Prijeđite na glavni sadržaj
FromNine
Izbornik

Inženjering

Cloud temelji na kojima su izdanja rutina.

Gradimo cloud temelje i interne razvojne platforme na kojima su okruženja kôd, izdanja potpisana i ponovljiva, a svaki potrošeni euro ima vlasnika.

Za tvrtke i javna tijela u Hrvatskoj koja moraju pokazati usklađenost sa Zakonom o kibernetičkoj sigurnosti ili DORA-om i cloud žele voditi kao jedan temelj.

Dogovorite razgovorReferentna arhitektura
Cloud i platformski inženjering: slojevi mogućnostiČetiri sloja složena u dubinu. Odozgo prema dolje: radna opterećenja produktnih timova, interna razvojna platforma, potpisani cjevovodi isporuke i landing zona s identitetom, mrežom i pravilima u temelju.01Opterećenja produktnih timova02Interna razvojna platforma03Potpisani cjevovodi isporuke04Landing zona i pravila
  1. 01Landing zone s pravilima kao kodom i lokacijom podataka određenom za svako radno opterećenje
  2. 02Standardizirani putovi (golden paths) koji novi servis ponovljivo dovode do produkcije
  3. 03Ciljevi razine usluge (SLO), testiran oporavak i trošak po proizvodu, vidljivi onima koji odlučuju

01 Problemi

Znakovi da vas temelj koči

  1. 01

    Svako okruženje je unikat

    Testno i produkcijsko okruženje razlikuju se na načine koje nitko nije zapisao, a ručni popravci u konzoli gube se pri sljedećoj ponovnoj izgradnji.

  2. 02

    Za izdanje treba sastanak

    Implementacije su rijetke, ručne i zakazane za večer. Timovi skupljaju promjene, pa je svako izdanje rizičnije.

  3. 03

    Račun za cloud iznenadi sve

    Troškovi su vidljivi po pretplati, a ne po proizvodu. GPU kapacitet za AI zauzima onaj tko ga je prvi zatražio.

  4. 04

    Nitko ne zna radi li oporavak

    Sigurnosne kopije postoje. Vraćanje nije testirano, a ciljevi vremena oporavka i gubitka podataka nikad nisu dogovoreni s poslovanjem.

02 Isporuke

Što isporučujemo

  1. 01 Landing zone i mogućnosti suverenosti

    Struktura računa i pretplata, identitet, mreža i zaštitna pravila kod velikih pružatelja cloud usluga i u ponudama suverenog clouda u EU-u, s pravilima kao kodom i lokacijom podataka za svako radno opterećenje.

    Što radimo

    • Dizajn organizacije, grupa za upravljanje i računa
    • Središnja mreža, kontrola izlaznog prometa i privatna povezivost
    • Pravila kao kôd za lokaciju podataka, šifriranje i označavanje
    • Usklađivanje s potvrdama i revizijskim zahtjevima koje traže vaši kupci i nadležna tijela

    Što dobivate

    • Landing zona u potpunosti definirana kodom
    • Knjižnica pravila s postupkom za iznimke
    • Analiza mogućnosti suverenosti za svaku klasu radnih opterećenja

  2. 02 Infrastruktura kao kôd i interne razvojne platforme

    Terraform ili OpenTofu i Bicep za infrastrukturu, GitOps za implementacije, Kubernetes ili upravljana okruženja za izvođenje gdje odgovaraju te standardizirani putovi kako bi tim mogao pokrenuti usklađen servis bez otvaranja zahtjeva.

    Što radimo

    • Knjižnica modula za infrastrukturu kao kôd
    • GitOps s promocijom kroz okruženja
    • Kubernetes platforma ili upravljane alternative
    • Predlošci servisa i portal za razvojne inženjere

    Što dobivate

    • Interna razvojna platforma sa standardiziranim putovima
    • Samoposlužna okruženja
    • Plan razvoja platforme u vlasništvu platformskog tima

  3. 03 Cjevovodi isporuke i sigurnost lanca opskrbe

    Cjevovodi koji jednom grade, potpisuju artefakte, bilježe podrijetlo u skladu sa SLSA-om, pravilno upravljaju tajnama i isti artefakt promoviraju od testa do produkcije.

    Što radimo

    • Predlošci cjevovoda s provjerama kvalitete i sigurnosti
    • Potpisivanje artefakata i potvrde o podrijetlu
    • Upravljanje tajnama i rotacija ključeva
    • Pravila promocije i zapisi o promjenama

    Što dobivate

    • Predlošci cjevovoda za ponovnu upotrebu
    • Potpisani artefakti s provjerljivim podrijetlom
    • Dokazi o izdanju za upravljanje promjenama

  4. 04 Nadzor rada i SRE

    Ciljevi razine usluge dogovoreni s poslovanjem, proračuni pogrešaka koji određuju tempo izdanja, OpenTelemetry kroz cijeli sustav i postupak za incidente koji služi i obvezama izvješćivanja prema Zakonu o kibernetičkoj sigurnosti i DORA-i, gdje se one primjenjuju.

