Domen, hosting i bezbednost su tri stvari koje projektni tim ustanove najčešće prepusti izvođaču, a onda ih, posle promene izvođača ili incidenta, otkrije kao svoj problem: domen glasi na bivšu agenciju, niko ne zna gde je server, kopija postoji „negde“, a pristup ima čovek koji više ne radi. Ovaj vodič je organizovan kao tri celine sa pitanjima koja tim mora da razreši pre nabavke: domen i odgovornost (ko dodeljuje gov.rs, na koga glasi, ko menja DNS), hosting i zaštita (lokacija, dostupnost, kopije, pristupi, oporavak) i kontrolna lista za nabavku (tehnički zahtevi, dokazi, periodične provere), tako da sajt ostane pod kontrolom ustanove bez obzira na to ko ga trenutno održava.
Za dodatnu proveru preporuka iz ovog vodiča pogledajte pravila RNIDS-a za .rs domen i smernice Kancelarije za IT i eUpravu.
Ukratko
- Domen glasi na ustanovu, uvek: gov.rs po pravilima nadležne kancelarije za organe koji ispunjavaju uslove; .rs preko ovlašćenog registra za ostale; kontakt osobe iz ustanove, sa zamenikom.
- Hosting se bira po pitanjima, ne po ceni: gde su podaci, ko ima pristup, koliko traje nedostupnost, kako izgleda oporavak i koliko traje, šta piše u ugovoru.
- Kopija koja nije vraćena nije kopija: test oporavka sa merenim vremenom pre primopredaje i godišnje.
- Nabavka traži dokaze, ne obećanja: ugovor o nivou usluge, lokacija, ugovor o obradi, evidencija pristupa, plan za incident, izlazna strategija.
Napomena: uslovi za dodelu gov.rs domena, pravila za veb prezentacije organa i obaveze iz propisa o informacionoj bezbednosti menjaju se; ovde su navedeni orijentaciono, kao pitanja za proveru, ne kao pravni savet. Aktuelne uslove proverite kod nadležne kancelarije za IT i elektronsku upravu i sa pravnom službom. Opšti redosled planiranja usklađenog sajta je u tekstu kako planirati sajt državne ustanove usklađen sa propisima.
Domen i odgovornost
Domen je adresa na kojoj građani i pretraživači nalaze ustanovu, i jedina stvar koju je nemoguće „prebaciti“ ako je izgubljena. Zato je prvo pitanje: ko je vlasnik, a ne ko je platio.
Registracija i vlasništvo
gov.rs ili .rs? Domen u okviru gov.rs namenjen je organima i ustanovama koje ispunjavaju uslove nadležne kancelarije za informacione tehnologije i elektronsku upravu; dodeljuje se na zahtev ustanove, po njenim pravilima (ko može, koji oblik naziva, koja dokumentacija), a ne preko komercijalnih registara. Javna preduzeća, ustanove kulture, škole i slične organizacije često koriste .rs ili .срб domen registrovan preko ovlašćenog registra, ponekad uz oba (gov.rs za zvaničnu prezentaciju organa, .rs za usluge). Projektni tim prvo proverava koji domen ustanovi pripada i po kom postupku, jer to određuje rokove (dodela gov.rs može trajati) i ko šta potpisuje. Na koga glasi: registrant je ustanova, sa matičnim brojem i zvaničnom adresom, nikad izvođač, hosting firma ili zaposleni lično. Kod .rs domena to se proverava u javnom registru (WHOIS) i ispravlja pre bilo čega drugog; opšta pravila o vlasništvu, prenosu i greškama su u tekstu .rs domen: registracija, vlasništvo, cena i najčešće greške. Obnova: .rs domen se obnavlja periodično i istek znači nestanak sajta i e-pošte; datum obnove ide u kalendar ustanove sa podsetnikom mesec dana ranije, a plaćanje ide kroz ustanovu, ne kroz izvođača „usput“. Dokumentacija: u dosijeu sajta: potvrda o registraciji ili dodeli, nalog kod registra (na ustanovu), datum obnove, ko je ovlašćen da menja podatke.
