<img height="1" width="1" style="display:none;" alt="" src="https://dc.ads.linkedin.com/collect/?pid=224441&amp;fmt=gif">

Multicloudin tietoturva – Miten usean palveluntarjoajan pilvestä saa liiketoimintahyödyt turvallisesti?

15.08.2018 | Jari Taskinen

Pilven_tietoturva

Tutkimusten mukaan jopa neljäsosa yrityksistä ei luota pilven tietoturvaan. Miten multicloudista eli useamman eri palveluntarjoajan pilviympäristöistä saa liiketoimintahyödyt irti tietoturvallisesti?

Onko huoli julkipilven tietoturvasta oikeutettu?

Cloudpron tutkimuksen mukaan 97 % yrityksistä pitää pilven tietoturvaa kriittisenä yrityksen pilvistrategiaan vaikuttavana tekijänä, ja jopa 25 % ei luota pilven tietoturvaan lainkaan. Samaisen tutkimuksen mukaan ainakin 16 prosentilla yrityksistä oli ollut merkittäviä tietoturvahaasteita edeltävän vuoden aikana.

Onko huoli julkipilven tietoturvasta siis toisin sanoen oikeutettu? Kyllä, ehdottomasti – mutta vain hieman eri syistä kuin monesti luullaan. Tietoturvakeskustelu lähtee nimittäin usein hakoteille heti alkumetreillä.

Mutua ja myyttejä julkipilven tietoturvasta

Väärinkäsityksiä aiheuttaa ensinnäkin se, että julkipilvi-käsitteen alle voi arkikielessä niputtaa oikeastaan mitä tahansa valmiista pilvipohjaisista sovelluksista monimutkaisiin hybridipilviympäristöihin.

Ensinnäkin sekaannuksia tulee helposti, jos eri ratkaisujen tietoturvasta puhutaan ikään kuin julkipilvi olisi yksi yhtenäinen kokonaisuus.

Vastuu pilven tietoturvasta riippuu nimittäin täysin palvelumallista: esimerkiksi SaaS-ratkaisuissa palveluntarjoajan vastuu kattaa yleensä lähes kaiken, kun IaaS-ratkaisuissa se voi rajoittua tietoliikenneyhteyksien, palvelualustan ja konesalin tietoturvaan. Jälkimmäisessä tapauksessa asiakkaalla itsellään täytyy olla kyvykkyyttä suunnitella kokonaisuus niin, että data on suojattu ja sovellustason tietoturvasta huolehdittu.

Toinen ongelma on se, että keskustelu julkipilven tietoturvasta pohjaa osin jopa vanhentuneille käsityksille siitä, että jaettu pilvi olisi jotenkin yksityistä riskialttiimpi.

Jo pitkään julkipilvi on ollut tutkitusti äärimmäisen tietoturvallinen vaihtoehto – monissa tilanteissa itseasiassa paljon omaa konesalia turvallisempi. Suurten julkipilvipalveluntarjoajien ja muiden tunnettujen palveluntarjoajien tietoturva on nykyään huippuluokkaa ja vahvistettu kansainvälisillä tietoturvasertifikaateilla. Lisäksi monilla isolla toimijoilla on erikseen toimialakohtaisia tietoturvakäytäntöjä ja sertifikaatteja.

Mistä multicloudin tietoturva koostuu?

Julkipilvi on siis pääsääntöisesti tietoturvaltaan erinomainen, mutta moni yritys epäilee silti, miten hyvin liiketoimintakriittiset tiedot pysyvät turvassa useamman palvelutarjoajan pilviympäristöissä.

Pilven tietoturvavaatimuksiin vaikuttaa luonnollisesti eniten se, millaisia rajoituksia pilviympäristössä sijaitseva arkaluonteinen tieto asettaa prosesseille. Tietoturva itsessään koostuu useasta eri osa-alueesta: palvelinsalien fyysisestä tietoturvasta, tietoliikenneyhteyksistä, varmuuskopioinnista, yrityksen omasta käyttöympäristöstä, käyttäjähallinnasta ja niin edelleen.

