Organisaatiot siirtyvät nyt nopealla tahdilla pilveen. Turvallinen pilviympäristö on monelle yritykselle liiketoiminnan jatkuvuuden kannalta olennainen tekijä, mutta voiko pilviympäristön tietoturvallisuudessa piillä myös kasvun mahdollisuuksia? Voisiko tietoturvallinen pilviympäristö olla yrityksesi uusi kilpailutekijä?
Mitä enemmän yritysten digitaaliset prosessit, järjestelmät ja palvelut siirtyvät pilvialustoille, sitä tärkeämpää roolia tietoturva näyttelee toiminnan jatkuvuuden kannalta. Muuttuva lainsäädäntö, kuten EU:n tuleva data-asetus ja tekoälyasetus sekä päivitetty kybertuvallisuusdirektiivi (NIS2), tuo mukaan omat vaatimuksensa, joiden mukaan omaa toimintaa tulee peilata tai kehittää. Yrityksen on oltava koko ajan entistä tietoisempi siitä, miten dataa käsitellään ja mitä dataa missäkin järjestelmässä ja ympäristössä liikkuu.
Pilvipalveluiden kohdalla moni pohtii vastuun jakautumista turvallisuuskysymyksissä. Pilvessä puhutaan yleensä shared responsibility -mallista: vastuu jakautuu pilvialustan tarjoajan ja asiakkaan välillä. Pilvipalvelun teknologiatoimittaja luonnollisesti huolehtii oman alustansa tietoturvasta, mutta asiakkaana olet viime kädessä itse vastuussa alustan päällä pyörivän kokonaisuutesi tietoturvallisuudesta.
Vastuuta ei siis voi koskaan täysin ulkoistaa kumppaneille. Siksi pilviympäristön tietoturvasta on hyvä ymmärtää muutama perusasia jo silloin, kun pilveen siirtymistä ryhdytään suunnittelemaan.
Pilveen siirryttäessä yksi ja sama ratkaisu ei sovi kaikille. Tarpeet ovat yksilöllisiä: joku sovellus hyödyntää enemmän pilvinatiiveja komponentteja, toisen kohdalla taas on kyse lähinnä laskentatehon siirtämisestä pilveen.
Siirtymässä tietoturvaratkaisut on suunniteltava yksilöllisesti sovellusten ja palveluiden mukaan, ja suunnittelun on kuljettava käsi kädessä siirtymän kanssa – tietoturvaa ei voi liimata päälle jälkikäteen. Yrityksellä on tärkeää olla kirkas visio siitä, mitä pilveen halutaan viedä ja mitä palveluita siellä halutaan toteuttaa. Pilvisiirtymä on siis suunniteltava huolellisesti ja tietoturva on otettava osaksi suunnittelua, jotta ymmärretään, mitä ollaan suojaamassa.
Käytännössä tämä voi tarkoittaa esimerkiksi pilveen siirrettävien sovellusten tietoturvan tarkastamista. Noudatetaanko sovelluksen kehityksessä tietoturvallisen ohjelmistokehityksen periaatteita ja käytänteitä? Testataanko sovellusta riittävästi ja onko testausta automatisoitu? Onko tarpeellisista päivityksistä huolehdittu sovelluksen elinkaaren aikana ennen pilvisiirtymää?
Jos sovelluksen koodi ja sovellusympäristö ei ole tietoturvan osalta ajan tasalla, pilvisiirtymä tuo haavoittuvuudet hyökkääjien ulottuville. Tätä riskiä ei kannata ottaa, sillä haavoittuvuudet löydetään ja hyödynnetään nykyään nopeasti: siinä missä ennen puhuttiin kuukausista, nyt puhutaan viikoista tai jopa päivistä.
Yritysten on olennaista tiedostaa, että pilveen siirtyminen ei ole vain IT-organisaation hanke. Kaikki organisaation osat ja erityisesti tietoturvasta vastaavat tahot on syytä ottaa mukaan keskusteluun jo pilvisiirtymän suunnitteluvaiheessa, jotta löydetään oikeat toimintatavat ja yrityksessä tiedostetaan myös sisäisesti pilvisiirtymän tietoturvaan liittyvät kysymykset.
