Integraatiot ja tietoturva – miten?

Integraatiot ja tietoturva -blogisarjan ensimmäisessä osassa kävimme läpi perusteita aihealueen ympärillä ja nostimme esiin seikkoja, miksi tietoturvasta huolehtiminen on ensisijaisen tärkeää. Tämänkertaisessa blogissa kerromme keinoista ja menetelmistä, joiden avulla pystyt rakentamaan tietoturvallisia integraatiokokonaisuuksia.

Tietoturvaratkaisut voidaan jakaa karkeasti kahteen eri kokonaisuuteen: Tekniseen ja hallinnolliseen tietoturvaan. Molemmat ovat yhtä lailla tärkeitä osia kokonaisuudessa. Ei riitä, että tekniset ratkaisut ovat suojattu ja ajan tasalla, jos yleisen tason viitekehys, ohjeistukset, prosessit ja käytänteet eivät ole kunnossa. Ja tietysti toisin päin: Kattavasti dokumentoidut prosessikäytänteet eivät suojaa vaillinaisesti toteutettuja salaamattomia ja autentikoimattomia teknisiä ratkaisuja.

Hallinnollisia ja teknisiä kokonaisuuksia voidaan edelleen jakaa selkeyden vuoksi pienempiin loogisiin kokonaisuuksiin. Yksi mahdollinen tapa jäsentää tietoturvan eri osa-alueita on alla olevan kuvan mukainen viitekehys integraatioiden tietoturvaan osana kokonaisintegraatioarkkitehtuuria.

Manage-osion alla kuvataan hallinnollisia tietoturvakokonaisuuksia, kuten tietoturvan johtamisjärjestelmä, tietoturvan kehityslinjaukset ns. kehittäjän käsikirjan myötä ja poikkeuksenhallinnan prosessit. Huomioon otettavat kokonaisuudet ovat yleensä hyvin laajoja ja niiden vaikutukset heijastuvat niin ikään laajasti työtapoihin ja myös tekniikkaan. Hallinnolliset perusperiaatteet luovat pohjan tietoturvalliselle työskentelylle. Ne vaativat kuitenkin säännöllistä validointia ja arviointia esimerkiksi vuosikello-tyyppisten tarkistusten myötä. Kokemusten karttuessa ja maailman muuttuessa hallinnollisia perusperiaatteita pitääkin kehittää toiminnan tehostamiseksi. On erityisen tärkeää myös osallistaa organisaation eri osa-alueita kehitykseen. Näin pystytään tunnistamaan mallien mahdollisia sudenkuoppia esimerkiksi organisaation eri toimintojen ja tasojen osalta. 

Tietoturvallinen integraatioalusta

Tekniset tietoturvakokonaisuudet löytyvät kuvan keskeltä olevasta laatikosta jaettuna pienempiin osa-alueisiin. Infrastruktuurin alta löytyy esimerkiksi palomuuri- ja palvelinturvallisuuteen liittyviä asioita. Käyttöjärjestelmien ja muiden ajoalustojen (esim. container-alustat) ajantasaiset tietoturvapäivitykset kannattaa pitää kunnossa. Puutteelliset tietoturvapäivitykset altistavat alustat tietoturvaongelmille. Myös puutteelliset järjestelmäkonfiguraatiot saattavat avata reittejä tietomurroille.  Konfiguraatioiden osalta järjestelmätoimittajat tai kehittäjäyhteisöt saattavat itse julkaista suosituksia muun muassa kovennusten (hardening) suhteen. Yhteisöistä esimerkiksi Center for Internet Security (CIS) ylläpitää CIS Benchmarks -kirjastoa lukuisten eri järjestelmien, sovellusten ja jopa laitteistojen osalta tietoturvallisista konfiguraatiosuosituksista. CIS tarjoaa järjestelmäkohtaisten suositusten lisäksi erilaisia parhaita käytäntöjä ja kontrolleja tietoturvan saralta.

Platform Security -osiossa kuvataan varsinaiseen integraatioalustaan kuuluvia osakokonaisuuksia. Integraatioalustojen kirjo on valtava; Kaupallisista tuotteista avoimen lähdekoodin ratkaisuihin unohtamatta organisaation sisäisiä in house -järjestelmiä. Viime vuosina etenkin iPaaS (Integration Platform as a Service) -tyyppisten integraatioratkaisujen suosio on noussut. iPaaS-ratkaisuissa ainakin osa kokonaisuudesta toimitetaan pilvipalveluna. Tuotteistettuna palveluna tekninen tietoturva on pääsääntöisesti hyvällä tasolla toimittajan huolehtiessa versiopäivityksistä. Ratkaisujen pilvipohjaisuuden vuoksi kannattaa kuitenkin kiinnittää erityistä huomiota tiedonsiirron salaukseen ja tietosuojan osalta palveluiden fyysiseen sijaintiin.

