Karakteristike alata otvorenog koda

1. Uvod

Upotreba alata otvorenog koda u svakodnevnom radu donosi brojne prednosti od fleksibilnosti, transparentnosti, kontrole nad vlastitim podatkovnim okruženjem i posebno troškovne učinkovitosti. Kako bi se ti alati upotrebljavali sigurno i odgovorno, ključno je prije implementacije i upotrebe razumjeti njihove karakteristike vezane za zaštitu podataka, sigurnost i operativnu pouzdanost. U nastavku su objašnjeni najvažniji aspekti na koje treba obratiti pažnju kod procjene za upotrebu alata otvorenog koda.

Slika 10.: Karakteristike alata otvorenog koda

2. Sigurnost pristupa i autentifikacija korisnika (npr. višefaktorska autentifikacija)

Alati koji omogućuju pohranu, pristup ili obradu podataka moraju imati robusne mehanizme za zaštitu korisničkih računa. Višefaktorska autentifikacija (MFA) znatno smanjuje rizik od neovlaštenih pristupa, čak i ako su lozinke kompromitirane.

Što provjeriti prije upotrebe:

• podržava li alat LDAP, SSO ili MFA
• je li moguće ograničiti pristup ovisno o ulogama (RBAC)
• može li se pristup integrirati s postojećim sustavom identiteta (npr. Microsoft Entra, Google Workspace).

Primjer:

Ako alat kao što je Metabase ili CKAN nema podršku za MFA ili granularnu kontrolu pristupa, izložen je riziku od upada, osobito ako se primjenjuje u okruženju s više korisnika i osjetljivim podatcima.

3. Redovito ažuriranje i sigurnosne zakrpe

Open-source alati često imaju brzo rastuću zajednicu, ali nemaju uvijek profesionalnu podršku. Redovito održavanje (patch management) nužno je za sprječavanje iskorištavanja poznatih ranjivosti.

Što provjeriti:

• koliko često projekt objavljuje nove verzije
• ima li jasnu sigurnosnu politiku i registar poznatih ranjivosti (CVE)
• je li moguće automatizirati nadogradnje (npr. putem Dockera).

Primjer:

PostgreSQL redovito objavljuje sigurnosne nadogradnje – njihovo neprimjenjivanje može dovesti do ozbiljnih propusta poput SQL injection.

4. Revizijski tragovi i logiranje aktivnosti

Bez logova, nemoguće je pratiti tko je pristupio kojem podatku te kada je i što promijenio. U slučaju incidenta, revizijski trag omogućuje brzu reakciju i, ako je potrebno, digitalno-forenzičku analizu.

Što treba imati:

• detaljno logiranje aktivnosti korisnika (read/write/delete)
• audit log za administrativne aktivnosti
• mogućnost integracije s alatima za nadzor i SIEM sustavima.

Primjer:

DataHub i Atlas nude lineage i audit zapise koji su korisni u edukacijskim i znanstvenim ustanovama za praćenje izvora podataka i odgovornosti.

5. Politike pohrane, minimizacije i brisanja podataka

U kontekstu GDPR-a, ključno je pohranjivati samo one podatke koji su nužni i brisati ih kad više nisu potrebni. Alati trebaju podržavati postavljanje takvih pravila.

Potrebno je provjeriti:

• može li se definirati automatsko brisanje zastarjelih podataka
• ima li podršku za pseudonimizaciju ili anonimizaciju
• postoje li kontrole vidljivosti osjetljivih podataka.

Primjer:

CKAN omogućuje označavanje dataseta kao „privatni“, ali treba ručno postaviti mehanizme za brisanje, što zahtijeva dodatnu pažnju.

6. Edukacija korisnika o sigurnoj upotrebi i upravljanju podatcima

Najslabija je karika u svakom sigurnosnom sustavu – korisnik. Ako korisnici ne razumiju kako upotrebljavati alat na siguran način, ni najbolji tehnički sustav neće biti učinkovit.

Potrebno je provjeriti:

• ima li alat dobru dokumentaciju i upute za sigurnu upotrebu 
• postoje li dostupne edukacije, praktični videopriručnici ili vodiči
• može li se lako prilagoditi za edukaciju u školama odnosno na fakultetima.

Primjer:

Metabase je poznat po svojoj jednostavnosti i pristupačnoj edukaciji, što ga čini pogodnim za obrazovne ustanove bez jakih IT timova.

7. Ostali

Kompatibilnost i integracije

• provjeriti je li alat kompatibilan s drugim sustavima koje već upotrebljavate (npr. baze, autentifikacijski sustavi, SIEM alati)
• koliko je fleksibilan za proširenja i integraciju u postojeću infrastrukturu

Aktivnost zajednice i transparentnost razvoja

• aktivna zajednica znači brže ispravke bugova i veću pouzdanost
• otvoren pristup kodu omogućuje procjenu sigurnosnih ranjivosti i prilagodbu

Podrška za sukladnost (compliance)

• ima li alat mehanizme koji olakšavaju usklađenost s GDPR-om, FERPA-om (u SAD-u) ili lokalnim zakonima?
• omogućuje li izvoz evidencije ili izvješća za nadzorne organe

Zaključak

Prije nego što se bilo koji open-source alat uvede u svakodnevni rad – posebno u kontekstu obrazovnih ustanova ili organizacija koje rukuju osjetljivim podatcima – nužno je procijeniti sve navedene aspekte. Time se ne osigurava samo tehnička sigurnost, nego i pravna sukladnost, operativna učinkovitost i dugoročno povjerenje korisnika.