Tämä blogikirjoitus perustuu Thinking as a Service -yrityksen Carsten Lillelund Pedersenin kanssa podcastissa tehtyyn haastatteluun Regnskabets Time, kausi 2, jakso 3
TL;DRTässä artikkelissa tarkastellaan Thinking as a Service -yrityksen pilvi- ja tietoturva-asiantuntijan Carsten Lillelund Pedersenin haastattelun pohjalta, miten kyberrikollisuus on kehittynyt ammattimaiseksi palvelualaksi, miksi ”jos se ei ole rikki, älä korjaa sitä” -asenne on vaarallinen IT-turvallisuuden kannalta ja mitä yritysten tulisi vaatia SaaS-palveluntarjoajilta turvallisuuskäytäntöjen ja läpinäkyvyyden osalta.
Keskustelimme yhden tanskalaisen pilvi-infrastruktuurin edelläkävijän kanssa ja tietoturva, Carsten Lillelund Pedersen Thinking as a Service -yrityksestä, saadaksemme lisää näkökulmia siihen, mihin toimenpiteisiin yritysten tulisi ryhtyä ja mitä niiden tulisi odottaa SaaS-palveluntarjoajilta. Keskustelimme myös siitä, miksi vanhanaikainen sanonta ”jos se ei ole rikki, älä korjaa sitä” ei ole enää hyvä lähestymistapa IT-järjestelmiin ja tietoturvaan.
Carsten: Siitä lähtien, kun ihmiset alkoivat työskennellä ammattimaisesti IT-alalla noin 30–40 vuotta sitten, on ollut erilaisia suuntauksia siinä, miten IT:tä tulisi nähdä ja käyttää. Alussa IT:n katsottiin tarjoavan teknisiä palveluita. Tämä saattoi tarkoittaa esimerkiksi support tai paikallisten verkkojen tai palvelimien asentamista. Nykyään näemme IT:n palveluna, jota toimitetaan. Siksi pilvipalvelut, kuten Ohjelmisto palveluna, Platform as a Service, Infrastructure as a Service ja Back up as a Service ovat nykyään vakiintuneita käsitteitä ja normi sille, mitä IT-alalla toimitetaan. Thinking as a Service -palvelussa keskitymme juuri näiden käsitteiden taustalla olevaan arkkitehtuuriin ja siihen liittyvään neuvontaan.
Carsten: Kyllä. Kehitys on kulkenut samaa linjaa kuin aiemmin mainitsin: IT on muuttunut yhä palvelulähtöisemmäksi. 25 vuotta sitten kyberrikollisuutta pidettiin vain kellarissa istuvien tyyppien puuhana, jotka yrittivät murtautua kaikenlaisiin suojaamattomiin kohteisiin. Tämä on tietysti kehittynyt paljon hienostuneemmaksi. Verkkorikollisuuden uusin trendi on itse asiassa se, että siitä on nyt tullut myös palvelu. Tämä tarkoittaa, että aivan kuten on olemassa työkaluja yrityksen tietojen suojaamiseen, rikolliset käyttävät nyt IT-työkaluja saadakseen rahaa yrityksiltä, joilla ei ole 100-prosenttista hallintaa turvallisuudestaan. Tällaisen palvelun tarjoaminen on tullut mahdolliseksi jäljittämättömien kryptovaluuttojen yleistymisen ansiosta.
Carsten: Joillekin tämä saattaa tulla yllätyksenä, mutta pilvipalvelu ei ole aina paras ratkaisu tietojen tallentamiseen. On kuitenkin tärkeää ymmärtää tilannekokonaisuus. Alun perin yrityksillä oli tiedot ja verkot kellarissa sijaitsevissa palvelinhuoneissa. Yrityksen piti sitten melkoisen henkilöstön ja resurssien voimin yrittää tarjota kaikki tarvitsemansa IT-työkalut. Tämä tarkoitti, että IT-osaston tuli huolehtia verkkopalvelimista, sähköpostijärjestelmistä, taloushallintojärjestelmistä, tiedostojärjestelmistä, hallintojärjestelmistä jne. Kun tarjottavia palveluita on niin paljon, eivätkä ne samalla kuulu yrityksen ydinliiketoimintaan, mikään palveluista ei tule toimimaan kunnolla.
