Tiesithän tämän tietoturvasta pilvipalvelua ostaessasi?

Pilvipalveluiden myötä it-palveluiden ostamisesta on tullut helpompaa. IaaS-, PaaS- tai SaaS-ratkaisun käyttöönotto voi olla kustannustehokasta, mutta niiden huolimattomaan käyttöön liittyy riskejä. Siksi pilvipalveluja käyttävien yritysten on hyvä ymmärtää tietoturvaan liittyvät vastuunsa ja velvollisuutensa.

Jotta saadaan käsitys siitä, missä tällä hetkellä mennään, on tarpeen luoda nopea katsaus vuosituhannen vaihteen jälkeen tapahtuneeseen pilvipalvelujen kehittymiseen.

Vielä 15 vuotta sitten it-infrastruktuuri oli vahvasti liiketoiminnan ytimessä ja jokaisesta yrityksestä löytyi oma palvelin, jonka tietoturvasta piti huolehtia. Pikkuhiljaa näitä palvelimia alettiin keskittää konesaleihin. Kun kulunvalvontakontrollin ja jäähdytysten kaltaiset toimenpiteet siirtyivät ulkopuolisen toimittajan harteille, yrityksissä pystyttiin keskittymään entistä enemmän liiketoiminnan pyörittämiseen. Tästä seuraava askel olikin fyysisistä palvelimista luopuminen ja siirtyminen virtuaalipalvelimiin.

Lainsäädäntö määrittelee vastuun tiedon omistajuuden kautta

Pilvipalveluiden käyttöönotto voi siis olla hyvinkin yksinkertaista ja nopeaa. Käyttövalmiin virtuaalipalvelimen ostaminen onnistuu parhaimmillaan muutamassa minuutissa. Mutta mitkä asiat tämän jälkeen jäävät toimittajan vastuulle?

Virtualisaatiotasolla on selvää, että toimittajan vastuulla on huolehtia tarjoamansa kapasiteettialustan tietoturvasta. Toimittaja siis vastaa siitä, etteivät eri asiakkaiden ympäristöt näe toisiaan ja jaettu alusta toimii siten, ettei sen kautta päästä hakkeroimaan tietoa. EU:n lainsäädännössä tapahtuneiden muutosten myötä it-palvelujen toimittaja on usein myös rekisterinpitäjä ja vastuussa järjestelmässään olevista tiedoista. Pilvipalvelun toimittajalla ei kuitenkaan välttämättä ole pääsyä asiakkaansa dataan, jolloin vastuun tarkastelu monimutkaistuu.

Klassisessa IaaS-palvelussa virtuaalipalvelimen käyttöjärjestelmän ja sen päällä olevien sovellusten ylläpito ja hallinnointi ei yleensä kuulu toimittajalle. Tällöin asiakkaan liiketoimintasovellukseen ja virtuaalipalvelimien käyttöjärjestelmään liittyvien tietoturva-aukkojen korjaaminen on lähtökohtaisesti asiakkaan itsensä vastuulla. Tämä on IaaS-palveluiden iso haaste, jota pystyy taklaamaan sopimalla toimittajan kanssa erikseen ylläpitovastuusta.

PaaS- ja SaaS-palveluiden kohdalla vastuu noudattelee pääasiassa samoja kaavoja. PaaS-palvelussa sovellus voi pyöriä virtuaalikontin sisällä eikä varsinaista käyttöjärjestelmää välttämättä ole, mutta taas kerran sovelluksen ylläpitovastuu on asiakkaalla.

SaaS-palveluissa sovelluksen ylläpitovastuu kuuluu puolestaan toimittajalle. Siellä asiakkaan kannalta suurimmat riskit liittyvätkin rekisterinpitoon ja datanhallintaan. Riippuen käytetystä ohjelmistosta, toimittajalla on usein suurempi mahdollisuus päästä käsiksi asiakkaan tietoon, jolloin myös toimittaja on helpommin tiedon käsittelijän roolissa. Nykyinen lainsäädäntö määritteleekin vastuun suurelta osin tiedon omistajuuden kautta: tiedosta on vastuussa se taho, jonka liiketoiminnan piiriin tieto kuuluu.

Jokainen pilvipalveluihin siirtyvä voi omilla ratkaisuillaan vaikuttaa siihen, että yrityksen data sijaitsee ympäristössä, jossa sekä tietoturva että tietosuoja toteutuvat. Kun ymmärtää omat velvollisuutensa, käyttää vastuullisten toimijoiden tietoturvallisilla alustoilla pyörittämiä palveluja sekä huolehtii sopimuksista ja selkeästä vastuunjaosta, voi olla jo hiukan huojentuneimmin mielin.
 

Webinaarissa lisää tietoa pilven tietoturvasta

Järjestimme 16.5. webinaarin, jossa tuotiin kattavasti esille eri näkökulmia pilvipalveluiden tietoturvan varmistamisesta sekä vastuualueet IaaS-, PaaS- ja SaaS-ratkaisujen osalta. Voit katsoa koko webinaaritallenteen sivuiltamme.

Katso webinaaritallenne