Требования банков к решениям в сфере ЦОД постоянно растут, и особенно заметным это стало в последние несколько месяцев, когда в российское законодательство было внесено требование хранить данные российских резидентов на территории нашей страны. Многие эксперты восприняли это в том числе и как составную часть процесса импортозамещения. Но есть ли в России центры обработки данных, отвечающие трем главным требованиям – надежность, безопасность и четкое прозрачное соглашение SLA?

Вся информация о клиентах банка и их счетах хранится в электронном виде, поэтому кредитные организации уделяют максимум внимания информационной безопасности, и выбор «правильного» дата-центра играет здесь важную роль.  Существует два типа услуг, которые предлагают центры обработки данных. Первый из них – это колокейшн-услуги, т.е. размещение оборудования банка. При этом ЦОД должен обеспечить его питание, охлаждение, безопасность и т.д. Второй из них – это облачные и управляемые услуги. Если базовые услуги (колокейшн) всегда были более востребованными и на протяжении нескольких лет занимали большую часть рынка, то сейчас все большую популярность набирают высокоуровневые сервисы.

В первую очередь при выборе дата-центра, как считает руководитель группы управления центром обработки данных Райффайзенбанка Ольга Габова, необходимо определиться, какие системы будут размещаться в данном ЦОД и какой должна быть его технологическая архитектура. «Исходя из этого, можно формировать требования к надежности и, имея на руках эту информацию, выбирать из поставщиков тех, чьи предложения отвечают заданным требованиям», – поясняет эксперт Райффайзенбанка.  

При этом, как поясняют специалисты, есть ряд основных критериев, которые банки предъявляют к любому центру обработки данных. В первую очередь это, как указано выше, надежность: клиенты не должны страдать из-за сбоев и простоя серверов. «Простой даже в несколько минут может обернуться для банка серьезными финансовыми потерями и упущенной выгодой. В связи с этим один из главных ориентиров при выборе ЦОД – уровень его надежности по международной классификации», – считает заместитель председателя правления Росэнергобанка Евгений Федоров. 

Этот критерий определяется международными сертификатами. Наиболее популярная система классификации дата-центров принадлежит консалтинговой организации Uptime Institute. Там создали систему Tier для оценки и сравнения качества услуг ЦОД. По этой классификации дата-центры делятся на четыре уровня. Tier IV – наивысшая категория: чтобы соответствовать этому уровню, организация должна иметь возможность исправить любой сбой без участия человека. То есть при возникновении неисправности она должна автоматически отключить вышедшее из строя оборудование и перейти на резервное оборудование. Во всех остальных центрах поломки исправляются сотрудниками. 

Банкиры отмечают, что ЦОД, имеющие классификацию Tier IV, для финансово-кредитных организаций не являются обязательными, но с дата-центром второго уровня работать согласятся не все. Начальник отдела сопровождения управления, администрирования и сопровождения информационных систем департамента информационных и банковских технологий банка «Интеркоммерц» Вадим Степакин считает наличие сертификата уровня Tier III обязательным условием для заключения соглашения с поставщиком услуг. Это неудивительно, ведь для выполнения плановых работ в центрах, уровень которых ниже, требуется остановить работу ЦОД. А в Tier III-IV этого не требуется. Допустимое время простоя в год при Tier III составляет 1,6 часа, а коэффициент отказоустойчивости равен 99,982%. У Tier IV эти цифры равны 0,4 часа и 99,995%.

Чтобы полностью соответствовать заявленному сертификату, необходимо, чтобы компания прошла полную сертификацию по трем аспектам, а именно по проектной документации (Design Documentation), по исполнению (Constructed Facility) и по операционной устойчивости (Operational Sustainability). «По нашему опыту, наличие сертификации Tier III Certification of Design (или выше) говорит о гарантированно высоком качестве спроектированного решения, а сертификация Tier III Certification of Constructed Facility гарантирует  его успешную реализацию», – делится опытом руководитель департамента по работе с недвижимостью Нордеа банка Владимир Джума.  

С другой стороны, в отношении Tier все также зависит от того, какие услуги дата-центр оказывает банку и какие данные организация планирует хранить на аутсорсинге. «Все зависит от того, какие системы выносятся банком в ЦОД, и от наших финансовых возможностей. Иными словами, определяющее значение имеет соотношение уровня рисков к стоимости данной услуги», –разъясняет политику банка в отношении дата-центров Евгений Федоров (Росэнергобанк). 

ЛУЧШЕ БОЛЬШЕ, ДА ЛУЧШЕ

Итак, такие факторы, как надежность, отказоустойчивость и безопасность дата-центра, – безусловно, очень важные критерии. Но некоторые заказчики наряду с ними при принятии решения рассматривают и учитывают также множество других факторов. Так, например, технический директор банка «Открытие» Давид Мартиросов выделяет шесть основных критериев для выбора поставщика услуг. На первое место эксперт ставит качество инженерных систем ЦОД, на второе и третье – доступность и сервисное обслуживание площадки. На четвертом месте условия предоставления самого помещения, затем идет наличие телекоммуникационных провайдеров и возможность подведения услуг связи других провайдеров, и на последнее место эксперт ставит стоимость услуг.

Несмотря на то, что количество провайдеров и наличие точки обмена трафиком не играет ключевой роли при выборе поставщика услуг, на это стоит обращать внимание. «Это не определяющий, но важный критерий», – отмечает Евгений Федоров (Росэнергобанк). Большое количество провайдеров позволяет обеспечить более быструю работу серверов банка. Пиринг, то есть подключение заказчиков друг к другу напрямую, помогает сократить расходы и свести задержку к минимуму. 

