Rok temu sporo polskich klientów straciło swoje dane w chmurze obliczeniowej. Jak zminimalizować ryzyko awarii próbowali odpowiedzieć uczestnicy debaty „Managera”. Moderatorem dyskusji był Konrad Kobylecki z DOT Systems

Konrad Kobylecki: Outsourcing jest zwykle utożsamiany z oszczędnościami, co jednak z niezawodnością? Czy warto ponosić dodatkowe nakłady na certyfikację centrów danych (DC) przez Uptime Institute czy na dostosowanie się do standardu ANSI/TIA-942?
Bartłomiej Danek: Najnowsze centrum danych firmy Beyond.pl działa od września 2016 r. i jako pierwsze w Polsce oraz w tej części Europy posiada certyfikację najwyższego poziomu zgodną z ANSI/ TIA-942 – Rating 4. Czy korzystanie z niego jest drogie? Nie. Przy odpowiednim zapytaniu klienta i spełnieniu pewnych warunków jesteśmy w stanie zaoferować usługi w cenie porównywalnej do usług DC na poziomie TIER III czy Rated 3. Dzieje się tak, ponieważ nasz nowy obiekt jest nowoczesny i bardziej wydajny energetycznie, dzięki czemu usługi stają się tańsze nawet przy wliczeniu nakładów na wyższe poziomy niezawodności.

Robert Berliński: Poziomy certyfikacji są ważne, ponieważ oznaczają, jak dana infrastruktura DC jest zbudowana. Poziomy 3. i 4. znacząco się różnią między sobą, jeśli chodzi o poszczególne punkty krytyczne. Ciekawe jest to, że ubiegając się o certyfikacje aż 70 proc. serwerowni na świecie jest odsyłane do poprawki już przy pierwszym podejściu. Dlaczego? Ocenie podlega ponad 50 różnego rodzaju instalacji, od których zależy poprawne działanie serwerowni. Poziom 3. mówi, że możliwe są pojedyncze punkty awarii, a poziom 4., że w ogóle ich nie ma.

Sylwester Biernacki: Atman od samego początku, tj. od 2001 r., oferował poziom 3., a od 2010 r. naszym standardem jest 3+. Z naszego doświadczenia wynika, że klient, dopóki nie obejrzy kilku serwerowni różnych operatorów, dopóty nie będzie w stanie precyzyjnie określić, jakie ma wymagania.

Robert Paszkiewicz: Centra danych OVH także są budowane w oparciu o poziom 3. Ponadto stosujemy dodatkowe certyfikacje, jak np. normę bezpieczeństwa PCI DSS, niezbędne w przypadku utrzymywania systemów związanych z transakcjami kartami płatniczymi. Jeśli klient jest zainteresowany, oferujemy możliwość przeprowadzenia dodatkowego audytu, którego warunki każdorazowo ustalamy indywidualnie.

Bartłomiej Danek: Bardzo się cieszę, kiedy klienci chcą na własne oczy zobaczyć, jak jest zbudowane nasze DC. W ciągu ostatnich miesięcy nasz obiekt odwiedziło ponad 150 wycieczek, których uczestnikami byli tylko członkowie zarządów firm, głównie instytucji finansowych. I to dla nich zaprojektowaliśmy specjalną ścieżkę służącą edukacji oraz prezentacji nowych technologii.

Sylwester Biernacki: Atman obsługuje większość klientów z tego sektora i to właśnie oni najczęściej domagają się audytów, których rocznie mamy kilkanaście i z których każdy trwa ok. tygodnia. Najważniejszym elementem, o który wnioskują klienci, jest kompletna dokumentacja w obszarze BCM, dająca odpowiedź na pytanie, jak długo DC może działać nieprzerwanie. Jest to o tyle zasadne, że w naszym przypadku BCM to nie tylko serwerownie, ale także biura zapasowe stworzone zgodnie z wytycznymi rekomendacji D po to, by instytucje finansowe mogły prowadzić biznes w przypadku utraty ciągłości działania w swoich siedzibach.

