ענן פרטי הוא תשתית ענן שמוקצית לארגון אחד בלבד, והיא יכולה לשבת אצלו, אצל ספק או בניהול חברה חיצונית. ענן פרטי וענן ציבורי נבדלים בשאלה של מי התשתית. בענן ציבורי העסק שוכר משאבי מחשוב על תשתית שספק הענן מפעיל עבור לקוחות רבים, ומשלם לפי שימוש. בענן פרטי התשתית מוקצית לארגון אחד בלבד, אצלו או אצל ספק, והוא מקבל שליטה רחבה יותר בתצורה ובמיקום הנתונים, בעלות קבועה גבוהה יותר. ענן היברידי משלב בין השניים. ההכרעה תלויה ברגישות המידע, באופי העומסים וביכולת של העסק לנהל את הסביבה.
| מאפיין | ענן ציבורי | ענן פרטי |
|---|---|---|
| מי משתמש בתשתית | לקוחות רבים, בהפרדה לוגית | ארגון אחד בלבד |
| מודל העלות | תשלום לפי שימוש, כמעט בלי השקעה מראש | עלות קבועה לתשתית מוקצית, גם כשהיא לא מנוצלת במלואה |
| הרחבת משאבים | מיידית, בהיקף שכמעט אינו מוגבל | מוגבלת לחומרה שהוקצתה, הרחבה דורשת תכנון |
| שליטה בתצורה | בגבולות השירותים שהספק מציע | רחבה, כולל שכבת הווירטואליזציה והרשת |
| מי מתחזק את התשתית | הספק | הארגון או ספק שירות מנוהל מטעמו |
עיקרי הדברים
- לפי NIST, ענן פרטי מוקצה לשימוש בלעדי של ארגון אחד ויכול להיות בבעלותו או בניהול צד שלישי, במשרדיו או מחוצה להם, ואילו ענן ציבורי פתוח לשימוש הציבור הרחב וממוקם אצל הספק.
- ענן פרטי אינו בהכרח שרתים במשרד: ספקים רבים מציעים ענן פרטי מאורח בחוות השרתים שלהם.
- ענן פרטי אינו בטוח יותר באופן אוטומטי. רוב האירועים נובעים מהגדרות שגויות והרשאות, ובכל מודל הנתונים והחשבונות נשארים באחריות העסק.
- Google, AWS ו-Microsoft מפעילות אזורי ענן בישראל, ולכן מיקום הנתונים בישראל אינו סיבה מספקת לבחור בענן פרטי.
- עסקים רבים מגיעים בסוף לענן היברידי, כשלכל צד יש סיבה מוגדרת.
העמוד הזה מתמקד בהיבט אחד של הנושא. את התמונה המלאה, כולל סוגי השירותים והספקים, תמצאו במדריך שירותי ענן לעסקים. המדריך מיועד למנהלי מערכות מידע ולבעלי עסקים שצריכים לבחור מודל ענן. הוא עוסק בהבדלים המהותיים, בחלוקת האחריות לאבטחה, במיקום הנתונים בישראל ובשאלות שכדאי לשאול לפני שמתחייבים.
מה ההבדל בין ענן ציבורי, ענן פרטי וענן היברידי?
ההגדרות המקובלות בתעשייה מבוססות על הגדרת מחשוב הענן של NIST (SP 800-145), שמבחינה בין ארבעה מודלי פריסה:
- ענן ציבורי: תשתית שפתוחה לשימוש הציבור הרחב וממוקמת אצל ספק הענן, שמפעיל אותה ומחלק את המשאבים בין לקוחות רבים.
- ענן פרטי: תשתית שמוקצית לשימוש בלעדי של ארגון אחד. היא יכולה להיות בבעלות הארגון, בניהול צד שלישי או בשילוב, ויכולה לשבת בחדר השרתים של הארגון או אצל ספק.
- ענן קהילתי: תשתית משותפת לקבוצת ארגונים עם דרישות דומות, למשל אבטחה או רגולציה.
- ענן היברידי: שילוב של שתי תשתיות ענן נפרדות או יותר, שמחוברות כך שאפשר להעביר ביניהן נתונים ויישומים.
