Difference: JV_2 (r2 vs. r1)

Ulkoistetun pilvipalvelun tietoturvauhat ja –riskit asiakasorganisaation näkökulmasta (2)

1. Johdanto

Pilvipalveluiden hyödyntäminen organisaatioissa on yksi suurimmista tämän hetken teknologiatrendeistä. Työssä tutustutaan pilvipalveluihin liittyviin keskeisimpiin tietoturvauhkiin. Pilvipalveluilla tarkoitetaan palveluntarjoajan IT-resurssien, eli laitteistojen, palveluiden, ja ohjelmistojen tarjoamista asiakkaiden käyttöön verkkoyhteyden kautta. Ne ovat paikasta riippumattomia ja edullisia ratkaisuja, jotka voidaan toteuttaa itse tai ulkoistaa. Pilvipalvelujen avulla voidaan välttyä monimutkaisen IT-arkkitehtuurin rakentamiselta ja hallitsemiselta, koska se tarjoaa tarvittaessa verkkosovellukset, sovellusalustat ja infrastruktuurin. Tässä tekstissä tutustutaan ulkoistettujen pilvipalveluiden keskeisimpiin tietoturvauhkiin ja –haasteisiin asiakasorganisaation näkökulmasta. (Järvinen, 2011)

Pilvipalveluiden käyttö on nykyisin yksi suurimmista teknologiatrendeistä. Pääsyynä niihin siirtymiseen on kustannussäästöt ja helppous. Palveluntarjoajat tarjoavat usein houkuttelevia ja edullisia avaimet käteen-tyyppisiä ratkaisuja. Tämä helppous johtaa kuitenkin helposti palveluiden ulkoistamisprosessin löyhään suunnitteluun ja implementointiin.

2. Pilvipalveluiden tietoturvaan liittyvät ongelmat

Pilvipalveluiden ongelmat voidaan jakaa kolmeen osa-alueeseen: perinteinen turvallisuus, saatavuus, kolmannen osapuolen tiedonhallinta.

2.1. Perinteinen turvallisuus

Perinteiseen tietoturvallisuuten voidaan lukea tietokoneisiin ja verkkoon tapahtuvat hyökkäykset, jotka saattavat tulla helpommin mahdolliseksi kun käytetään pilvipalveluita. Tähän ongelmakategoriaan kuuluu esimerkiksi virtuaalikoneiden avulla järjestetyt usean asiakkaan arkkitehtuuriratkaisut, selainpohjaisten käyttöliittymien injektiot, toimittajan huijaaminen valesähköposteilla, ja hajautetun arkkitehtuurin lisääntynyt haavoittuva "pinta-ala", eli useampi potentiaalinen hyökkäyskohde. Pääsynvalvonnan ja sisäisten järjestelmien integrointi pilvipalveluihin aiheuttaa tietoturvariskejä. Toimittajan ja asiakkaan väliset rajapinnat ja eriävät tietoturvapolitiikat voivat aiheuttaa tietoturvauhkia. Pilvipalveluiden, ja etenkin ulkoistettujen sellaisten tietoturvaa on kritisoitu sillä, että tieto on internetissä, ja siten helposti hakkereiden tavoitettavissa. On kuitenkin otettava huomioon että niin ovat yksittäiset koneet ja palvelimet perinteisissäkin ratkaisuissa. Pilvipalvelut eivät siis varsinaisesti kohtaa huomattavaa määrää uusia uhkia perinteisen tietoturvallisuuden tasolla. (Norman, 2009;PARC & Fujitsu Laboratories of America, 2009; Makkonen, 2011)

2.2. Saatavuus

Toisena tietoturvallisuuden ongelma-alueena on saatavuus. Onko palvelu aina käytettävissä kun sitä tarvitaan? Onko se vielä pystyssä 5 vuoden päästä? Jopa suurimmissa pilvipalveluissa on ollut saatavuuden kanssa ongelmia, esimerkiksi Googlen erittäin suosittu sähköpostipalvelu Gmail oli alhaalla päivän lokakuussa 2008. Pilvipalvelun saatavuuden ongelmista voidaan syyttää mm. hajautettua arkkitehtuuria, yhden palvelimen ongelmat saattavat heijastua laajasti muihin. Saatavuuden uhkiin kuuluu myös palveluntarjoajan liiketoiminnalliset muutokset. Jos toimittaja menee konkurssiin, voi datan palauttamisesessa ja siirtämisessä uudelle palveluntarjoajalle olla huomattavia ongelmia. Tämä olisi erittäin suuri ongelma organisaation liiketoiminnalle jos ollaan erityisen riippuvaisia tästä datasta. Pilvipalveluiden hajautettu IT-arkkitehtuuri aiheuttaa myös erilaisia yhteensopivuusriskejä komponenttitasolla ja sitä kautta tietoturvariskejä. Kun eri asiakkaat vaativat erilaisia asetuksia ja muutoksia, näistä johtuvat ongelmat voivat vaikuttaa muidenkin asiakkaiden palveluiden toimintaan. Myös mahdollisuudet palvelunestohyökkäyksille ja fyysiselle häirinnälle ovat suuremmat pilviarkkitehtuurissa. (PARC & Fujitsu Laboratories of America, 2009; Mäkinen, 2011; Tsai & Lin, 2011)

