Хмарні сервіси в щоденній роботі бізнесу: що обрати і як захистити дані
Для малого бізнесу хмарний сервіс найчастіше означає підписку замість сервера в підсобці: пошта, файлове сховище, облік, CRM, відеозв’язок. Нема потреби купувати обладнання й наймати адміністратора, а працювати можна з будь-якого місця. Платою за це є залежність від провайдера й необхідність самому дбати про облікові записи та копії даних.
Які бувають хмарні сервіси
Закон «Про хмарні послуги» розрізняє кілька видів послуг: інфраструктура як послуга (обчислювальні ресурси та сховище), платформа як послуга (операційні системи, інструменти розробки, бази даних), програмне забезпечення як послуга (доступ до застосунків через інтернет) і безпека як послуга. Окремо закон описує моделі розгортання: приватна, спільна, публічна й гібридна хмара. Для типового МСБ практичне значення має програмне забезпечення як послуга (SaaS) та сховище, а публічна хмара тут стандартний вибір.
Закон у першій статті прямо говорить, що регулює відносини при наданні хмарних послуг і встановлює особливості їх використання органами влади, військовими формуваннями, державними підприємствами. Приватному підприємцю він не ставить окремих вимог до вибору сервісу. Права користувачів хмарних послуг, за статтею 4 цього закону, захищають сам закон, закони «Про захист прав споживачів» і «Про електронні комунікації». Тож умови договору з постачальником (SLA, строки відновлення, порядок видачі даних при розірванні) варто читати як звичайний договір послуг.
Порівняння типів сервісів для щоденної роботи
| Завдання | Тип сервісу | На що дивитися при виборі |
|---|---|---|
| Документи й спільна робота | Офісний пакет з хмарним сховищем | Права доступу на рівні папок, історія версій, експорт файлів |
| Облік клієнтів і угод | CRM | Імпорт і експорт бази, ролі користувачів, журнал дій |
| Бухгалтерія й первинка | Хмарний облік | Підтримка електронного підпису, вивантаження звітності, дублювання даних |
| Резервні копії | Окреме хмарне сховище | Шифрування, незалежність від основного сервісу, перевірка відновлення |
| Зв’язок | Месенджер або відеоплатформа | Двоетапна автентифікація, керування обліковими записами співробітників |
Універсальної відповіді «що краще» немає. Невелика команда з п’яти-десяти осіб, як правило, обходиться одним офісним пакетом плюс окремою CRM. Складність починається, коли кожен відділ обирає свій сервіс і дані розсипаються по десяти системах. Корисне правило: на кожен клас завдань один сервіс, а власником облікового запису компанії є сама компанія, а не конкретний співробітник.
Персональні дані в хмарі
Клієнтські бази, анкети, листування з покупцями це персональні дані, навіть якщо зберігаються на чужому сервері. За статтею 24 Закону «Про захист персональних даних» володільці, розпорядники та треті особи зобов’язані захистити їх від випадкової втрати чи знищення та від незаконної обробки, зокрема незаконного доступу. Фізичні особи-підприємці, за частиною четвертою тієї ж статті, забезпечують захист персональних даних, якими володіють, особисто. Тобто передача даних провайдеру не знімає відповідальності з підприємця.
Практично це означає три речі. Перша: знати, які саме персональні дані лежать у кожному сервісі, і не тримати зайвого. Друга: мати підставу для обробки з переліку статті 11: згода суб’єкта, виконання договору з ним, виконання обов’язку, що встановлений законом, та інші. Третя: у договорі з постачальником хмари прописати, що він не використовує ваші дані для інших цілей і повертає їх на вимогу.
Законопроєкт № 8153 «Про захист персональних даних» пройшов перше читання 20 листопада 2024 року, і, за описом його положень, передбачає призначення відповідальної особи та нові розміри штрафів. Відомостей про остаточне ухвалення в джерелах, які я відкривав, немає, тож діє чинний закон.
Доступи й резервні копії: мінімальний порядок
- Увімкніть двоетапну автентифікацію для всіх облікових записів з доступом до фінансів і клієнтів. Це найдешевша міра з усіх.
- Поділіть ролі: адміністраторів облікового запису один-два, решта мають лише ті права, що потрібні для роботи.
- При звільненні співробітника відключайте його доступ у день розірвання відносин і перевіряйте, чи не лишилося в нього файлів на особистих дисках.
- Копіюйте критичні дані в окреме сховище, не пов’язане з основним акаунтом: якщо обліковий запис заблокують або зламають, копія лишиться.
- Раз на квартал відновлюйте тестовий файл із копії. Копія, яку жодного разу не відновлювали, це припущення, а не захист.
Умовний приклад: магазин з сімома співробітниками тримає прайс і базу клієнтів в одній таблиці в хмарі, власник облікового запису колишній менеджер. Після його звільнення компанія втрачає контроль над таблицею. Рішення просте: перенести обліковий запис на корпоративну пошту власника й вести перелік, хто які права має.
Складіть перелік усіх хмарних сервісів, якими користується компанія, із зазначенням, хто власник акаунта й де лежать клієнтські дані. Зазвичай така інвентаризація займає годину й одразу показує дубль-сервіси та акаунти без захисту. Далі увімкніть двоетапну автентифікацію й налаштуйте окрему копію для двох найважливіших масивів: клієнтської бази й бухгалтерських документів.