Liikuge põhisisu juurde
FromNine
Menüü

Tarkvara ja pilv

Pilvealus, mis muudab väljalasked rutiiniks.

Ehitame pilvealuseid ja sisemisi arendusplatvorme, kus keskkonnad on kood, väljalasked on allkirjastatud ja korratavad ning igal kulutatud eurol on omanik.

Eesti organisatsioonidele, kellele kehtib küberturvalisuse seadus või DORA ja kes vajavad pilvealust, mis annab tõendid järelevalve jaoks.

Arutame teie projektiVaadake viitearhitektuuri
Pilve- ja platvormitehnika: võimekuste kihidNeli kihti üksteise taga. Ülevalt alla: tootemeeskondade töökoormused, sisemine arendusplatvorm, allkirjastatud tarnetorud ning alusena landing zone ehk pilve alusstruktuur koos identiteedi, võrgu ja reeglitega.01Tootemeeskondade töökoormused02Sisemine arendus­platvorm03Allkirjastatud tarnetorud04Landing zone ja reeglid
  1. 01Landing zone’id, kus reeglid on koodina ja andmete asukoht määratakse töökoormuse kaupa
  2. 02Standardrajad (golden paths), mis viivad uue teenuse korratavalt tootmisse
  3. 03SLO-d, testitud taastamine ja kulu toote kaupa, nähtavad neile, kes otsustavad

01 Probleemid

Märgid, et alus hoiab teid tagasi

  1. 01

    Iga keskkond on erinev

    Test- ja tootmiskeskkond erinevad viisil, mida keegi pole kirja pannud, ning konsoolis käsitsi tehtud parandused kaovad järgmisel ümberehitusel.

  2. 02

    Väljalase vajab koosolekut

    Paigaldused on harvad, käsitsi ja õhtusel ajal. Meeskonnad koguvad muudatusi kokku, mis teeb iga väljalaske riskantsemaks.

  3. 03

    Pilvearve üllatab kõiki

    Kulud on nähtavad tellimuse, mitte toote kaupa. TI-töö GPU-võimsuse broneerib see, kes esimesena küsis.

  4. 04

    Keegi ei tea, kas taastamine töötab

    Varukoopiad on olemas. Taastamist pole testitud ning taasteaja ja andmekao eesmärke pole äripoolega kokku lepitud.

02 Mida tarnime

Mida tarnime

  1. 01 Landing zone’id ja suveräänsuse valikud

    Kontode ja tellimuste struktuur, identiteet, võrk ja piirangud suurte pilveteenuse pakkujate ja ELi suveräänse pilve pakkumiste peal, reeglid koodina ja andmete asukoht töökoormuse kaupa.

    Mida teeme

    • Organisatsiooni, halduse gruppide ja kontode kavandamine
    • Keskvõrk, väljuva liikluse kontroll ja privaatühendused
    • Reeglid koodina andmete asukoha, krüpteerimise ja märgendamise jaoks
    • Vastavus nendele turvakinnitustele, mida teie ostjad küsivad, ka teistes ELi riikides

    Mida saate

    • Täielikult koodina defineeritud landing zone
    • Reeglite teek koos erandite protsessiga
    • Suveräänsuse valikute analüüs töökoormuse klassi kaupa

  2. 02 Taristu koodina ja sisemised arendusplatvormid

    Terraform või OpenTofu ja Bicep taristu jaoks, GitOps paigalduste jaoks, Kubernetes või hallatud käituskeskkonnad seal, kus need sobivad, ning standardrajad, et meeskond saaks nõuetele vastava teenuse käivitada ilma piletit esitamata.

