Gdzie i jak przechowywać dane? Chmura czy data center? W Polsce bardzo często niejednoznacznie definiuje się pojęcie przechowywanie danych. Najczęściej pojęcie to rozumiane jest jako kopia zapasowa. Taki sposób określania myli 3 różne pojęcia związane z przechowywaniem danych. Pierwsze pojęcie przechowywania danych to dane używane do normalnej pracy aplikacji internetowej (np. bazy danych). Drugie pojęcie to kopia bezpieczeństwa, wykorzystywana w momencie poważniejszej awarii danych używanych do normalnej pracy aplikacji internetowej. Trzecie pojęcie przechowywania danych to archiwizacja danych, czyli przechowywanie danych historycznych. Każde z tych pojęć ma różne wymagania, przeznaczenie, a także w różny sposób jest realizowane. Dlatego zanim odpowie się na pytanie o optymalny sposób przechowywania danych, istotne jest dookreślenie, o które dane chodzi – dane on-line, kopia zapasowa czy archiwum.
Spis treści
Przechowywanie danych
Przechowywanie danych wymusza na nas zarówno technologia jak i regulacje krajowe w zakresie „obrotu danymi”. Bez względu na to do czego służą nam dane, istotniejszym jest jakie informacje w tych danych się znajdują. Szczególnie istotne są dane zawierające dane osobowe, czy dane wrażliwe, czyli informacje powiązane z konkretnymi ludźmi – stanowiącymi ich prywatne informacje. Osobnym zagadnieniem są dane zawierające tajemnicę przedsiębiorstwa czy dane będące poufną korespondencją. O ile utrata tajemnicy przedsiębiorstwa to zmartwienie firm lub administracji państwowej, o tyle obracanie danymi osobowymi osób prywatnych to zagadnienie podlegające regulacjom prawnym. Głównym zadaniem tych regulacji jest zapewnienie obywatelom prawa do prywatności oraz jasne określenie kto odpowiada za ich ochronę.
Za regulacje w zakresie przechowywania danych osobowych, odpowiedzialny w Polsce jest Główny Inspektor Danych Osobowych. W 2018r. nastąpi znacząca zmiana, ponieważ nie później niż w maju mają, we wszystkich krajach Unii Europejskiej, obowiązywać nowe regulacje w zakresie ochrony danych osobowych – zwanych RODO(skrót od Rozporządzenie o Ochronie Danych Osobowych). Regulacje dotyczące ochrony danych osobowych zawierają informacje o odpowiedzialności za ich ochronę (czyli na kim spoczywa obowiązek pilnowania tychże danych), sposób zgłaszania naruszeń bezpieczeństwa danych osobowych oraz wymiary kar za nie zachowanie należytej staranności w ochronie danych osobowych.
Dane bankowe czy telekomunikacyjne
Dane osobowe to nie jedyny typ danych, które podlegają specjalnemu traktowaniu. Wśród danych wrażliwych znajdują się chociażby dane bankowe czy dane telekomunikacyjne. Oba typy danych zwierają sporo ważnych informacji, zarówno o osobach prywatnych jak i przedsiębiorstwach. W danych bankowych znajdziemy rejestry wszystkich transakcji, przepływu pieniędzy, a w danych telekomunikacyjnych szczegółowe informacje o wykonanych rozmowach czy transmisji danych. Przepisy obowiązujące w Polsce nakładają na instytucje i przedsiębiorstwa posiadające tego typu dane minimalny okres przechowywania ich (archiwizacji). W przypadku danych bankowych jest to 5 lat, a w przypadku danych telekomunikacyjnych 12-miesięcy. Przez taki okres czasu takie dane powinne być przechowywane w sposób bezpieczny. Po tym okresie można jest trwale usunąć – co jest odrębnym, ważnym zagadnieniem technicznym (jak skutecznie usunąć/skasować dane).
