Co się stanie, gdy firma straci dostęp do danych? Zarządzanie danymi to decyzja biznesowa, a nie tylko zadanie dla działu IT

 

Niezaplanowany przestój w sprzedaży, zablokowana logistyka czy odcięty system obsługi klienta to scenariusze, w których zakłócenia w dostępie do kluczowych systemów mogą szybko przełożyć się na wstrzymanie procesów biznesowych. Dane stanowią istotny zasób operacyjny każdego biznesu, a ich rosnąca ilość zwiększa koszty przechowywania i wymaga decyzji wykraczających poza kompetencje działu IT.

Z każdym rokiem firmy gromadzą coraz więcej informacji operacyjnych, finansowych i klienckich. Jednym z problemów jest brak spójnych zasad określających, jakie dane, gdzie i jak długo należy przechowywać. Konsekwencją są nieuzasadnione koszty infrastrukturalne i ryzyko utraty dostępu do kluczowych zasobów.

Zarządzanie danymi przestało być zagadnieniem czysto technicznym. To decyzja biznesowa, która wpływa na rentowność, odporność operacyjną i bezpieczeństwo przedsiębiorstwa.

 

Dwa wyzwania: koszty przechowywania i ryzyko przestoju

 

W wielu organizacjach dane trafiają do podobnie wydajnych, a często również droższych zasobów pamięci masowej, niezależnie od tego, jak często są wykorzystywane. Tymczasem dane transakcyjne, z których aplikacje korzystają na bieżąco, mają inne wymagania niż wieloletnie archiwa czy informacje przechowywane głównie ze względu na obowiązki prawne i regulacyjne. Utrzymywanie rzadko używanych zasobów w najdroższych zasobach pamięci masowej generuje niepotrzebne wydatki. Dlatego wraz ze wzrostem liczby informacji rośnie znaczenie polityk retencji, archiwizacji i usuwania danych, które nie są już potrzebne.

Obok kosztów istotnym wyzwaniem pozostaje ciągłość działania. W przypadku awarii sprzętowej, błędu ludzkiego czy ataku sieciowego, czas powrotu do pełnej sprawności operacyjnej zależy także od jakości i aktualności kopii zapasowych. Brak sprawnych procedur odzyskiwania danych może wydłużyć przestój, zwiększając straty operacyjne i finansowe. Ręczne pilnowanie terminów retencji, archiwizacji oraz regularnego wykonywania kopii bezpieczeństwa przez pracowników jest nieefektywne. W obliczu rosnącej skali informacji proces staje się zbyt złożony, co zwiększa podatność na błędy ludzkie i niedopatrzenia.

Dla przedsiębiorstwa handlowego kilkugodzinna niedostępność systemu obsługi zamówień może oznaczać utracone przychody, podczas gdy opóźniony dostęp do wieloletniego archiwum nie musi istotnie wpływać na bieżącą działalność. Oba rodzaje danych wymagają więc odmiennego podejścia do dostępności, ochrony i kosztów przechowywania. To właśnie rozróżnienie powinno być punktem wyjścia do projektowania zasad zarządzania informacją.

 

Automatyzacja zasad przechowywania danych

Sposobem na uporządkowanie rozproszonych zasobów przedsiębiorstwa jest zastosowanie spójnej warstwy zarządzania danymi. Oktawave Data Fabric ujednolica i łączy modele pamięci blokowej, plikowej i obiektowej w ramach jednego środowiska operacyjnego. Platforma pozwala automatyzować wybrane procesy związane z przechowywaniem, retencją i ochroną danych. Zamiast ręcznie zarządzać każdym procesem, organizacja może odgórnie definiować reguły dopasowane do wymagań i specyfiki poszczególnych zasobów.

Dane wymagające szybkiego dostępu mogą być utrzymywane na odpowiednio wydajnych poziomach pamięci masowej. Informacje rzadziej wykorzystywane można natomiast automatycznie przenosić do tańszych warstw, o ile pozwalają na to wymagania aplikacji, polityki dostępu i przyjęte zasady przechowywania. Takie podejście pomaga dopasować koszty infrastruktury chmurowej do rzeczywistego sposobu wykorzystania danych.

Równie ważna jest możliwość automatyzacji kopii zapasowych i procesów odtwarzania danych po awarii (disaster recovery). Część tych procesów może być realizowana automatycznie, zgodnie z ustalonymi zasadami, co odciąża zespoły techniczne od powtarzalnych zadań i wspiera utrzymanie ciągłości działania systemów. Ochrona rozproszonej pamięci masowej opiera się na jednoczesnym stosowaniu szybkiej replikacji geograficznej oraz niezależnych kopii zapasowych. Pozwala to skrócić czas ewentualnego odtworzenia aplikacji (RTO), ograniczyć straty finansowe wywołane przestojem i zoptymalizować nakład pracy administracyjnej zespołów IT. 

 

Ochrona danych podczas przetwarzania i kontrola nad kluczami

Obok dostępności danych i kosztów ich przechowywania istotną kwestią jest kontrola nad dostępem do wrażliwych informacji. Korzystanie z chmury oznacza bowiem powierzenie części infrastruktury zewnętrznemu dostawcy. Dlatego znaczenie ma nie tylko to, kto w organizacji może korzystać z określonych zasobów, ale również w jaki sposób chronione są klucze kryptograficzne i jak ograniczany jest dostęp do nich na poziomie infrastruktury.