נקודה שמבלבלת עסקים רבים: ענן פרטי אינו בהכרח שרתים במשרד. ספקים רבים מציעים ענן פרטי מאורח, שבו החומרה יושבת בחוות השרתים של הספק אבל מוקצית ללקוח אחד. ההבדל מענן ציבורי הוא בבלעדיות המשאבים ובמידת השליטה, לא במיקום הפיזי. מודל הפריסה אינו מודל השירות: תשתית כשירות, פלטפורמה כשירות ותוכנה כשירות יכולות לפעול בענן ציבורי או בענן פרטי, וההגדרה הכללית שלהן מוסברת בעמוד נפרד של האתר.
ההשוואה מציגה שלושה מודלי ענן לפי מי שמשתמש בתשתית, רמת השליטה ומבנה העלות. בענן ציבורי לקוחות רבים חולקים את אותה תשתית בהפרדה לוגית, השליטה מוגבלת להגדרות שהספק מאפשר והתשלום לפי שימוש או מנוי; בענן פרטי התשתית משרתת ארגון אחד, אצלו או אצל ספק, השליטה בתצורה ובמיקום הנתונים רחבה יותר והעלות קבועה וגבוהה יותר. ענן היברידי שומר נתונים רגישים בפרטי ועומסים גמישים בציבורי, והעלות משתנה לפי חלוקת העומסים. בכל מודל הלקוח נשאר אחראי על הנתונים, החשבונות וניהול ההרשאות.
אילו סוגי ענן פרטי קיימים ומה ההבדל ביניהם?
בפועל נפוצים שלושה מבנים, והם נבדלים במי מחזיק את החומרה ומי מפעיל אותה:
- ענן פרטי מקומי: החומרה בחדר השרתים של הארגון, והצוות שלו מפעיל הכול. זו השליטה המלאה ביותר, ואיתה אחריות מלאה על חשמל, קירור, גיבוי ותחזוקה.
- ענן פרטי מאורח: חומרה שמוקצית לארגון אחד בחוות שרתים של ספק. הספק מחזיק את המתקן ואת החומרה, ומי שמפעיל את הסביבה הווירטואלית נקבע בהסכם.
- ענן פרטי מנוהל: כמו המאורח, אבל הספק מפעיל גם את שכבת הווירטואליזציה, את העדכונים ואת הניטור.
מעל החומרה יושבות שלוש שכבות שכדאי לשאול עליהן בהצעה: שכבת הווירטואליזציה (Hypervisor) שמריצה את השרתים הווירטואליים, האחסון שהשרתים נשענים עליו, והרשת הפנימית שמפרידה בין הסביבות. הרישוי בענן בנוי בשכבות, ולכן שואלים אילו רישיונות כלולים במחיר, ומי משלם על חידושם: מערכת ההפעלה, הגישה של המשתמשים לשולחן עבודה מרוחק והתוכנות של צד שלישי.
מי אחראי על אבטחת המידע בענן ציבורי ובענן פרטי?
בענן ציבורי האחריות מתחלקת בין הספק ללקוח, לפי מודל האחריות המשותפת. לפי המסמך של Microsoft, הספק אחראי על חוות השרתים, על הרשת הפיזית ועל השרתים הפיזיים. הלקוח נשאר אחראי בכל מודל על הנתונים, על חשבונות המשתמשים, על ניהול ההרשאות ועל המחשבים והטלפונים שמתחברים לשירות. בתשתית כשירות הלקוח אחראי גם על מערכת ההפעלה, על היישומים ועל בקרות הרשת.
בענן פרטי שהארגון מפעיל בעצמו, כל השכבות באחריותו. בענן פרטי מאורח או מנוהל, החלוקה נקבעת בחוזה, ולכן חשוב לקבל אותה בכתב: מי מעדכן את שכבת הווירטואליזציה, מי מנטר, מי מגבה ומי מגיב לאירוע אבטחה. הנחיות והמלצות להגנת סייבר בארגונים מפרסם מערך הסייבר הלאומי.
האם ענן פרטי בטוח יותר מענן ציבורי?
לא באופן אוטומטי. ענן פרטי מבטל את השיתוף של חומרה עם לקוחות אחרים ומאפשר להגדיר רשת מבודדת לחלוטין, וזה יתרון ממשי למידע רגיש. מנגד, ספקי הענן הציבורי הגדולים משקיעים בניטור, בהצפנה ובכלי ניהול זהויות ברמה שארגון בינוני מתקשה לשחזר בעצמו.
בפועל, אירועי אבטחת מידע בענן נובעים לעיתים קרובות מהגדרות שגויות ומניהול הרשאות לקוי, ולא מהמודל עצמו. ענן פרטי שמנוהל בלי עדכונים שוטפים, בלי אימות רב-שלבי ובלי גיבוי מנותק מהרשת חשוף יותר מסביבה מוגדרת היטב בענן ציבורי. השאלה הנכונה היא מי ינהל את האבטחה ובאיזו רמה, ולא רק איפה יושבים השרתים.
