Yritysverkot – se taso, jota kukaan ei arvosta, ennen kuin se pettää

Verkot ovat se taso, joka yleensä jää huomiotta keskusteluissa suvereniteetista. Sovelluksille annetaan pisteitä, dataympäristöille annetaan pisteitä, ja verkkoa pidetään pelkkänä taustarakenteena. Komission pilvipalvelu

Sovereignty Framework kieltäytyy ohittamasta sitä, ja siihen on hyvä syy. Juuri tässä osassa paketit ylittävät lainkäyttöalueiden rajat, laiteohjelmisto allekirjoitetaan ja hallintataso vie huomaamattomasti käyttösi telemetriatiedot ulkomaiselle pilvipalvelulle.

Yritysverkkojen nykytilanne

Kaksi mallia on hallitsevassa asemassa.

• Suuri eurooppalainen yritys, joka käyttää yhden johtavan yhdysvaltalaisen toimittajan SD-WAN- ja SASE-ratkaisuja, joissa pilvipohjaisesti hallinnoidut ohjaimet sijaitsevat Yhdysvalloissa tai Yhdysvalloissa pääkonttoriaan pitävällä eurooppalaisella alueella. Tällainen järjestelmä saa tyypillisesti SEAL-1-luokituksen SOV-5- ja SOV-7-arvioinneissa riippumatta siitä, missä laitteet fyysisesti sijaitsevat.
• Eurooppalainen yritys, joka käyttää eurooppalaisen toimittajan kampus- ja datakeskuksen verkkoja, joita hallinnoidaan paikallisesti, mutta jonka piisirujen laiteohjelmisto on peräisin EU:n ulkopuolelta. Tämä järjestelmä voi saavuttaa SEAL-2-tason toiminnallisten tavoitteiden osalta, mutta jää SOV-5-tasolle piisirukerroksen vuoksi.

Verkostoitumista ohjaavat SOV-tavoitteet

SOV-5, toimitusketju

Tämä on se tavoite, jota verkostotiimit aliarvioivat eniten. Viitekehys selvittää, missä laitteisto valmistetaan, missä laiteohjelmisto allekirjoitetaan ja mistä se päivitetään sekä kuinka läpinäkyvä alihankkijaketju on.

Useimmissa yritysverkoissa laiteohjelmistopäivitykset ovat peräisin EU:n ulkopuolelta, ja ne on allekirjoitettu EU:n ulkopuolisilla avaimilla. Tämä on SOV-5-riski riippumatta siitä, poistuvatko paketit maasta vai eivät.

SOV-7, tietoturva ja säännösten noudattaminen

Verkonvalvontakeskuksen (NOC) ja tietoturvavalvontakeskuksen (SOC) sijaintikysymys on verkkoalalla ajankohtaisempi kuin missään muualla, koska NOC:n käsittelemät operatiiviset telemetriatiedot, liikennetiedot, konfiguraatiomuutokset ja topologiatiedot ovat jo sinänsä arkaluonteisia.

Jos NOC sijaitsee EU:n ulkopuolella, myös kyseiset telemetriatiedot sijaitsevat siellä, ja sääntelykehyksessä niitä käsitellään rajat ylittävinä tietoina.

SOV-6, tekniikka

Avoimet standardit vastaan suljetut standardit.

Dokumentoituihin protokolliin ja avoimiin sovellusrajapintoihin (API) perustuva verkko on siirrettävissä.

Verkko, joka perustuu omaan ohjausyksikköön ja käyttää omia telemetriaformaatteja, ei ole sellainen. Järjestelmä palkitsee ensimmäistä ja rankaisee jälkimmäistä.

Hallintatason ongelma

Pilvipohjainen verkkohallinta on nykyään suurin yksittäinen suvereniteettikysymys useimmissa yrityksissä, ja se on myös se, joka jää helpoimmin huomaamatta.

Kun verkko-operaattori siirtää ohjausyksikkönsä pilvipalveluun, tapahtuu kolme asiaa samanaikaisesti.

• Määritystiedot siirtyvät pois asiakkaan tiloista.
• Telemetriatiedot lähtevät asiakkaan tiloista.
• Control API:n päätepisteet siirtyvät toimittajan hallintaan.