Avoimen lähdekoodin ratkaisut vaativat organisaatiolta enemmän paneutumista tekniseen tietoturvaan. Avoimen lähdekoodin ratkaisuja voi ottaa käyttöön ilman lisenssikustannuksia, mutta käyttäjä itse vastaa komponenttien, kuten ohjelmakirjastojen, ajantasaisuudesta. Vaihtoehtoisesti avoimen lähdekoodin ratkaisuja voidaan lähteä kehittämään integraatiokumppanin kanssa.

Keskitetty integraatioalusta tarjoaa työkaluja ja kirjastoja integraatiokehityksen, mutta myös integraatioiden elinkaaren hallintaan. Monet tuotteet tarjoavat jo valmiiksi kattavat työkalut raportointiin, pääsynhallintaan ja lokitukseen, mutta mahdollistavat myös integraatiovalvonnan tehostamisen 3. osapuolen työkaluilla. Useimmiten hallitsemattomassa point-to-point -integraatioarkkitehtuurimallissa, jossa integraatioprosessit on toteutettu erillisillä skripteillä, juuri valvonta ja lokitus muodostuu isoksi haasteeksi. Pienessä ympäristössä vaihtoehto toteuttaa integraatiot suhteellisen pienin kustannuksin erilaisilla custom-ratkaisuilla saattaa olla houkutteleva, mutta ympäristön kasvaessa muodostuu helposti hallitsematon kokonaisuus.
. 

Integraatiototeutusten tietoturva

Integraatioprosessien, rajapintojen ja tapahtumavirtojen osalta tilannetietoisuus on tärkeää. Toteutuksien osalta kannattaakin rakentaa keskitetty katalogi, missä kokonaisuudet on dokumentoitu tarvittavalla tasolla: Mitä integraatio tekee, mitä järjestelmiä se sitoo toisiinsa, mitä dataa käsitellään, mikä on toteutuksen kriittisyysluokitus? Tietoturvan osalta tulee varmistaa rajapintojen salaus, mahdollinen datan salaamistarve ja tietosuojan, esimerkiksi GDPR:n, vaatimuksenmukaisuus. Toteutusten dokumentaatio, kuten muukin materiaali kannattaa kerätä wiki-tyyppiseen alustaan, jossa myös kehittäjän käsikirja ja hallinnolliset dokumentit ovat tallennettuina. Verkkolevyillä sijaitsevat tekstidokumentit ovat huonosti ylläpidettäviä. Pahimmillaan dokumenteista muodostuu duplikaatteja, tai arvokasta tietoa häviää bittiavaruuteen.

Erilaiset riskit vaikkapa järjestelmien vikatilanteissa tulee ottaa huomioon ja kirjata tarvittavalla tasolla ylös. Yhteystunnisteet, kuten tunnukset, salasanat ja avaimet, tulee säilyttää salattuna siten, että niihin on pääsy vain tarvittavilla henkilöillä. Toteutukset tulee luokitella ja rakentaa luokitteluun perustuvat tietoturvan minimivaatimukset. Arkaluontoisia, kuten henkilötietoja sisältävät tai käsittelevät toteutukset ovat luonnollisesti tässä suhteessa kriittisempiä kuin vaikkapa viikon lounaslistan palauttava rajapinta.

Toteutusten vertaisauditointi on hyvä keino varmistaa, että toteutus noudattaa sovittuja käytäntöjä. Yhteisesti sovittua auditointipohjaa hyödyntämällä voidaan varmistua, että ratkaisut noudattavat myös tietoturvalinjauksia: Onko data suojattu luokituksen edellyttämällä tavalla? Millä tasolla tietoja lokitetaan ja päätyykö lokitietoihin tarpeettomasti esimerkiksi henkilötietoja?

