De fleste danske virksomheder kører allerede i skyen. Bruger I Microsoft 365, et cloudbaseret regnskabssystem eller Google Workspace, er I der.
Spørgsmålet er derfor sjældent “skal vi i skyen”. Det er, hvad I selv skal sørge for, når I er der.
To ting overses systematisk, og de er begge dyre.
At have data i skyen er ikke det samme som at have backup
Den misforståelse er udbredt og kostbar. Den er også det, udbyderne selv skriver i deres vilkår.
Udbyderen sikrer driften — ikke dit indhold
De garanterer, at tjenesten kører, og at deres egne systemer ikke mister data. De garanterer ikke, at du kan få en mappe tilbage, som en medarbejder slettede for tre måneder siden.
Papirkurven har en frist
De indbyggede gendannelsesfunktioner rækker typisk nogle uger. Opdages en fejl senere, er der ikke noget at hente.
Og ransomware synkroniseres op
Krypteres filerne på en medarbejders maskine, synkroniseres de krypterede versioner til skyen. Skykopien bliver ubrugelig sammen med originalen.
Løsningen er en separat backup
Der findes produkter, som tager sikkerhedskopi af postkasser, filer og samarbejdsrum uafhængigt af udbyderen. Det er en selvstændig udgift, og den er som regel værd at have.
Spørgsmålet at stille jeres it-leverandør: “Hvis en medarbejder sletter en mappe, og vi opdager det om et halvt år — kan vi få den tilbage?”
Skyen er ikke backup
Den første, og den udbredte.
Udbyderen sikrer driften — ikke jeres indhold. De garanterer, at tjenesten kører, og at deres egne systemer ikke mister data. De garanterer ikke, at I kan få en mappe tilbage, som en medarbejder slettede for tre måneder siden.
Papirkurven har en frist. De indbyggede gendannelsesfunktioner rækker typisk nogle uger.
Og ransomware synkroniseres op. Krypteres filerne på en medarbejders maskine, synkroniseres de krypterede versioner til skyen. Skykopien bliver ubrugelig sammen med originalen.
Løsningen er en separat backup af postkasser, filer og samarbejdsrum. Det er en selvstændig udgift, og den er som regel værd at have.
Spørgsmålet at stille jeres it-leverandør: hvis en medarbejder sletter en mappe, og vi opdager det om et halvt år — kan vi få den tilbage?
Vi gennemgår principperne i vores artikel om backup.
Ansvaret bliver hos jer
Den anden, og den mest oversete juridisk.
I er dataansvarlige. Udbyderen er databehandler. Det ændrer sig ikke, fordi systemet kører andre steder.
Det betyder, at det er jer, der skal kunne redegøre for, hvad I behandler, hvorfor, hvor længe og hvor det ligger.
En databehandleraftale er et krav. De store udbydere har standardaftaler, men de skal accepteres aktivt — det sker ikke af sig selv, fordi I opretter en konto.
Og adgangsstyringen er jeres. Den hyppigste årsag til datalæk i skyen er ikke, at udbyderen svigter. Det er, at nogen har fået for meget adgang, eller at en konto ikke havde tofaktorgodkendelse.
Fem punkter, inden I flytter persondata
Det er jeres ansvar som dataansvarlig — også når andre driver systemet.
| Databehandleraftale på plads | Skal indgås skriftligtDe store udbydere har standardaftaler. De skal accepteres aktivt, ikke bare formodes |
|---|---|
| Hvor ligger data fysisk? | Vælg EU-region, hvis muligtDet er en indstilling ved oprettelsen — den kan sjældent ændres bagefter |
| Hvem har adgang hos jer? | Færrest muligeRoller frem for at alle kan alt. Og fjern adgang, når folk stopper |
| Tofaktorgodkendelse på alle konti | Uden undtagelserKompromitterede adgangskoder er den hyppigste vej ind |
| Fortegnelse over behandlinger | Et lovkrav for de flesteHvad I behandler, hvorfor, hvor længe og hvor det ligger |
Er I i tvivl, så spørg. Datatilsynet vejleder, og det er billigere at spørge først end at rette bagefter.
Hvad I får
Fordelene er reelle, og de er værd at nævne præcist.
Ingen serverudskiftning hvert femte år. Hardware, køling, plads og udskiftningscyklus forsvinder som udgift og som opgave.
Sikkerhedsopdateringer sker automatisk. Det er den mest undervurderede fordel — den lokale server, der ikke blev patchet, er en klassiker.
Adgang uafhængigt af sted. Kontoret, hjemmefra, hos kunden.
Og I kan skalere. Ti nye medarbejdere betyder ti licenser, ikke en ny server.
