Modul 2 · 2.4
Jämföra leverantörer utan att låta dig charmas
Modul 2: Vad är egentligen ett europeiskt moln? · Lästid: 11 minuter
Mål med lektionen: Efter den här lektionen kan du använda en egen kravlista för att jämföra europeiska leverantörer på innehåll, värdera certifieringar på rätt sätt och välja mellan en helhetstjänst, lösa tjänster eller egen drift.
Nyckelbegrepp: kravlista (måste, bör, kan), ISO/IEC 27001, tillämpningsområde (scope), ISO/IEC 27701, NEN 7510, BSI C5, SecNumCloud, SOC 2, SLA, tillgänglighet, supportspråk, provperiod, referenser, helhetstjänst, lösa tjänster, egen drift
Först dina krav, sedan leverantörerna
Den som börjar med att titta på leverantörers webbplatser låter sig styras av det de själva vill lyfta fram: ett stort lagringstal, en AI-knapp, en snygg logotyp. Börja därför hos dig själv. Bakkerij De Korrel (bageriet De Korrel) skrev först ner vad de verkligen behövde, och först därefter började de titta på leverantörer.
Använd tre nivåer:
- Måste: utan detta faller leverantören bort. Till exempel: data och säkerhetskopior inom EES, europeisk ägare, personuppgiftsbiträdesavtal med lista över underbiträden, e-post på egen domän, IMAP och CalDAV, tvåfaktorsautentisering.
- Bör: viktigt, men du kan lösa det på annat sätt. Till exempel: onlinekontorspaket i webbläsaren, support på svenska, mobilapp för foton.
- Kan: trevligt att ha. Till exempel: videosamtal, formulär, AI-hjälp.
Håll måste-listan kort. En måste-lista med trettio punkter klarar ingen, och då väljer du ändå på känsla.
Tre typer av erbjudanden
Europeiska molntjänster finns ungefär i tre former.
| Form | Vad det är | Fördelar | Tänk på |
|---|---|---|---|
| Helhetstjänst | En leverantör levererar e-post, lagring, kalender, dokument och chatt tillsammans, som sviterna från stora amerikanska leverantörer | Ett avtal, en inloggning, allt fungerar ihop | Du hamnar återigen hos en enda part, kontrollera exportmöjligheterna extra noga |
| Lösa tjänster | E-post hos en leverantör, filer och kalender hos en annan, chatt hos en tredje | Bästa valet för varje del, mindre beroende | Fler avtal, fler inloggningar, mer administration |
| Egen drift | Du kör programvara med öppen källkod (till exempel Nextcloud) på en egen server eller en hyrd server | Maximal kontroll | Du sköter själv uppdateringar, säkerhet och säkerhetskopior, det kräver kunskap och tid, varje vecka |
Många mindre organisationer väljer en mellanväg: en administrerad tjänst på programvara med öppen källkod. Då sköter en leverantör servern, men du kan med samma programvara flytta till en annan leverantör eller till egen drift om det någon gång behövs. Egen drift är bara en bra idé om någon strukturerat lägger tid på det och vet vad hen gör. En Nextcloud som inte får uppdateringar på ett år är mindre säker än en väl administrerad tjänst, europeisk eller inte.
Certifieringar: vad de säger och inte säger
Leverantörer nämner gärna certifieringar. De är användbara, men du måste veta vad de betyder.
| Certifiering | Vad den säger | Vad du ska kontrollera |
|---|---|---|
| ISO/IEC 27001 | Företaget har ett ledningssystem för informationssäkerhet: risker kartlagda, åtgärder, årlig kontroll av ett certifierande organ | Tillämpningsområdet (scope): gäller det för tjänsten du köper, eller bara för datacentret eller en avdelning? Är certifikatet giltigt och utfärdat av ett ackrediterat organ? |
| ISO/IEC 27701 | Utökning av 27001 för hantering av personuppgifter | Samma frågor om tillämpningsområde |
| NEN 7510 | Nederländsk norm för informationssäkerhet inom vården | Bara relevant om du behandlar vårddata, och då ofta ett krav i Nederländerna |
| BSI C5 | Tysk kravkatalog för molntjänster från Bundesamt für Sicherheit in der Informationstechnik | Rapport med iakttagelser, inget enkelt "godkänt" |
| SecNumCloud | Fransk kvalificering från ANSSI för molntjänster, med krav mot åtkomst enligt lagar utanför EU | Sträng, säger mycket om juridiskt oberoende |
| SOC 2 | Amerikansk revisionsrapport (AICPA) om säkerhetsåtgärder | Inget certifikat utan en rapport, be om rapporten, inte bara logotypen |
Två fallgropar. För det första: datacentret är certifierat, leverantören själv inte. Då säger certifikatet något om ström, kylning och tillträdesgrindar, men inget om vem som kan komma åt dina uppgifter. För det andra: en certifiering är inget svar på de fem frågorna från lektion 2.1. En amerikansk tjänst kan ha ISO 27001 och ändå omfattas av CLOUD Act.
Små leverantörer saknar ibland certifiering, eftersom den kostar mycket. Det gör dem inte osäkra. Fråga då konkret vilka åtgärder de vidtar: tvåfaktorsautentisering för administratörer, kryptering, säkerhetskopior på en annan plats, policy för uppdateringar, en rutin för att anmäla dataintrång.
Läsa SLA:n
En SLA (service level agreement) beskriver vad en leverantör lovar: tillgänglighet, supportens svarstid, underhållsfönster och vad du får om leverantören inte håller sitt löfte.
