Pilvipalvelut - vääjäämättömyys vai mahdottomuus käsiteltynä tietoturvan, arkkitehtuurin sekä tarkastuksen näkökulmista. Esitetty ISACA Helsingin kuukausikokouksessa 17.2.2011.

1. Pilvipalvelut –
vääjäämättömyys vai mahdottomuus?
Petri Aukia, Codento Oy
Jonna Särs, Nixu Oy

2. Petri Aukia Jonna Särs
• Lic. Tech, CISSP, CSSLP • DI, CISSP
• Codento Oy • Nixu Oy
– Pilvipalvelujen arkkitehtuuri – Tietoturvaperiaatteet ja
-strategiat, riskienhallinta ja
ja konsultointi
jatkuvuussuunnittelu
– Järjestelmätoteutukset – Tietoturva-arkkitehtuurit,
– Amazon ja Eucalyptus IAM, SIEM, PKI
–kumppani – Tietoturva
– Toistakymmentä ohjelmistokehityksessä
pilvihanketta viime vuosina – Tietoturva-auditoinnit ja
-testaukset
– n. 400 projektia 150
asiakkaalle vuonna 2010

3. Pilvipalveluja helppo hankkia…
• …ohi virallisten
hankintaprosessien

4. Sopimusehdot
• Toimittaja sanelee
• Ei lupauksia
tietoturvasta
• Riitojen ratkaisu
ulkomailla

5. Perinteiset suojamekanismit
käyttökelvottomia
• Ei fyysistä kontrollia
• Ei palomuuria
• Salasana todennukseen
riittämätön

6. Hyökkäyskohteena houkuttelevampi
• Usean organisaation tiedot samassa
kasassa

7. Hajautettu malli
• Missä tiedot sijaitsevat?
• Ketkä systeemiä pyörittävät?
• Minkä maan lainsäädäntö?

8. Monimutkaisuus
• Enemmän pisteitä missä jokin voi mennä
pieleen

9. Musta laatikko / sika säkissä
• Ei kontrollia
• Ei näkyvyyttä riskeihin
• Ei auditointimahdollisuutta

10. Tiedot vankina?
• Entä jos
palveluntarjoaja
lakkaa olemasta?

11. Oma vastuu unohtuu
• Päätelaitteet
• Henkilöstön
ohjeistus

12. Pilven sisällä pilvi, jonka sisällä
pilvi, jonka sisällä…
• Korostaa haasteita entisestään
• Miten toimitaan ongelmatilanteissa?

13. Tulossa…

14. …vääjäämättömästi

15. Mikä on tärkeää?
+ Parempi saatavuus
- Huonompi luottamuksellisuus
- Huonompi eheys

16. Mistä kannattaa aloittaa?
1. Selvitä toimintatapoja
2. Osallistu pilotteihin
3. Kehitä hallintamalli

17. Järjestelmien luokittelu
1. Mahdottomat
2. Vaikeat
3. Samantekevät
4. Hyötyvät

18. Integraation haasteet
Tutkittava ajoissa

19. Vanhat synnit
• Systematiikan puute
• Sovellusvirheet
• Alustavaikeudet
• Asiakasympäristö
• Puutteellinen operointi

20. Tiedon luokittelu
• Tunne järjestelmät
• Luo kategoriat
• Vie pilveen ensin siitä hyötyvät
järjestelmät
• Ymmärrä mihin pilvi ei ole valmis

21. Sertifiointi vääjäämätöntä
• Yleisiä / spesifisiä
• Mallit hakusessa
• Tavalliset asiakkaat eivät
voi auditoida pilvipalveluja

22. Yleiset sertifikaatit
• ISO 27001 / SAS 70 / PCI DSS
• Hyviä rehellisissä käsissä
• Pelottavia tarjouksissa

23. Middleware -ongelma
• IAM
• Hyökkäyksenhavainnointi
• Logienhallinta

24. Vaatimuksenmukaisuus
• 3. osapuolelle osoittamisen
mahdollisuudet rajatut
• Järjestelmäarkkitehtuuri
poikkeaa vaatimusmallien
oletuksista
• Arkkitehtuuri helposti ristiriidassa
lainsäädännön kanssa

25. Luottamus
• Pohjautuuko faktoihin?
• Luottamus henkilöstöön?
• Tiedon omistus
• Yhdistetyt palvelut
• Riskienhallinta

26. Arkkitehtuuri
• Saatavuus
• Hyökkäyspinta
• Verkkoratkaisut
• Kriittinen tieto
• Selaimen suojaus
• Palvelimien suojaus

27. Identiteetinhallinta
• Autentikointi
– SAML, (OpenId)
• Pääsynhallinta
– XACML, oAuth

28. Pilvipalvelujen haitat
• Järjestelmien monimutkaisuus
• Monen asiakkaan ympäristöt
• Internet avaukset
• Kontrollin puute

29. Pilvipalvelujen edut
• Henkilöstön erikoistuminen
• Alustan vahvuus
• Resurssien saatavuus
• Varakopiointi
• Mobiilikäyttö
• Tiedon keskittäminen

30. Toimi luotsina
• Luotettava kumppani
myrskyssä
• Tuo aina satamaan
• Ei kyseenalaista
merenkulkua
• Oman alansa
ammattilainen

31. Lähteitä
http://wiki.cloudsecurityalliance.org/guidance/index.php/
References
http://www.delicious.com/peba/cloud
http://csrc.nist.gov/publications/drafts/800-144/Draft-
SP-800-144_cloud-computing.pdf
http://www.gartner.com/it/page.jsp?id=1464514
http://www.sans.org/reading_room/analysts_program/
mcafee_carbird_08_2010.pdf
http://www.opengroup.org/jericho/publications.htm
http://cloudaudit.com/
http://www.springerlink.com/content/0159w45v27661549/
fulltext.pdf
Kuvat: http://www.flickr.com/, Creative Commons

32. Kiitos!
Kysymyksiä?