Kto trzyma konta główne, ten rządzi systemem

Mała firma postanawia przenieść stronę i pocztę do nowego dostawcy. Zadanie wygląda prosto, dopóki ktoś nie zapyta, kto może zmienić rekordy DNS. Domenę przed laty zarejestrowała agencja, która robiła pierwszą stronę — na swoim koncie, z adresem kontaktowym grafika, który dawno odszedł. Konto w chmurze, na którym działa portal klienta, założył integrator i to on je rozlicza. Kluczami szyfrującymi kopie zapasowe zarządza dostawca backupu i nikt w firmie nigdy ich nie widział.

Firma jest właścicielem swoich danych w każdym sensie prawnym. W praktyce trzy podmioty z zewnątrz mogą ją powstrzymać przed zrobieniem z tymi danymi czegokolwiek — i żaden z nich nie jest dostawcą oprogramowania, którego się obawiała.

Prawdziwa przyczyna

Rozmowy o suwerenności skupiają się na danych i kodzie, bo o nich mówią umowy. Kontrola leży piętro niżej, w kilku poświadczeniach decydujących o tym, kto może zmienić całą resztę: koncie u rejestratora domeny, koncie głównym każdej subskrypcji chmurowej, globalnym administratorze dostawcy tożsamości, kluczach szyfrujących i relacji rozliczeniowej. Kto je trzyma, ten może resztę zablokować, przenieść albo usunąć.

Zakłada się je zwykle raz, na początku, przez tego, kto akurat wykonywał pracę — agencję, podwykonawcę, prywatną skrzynkę założyciela — a potem się o nich zapomina, bo nie trzeba ich ruszać aż do dnia, w którym trzeba.

Jak kontrola wycieka, choć nikt tego nie postanowił

Domena jest zarejestrowana na kogoś innego. Dane abonenta wskazują agencję albo pracownika, a nie organizację. Przeniesienie wymaga ich współpracy, a o współpracę po sporze bywa trudno.

Konto w chmurze należy do partnera. Resellerzy i integratorzy często zakładają konta na własną organizację i refakturują koszty. Obciążenia są Twoje; konto, prawnie i technicznie, nie.

Dostawca tożsamości ma jednego globalnego administratora. To osoba, która odeszła, wspólna skrzynka, której nikt nie czyta, albo login wsparcia dostawcy. Odzyskanie dostępu oznacza dni udowadniania przed helpdeskiem, kim się jest.

Klucze trzyma usługa, którą chronią. Szyfrowanie zarządzane przez dostawcę chroni przed obcymi, nie przed dostawcą ani przed jego utratą. Jeśli nie możesz trzymać ani wyeksportować klucza, to co masz, jest szyfrogramem.

Rozliczenie jest wyłącznikiem. Konto rozliczane przez stronę trzecią może zostać zawieszone z powodu sporu o fakturę między dwiema firmami, z których żadna nie jest Tobą.

Co robić zamiast tego

Rejestruj każde konto główne na organizację. Abonent domeny, właściciel konta chmurowego, dzierżawa tożsamości, organizacja w repozytorium kodu. Podwykonawcy dostają dostęp delegowany, który da się odebrać — nie własność, którą trzeba przenosić.

Miej sprawdzony dostęp awaryjny. Co najmniej dwie wskazane osoby, sprzętowe klucze bezpieczeństwa zamiast kodów SMS, zapieczętowane poświadczenia, których użycie jest odnotowywane. Raz w roku przećwicz odzyskiwanie, bo nieprzetestowany dostęp awaryjny zawodzi tak samo jak nieprzetestowany eksport.

Trzymaj klucze do swoich zaszyfrowanych danych. Tam, gdzie usługa pozwala na klucze zarządzane przez klienta, używaj ich do tego, co ważne. Tam, gdzie nie pozwala, zapisz to jako zależność, zamiast zakładać, że szyfrowanie oznacza kontrolę.

Płać własne rachunki. Bezpośrednie rozliczenie wszystkiego, na czym stoi produkcja, nawet jeśli obsługuje to partner.

Spisz listę. Jedna strona: każde konto główne, kto je trzyma, dokąd idzie odzyskiwanie, kiedy ostatnio je sprawdzono. Przeglądaj ją za każdym razem, gdy odchodzi człowiek albo dostawca.

Nic w tym egzotycznego. To mniej efektowna połowa możliwości odejścia: idealny eksport jest bezwartościowy, jeśli ktoś inny decyduje, czy wolno Ci się zalogować, żeby go zabrać. W firmach, które budujemy, ta sama zasada dotyczy samego produktu — klienci zakładają i trzymają własne konta administracyjne, a dostęp dostawcy jest czymś, co nadają i mogą odebrać. Tak w praktyce wygląda bycie właścicielem „swoich systemów”, o którym mówi strona główna.

Test do zrobienia dziś

Otwórz pięć miejsc i szukaj właściciela, nie użytkownika:

1. Dane abonenta głównej domeny.
2. Właściciela konta każdej subskrypcji chmurowej, na której działa produkcja.
3. Listę globalnych administratorów u dostawcy tożsamości.
4. Ustawienia zarządzania kluczami dla kopii zapasowych.
5. Nazwę na fakturze za każdą z powyższych pozycji.

Przy każdej pozycji, która nie jest samą organizacją albo wskazaną osobą w jej wnętrzu ze sprawdzoną drogą powrotu, zapytaj, co by się stało, gdyby ta strona jutro przestała odpowiadać. Te, przy których robi się nieswojo, to Twój prawdziwy łańcuch dostaw — cokolwiek mówi schemat architektury.