En hybrid løsning kan godt være et varigt valg, hvor følsomme data og kritiske systemer ligger hos jer selv eller hos en europæisk udbyder, mens det, der skal kunne vokse hurtigt, ligger hos en af de store amerikanske cloududbydere, ofte kaldt hyperscalere. Det holder, når grænsen mellem de to sider er tegnet efter data, og når den kan dokumenteres og overholdes i driften.
Hybrid kan også være et mellemtrin på vej fra ét sted til et andet. Her handler det om hybrid som en tilstand, I vælger at blive i. Hvordan to driftsmodeller lever sammen i hverdagen, står i Hybrid cloud. Denne artikel handler om, hvor grænsen skal gå, og hvordan den holdes.
Hvad hybrid betyder
Det amerikanske standardiseringsinstitut NIST definerede i 2011 hybrid cloud som to eller flere adskilte cloudinfrastrukturer, private, fælles eller offentlige, der forbliver selvstændige, men er bundet sammen af teknologi, der gør det muligt at flytte data og programmer mellem dem. Definitionen er gammel og amerikansk, og den bruges her som begreb.
Det vigtige i definitionen er ordet selvstændige. De to sider skal kunne fungere hver for sig. Er den ene afhængig af den anden for at køre, er det én platform med to adresser.
Grænsen tegnes efter data
Grænsen skal gå mellem klasser af data. Begynd med at inddele jeres data i klasser efter, hvor følsomme de er, og hvilke krav der gælder for dem: kundekrav, persondata, forretningshemmeligheder, regulerede data og data uden særlige krav.
For hver klasse bestemmer I, hvilken side den hører til. Den følsomme side kan være jeres eget datacenter, colocation eller en europæisk udbyder. Skalasiden er den store cloud, hvor I bruger elasticitet, færdige tjenester og global rækkevidde. Systemerne placeres efter de data, de behandler.
Et system, der behandler data fra begge klasser, er det svære tilfælde. Det skal enten deles op, så den følsomme del står på den følsomme side, eller placeres på den følsomme side i sin helhed.
Det, der skal holdes adskilt
Data og kopier. Følsomme data må ikke dukke op på skalasiden som kopier, logfiler, cache eller testdata. Her kan en grænse brydes i praksis, fordi det kan ske, uden at nogen har besluttet det.
Identitet. Hvem der kan logge ind på den følsomme side, må ikke afhænge af en tjeneste på skalasiden, hvis grænsen skal betyde noget. Se Fra Azure til en europæisk udbyder om identitet, der bliver hos en stor udbyder.
Nøgler. Nøgler til den følsomme side skal ligge på den følsomme side.
Overvågning og logning. Logs fra den følsomme side kan indeholde følsomme data. Sendes de til et overvågningsværktøj på skalasiden, krydser data grænsen. Se Overvågning og logs.
Netværk. Forbindelserne mellem siderne skal være kendte, begrænsede og logget. Hver forbindelse er en vej, data kan tage.
Trafikken mellem siderne
Et hybridt miljø sender data frem og tilbage. Data Act (dataforordningen) har en særlig regel for den situation. Efter art. 34 gælder en række af skiftereglerne tilsvarende, når en kunde bruger flere udbydere parallelt, og her må udbyderen fortsat lade kunden betale for udgående trafik, dog højst det, trafikken koster udbyderen. Det kommende forbud mod skiftegebyrer i januar 2027 rammer skift og lader den betaling bestå. Trafikken mellem siderne er derfor en varig post i en hybrid og skal med i regnestykket.
Arkitekturen kan holde posten nede. Systemer, der udveksler meget data, skal stå på samme side. Det er en grund mere til at tegne grænsen efter data.
Spørgsmål, en revision kan stille
Vi har ikke fundet en kilde, der beskriver, hvad en revisor eller et tilsyn vil spørge om ved en hybrid. Spørgsmålene her er vores egne, og I kan bruge dem til at teste jeres egen dokumentation.
Hvor står det skrevet, hvilke data der hører til hvilken side? Hvordan sikrer I, at følsomme data ikke ender på skalasiden? Hvem har adgang til den følsomme side, og hvordan er den adgang uafhængig af skalasiden? Hvordan opdager I, hvis grænsen brydes? Og hvornår blev grænsen sidst kontrolleret?
Hvad det kræver, og hvad det koster at lade være
En hybrid som varigt valg kræver en dataklassifikation, en beskrevet grænse, to sæt driftsrutiner og løbende kontrol. Klassifikationen og grænsen tager nogle uger at lave for et mellemstort miljø. Kontrollen er en fast opgave, fx hvert kvartal, og den kræver værktøjer, der kan finde data, hvor de ikke burde være.
Prisen for hybrid er dobbelt drift, dobbelt kompetence og trafik mellem siderne. Gevinsten er, at hver klasse af data ligger det sted, der passer til den, uden at alt skal flyttes. Lader I grænsen være utegnet, glider data over den, og hybriden ender som to platforme, der begge rummer det følsomme. Så har I dobbelt drift uden at have fået adskillelsen.
Det skal I lade være med
- At tegne grænsen efter teknologi · tegn den efter data, og placér systemerne derefter.
- At sende logs fra den følsomme side til skalasiden · de kan rumme de data, grænsen skulle beskytte.
- At glemme trafikken mellem siderne · udbyderen må fortsat dække sine omkostninger ved parallel brug.
Det skal valget kunne vise
- ☐ En dataklassifikation med en side for hver klasse.
- ☐ Identitet og nøgler for den følsomme side, uafhængige af skalasiden.
- ☐ Alle forbindelser mellem siderne, beskrevet og logget.
- ☐ En fast kontrol af, om grænsen holder.
Kilder
- NIST SP 800-145, The NIST Definition of Cloud Computing, september 2011.
- Forordning (EU) 2023/2854 (Data Act): art. 29 og 34.
Senest gennemgået: november 2026.
Næste skridt
Lav dataklassifikationen først. Uden den kan grænsen ikke tegnes.
Læs også: Parallel brug af flere udbydere · Udgående data
→ Kontakt · Tlf. 70 13 63 23 · Jurisdiktions- og afhængighedsvurdering hos Nielco IT
