Pilvipalvelut tietoturvan näkökulmasta. Mika Jalava Turvanvuoksi Oy Heureka

Transkriptio

1 Pilvipalvelut tietoturvan näkökulmasta Mika Jalava Turvanvuoksi Oy Heureka

2 Sisältö Muistin virkistys - tietoturvallisuuden perusasioita Mikä muuttuu pilvipalveluissa? Eroja tietoturvan toteutuksessa Kuka vastaa mistäkin? Yksityisyydensuoja Käytännön vinkkejä, palveluntarjoajan valintaa ym. Turvanvuoksi Oy 2

3 Tietoturvallisuuden perusasioita Kolme osa-aluetta: Tieto ei katoa: käytettävyys Se ei päädy vääriin käsiin: luottamuksellisuus Se säilyy oikeansisältöisenä: eheys Näiden merkitys ei katoa tai muutu pilveen siirryttäessä! Turvanvuoksi Oy 3

4 Esimerkein... Tieto tai palvelu on käytettävissä silloin kun sitä tarvitaan. Esimerkiksi: Nettipankkiin pääsee ja maksutkin onnistuvat Tieto on luottamuksellista: Sähköpostini luen vain minä, ja minun viestini lukee vain sen tarkoitettu vastaanottaja (?) Tieto on eheää: Pankkitilini saldo on sitä mitä sen pitääkin ja oppilaan henkilö- ja opintotiedot eivät itsekseen muutu Turvanvuoksi Oy 4

5 Ei mitään ihan kiva juttua! Jokaisesta osa-alueesta on aidosti pidettävä huolta palvelun ja tietosisällön turvaluokituksen edellyttämällä tavalla Oppilaiden harjoitustehtävien palautusjärjestelmän käytettävyys - Oppilaan oikeusturva mm. arvostelun suhteen Oppilaiden tai henkilöstön henkilötietojen tallennus luottamuksellisesti kuka vastaa virheen sattuessa vaikkapa identiteettivarkauden vahingoista? Oppimisalustan arvostelujärjestelmän eheys jälleen kysymys oikeusturvasta Sähköpostin luottamuksellisuus usein avain koko verkkoidentiteettiin! Turvanvuoksi Oy 5

6 Korjaako pilvi tietoturvan puutteet? Jos ihan yhdellä sanalla pitää vastata, niin... Tilanne muuttuu: Ei.

7 Uusia haasteita pilvessä Vastuu jakautuu niin hyvässä kuin pahassa Järjestelmän fyysinen toteutus hajautuu segmentointi vaikeampaa, päätelaitteiden hallinta haasteellista Palvelut pois omasta talosta, parantaako vai heikentääkö saatavuutta? Kansainvälisyys kommunikaatio, lainsäädäntö, viranomaisten pääsy tietoihin jne. Tiedon omistajuus ja riippuvuus palveluntarjoajasta ( lock-in ) Turvanvuoksi Oy 7

8 Mutta myös selkeitä etuja Mittakaavahyödyt Suunnitteluresurssit Tekniset resurssit Ylläpitoresurssit Tietoturvatoteutusten keskittäminen antaa näkyvyyttä Käyttäjäorganisaatiolla on kuitenkin oltava etujen hyödyntämiseksi oma, toimiva tietoturvapolitiikkansa, käytännöt ja riittävä osaaminen palveluiden ostamiseen! Turvanvuoksi Oy 8

9 Vastuunjaon pääpiirteet Tuotteistettujen palveluiden osalta määrittely, suunnittelu ja toteutus kuuluvat palvelun tarjoajalle. Räätälöityjen palveluiden määrittelyssä mukana on asiakas joka voi olla loppukäyttäjä tai väliporras, suunnittelu ja toteutus ovat palvelun tarjoajan vastuulla. Esimerkkinä koulu tai useamman koulun puolesta toimiva yhteisö, joka tilaa ulkopuoliselta tarjoajalta pilvessä toimivan oppimisalustan Kaikkien palveluiden tarkoituksenmukainen ja tietoturvallinen käyttö on mitä suurimmassa määrin kunkin käyttäjän vastuulla! Turvanvuoksi Oy 9

10 Vastuunjaosta Palveluiden tekninen toteutus kuuluu käyttäjän näkökulmasta JTO-kenttään (Jonkun Toisen Ongelma, Douglas Adams) Palvelun rajaaminen ei kuitenkaan ole ihan itsestäänselvää: Mikä on palvelu, kuka on käyttäjä? Formsiin perustuva palautesysteemi Google Forms Turvanvuoksi Oy 10