Dane medyczne
Poza danymi bankowymi i telekomunikacyjnymi istnieją bardzo ważne dane medyczne i dane biometryczne. Dane medyczne zawierając informacje medyczne dotyczące konkretnych ludzi, czyli wyniki badań medycznych, grupa krwi, zdiagnozowane schorzenia, opis podjętego leczenia, podawane leki, itd. Dane biometryczne są zdecydowanie bardziej istotne, ponieważ zawierają informacje o unikalnych cechach danego człowieka. Do takich danych zalicza się między innymi wzór odcisków palców, wzór tęczówki oka, profil tempru głosu, elektroniczny profil twarzy, elektroniczny profil poruszania się, itd. Dane biometryczne podlegać powinny najwyższym procedurom ochronnym. Wynika to z ich charakteru oraz unikalności. O ile numer PIN czy numer PESEL możemy zmienić w dowolnym momencie, o tyle odcisku palca nie da się wymienić. Jeżeli ktoś dokona kradzieży bazy z odciskami palców, to nie ma metody na zmianę autoryzacji przy wykorzystaniu odcisków palców danej osoby.
Dane osobowe
Do danych istotnych, podlegających prawnej ochronie, są również dane osobowe. Dotyczy to wszelkich danych, które pozwalają na identyfikację danego człowieka/obywatela. Począwszy od numerów PESEL, numeru NIP, poprzez dane o pokrewieństwie, dane o majątku, na danych o obywatelstwie, czy adresie zamieszkania kończąc. Dostęp do wszystkich wymienionych danych powinien być w pełni nadzorowany, a same dane powinny być chronione przed kradzieżą czy uszkodzeniem. Powstaje pytanie, jak chronić i bezpiecznie przechowywać tak ważne dane?
Składowanie danych: Data center czy chmura?
Przechowywanie powyższych danych wymaga podjęcia decyzji co do miejsca ich składowania. Na początek należy odpowiedzieć sobie na pytanie: czy dane przechowujemy w ramach własnych zasobów, czy też wykorzystujemy zasoby firm zewnętrznych?
Praktyka pokazuje, że najlepszym rozwiązaniem jest zastosowanie obu wariantów, czyli przechowywania danych na własnych zasobach oraz posiadania kopii danych, przechowywanych na zewnętrznych zasobach. Ten sposób przechowywana danych minimalizuje niebezpieczeństwo utraty tychże danych, np. na wskutek błędu pracownika, który nieopatrznie skasuje jakieś zasoby danych. W zakresie zewnętrznych usług przechowywania danych od pewnego czasu trwa dyskusja czy lepszym rozwiązaniem jest przechowywanie danych w wybranym Data Center czy też przechowywanie danych w ramach tak zwanej Chmury. Spór w tym temacie jest raczej czysto akademicki, ponieważ przewaga jednego rozwiązania nad drugim wymaga zdefiniowania typu i przeznaczenia przechowywanych danych. Poniżej krótka analiza obu rozwiązań w aspekcie przechowywania danych.
Czym jest Chmura?
Na początek istotne jest zrozumienie czym jest Chmura. To dość ogólne pojęcie, które obejmuje szereg rozproszonych geograficznie systemów informatycznych, które stanowią logiczną całość. Chmuryidealnie nadają się do przechowywania danych on-line, które aktualnie wykorzystywane są przez aplikacje internetowe. Wykorzystując rozproszenie sprawiamy, że przechowywane dane są dużo łatwiej i szybciej dostępne dla aplikacji internetowej. Ma to szczególnie dużo zalet w przypadku aplikacji internetowych oferowanych w Internecie dla różnych stref geograficznych. Tym samym użytkownik ze Stanów Zjednoczonych czy z Europy może korzystać z tej samej aplikacji internetowej, bez zauważalnego opóźnienia w jej działaniu – w dodatku mając identyczny dostęp do wszystkich danych jakimi dysponuje taka aplikacja internetowe. To zaleta rozproszenia danych, rozproszenia mocy obliczeniowej, zarządzania ruchem IP w taki sposób, aby trafiał do najbliższego węzła, w którym dostępne są zasoby Chmury. W tak rozproszonej architekturze zdecydowanie trudniej jest panować nad bezpieczeństwem przechowywanych danych. W zakresie bezpieczeństwa danych zdecydowanie lepszym rozwiązaniem jest Data Center. Dlaczego?
