Kiedy Brexit zmienił krajobraz ochrony danych dla brytyjskich firm, organizacje przetwarzające dane dzieci znalazły się w szczególnie pilnej sytuacji. Cyber Essentials i Cyber Essentials Plus - wcześniej rekomendowane dla dostawców rządowych - stały się bazowym oczekiwaniem dla każdej firmy przetwarzającej dane osobowe obywateli UK, zwłaszcza nieletnich.
Dla Sumdog, platformy edukacyjnej obsługującej w tamtym czasie ponad 7500 szkół podstawowych w Wielkiej Brytanii, oznaczało to, że ich infrastruktura hostowana w USA nie była już akceptowalna. Dane musiały zostać przeniesione do regionu, w którym brytyjskie i unijne przepisy o ochronie danych mogły być właściwie egzekwowane, a cały stack musiał spełniać wymagania Cyber Essentials Plus - od segmentacji sieci po kontrolę dostępu.
Wyzwalacz zgodności - Brexit, UK GDPR i dane dzieci
Wyjście Wielkiej Brytanii z UE stworzyło odrębny reżim ochrony danych. Choć UK GDPR w większości odzwierciedla wersję unijną, brytyjski Information Commissioner’s Office (ICO) działa teraz niezależnie, a zasady dotyczące międzynarodowych transferów danych zostały zaostrzone.
Dla firm EdTech przetwarzających dane osobowe dzieci - imiona, postępy w nauce, przynależność do szkół - poprzeczka jest jeszcze wyżej. Children’s Code (Age Appropriate Design Code) dodaje specyficzne obowiązki dotyczące minimalizacji danych i bezpieczeństwa, które wykraczają poza to, czym muszą się martwić serwisy skierowane do dorosłych.
Infrastruktura Sumdog była hostowana w USA, co oznaczało poleganie na decyzjach o adekwatności i klauzulach umownych, które stawały się coraz bardziej kruche po Brexicie. Pragmatyczną decyzją było całkowite wyeliminowanie transferu transgranicznego poprzez przeniesienie wszystkiego do regionu AWS w UE, gdzie wymagania dotyczące rezydencji danych mogły być spełnione bez prawnych akrobacji.
W połączeniu z koniecznością uzyskania certyfikacji Cyber Essentials Plus, stało się to pełnym projektem modernizacji infrastruktury, a nie prostym lift-and-shift.
Czego Cyber Essentials Plus faktycznie wymaga od infrastruktury
Cyber Essentials to brytyjski program wspierany przez rząd z dwoma poziomami. Podstawowa certyfikacja to kwestionariusz samooceny. Cyber Essentials Plus dodaje praktyczny audyt techniczny, w którym audytor aktywnie testuje systemy pod kątem podatności.
Dla aplikacji hostowanych w chmurze oznacza to, że infrastruktura musi wykazać:
- Firewalle i bramy internetowe skonfigurowane do ograniczania ruchu przychodzącego
- Bezpieczną konfigurację bez domyślnych poświadczeń i zbędnych usług
- Kontrolę dostępu użytkowników z zasadą najmniejszych uprawnień i MFA wszędzie
- Ochronę przed malware na wszystkich endpointach
- Zarządzanie łatkami z krytycznymi aktualizacjami stosowanymi w ciągu 14 dni
Dla Sumdog, starsza infrastruktura - mieszanka instancji EC2 zarządzanych częściowo Ansible, częściowo Packerem i częściowo ręcznie - nie mogła wykazać tych kontroli w sposób spójny. Nie było jednego źródła prawdy o tym, co jest wdrożone, nie było zautomatyzowanego pipeline’u łatek, a kontrole dostępu narastały organicznie przez lata wzrostu.
Pełne case study opisuje szczegóły techniczne migracji, ale to właśnie kąt zgodności napędzał decyzje architektoniczne.