    Mida teeme

    • Taristu koodina mooduliteek
    • GitOps koos keskkondade edutamisega
    • Kubernetese platvorm või hallatud alternatiivid
    • Teenusemallid ja arendajaportaal

    Mida saate

    • Sisemine arendusplatvorm standardradadega
    • Iseteeninduslikud keskkonnad
    • Platvormi teekaart, mille omanik on platvormimeeskond

  3. 03 Tarnetorud ja tarneahela turve

    Tarnetorud, mis ehitavad ühe korra, allkirjastavad artefaktid, salvestavad päritolu SLSA järgi, haldavad saladusi korrektselt ja edutavad sama artefakti testist tootmisse.

    Mida teeme

    • Tarnetoru mallid kvaliteedi- ja turvaväravatega
    • Artefaktide allkirjastamine ja päritolu kinnitamine
    • Saladuste haldus ja võtmete roteerimine
    • Edutamisreeglid ja muudatuste kirjed

    Mida saate

    • Korduvkasutatavad tarnetoru mallid
    • Allkirjastatud artefaktid kontrollitava päritoluga
    • Väljalaske tõendid muudatuste halduse jaoks

  4. 04 Jälgitavus ja SRE

    Äripoolega kokku lepitud teenustaseme eesmärgid (SLO), veaeelarved, mis suunavad väljalasketempot, OpenTelemetry kogu lahenduses ja intsidendiprotsess, mis teenib ka küberturvalisuse seaduse ja DORA teavitamiskohustusi, kus need kehtivad.

    Mida teeme

    • SLO-de määratlemine koos teenuseomanikega
    • OpenTelemetry instrumenteerimine ja töölauad
    • Häired sümptomite, mitte põhjuste kohta
    • Intsidendihaldus ja intsidendijärgsed ülevaatused

    Mida saate

    • SLO-de kataloog
    • Jälgitavuse lahendus ja töölauad
    • Intsidendi- ja teavitamisjuhised

  5. 05 FinOps ja TI-võimsus

    Kulude jaotamine toote ja meeskonna kaupa, ühikukulu näitajad nagu ühe tehingu kulu ning GPU-võimsuse planeerimine ja kulukontroll TI-töökoormustele.

    Mida teeme

    • Märgendamise poliitika ja jaotusmudel
    • Ühikukulu mõõdikud toote kaupa
    • Kohustuste ja reserveeringute planeerimine
    • GPU ajastamine, kvoodid ja õige suuruse valik

    Mida saate

    • Kulude töölauad tooteomaniku kaupa
    • Säästude järjekord koos omanikega
    • TI-võimsuse plaan

  6. 06 Taastamine ja väljumine

    Varundus ja avariitaaste selgete taasteaja ja taastepunkti eesmärkidega, mida testitakse ajakava järgi, ning väljumisstrateegia, mis kasutab ELi andmemääruse teenusepakkuja vahetamise õigusi.

    Mida teeme

    • RTO ja RPO kokkulepe teenuse kaupa
    • Taastamise ja ümberlülituse testid
    • Kriitiliste teenuste sõltuvuste kaardistamine
    • Väljumisplaan ja andmete ülekantavuse kontrollid

    Mida saate

    • Testitud taastamiskorrad
    • Taastetestide aruanded
    • Dokumenteeritud väljumisstrateegia

03 Arhitektuur

Illustreeriv viitearhitektuur

Vasakul siseneb kood ja paremal väljuvad töötavad töökoormused. Vahepeal allkirjastab tarnetoru selle, mida ehitab, register hoiab ainult allkirjastatud artefakte ja GitOps-kontroller edutab neid reeglite järgi keskkondade kaudu.

All asub landing zone: organisatsiooni struktuur, identiteet, võrk, võtmed, taastamine ja kulukontrollid, mis on defineeritud üks kord koodina ja mida kasutavad kõik tootemeeskonnad.

