Cloud computing w finansach to korzystanie z usług informatycznych udostępnianych przez dostawcę chmury do obsługi procesów finansowych. Zamiast utrzymywać całą infrastrukturę we własnej siedzibie, instytucja lub firma może korzystać z zewnętrznej mocy obliczeniowej, przestrzeni na dane albo gotowego oprogramowania. Nie oznacza to jednak, że wszystkie dane trafiają do jednego miejsca lub że dostawca przejmuje odpowiedzialność za usługę finansową.
Dla klienta chmura zwykle pozostaje niewidoczna. Może wspierać aplikację do obsługi rachunku, analizę transakcji lub system księgowy małej firmy. O jakości takiej usługi decydują nie tylko możliwości techniczne, lecz także sposób ochrony danych, ciągłość działania i warunki umowy z dostawcą.
Jak działają usługi chmurowe
Dostawca udostępnia zasoby informatyczne, a korzystająca z nich organizacja wybiera potrzebne usługi i ustala zasady ich używania. Może wynająć infrastrukturę do uruchomienia własnego systemu albo korzystać z gotowej aplikacji. Zakres kontroli jest wtedy różny: przy gotowym oprogramowaniu organizacja nie zarządza jego zapleczem tak bezpośrednio, jak przy własnej aplikacji uruchomionej na wynajętych zasobach.
Chmura pomaga dostosowywać zasoby do obciążenia, ale nie usuwa zależności od dostawcy i łączności. Jeśli zawiedzie ważny element usługi, skutki mogą odczuć pracownicy i klienci. Dlatego przed wdrożeniem trzeba ustalić, które procesy korzystają z chmury, jak wznowić ich działanie oraz czy dane da się przenieść do innego rozwiązania. To także część zarządzania ryzykiem operacyjnym.
Gdzie chmura pojawia się w finansach
Usługi chmurowe mogą obsługiwać zaplecze aplikacji finansowej, przechowywanie dokumentów, analizę danych lub pracę zespołów. Mała firma może spotkać je w programie do fakturowania czy księgowości. Instytucja finansowa może używać ich zarówno do zadań pomocniczych, jak i do systemów związanych z obsługą klientów. Samo użycie chmury nie mówi jeszcze, jakie dane przetwarza dana usługa.
W praktyce ważniejsze od etykiety „w chmurze” jest określenie, kto wykonuje daną czynność i kto ma dostęp do informacji. Umowa powinna pozwalać zrozumieć zakres usługi, zależności od innych dostawców oraz sposób zakończenia współpracy. Korzystanie z zewnętrznego rozwiązania technologicznego przypomina pod tym względem outsourcing usług finansowych, choć nie każde użycie chmury oznacza przekazanie dostawcy procesu finansowego.
Bezpieczeństwo danych i podział odpowiedzialności
Dostawca może zapewniać narzędzia do ograniczania dostępu, tworzenia kopii i monitorowania działania systemu. Korzystająca z chmury organizacja nadal musi jednak właściwie skonfigurować usługę oraz określić, komu przyznaje dostęp. Dobre zabezpieczenia po stronie dostawcy nie naprawią błędnych uprawnień ani nie zastąpią planu działania na wypadek awarii. Chmura nie jest więc z definicji bezpieczniejsza lub mniej bezpieczna od własnych serwerów.
Gdy w chmurze przetwarza się dane osobowe, znaczenie mają role stron i zasady wynikające z RODO. Administrator, który powierza przetwarzanie danych dostawcy, musi uwzględnić wymagania dotyczące takiego powierzenia oraz bezpieczeństwa przetwarzania. Trzeba też ustalić, gdzie dane będą przetwarzane i czy dostawca korzysta z dalszych podwykonawców. Szerzej opisuje to hasło o ochronie danych osobowych.
Co sprawdzić przed wyborem usługi
Przed podpisaniem umowy dobrze opisać własne potrzeby: dostępność systemu, rodzaj danych, sposób tworzenia kopii i możliwość ich odzyskania. Następnie można porównać te potrzeby z zakresem usługi oraz podziałem obowiązków. Istotne są warunki zgłaszania awarii, dostępu do danych po zakończeniu umowy i ich usuwania. Samo zapewnienie o „bezpiecznej chmurze” nie odpowiada na te pytania.
Podmioty finansowe objęte DORA muszą zarządzać ryzykiem związanym z usługami technologicznymi świadczonymi przez zewnętrznych dostawców. Oznacza to, że przy wyborze chmury liczy się również wpływ dostawcy na działanie danej instytucji, a nie tylko funkcje systemu. DORA stosuje się od 17 stycznia 2025 r. Podmiot finansowy korzystający z usług ICT przez cały czas ponosi pełną odpowiedzialność za swoje obowiązki. Mały przedsiębiorca korzystający z aplikacji finansowej może zacząć od prostszych pytań. Jak pobierze swoje dane, gdy zmieni usługę, i co zrobi podczas przerwy w jej działaniu?
Najczęstsze pytania
Nie. Poszczególne systemy mogą działać w różny sposób, a sama aplikacja dostępna przez internet nie przesądza, gdzie przetwarza się jej dane. Aby ustalić to dla konkretnej usługi, trzeba znać jej rozwiązania techniczne i zakres usług powierzonych dostawcom.
Nie da się tego ocenić na podstawie samego modelu działania. Znaczenie mają zabezpieczenia dostawcy, konfiguracja usługi, uprawnienia użytkowników i przygotowanie na awarię. Własny serwer również wymaga utrzymania i ochrony; porównywać należy konkretne rozwiązania oraz związane z nimi ryzyka.
Tak, ale musi dobrać sposób przetwarzania do rodzaju danych i swoich obowiązków. Przy danych osobowych należy ustalić role stron, warunki powierzenia przetwarzania oraz stosowane zabezpieczenia. Warto również wiedzieć, gdzie odbywa się przetwarzanie i jak odzyskać dane po zakończeniu usługi.
Zależy to od usługi i uzgodnionych warunków. Przed jej wyborem należy sprawdzić, w jakiej postaci można pobrać dane, ile pracy wymaga ich przeniesienie i jak wygląda usunięcie pozostałych kopii. Bez takiego planu zmiana dostawcy może zakłócić pracę firmy.
Źródła:
