Miałem tego nie robić

Miałem nie komentować ostatniego wpisu PJ o bezpieczeństwie. Rozbawiła mnie uwaga, że jakoby fakt czytania portalu przez pracowników instytucji rządowych samoczynnie poprawia bezpieczeńśtwo informatyczne tychże. Cóż. :)

Miałem zatem nie komentować, jak większości jego wpisów. Ale postanowiłem jednak przeanalizować ten fragment:
A tak, wolą zorganizować przetarg i wydać 40/50 tysięcy złotych na hosting, zrzucić z siebie jednocześnie odpowiedzialność (mieć kozła ofiarnego), zamiast zainwestować mniej niż 1 tysiąc zł. w maszynkę i przydzielić ją w miarę rozgarniętemu administratorowi. Cena takiej maszyny uzależniona jest oczywiście od przeznaczenia, jakie będzie spełniać. Jeśli mówimy tu jednak o zwykłym utrzymywaniu serwisu internetowego, sprawa wygląda bardzo trywialnie. Ok, wiemy już, że instytucje rządowe wolą wydawać astronomiczne sumy na roczną usługę hostingową, niż tysiąc złotych na maszynę pod serwis internetowy + kilka zabiegów administracyjnych, celem wydzielenia jej z sieci (DMZ).
Niezainteresowanych całością informuję, że chodzi o niedawne włamanie na stronę Ministerstwa Pracy i Polityki Społecznej. PJ sugeruje, jakoby utrzymanie portalu kosztowało:

1. Komputer na serwer - 1 kpln


2. Koniec

Asekuruje się wprawdzie stwierdzeniem, że cena zależy od zastosowań, natomiast niepokoi mnie co innego: osoba kreująca się na ogólnopolskiego specjalistę od bezpieczeństwa sugeruje złom za 1 kpln na serwer do obsługi czegokolwiek.

Zacznijmy od początku. Sensowny komputer klasy serwerowej na utrzymanie portalu to minimum 3,5 kpln. Przy czym nie jestem pewien, czy wytrzymałby ewentualne obciążenie. Ale powiedzmy, że tak. Tylko że jeden to trochę mało. Zakładamy, że serwis powinien mieć wysoką osiągalność, a więc dobrze byłoby go wpiąć w HA Cluster, na przykład. Co daje minimum dwie maszyny, najlepiej takie same. Do tego jakieś rozwiązanie archiwizacji. Do tego stworzenie, uaktualnianie i czasowe testowanie procedur odzyskiwania danych w przypadku awarii. Do tego koszt kontraktu SLA na komputery, bo przecież nigdy nie wiadomo, co i do jakiego stopnia się zepsuje. Do tego dochodzi koszt pracowniczy administatorów, bo, bądźmy szczerzy, jeden administrator to może zarządzać prywatnym serwerem Kowalskich, ale nie serwerem rządowym. Więc przynajmniej dwóch, jeśli nie więcej. Raczej więcej, bo chcemy też jakieś dyżury nocne, a ustawa gwarantuje, że po przepracowaniu 8 godzin pracownik ma 11 godzin odpoczynku i nie może dyżurować nawet z domu. Do tego ścieżka rozwoju dla nich, bo przecież nie chcemy, żeby cofali się w rozwoju. I pewnie jeszcze kilka innych elementów. I nagle całkiem sensowne staje się kupienie tej usługi u firmy, która specjalizuje się w administrowaniu serwerami. Wszystkie te niewygodne, czasochłonne i skomplikowane czasem logistycznie szczegóły zamykają nam się w jednej pozycji na fakturze. Do tego podpisujemy umowę z odpowiednimi klauzulami o odszkodowaniu w razie czego i jeszcze kilku punkach, o których dobrzy prawnicy z pewnością pomyślą. Tylko fakt faktem, że firma hostingowa powinna być profesjonalna.

Tyle w ramach przemyśleń.