11 Kuka vastaa mistäkin? Esimerkki tietoturvan näkökulmasta: Se, että pilvisähköposti on käytettävissä, toimittaa postit oikeille vastaanottajille, ei hukkaa viestejä eikä päästä asiattomia ilman oikeita tunnuksia tilillesi, on palveluntarjoajan asia. Salasanan muistaminen, sen salaisena pitäminen, olan yli vilkuilu ja oikeiden osoitteiden kirjoittaminen vastaanottajiksi on käyttäjän hoidettava! Turvanvuoksi Oy 11

12 Muutama perinteinen ohje loppukäyttäjälle 1. Muista varmuuskopio! 2. Pidä sovellukset ja käyttöjärjestelmä päivitettynä! 3. Järkevät salasanat 4. Haittaohjelmien torjunta 5. Tunnista huijaukset Ovatko nämä pilvessäkin relevantteja? Turvanvuoksi Oy 12

13 Varmuuskopiot Tieto saadaan palautettua, jos se syystä tai toisesta menetetään Pilvipalveluiden tarjoajat hoitavat yleensä TEKNISISTÄ syistä johtuvilta menetyksiltä suojaamisen erinomaisesti Entä jos käyttäjä poistaa vahingossa jotakin? Entä jos käyttäjänä esiintyvä poistaa tai turmelee jonkin tiedon? Mitä tapahtuu, kun koko palveluntarjoaja syystä tai toisesta katoaa? Turvanvuoksi Oy 13

14 Varmuuskopioinnin vaatimuksista Mahdollisuus palveluntarjoajasta riippumattomaan kopioon Kopion oltava käyttökelpoisessa muodossa Etu myös haluttaessa vaihtaa palveluntarjoajaa tai käyttää tietoa muihin tarkoituksiin Sama koskee itse ylläpidettäviä räätälöityjä järjestelmiä! SLA:n (palvelutasosopimuksen) katettava myös normaali käytönaikainen varmuuskopiointi! Määrittely riippuu toki tiedon luokittelusta Turvanvuoksi Oy 14

15 Päivitykset Yksi suurimpia argumentteja pilvipalveluiden puolesta on se, että teknisten järjestelmien ajan tasalla pitäminen on ulkoistettu Merkittävä argumentti pilvipalveluiden puolesta palvelun päässä asiallinen toimittaja hoitaa turva- ja muut päivitykset! Muistakaa kuitenkin päätelaitteiden turvallisuus!!! Turvanvuoksi Oy 15

16 Salasanapolitiikka Mikä on kunnollinen salasana? Kuka vastaa siitä, että vain kunnollisia salasanoja käytetään? Pilvipalvelu houkutteleva kohde Turvanvuoksi Oy 16

17 Haittaohjelmat Keskeisimpiä tietoturvauhkia, joskus jopa siinä määrin että muut hyökkäysvektorit unohdetaan keskustelusta vektori kanava tai väline, joka välittää hyökkäystapahtuman suojattuun järjestelmään Pilvipalvelut houkutteleva kohde (taas...) Turvanvuoksi Oy 17

18 Huijaukset Sähköposti- tai muu haittaviestihuijaus tyypillinen tietomurron toteutustapa Pilvipalvelut houkutteleva kohde (jälleen kerran!) Ilman erityisiä kontrolleja pilveä voi olla vaikeampi suojata kuin erillistä järjestelmää Turvanvuoksi Oy 18

19 Pilvipalveluiden houkuttelevuus tietomurron kohteena Usein hyökkääjän on helpompi esiintyä luvallisena käyttäjänä (tulosuunta) Samat hyökkäysmenetelmät tehoavat yleensä useisiin asiakasorganisaatioihin Murron kohde voikin olla joku aivan muu kuin ensimmäinen uhri Tavoitteena palvelinjärjestelmän murtaminen Pienemmän riskin harjoittelu Identiteettivarkaus verkossa Turvanvuoksi Oy 19

20 Esimerkkejä Dropbox Palvelusta vietiin 2012 yli 60 miljoonan käyttäjän tiedot icloud, Google Drive Muualta khalastelluilla salasanoilla viety sensitiivistä tietoa Mutta onko kyse varsinaisesti pilven ongelmasta? KESKUSTELUAIHE! Code Spaces Yritys nurin 2014 DDOS-hyökkäyksen ja datan tuhoamisen seurauksena Turvanvuoksi Oy 20

21 Yksityisyydensuoja, salassapito ja valvonta EU vs. US Käyttäjä vs. viranomainen Verkkorikollisuus Huolimattomuus Turvanvuoksi Oy 21