Przykładem rozwiązania adresującego ten obszar jest Oktawave Trust Vault, rozwijany w ramach projektu Next Gen Cloud. Platforma wykorzystuje technologię Confidential Computing do ochrony kluczy i operacji kryptograficznych, ograniczając zależność ich bezpieczeństwa od uprzywilejowanych komponentów infrastruktury. Pozwala to organizacjom zwiększać kontrolę nad materiałem kryptograficznym wykorzystywanym do ochrony danych, przy zachowaniu elastyczności modelu chmurowego i bez konieczności zakupu i utrzymywania własnego fizycznego HSM.

 

Suwerenność danych i europejskie standardy bezpieczeństwa

Zarządzanie cyklem życia danych i kontrola nad dostępem do informacji mają również wymiar prawny. Dyrektywa NIS2 nakłada na objęte nią podmioty obowiązki związane z zarządzaniem ryzykiem cyberbezpieczeństwa, w tym z ciągłością działania i odtwarzaniem systemów. Rozporządzenie DORA określa natomiast wymagania dotyczące odporności operacyjnej w sektorze finansowym, obejmujące m.in. ryzyko związane z technologiami informacyjno-komunikacyjnymi i zewnętrznymi dostawcami usług.

Identyfikacja ryzyk, analiza wymogów regulacyjnych oraz określenie zasad zarządzania tożsamością i nadzoru nad dostawcami to podstawowe elementy budowania strategii bezpieczeństwa. Kluczowe znaczenie ma również jurysdykcja, której podlega operator infrastruktury. Korzystanie z usług dostawców podlegających jurysdykcjom państw trzecich może wiązać się z dodatkowymi ryzykami prawnymi dotyczącymi dostępu do danych (np. na mocy amerykańskiej ustawy CLOUD Act). W tym kontekście samo fizyczne zlokalizowanie serwerów na terenie Unii Europejskiej okazuje się niewystarczające. Na zakres kontroli nad danymi wpływają m.in. jurysdykcja dostawcy, warunki umowne, uprawnienia administracyjne oraz sposób zarządzania kluczami kryptograficznymi. 

Kwestię niezależności technologicznej europejskich przedsiębiorstw adresuje inicjatywa IPCEI-CIS (Important Projects of Common European Interest – Cloud Infrastructure and Services). Paneuropejski program, wsparty kwotą 1,2 mld euro ze środków publicznych, zrzesza podmioty z Unii Europejskiej rozwijające otwartą, interoperacyjną i rozproszoną infrastrukturę chmurową. W ramach tego mechanizmu Oktawave realizuje projekt Next Gen Cloud. Prace koncentrują się na rozwiązaniach z zakresu Confidential Computing, sprzętowej izolacji zasobów oraz bezpiecznego przetwarzania danych. 

Poszczególne części projektu odpowiadają na konkretne i powiązane wyzwania technologiczne: Trust Vault chroni klucze i operacje kryptograficzne, Data Fabric upraszcza zarządzanie rozproszonymi danymi, a równolegle rozwijane mechanizmy uwierzytelniania i autoryzacji w środowiskach multi-cloud, umożliwiają współpracę usług działających w różnych chmurach i lokalizacjach brzegowych. Wspólnym celem tych prac jest stworzenie bardziej spójnego i bezpiecznego środowiska chmurowego, w którym przedsiębiorstwa mogą zarządzać danymi i kontrolować dostęp do nich niezależnie od tego, w jakich systemach i chmurach są przechowywane oraz przetwarzane.

Technologie rozwijane w ramach inicjatywy IPCEI-CIS odpowiadają na wyzwania związane z ochroną i suwerennością danych w Europie, wprowadzając gotowe narzędzia do łatwej implementacji przez rynek.

 

Zarządzanie danymi jako element strategii biznesowej

Koszty infrastruktury i bezpieczeństwo danych nie powinny być rozpatrywane wyłącznie jako zadania administracyjne. Decyzje dotyczące tego, gdzie przechowywać informacje, jak długo je utrzymywać, kto może uzyskać do nich dostęp i jak szybko można przywrócić działanie systemów, mają bezpośredni wpływ na funkcjonowanie przedsiębiorstwa. 

Automatyzacja zarządzania cyklem życia danych pomaga ograniczyć niepotrzebne wydatki i zmniejszyć obciążenie zespołów technicznych. Mechanizmy kopii zapasowych i odtwarzania wspierają ciągłość działania, natomiast odpowiednio zaprojektowana ochrona kryptograficzna ogranicza ryzyko nieautoryzowanego dostępu do informacji.

Efektywna strategia wymaga połączenia technologii z jasno określonymi zasadami, odpowiedzialnością za dane, kontrolą uprawnień i regularnym testowaniem procedur awaryjnych. W warunkach rosnącej zależności biznesu od systemów cyfrowych zarządzanie danymi jest kluczowym elementem strategicznego zarządzania ryzykiem, a nie tylko odpowiedzialnością działu IT.

 

Partnerem publikacji jest Oktawave