האם אפשר לשמור את הנתונים בישראל גם בענן ציבורי?
כן. שלושת ספקי הענן הציבורי הגדולים מפעילים היום אזורים בישראל. ל-AWS יש אזור בתל אביב (il-central-1) עם שלושה אזורי זמינות, וההפעלה שלו בחשבון דורשת הסכמה יזומה. ל-Google Cloud יש אזור בתל אביב (me-west1), ול-Microsoft יש את האזור Israel Central עם שלושה אזורי זמינות, כפי שמופיע ברשימת האזורים של Azure. לצדם פועלים בישראל ספקי ענן מקומיים וחוות שרתים שמציעות גם ענן פרטי מאורח.
המשמעות המעשית: מיקום הנתונים בישראל כבר אינו סיבה מספקת לבחור בענן פרטי. מה שכן חשוב לבדוק הוא אילו שירותים זמינים בפועל באזור הישראלי, האם גיבויים ועותקים משניים יוצאים לאזור אחר, ומה נכתב בחוזה.
איזה סוג ענן מתאים לעסק שכפוף לרגולציה בישראל?
עסק שכפוף לרגולציה בוחר לפי מה שהרגולטור והחוזים דורשים בפועל, ולא לפי כינוי המודל. תיקון 13 לחוק הגנת הפרטיות נכנס לתוקף ב-14 באוגוסט 2025, והרחיב את סמכויות האכיפה של הרשות להגנת הפרטיות, כולל עיצומים כספיים. תאגידים בנקאיים כפופים להוראת ניהול בנקאי תקין של בנק ישראל בנושא מחשוב ענן, שמסדירה בדיקת נאותות לספק ענן ודרישות לגישה למידע. בתחומים מפוקחים כמו פיננסים, בריאות ומשפט כדאי לברר מראש מול היועץ המשפטי והרגולטור אילו דרישות חלות על אחסון במיקור חוץ.
מה היתרונות והחסרונות של ענן פרטי?
ענן פרטי מתאים כשיש סיבה מוגדרת לבחור בו, ולא כברירת מחדל. היתרונות העיקריים:
- משאבים בלעדיים: אין לקוחות אחרים שמתחלקים בחומרה, וביצועי השרתים יציבים יותר.
- שליטה בתצורה, בגרסאות ובמיקום הנתונים, וכן אפשרות לרשת מבודדת לגמרי.
- התאמה למערכות ותיקות שדורשות גרסת מערכת הפעלה או תצורת רשת שאינן נתמכות בענן הציבורי.
- עלות צפויה כשהעומס קבוע, בלי הפתעות של חיוב לפי שימוש.
החסרונות שכדאי להכיר לפני ההחלטה:
- עלות קבועה גם כשהתשתית אינה מנוצלת במלואה.
- הרחבה דורשת תכנון והקצאה של חומרה, ולא לחיצת כפתור.
- נדרש ידע תפעולי: מי מעדכן, מי מנטר ומי מגיב לאירוע. כשהידע חסר, הסביבה מתיישנת ונחשפת לסיכוני אבטחה.
- שירותים מנוהלים מוכנים, כמו מסדי נתונים מנוהלים וכלי זהויות, זמינים בו פחות מבענן ציבורי.
עסק עם שרת וירטואלי אחד או שניים לא נדרש לענן פרטי ייעודי. לרוב מספיק שרת וירטואלי אצל ספק מקומי או בענן ציבורי, והשאלה היא רק מי מנהל אותו.
מתי ענן פרטי מתאים יותר לעסק?
- הארגון מחויב לדרישות רגולציה או לחוזים עם לקוחות שמחייבים הפרדה פיזית של החומרה או שליטה בשכבת הווירטואליזציה.
- העומסים קבועים וצפויים לאורך השנה, כך שתשתית מוקצית מנוצלת היטב ואין צורך בגמישות של תשלום לפי שימוש.
- יש מערכות ותיקות שדורשות גרסת מערכת הפעלה, רישוי או תצורת רשת שאינן נתמכות בשירותי הענן הציבורי.
- נדרשים ביצועים יציבים ועיכוב נמוך בין שרתים, למשל במערכות מסחר או במסדי נתונים כבדים.
