HAMAOn-premise va cloud aslida nima?
On-premise va cloud (bulut) — bu dasturiy ta'minot va ma'lumotlar qayerda ishlashi va saqlanishini belgilovchi ikki asosiy model. On-premise modelida serverlar tashkilotning o'z binosida yoki o'zi nazorat qiladigan ma'lumotlar markazida joylashadi. Cloud modelida esa hisoblash quvvati va saqlash uchidan-uchgacha tashqi provayder (masalan, global bulut platformasi) tomonidan ta'minlanadi va internet orqali ijaraga olinadi.
Public cloud (ommaviy bulut) tez ishga tushadi, masshtablanadi va texnik xizmatning katta qismini provayder o'z zimmasiga oladi. On-premise esa ko'proq dastlabki sarmoya va o'z jamoangizni talab qiladi, lekin evaziga butun stek ustidan to'liq nazorat beradi. Maxfiy ma'lumot bilan ishlovchi tashkilot uchun aynan shu nazorat masalasi ko'pincha hal qiluvchi omil bo'ladi.
Nazorat: kalitlar va serverlar kim qo'lida
Xavfsizlik haqida gap ketganda asosiy savol — infratuzilma va shifrlash kalitlari ustidan kim haqiqiy nazoratga ega. Cloud'da siz provayderning xavfsizlik amaliyotiga, uning xodimlariga va shartnoma shartlariga ishonishingiz kerak bo'ladi.
- On-premise: apparat, tarmoq, kirish huquqlari va kalitlar to'liq tashkilot ixtiyorida. Tashqi tomon hech qachon serverga jismoniy yoki ma'muriy kira olmaydi.
- Cloud: provayder infratuzilmani boshqaradi; uning administratorlari, huquq-tartibot so'rovlari yoki chet el yurisdiksiyasi nazariy jihatdan ma'lumotga ta'sir qilishi mumkin.
Shuni ham aytish kerakki, nazorat o'zi xavfsizlikni kafolatlamaydi. Yomon sozlangan on-premise server eskirgan dasturlar va ochiq portlar bilan, professional boshqariladigan bulutdan zaifroq bo'lishi mumkin.
Ma'lumotlar joylashuvi va suvereniteti
Global bulut provayderlarida ma'lumot ko'pincha boshqa mamlakatdagi ma'lumotlar markazlarida saqlanadi. Bu shuni anglatadiki, ma'lumot o'sha mamlakat qonunlariga bo'ysunadi va sizning yurisdiksiyangiz tashqarisidagi so'rovlarga ochiq bo'lishi mumkin.
Davlat organlari, banklar va kritik infratuzilma uchun bu jiddiy masala. O'zbekistonda PP-167 (kritik axborot infratuzilmasi) talablari va ma'lumotlar suvereniteti tamoyili milliy ahamiyatga ega ma'lumotning mamlakat ichida saqlanishini taqozo qiladi. Bunday hollarda on-premise yoki mamlakat ichidagi himoyalangan server ko'pincha yagona to'g'ri yo'l hisoblanadi.
Ma'lumot fizik jihatdan qayerda joylashganligi — bu nafaqat texnik, balki huquqiy savol. Server qaysi mamlakatda bo'lsa, ma'lumot o'sha mamlakat qonunlariga ham bo'ysunadi.
Hujum yuzasi, compliance va xarajatlar
Hujum yuzasi
Cloud xizmatlari ko'p ijarachili (multi-tenant) va internetga doimo ulangan bo'lgani uchun hujum yuzasi kengroq. On-premise tizimni izolyatsiya qilingan tarmoqqa joylashtirish yoki internetdan to'liq ajratish mumkin, bu esa tashqi hujum imkoniyatini keskin kamaytiradi.
Compliance va auditlar
Sertifikatsiya (masalan, ISO/IEC 27001) uchun ma'lumot oqimi va nazorat chegaralarini aniq hujjatlashtirish kerak. On-premise'da audit chegarasi tor va aniq bo'ladi; cloud'da esa siz provayderning sertifikatlariga tayanishingiz va mas'uliyat taqsimotini (shared responsibility) tushunishingiz lozim.
Xarajat va texnik xizmat
Bu yerda bulutning haqiqiy afzalligi bor: yangilanishlar, zaxira nusxalash va apparatni almashtirish provayder zimmasida bo'ladi. On-premise esa malakali jamoa va dastlabki sarmoyani talab qiladi. To'g'ri tanlov — bu xarajat qulayligi va nazorat darajasi o'rtasidagi muvozanatni tashkilotning maxfiylik talablariga moslashtirishdir.
HAMA'da bu qanday hal qilingan
HAMA bulut va on-premise modellarining kuchli tomonlarini birlashtiradi. Platforma O'zbekistondagi himoyalangan serverda yoki to'liq tashkilot infratuzilmasida (on-premise) joylashtirilishi mumkin — tanlov tashkilotning maxfiylik darajasiga bog'liq.
- Ma'lumot O'zbekistonda: har ikki holatda ham ma'lumotlar mamlakat ichida saqlanadi, bu ma'lumotlar suvereniteti va PP-167 talablariga mos keladi.
- Uchidan-uchiga shifrlash: Signal protokoli (X3DH + Double Ratchet), guruhlar uchun AES-256-GCM. Kalitlar faqat foydalanuvchi qurilmasining OS himoyalangan xotirasida, hatto serverda ham ochilmaydi.
- Faqat TLS 1.3 transport va mahalliy SQLCipher bazasi — uzatishda ham, qurilmada ham ma'lumot shifrlangan.
- Tayyorgarlik: O'z DSt ISO/IEC 27001:2023 sertifikatsiyasiga tayyorlanish davom etmoqda.
Natijada on-premise nazorati bilan birga uchidan-uchiga shifrlash birlashadi: hatto server jismonan sizning binongizda bo'lsa-da, suhbat mazmuni faqat foydalanuvchilarga ko'rinadi.