    Što radimo

    • Definiranje SLO-ova s vlasnicima servisa
    • Instrumentacija s OpenTelemetryjem i nadzorne ploče
    • Upozorenja na simptome, a ne na uzroke
    • Upravljanje incidentima i pregledi nakon incidenta

    Što dobivate

    • Katalog SLO-ova
    • Sustav za nadzor rada i nadzorne ploče
    • Radni postupci za incidente i izvješćivanje

  5. 05 FinOps i kapacitet za AI

    Raspodjela troškova po proizvodu i timu, jedinični pokazatelji poput troška po transakciji te planiranje i kontrola troškova GPU kapaciteta za AI radna opterećenja.

    Što radimo

    • Pravila označavanja i model raspodjele
    • Jedinični troškovi za svaki proizvod
    • Planiranje obveza i rezervacija
    • Raspoređivanje GPU-ova, kvote i prilagodba veličine

    Što dobivate

    • Nadzorne ploče troškova za svakog vlasnika proizvoda
    • Popis ušteda s vlasnicima
    • Plan kapaciteta za AI

  6. 06 Oporavak i izlazak

    Sigurnosne kopije i oporavak od katastrofe s izričitim ciljevima vremena oporavka (RTO) i točke oporavka (RPO), redovito testirani, te izlazna strategija koja koristi pravo na promjenu pružatelja iz Akta o podacima.

    Što radimo

    • RTO i RPO dogovoreni za svaki servis
    • Testovi vraćanja i prebacivanja na pričuvni sustav
    • Mapiranje ovisnosti za kritične servise
    • Izlazni plan i provjere prenosivosti podataka

    Što dobivate

    • Testirani postupci oporavka
    • Izvješća o testovima oporavka
    • Dokumentirana izlazna strategija

03 Arhitektura

Ilustrativna referentna arhitektura

Kôd ulazi s lijeve strane, a radna opterećenja u radu izlaze s desne. Između toga cjevovod potpisuje ono što gradi, registar pohranjuje samo potpisane artefakte, a GitOps kontroler ih uz pravila promovira kroz okruženja.

Ispod se nalazi landing zona: organizacijska struktura, identitet, mreža, ključevi, oporavak i kontrole troškova, jednom definirani kodom i zajednički svim produktnim timovima.

Slojevi na crtežu

Isporuka
Repozitoriji, cjevovodi, potpisani artefakti i GitOps promocija.
Platforma
Razvojna platforma, pravila kao kôd i okruženje za izvođenje u koje produktni timovi implementiraju.
Landing zona
Organizacija, identitet, mreža, ključevi, oporavak i FinOps kontrole.
Rad
Telemetrija, SLO-ovi, proračuni pogrešaka i odgovor na incidente preko svega.
Ilustrativni primjer

  1. Isporuka

    • Repozitoriji koda i IaC-a
    • Izgradnja, potpis, potvrda
    • Registar potpisanih artefakata
    • GitOps promocija

  2. Platforma

    • Razvojna platforma i standardizirani putovi
    • Pravila kao kôd
    • Kubernetes i upravljani servisi
    • Opterećenja produktnih timova

  3. Landing zona

    • Struktura upravljanja
    • Identitet i pristup
    • Središnja mreža i izlaz
    • Ključevi i tajne
    • Kopije i oporavak
    • Raspodjela troškova

  4. Rad

    • OpenTelemetry, SLO-ovi i proračuni pogrešaka, odgovor na incidente
Potpisana isporuka na landing zonu pod pravilima

Ilustrativna arhitektura, a ne sustav klijenta.

Pročitajte dijagram kao tekst

Glavni put vodi od repozitorija koda i infrastrukture kroz cjevovode koji grade, potpisuju i potvrđuju podrijetlo, u registar artefakata, zatim do GitOps kontrolera i na kraju do radnih opterećenja produktnih timova.

Interna razvojna platforma daje standardizirane putove do cjevovoda. Pravila kao kôd ograničavaju GitOps kontroler. Platforma za izvođenje s Kubernetesom i upravljanim servisima pokreće radna opterećenja. Ključevi kojima upravlja klijent pune sloj pravila.

Landing zona ispod sadrži strukturu upravljanja, identitet i pristup, središnju mrežu, ključeve, sigurnosne kopije i oporavak te FinOps kontrole. Nadzor rada sa SLO-ovima i odgovorom na incidente proteže se preko cijele platforme.

