Helmikuun Kybertutkassa erityisasiantuntija Tomi Hasu haastatteli Jukka Loikkasta, CGI:n pilviarkkitehtia, pilvipalveluiden tietoturvasta. Keskustelussa käytiin läpi pilven tietoturvariskejä, haasteita ja parhaimpia käytäntöjä niiden hallintaan.
Pilvipalvelut ovat tänä päivänä olennainen osa organisaatioiden IT-rakenteita. Tietoturvan näkökulmasta pilviympäristöt eivät juurikaan eroa perinteisistä konesaliympäristöistä. Suurin riski on se, jos pilvipalvelu on konfiguroitu huonosti tai sen suojausasetukset eivät ole ajan tasalla. Tällöin ulkopuoliset voivat murtautua järjestelmään.
Yksi yleisimmistä ongelmista on se, että organisaatiot ottavat pilvipalveluita käyttöön kiireessä ja ilman riittävää suunnittelua. Esimerkiksi nopeissa migraatioissa voi syntyä tietoturva-aukkoja, koska vanhoja järjestelmiä siirrettiin pilveen sellaisenaan ilman modernisointia. Toisaalta, jos uusi pilviympäristö suunnitellaan alusta asti oikein, voidaan välttää monet perinteiset tietoturvaongelmat.
Pilviympäristöissä identiteetinhallinta on keskeinen turvallisuustekijä
Suurin osa pilveen kohdistuneista tietomurroista liittyy varastettuihin tai huonosti suojattuihin kirjautumistietoihin. Jos hyökkääjä saa käyttäjän tunnukset haltuunsa, hän voi liikkua laajasti pilviympäristössä ja aiheuttaa merkittävää haittaa.
Miten identiteettejä voi suojata?
- Monivaiheinen tunnistautuminen (MFA) kannattaa ottaa käyttöön kaikille käyttäjille.
- Käyttäjätunnuksia ja oikeuksia pitää hallita huolellisesti – kaikki eivät tarvitse laajoja pääsyoikeuksia.
- Epäilyttävät kirjautumisyritykset tulee tunnistaa ja reagoida niihin nopeasti.
Hybridipilven erityishaasteet
Useimmilla organisaatioilla on hybridiympäristö, jossa osa järjestelmistä toimii perinteisissä konesaleissa ja osa pilvessä. Tämä tuo mukanaan lisähaasteita, sillä eri ympäristöiden väliset tietoturvakäytännöt on sovitettava yhteen.
- Varmistaa, että yhteydet pilveen ovat suojattuja, esimerkiksi käyttämällä ExpressRoute- tai VPN-yhteyksiä.
- Tarkastaa, että vanhat konesalijärjestelmät eivät muodosta tietoturva-aukkoa pilveen.
- Monitoroida jatkuvasti koko IT-ympäristöä ja varautua mahdollisiin uhkiin.
Pilvipalveluiden tietoturva ei ole pelkkää teknologiaa
Pilvipalveluiden tietoturva vaatii selkeää hallintamallia ja jatkuvaa valvontaa. Identiteetin suojaaminen, oikeuksien hallinta ja suojattujen yhteyksien käyttäminen ovat avainasioita. Kun pilviympäristö suunnitellaan ja hallitaan oikein, se voi tarjota perinteisiin IT-ratkaisuihin nähden jopa paremman tietoturvan.