Se ei ole enää vaihtoehto. Siksi suosittelenkin yrityksille, että ne etsisivät pilviratkaisua, jota tarjotaan SaaS-mallina. Mutta jos kyseessä on puolestaan yrityksen ydinpalvelu – se voisi olla esimerkiksi Kulujen hallinta Esim. – tällöin sen on oltava paikallisesti asennettuna. Tällöin yritys itse vastaa käytöstä, kehityksestä ja ylläpidosta. Kyseisen palvelun tarjoajan on kuitenkin myös hallittava ydinpalveluaan 100-prosenttisesti, minkä vuoksi ratkaisun ylläpitäminen paikallisesti on järkevää. Kaikki muu kuin ydinpalvelu on ulkoistettava.
Ensimmäisten 20 vuoden aikana, jotka vietin IT-alalla, oli olemassa sanonta: ”Jos se ei ole rikki, älä korjaa sitä”. Tämä johtui siitä, että aina kun jotain päivitettiin, seurasi virheitä. Oli helpompaa jättää asiat ennalleen, kunnes ne eivät enää toimineet. Se on tietysti vaarallista. Rikolliset eivät epäröi päivittää menetelmiään. Juuri siksi sinun on ulkoistettava kaikki, mikä ei kuulu yrityksen ydinliiketoimintaan. Tämä johtuu siitä, että juuri kyseisten SaaS-palveluntarjoajien on huolehdittava sovellusten ja työkalujen ylläpidosta, joita itse käytät. Näin vastuu siirtyy SaaS-palveluntarjoajallesi. On olemassa useita tekijöitä, joiden avulla voi arvioida, kuinka hyvin SaaS-palveluntarjoaja suojaa tietojasi. Hyvä tapa arvioida tätä on mennä App Storeen tai Google Playhin ja tarkistaa, kuinka usein sovellusta päivitetään. Mitä useammin, sitä parempi. Se ei välttämättä kerro kaikkea turvallisuudesta, mutta antaa hyvän vihjeen.
Siksi on hyvä varmistaa, että joku pitää silmällä SaaS-toimittajianne. Ei välttämättä pidä paikkaansa, että ratkaisujen ja palveluiden hallinta olisi paljon helpompaa, jos ne ulkoistetaan. Tiedot ovat kuitenkin turvallisemmassa tallessa. Kaikkia ongelmia ei voi ratkaista itse. Tämä on tehtävä selväksi.
Usein kysyttyjä kysymyksiä
Miten kyberrikollisuus on muuttunut viimeisten 25 vuoden aikana?
Verkkorikollisuus on kehittynyt kellareissa yksinkertaisia hakkerointiyrityksiä tekevistä yksityishenkilöistä monimutkaiseksi, palvelupohjaiseksi toimialaksi. Uusin trendi on ”Crime as a Service” (rikollisuus palveluna), jossa rikollisia valmiuksia tarjotaan kaupallisesti, mikä madaltaa hyökkäysten käynnistämisen kynnystä. Organisaatiot joutuvat nykyään vastakkain ammattimaisten vastustajien kanssa, joilla on käytettävissään huomattavat resurssit.
Miksi ajattelutapa ”jos se ei ole rikki, älä korjaa sitä” on vaarallista tietoturvan kannalta?
Uhat kehittyvät jatkuvasti, kun taas vanhoihin järjestelmiin kertyy korjaamattomia haavoittuvuuksia. Järjestelmä, joka toimii tänään moitteettomasti, voi olla alttiina riskeille, joita ei ollut olemassa sen rakentamishetkellä. Jos odotetaan, että jokin menee näkyvästi rikki ennen kuin turvallisuuteen puututaan, joudutaan toimimaan reaktiivisesti uhkia vastaan, jotka etenevät sitä nopeammin.
Mitä yritysten tulisi odottaa SaaS-palveluntarjoajilta tietoturvan osalta?
Yritysten tulisi vaatia avoimuutta siitä, missä tietoja säilytetään, miten ne salataan, millaisia pääsynvalvontamenetelmiä käytetään, miten tietoturvaloukkauksia hallitaan ja mitä kolmansien osapuolten suorittamia tietoturvatarkastuksia on tehty. Toimittajaa, joka ei ole valmis jakamaan näitä tietoja avoimesti, tulisi pitää merkittävänä riskinä.
Mitä eroa on yritysturvallisuuden kannalta merkittävillä pilvi-infrastruktuuripalveluilla?
Tärkeimmät palvelumallit ovat Software as a Service (SaaS), Platform as a Service, Infrastructure as a Service ja Backup as a Service. Kussakin mallissa turvallisuuteen liittyvät vastuut jakautuvat eri tavalla asiakkaan ja palveluntarjoajan välillä. Sen ymmärtäminen, mitä mallia käytät, määrittää, mitä turvallisuuskysymyksiä sinun on syytä esittää.