Cloud og hosting: Spørgsmål før valg af driftsmodel i virksomheden

Fra hosting til driftsmodel: Hvad skal du egentlig vælge?

Valget mellem cloud og hosting er ikke kun teknisk for danske virksomheder. Det handler om kontrol, beredskab og økonomi. Flytter IT-systemer til skyen, ændres ansvaret – og kravene til organisationen.

Mange tror, at et dansk datacenter automatisk giver sikker drift. Colibo påpeger: »Et dansk datacenter er ikke automatisk et sikkert datacenter.« Placeringen siger intet om adgangsstyring, backup eller gendannelse.

Hosting bliver en del af governance, datasuverænitet og beredskab – især når løsningen samler kommunikation, dokumenter og arbejdsgange. Spørg derfor: Hvor ligger data? Hvem har adgang? Hvordan gendannes platformen efter en hændelse? Og hvad sker der, hvis I skifter leverandør?

Klassisk hosting, IaaS og managed cloud – hvad køber du?

Klassisk hosting kører ofte på én fysisk server eller i et afgrænset miljø, hvor du selv står for meget af driften. Cloud hosting fordeler data og tjenester på flere servere og giver typisk bedre oppetid og større fleksibilitet.

IaaS (Infrastructure as a Service) er leje af rå infrastruktur – servere, lagring og netværk – hvor du betaler for de ressourcer, du bruger. IT Huset forklarer, at deres IaaS-løsning giver »adgang til essentielle IT-ressourcer som servere, lagring og netværk, uden behov for store investeringer i fysisk hardware.« Ansvaret for operativsystem, applikationer og sikkerhed ovenpå er stadig dit.

Managed cloud betyder, at leverandøren tager et større ansvar for drift, overvågning, patching og optimering. ITm8 beskriver Cloud Operation som »den daglige drift, overvågning og vedligeholdelse af din cloud-platform« og nævner »24/7-overvågning« og »backup, sikkerhed og compliance« som en del af ydelsen.

Privat cloud er et dedikeret miljø til din virksomhed, ofte i et dansk datacenter, med mere kontrol og mulighed for særlige compliancekrav. Det kan være relevant ved følsomme data, men kræver typisk mere af egen organisation eller tæt dialog med leverandøren.

Analogi: Tænk på kontorlokaler. Klassisk hosting er at leje et lokale, hvor du selv maler og vedligeholder. IaaS er at leje en tom bygning, hvor du selv sætter vægge op.

Managed cloud er et møbleret kontor med rengøring og sikkerhed. Privat cloud er dit eget aflåste kontor i en delt bygning, hvor du stadig har nøglen.

Privat cloud: Fordele og ulemper for danske virksomheder

Hvor ligger data – og hvem kan komme ind i dem?

Dataplaceringen er et centralt beslutningspunkt. Rackhosting skriver: »Dansk hosting handler ikke kun om, at der står en server i Danmark. Det er også relevant at vide, hvem der driver infrastrukturen, hvor backup befinder sig, hvilke underleverandører der anvendes, og hvem der har adgang til miljøet.«

Data kan ligge i ét land og backup i et andet, mens platformen kan trække på underleverandører på tværs af landegrænser. Har virksomheden persondata, følsomme oplysninger eller særlige compliancekrav, kan bedre kontrol over både data og infrastruktur være afgørende.

Lokale servere er ingen garanti i sig selv. Colibo understreger, at placeringen ikke gør datacenteret sikkert. Hvis leverandøren ikke kan vise klar segmentering, dokumenteret backup og en plan for adgang efter en hændelse, er det lokale postnummer mest et salgsargument.

Spørg derfor: Hvem kan komme ind i data, hvis leverandøren rammes af et driftsnedbrud, en sikkerhedshændelse eller et revisionskrav? Er svaret uklart, er løsningen ikke moden til jeres behov.

Backup og redundans løser ikke samme problem

Mange blander redundans og backup sammen. Rackhosting forklarer: »En redundant cloud-platform er bygget til at kunne håndtere fejl i dele af infrastrukturen uden nødvendigvis at påvirke driften. Backup løser en anden opgave.«

Redundans skal undgå nedetid ved hardwarefejl. Backup skal gendanne data, hvis de slettes, korrumperes eller rammes af ransomware. Rackhosting skriver: »Hvis data bliver slettet, korrumperet eller ramt af eksempelvis ransomware, hjælper det ikke nødvendigvis, at den underliggende serverplatform er redundant.«

Vurder løsningen i flere lag: infrastruktur, platform, applikation og data. For forretningskritiske systemer – f.eks. ERP, webshop eller databaser – bør du spørge om gendannelsestid (hvor hurtigt kan I være oppe igen?) og gendannelsespunkt (hvor meget data kan I tåle at miste?). Begreberne kaldes ofte RTO og RPO.

Test backup og disaster recovery jævnligt. Det er ikke nok at have en plan – den skal også virke i praksis. ITm8 nævner »remote backup og recovery« og »hurtig gendannelse« som en del af deres Cloud Operation.

Vigtige mål for beredskab: RTO og RPO

Økonomi og skalering: Hvornår betaler cloud sig – og hvornår ikke?