DNS i kontakt osobe
DNS je skup zapisa koji govore gde je sajt (A/AAAA), gde je e-pošta (MX) i ko sme da šalje poštu u ime domena (SPF, DKIM, DMARC). Ko kontroliše DNS, kontroliše sajt i poštu ustanove, pa: nalog za DNS glasi na ustanovu; izvođač dobija privremeni pristup ili šalje uputstvo šta uneti, a IT ustanove unosi; svaka promena se beleži (ko, kada, šta). Pitanja za tim: gde se DNS vodi (kod registra, kod hosting provajdera, kod nadležne kancelarije za gov.rs), da li e-pošta ustanove zavisi od istog DNS-a (obično da, pa je greška u DNS-u i pad pošte), da li su SPF/DKIM/DMARC podešeni (bez njih se u ime ustanove lako šalje lažna pošta). Kontakt osobe: registar i hosting imaju administrativni i tehnički kontakt; oba moraju biti službene adrese ustanove (ne lični Gmail, ne adresa izvođača), sa najmanje dve osobe (nosilac i zamenik) i pravilom da se pri odlasku zaposlenog kontakti menjaju istog dana. Opšte objašnjenje kako domen, DNS i hosting rade zajedno, u tekstu domen i hosting: kako funkcionišu i šta zaista kupujete.
Hosting i zaštita
Hosting je mesto gde sajt i podaci fizički žive. Za ustanovu pitanja nisu „koliko košta“ i „koliko je brz“, već ko ima pristup, gde su podaci, šta se dešava kad nešto padne i koliko traje da se vrati.
Lokacija, dostupnost i kopije
Opcije: za organe koji ispunjavaju uslove, hosting u državnoj infrastrukturi (državni data centar) po pravilima nadležne kancelarije; za ostale, komercijalni hosting u Srbiji ili u inostranstvu, na deljenom, virtuelnom ili upravljanom (managed) serveru. Izbor zavisi od propisa koji važe za ustanovu (uključujući propise o informacionoj bezbednosti za IKT sisteme od posebnog značaja), od podataka koje sajt obrađuje i od toga ko će sajt održavati. Kad se poređenje radi po kriterijumima, a ne po ceni, opisano je u tekstu gde hostovati sajt u Srbiji: lokalni server, cloud i posebni zahtevi. Lokacija podataka: gde su fizički server i kopije (država, data centar), ko je vlasnik infrastrukture, da li provajder koristi podizvođače; lokacija ulazi u ugovor o obradi podataka i u politiku privatnosti (vidi zaštita podataka i kolačići na sajtu ustanove). Dostupnost: ugovor o nivou usluge (SLA) sa procentom dostupnosti, vremenom odziva podrške po prioritetu (sajt ne radi: sati, ne dani), radnim vremenom podrške (za ustanove sa uslugama za građane: i vikendom), načinom prijave problema i šta se dešava kad se SLA ne ispuni. Nezavisan nadzor dostupnosti (spoljni servis koji svakih par minuta proverava sajt i javlja) je jeftin i obavezan, jer bez njega ustanova o padu saznaje od građana. Kopije: šta se kopira (fajlovi i baza), koliko često (najmanje dnevno; za sajtove sa prijavama građana češće), koliko se čuvaju (npr. 30 dnevnih + mesečne), gde (na drugoj lokaciji od servera, šifrovane), ko ima pristup kopijama i, najvažnije, kako i za koliko se vraćaju; kopija koja nikad nije vraćena nije kopija.
