Czy korzystanie z usług centrów danych jest bezpieczne?

Liczba centrów danych na świecie w 2022 r. przekroczyła 8 tys., ale aktualnie tylko 23 obiekty uzyskały najwyższy poziom certyfikacji i mogą zagwarantować klientom bardzo wysoką dostępność usług - 4 w Unii Europejskiej, w tym jeden z Polski należący do operatora Beyond.pl.

Dostawcy usług przetwarzania danych przekonują, że korzystanie z ośrodków data center jest efektywniejsze kosztowo niż utrzymanie infrastruktury w modelu on-premise, a one same gwarantują istotnie wyższy poziom bezpieczeństwa i - dodatkowo - obniżenie rachunków za energię. Jak jest w rzeczywistości?

Wraz ze wzrostem popytu i coraz większym uzależnianiem się firm od dostępu do cyfrowych informacji, pojawiła się potrzeba gwarantowania jakości usług centrów danych. Wprowadzono kilkupoziomowe certyfikaty, które są świadectwem utrzymywania określonego poziomu niezawodności i ciągłości pracy centrum danych. Proces certyfikacji nie jest jednak ani łatwy, ani tani, co sprawia, że część dostawców się na niego nie decyduje.

Z danych TIA wynika, że w Unii Europejskiej są tylko 4 centra danych posiadających certyfikat ANSI/TIA-942 na poziomie Rated 4. Jest on przyznawany wyłącznie obiektom, które oferują najwyższy możliwy poziom zabezpieczeń i niezawodności. Rated 4 zapewnia odporność na wszystkie znane zdarzenia fizyczne i ogranicza potencjalną niedostępność usług data center do 26 minut w ciągu roku. Dzięki pełnej redundancji zasilania podstawowego i awaryjnego, chłodzeniu oraz zastosowanym mechanizmom działania, awaria jednego z komponentów nie zakłóca w żaden sposób pracy centrum danych i nie wpływa na dostępność infrastruktury serwerowej dla użytkownika końcowego.

Według TIA jedyny obiekt działający w Europie Centralnej, który może pochwalić się tym wyróżnieniem znajduje się w Polsce i należy do Beyond.pl. Najwięcej certyfikatów Rated 4 przyznano w Azji, choć 8 z 14 zostało już przedawnionych. Ameryka Północna posiada 2 takie centra danych.

Naturalnie nie każdy klient potrzebuje najwyższej możliwej dostępności usług, ale np. organizacje finansowe czy ubezpieczeniowe, przemysł, e-commerce lub dostawcy kluczowi dla stabilności społecznej i gospodarczej zasobów oraz usług, jak np. energetyka czy usługi medyczne – zdecydowanie tak. Certyfikacja jest jednym z najistotniejszych kryteriów wyboru operatora, gdyż minimalizuje ryzyko bardzo kosztownego przestoju.

Rodzaje klasyfikacji centrów danych

Jednymi z najbardziej rozpoznawalnych klasyfikacji centrów danych są Rated - przyznawany przez amerykańską jednostkę ANSI/TIA (American National Standards Institute/The Telecommunications Industry Association) oraz Tier - wydawany przez The Uptime Institute. Choć mogą wydawać się równorzędne, to w rzeczywistości poważnie się różnią. Oba systemy łączy fakt, że sprawdzają funkcjonalność obiektów nadając oznaczenia w czterostopniowej skali - od spełniających podstawowe warunki, do niezawodnych i najbezpieczniejszych - i na tym podobieństwa się kończą.

W przypadku Tier, warto zwrócić uwagę na to, że The Uptime Institute jest firmą prywatną, która nie przeprowadza procesów certyfikacji według niezależnych standardów, jak np. ISO, czy ANSI (American National Standards Institute), i nie jest to organizacja normalizacyjna ani mogąca wyznaczać obowiązujące standardy. Raz przyznany przez Uptime Institute dokument, nawet przed rozpoczęciem budowy obiektu, pozostaje w mocy bezterminowo. Nie wymaga od operatora centrum danych poddawania się cyklicznemu procesowi ponownej certyfikacji. Nie sprawdza również aktualizacji polityk i środków bezpieczeństwa ani usprawnienia procesów, które są krytycznymi czynnikami oceny działalności centrum danych.

Rated kładzie nacisk na jakościowe ujęcie kryteriów, znacznie wybiegając poza liczby oznaczające dopuszczalny czas niedostępności. Certyfikat ANSI/TIA wygasa po trzech latach, a centra danych muszą wówczas przejść rygorystyczny proces recertyfikacji, co oznacza, że klienci mogą być spokojni, wiedząc, że standardy przyjęte przez ich centrum danych są poddawane ciągłej weryfikacji przez odpowiednio uprawniony i wykwalifikowany organ audytowy.

Opisując dalej, zakres analizy Uptime Institute podczas przyznawania dokumentu obejmuje jedynie elementy związane z mechaniką i inżynierią centrum danych. Natomiast ANSI/TIA ocenia wszystkie elementy, które składają się na zapewnienie możliwości świadczenia usług centrum danych na najwyższym poziomie, zwłaszcza obszary związane z bezpieczeństwem fizycznym, ochroną przeciwpożarową i łącznością. Operator centrum danych z certyfikatem ANSI/TIA-942 Rated 4 gwarantuje najwyższy możliwy na rynku poziom dostępności usług.

Z listą centrów danych z klasyfikacją Rated można się zapoznać na stronie https://tiaonline.org/942-datacenters/.

fot. Victorgrigas - CC BY-SA 3.0