04 Razmatranja i ograničenja

Inženjerska razmatranja i ograničenja

  • Suverenost je spektar

    Kako to rješavamo

    Radna opterećenja razvrstavamo prema osjetljivosti i svaku klasu povezujemo s mogućnošću: regije velikog pružatelja cloud usluga u EU-u, ponuda suverenog clouda ili privatna infrastruktura. Kompromise u funkcijama, trošku i radu zapisujemo.

    Ograničenja i ovisnosti

    Suverene ponude često zaostaju u upravljanim servisima, uključujući AI servise. Neka će radna opterećenja ondje stajati više ili nuditi manje, a to je poslovni izbor.

  • Platformi treba vlasnik proizvoda

    Kako to rješavamo

    Internu platformu tretiramo kao proizvod s korisnicima, planom razvoja i povratnim informacijama te vam pomažemo uspostaviti tim koji njome upravlja.

    Ograničenja i ovisnosti

    Platforma bez tima postaje usko grlo. Ako za nju ne možete osigurati ljude, preporučit ćemo upravljane servise i manje apstrakcija.

  • Propisi oblikuju rad

    Kako to rješavamo

    Klasifikacija incidenata, rokovi izvješćivanja i prikupljanje dokaza ugrađeni su u postupak za incidente ako se na vas primjenjuju Zakon o kibernetičkoj sigurnosti ili DORA.

    Ograničenja i ovisnosti

    Utvrđivanje jeste li obuhvaćeni i kako se na vas primjenjuju nacionalni propisi ostaje vašim timovima za usklađenost i pravne poslove.

  • Kontrola troškova je zajednička

    Kako to rješavamo

    Trošak činimo vidljivim po proizvodu i dodajemo zaštitna pravila kao što su proračuni, kvote i zakazano gašenje neaktivnih okruženja.

    Ograničenja i ovisnosti

    Najveće uštede obično dolaze iz odluka o arhitekturi i upotrebi koje donose vlasnici proizvoda, a ne samo iz platforme.

05 Kako radimo

Kako radimo

Najprije temelji, zatim jedan tim na standardiziranom putu, a onda svi ostali.

  1. 01

    Procjena i razvrstavanje

    Radna opterećenja, osjetljivost podataka, sadašnji troškovi i kontrole koje očekuju vaši revizori.

    RezultatKlasifikacija radnih opterećenja i ciljne mogućnosti

  2. 02

    Izgradnja landing zone

    Sve kao kôd, pregledano sa sigurnosnim timom, uz postupak za iznimke.

    RezultatLanding zona u produkciji

  3. 03

    Uključivanje pilot-tima

    Jedan produktni tim prelazi na standardizirani put; njegove poteškoće oblikuju platformu.

    RezultatPrvi servis na platformi

  4. 04

    Širenje i primopredaja

    Uključuje se više timova, platformski tim preuzima vlasništvo, a oporavak se redovito testira.

    RezultatPlan razvoja platforme i izvješća o testovima oporavka

06 Ljudski nadzor

Gdje ljudi zadržavaju kontrolu

Automatizacija pokreće platformu. Ljudi su vlasnici odluka koje nose rizik ili trošak.

  • Promjene u produkciji su sljedive

    Svaka promjena u produkciji dolazi iz pregledanog commita, pa je uvijek zabilježeno tko je što promijenio i tko je to odobrio.

  • Hitni pristup je rijedak i bilježi se

    Hitni pristup vremenski je ograničen, traži obrazloženje i naknadno se pregledava.

  • Iznimke od pravila imaju vlasnika

    Kad radnom opterećenju treba iznimka od zaštitnog pravila, odobrava je imenovani vlasnik rizika, uz datum isteka.

  • Vlasnici servisa određuju ciljeve

    Ciljevi oporavka i razine usluge dogovaraju se s poslovnim vlasnikom svakog servisa, a ne određuje ih samo platformski tim.

07 Tehnologije

Tehnologije s kojima radimo

Cloud
  • Microsoft Azure
  • Amazon Web Services
  • Google Cloud
  • Ponude suverenog clouda u EU-u
Infrastruktura i isporuka
  • Terraform i OpenTofu
  • Bicep
  • Argo CD i Flux
  • GitHub Actions, GitLab CI i Azure DevOps
Izvođenje
  • Kubernetes i upravljane inačice
  • Serverless i platforme za kontejnere
  • Service mesh gdje se isplati
  • GPU čvorovi za AI radna opterećenja
Rad
  • OpenTelemetry
  • Prometheus i Grafana
  • Nadzor izvorno u cloudu
  • Alati za pravila poput OPA-e

Navođenje tehnologije opisuje naše inženjersko iskustvo. Ne podrazumijeva partnerstvo s njezinim dobavljačem ni njegovu preporuku.