Robert Berliński: Uptime Institute opublikował właśnie taką dokumentację, ale ponieważ liczy ona tylko osiem stron, niewiele z niej wynika. ANSI/TIA-942, najbardziej popularny standard amerykański, jest obszerny (ok. 100 stron) i bardziej klarowny.

Sylwester Biernacki: Czasami klient decyduje się też na korzystanie z dwóch serwerowni różnych operatorów na 2. poziomie zabezpieczeń, minimalizując prawdopodobieństwo awarii w obu ośrodkach w tym samym czasie lub na 3. poziomie – wówczas całkowicie likwidując ryzyko niedotrzymania swojego SLA. Wcale nie musi to kosztować więcej niż jedna serwerownia poziomu 4., chociaż, z drugiej strony, wymaga od klienta większej wiedzy.

Bartłomiej Danek: Wyższa jakość nie musi kosztować więcej. Nasze najnowsze DC spełnia standardy Rated 4, ale jesteśmy też w stanie zaoferować klientowi usługę w standardzie Rated 3 czy TIER III. Nie mamy też problemu z dublowaniem infrastruktury. Do dyspozycji klientów są bowiem dwa DC, dzięki którym możemy świadczyć usługi w różnym standardzie.

Marcin Zmaczyński: Spośród siedmiu DC Aruby dwa własne obiekty legitymują się certyfikatem ANSI na poziomie 4., czyli spełniają najbardziej wygórowane wymagania, gwarantując stałą dostępność i zachowanie ciągłości działania. Jakość i niezawodność traktujemy priorytetowo, a część naszych klientów po prostu domaga się gwarancji bezpieczeństwa, jakie oferuje DC posiadające Rating 4. Czy jakość kosztuje? Oczywiście, ale wszystko zależy od operatora, a przede wszystkim jego zasobów i strategii rozwoju. Aruba ma solidny fundament biznesowy i strategię działania na 10 lat do przodu. Ponadto jesteśmy w stanie skutecznie optymalizować koszty, np. poprzez inwestycje w zwiększenie efektywności energetycznej, wykorzystanie ekologicznych źródeł energii odnawialnej, a także możliwość zakupu sprzętu w bardzo korzystnych cenach   przy wykorzystaniu efektu skali. To udaje się nam nie tylko w przypadku Della, którego jesteśmy strategicznym partnerem w Europie, ale również innych wiodących producentów sprzętu, jak Intel i Cisco. Dzięki temu nie musimy skupiać się na marży kosztem jakości. Możemy inwestować w rozwój mając świadomość, że duże projekty zaczną się zwracać dopiero po kilku latach.

KOLOKACJA CZY CHMURA

Konrad Kobylecki: A co się obecnie zdarza częściej: przenoszenie własnego sprzętu do DC czy aplikacji do chmury?
Bartłomiej Danek: Obecnie 60 proc. naszych przychodów pochodzi z chmury, a tylko 40 proc. z kolokacji. Chmura jest dla nas długofalowym priorytetem, a jednym z głównych celów wsparcie klienta w uwolnieniu się od problemów związanych z utrzymaniem infrastruktury, co pozwoliłoby mu skupić się na innych zadaniach.

Marcin Zmaczyński: Grupa Aruba działa na swoim macierzystym rynku we Włoszech oferując kolokację, ponieważ mamy tam trzy własne DC. W jej przypadku umożliwiamy klientom samodzielne zdefiniowanie, jakie serwery oraz inny osprzęt znajdą się w szafach naszego DC, pomagając im skonfigurować infrastrukturę dopasowaną do ich potrzeb, co przez wielu jest bardzo cenione. Większość z naszych klientów to najwięksi gracze, dla których jakość i niezawodność są dużo istotniejsze od ceny usługi. Niejednokrotnie wybierają naszą kolokację lub usługi chmurowe poszukując np. georedundancji w ramach Europejskiego Obszaru Gospodarczego. To wynika zarówno z troski o bezpieczeństwo danych, jak też z perspektywy wejścia w życie regulacji RODO.

