Pilvandmetöötlusteenus: mida see NIS2/KüTS mõistes tähendab

Õiguslik alus (KüTS § 2 lg 1)

KüTS § 2 lg 1 punkt 24 määratleb mõiste pilvandmetöötlusteenus järgmiselt:

> pilvandmetöötlusteenus – infoühiskonna teenus, mis võimaldab nõude põhjal hallata skaleeritavaid ja paindlikke jagatavaid andmetöötlusressursse ning ulatuslikku kaugpääsu neile, sealhulgas juhul, kui need ressursid paiknevad hajutatult eri kohtades;

Mida see praktikas tähendab

Küberturvalisuse seaduse (KüTS) § 2 lõike 1 kohaselt on pilvandmetöötlusteenus infoühiskonna teenus, mis võimaldab nõude põhjal hallata skaleeritavaid ja paindlikke jagatavaid andmetöötlusressursse ning ulatuslikku kaugpääsu neile, sealhulgas juhul, kui need ressursid paiknevad hajutatult eri kohtades.

Lihtsas keeles tähendab see teenust, mille puhul klient ei osta endale füüsilist serverit ega salvestusseadet, vaid kasutab teenusepakkuja hallatavat ressursipagasit üle võrgu. Definitsiooni tuumaks on mõned korduvad tunnused:

• Nõude põhjal (on-demand) – ressursse saab kasutusele võtta ja vabastada siis, kui vajadus tekib, ilma eraldi seadmete soetamiseta.
• Skaleeritav ja paindlik – maht kasvab ja kahaneb koos tegeliku kasutusega.
• Jagatav – sama taristut kasutab korraga mitu klienti, kelle andmed ja töökoormused on üksteisest loogiliselt eraldatud.
• Ulatuslik kaugpääs – teenusele pääseb ligi võrgu kaudu, mitte üksnes kohapealt.
• Hajutatud asukoht – asjaolu, et ressursid asuvad eri kohtades või mitmes andmekeskuses, ei võta teenuselt pilvandmetöötlusteenuse staatust.

Oluline on tähele panna, et definitsioon lähtub teenuse olemusest, mitte turundusnimest. Teenust ei muuda pilvandmetöötlusteenuseks see, et pakkuja kasutab sõna „pilv", ega välista seda see, et kasutatakse muud nimetust (näiteks majutus-, taristu-, platvormi- või tarkvarateenus). Määrav on, kas kirjeldatud tunnused – nõudepõhisus, skaleeritavus, jagatavus ja kaugpääs – on tegelikult täidetud.

Samuti on tegemist infoühiskonna teenusega, st teenusega, mida osutatakse elektrooniliselt ja üldjuhul tasu eest teenuse saaja nõudel. Seetõttu ei kuulu mõiste alla organisatsiooni enda sisemine, kolmandatele isikutele mitte pakutav taristu samamoodi nagu turul osutatav teenus – kuigi sisemise ja välise kasutuse piir tuleb igal juhul sisuliselt läbi mõelda.

Mida ettevõte peab tegema

Esimene samm on selgitada välja, kas teie ettevõte on selle mõiste tähenduses pilvandmetöötlusteenuse osutaja. Koostage nimekiri kõigist teenustest, mida te klientidele elektrooniliselt pakute, ja hinnake iga teenuse puhul eraldi, kas see võimaldab nõude põhjal hallata skaleeritavaid ja paindlikke jagatavaid andmetöötlusressursse ning ulatuslikku kaugpääsu neile. Kirjutage hinnangu põhjendus üles – nii otsus „jah, kuulub" kui ka otsus „ei kuulu" peab olema hiljem selgitatav ja tõendatav.

Dokumenteerige teenuse tehniline ja lepinguline pilt. Praktikas tähendab see vähemalt järgmise kirjapanekut:

• milliseid ressursse (arvutusvõimsus, salvestus, platvorm, rakendus) te tegelikult pakute ja kuidas need kliendi nõudel skaleeruvad;
• kus asuvad andmekeskused ja ressursid ning kuidas on korraldatud hajutatus;
• kuidas on eri klientide andmed ja töökoormused üksteisest eraldatud;
• kuidas toimub kaugpääs, autentimine ja õiguste haldus;
• millised alltöövõtjad ja edasimüüdavad pilveteenused teie teenuse koosseisu kuuluvad.

Kaardistage ka vastupidine suund – teie enda sõltuvus pilvandmetöötlusteenustest. Isegi kui te ise ei ole pilveteenuse osutaja, kasutab enamik ettevõtteid selliseid teenuseid tarnijana. Pange kirja, millised olulised äriprotsessid neist sõltuvad, milline oleks katkestuse mõju ja kuidas te teenusepakkujaga suhtlete intsidendi korral. See kaardistus on aluseks nii riskihindamisele kui ka tarneahela halduse tõendamisele.

Määrake selge vastutus. Nimetage juhtkonna tasandil vastutaja, kelle ülesanne on hoida teenuste kaardistus ja liigitushinnang ajakohasena, ning fikseerige, kes vaatab hinnangu üle siis, kui teenuse tehniline lahendus, kliendibaas või alltöövõtjad muutuvad. Kui liigitamine jääb piiripealseks – näiteks kui pole selge, kas teenus on tegelikult „jagatav" või piisavalt skaleeritav –, tuginege Riigi Infosüsteemi Ameti (RIA) avaldatud juhistele ja selgitustele ning küsige vajaduse korral RIA-lt täpsustust, selle asemel et otsus lahtiseks jätta.

Kui kiiresti dokumendid valmivad?

Dokumentide valmimise aeg sõltub teie scoping-vastustest ja automaatsest kvaliteediväravast — täpset tähtaega ette ei lubata. Meie mõõdetud protsessi (tasuta scoping, tellimus, KüTS-tekstist genereerimine, kuni 3-astmeline automaatne kvaliteedivärav) kirjeldus on lehel „Kuidas dokumendid valmivad“.