Serverløsninger for små bedrifter: egen server, NAS eller skytjenester

Innledning

For små bedrifter og gründere er IT-infrastruktur en viktig del av driften, men budsjettene er ofte begrensede. Valget av serverløsning har betydning for kostnader, sikkerhet og hvor ansvaret for drift og oppdateringer ligger. Alternativene spenner fra egen maskinvare på kontoret til nettverkslagring (NAS) og skytjenester.

Eget server-setup eller cloud

Det finnes ikke én løsning som passer alle SMB-er. En nettbasert tjeneste har andre behov enn en produksjonsbedrift. Et sentralt valg er om bedriften skal kjøpe egen maskinvare eller bruke skytjenester. Begge tilnærmingene har fordeler og ulemper som må vurderes ut fra bedriftens behov for kontroll, sikkerhet, kompetanse og kostnader.

Tall og trender

I 2017 kjøpte 48 prosent av norske foretak med minst ti ansatte skytjenester, opp fra 29 prosent i 2014, ifølge SSBs statistikk over norske foretak som kjøper nettskytjenester. Andelen økte med bedriftsstørrelse: 44 prosent av foretak med 10–19 ansatte brukte skytjenester, mot 67 prosent av foretak med over 100 ansatte. E-post og fillagring var de mest brukte skytjenestene. Nyere tall brutt ned på bedriftsstørrelse er ikke funnet offentliggjort av SSB.

Alternativer for maskinvare og skytjenester

For bedrifter som ønsker lokal maskinvare, finnes rackmonterte og stasjonære (tower) servere, som Dells PowerEdge-serie, samt tilsvarende modeller fra HPE og Lenovo. Disse er beregnet på formål som fildeling, e-post og mindre forretningsapplikasjoner i bedrifter uten eget datasenter.

Et alternativ til en full server er nettverkslagring (NAS). Produsenter som Synology tilbyr NAS-enheter som samler filer, tar sikkerhetskopier og gir delt tilgang, uten samme investerings- og driftsbehov som en tradisjonell server.

For bedrifter som ønsker å slippe eget driftsansvar for maskinvaren, finnes skytjenester som Microsoft 365 og Google Workspace for e-post, fildeling og samarbeid, samt infrastrukturtjenester som Azure, AWS og Google Cloud. Microsoft Azure har to datasenterregioner i Norge, Norway East og Norway West.

Ansvar og regelverk ved valg av løsning

Uansett om en liten bedrift velger egen maskinvare eller skytjenester, gjelder de samme sikkerhetskravene. Nasjonal sikkerhetsmyndighet peker på at sikkerhetstiltak er nødvendige uavhengig av hvem som drifter tjenestene, og at bedrifter bør vurdere risiko og stille klare krav til leverandøren før en avtale inngås. Når en skytjenesteleverandør behandler personopplysninger på oppdrag for bedriften, kreves en databehandleravtale etter GDPR artikkel 28, ifølge Datatilsynet. Avtalen skal regulere hvordan leverandøren behandler opplysningene, og kravene til innhold skjerpes med hvor omfattende eller risikofylt behandlingen er.

Sikkerhet, backup og oppbevaring av regnskap

Sikkerhetskopiering bør planlegges uavhengig av om data ligger lokalt eller i skyen. NSMs grunnprinsipper for IKT-sikkerhet anbefaler at sikkerhetskopier testes regelmessig med gjenopprettingstester, og at minst én kopi lagres uten tilgang fra virksomhetens ordinære nettverk, slik at den ikke rammes av samme angrep eller feil som originaldataene. Et vanlig utgangspunkt er 3-2-1-regelen, som den amerikanske sikkerhetsmyndigheten CISA beskriver den: tre kopier av viktige filer, på to ulike lagringstyper, med én kopi lagret et annet sted enn virksomheten.

Regnskapsmateriale er underlagt egne oppbevaringskrav. Etter bokføringsloven § 13 skal årsregnskap, spesifikasjoner og dokumentasjon av bokførte opplysninger oppbevares i fem år etter regnskapsårets slutt, mens visse andre dokumenter skal oppbevares i tre år og seks måneder. Elektronisk regnskapsmateriale kan lagres hos en leverandør i et annet EØS-land, Storbritannia eller Sveits, men bedriften må da varsle Skatteetaten skriftlig og sørge for at materialet er lesbart og kan skrives ut fra en terminal i Norge gjennom hele oppbevaringstiden, jf. bokføringsforskriften § 7-5.

Ved bruk av en skytjeneste som behandler personopplysninger, må bedriften også vurdere hvor dataene lagres, og om overføring skjer til et land utenfor EØS, siden dette kan kreve egne overføringsgrunnlag etter personvernregelverket, ifølge Datatilsynet.