Pristupi, evidencija i oporavak
Pristupi: popis ko ima pristup čemu: hosting panel, server (SSH/SFTP), baza, WordPress administracija, DNS, registar domena, e-pošta, analitika; svaki pristup po imenu (ne „admin“ za sve), sa dvofaktorskom zaštitom gde postoji, sa najmanjim potrebnim pravima (urednik nije administrator; izvođač nema pristup registru domena), i sa postupkom ukidanja pri odlasku zaposlenog ili promeni izvođača (isti dan, sa promenom lozinki koje su bile deljene). Evidencija: ko se prijavio i šta je promenio (WordPress dodatak za evidenciju aktivnosti, logovi servera), sa rokom čuvanja; evidencija je i dokaz u incidentu i osnova za periodični pregled pristupa. Ažuriranja i zaštita: WordPress, tema i dodaci ažuriraju se po planu (bezbednosne ispravke odmah, ostalo mesečno na probnom serveru pa na živom), sa minimalnim brojem dodataka; HTTPS na celom sajtu sa automatskom obnovom sertifikata; zaštitni sloj (WAF/CDN ili serverska zaštita) i ograničenje pokušaja prijave; skeniranje na zlonamerni kod. Oporavak i incident: pisani plan sa odgovorima na: ko prvi reaguje (kontakt 24/7), ko odlučuje o gašenju sajta, kako se vraća kopija i koliko traje (cilj: sati), ko obaveštava rukovodstvo, građane i, gde propis traži, nadležne organe (uključujući Poverenika ako su ugroženi lični podaci), kako se dokumentuje. Plan se testira: jednom pre primopredaje i najmanje jednom godišnje se kopija vrati na probni server i izmeri vreme. Ove stavke su srž održavanja sajta ustanove; opšti opis šta održavanje obuhvata, u tekstu održavanje sajta: šta obuhvata i kako izabrati paket.
| Pitanje | Odgovor koji tražite | Gde se dokazuje |
|---|---|---|
| Na koga glasi domen? | Na ustanovu (MB, adresa); kontakti službeni, dve osobe | Registar / potvrda o dodeli, WHOIS |
| Ko menja DNS? | IT ustanove; izvođač šalje uputstvo ili ima privremeni pristup; promene se beleže | Nalog na ustanovu, evidencija promena |
| Gde su podaci? | Poznata lokacija servera i kopija; podizvođači navedeni | Ugovor, ugovor o obradi |
| Koliko sme da ne radi? | SLA: dostupnost, odziv po prioritetu, radno vreme podrške, posledice | Ugovor + nezavisan nadzor |
| Kako se vraća kopija i za koliko? | Dnevne kopije na drugoj lokaciji, šifrovane; oporavak u satima, testiran | Zapisnik o testu oporavka (vreme) |
| Ko ima pristup? | Popis po imenu i sistemu, 2FA, najmanja prava, ukidanje isti dan | Matrica pristupa, evidencija prijava |
| Šta kad se desi incident? | Pisani plan: ko, rok, obaveštavanje, dokumentacija | Plan + zapisnik o vežbi |
| Šta kad menjamo izvođača ili hosting? | Izlazna strategija: predaja svih pristupa, kopije i dokumentacije u roku | Ugovor, zapisnik o primopredaji |
Kontrolna lista za nabavku
Sve gore navedeno vredi samo ako uđe u tehničku specifikaciju i ugovor. Ponuđač koji ne može da dostavi dokaz za stavku ne ispunjava stavku, bez obzira na to šta piše u ponudi.
Tehnički zahtevi
U specifikaciju za hosting i održavanje ulaze, kao merljive stavke: domen glasi na ustanovu; izvođač nema vlasništvo ni nad domenom ni nad nalogom kod registra. Lokacija servera i kopija navedena; podizvođači navedeni; usklađenost sa propisima koji važe za ustanovu (uključujući, gde se primenjuje, zahteve informacione bezbednosti i državne infrastrukture). Dostupnost: SLA sa procentom, odzivom po prioritetu, radnim vremenom podrške, kontaktom 24/7 za kritične probleme, nezavisnim nadzorom sa izveštajem. Kopije: učestalost, zadržavanje, lokacija, šifrovanje, test oporavka pre primopredaje i godišnje, sa zapisnikom i merenim vremenom. Bezbednost: HTTPS, zaštitni sloj, ograničenje prijava, 2FA, ažuriranja po planu (bezbednosne odmah), evidencija aktivnosti, skeniranje. Pristupi: matrica po imenu i sistemu, ukidanje isti dan, sve lozinke u sefu ustanove. Zaštita podataka: ugovor o obradi sa jasnim ulogama, podobrađivačima i postupanjem po prestanku. Izlazna strategija: po prestanku ugovora izvođač u roku (npr. 15 dana) predaje kompletnu kopiju, sve pristupe i dokumentaciju, i briše svoje kopije uz potvrdu; bez toga je promena izvođača ucena. Dokumentacija: pri primopredaji, u pisanom obliku: gde su domen, DNS, hosting, kopije, ko ima pristupe, plan za incident, uputstvo za urednike. Kako se piše cela specifikacija i ocenjuje ponuđač, u tekstu kako izabrati izvođača za sajt javne ustanove.
