Pilvipalveluiden arvioinnin haasteet

Transkriptio

1 Pilvipalveluiden arvioinnin haasteet Tietoturvallisuus- ja jatkuvuuden hallinnan vaatimukset ICT-hankinnoissa, Laura Kiviharju

2 Pilvipalvelut Pilvilaskenta (CloudComputing) tarkoittaa internetissä (eli "pilvessä") tapahtuvaa tietotekniikan kehitystä ja käyttöä hajautetuissa ympäristöissä. [...] Palvelu tarjotaan "pilvessä", jonka teknisiä yksityiskohtia palvelun käyttäjät eivät voi nähdä tai hallita. Pilvilaskenta kuvaa uutta tietoteknisten palveluiden tuottamisen, käyttämisen ja toimittamisen mallia, johon liittyy internetin yli palveluna tarjottuja dynaamisesti skaalautuvia ja virtuaalisia resursseja. [...] Pilvipalvelut (cloudservices) ovat "pilvessä" tarjottavia palveluita. Palveluiden pääluokat ovat SaaS (Software as a Service), IaaS (Infrastructureas a Service) ja PaaS (Platform as a Service). (lähde Wikipedia) Pilvipalvelut ovat tyypillisesti paikasta riippumattomia, verkon kautta käytettäviä palveluja. Organisaation tai yksityisen henkilön tarvitsemat sovellukset, palvelut tai tiedot sijaitsevat tällöin palveluntarjoajan palvelimilla Laura Kiviharju, erityisasiantuntija [pvm] 2

3 Yksityinen pilvipalvelu -Private Cloud Yksityinen pilvi on yhden organisaation käyttöön tarkoitettu, virtuaalisoinnin ansiosta fyysiseen paikkariippumattomuuteen perustuva tekninen ratkaisu Soveltuuko luokitellun tiedon tallentamiseen?» Asiakaskohtainen looginen erottelu, ainoa ero julkiseen pilvipalveluun» Samat todentamiseen liittyvät ongelmat kuin julkisessa pilvipalvelussa» Palvelun arviointi toteutetaan samoin periaattein kuin minkä tahansa tietojärjestelmän arviointi Laura Kiviharju, erityisasiantuntija [pvm] 3

4 Ennen arviointia... Tarjouspyynnössä vaadittu ja hankintasopimuksessa sovittu:» Tietoturvallisuusvaatimukset» Todentamismenetelmät Huomioitavaa lainsäädäntöä» Tietoturvallisuusasetus (vaatimukset)» Laki kansainvälisistä tietoturvallisuusvelvoitteista (vaatimukset)» Arkistolaki ja henkilötietolaki (vaatimukset)» Sähköisen viestinnän tietosuojalaki (vaatimukset)» Laki viranomaisten tietojärjestelmien ja tietoliikennejärjestelyjen tietoturvallisuuden arvioinnista (todentaminen) Laura Kiviharju, erityisasiantuntija [pvm] 4

5 Tietoturvallisuuden perustaso (TTA 5 ) TTA 6 : Tietoturvallisuustoimenpiteet huomioitava niin, että velvoitteita noudatetaan myös toimeksiantosuhteissa 1. Viranomaisen toimintaan liittyvät tietoturvallisuusriskit kartoitetaan; 2. Viranomaisen käytössä on riittävä asiantuntemus tietoturvallisuuden varmistamiseksi ja että tietoturvallisuuden hoitamista koskevat tehtävät ja vastuu määritellään; 3. Asiakirjojen käsittelyä koskevat tehtävät ja vastuut määritellään; 4. Tietojen saanti ja käytettävyys eri tilanteissa turvataan ja luodaan menettelytavat poikkeuksellisten tilanteiden selvittämiseksi; Pilvipalvelun riskienarviointi Poikkeamanhallintamenettelyt 5. Asiakirjojen ja niihin sisältyvien tietojen salassapito ja muu suoja varmistetaan antamalla pääsy asiakirjoihin vain niille, jotka tarvitsevat salassa pidettäviä tietoja tai henkilörekisteriin talletettuja henkilötietoja työtehtäviensä hoitamiseksi; Tiedonsaanti tarve Laura Kiviharju, erityisasiantuntija [pvm] 5