Om sikkerhed: for de fleste mindre virksomheder er en stor udbyders drift bedre end den server, der står i et aflåst rum uden overvågning. Det er ikke et argument for at slappe af — det er et argument for, hvor jeres indsats bør ligge.
Hvad I skal være opmærksomme på
Abonnementer akkumulerer. Betaling per bruger per måned føles lille og bliver stor. Gennemgå licenserne mindst en gang om året — der sidder næsten altid licenser til folk, der er stoppet.
Afhængighed af forbindelsen. Går internettet, står I stille. Det taler for en reserveforbindelse, hvis I er afhængige af systemerne hele dagen.
Og indlåsning. Jo dybere systemerne integreres, jo dyrere bliver det at flytte. Spørg, inden I begynder: kan vi få vores data ud, i hvilket format, og hvad koster det?
Skyggeit er den stille risiko. Bruger medarbejdere private tjenester til arbejdsfiler, fordi de godkendte er besværlige, har I hverken overblik eller kontrol. Løsningen er sjældent forbud — det er at gøre den godkendte løsning god nok.
Hvordan I kommer i gang
Kortlæg, hvad I har. Hvilke systemer, hvilke data, hvor ligger de.
Vurder hvilke persondata I behandler. Det afgør, hvor stramme kravene er.
Start med det enkle. Mail, dokumenter og regnskab er de områder, hvor skyen er mest moden og mindst risikabel.
Kør en prøve med en lille gruppe inden fuld udrulning.
Invester i oplæring. De fleste projekter går galt på mennesker, ikke på teknik.
Sæt sikkerheden op fra starten — tofaktorgodkendelse, roller, og en procedure for medarbejdere der stopper.
Og læg en backup-strategi. Også for det, der ligger i skyen.
Om at vælge udbyder
Kort, for det afhænger af, hvad I laver.
De fleste danske virksomheder ender hos en af de store, fordi resten af deres værktøjer allerede taler sammen med dem.
Der findes nordiske alternativer til fillagring, hvis I har en præference for, hvor data ligger. De er mindre, men de findes.
Og der findes danske SaaS-produkter til regnskab og administration, som er bygget til danske forhold.
Det vigtige spørgsmål er ikke hvilken udbyder, men hvad der står i aftalen: hvor ligger data, hvad sker der ved opsigelse, og hvordan får I jeres indhold ud.
Kilder
Alle faktuelle oplysninger i artiklen er kontrolleret mod nedenstående kilder.
- Datatilsynets vejledning om databehandlere og databehandleraftaler – Datatilsynet
- Datatilsynet om overførsel af personoplysninger til lande uden for EU – Datatilsynet
- Center for Cybersikkerhed — vejledninger om cloud og sikkerhed – CFCS
- Microsoft om databeskyttelse og ansvarsfordeling i skyen – Microsoft Learn
- Virksomhedsguiden — myndighedernes vejledning til danske virksomheder – Erhvervsstyrelsen
Ofte stillede spørgsmål
Er skyen sikker nok til vores data?
For de fleste mindre virksomheder er en stor udbyders drift bedre end en lokal server. Men den hyppigste årsag til datalæk er forkert opsætning og manglende tofaktorgodkendelse hos kunden — ikke udbyderen.
Har vi backup, når vi bruger Microsoft 365?
Nej, ikke i den forstand I tror. Udbyderen sikrer driften, ikke jeres indhold. De indbyggede gendannelsesfunktioner rækker typisk nogle uger.
Skal vi have en databehandleraftale?
Ja, hvis I behandler personoplysninger. De store udbydere har standardaftaler, men de skal accepteres aktivt.
Hvor ligger vores data?
Det afhænger af, hvilken region I vælger ved oprettelsen. Vælg en EU-region, hvis det er en mulighed — det kan sjældent ændres bagefter.
Hvem har ansvaret, hvis noget går galt?
I er dataansvarlige. Udbyderen er databehandler. Ansvaret over for jeres kunder og medarbejdere bliver hos jer.
Hvad koster det?
Det afhænger helt af antal brugere og hvilke systemer. Vær opmærksom på, at abonnementer akkumulerer — gennemgå licenserne mindst årligt.
Hvad er skyggeit?
Når medarbejdere bruger private tjenester til arbejdsfiler uden om jeres systemer. Det er både en sikkerheds- og en persondatarisiko, og løsningen er som regel at gøre den godkendte løsning bedre.
Kan vi komme ud igen?
Spørg om det, inden I begynder. Kan vi få vores data ud, i hvilket format, og hvad koster det? Jo dybere integrationen bliver, jo dyrere er et skifte.