- לארגון יש צוות תשתיות, או ספק שירות מנוהל, שיכול לתחזק את הסביבה ברמה גבוהה לאורך זמן.
מתי ענן ציבורי מתאים יותר?
- העומסים משתנים: עונתיות, קמפיינים, סביבות פיתוח ובדיקות שנפתחות ונסגרות.
- העסק רוצה להימנע מהשקעה מראש בחומרה ולשלם רק על מה שהוא צורך.
- נדרשים שירותים מנוהלים מוכנים, כמו מסדי נתונים מנוהלים, כלי בינה מלאכותית או שירותי זהויות, שהקמה שלהם בענן פרטי תהיה יקרה ומורכבת.
- אין בעסק צוות תשתיות, והוא מעדיף להעביר לספק את תחזוקת החומרה ואת זמינות חוות השרתים.
מה זה ענן היברידי ולמי הוא מתאים?
ענן היברידי מחבר בין ענן פרטי, או שרתים מקומיים, לבין ענן ציבורי, ומאפשר להחזיק כל עומס במקום שמתאים לו. דפוס נפוץ: מסד הנתונים עם המידע הרגיש נשאר בענן הפרטי, ואתר האינטרנט, סביבות הפיתוח והגיבוי המשני רצים בענן הציבורי. דפוס נוסף הוא הרחבה זמנית לענן הציבורי בשעות עומס (Cloud Bursting), שגם NIST מזכיר כדוגמה לענן היברידי.
המחיר של הגמישות הוא מורכבות: צריך חיבור מאובטח ויציב בין הסביבות, ניהול זהויות אחיד, ניטור משותף ומדיניות ברורה לגבי איזה מידע מותר להעביר לאן. את החיבור בונים בדרך כלל כרשת פרטית וירטואלית מוצפנת או כקו ייעודי, ועל קווים כאלה אפשר לקרוא בעמוד קו תמסורת. ענן היברידי מתאים לארגון שיש לו סיבה מוגדרת לכל צד, ולא כפשרה בין שני המודלים.
איך משווים עלויות בין ענן ציבורי לענן פרטי?
השוואה לפי מחיר חודשי של שרת אחד מטעה. כדי להשוות נכון, מחשבים עלות כוללת לשלוש עד חמש שנים, וכוללים בה:
- בענן ציבורי: מחשוב ואחסון לפי שימוש, תעבורה יוצאת, גיבוי, כתובות IP ציבוריות, רישוי מערכות הפעלה ותמיכה מורחבת. הנחות על התחייבות לשנה או לשלוש שנים משנות את התמונה משמעותית.
- בענן פרטי: חומרה או השכרה של תשתית מוקצית, רישוי וירטואליזציה, אחסון, חשמל וקירור אם הסביבה אצלכם, ושעות עבודה של צוות התשתיות או של ספק השירות המנוהל.
- בשני המודלים: עלות המעבר עצמו, זמן השבתה צפוי, ועלות היציאה מהספק בעתיד.
עסקים קטנים ובינוניים רבים מגיעים בסוף לשרת וירטואלי אחד או שניים בענן ציבורי או מקומי, ובמקרה כזה ההשוואה פשוטה בהרבה. מחירים מפורטים של שירותי ענן מופיעים במדריכים הייעודיים, וכאן נציין שמחיר הענן הפרטי נקבע בהצעה, לפי המשאבים שמוקצים.
אילו שאלות לשאול לפני שבוחרים מודל ענן?
- אילו מערכות ומידע עוברים לענן, ומה רמת הרגישות של כל אחד מהם?
- האם חלה על העסק רגולציה או התחייבות חוזית לגבי מיקום הנתונים והפרדת התשתית?
- האם העומסים קבועים או משתנים לאורך השנה?
- מי ינהל את הסביבה ביום-יום: צוות פנימי, ספק הענן או ספק שירות מנוהל?
- מה זמן ההשבתה המקסימלי שהעסק יכול לספוג, ואיך תיראה התאוששות מאסון בכל מודל?
- מה עולה לצאת מהספק בעוד שלוש שנים, כולל העברת הנתונים?
התשובות לשאלות האלה מצביעות כמעט תמיד על המודל המתאים. כשהן מתפצלות, למשל מידע רגיש לצד עומסים משתנים, ענן היברידי הוא בדרך כלל הכיוון.
מה לדרוש בהצעה לענן פרטי לפני החתימה?
