Tietoturva on kaikkien organisaatioiden prioriteetti. Etenkin pilvipalveluiden osalta. Täältä saat lisätietoa edistyneistä turvatoimista, kuten salauksesta, roolipohjaisesta pääsynhallinnasta, sääntöjen noudattamisesta ja muista toimista, jotka suojaavat tietojasi pilvipalveluympäristöissä. Saat myös hyviä vinkkejä siitä, miten voit selvittää, onko pilvipalveluntarjoaja korkean turvallisuustason mukainen.

Pilvipalvelujen turvallisuus – salaus, pääsyn hallinta ja vaatimustenmukaisuus

Pilvipalvelu on yksinkertainen, joustava ja kustannustehokas tapa yrityksille hallita tietojaan ilman, että niiden tarvitsee itse investoida tai ylläpitää tarvittavaa IT-infrastruktuuria. Koska pilvipalvelu tarkoittaa, että tietosi sijaitsevat pilvipalveluntarjoajan palvelimilla eikä paikallisesti, on tärkeää tietää, millä turvatoiminnoilla pilvipalvelussa olevia tietojasi voidaan suojata. Täältä saat lisätietoa salauksesta, roolipohjaisesta pääsynhallinnasta, vaatimustenmukaisuudesta ja muista tärkeistä turvallisuusnäkökohdista, jotka auttavat sinua valitsemaan turvallisen ratkaisun pilvipalveluun.

Salaaminen tietojen suojaamiseksi pilvipalvelussa

Kaikissa tietojen tallennus- ja käsittelymuodoissa yleisin turvallisuusriski on todennäköisesti se, että joku ulkopuolinen pääsee käsiksi yrityksen tietoihin, esimerkiksi tietomurron yhteydessä. Nykyään
yrityksiin kohdistuu tietomurtoyrityksiä maailmanlaajuisesti joka 11. sekunti. Tärkein turvatoimenpide tietojen varastamista tai manipuloimista vastaan on salaus. Tämä tarkoittaa, että alkuperäiset tiedot muunnetaan lukukelvottomaksi salakirjoitukseksi salausalgoritmin ja salausavaimen avulla. Vaikka joku ulkopuolinen pääsisi käsiksi tietoihin tietomurron yhteydessä, tiedot ovat käyttökelvottomia, koska salaus varmistaa, että vain oikealla avaimella tai tunnistautumistunnuksella varustetut käyttäjät voivat purkaa salauksen ja lukea tiedot.

Pilvipalvelussa tietojen suojaamiseen on kaksi tapaa: salaus levossa ja siirron aikana. Salaus levossa tarkoittaa, että tiedot suojataan palvelimella tai laitteella, johon ne on tallennettu. Salaustekniikat, kuten AES (Advanced Encryption Standard) ja RSA, tekevät palvelimella olevista tiedoista lukukelvottomia kaikille, joilla ei ole oikeaa avainta, mikä suojaa tietojen varastamiselta. Siirron aikana tapahtuva salaus puolestaan salaa tiedot, kun ne siirretään pilvipalvelun palvelimien ja käyttäjän laitteen välillä. Suojaus tapahtuu yleensä turvallisen siirron protokollien, kuten TLS (Transport Layer Security) ja HTTPS, avulla. Tämä estää niin sanotut man-in-the-middle-hyökkäykset, joissa hyökkääjät yrittävät päästä käsiksi verkkoliikenteessä oleviin tietoihin.

Useimmat nykyiset pilvitallennuspalvelujen tarjoajat käyttävät salausta sekä tallennuksen että siirron aikana varmistaakseen korkean tietoturvatason. Lisäksi tietoja suojataan palvelimilla turvallisuusmenetelmillä, kuten palomuureilla, jotka estävät liikenteen luvattomista paikoista, verkkovalvonnalla, joka tarkkailee epäilyttäviä toimintoja, sekä fyysisillä suojatoimenpiteillä, kuten kehäsuojauksella, hälytysjärjestelmillä ja tiukalla pääsynvalvonnalla, jotka takaavat, että vain valtuutetut henkilöt pääsevät palvelimille.