Nie bez znaczenia jest również to, że wszystkie nasze usługi są zgodne z kodeksem postępowania w dziedzinie ochrony danych stowarzyszenia CISPE. Dokument ten wyprzedził wprowadzenie unijnej regulacji RODO, oferując konkretne rozwiązania i gwarancje w zakresie ochrony danych wobec coraz większych oczekiwań i wymagań klientów w całej Europie. Globalnie najważniejszy jest jednak dla nas rynek chmury, w ramach którego specjalizujemy się w wynajmowaniu klientom infrastruktury IT w modelu IaaS oraz usługach dodatkowych, jak cloud backup czy odzyskiwanie danych w oparciu o chmurę.

Robert Berliński: Polacy chcą zaoszczędzić na wszystkim. W innych krajach moi potencjalni klienci wychodzą z założenia, że wszystko zależy od tego, ile kosztowałaby ich przerwa w działaniu i dlatego są gotowi płacić duże pieniądze za bezpieczeństwo gwarantowane przez kolokację. Polski rynek jeszcze do tego nie dorósł.

Sylwester Biernacki: Większość spółek z sektora MŚP nie posiada odpowiednich procesów zarządzania ryzykiem, szczególnie w obszarze korzystania z usług DC. Nic więc dziwnego, że – według raportów PMR i Audytela – tylko 30 proc. spośród nich korzysta z profesjonalnych serwerowni.

Robert Berliński: Być może nie wiedzą, że już 1,5-sekundowy zanik zasilania może spowodować od 40 minut nawet do 3 dni przerwy w świadczeniu usług. Żeby klient lepiej zrozumiał, co ma wtedy robić, podsuwamy mu standard EPI-DCOS (Data Centre Operations Standard), zawierający szczegółowy opis, na czym polega utrzymanie obiektów DC i zarządzanie ryzykiem.

Robert Paszkiewicz: Dostępność centrum danych to jedno, ale powyżej jest jeszcze aspekt serwerów i urządzeń sieciowych, a najwyżej oprogramowania czy rozwiązania klasy Software Defined Data Center. I dopiero na tym ostatnim poziomie jesteśmy w stanie wskazać, jakie jest ryzyko wystąpienia przestoju w działaniu systemów. Weźmy dla przykładu naszą usługę chmury prywatnej, tworzoną we współpracy z VMware. Jej konstrukcja powoduje, że niedostępność jednego elementu nie wpływa na działanie systemów klienta (np. użytkownik końcowy dalej widzi stronę internetową), a my gwarantujemy, że w ciągu 15 minut przywrócimy do działania brakujący element. Dziś klienci szukają usług o wysokiej dostępności, decydując się na ich ulokowanie w jednym centrum lub dywersyfikację w wielu centrach danych. Do tego dochodzi umowa SLA.

CAMPUSY DATA CENTER

Konrad Kobylecki: Na ile operatorzy DC są neutralni, czyli pozwalają klientom w swoich obiektach korzystać z usług innych dostawców?
Sylwester Biernacki: Nasza nowa polityka, ogłoszona w styczniu 2017 r., ustanawia pełną neutralność we wszystkich trzech naszych DC i każdy zewnętrzny operator może do nich wejść ze swoim sprzętem i światłowodami oraz świadczyć usługi, także kolokacyjne. W naszym przypadku neutralność to stworzenie tzw. meet-me-roomów (MMR) pozwalających na peering pomiędzy operatorami a klientami, a także na kolokowanie urządzeń pozwalających świadczyć nowoczesne usługi z obszaru bezpieczeństwa. Mam na myśli np. system firewall czy anty-DDoS. Stworzyliśmy także ring światłowodowy wokół kampusu DC przy ul. Grochowskiej w Warszawie, pozwalający na przekazanie do niego transmisji każdego operatora, niezależnie od tego, którym z pięciu wejść kablowych do nas dotrze. Do tej pory Atman jako operator telekomunikacyjny neutralny nie był, a jako operator DC tylko częściowo, tzn. na jednym obiekcie z trzech posiadanych. Neutralność jest ważna, bo daje klientom możliwość wyboru, a, co za tym idzie, także cen, co jest przez nich bardzo poszukiwane.