Вадим Степакин (Интеркоммерц) считает, что именно наличие пирингового узла повышает надежность поставщика услуг ЦОД и понижает задержки в сети передачи данных. А вот Владимир Джума (Нордеа банк) на первое место ставит уровень представительства операторов на площадке (в том числе и операторов «темной» оптики). Естественно, задержки при работе приложений банка могут плохо сказаться на репутации кредитной организации, и при выборе дата-центра стоит обращать внимание не только на безопасность, но и на возможность более быстрой передачи данных.

«В первую очередь ЦОД должен соответствовать сформированным требованиям к площадке. Недопустимы отступления, способные повлиять на надежность работы бизнес-систем, но и переплачивать за неиспользуемые сервисы нет никакого смысла. Также при выборе площадки очень важно учитывать различные сценарии развития бизнес-систем. Таким образом, поставщик услуг должен быть готов как увеличить количество арендуемых ресурсов ЦОД, так и, наоборот, сократить их», – считает Ольга Габова (Райффайзенбанк). На самом деле, как подчеркивает эксперт, сертификат – это лишь документальное подтверждение соответствия ЦОД неким требованиям, но для выбора поставщика услуг важно, чтобы он соответствовал прежде всего требованиям заказчика. «Сертификат же стоит рассматривать только как приятный бонус, но никак не непременное условие», – поясняет Ольга Габова (Райффайзенбанк).

В целом, критерии выбора поставщика услуг для каждого заказчика всегда примерно одинаковые, просто у всех разные требования к каждому отдельному пункту. Здесь опять же все зависит от целей, которые ставит перед собой организация, размещая свои данные на аутсорсинге. 

«НАЦИОНАЛЬНОСТЬ» РОЛИ НЕ ИГРАЕТ

Если раньше в качестве поставщика услуг ЦОД можно было выбрать зарубежную компанию, то с 1 сентября вступает в силу ФЗ-242, обязывающий как российские, так и иностранные компании хранить персональную информацию российских пользователей в дата-центрах, расположенных на территории нашей страны. Казалось бы, заказчики должны были встревожиться, но они отнеслись к этой законодательной новации на удивление спокойно. «Значительный рост количества дата-центров в России, вызванный в том числе и изменениями законодательства, позволяет свести к минимуму возможное негативное влияние этой новации и дает основания рассматривать ее скорее как положительный аспект», – считает Владимир Джума (Нордеа). 

На территории РФ есть дата-центры всех уровней, в том числе и Tier IV, таким образом, в этой сфере отечественные ЦОД полностью отвечают международным требованиям и позволяют без потерь перенести все данные на отечественные серверы. Качество дата-центров в связи с санкциями не ухудшилось, а вот падение курса рубля отразилось на ценовой политике. «Намного большее влияние на услуги дата-центров имеет повышение курса валюты, так как большинство инженерных систем в дата-центрах иностранных производителей, конечно же, привязаны к курсу доллара», – рассуждает Давид Мартиросов (Открытие).

К тому же заказчики и раньше не придавали значения тому, является ли компания российской или зарубежной. «При выборе наших ЦОД мы не учитывали этот фактор.  Для нас главным было четко описать критерии выбора и найти площадку, соответствующую нашим требованиям, а иностранный это поставщик решения или российский, было не столь важным. Но при этом все дата-центры мы искали на территории РФ», – разъясняет Давид Мартиросов (Открытие). С ним согласен и Владимир Джума (Нордеа): «Этот аспект сложно отнести к значимым факторам – с точки зрения совершения выбора куда более интересным и важным критерием является уровень компании на данном рынке». 

НА СЛОВАХ ОДНО, А НА БУМАГЕ…

Очень важно, чтобы все требования банка к дата-центру были в полной мере отражены в договоре оказания услуг. Основной документ, который подписывается в начале сотрудничества организации с поставщиком услуги ЦОД, – это Service Level Agreement. «Это основной инструмент для регулирования вопросов в сфере предоставления ИТ-услуг», – говорит Евгений Федоров (Росэнергобанк). 

В данном соглашении регулируются все основные вопросы, касающиеся услуг, предоставляемых дата-центром, включая возможное время простоя и денежную компенсацию при сбоях в работе. «SLA позволит зафиксировать, кто и за что отвечает, в какие сроки реагирует. Иными словами, такой документ потенциально позволяет избегать конфликтных ситуаций», – говорит о назначении соглашения Ольга Габова (Райффайзенбанк). По мнению Вадима Степакина (Интеркоммерц), в соглашение обязательно должны быть включены, во-первых, соответствие критериев оценки доступности выполняемым задачам, во-вторых, максимальное время недоступности и в-третьих, суммарное время недоступности за конкретный период времени. Давид Мартиросов (Открытие) добавляет к этим критериям возможность оповещения обо всех сбоях и получение регулярной отчетности по исполнению SLA, а также четкое описание всех штрафных санкций при нарушении показателей. 

Есть старая русская пословица – скупой платит дважды. Если говорить о процессе выбора ЦОД, то можно добавить: а невнимательный – трижды. Эксперты советуют, во-первых, сразу четко отделить зерна от плевел, чтобы не платить за те услуги, которые не будут впоследствии востребованы банком, и, напротив, четко прописать все тонкости оказания необходимых финансово-кредитной организации услуг. Только при таком подходе банк сможет впоследствии спать спокойно, не опасаясь утечки важных для себя данных или прерывания своих бизнес-процессов из-за выхода из строя ЦОД.