Un server administrat include actualizările, monitorizarea, backup-ul și intervenția la incident. Un server neadministrat îți dă mașina și accesul root, iar restul e treaba ta. Comparăm cine face fiecare sarcină, ce obligații legale rămân la tine și cât costă, de fapt, timpul intern.
| Criteriu | Server administrat | Server neadministrat |
|---|---|---|
| Actualizări de securitate | Aplicate de furnizor, după calendar | Aplicate de echipa ta |
| Monitorizare și alerte | Configurate și urmărite de furnizor | Le instalezi și le urmărești tu |
| Backup | Politică definită în contract | Scris, programat și verificat de tine |
| Test de restaurare | Inclus sau la cerere, după contract | Doar dacă îl planifici tu |
| Răspuns la incident | Intervine echipa furnizorului | Tu, inclusiv noaptea și în weekend |
| Hardening inițial | Profil standard aplicat la livrare | Pornești de la imaginea de bază |
| Libertate de configurare | Limitată de politicile furnizorului | Totală, cu acces root |
| Cost lunar pe factură | Mai mare | Mai mic |
| Cost ascuns | Mic | Orele interne de operare |
Termenul „administrat” nu are o definiție standard. Un furnizor înțelege prin el doar actualizarea sistemului de operare, altul include monitorizare 24/7, backup verificat și intervenție la incident. Înainte să semnezi, cere lista scrisă a sarcinilor și a termenelor de răspuns. Verifică dacă aplicația ta intră în perimetru sau doar sistemul de operare și serviciile de bază. Verifică și cine plătește restaurarea după o greșeală făcută de echipa ta. Un contract clar evită situația clasică: serverul e „administrat”, dar baza de date nu are backup, pentru că nimeni nu l-a cerut.
Un server neadministrat pare mai ieftin pe factură. Costul se mută însă în orele echipei tale. Actualizările lunare, verificarea alertelor, rotirea jurnalelor, reînnoirea certificatelor și testul de restaurare cer câteva ore pe lună chiar pe un singur server. La acestea se adaugă disponibilitatea: cineva trebuie să răspundă când serverul cade la ora 3 dimineața. Calculează orele reale pe lună, înmulțește-le cu costul intern pe oră și adaugă riscul unei opriri. Abia apoi compari rezultatul cu diferența de preț dintre cele două variante.
Art. 32 din GDPR cere operatorului măsuri tehnice potrivite riscului, inclusiv capacitatea de a restabili la timp accesul la date și testarea periodică a măsurilor. Obligația rămâne a ta chiar dacă furnizorul administrează serverul, așa că ai nevoie de un contract de prelucrare conform art. 28. Pentru entitățile esențiale și importante, NIS2 se aplică în România prin OUG 155/2024, aprobată prin Legea 124/2025, cu DNSC ca autoritate competentă. De aici vin și termene stricte de raportare a incidentelor. Un furnizor bun te ajută cu dovezi, dar nu semnează conformitatea în locul tău.
Între cele două extreme există un model mixt. Primești un server cu acces root, iar abonamentul include lunar un număr de ore de DevOps, CyberSecurity sau programare. Le folosești pentru hardening, configurarea backup-ului, un test de restaurare sau investigarea unei alerte. Modelul e util doar dacă îi știi limitele: orele sunt o cotă, nu o garanție de intervenție permanentă. Nu se reportează de la o lună la alta, iar ce depășește cota se facturează separat. Pentru operare continuă 24/7 îți trebuie tot un contract dedicat sau o echipă proprie.
Un magazin online cu câteva mii de comenzi pe lună păstrează date de facturare și adrese ale clienților. Fără administrator intern, varianta administrată reduce riscul ca un patch critic să rămână neaplicat săptămâni întregi. Contractul trebuie să includă backup zilnic al bazei de date și un test de restaurare trimestrial.
O echipă cu doi ingineri care folosesc Terraform și Ansible reconstruiește serverul din cod în mai puțin de o oră. Aici serverul neadministrat e alegerea logică: echipa controlează versiunile, iar un furnizor de administrare ar adăuga doar un intermediar.
O clinică păstrează date de sănătate, categorie specială în GDPR. Chiar cu un furnizor tehnic bun, clinica rămâne operator. Un server cu ore DevOps incluse poate acoperi hardening-ul și configurarea backup-ului, dar clinica trebuie să documenteze singură măsurile și să verifice periodic restaurarea.
Un server neadministrat vine cu hardware, rețea, sistem de operare instalat și acces root. Furnizorul răspunde de disponibilitatea mașinii și a rețelei. Actualizările, securitatea, backup-ul aplicației și răspunsul la incident sunt responsabilitatea clientului.
Nu complet. Orele incluse acoperă intervenții planificate: hardening, configurare de backup, un test de restaurare sau analiza unei alerte. Ele nu se reportează și nu garantează monitorizare permanentă. Pentru operare 24/7 ai nevoie de un contract dedicat sau de o echipă proprie.
Operatorul de date, adică firma ta, notifică ANSPDCP în cel mult 72 de ore de la constatarea breșei, conform art. 33 GDPR. Furnizorul, ca persoană împuternicită, trebuie să te anunțe fără întârzieri nejustificate. Contractul încheiat conform art. 28 stabilește cum se face asta.
Serverul administrat e varianta corectă dacă nu ai un om de operare dedicat; neadministratul merită doar dacă echipa ta face singură patch-uri, backup și răspuns la incident.