Dokazi i periodične provere
Dokazi u ponudi, ne izjave: uzorak SLA i ugovora o obradi; opis infrastrukture sa lokacijom i podizvođačima; sertifikati ili nezavisni izveštaji gde postoje; opis postupka kopiranja i oporavka sa primerom zapisnika; opis evidencije pristupa; reference ustanova sa kontaktom koji se može pozvati; plan primopredaje i izlazna strategija. Provere posle ugovora, u kalendaru ustanove: mesečno: izveštaj o dostupnosti sa nezavisnog nadzora, izveštaj o ažuriranjima, provera da je poslednja kopija uspešna; kvartalno: pregled pristupa (ko ima nalog, da li još treba), pregled evidencije prijava, provera DNS i e-pošte (SPF/DKIM/DMARC), provera datuma obnove domena i sertifikata; godišnje: test oporavka sa merenim vremenom, vežba plana za incident, revizija ugovora i SLA, provera promena propisa; po događaju: promena izvođača, odlazak zaposlenog sa pristupom, incident. Rezultati provera se beleže; to je istovremeno i dokaz u nadzoru i osnova za odluku o produženju ugovora. Kako mi ove stavke organizujemo za ustanove, sa zapisnicima i izveštajima uključenim u održavanje, opisano je na stranici rešenja za javni sektor.
Najčešća pitanja o gov.rs domenu, hostingu i bezbednosti
Ko može da dobije gov.rs domen?
Organi i ustanove koje ispunjavaju uslove nadležne kancelarije za informacione tehnologije i elektronsku upravu, na zahtev i po njenim pravilima; ne registruje se preko komercijalnih registara. Javna preduzeća i mnoge ustanove koriste .rs domen preko ovlašćenog registra. Uslovi se menjaju, pa ih proverite kod nadležne kancelarije pre planiranja rokova.
Da li sajt ustanove mora da bude hostovan u Srbiji?
Zavisi od propisa koji važe za ustanovu i od podataka koje sajt obrađuje; za neke organe postoji obaveza korišćenja državne infrastrukture, za druge je lokacija stvar ugovora, zaštite podataka i praktičnosti. Odluku donosi pravna služba i IT na osnovu propisa, a lokacija se u svakom slučaju navodi u ugovoru i politici privatnosti.
Koliko često treba praviti kopije sajta ustanove?
Najmanje dnevno (fajlovi i baza), češće ako sajt prima prijave građana; čuvanje npr. 30 dnevnih i 12 mesečnih kopija, na drugoj lokaciji od servera, šifrovano. Važnije od učestalosti je test: kopija se vraća na probni server pre primopredaje i najmanje jednom godišnje, sa zapisnikom i izmerenim vremenom.
Šta ako domen glasi na bivšeg izvođača?
Tražite prenos registracije na ustanovu odmah, pisanim putem, uz pozivanje na ugovor; kod .rs domena registar ima postupak prenosa, kod gov.rs nadležna kancelarija. Dok se to ne reši, ne menjajte hosting ni DNS, jer izvođač kontroliše adresu. Ubuduće: domen na ustanovu je stavka u ugovoru i uslov za isplatu.
Šta ulazi u plan za incident?
Ko prvi reaguje (kontakt 24/7), ko odlučuje o gašenju sajta, kako se vraća kopija i za koliko, ko obaveštava rukovodstvo, građane i nadležne organe kad propis traži (uključujući Poverenika ako su ugroženi lični podaci), kako se sve dokumentuje. Plan se vežba najmanje jednom godišnje.
Pripremate nabavku hostinga i održavanja za sajt ustanove?
Pomažemo timu da napiše tehničke zahteve sa dokazima, uredi domen i pristupe na ustanovu i postavi plan kopija, oporavka i provera; a sajt održavamo sa zapisnicima koje možete pokazati.