Joonise kihid

Tarne
Repositooriumid, tarnetorud, allkirjastatud artefaktid ja GitOps-edutamine.
Platvorm
Arendusplatvorm, reeglid koodina ja käituskeskkond, kuhu tootemeeskonnad paigaldavad.
Landing zone
Organisatsioon, identiteet, võrk, võtmed, taastamine ja FinOpsi kontrollid.
Käitamine
Telemeetria, SLO-d, veaeelarved ja intsidentidele reageerimine kõige selle ulatuses.
Illustreeriv näide

  1. Tarne

    • Koodi ja IaC repositooriumid
    • Ehitus, allkiri, kinnitus
    • Allkirjastatud artefaktide register
    • GitOps-edutamine

  2. Platvorm

    • Arendusplatvorm ja standardrajad
    • Reeglid koodina
    • Kubernetes ja hallatud teenused
    • Tootemeeskondade töökoormused

  3. Landing zone

    • Halduse struktuur
    • Identiteet ja juurdepääs
    • Keskvõrk ja väljuv liiklus
    • Võtmed ja saladused
    • Varundus ja taastamine
    • Kulude jaotamine

  4. Käitamine

    • OpenTelemetry, SLO-d ja veaeelarved, intsidentidele reageerimine
Allkirjastatud tarne reeglitega juhitud landing zone’ile

Illustreeriv arhitektuur, mitte kliendi süsteem.

Lugege joonist tekstina

Põhitee kulgeb koodi ja taristu repositooriumidest tarnetorude kaudu, mis ehitavad, allkirjastavad ja kinnitavad, artefaktiregistrisse, seejärel GitOps-kontrollerisse ja lõpuks tootemeeskondade töökoormuste harudesse.

Sisemine arendusplatvorm pakub tarnetorudeni viivaid standardradu. Reeglid koodina piiravad GitOps-kontrollerit. Kubernetese ja hallatud teenustega käitusplatvorm majutab töökoormusi. Kliendi hallatud võtmed annavad sisendi reeglite kihile.

Allpool olev landing zone sisaldab halduse struktuuri, identiteedi ja juurdepääsu, keskvõrgu, võtmed, varunduse ja taastamise ning FinOpsi kontrollid. Jälgitavus koos SLO-de ja intsidentidele reageerimisega katab kogu platvormi.

04 Kaalutlused ja piirangud

Tehnilised kaalutlused ja piirangud

  • Suveräänsus on skaala

    Kuidas me seda lahendame

    Klassifitseerime töökoormused tundlikkuse järgi ja sobitame iga klassi valikuga: suure pilveteenuse pakkuja ELi regioonid, suveräänse pilve pakkumine või privaattaristu. Kompromissid funktsioonides, kulus ja käituses pannakse kirja.

    Piirangud ja sõltuvused

    Suveräänsetes pakkumistes jäävad hallatud teenused, sealhulgas TI-teenused, sageli maha. Mõni töökoormus maksab seal rohkem või teeb vähem ja see on äriline valik.

  • Platvorm vajab tooteomanikku

    Kuidas me seda lahendame

    Käsitleme sisemist platvormi tootena, millel on kasutajad, teekaart ja tagasisideahelad, ning aitame teil luua meeskonna, mis seda käitab.

    Piirangud ja sõltuvused

    Meeskonnata platvormist saab pudelikael. Kui te ei saa seda komplekteerida, soovitame hallatud teenuseid ja vähem abstraktsioone.

  • Regulatsioon kujundab käitust

    Kuidas me seda lahendame

    Intsidentide klassifitseerimine, teavitamise tähtajad ja tõendite kogumine ehitatakse intsidendiprotsessi sisse, kui teile kehtib küberturvalisuse seadus või DORA.

    Piirangud ja sõltuvused

    Kas kuulute kohaldamisalasse ja kuidas küberturvalisuse seadus teile kehtib, jääb teie vastavus- ja õigusmeeskonna otsustada.

  • Kulukontroll on ühine

    Kuidas me seda lahendame

    Teeme kulu nähtavaks toote kaupa ja lisame piirangud, nagu eelarved, kvoodid ja jõudeolevate keskkondade ajastatud väljalülitamine.

