A GitLab Dedicated az EU új kiberbiztonsági szabályaira készül

A szabályozás már aktív felügyeletet jelent

A GitLab 2026. szeptember 14-i közleménye szerint a NIS2 már nem pusztán jövőbeli tervezési szempont. Az Európai Unió Kiberbiztonsági Ügynökségének, az ENISA-nak a NIS360 jelentése alapján a felügyeleti hatóságok már vizsgálják a kritikus ágazatok kiberbiztonsági érettségét. A GitLab úgy látja, hogy a szabályozói környezet a korábbi útmutatás és konzultáció helyett az aktív ellenőrzés, vizsgálat és elszámoltathatóság felé mozdult.

Az uniós pénzügyi szektorban a digitális működési rezilienciáról szóló DORA 2025 januárjában lépett hatályba. A rendelet a kritikus technológiák ellenálló képességét, a kulcsfontosságú szolgáltatóktól való túlzott függőség elkerülését és az incidensek bejelentésének megerősítését írja elő. A 2022 decemberében elfogadott NIS2 az alapvető és fontos ágazatok kiberbiztonságát, a technológiai ellátási láncok védelmét és a jelentős incidensek gyors bejelentését érinti. A GDPR pedig előírja a személyes adatok védelmét, tárolási helyük és hozzáféréseik dokumentálását, valamint az adatkezelés jogalapjának igazolását.

Elkülönített AWS-környezet, beépített helyreállítás

A GitLab Dedicated teljesen elkülönített, egybérlős SaaS-megoldás. Az ügyfél által kiválasztott AWS-régióban fut, és a GitLab üzemelteti. A GitLab szerint a több bérlőt kiszolgáló platformokon a közös végrehajtás, futtatókörnyezet és tárhely miatt egy sérülékenység vagy hibás konfiguráció több ügyfelet is érinthet. Saját üzemeltetés esetén ezzel szemben a frissítések, biztonsági javítások és a katasztrófa utáni helyreállítás tesztelése a vállalat platformcsapatára hárul.

A Dedicated példánya külön AWS-fiókban működik. A GitLab site reliability engineering, vagyis SRE-csapata az üzemeltetési változtatásokat automatizált, jóváhagyáshoz kötött munkafolyamatokon keresztül végzi, közvetlen alapértelmezett hozzáférés nélkül az ügyfél környezetéhez. A CI/CD-változók és futtatótokenek az ügyfél által meghatározott ütemezés szerint rotálhatók.

Minden ügyfélpéldányhoz tartozik egy másodlagos régióban fenntartott biztonsági mentés. A GitLab Geo aszinkron, folyamatos replikációt végez a két helyszín között. A GitLab által megadott helyreállítási célérték szerint a szolgáltatás legfeljebb nyolc órán belül visszaállítható a másodlagos régióban, az adatvesztés pedig a legutóbbi változásokból legfeljebb négy órát érinthet, a katasztrófa és az utolsó mentés időzítésétől függően.

Adatszuverenitás és auditálható működés

A régió kiválasztásakor az objektumtárolás, a műtermékek és a számítási adatok a kijelölt AWS-régióhoz kötődnek. Az ügyfél másodlagos régiót is választ, ezért a régiók közötti adatmozgás a GitLab szerint az engedélyezett replikációra korlátozódik. Az Európai Unióban működő ügyfelek mindkét régiót az unió területén tarthatják.

A saját kulcs használatát lehetővé tevő BYOK esetén az ügyfél kezeli a titkosítási kulcsokat. Ha a kulcsot visszavonja, a GitLab nem fér hozzá a titkosított adatokhoz. Az AWS PrivateLink VPC-végpontot hoz létre az ügyfél fiókjában, így a hálózat, a CI/CD-feladatok és a GitLab Dedicated közötti forgalom az AWS privát gerinchálózatán halad.

A GitLab ugyanakkor külön korlátozásra hívja fel a figyelmet: amerikai vállalatként az AWS-re az Egyesült Államok jogi kötelezettségei, köztük a CLOUD Act is vonatkoznak. A BYOK a GitLab hozzáférését korlátozza, de az AWS jogi kötelezettségeit nem változtatja meg. Szigorú joghatósági elvárások esetén ezért adatfeldolgozási megállapodásokra, átviteli hatásvizsgálatokra és dokumentált jogalapra is szükség lehet.

A GitLab Dedicated példányai előre meghatározott havi frissítési ciklusban kapnak karbantartást. A rendszer az N-1 kisebb kiadást futtatja, havonta egy kisebb és két javítókiadást kap, sürgős, S1-es biztonsági problémáknál pedig rendkívüli karbantartás is indulhat. A Trust Center önkiszolgáló portálon megfelelőségi dokumentumok és biztosítékok érhetők el, köztük a Schellman legfrissebb DORA-auditjelentése. A GitLab szerint ez csökkentheti az auditokra való felkészüléshez szükséges manuális bizonyítékgyűjtést.