Bartłomiej Danek: W tym miejscu przypomnę, że Beyond.pl był pierwszym całkowicie neutralnym polskim DC. Do dziś nikogo nie preferujemym w kontekście współpracy telekomunikacyjnej. W szczególności nie jesteśmy powiązani z żadnym operatorem. To samo dotyczy chmury – chociaż jesteśmy największym w Polsce partnerem VMware, to współpracujemy też z innymi dostawcami usług wirtualizacyjnych. O tym, z usług której firmy czy wirtualizatora skorzystać, klient decyduje samodzielnie, chociaż niejednokrotnie prosi nas o pomoc w tym zakresie.

Marcin Zmaczyński: Aruba na całym świecie stosuje podobną politykę, współpracuje wyłącznie z operatorami telekomunikacyjnymi, którzy nie dyskryminują żadnego ze swoich partnerów. Ale firmom, które chcą u nas korzystać z chmury publicznej lub hybrydowej, w większości przypadków oferujemy nasze autorskie rozwiązania. Neutralność jest dla nas ważna, stąd nasze najnowsze DC zostało zaprojektowane pod kątem świadczenia usług w modelu carrier neutral.

Sylwester Biernacki: To zrozumiałe, bo każda międzynarodowa firma wchodząc do Polski szuka takich dostawców usług DC, którzy gwarantują neutralność. Klient powinien mieć możliwość wyboru spośród kilku rodzajów chmur, hostingu czy systemów anty-DDoS. Dzięki współpracy z dostawcami IT, na terenie naszego kampusu klienci HPE, IBM czy Della mogą współpracować z Qumakiem, Asseco czy Atende Robert Paszkiewicz: OVH skupia się na dostarczaniu klientom gotowych rozwiązań. Oferujemy infrastrukturę o wysokiej dostępności, w modelu abonamentowym, rozbudowaną o wiele elementów dodatkowych, jak ochrona anty-DDoS czy sieci prywatne vRack. Co istotne, łączymy tutaj światową technologię z autorskimi, zaawansowanymi rozwiązaniami, co pozwala nam na utrzymanie właściwych standardów. W portfolio produktowym OVH znajdziemy usługi od domen i hostingu dla sektora MŚP po duże rozwiązania cloudowe dla średniego i dużego biznesu. Dla naszych klientów, np. sklepów internetowych, nie jest najważniejsza neutralność dostawców transmisji, tylko to, jak szybko ich klienci będą mogli odwiedzić ich strony. Potrzeby klientów definiują priorytety przy rozbudowie naszej infrastruktury.

GREEN DATA CENTER

Konrad Kobylecki: Na znaczeniu zyskują obecnie technologie energooszczędne. Czy DC są gotowe je certyfikować zgodnie z wytycznymi European Code of Conduct (ECoC)? A klienci za to dodatkowo zapłacić?
Robert Berliński: W Polsce jeszcze nie. Owszem, coraz więcej DC przechodzi na stosowanie bardziej nowoczesnych technologii, które wymagają większych inwestycji, ale są tańsze w eksploatacji. Tylko że one mają niewiele wspólnego z kompleksowymi rozwiązaniami ekologicznymi. Sylwester Biernacki: Ponieważ klient zwykle partycypuje w kosztach zużycia prądu, to jednak optuje za technologiami energooszczędnymi, które mu je zmniejszą. Wdrożenie rozwiązań optymalizujących zużycie energii jest działaniem win-win. Dlatego Atman przystąpił do programu ECoC zarówno jako uczestnik, jak i endorser.

Bartłomiej Danek: W naszym najnowszym DC współczynnik zużycia prądu PUE w części z komorami adiabatycznymi wynosi zaledwie 1,1, w pozostałych – 1,4, a w starszym DC 1 – 1,8. Obniżenie tego współczynnika dla klienta może generować redukcję kosztów ze 100 tys. zł do 70 tys. zł miesięcznie.

Marcin Zmaczyński: Nasze najnowsze DC koło Mediolanu posiadające Rating 4 też ma wskaźnik PUE na poziomie 1,1, ale to już branżowy standard. Efektywność energetyczna i ekologia mają dla nas ogromne znaczenie, dlatego na potrzeby nowego obiektu wybudowaliśmy elektrownię wodną, która również uniezależnia nas od zewnętrznych dostawców energii.