Räkna alltid om tillgänglighet till tid. 99,9 % per månad låter nästan perfekt, men betyder att tjänsten får vara otillgänglig i drygt 43 minuter per månad. Vid 99 % är det drygt sju timmar. Titta också på om planerat underhåll räknas in, och vad kompensationen är: ofta ett litet tillgodohavande, ingen ersättning för din skada.
Läs också vad som inte står med. Viktiga punkter som hör hemma i en SLA eller i villkoren:
- hur länge och var säkerhetskopior sparas, och om du själv kan återställa något;
- hur snabbt en säkerhetsbrist åtgärdas;
- hur du informeras vid ett driftstopp (statussida, e-post);
- vad som händer med dina uppgifter efter uppsägning (lektion 2.3 och 8.2).
Prova, fråga, testa
Papper är tåligt. Jämför därför inte bara på webbplatsen:
- Ta en provperiod eller ett litet paket, och sätt in en riktig testuppsättning: ett par mejlkonton, en kalender med återkommande möten, en mapp med dina mest besvärliga dokument (lektion 6.5).
- Ställ en riktig fråga till supporten, till exempel "Hur exporterar jag allt om jag vill avsluta?" Lägg märke till hastigheten, språket och om svaret stämmer.
- Be om dokumenten: personuppgiftsbiträdesavtal, lista över underbiträden, SLA, certifikat med tillämpningsområde.
- Fråga efter referenser från en organisation som liknar din egen, och ring dem.
- Gör ett exporttest innan du skriver under.
En jämförelsetabell som fungerar
Sätt leverantörerna i kolumner och dina krav i rader. Fyll i varje cell med ett faktum och en källa, inget intryck. Exempel på några rader för bageriet:
| Krav | Nivå | Leverantör A | Leverantör B | Leverantör C |
|---|---|---|---|---|
| Europeisk ägare | måste | ja (handelsregister) | nej (moderbolag i USA) | ja (årsredovisning) |
| Data och säkerhetskopior inom EES | måste | ja (personuppgiftsbiträdesavtal bilaga 1) | ja | ja, säkerhetskopia i CH (adekvat) |
| IMAP, CalDAV, CardDAV | måste | ja (testat) | endast egen app | ja (testat) |
| Export av allt i standardformat | måste | ja (testat) | delvis | ja |
| Onlinekontorspaket | bör | ja | ja | nej |
| Support på svenska | bör | ja | nej | ja |
Leverantör B faller bort på två måste-krav, hur fin resten än är. Mellan A och C avgör du på bör-kraven.
I praktiken: så här ser det ut hos en leverantör
En WebOké Nextcloud är ett exempel på en administrerad tjänst på programvara med öppen källkod: du kan välja mellan en delad miljö och en egen server per paket, och programvaran är samma Nextcloud som du även kan köra hos andra leverantörer eller själv. Andra europeiska leverantörer erbjuder liknande former: helhetstjänster med e-post, lagring och kalender (till exempel mailbox.org, Infomaniak, Proton eller IONOS), fristående e-posttjänster (till exempel Posteo eller Tuta) och servrar för egen drift (till exempel hos Hetzner, OVHcloud, Scaleway eller STACKIT). Den här kursen väljer inte åt dig: använd kravlistan.
Sammanfattning
- Börja med dina egna krav, uppdelade i måste, bör och kan. Håll måste-listan kort.
- Välj medvetet mellan helhetstjänst, lösa tjänster och egen drift, egen drift kräver strukturerat kunskap och tid.
- En certifiering säger framför allt något inom sitt tillämpningsområde, och svarar inte på ägarfrågan.
- Räkna om tillgänglighet till tid och läs vad som inte står i SLA:n.
- Testa med en provperiod, en riktig supportfråga och ett exporttest innan du skriver under.
Quiz
Uppgift
Uppgift E2.4: Din egen kravlista och jämförelse. Gör en kravlista med minst fem måste-krav och tre bör-krav. Jämför med den två eller tre leverantörer i en tabell som ovan, med ett faktum och en källa per cell. Förklara i tre meningar vilken leverantör du skulle välja och varför.
Uppgift E2.4: Din egen kravlista och jämförelse
Sätt upp en kravlista och jämför två eller tre leverantörer (kolumner: krav, nivå måste/bör/kan, leverantör 1, 2, 3).
Dina bockar och anteckningar sparas bara i den här webbläsaren; vi skickar dem ingenstans. Är du inloggad sparar vi i Mina kurser bara att du har gjort uppgiften.
Läs mer
Stegen i de här artiklarna gäller för WebOkés tjänster, hos andra leverantörer fungerar det på liknande sätt.
- Nextcloud-guide 1.4: Nextcloud Free, Personal, Family eller Max: skillnader och byte
- WebOké manual 2.2: Välja ett webbhotellspaket (webbhotell, e-postpaket, Nextcloud, AI Builder)
- Nextcloud-guide 6.6: Säkerhetskopior hos WebOké: vad vi sparar och vad du kan göra själv
- ISO/IEC 27001:2022, Information security management systems (iso.org, standard 27001)
- BSI C5 (Cloud Computing Compliance Criteria Catalogue): https://www.bsi.bund.de/EN/Themen/Unternehmen-und-Organisationen/Informationen-und-Empfehlungen/Empfehlungen-nach-Angriffszielen/Cloud-Computing/Kriterienkatalog-C5/kriterienkatalog-c5_node.html