08 Primjer

Ilustrativni primjer

Ilustrativni primjer

Landing zona za subjekt obuhvaćen Zakonom o kibernetičkoj sigurnosti

01Polazište
Tvrtka za vodoopskrbu i odvodnju, na koju se primjenjuje Zakon o kibernetičkoj sigurnosti, vodi aplikacije u dva cloud okruženja i na vlastitim poslužiteljima, s različitim kontrolama. Dokaze za samoprocjenu ručno prikuplja iz više sustava, a sigurnosno stanje nitko ne može prikazati u jednom pogledu.
02Što bismo izgradili
Jedna landing zona u kodu sa skupovima pravila za svaku klasu radnih opterećenja, zajedničkim zapisivanjem i postupkom za incidente koji klasificira događaje i priprema podatke za izvješćivanje, uz dokaze za samoprocjenu koji se prikupljaju automatski.
03Gdje odlučuju ljudi
Voditelj informacijske sigurnosti odobrava iznimke od pravila i dokaze prije samoprocjene; uprava odlučuje o preostalim rizicima.
04Što bismo mjerili
Vrijeme od otkrivanja incidenta do klasifikacije, udio radnih opterećenja pod pravilima i broj uspješnih testova oporavka po tromjesečju.

09 Po sektorima

U vašem sektoru

  • Javni sektor

    Mogućnosti suverenosti za svaku klasu podataka, dokazi za Zakon o kibernetičkoj sigurnosti i izlazni planovi koji izdrže i sljedeći postupak javne nabave.

  • Financijske usluge

    Digitalna operativna otpornost prema DORA-i: testiran oporavak, nadzor trećih strana pružatelja IKT usluga i izvješćivanje o incidentima ugrađeno u svakodnevni rad.

Hrvatska

Dokazi jednom, za svako nadležno tijelo

U Hrvatskoj se Direktiva NIS 2 provodi Zakonom o kibernetičkoj sigurnosti (NN 14/2024), na snazi od 15. veljače 2024., i Uredbom o kibernetičkoj sigurnosti (NN 135/2024), koja uređuje pojedinosti nadzora i obveze samoprocjene. Nacionalni centar za kibernetičku sigurnost u sastavu Sigurnosno-obavještajne agencije (SOA) koordinira sektorska nadležna tijela.

Financijski subjekti uz to od 17. siječnja 2025. primjenjuju DORA-u, s vlastitim izvješćivanjem o incidentima i nadzorom trećih strana pružatelja IKT usluga. Nadležna tijela za njezinu provedbu u Hrvatskoj su Hrvatska narodna banka (HNB) i Hrvatska agencija za nadzor financijskih usluga (HANFA), svaka za svoje subjekte.

Projektiramo landing zone u kojima su lokacija podataka, zapisivanje i klasifikacija incidenata pravila, a ne projekti, pa se novo društvo ili nova djelatnost uključuje konfiguracijom. Izlazni planovi oslanjaju se na pravo na promjenu pružatelja iz Akta o podacima i testiraju se, a ne samo pišu.

Pitanja o cloudu i platformskom inženjeringu

Kojeg pružatelja cloud usluga preporučujete?

Onog koji odgovara vašim radnim opterećenjima, postojećim ugovorima i zahtjevima suverenosti. Radimo s velikim pružateljima cloud usluga i suverenim ponudama u EU-u te dokumentiramo kompromise, kako bi se izbor mogao obraniti u nabavi i kasnije preispitati.

Treba li nam Kubernetes?

Ne uvijek. Kubernetes se isplati kad pokrećete mnogo servisa i imate tim koji upravlja platformom. Za nekoliko servisa upravljane platforme za kontejnere ili serverless često su jednostavnije i jeftinije za rad.

Kako pristupate sigurnosti?

Sigurnost je ugrađena u landing zonu i cjevovode: identitet s najmanjim potrebnim ovlastima, pravila kao kôd, potpisani artefakti i tajne koje nikad nisu u kodu. Tvrtka FromNine ima certificirani sustav upravljanja informacijskom sigurnošću (ISO/IEC 27001).

Možete li smanjiti naše troškove clouda?

Obično možemo, ali ne obećavamo postotak prije nego što vidimo podatke. Počinjemo tako da trošak učinimo vidljivim po proizvodu, a zatim s vlasnicima koji mogu djelovati prolazimo kroz popis ušteda.

Kako izbjeći vezivanje uz pružatelja?

Promišljenim izborom mjesta na kojima ovisite o servisima određenog pružatelja, infrastrukturom u kodu te dokumentiranim i testiranim izlaznim planom. Akt o podacima jača vaše pravo na promjenu pružatelja; izlazni plan čini ga upotrebljivim.

Pokažite nam svoja sljedeća tri izdanja

Reći ćemo vam što bi ih učinilo rutinom i koliko bi stajalo izgraditi i voditi takav temelj.

Dogovorite razgovorArhitektura i savjetovanje