Dlaczego Data Center jest lepszym rozwiązaniem?
Jednym z podstawowych regulacji dotyczących ochrony danych osobowy jest wymóg pełnej ewidencji kto, kiedy, gdzie i w jaki sposób miał dostęp do przechowywanych danych. Nie tylko ewidencja jest istotna, ale także autoryzacja dostępu, czyli wiedza o tym kto i do czego ma prawo dostępu, a komu takiego dostępu należy odmówić. Ponadto przy odpowiedzialności za ochronę istotne są także kwestie geograficzne. Ten, który dokona nieautoryzowanego dostępu do chronionych danych podlega ściganiu i powinien ponieść karę. Aby kogoś schwytać i postawić przed sądem istotne jest jego położenie geograficzne, ponieważ w różnych częściach świata obwiązują różne kary za każde z przestępstw. Ponadto umowy międzynarodowe tylko w niewielkim stopniu regulują kwestie ekstradycji, aresztowania na terenie innego kraju, itd. To samo dotyczy kary za zaniedbania dotyczące ochrony przechowywanych danych. Jeżeli dane przechowywane będą poza Unią Europejską to praktycznie nie ma możliwości wyegzekwowania przestrzegania prawa związanego z ochroną przechowywanych danych jakie zostało stworzone dla Unii Europejskiej. W tym zakresie objawiają się wady rozwiązania chmurowego. Chmura może być rozproszona geograficznie praktycznie na całej kuli ziemskiej. Tym samym właściciel takiej Chmury, działając poza terenem gdzie obowiązują regulacje prawne, będzie działał praktycznie bezkarnie. Ponadto składując dane w Chmurze, żaden użytkownik nie ma wpływu, gdzie geograficzne takie dane są przechowywane.
Inaczej jest w przypadku Data Center, która ma konkretny adres, pod którym znajdują się konkretne systemy informatyczne do przechowywania danych. Ponadto w przypadku Data Center jednoznacznie wiadomo kto tam pracuje, kto ma fizyczny dostęp do przechowywanych danych, a także kto odpowiada za źle zabezpieczenie przechowywanych danych. Jednoznacznie można określić winnego oraz jednoznacznie wiadomo według przepisów jakiego prawa ma być ta wina osądzona.
Podsumowanie
Wybierając sposób przechowywania danych należy najpierw zdefiniować co to są za dane oraz jaki jest cel ich przechowywania. Jeżeli przechowywane dane to informacje, które wykorzystuje w codziennej pracy aplikacja internetowa to warto uwzględnić w takim przypadku zasięg geograficzny użytkowników tej aplikacji oraz optymalizację czasu dostępu do przechowywanych danych. W przypadku przechowywania kopii bezpieczeństwa czy danych archiwalnych, istotniejszym jest jednoznaczność jurysdykcji prawa oraz pewność co do fizycznego miejsca przechowywania danych. W tym drugim przypadku najlepszym rozwiązaniem zawsze są Data Center. Data Space oferując swoje zasoby do przechowywania danych umożliwia zdefiniowanie szeregu istotnych parametrów z zakresu odpowiedzialności za przechowywanie dane. Gwarantuje, że dane nie opuszczą granic Rzeczypospolitej Polskiej, tym samym umożliwiając dokonywanie audytów weryfikujących sposób przechowywania i ochrony danych. Ponadto Data Space posiada elastyczną politykę w zakresie uzgodnień co do zakresu odpowiedzialności za przechowywane dane. Tym samym możliwe jest uzgodnienie własnych wymogów w tym zakresie oraz okresową weryfikację ich przestrzegania.