Roolipohjainen pääsynhallinta rajoittaa pilvipalveluun tallennettujen tietojen käyttöä

Roolipohjainen pääsynhallinta (RBAC) on turvallisuusmenetelmä, joka suojaa pilvipalveluun tallennettuja tietoja järjestämällä ja rajoittamalla pääsyä pilvipalvelun resursseihin. Kuten nimestä voi päätellä, pääsy perustuu rooleihin eikä yksilöllisiin käyttöoikeuksiin. Käytännössä tämä tarkoittaa, että jokaisen käyttäjän pääsy resursseihin ja toimintoihin perustuu käyttäjän rooliin organisaatiossa. Esimerkiksi tietyt roolit voivat olla oikeutettuja lukemaan vain tiettyjä työtehtäviinsä liittyviä tietoja. Tämä tarkoittaa, että kehittäjän roolilla voi olla oikeus luoda ja muokata tietoja, kun taas järjestelmänvalvojan roolilla on oikeus luoda, muokata ja poistaa tietoja sekä muuttaa muiden käyttäjien käyttöoikeuksia.

Tämäntyyppinen pääsynhallinta rajoittaa pilvitallennustilaan pääseviä käyttäjiä, mikä vähentää luvattoman pääsyn ja tietovuotojen riskiä. RBAC suojaa myös inhimillisistä tekijöistä johtuvilta ongelmilta, kuten vahingossa tehdyiltä virheellisiltä muutoksilta. Tällä tavoin roolipohjainen pääsynhallinta parantaa myös hallittavuutta ja tehostaa tietojen valvontaa.

Roolipohjaisen pääsyn käyttö on tärkeä toimenpide GDPR- ja ISO 27001 -turvallisuusstandardien täyttämiseksi. Erityisesti, jos pääsyn hallinta käyttää vahvoja todennusmenetelmiä, kuten monivaiheista todennusta tai biometristä kirjautumista.

Pilvipalvelujen sääntöjen noudattaminen

Juuri turvallisuusstandardit, kuten GDPR ja ISO 27001, ovat tärkeässä roolissa pilvipalvelujen korkean turvallisuustason ylläpitämisessä. Tietosuoja-asetus GDPR (General Data Protection Regulation) on yksi maailman tiukimmista turvallisuuslainsäädännöistä, ja sen tarkoituksena on varmistaa yksilöiden tietosuojaoikeuksien kunnioittaminen. GDPR vaikuttaa pilvipalvelujen turvallisuuteen muun muassa asettamalla vaatimuksia tietosuojalle ja luvattoman pääsyn estämiselle, salaukselle, tietomurtojen havaitsemis- ja ilmoittamismenettelyille sekä läpinäkyvyydelle ja tietosuojan hallinnalle.

ISO 27001 on kansainvälisesti tunnustettu tietosuoja- ja tietoturvastandardi, joka määrittelee tietoturvan vaatimukset. ISO 27001 -sertifioitu pilvipalvelujen tarjoaja voi osoittaa, että sillä on käytössä turvallisuustoimenpiteet pilvipalveluihin liittyvien turvallisuusriskien tunnistamiseksi, arvioimiseksi ja hallitsemiseksi. ISO-standardi asettaa muun muassa vaatimuksia pääsynvalvonnalle, salaukselle, poikkeustilanteiden hallinnalle ja fyysisiltä uhilta suojautumiselle. Lisästandardi ISO 27017 keskittyy lisäksi pilvipalvelujen turvallisuuteen liittyviin ohjeisiin. Se määrittelee muun muassa palveluntarjoajan ja asiakkaan vastuualueet sekä pilvipalveluihin liittyvät erityiset riskit.

GDPR-vaatimusten mukaiset ja ISO 27001 -sertifioidut pilvipalvelujen tarjoajat ovat velvollisia ylläpitämään ja parantamaan pilvipalvelujen turvallisuutta suojaamalla tietoja ja hallitsemalla riskejä. Näin ollen sääntöjen noudattaminen on merkki korkeasta tietoturvasta pilvipalveluissa.

