Ο DORA και το επιχείρημα για λιγότερους παρόχους ΤΝ
Κάθε εργαλείο ΤΝ που προσθέτετε είναι ακόμη ένας τρίτος πάροχος που πρέπει να εποπτεύετε. Ο DORA άλλαξε τα δεδομένα αυτής της επιλογής και η αυτοφιλοξενία είναι μία πιθανή απάντηση.
Κάθε εξωτερικό εργαλείο ΤΝ που υιοθετεί μια επιχείρηση είναι, από κανονιστική άποψη, ακόμη ένας τρίτος πάροχος. Κάποιος πρέπει να τον αξιολογήσει, να συμβληθεί μαζί του, να τον παρακολουθεί και να προετοιμαστεί για το ενδεχόμενο αστοχίας ή παραβίασης. Για καιρό το κόστος αυτό αγνοούνταν εύκολα. Ο DORA το κατέστησε ρητό.
Από τις 17 Ιανουαρίου 2025, ο Κανονισμός για την ψηφιακή επιχειρησιακή ανθεκτικότητα (DORA) υποχρεώνει τις χρηματοοικονομικές οντότητες στην ΕΕ να διαχειρίζονται τον κίνδυνο από τρίτους παρόχους τεχνολογιών πληροφοριών και επικοινωνιών (ΤΠΕ) ως διακριτό κίνδυνο: μητρώο πληροφοριών για τις συμβατικές συμφωνίες, δέουσα επιμέλεια πριν από τη σύναψη σύμβασης, παρακολούθηση στη συνέχεια και στρατηγικές εξόδου για υπηρεσίες που υποστηρίζουν κρίσιμες ή σημαντικές λειτουργίες. Ο Κανονισμός δεν απαγορεύει τη χρήση εξωτερικών υπηρεσιών· απαιτεί όμως να αξιολογούνται ο αριθμός, η συγκέντρωση και η κρισιμότητά τους. Κάθε επιπλέον πάροχος ΤΝ στη διαδρομή των δεδομένων είναι μία ακόμη εγγραφή στο μητρώο και μία ακόμη εξάρτηση προς τεκμηρίωση.
Αυτό αλλάζει τον τρόπο με τον οποίο μια επιχείρηση πρέπει να συνθέτει την αρχιτεκτονική ΤΝ της. Η τάση της αγοράς είναι να συνδυάζονται οι καλύτερες επιμέρους υπηρεσίες: ένας πάροχος για το μοντέλο, ένας για την ανάκτηση πληροφοριών, ένας για τους μηχανισμούς προστασίας, ένας για την παρακολούθηση. Καθεμία είναι λογική επιλογή μεμονωμένα. Μαζί, όμως, είναι τέσσερις τρίτοι πάροχοι ΤΠΕ κατά τον DORA, τέσσερις συμβάσεις, τέσσερις διαδικασίες δέουσας επιμέλειας και τέσσερα σημεία που μπορούν, το καθένα χωριστά, να υποχρεωθούν σε γνωστοποίηση δεδομένων ή να παραβιαστούν.
Η αυτοφιλοξενία μεταβάλλει αυτόν τον κίνδυνο· δεν εξαλείφει τους τρίτους παρόχους. Μια εφαρμογή υπό τον έλεγχο του πελάτη μπορεί να καταργήσει την υποδομή cloud της εφαρμογής που λειτουργεί ο πάροχος και να περιορίσει τη μόνιμη εξωτερική πρόσβαση, αλλά ο προμηθευτής λογισμικού, ο συνεργάτης υλοποίησης, οι ρυθμίσεις υποστήριξης και κάθε εξωτερικό μοντέλο μπορεί να εξακολουθούν να αποτελούν εξαρτήσεις ΤΠΕ που απαιτούν αξιολόγηση. Ο ορθός χαρακτηρισμός κατά τον DORA εξαρτάται από την πραγματική σύμβαση και λειτουργία, όχι από τον όρο «αυτοφιλοξενούμενο».
Αυτό δεν είναι επιχείρημα υπέρ της αυτοφιλοξενίας των πάντων. Είναι επιχείρημα υπέρ της καταμέτρησης. Πριν προσθέσει τον επόμενο πάροχο ΤΝ, μια εποπτευόμενη επιχείρηση πρέπει να εξετάσει τι προσθέτει στο μητρώο τρίτων παρόχων και αν την ίδια εργασία θα μπορούσε να εκτελέσει ένα σύστημα που λειτουργεί εκεί όπου ήδη βρίσκονται τα δεδομένα. Συχνά, η αντικειμενική απάντηση είναι ότι η χρήση λιγότερων παρόχων σε συνδυασμό με την αυτοφιλοξενία αποτελεί σχεδιασμό που μπορεί να υποστηριχθεί καλύτερα με τεκμήρια.
Το GAIA Brain αναπτύσσεται με βάση αυτή την πιο περιορισμένη παραδοχή: η εφαρμογή και τα τεκμήρια παραμένουν υπό τον έλεγχο του πελάτη, κάθε εξωτερικό σημείο διασύνδεσης (endpoint) δηλώνεται ρητά και περιορίζονται οι περιττές εξαρτήσεις από απευθείας διασυνδέσεις (point-to-point), χωρίς να υποστηρίζεται ότι το λογισμικό που φιλοξενείται στην υποδομή του πελάτη βρίσκεται εκτός του πεδίου του DORA.