מחיר חודשי אינו בסיס להשוואה. מבקשים פירוט כתוב של הסעיפים הבאים:
- מפרט: מעבדים, זיכרון, אחסון ורשת שמוקצים לארגון, ומי משלם על הרחבה.
- זמינות: אחוז הזמינות בשיווק מתורגם לדקות השבתה מותרות. 99.9 אחוז הם כ-43 דקות בחודש, ו-99.99 אחוז הם כארבע דקות. בודקים מה נחשב השבתה, מה מוחרג, כמו תחזוקה מתוכננת, ומה הזיכוי.
- מיקום: ספקים רבים אינם מתחייבים בחוזה היכן השרתים יושבים, ולכן מבקשים התחייבות כתובה למיקום הנתונים והגיבוי. בשאלת דרגת מרכז הנתונים (Tier) לא תמיד מקבלים תשובה ברורה, ולכן שואלים על חשמל, קירור וקישוריות ולא מסתפקים בכינוי.
- היקף האחריות: ספקי ענן קטנים ובינוניים מתחייבים לרוב לחומרה ולרשת, ופוטרים את עצמם מאחריות לתוכנה, לעדכונים ולהתערבות בשרת עצמו. מבקשים לדעת מי אחראי על כל שכבה.
- תקרת אחריות: בחוזי ענן וקו היא מוגבלת לרוב לתשלום של מספר חודשים, ונזק עקיף ואובדן הכנסות מוחרגים.
- תנאים מסחריים: האם המחיר צמוד לשער מטבע, שהמע"מ מתווסף, איך משלמים ואיך מבטלים. ארגון ששילם בהוראת קבע ולא בכרטיס אשראי עלול להיתקע בהקמה אצל ספקי ענן ציבורי גדולים, שמחייבים כרטיס.
המידע כללי ואינו תחליף לייעוץ משפטי. בחוזה בהיקף גדול כדאי להצליב את הסעיפים עם יועץ משפטי.
ענן פרטי ותקשורת: איך מחברים סניפים ואתר התאוששות?
ענן פרטי תלוי בקו כמו כל ענן, ובארגון עם כמה אתרים שיטת החיבור נקבעת לפי הדרישה. חיבור סניפים וחוות שרתים נעשה בדרך כלל באחת מארבע דרכים: רשת פרטית וירטואלית של ספק (IPVPN), מטרו אתרנט בשכבה 2, MPLS או חיבור סלולרי ייעודי (APN). הממשק בקצה מוגדר לפי מהירות וסוג, ולכן מבקשים אותם בהצעה במפורש.
גם הטלפוניה צריכה להיכלל בתכנון. באתר התאוששות של מוקד, ערוצי SIP מחולקים בין שני האתרים, עם גלישה לאתר השני כשהראשון נופל. מי שמתכנן מרכזיה בענן לצד הענן הפרטי כדאי שיקרא קודם את המדריך על מרכזיה בענן לעסקים, כדי שהקו, הגיבוי והמרכזיה יתוכננו יחד ולא בשלוש הצעות נפרדות.
איך טלקום אקספרט מלווה את הבחירה?
טלקום אקספרט מלווה עסקים וארגונים בבחירת מודל הענן ובהטמעתו, בליווי מהנדס תקשורת עם מעל 25 שנות ניסיון. השירות ניתן לעסקים ולארגונים בלבד. הליווי כולל סיווג המערכות והמידע, בדיקת דרישות הרגולציה מול היועץ המשפטי של הלקוח, תכנון החיבור המאובטח בין הסביבות ובדיקת הקו, כך שהבחירה נשענת על הצרכים ולא על הכינוי של המודל.
| שירות | מה מקבלים |
|---|---|
| סיווג מערכות ובחירת מודל ענן | בחינה של כל מערכת בעסק והמלצה מנומקת לכל אחת: ענן ציבורי, ענן פרטי או מודל היברידי, לפי רגישות המידע והעלות. |
| ענן פרטי מנוהל אצל ספק בישראל | הקמת משאבי מחשוב ייעודיים לעסק אצל ספק ענן בישראל, עם ניהול שוטף של הסביבה ותמיכה טכנית לאורך הזמן. |
| חיבור מאובטח בין המשרד לענן | הקמת חיבור מאובטח בין המשרד לסביבת הענן, דרך רשת פרטית מוצפנת או קו ייעודי, כולל קו גיבוי להמשכיות העבודה. |
| קבלו הצעת מחיר | |
להתייעצות על בחירה בין ענן ציבורי, פרטי או היברידי לעסק שלכם, ייעוץ: 077-8123111.