Sylwester Biernacki: Atman ma 1,2, tylko że PUE jest tak naprawdę współczynnikiem wirtualnym, projektowym, który ustalają między sobą strony umowy i może się wahać w zależności od stopnia wypełnienia DC sprzętem. Bo jeśli do komory z PUE 1,1 włoży się tylko dwie szafy zasilane prądem 500 kVh, to jego PUE wzrośnie do 2,5. Bardzo dużo zależy od klienta, a ECoC wyraźnie rozgranicza sferę wpływu operatora DC i klienta. Jako endorser doradzamy tym ostatnim, jak zwiększać efektywność energetyczną kolokowanego sprzętu. Kilku naszych klientów posiadających 100- lub 200-metrowe komory brało czynny udział w wyborze systemów chłodzenia i energetyki.

Robert Paszkiewicz: Kolokując swoje serwery w DC korzystamy z miejsca, które jest projektowane na potrzeby różnych klientów tak, by móc spełnić wymagania gwarancyjne różnych producentów sprzętu. Tego typu sytuacja nie występuje w OVH, gdzie serwery produkujemy samodzielnie, a dodatkowo korzystamy z autorskiego systemu chłodzenia. Dzięki temu mamy pełną kontrolę nad każdym etapem działania centrum danych i możemy osiągnąć realną efektywność energetyczną na poziomie 1,1. Tak wysoka skuteczność, połączona ze skalą działalności – 260 000 serwerów pracujących w 20 centrach danych – tworzy możliwość oferowania usługi na najwyższym poziomie jakości, a przy tym w rozsądnej cenie. Warto podkreślić, że w OVH niezmiennie jesteśmy dumni z polskiej myśli technicznej. Za rozwiązania technologiczne stosowane w naszych DC odpowiada bowiem Henryk Klaba, ojciec Octava Klaby, założyciela i aktualnego CEO firmy, z pochodzenia Polaków.

WARTOŚCI DODANE VS. ODPOWIEDZIALNOŚĆ

Konrad Kobylecki: A jakie są wartości dodane? I czy jeśli klient zapłaci za nie więcej, to przy okazji uda mu się zmniejszyć koszty wewnętrzne?
Sylwester Biernacki:Najwięcej zaoszczędzi się na kolokacji przenosząc do nas serwery z małych serwerowni. Nieopłacalność ich utrzymywania i eksploatacji niezbicie wykazały publikowane przez nas analizy TCO opracowane we współpracy z Audytelem.

Robert Paszkiewicz: OVH oferuje wiele wartości dodanych, ale dwie najważniejsze to autorski system ochrony przed atakami DDoS (dostępny dla wszystkich klientów w cenie) oraz pakiet różnych narzędzi do budowy Disaster Recovery i utrzymania ciągłości biznesu na bazie 20 naszych DC. W wielu obszarach współpracujemy z ponad 3000 partnerów, którzy tworzą dla naszych klientów gotowe rozwiązania zbudowane w oparciu o infrastrukturę OVH.

Sylwester Biernacki: Atman współpracuje z wieloma partnerami, a strategiczne alianse zawieramy z liderami rynku. I to właśnie oni są najczęściej odpowiedzialni za budowanie DC na zlecenie naszych klientów.

Bartłomiej Danek: Beyond.pl jest w podobnej sytuacji, jak Atman. Są obszary, które stanowią nasz core business, tj. cloud computing i kolokacja, które wykonujemy zupełnie samodzielnie. Pewne działania dodatkowe wykonujemy jednak ze sprawdzonymi partnerami, np. wdrożenie systemów SAP na naszej infrastrukturze.

Marcin Zmaczyński: Aruba specjalizuje się w obszarach, na których zna się najlepiej, czyli głównie w IaaS. Działając na rynkach zarówno w Europie Zachodniej, jak i Wschodniej widzimy pomiędzy nimi wyraźną synergię, którą staramy się wykorzystać. Firmy z naszej części Europy, a szczególnie z Ukrainy, chętnie szukają infrastruktury w Europie Zachodniej, a to ze względu na trudną sytuację geopolityczną. Z kolei te zachodnie nie mniej często szukają w naszej części Europy infrastruktury pod outsourcing. Staramy się współpracować z obiema stronami.