Tärkeää huomioitavaa pilvipalvelujen turvallisuudessa

Alun perin pilvipalveluihin suhtauduttiin skeptisesti, koska pelättiin, että pilvi ei pystyisi tarjoamaan riittävää tietoturvaa. Totuus on kuitenkin se, että nykypäivän pilvipalvelujen tarjoajat pystyvät useimmiten tarjoamaan paljon paremman tietoturvan kuin useimmat muut yritykset, koska pilvipalvelujen tarjoajat keskittyvät nimenomaan tietojen tallennukseen ja siirtoon. Siksi ne voivat yleensä tarjota paremman turvallisuuden kuin paikalliset järjestelmät. Tämä koskee esimerkiksi tietoturvaa, joka liittyy varmuuskopiointiin, palontorjuntaan ja suojaan muiden katastrofien, murtojen tai sähkökatkosten varalta. On kuitenkin tärkeää, että pilvipalveluita aikova tarkistaa, miten palveluntarjoaja huolehtii pilvipalveluiden turvallisuudesta. Voit tehdä sen seuraavasti:

• Tarkista toimittajan sääntöjen noudattaminen ja turvallisuussertifikaatit. Esimerkiksi GDPR ja ISO 27001.
• Selvitä, missä tiedot tallennetaan: Ruotsissa, EU:ssa vai Euroopan ulkopuolella? Se vaikuttaa siihen, mitkä säännökset koskevat tietosuojaa.
• Tarkista, miten toimittaja salaa tiedot, kun ne ovat tallessa ja siirrossa. Mitä protokollia käytetään, kuka hallitsee salausavaimia ja onko lähettäjän ja vastaanottajan välillä end-to-end-salaus?
• Käyttääkö palveluntarjoaja roolipohjaista pääsynvalvontaa ja monivaiheista todennusta? Kirjaako palveluntarjoaja pääsyn ja toimet, jotta mahdolliset epäilyttävät toimet voidaan jäljittää?
• Miten toimittajan tapahtumienhallinta ja reagointikyky toimivat?
• Miten fyysinen turvallisuus on järjestetty? Miten fyysinen pääsy, käyttökatkokset, katastrofit, palvelut ja pilvipalveluiden tallennus hoidetaan?
• Voiko palveluja ja pilvitallennustilaa skaalata turvallisuutta vaarantamatta?
• Mitkä ovat toimittajan tietoturvapolitiikat ja referenssit?
• Useimmissa pilvipalveluissa on käyttäjäasetukset, joilla voi hallita pääsyä. Selvitä, miten voit itse hallita, kuinka paljon muut saavat tietää tilistäsi. Luo oma tietoturvakäytäntö, jossa määritellään, miten pääsy ja tietosuoja hoidetaan.

Näin Binero suojaa tietojasi pilvipalvelussa

Pilvipalvelumme on suunniteltu tukemaan nopeaa kehitystä ilman, että turvallisuudesta tai tietojen eheydestä joudutaan tinkimään. Haluatpa sitten käyttää omia palvelimia tai ajaa sovelluksiasi julkisessa pilvipalvelussa, meillä on turvalliset ja helppokäyttöiset ruotsalaiset pilvipalvelut, jotka toimivat ympäristöystävällisestä datakeskuksestamme Vallentunassa. Tämä tarkoittaa, että kaikki meille tallennetut tiedot käsitellään yksinomaan Ruotsissa ja että ne ovat Ruotsin lainsäädännön ja GDPR:n alaisia. ISO 27001 -sertifiointimme takaa, että täytämme korkeimmat tietoturvastandardit.

Voimme tarjota entistä vahvemman IT-turvallisuuden Network Operations Center (NOC) -keskuksemme kautta. Siellä oma henkilökuntamme valvoo verkkojanne ja resurssejanne reaaliajassa, jotta he voivat reagoida nopeasti ja tehokkaasti mahdollisiin ongelmiin sekä tunnistaa ja korjata potentiaaliset ongelmat jo ennen kuin ne vaikuttavat liiketoimintaanne.

Ota yhteyttä, jos haluat lisätietoja pilvipalvelujen tietoturvasta!