6 Tietoturvallisuuden perustaso Käyttöoikeushallinnasta 6. Tietojen luvaton muuttaminen ja muu luvaton tai asiaton käsittely estetään käyttöoikeushallinnan, käytön valvonnan sekä tietoverkkojen, tietojärjestelmien ja tietopalvelujen asianmukaisilla ja riittävillä turvallisuusjärjestelyillä ja muilla toimenpiteillä; 7. Asiakirjojen tietojenkäsittely- ja säilytystilat ovat riittävästi valvottuja ja suojattuja; Tiloja suojaaminen ja valvonta 8. Henkilöstön ja muiden asiakirjojen käsittelyyn liittyviä tehtäviä hoitavien luotettavuus varmistetaan tarvittaessa turvallisuusselvitysmenettelyn ja muiden lain perusteella käytettävissä olevien keinojen avulla; 9. Henkilöstölle ja muille asiakirjojen käsittelyyn liittyviä tehtäviä hoitaville annetaan ohjeet ja koulutusta asiakirjojen ja niihin sisältyvien tietojen asianmukaisesta käsittelystä; 10.Annettujen ohjeiden noudattamista valvotaan ja niiden muutostarpeita arvioidaan säännöllisesti. Henkilöstön luotettavuus ja koulutus Laura Kiviharju, erityisasiantuntija [pvm] 6

7 Pilvipalveluiden merkittävimpiä uhkia ja riskejä Tekniset riskit:» tietoturvaltaan huonot rajapinnat» tiedon tuhoutuminen» pilviteknologiasta aiheutuvat haavoittuvuudet Tietoturvaan liittyvät uhat:» pääsynhallinta» liikenteen kaappaus» tiedon fyysinen sijainti» omien tietoturvakäytäntöjen ulottaminen ulkopuoliseen palveluun» tiedon eristäminen tai salaaminen» pilven rikollinen tai häiriötä aiheuttava käyttö» uusi konsepti, vakiintumattomat käytännöt Palvelun luotettavuuteen liittyvät riskit:» vahinkoa aiheuttavat pilvipalvelun ylläpitäjät, tahallinen tai tahaton toiminta» palveluntarjoaja toiminnan vakaus Lakisäädökselliset riskit» Nykyinen lainsäädäntö ei tue pilvipalvelumallia (monikansallinen toiminta) Laura Kiviharju, erityisasiantuntija [pvm] 7

8 Viestintäviraston arviointipalvelut: Viranomaisten tietojärjestelmät Pyynnön tekijä» Viranomainen, viranomaisen lukuun hankintoja tekevä, tietojenkäsittely- tai tietoliikennepalveluja taikka niihin liittyviä palvelutehtäviä tarjoava taho Arvioinnin kohde» Tietojärjestelmä tai tietoliikennejärjestely Käytettävät kriteeristöt» VAHTI-ohjeet (tietoturvallisuus ja varautuminen)» KATAKRI Arviointi voidaan tehdä myös osittaisena Laura Kiviharju, erityisasiantuntija [pvm] 8

9 Arvioinnin eteneminen Arviointiprosessi Laura Kiviharju, erityisasiantuntija [pvm] 9

10 Pilvipalveluiden hankinnassa huomioitavat keskeiset asiat Mitä tietoa käsitellään» Viranomaisen salassa pidettävä tieto (ST-taso)» Henkilötiedot» Julkinen tieto Minne tieto tallennettu» Valtio (paikallinen lainsäädäntö, auditointimahdollisuudet?)» Datakeskus, konesali (mihin vaatimukset kohdennetaan?) Kenellä palveluntarjoajan henkilöstössä pääsy tietoon» Tiedon erottelu Muut asiakkaat? Luottamus palveluntarjoajaan» Pilvipalvelusertifikaatit Itsearviointi» Toimittajan auditointi» Viranomaisarviointi Laura Kiviharju, erityisasiantuntija [pvm] 10

11 Kiitos! Laura Kiviharju, erityisasiantuntija [pvm] 11