Kehys ei ota huomioon, onko tämä kätevää. Se arvioi lainkäyttöalueeseen liittyvän riskin. Pilvipohjaisesti hallinnoitu SD-WAN-ympäristö, jonka ohjain sijaitsee Yhdysvalloissa, ei täytä SEAL-2-vaatimuksia, riippumatta siitä, mitä myyntiesityksessä sanotaan.

On olemassa kolme perusteltua kantaa:

1. Siirrä ohjain EU:ssa sijaitsevaan instanssiin, jossa tarjotaan EU:n tukea ja avainten säilytys tapahtuu EU:ssa. Jotkut palveluntarjoajat tarjoavat tätä, toiset eivät.
2. Siirry käyttämään EU:n palveluntarjoajaa, jonka tietojenkäsittelykeskus sijaitsee oletuksena EU:n alueella. Tämä on usein niin laaja aihe, ettei organisaatio pysty käsittelemään sitä yhden syklin aikana.
3. Siirrytään itse ylläpidettävään ohjainmalliin EU:n infrastruktuurissa ja hyväksytään siihen liittyvät toiminnalliset kustannukset. Tämä on usein ainoa tie SEAL-3:een.

Laiteohjelmisto ja allekirjoitusasia

Laiteohjelmistojen osalta keskustelu itsemääräämisoikeudesta muuttuu kiusalliseksi, sillä valtavirran yritysverkkomarkkinoilla ei ole käytännössä lainkaan eurooppalaista piisirukonetta.

Tämä otetaan puitteissa huomioon, eikä niissä vaadita eurooppalaista piitä jokaisella tasolla. Sen sijaan niissä vaaditaan läpinäkyvyyttä, tarkastusoikeuksia ja päivitysprosessin hallintaa.

Käytännöllisiä asentoja, jotka saavat hyvät pisteet:

• EU:n ylläpitämä ohjelmistopäivitysten arkisto, jota hallinnoi asiakas tai EU:n alueella toimiva integraattori ja jossa laitteistokooditiedostot on allekirjoitettu ja tarkistettu paikallisesti.
• Dokumentoitu alihankkijoiden luettelo, johon sisältyy tarkastusoikeudet, mukaan lukien allekirjoitusavainten maantieteellinen sijainti.
• Sopimuslauseke, jossa vaaditaan ilmoittamaan kaikista muutoksista laiteohjelmiston kehitys- tai allekirjoitusmaassa.

Kahdeksan verkostoitumiskysymystä seuraavaa päivitystä varten

1. Missä hallintataso sijaitsee, ja kenen toimivallan alaisuudessa se toimii?
2. Missä toimintatiedot tallennetaan ja kuinka kauan niitä säilytetään?
3. Mikä maa allekirjoittaa kunkin laitesarjan laiteohjelmiston, ja kuka hallinnoi allekirjoitusavaimia?
4. Mikä on NOC:n maantieteellinen kattavuus, ja voimmeko solmia sopimuksen pelkästään EU:n alueelle rajoittuvasta NOC:sta?
5. Mitkä ohjausrajapinnat (API:t) on dokumentoitu ja julkisia, ja mitkä ovat valmistajakohtaisia?
6. Mikä on irtisanomisehtomme, jos palveluntarjoaja muuttaa hallintalaitteidensa sijaintipaikkaa sopimuksen voimassaoloaikana?
7. Mitkä alihankkijat kuuluvat toimitusketjuun, ja millaiset tarkastusoikeudet meillä on heidän suhteensa?
8. Mikä on se SEAL-pistemäärä, jonka esittäisimme tänään sääntelyviranomaiselle komission tosiasiallisesti käyttämien kriteerien perusteella?

Mitä tämä tarkoittaa ostajille

Verkon tilanne on huonompi kuin useimmat tietohallintojohtajat luulevat, ja korjaustoimenpiteet ovat vähemmän työläitä kuin toimittajan täydellinen vaihtaminen.

Aloita hallintatasosta ja laiteohjelmiston päivityspolusta. Nämä kaksi muutosta nostavat järjestelmän yleensä yhden kokonaisen SEAL-tason verran.

Viidennessä artikkelissa käydään läpi komission laskurin käyttö pienen, realistisen esimerkin avulla, jotta voit alkaa arvioida omaa kiinteistöäsi ennen seuraavan tarjouskilpailun julkaisemista.