22 EU vs. US 2015 Safe Harbour kehyssopimus todettiin pätemättömäksi 2016 käyttöön uusi EU-US Privacy Shield Vahvat vaatimukset yrityksille, jotka käsittelevät EU-kansalaisten dataa Selkeät säännöt ja läpinäkyvyysvaatimus USA:n viranomaisten pääsylle dataan Järjestely EU-kansalaisten oikaisuvaatimuksien käsittelyyn Yhdysvalloissa edelleen voimassa lainsäädäntö, joka edellyttää viranomaispääsyä yritysten ylläpitämään asiakasdataan Turvanvuoksi Oy 22

23 Viranomaisvalvonta, palvelut ja pilvi Selkeä ero omien järjestelmien ja ulkoistettujen palveluiden (pilven) välillä Lainsäädäntö voi olla muuttumassa myös EU:ssa/Suomessa! Eri implikaatiot eri tyyppisille organisaatioille: Tärkeää pitää huolta lainsäädännön asettamista yksityisyysvaatimuksista vs. Tärkeää suojata tietoa omista lähtökohdista Turvanvuoksi Oy 23

24 Luottamuksellisuuden tarve Lainsäädännön vaatimukset: Julkishallinto Koulutus Terveydenhuolto Sisäinen tarve: Henkilökohtainen viestintä Yritykset Tutkimus Turvanvuoksi Oy 24

25 Viranomaisvalvonnan merkitys Jos tavoitteena on täyttää lain vaatimukset, lienee turvallista olettaa, että viranomaisvalvonta ei vaikuta Jos tarve on sisäinen ja viranomainen voi edustaa vastapuolta, pilvipalveluiden hyödyntäminen edellyttää suunnittelua ja harkintaa Mitä tietoa? Minkä valtioiden vaikutuspiirissä palveluntarjoaja toimii? Missä palvelu fyysisesti sijaitsee? Mikä on palveluntarjoajan lähtökohtainen suhde valvontaan? Hyvä kansalainen vai asiakas ensin molemmat mahdollisia, vrt. Microsoft ja Apple SALAUS Turvanvuoksi Oy 25

26 Rikollisuus ja huolimattomuus Tavanomaiset syyt luottamuksellisuuden rikkoutumiseen ovat pilvessä samat kuin muissakin tietojärjestelmissä Pilvi houkutteleva kohde pilven asiakas voi päätyä sivuvahingoksi ( collateral damage ) Ulkopuolisen palveluntarjoajan huolimattomuus vs. oma huolimattomuus kumpi on todennäköisempää, kumpaan voi helpommin vaikuttaa? Vaihtelee varmasti organisaatiosta toiseen! Turvanvuoksi Oy 26

27 Miten minimoida riskejä käytännössä? Kaikissa tietojärjestelmissä suunnitelmallisuus ratkaisee pitkälti onnistumisen. Tässä yhdeydessä se relevantti kysymys suunnittelussa: Mitkä TURVALLISUUSSEIKAT vaikuttavat siihen, toteuttaako palvelu pilvessä vai omilla järjestelmillä?? Omat resurssit: laitteet, verkot, henkilösto Oma osaamistaso ja saatavilla olevien palveluiden taso Palvelun yksilöllisyys vs. tuotteistettu luonne Turvanvuoksi Oy 27

28 Palveluntarjoajan valinta Mitä ostetaan? Tallennusta, sovellusta, tunnistusta... Maine? Isot (yleensä) osaavat Isoja vastaan hyökätään paljon Vahinkohistoria Onko kotimaalla väliä? Läheltä on helppo ostaa Suomessa on myös kovaa osaamista! Esim. UpCloud, Gapps USA toistaiseksi alan suurin, kyseenalainen maine Turvanvuoksi Oy 28

29 Palvelutasosopimus, SLA Sopimus ja dokumentaatio ratkaisevat, ei markkinointimateriaali Ainakin nämä kuntoon ja paperille: 1. Varsinainen haluttu toiminnallisuus 2. Muutosten toteuttaminen ja hinnoittelu 3. Käytettävyys mikä on sallittu downtime? Onko varajärjestelyjä? 4. Varmuuskopiointi käytönaikainen pilven sisällä omat kopiot onko data myös käyttökelpoisessa muodossa? 5. Vastuut kuka vastaa kenellekin, esim. luottamuksellisuuden menetyksestä loppukäyttäjälle? mikä on korvaustaso eri tapauksissa, downtime, datan häviäminen? Turvanvuoksi Oy 29

30 Lopuksi: tarkoitus ei ole jättää tällaista kuvaa pilvestä

31 Pilvipalvelut ovat nykyaikaa myös turvallisudessa, kun ymmärretään niiden ominaispiirteet! Turvanvuoksi Oy 31