    Piirangud ja sõltuvused

    Suurimad säästud tulevad tavaliselt arhitektuuri- ja kasutusotsustest, mida teevad tooteomanikud, mitte ainult platvormist.

05 Kuidas töötame

Kuidas töötame

Kõigepealt alused, siis üks meeskond standardrajal, siis kõik ülejäänud.

  1. 01

    Hindamine ja klassifitseerimine

    Töökoormused, andmete tundlikkus, praegused kulud ja kontrollid, mida teie audiitorid ootavad.

    TulemusTöökoormuste klassifikatsioon ja sihtvalikud

  2. 02

    Landing zone’i ehitamine

    Kõik koodina, üle vaadatud koos turvameeskonnaga, erandite protsessiga.

    TulemusLanding zone tootmises

  3. 03

    Esimese meeskonna liitmine

    Üks tootemeeskond liigub standardrajale; nende takistused kujundavad platvormi.

    TulemusEsimene teenus platvormil

  4. 04

    Laiendamine ja üleandmine

    Liituvad uued meeskonnad, platvormimeeskond võtab vastutuse ja taastamist testitakse ajakava järgi.

    TulemusPlatvormi teekaart ja taastetestide aruanded

06 Inimese kontroll

Kus inimesed jäävad otsustajaks

Automaatika käitab platvormi. Inimesed vastutavad otsuste eest, millel on risk või kulu.

  • Tootmise muudatused on jälgitavad

    Iga tootmise muudatus tuleb üle vaadatud commit’ist, nii et kes mida muutis ja kes selle kinnitas, on alati kirjas.

  • Hädajuurdepääs on harv ja logitud

    Hädajuurdepääs on ajaliselt piiratud, vajab põhjendust ja vaadatakse hiljem üle.

  • Reeglite eranditel on omanik

    Kui töökoormus vajab piirangust erandit, kinnitab selle nimetatud riskiomanik koos aegumiskuupäevaga.

  • Teenuseomanikud seavad eesmärgid

    Taastamise eesmärgid ja teenustasemed lepitakse kokku iga teenuse äripoolse omanikuga, platvormimeeskond ei sea neid üksi.

07 Tehnoloogiad

Tehnoloogiad, millega töötame

Pilv
  • Microsoft Azure
  • Amazon Web Services
  • Google Cloud
  • ELi suveräänse pilve pakkumised
Taristu ja tarne
  • Terraform ja OpenTofu
  • Bicep
  • Argo CD ja Flux
  • GitHub Actions, GitLab CI ja Azure DevOps
Käituskeskkond
  • Kubernetes ja hallatud variandid
  • Serverivabad ja konteineriplatvormid
  • Teenusvõrk (service mesh), kus see end ära tasub
  • GPU-sõlmede kogumid TI-töökoormustele
Käitamine
  • OpenTelemetry
  • Prometheus ja Grafana
  • Pilvepõhine seire
  • Reeglimootorid nagu OPA

Tehnoloogia loetelu kirjeldab meie inseneride kogemust. See ei tähenda partnerlust tootjaga ega tootja heakskiitu.

08 Näide

Illustreeriv näide

Illustreeriv näide

Ühtne landing zone vee-ettevõttele, kellele kehtib küberturvalisuse seadus

01Olukord
Vee-ettevõte on koos oma juristidega hinnanud, et kuulub küberturvalisuse seaduse kohaldamisalasse. Süsteemid on kahes serveriruumis ja ühes pilvekeskkonnas eri kontrollidega, logid on laiali ja tõendid järelevalve jaoks kogutakse käsitsi.
02Mida me ehitaksime
Üks koodina defineeritud landing zone, reeglite kogumid töökoormuse klassi kaupa, keskne logimine ning intsidendiprotsess, mis klassifitseerib intsidendid ja valmistab ette teavituse RIA-le.
03Kus otsustavad inimesed
Infoturbejuht kinnitab reeglite erandid ja aegumiskuupäevad; juhatus kinnitab taastamise eesmärgid kriitilistele teenustele.
04Mida me mõõdaksime
Aeg intsidendi avastamisest klassifitseerimiseni, reeglite all olevate töökoormuste osakaal ja kvartalis läbitud taastetestid.

