Un’azienda che installa il proprio server decide tutto: dove si trova, chi lo tocca, come si esegue il backup. Un’azienda che acquista software nel cloud non decide niente di tutto questo. Lo eredita dal fornitore. Per questo la trattativa di acquisto dovrebbe dedicare alla sicurezza lo stesso tempo che dedica al prezzo, e quasi mai lo fa, perché nessuno sa che cosa chiedere.
Queste sono le dieci domande che chi compra deve fare. Sono raggruppate in quattro blocchi e ognuna porta con sé la risposta che dovrebbe sentirsi dare. Non serve essere tecnici per farle né per giudicare le risposte.
Dove vivono i tuoi dati
- 1. In quante regioni è replicata la mia informazione? La risposta giusta è più di una. Se una regione cade, l’operatività continua da un’altra.
- 2. Il traffico e l’archiviazione sono cifrati? Entrambi, sempre. In transito tra il tuo browser e il server, e a riposo sul disco.
- 3. Chi, dalla parte del fornitore, può vedere i miei dati e con quale controllo? Deve esistere un elenco breve, con accesso registrato e verificabile.
Un fornitore che risponde citando la marca del suo cloud non ha risposto. La marca non conta; conta come è configurata. XEN replica i dati di ogni organizzazione in più regioni e cifra tutto il traffico e tutta l’archiviazione, senza eccezioni legate al piano.
Che cosa succede quando qualcosa non funziona
- 4. Ogni quanto si fanno le copie e a quale momento posso tornare? La risposta utile è un ripristino a un punto nel tempo, non una copia settimanale.
- 5. Quale impegno di disponibilità firmate? Un numero, per iscritto, nel contratto. XEN si impegna al 99,9 % con SLA.
- 6. Come si protegge il servizio dagli attacchi al bordo della rete? Ci deve essere uno strato che assorbe il traffico malevolo prima che arrivi all’applicazione.
La quinta domanda di solito mette a disagio, e quel disagio è un’informazione. Un fornitore che non firma un impegno di disponibilità non ha misurato la sua.
Chi può vedere che cosa
- 7. I permessi sono per organizzazione, per modulo e per azione? Un venditore non dovrebbe poter aprire la contabilità, e un contabile di un’azienda del gruppo non dovrebbe vedere l’altra.
- 8. Resta traccia di ogni azione con il suo autore? Vedere, creare, modificare, approvare, eliminare. Tutto, con data e persona.
- 9. L’intelligenza artificiale eredita i permessi dell’utente o ha i suoi? Se ha i suoi, è la porta di servizio di tutto il sistema.
La nona domanda è nuova ed è la più importante di questo decennio. Un assistente con accesso a tutto trasforma qualsiasi distribuzione di permessi in una decorazione: basta chiedere a lui invece di aprire la schermata bloccata. In XEN, Xeni risponde con i permessi di chi fa la domanda, e le azioni che propongono gli agenti aspettano un’approvazione quando conta.
Che cosa firma il fornitore
- 10. Quali impegni contrattuali offrite a un’azienda grande? Contratto con SLA, accordo sul trattamento dei dati e supporto documentale quando il tuo revisore fa domande.
Quest’ultima è quella che rende esigibile tutto il resto. Le prime nove descrivono come funziona il servizio; la decima dice che cosa succede se smette di funzionare così. Un fornitore serio ha i tre documenti pronti e li consegna senza bisogno di insistere.
Come usare questo elenco
Mandalo per iscritto prima dell’incontro commerciale e chiedi le risposte per iscritto. Non perché chi vende abbia intenzione di mentire di persona, ma perché una risposta scritta si può allegare al contratto. E se qualche domanda riceve un no, chiedi quando smetterà di essere un no. Un fornitore che conosce i suoi limiti e ha un piano è meglio di uno che dice sì a tutto.
Le risposte di XEN a queste dieci domande sono pubblicate nelle pagine di sicurezza e di cloud della piattaforma, nello stesso ordine. Vedi la sicurezza della piattaforma