GDPR:n ja data-asetuksen myötä yritysten on oltava entistä paremmin tietoisia siitä, missä asiakkaiden dataa säilytetään, ja datan säilytyksestä ja muista tietosuojakäytännöistä on selkeästi viestittävä asiakkaille. Tästä syystä pilvipalveluiden tietosuoja kiinnostaa myös yrityksen tietosuojavastaavaa eli data protection officeria. Tietosuojakysymyksien vastausten on oltava selvillä jo ennen pilvisiirtymää. Sinun on ymmärrettävä, mitä tietoa pilvessäsi tullaan käsittelemään, ja rakennettava ympäristö lähtökohtaisesti riittävän turvalliseksi. Esimerkiksi terveys- ja henkilötietojen säilytystä koskevat tietosuojavaatimukset ovat lähtökohtaisesti hyvin tiukkoja, ja ympäristösi on mukauduttava näihin vaatimuksiin.
Jos pilviympäristösi joku osa vaatii korkean tason tietoturvaa, se kannattaa nostaa koko ympäristösi tietoturvastandardiksi. Tietoturvavaatimuksista ei siis kannata tinkiä ympäristösi sellaistenkaan osien kohdalla, joissa lainsäädäntö tai muut vaatimukset eivät edellytä yhtä korkeaa tietoturvatasoa. Tietoturvan kohdalla enemmän on enemmän. Nosta koko pilviympäristösi tietoturva korkeammalle tasolle kuin kilpailijalla, ja käsissäsi voi olla korvaamaton kilpailutekijä.
Tietoturvaa ei voi tehdä valmiiksi. Kuten kaikki teknologia, tietoturva vaatii jatkuvaa parantamista ja kehittämistä. Yrityksen onkin syytä linjata oma ambitiotasonsa ja tietoturvaa koskevat tavoitteet itselleen selkeiksi. Mitä haluamme tietoturvatyöllämme saavuttaa ja mitä teemme, että pääsemme tavoitteisiin?
Jotta tietoturvasta muodostuu yrityksellesi aito kilpailutekijä, pelkkä päälle liimattu strategiapuhe ja nettisivujen sertifikaattilogot eivät riitä. Tietoturva on tuotava osaksi organisaatiosi päivittäistä tekemistä. Se vaatii pitkäjänteistä työtä ja osaamisen jalkauttamista sisäisesti, mutta myös kumppaneilta on odotettava korkeaa osaamistasoa ja riittäviä standardeja.
Pilviympäristö on alati muuttuva ja kehittyvä kokonaisuus, johon tuodaan jatkuvasti uusia palveluita. Jos yrityksen omat resurssit tai osaaminen eivät riitä pilven hallitsemiseen, kuvioon astuu mukaan osaava pilvikumppani. Ammattitaitoinen kumppanitoimija ylläpitää pilviympäristöä asiakkaan puolesta ja huolehtii muun muassa tietoturvan yrityksen tietoturvakäytäntöjen ja -tarpeiden edellyttämälle tasolle.
Kun tarvitset osaavaa kumppania turvalliseen pilvisiirtymään ja pilviympäristön ylläpitoon, me Digialla olemme valmiina auttamaan. Tuemme sinua toimivan pilviarkkitehtuurin ja -strategian suunnittelussa, pilvisiirtymässä ja pilviympäristön ylläpidossa – rakennamme kanssasi pilviratkaisun, joka palvelee yrityksesi tarpeita parhaalla tavalla. Toimimme johtavien pilvialustojen kumppanina, ja asiantuntijamme ovat toimittaneet korkean turvallisuustason ratkaisuja sekä julkiselle turvasektorille että yksityisille toimijoille..
Ota yhteyttä ja nosta turvallinen pilviympäristö yrityksesi kilpailuvaltiksi!
Lue lisää pilviratkaisuistamme täältä.
Digia voi auttaa sinua myös kyber- ja tietoturvan jatkuvassa kehittämisessä, lue lisää täältä.