2.3. Kolmas osapuoli

Ulkoistettujen pilvipalveluiden yksi suurimmista tietoturvauhista on tietojen hallinnan siirtyminen kolmannelle osapuolelle. Kolmannen osapuolen tiedonhallintaan liittyvät tietoturvaongelmat ovat monimutkaisia ja koostuvat lähinnä ulkoistussuhteen haasteista. Kontrollin puute niin järjestelmiin kuin tietoturvaankin ja heikko läpinäkyvyys ovat keskeisimpiä ongelmia.

Kuinka voidaan varmistua siitä että data on vain käyttäjän nähtävissä? Kuinka voidaan varmistua että tieto on oikeasti pyyhitty palvelimilta? Miten voidaan varmistua ettei liikesalaisuudet vuoda palveluista? Kuinka voidaan olla varma ettei tietoja peukaloida tai myydä kilpailijoille? Voidaanko luotettavasti seurata kuka käyttää dataa? Tähän informaatioon ja dataan halutessaan voisi päästä käsiksi hakkereiden lisäksi palveluntarjoajan työntekijät, joilla on usein kaikki tekniset oikeudet asiakkaiden dataan. (Norman, 2009;PARC & Fujitsu Laboratories of America, 2009; Tsai & Lin, 2011)

Koska IT-infrastruktuuri ja arkkitehtuuri ei ole välttämättä käyttäjäorganisaation tiedossa ja hallinnassa, luottamuskysymykset ovat ensiarvoisen tärkeitä. Kompleksisessa ja pirstaloituneessa arkkitehtuurissa on lähes mahdotonta asiakkaana tarkastella oman datan sijaintia ja käyttöä. Palveluntarjoaja voi käyttää useita alihankkijoita toiminassaan, joka johtaa siihen että organisaation data voi olla huomattavan monen sidosryhmän saatavissa. Riski vakoiluun, väärinkäytöksiin ja hyökkäyksiin kasvaa huomattavasti rajapintojen ja sidosryhmien lisääntyessä. Lisäksi koska pilvipalveluissa on rajapinnat sisäisiin järjestelmiin, voi hyökkäyksellä palveluntarjoajaan päästä käsiksi organisaation sisäisiin palveluihin normaalia helpommin. Toimittajalta tulisi saada tarpeeksi tietoa IT-arkkitehtuurista jotta voidaan varmistua fyysisestä ja loogisesta tietoturvallisuudesta. Toimittajasuhteen tulisi siis olla läpinäkyvä, mahdollisimman avoin ja muuntautumiskykyinen. (Norman, 2009;PARC & Fujitsu Laboratories of America, 2009; Tsai & Lin, 2011; Cloudforum.com, 2010)

Ongelmana on usein palveluntarjoajan heikko sitoutuminen tietoturvaan. Asiakkaalle on tärkeää että tietoturvaratkaisut ovat tarpeeksi vahvat suhteessa varastoituun dataan ja tietoliikenteeseen. Koska pilvipalveluihin siirrytään yleensä kustannussyistä, ja hinta on palveluntarjoajille merkittävin kilpailuetu, tietoturvan laatu voi olla kyseenalaista. Siksi pilvipalveluita ulkoistaessa on syytä pitää huoli että palveluntarjoajan tietoturvaratkaisut vastaavat aitoja tietoturvatarpeita. Usein palveluntarjoajat kehuvat tietoturvaratkaisuidensa olevan kehittyneitä, ja vakuuttavat että asiasta ei tulisi huolestua. Ponemon Institute kuitenkin kertoo että enemmistö pilvipalveluiden toimittajista ei usko itsekään että tietoturvatarpeet vastaavat asiakkaiden vaatimuksia. Useimmat palveluntarjoajat myönsivät että heidän järjestelmilleen ja sovelluksilleen ei aina tehdä tietoturvatestauksia. Tämä on erittäin huolestuttavaa, kun otetaan huomioon että näihin palveluihin varastoidaan erittäin kriittistä informaatiota. Internet-aikakausi on lisännyt teollisuusvakoilua erittäin radikaalisti, ja heikosti suojatut pilvipalvelut voivat olla helppo kohde hyökkääjille. (PARC & Fujitsu Laboratories of America, 2009; Rinta, 2011; Tsai & Lin, 2011; Cloudforum.com, 2010)