Jak podeszliśmy do migracji - IaC jako kręgosłup zgodności
Kluczowe spostrzeżenie było takie, że Infrastructure as Code to nie tylko wygoda operacyjna - to narzędzie zgodności. Kiedy każdy zasób jest zdefiniowany w Terraform, możesz audytować całe środowisko czytając kod. Security groups, polityki IAM, ustawienia szyfrowania, harmonogramy backupów - wszystko wersjonowane, wszystko do przeglądu, wszystko odtwarzalne.
Zaczęliśmy od importu istniejącej infrastruktury do stanu Terraform i stopniowego zastępowania ręcznych konfiguracji skodyfikowanymi modułami. Dało nam to:
- Kompletny inwentarz każdego zasobu chmurowego w jednym miejscu
- Historię wersji dla każdej zmiany infrastrukturalnej
- Możliwość wykrywania dryfu między tym, co zdefiniowane, a tym, co działa
- Odtwarzalne środowiska, które można odbudować od zera
Migracja z baz danych hostowanych na EC2 do AWS RDS przy użyciu Database Migration Service dała nam szyfrowanie at rest i in transit domyślnie, automatyczne łatanie i odzyskiwanie point-in-time. Trzy wymagania Cyber Essentials Plus zaadresowane jedną decyzją architektoniczną.
Warstwa aplikacyjna przeniosła się do kontenerów ECS Fargate, eliminując potrzebę zarządzania łatkami na poziomie systemu operacyjnego. Fargate działa na infrastrukturze zarządzanej przez AWS, więc obowiązek łatania przechodzi na AWS, podczas gdy zachowujesz kontrolę nad kodem aplikacji i obrazami kontenerów.
Rezydencja danych w praktyce - to nie tylko wybór regionu
Przeniesienie do eu-west-2 (Londyn) rozwiązało kwestię rezydencji danych, ale sama migracja musiała utrzymać integralność danych dla aktywnej platformy używanej codziennie przez tysiące uczniów.
Podejście do migracji obejmowało kilka równoległych strumieni pracy:
- AWS DMS do ciągłej replikacji w okresie przejściowym
- Oba środowiska działające równolegle do walidacji
- Finalne przełączenie wykonane podczas planowanego okna serwisowego z mniej niż 4 godzinami przestoju
- Kompleksowe sprawdzenia integralności danych przed i po przełączeniu
Strategia backupu i disaster recovery została zaprojektowana od zera jako część migracji - automatyczne codzienne snapshoty, replikacja cross-region dla krytycznych danych i przetestowane procedury odzyskiwania.
Dla platformy przetwarzającej dane dzieci, zdolność wykazania, że możesz odzyskać się po naruszeniu lub utracie danych, nie jest opcjonalna. To regulacyjne oczekiwanie.
Rezultat - zgodność jako efekt uboczny dobrej inżynierii
Projekt dostarczył to, czego Sumdog potrzebował: infrastrukturę, która przechodzi audyty Cyber Essentials Plus z założenia, a nie przez łatanie luk po fakcie.
Co zmieniło się w praktyce:
- Każda kontrola bezpieczeństwa jest skodyfikowana, każda zmiana śledzona w git
- Całe środowisko można odbudować od zera w mniej niż godzinę
- Wydajność platformy znacząco wzrosła dzięki instancjom RDS opartym na Graviton
- Koszty hostingu spadły, bo odpowiednio dobrane kontenery na Fargate są tańsze niż przewymiarowane instancje EC2 działające 24/7
- Zespół deweloperski dostarcza szybciej, bo pipeline CI/CD obsługuje testowanie i wdrażanie automatycznie
Jeśli Twoja organizacja przetwarza dane użytkowników z UK - szczególnie dane dzieci - i nadal działa na infrastrukturze, która powstała przed Twoimi obowiązkami compliance, luka między tym, gdzie jesteś, a tym, gdzie musisz być, jest prawdopodobnie szersza niż myślisz.
Przechodziliśmy przez ten proces wielokrotnie. Umów bezpłatną konsultację, a powiemy Ci szczerze, ile pracy to wymaga.