CIĄGŁOŚĆ DZIAŁANIA

Konrad Kobylecki: W naszym gronie jest firma, która specjalizuje się w audytach ciągłości działania. Czy zdarza się wam analizować proces, gdzie DC lub chmura jest tylko jej częścią?
Robert Berliński: Nie ma tu standardów, chociaż nie ulega wątpliwości, że kolokacja lub chmura są dużo bardziej bezpieczne niż własna serwerownia. Wrażenie to potęguje nowa dyrektywa ochrony danych osobowych RODO, która zacznie obowiązywać od połowy 2018 r., nikt jednak nie wie, jak będzie wyglądać.

Klienci zaczynają już myśleć o business continuity, szczególnie jeśli wytłumaczy się im, że wyłączenie nawet jednego DC z kilku, które posiadają, może na długo zatrzymać ich biznes. Tym bardziej, że średni procent aplikacji przechowywanych w chmurze ma urosnąć z 65 proc. w IV kw. 2016 r. do 77 proc. w IV kw. 2017 r.

Robert Paszkiewicz: Są więc dwie możliwości. Aplikacje można trzymać na własnych serwerach bądź ulokować je w chmurze, co wydaje się bardziej perspektywicznym wyborem. Naszym celem jest, aby firmy mogły i chciały korzystać z rozwiązań business continuity w abonamencie miesięcznym i bez umowy terminowej. Tak, aby ich systemy IT były zawsze dostępne, a przedsiębiorcy mogli się skupić na własnym biznesie. Edukujemy naszych klientów zarówno w ramach szkoleń indywidualnych, konferencji, jak i dzięki regularnym webinarom.

Marcin Zmaczyński: Model cloud z samego założenia ma gwarantować utrzymanie ciągłości działania. O powodzeniu tego procesu decyduje szereg czynników, w tym wysoki standard samego DC oraz każdego z ogniw dbających w nim o stałą dostępność systemów IT. Dlatego outsourcing IT w chmurze warto ulokować u sprawdzonego usługodawcy, który oferuje pełną redundancję, w tym geograficzną, posiada certyfikaty jakości oraz zapewni usługi dodatkowe dedykowane ciągłości biznesowej. Aruba nie tylko inwestuje w niezawodność własnych obiektów i systemów, które legitymują się adekwatnymi certyfikatami jakości. Współpracujemy również z czołowymi dostawcami rozwiązań do gwarantowania ciągłości działania, jak np. z firmą Veeam Software, dzięki której możemy wzorcowo chronić maszyny wirtualne w chmurze prywatnej.

Konrad Kobylecki: Kiedyś była moda na duże serwery. Z czasem klienci zaczęli je zastępować małymi, bardziej zawodnymi, ale w sumie równie skutecznymi. Czy nie tak samo jest z poziomami DC? Sylwester Biernacki: Powszechnie wiadomo, że jeden z największych polskich portali zamierza wszystkie swoje zasoby przenieść do chmury, mimo że ma własną serwerownię. Co więcej, wcale nie zamierza zrezygnować z tego powodu z własnego działu IT, bo to właśnie on byłby odpowiedzialny za to, żeby wszystko działało niezawodnie. Atman bardzo by się cieszył, gdyby mniejsi klienci myśleli podobnie.

Bartłomiej Danek: Myślę, że w tym gronie reprezentujemy jednostki świadczące bardzo wysoką jakość usług. Ostatecznie klient sam wybiera usługodawcę w oparciu o posiadaną wiedzę. Często musimy pewne rzeczy klientowi wyjaśnić. Oczywiście, cena jest bardzo istotnym elementem wyboru, ale certyfikacja to równie ważny element pozwalający uzyskać odniesienie do składanej oferty. Klient musi wiedzieć, jakie mamy zasoby pozwalające nam wziąć na siebie odpowiedzialność za działanie jego biznesu.

fot. Karolina Walawender