. Dobrým průvodcem může být například norma ISO 27001. Ta definuje oblasti, kterým je třeba se věnovat. Každé opatření, které v dané oblasti implementujeme, snižuje riziko úspěšného kyberútoku a jeho případného dopadu. Na IT bezpečnost se dá pohlížet jako na jednotlivé vrstvy, například na fyzickou bezpečnost, síťovou bezpečnost, správu identit a řízení přístupu, zabezpečení koncových stanic nebo na bezpečnost dat. Pokud mám vlastní hardware, musím si zajistit i dostatečnou podporu od dodavatele a jeho případnou výměnu.

Říkal jsi, že je důležité neustále si uvědomovat možná rizika napadení. Jak k tomu lze podle tebe správně přistoupit?

Neexistuje dokonalé řešení, a proto vždy pracujeme s jistou mírou rizika. Cílem je snižovat ho na minimum, což je ale také spojeno s investicí a následně vyššími náklady na provoz. Na začátku je potřeba ohodnotit jednotlivé systémy a rozdělit je podle jejich důležitosti z pohledu dostupnosti a dopadu na fungování firmy. Pak můžeme postupně zlepšovat jejich zabezpečení nebo hledat vhodné řešení. V každém případě doporučuji zahrnout do uvažování i scénář, kdy se něco stane, a mít připravený disaster recovery plán.

Jak se dá pracovat se zálohami? Nestačí systémy prostě jen na denní bázi zálohovat?

Udržování záloh a nastavení dobrého způsobu zálohování je nezbytný základ. Je jisté, že nastane situace, kdy bude firma zálohy potřebovat. Navrhnout dobrý zálohovací plán není jednoduché a je potřeba identifikovat kritické systémy z pohledu důležitosti a dopadu v případě nedostupnosti. Následně je potřeba stanovit požadované RPO a RTO parametry. RPO (Recovery Point Objective) značí bod v minulosti, ke kterému lze obnovit data, respektive maximální ztrátu dat. RTO (Recovery Time Objective) je doba, za kterou jsem schopen zálohu obnovit. S tím souvisí i úložiště, do kterého zálohuji, a jeho zabezpečení.

Jaké jsou výhody cloudového řešení kromě zmíněného zálohování?

Cloud poskytuje více výhod. Mezi ty nejdůležitější bych zařadil elasticitu infrastruktury. Spočívá v tom, že si mohu pronajmout a vytvořit zdroje (servery s výpočetním výkonem), které zrovna potřebuji. Nemusím čekat, až mi někdo dodá další potřebný hardware. S elasticitou je spojena vyšší dostupnost aplikace a její již zmíněné zálohování. Velcí cloudoví provideři mají několik na sobě nezávislých datacenter a v případě výpadku hardwaru je možné služby nastartovat i na druhém konci světa. Aplikace také může běžet ve více datacentrech zároveň. Výrazně tím snižuji riziko z důvodu nefunkčního hardwaru nebo jeho neočekávaného výpadku. Cloud umožňuje také vysokou míru automatizace.

V poslední době se stále častěji setkávám s pojmem SaaS. Jak souvisí tato služba s cloudem a proč bych o ní měla jako zákazník uvažovat?

Jako ISV (Independent Software Vendor) vyvíjíme aplikaci a zároveň ji provozujeme v cloudu. K tomu využíváme všechny její výhody k zajištění vysoké dostupnosti a spolehlivosti. Aplikaci pak dodáváme našim zákazníkům formou služby, tzv. SaaS (Software as a Service). V případě, že si zákazník vybere SaaS řešení, službu pouze „konzumuje“ a nemusí nic řešit. O vše se stará dodavatel. Velmi zjednodušeně řečeno: jeho součinnost je pouze připojit se z počítače.

Existuje z tvého pohledu nějaký zásadní rozdíl, pokud se jako IT dodavatel staráš u zákazníka o systémy on-premise, nebo v cloudu?

Pokud se u nás staráme o systém na on-premise infrastruktuře, jsme schopni jako dodavatel sami vyřešit a ovlivnit pouze 20 % vzniklých situací, zbylých 80 % musíme řešit v součinnosti se zákazníkem. Tím se to celé zpomaluje. V případě cloudu provedeme rychle a flexibilně sami 80 % věcí a jen u 20 % je potřeba spolupráce se zákazníkem. Jsme tím pádem trojnásobně rychlejší.

A co hledisko provozních nákladů, pokud srovnáš provozování systému ve vlastní režii, nebo v cloudu?

Z mých zkušeností mohu říci, že on-premise a cloud řešení vycházejí zákazníka z hlediska financí stejně nebo velmi podobně. U on-premise řešení se často zapomíná započítat náklady na interní zaměstnance, na provoz a obnovu hardwaru včetně datového centra a na podporu systémů v režimu 24/7.

To vše částečně řeší cloud a přidanou hodnotu tomu dodává systém poskytovaný formou SaaS. Firma se tak může soustředit na svůj core business. Zde vidím ten hlavní přínos.

Sdílejte článek