Multicloudissa tähän jo valmiiksi monimutkaiseen pakkaan lisätään vielä yksi kriittinen ulottuvuus, eli useamman eri palveluntarjoajan pilviympäristöjen tietoturvallinen yhteensovittaminen. Jokaisen palveluntarjoajan pilviympäristössä on omat erityispiirteensä, jotka sen käyttäjän tulisi hallita.

Pilvi-IT:n suurin tietoturvariski on ihminen

Jokaisen pilviympäristön suurin tietoturvanhaaste on aina ihminen: joko kokonaisuuden suunnittelija tai loppukäyttäjä, tai pahimmassa tapauksessa molemmat. Vain äärimmäisen harvoin ongelmien syy on puhtaasti palveluntarjoajan tietoturvassa.

“Oikea kysymys ei ole: ‘Onko julkipilvi turvallinen’, vaan: ‘Käytänkö julkipilveä turvallisesti’? “

– Gartnerin tutkimusjohtaja Jay Heiser

CloudPron tutkimuksen mukaan yritykset eivät esimerkiksi yleensä havaitse kaikkia mahdollisia tietoturvariskejä, eivätkä siksi osaa myöskään suojautua niiltä.

Jos prosessit ovat puutteellisia tai inhimillisten virheiden mahdollisuutta pilviympäristössä ei minimoida, palvelun käyttäjä saattaa epähuomiossa esimerkiksi siirtää arkaluontoista tietoa väärään sijaintiin tai jättää tietoturvakriittisen päivityksen tekemättä. Suuri osa viime aikojen merkittävistä tietoturvauutisista onkin liittynyt nimenomaan suojaamattomiin julkipilviympäristöihin.

“Vuoteen 2022 mennessä 95 % kaikista tietoturvaloukkauksista johtuu asiakkaasta, ei palveluntarjoajasta.”

– Gartnerin tutkimusjohtaja Jay Heiser

Tilastollisesti suurin osa tietovuodoista johtuu siis teknisten puutteiden sijaan inhimillisistä tekijöistä, kuten puuttuvista päivityksistä, tietojen väärästä sijainnista, puutteellisesti suunnitelluista prosesseista ja jopa siitä, etteivät loppukäyttäjät ole perillä yrityksen tietoturvan liittyvistä riskeistä, käytännöistä ja prosesseista.

Ota niskalenkki pilviympäristöjen tietoturvasta

Multicloud-ympäristössä yritys pääsee joustavasti hyödyntämään kaikkien palveluntarjoajien parhaita puolia, mikä tuo yrityksille kiistattomia liiketoimintahyötyjä (kuten skaalautuvuutta, joustavuutta, tehokkuutta ja kustannussäästöjä), mutta samalla tietojen hallinnointi muuttuu monimutkaisemmaksi ja tietoturvariskit kasvavat.

Monien asiantuntijoiden mukaan yksi todellisen digitaalisen transformaation vaatimus on nimenomaan multicloudiin siirtyminen.

Tarvittavaa kyvykkyyttä löytyy kuitenkin tällä hetkellä pääosin enterprise-tason yrityksistä, jotka ovat globaalisti myös multicloud-strategian edelläkävijöitä. Pienemmille yrityksille paras ratkaisu liiketoimintalähtöisen multicloud-ympäristön ja tietoturvaprosessien suunnitteluun ja toteutukseen on useimmiten osaava kumppani.

Jos liiketoimintahyödyt ja tulevaisuuden kilpailukyvyn varmistaminen kiinnostavat, mutta pilven tietoturvariskit mietityttävät, kannattaa katsastaa ensiavuksi esimerkiksi tämä webinaari, jossa käydään tiiviisti 45 minuutissa läpi pilviympäristöjen yleisimmät tietoturvariskit sekä se, miten yritys niistä saa niskalenkin.

multicloud tietoturva webinaaritallenne

Picture of Jari Taskinen

Kirjoittaja Jari Taskinen

Tilaa uusimmat kirjoitukset sähköpostiisi