3. Ulkoistamisriskien hallinta

Jotta tietoturvallisuuden tarvittava taso voidaan taata, ostajaorganisaation ja toimittajan tulisi tehdä tarkat sopimukset palvelutasosta ja laatukriteereistä. Palveluiden läpinäkyvyydestä on hyvä sopia, ja sitä kautta tavoitella mahdollisuutta resurssien monitorointiin. Organisaatio voi suojella omaa dataansa pilvipalveluissa toimittajan ja muiden sidosryhmien silmiltä kryptaamalla ja asettamalla tiukat rajoitteet sallitulle toiminnalle sopimuksissa. Myös datan saatavuuteen ja poistamiseen liittyvistä seikoista on hyvä sopia ja noudattaa hyväksi havaittuja standardeja. (PARC & Fujitsu Laboratories of America, 2009; Tsai & Lin, 2011; Cloudforum.com, 2010)

Lähteet:

Cloudforum.com, Information Security Briefing 01/2010, 2010, http://ipnetsolusindo.com/blog/wp-content/uploads/2011/01/cloud-computing-briefing.pdf, viitattu 3.11.2011 Cloudforum.com, Information Security Briefing 01/2010, 2010, http://ipnetsolusindo.com/blog/wp-content/uploads/2011/01/cloud-computing-briefing.pdf, viitattu 3.11.2011

Makkonen, A. 2011, Voiko omaan serveriin luottaa?, http://blog.sopima.com/tag/tietoturva/, viitattu 3.11.2011 Makkonen, A. 2011, Voiko omaan serveriin luottaa?, http://blog.sopima.com/tag/tietoturva/, viitattu 3.11.2011

Mäkinen P. 2011, Kysy nämä, ennen kuin menet pilveen, http://www.tietoviikko.fi/msareena/msblogit/bittiviidakko/article590777.ece, viitattu 3.11.2011 Mäkinen P. 2011, Kysy nämä, ennen kuin menet pilveen, http://www.tietoviikko.fi/msareena/msblogit/bittiviidakko/article590777.ece, viitattu 3.11.2011

NORMAN, 2009, "Pilvipalvelujen" edut ja hyödyt", http://www.norman.com/security_center/security_center_archive/2009/67179/fi, viitattu 3.11.2011 NORMAN, 2009, "Pilvipalvelujen" edut ja hyödyt", http://www.norman.com/security_center/security_center_archive/2009/67179/fi, viitattu 3.11.2011

Rinta N. 2011, Huolestuttavia tietoja pilvipalveluiden tietoturvasta, http://www.tietoviikko.fi/cio/huolestuttavia+tietoja+pilvipalveluiden+tietoturvasta/a622252, viitattu 3.11.2011 Rinta N. 2011, Huolestuttavia tietoja pilvipalveluiden tietoturvasta, http://www.tietoviikko.fi/cio/huolestuttavia+tietoja+pilvipalveluiden+tietoturvasta/a622252, viitattu 3.11.2011

PARC & Fujitsu Laboratories of America, 2009, Controlling Data in the Cloud: Outsourcing Computation without Outsourcing Control, http://www.eecs.berkeley.edu/~elaines/docs/ccsw.pdf, viitattu 3.11.201 PARC & Fujitsu Laboratories of America, 2009, Controlling Data in the Cloud: Outsourcing Computation without Outsourcing Control, http://www.eecs.berkeley.edu/~elaines/docs/ccsw.pdf, viitattu 3.11.201

Tsai C. Lin U., 2011, Inofrmation Security of Cloud Computing for Enterprises, http://www.aicit.org/aiss/ppl/16_%20Binder1-16.pdf viitattu 3.11.2011 Tsai C. Lin U., 2011, Inofrmation Security of Cloud Computing for Enterprises, http://www.aicit.org/aiss/ppl/16_%20Binder1-16.pdf viitattu 3.11.2011

SivuTiedotLaajennettu edit
Vaativuus Jatko
ValmiusValmisteilla Kehitteillä
Tyyppi Ydin
Luokitus Uhkat
MitäUseita Luottamuksellisuus
MiltäUseita Ihmisetön uhka
Missä Organisaatio
Kuka Titu-ammattilainen
MilloinPäivittäin Ennakolta
MiksiPolitiikka Hyvä tapa

View topic | View difference side by side | History: r3 < r2 < r1 | More topic actions
 
Copyright © by the contributing authors. All material on this collaboration platform is the property of the contributing authors.
Ideas, requests, problems regarding TUTWiki? Send feedback