09 Valdkondade vaade

Teie valdkonnas

  • Avalik sektor

    Suveräänsuse valikud andmeklassi kaupa, küberturvalisuse seaduse ja hankija tehnilise kirjelduse nõuded ning väljumisplaanid, mis peavad vastu ka järgmisele hankele.

  • Finantsteenused

    Tegevuskerksus DORA järgi: testitud taastamine, kolmandast isikust IKT-teenuste osutajate järelevalve ja intsidentidest teavitamine on käituse sisse ehitatud.

Eesti

Tõendid üks kord, iga järelevalve jaoks

NIS2 on üks direktiiv, mille riiklikud ülevõtmised erinevad ulatuse, registreerimise ja teavitamise detailide poolest. Eestis võttis selle üle küberturvalisuse seaduse (KüTS) muudatus, mis jõustus 1. jaanuaril 2026. Pädev asutus ja ühtne kontaktpunkt on Riigi Infosüsteemi Amet (RIA), mille juures tegutseb CERT-EE; kohaldamisalasse kuuluvad üksused registreerivad end RIA juures ise.

Finantssektori ettevõtjatele lisandub DORA oma intsidentidest teavitamise ja kolmandast isikust IKT-teenuste osutajate järelevalvega; DORA nõuete täitmise üle teeb Eestis järelevalvet Finantsinspektsioon. Kavandame landing zone’id, kus andmete asukoht, logimine ja intsidentide klassifitseerimine on reeglid, mitte projektid, nii et uus üksus või riik liidetakse konfiguratsiooniga. Väljumisplaanid tuginevad ELi andmemääruse vahetamisõigustele ning neid testitakse, mitte ainult ei kirjutata.

Küsimused pilve- ja platvormitehnika kohta

Millist pilveteenuse pakkujat soovitate?

Seda, mis sobib teie töökoormuste, olemasolevate lepingute ja suveräänsusnõuetega. Töötame suurte pilveteenuse pakkujate ja ELi suveräänsete pakkumistega ning dokumenteerime kompromissid, et valikut saaks hankes kaitsta ja hiljem üle vaadata.

Kas vajame Kubernetest?

Mitte alati. Kubernetes tasub end ära, kui käitate palju teenuseid ja teil on meeskond platvormi käitamiseks. Mõne teenuse jaoks on hallatud konteineri- või serverivabad platvormid sageli lihtsamad ja odavamad.

Kuidas turvet käsitlete?

Turve on ehitatud landing zone’i ja tarnetorudesse: minimaalsete õigustega identiteet, reeglid koodina, allkirjastatud artefaktid ja saladused, mis ei ole kunagi koodis. FromNine’il endal on infoturbe halduse ISO/IEC 27001 sertifikaat.

Kas saate meie pilvekulusid vähendada?

Tavaliselt jah, kuid me ei luba protsenti enne, kui oleme andmeid näinud. Alustame kulu nähtavaks tegemisest toote kaupa ja liigume siis läbi säästude järjekorra koos omanikega, kes saavad tegutseda.

Kuidas vältida lukustumist?

Valides teadlikult, kus sõltuda teenusepakkuja spetsiifilistest teenustest, hoides taristu koodina ning hallates dokumenteeritud ja testitud väljumisplaani. ELi andmemäärus tugevdab teie õigust teenusepakkujat vahetada; väljumisplaan teeb selle õiguse kasutatavaks.

Näidake meile oma järgmist kolme väljalaset

Ütleme, mis teeks need rutiinseks ning mida maksaks sellise aluse ehitamine ja käitamine.

Arutame teie projektiArhitektuur ja nõustamine