Cloud-baseret hosting kan mindske behovet for store hardwareinvesteringer fra starten. Rackpeople skriver: »Ved at outsource IT-hosting til en ekstern udbyder, undgår virksomheder at skulle investere i dyre servere, køleanlæg og kontinuerlig opdatering af hardware.«

Betalingsmodellen er ofte abonnement eller forbrug. Rackpeople forklarer: »I stedet for at have en lokal serverpark, betaler virksomheder for de IT-ressourcer, de bruger, på en abonnementsbasis eller efter forbrug.« Det gør det lettere at budgettere og tilpasse IT-udgifterne til den økonomiske situation.

Cloud giver også adgang til teknologi, som mindre virksomheder ellers ikke ville kunne investere i. Rackpeople nævner, at virksomheder får »adgang til state-of-the-art teknologi uden selv at skulle bære omkostningerne og ansvaret for at vedligeholde den.«

Men cloud er ikke altid billigere. Regn på de samlede omkostninger: abonnement eller forbrug, ekstra trafik, support, kompetencer, integration og en eventuel exit. For nogle virksomheder kan en lokal eller privat løsning være mere forudsigelig – især hvis data er meget følsomme, eller behovet er stabilt over tid.

IT Huset fremhæver, at IaaS giver »adgang til essentielle IT-ressourcer … uden behov for store investeringer i fysisk hardware«, og at man »kun betaler for de ressourcer, I faktisk bruger.« Det er fleksibelt, men kræver løbende opmærksomhed på forbruget.

Efter migreringen: Hvem driver og overvåger løsningen?

Cloud er ikke et projekt, der slutter med migreringen. ITm8 understreger: »Når du først er kommet i clouden, kan du ikke bare læne dig tilbage. Clouden kræver løbende overvågning og service for at garantere sikker drift.«

Mange virksomheder står efter implementeringen med en platform, som de ikke har interne kompetencer til at vedligeholde og optimere. ITm8 beskriver et klassisk scenarie: »En virksomhed har fået implementeret en ny og moderne cloud-løsning. Men de mangler de rette interne kompetencer til at vedligeholde og optimere platformen løbende.«

Cloud Operation dækker typisk daglig drift, overvågning, fejlhåndtering, sikkerhed, compliance, performance og backup. ITm8 nævner »24/7-overvågning«, »teknisk support og fejlfinding« samt »backup, sikkerhed og compliance« som centrale elementer.

Spørg dig selv: Har vi kompetencerne internt? Kan vi rekruttere og fastholde dem? Eller skal vi vælge en ekstern driftsmodel? Uanset valget skal nogen have ansvaret for overvågning, opdateringer og hændelseshåndtering – også når noget går galt uden for normal arbejdstid.

Sikkerhed, ansvar og auditspor i den valgte model

Uanset driftsmodel skal ansvaret være tydeligt placeret. Colibo skriver, at en sikker hosting-løsning »må kunne dokumentere adgangsstyring, gendannelse, auditspor og ansvar i praksis.« Det er ikke nok at henvise til et datacenter eller en certificering.

Spørg leverandøren, hvordan adgangsstyringen er organiseret, hvem der kan tildele rettigheder, og hvordan adgang fjernes, når medarbejdere skifter. Hvordan håndteres sikkerhedshændelser, og hvem informerer hvem?

Krav til dokumentation: Hvilke logs findes? Hvor længe gemmes de? Kan I få indsigt i relevante revisionsspor? Hvordan håndteres underleverandører, og hvilke aftaler har leverandøren med dem?

ITm8 skriver, at de »overholder selvfølgelig alle gældende GDPR-krav«, og at de »sørger for, at din platform lever op til alle sikkerhedsstandarder«. Bed om dokumentation for, hvordan leverandøren konkret efterlever kravene – og hvordan ansvaret fordeles mellem jer og leverandøren, når noget går galt.

Sådan vælger du driftsmodel: En praktisk beslutningsguide

Start med at kortlægge behov og datafølsomhed. Hvilke systemer er forretningskritiske? Hvor følsomme er data? Hvilke compliancekrav gælder? Hvor længe kan I undvære systemerne?

Vurder beredskab og gendannelse. Spørg: Hvordan gendannes platformen efter en hændelse? Er backup testet? Hvad er gendannelsestid og gendannelsespunkt? Hvordan håndteres ransomware?

Afklar økonomi og skalering. Regn på de samlede omkostninger over en årrække – ikke kun månedsprisen. Sammenlign med alternativet: egen hardware, privat cloud eller managed cloud.

Vurder de interne kompetencer. Har I folk til at drive, overvåge og sikre løsningen? Eller har I brug for en ekstern driftsmodel? ITm8 peger på, at manglende interne kompetencer er en almindelig udfordring efter migrering.

Stil konkrete spørgsmål til leverandørerne: Hvor ligger vores data, og hvor ligger backup? Hvilke underleverandører bruges, og hvor er de placeret? Hvem kan tilgå vores data, og hvordan styres adgang?

Spørg også: Hvordan gendannes vores data efter sletning, korruption eller ransomware? Hvordan dokumenteres sikkerhed, compliance og revisionsspor? Hvad sker der, hvis vi vil skifte leverandør – hvilken exit-plan findes? Hvordan fordeles ansvaret mellem os og jer i praksis?

Colibo formulerer det sådan: Svaret skal være klart på, hvem der kan komme ind i data under et driftsnedbrud, en sikkerhedshændelse eller et revisionskrav. Er det uklart, »er løsningen ikke klar til offentlig drift.« Brug svarene til at vælge den driftsmodel, der matcher jeres risikoprofil og ressourcer.

Sådan vælger du den rigtige driftsmodel: En praktisk guide

Checkliste før valg af driftsmodel