שאלות נפוצות על ענן פרטי וענן ציבורי
בוחרים לפי שלושה דברים: רגישות המידע, אופי העומסים והיכולת לנהל את הסביבה. עומסים משתנים ומערכות שמסתמכות על שירותים מנוהלים מתאימים לענן ציבורי. רגולציה שמחייבת הפרדה פיזית, עומסים קבועים ומערכות ותיקות מתאימים לענן פרטי. כשיש גם וגם, למשל מסד נתונים רגיש לצד אתר ועומסים משתנים, ענן היברידי הוא בדרך כלל הכיוון, בתנאי שיש סיבה מוגדרת לכל צד.
לא באופן אוטומטי. ענן פרטי מבטל שיתוף חומרה עם לקוחות אחרים ומאפשר רשת מבודדת, אבל האבטחה בפועל תלויה בעדכונים, בהרשאות, באימות רב-שלבי ובגיבוי. ספקי ענן ציבורי גדולים משקיעים בניטור ובניהול זהויות ברמה שקשה לארגון בינוני לשחזר. לכן שואלים מי מנהל את האבטחה ובאיזו רמה, ולא רק איפה יושבים השרתים.
שרתים במשרד הם תשתית מקומית רגילה: כל שרת משרת מערכת מסוימת, והרחבה דורשת רכישת חומרה. ענן פרטי מוסיף מעל החומרה שכבת וירטואליזציה, ניהול מרכזי ואוטומציה, כך שאפשר להקצות שרתים וירטואליים ואחסון לפי צורך, להעביר עומסים בין שרתים פיזיים ולשרוד תקלה בשרת בודד. ענן פרטי יכול לשבת במשרד, אבל ברוב המקרים הוא מאורח בחוות שרתים עם חשמל, קירור וקישוריות מגובים.
ענן פרטי וירטואלי הוא רשת מבודדת שהלקוח מגדיר בתוך ענן ציבורי: טווחי כתובות משלו, תת-רשתות, חומות אש וחיבור מוצפן למשרד. לפי התיעוד של AWS זו רשת וירטואלית מבודדת לוגית, והחומרה עדיין משותפת עם לקוחות אחרים. לכן הוא אינו ענן פרטי במובן המלא. לעסקים רבים זה פתרון ביניים מספק, שמשלב את הגמישות של ענן ציבורי עם בידוד רשתי. כשנדרשת הפרדה פיזית, אפשר לבחור שרתים ייעודיים אצל אותו ספק.
כן, אבל המעבר קל יותר כשמתכננים אותו מראש. כדאי להעדיף מערכות הפעלה ופורמטים נפוצים של מכונות וירטואליות, להחזיק את תצורת התשתית כקוד, ולהימנע מתלות בשירות ייחודי לספק אחד כשאין בכך צורך. לפני חתימה על חוזה כדאי לברר כיצד מוציאים את הנתונים בסוף ההתקשרות, באיזה פורמט, תוך כמה זמן והאם התעבורה היוצאת מחויבת. מעבר בין מודלים מתבצע בדרך כלל בשלבים, מערכת אחר מערכת.
יש לבדוק היכן נשמרים הנתונים והגיבויים, כולל עותקים משניים, ומי מטעם הספק יכול לגשת אליהם. חשוב לוודא התחייבות לזמינות ולזמני תגובה, הגדרה ברורה של אחריות לגיבוי ולטיפול באירוע אבטחה, וחובת דיווח ללקוח במקרה של דליפה. כדאי לבקש תקני אבטחה שהספק עומד בהם, כמו ISO 27001, ולקבוע כיצד מחזירים או מוחקים את הנתונים בסיום ההתקשרות. בתחום מפוקח, החוזה צריך לעבור גם את היועץ המשפטי.
עסק שכפוף לרגולציה בוחר לפי מה שהרגולטור והחוזים דורשים בפועל. כשנדרשת הפרדה פיזית של החומרה או שליטה בשכבת הווירטואליזציה, ענן פרטי, אצל הארגון או מאורח אצל ספק, מתאים יותר. כשהדרישה היא בעיקר שמירת נתונים בישראל, גם ענן ציבורי יכול לעמוד בה, כי לספקים הגדולים יש אזורים בישראל. בכל מקרה בודקים לאן יוצאים הגיבויים והעותקים המשניים, ומבררים את הדרישות מראש מול היועץ המשפטי.