Rajapintojen (API:t) tietoturvaongelmat altistavat organisaation tietomurroille. Niitä saatetaan myös hyödyntää erilaisissa palvelunestohyökkäyksissä, sillä osa rajapinnoista voi olla luonteensa takia avoinna internetiin. Vaikka rajapinta olisikin vain organisaation sisäverkon käytössä, tulee se suojata asianmukaisesti. API-tietoturvallisuuden osalta Open Worldwide Application Security Projectin eli tutummin OWASP:n ”Top 10 API security risks” -listaus nostaa esiin kymmenen suurinta turvallisuusriskiä. Listaus on blogin kirjoitushetkellä päivittynyt juuri tuoreimpaan 2023 versioon. Isoimpina haasteina esiin nousee mm. puutteellisen autorisoinnin ja autentikoinnin aiheuttamat riskit. Saatavuuden osalta resurssien rajoittamattomat käyttömahdollisuudet avaavat reittejä palvelunestohyökkäyksille. Riskilistaukseen voi tutustua täältä.

Tietoturva kannattaa pitää mielessä myös kehitysvaiheen testauksessa ja muistaa, että asianmukaisten suojausten lisäksi myös tiedon eheys ja saatavuus varmistetaan. Tietoturva ei siis ole pelkästään suojausta ja koventamista, mutta tieto on oltava tarvittavien tahojen saatavissa eheässä muodossa.
 

Elinkaaren hallinta

Viimeisenä osana integraatiotietoturvan viitekehystä on Control-osuus. Se sisältää menetelmiä ja prosesseja integraatioarkkitehtuurin hallintaan tietoturvan näkökulmasta. Esimerkiksi integraatioratkaisujen pääsynhallinta kuuluu osana tähän kokonaisuuteen. Muita aiheeseen liittyviä osakokonaisuuksia voivat olla esimerkiksi keinot, millä havaita erilaisia tietoturvauhkia ja tietomurtoja tai että tehdyt ratkaisut noudattavat säädöksiä ja lakeja esimerkiksi henkilötietosuojan osalta.

Osa elinkaaren hallinnan menetelmistä on ylös kirjattuja prosesseja, esimerkiksi säännöllisin väliajoin tapahtuvia tarkistuksia. Osa taas liittyy enemmän tekniikkaan, kuten tietoturvaskannauksiin erilaisten haavoittuvuuksien havaitsemiseksi. Säännöllisesti toteutetut, ulkoisen kumppanin suorittamat tietoturvaskannaukset saattavat paljastaa piileviä ongelmia vaikkapa rajapintojen osalta. Vastaavan tyyppisiä toimia voi toki ottaa osaksi sisäistäkin testausta, mutta ulkopuolisen kumppanin mukaan ottaminen tuo testaukseen uusia näkökulmia mitkä eivät välttämättä nouse esiin organisaation sisällä.

Organisaatio itsessään voi myös sertifioitua tietoturvan hallinnan osalta. Yksi tunnetuimmista sertifikaateista tällä saralla lienee ISO 27001, jonka keskiössä on ISMS eli Information Security Management System. Sertifikaatti määrittelee millä tasolla organisaation tulisi hallita riskejä ja omaisuuttaan tietoturvan näkökulmasta.

Kaikkien tietoturvaan liittyvien teknisten ratkaisujen ja hallinnollisten prosessien tulee ennen kaikkea varmistaa, että tietoturvan kolme pääperiaatetta, eli luottamuksellisuus, eheys ja saatavuus ovat kunnossa. Kaikki edellä mainituista perusperiaatteista ovat yhtäläisen tärkeitä.

Digia – Kumppanisi tietoturvallisten integraatioiden maailmassa

Digialta saat käyttöösi laaja-alaista ja ajantasaista osaamista niin tietoturvan kuin integraatioiden osalta. Olemme toteuttaneet tietoturvallisia integraatioratkaisuja eri toimialoille kriittisiinkin tarpeisiin usean vuosikymmenen ajan.

Mikäli haluat kuulla lisää Digian tuotteista ja palveluista, käy tutustumassa palveluihimme tai ota meihin yhteyttä!

Lisää aiheeseen liittyvää sisältöä

Blogi: Käsittelin Integraatiot ja tietoturva -aihetta jo aiemmassa blogissani näkökulmasta "Miksi?". Pääset lukemaan blogin tästä >

Webinaaritallenne: Järjestimme taannoin aiheeseen liittyvän webinaarin, katso webinaarin tallenne, jos aihe kiinnostaa: Kuinka kehittää integraatioarkkitehtuuria hallitusti >