Pilvialustat ja tietoturva - uhasta mahdollisuudeksi

29.3.2021 9.15

Tiedote

Valtorin pilvikapasiteettipalvelulle on nyt tarjolla uusi tietoturvaratkaisu, joka mahdollistaa mm. reaaliaikaiset tilannekuvan, tarjoaa yhtenäisen ketjun PiTuKrista kontrolleihin ja on integroitu suunnitteluohjeisiin.

Muutama vuosi sitten valtionhallinnossa oli epäselvää, voiko pilveen ylipäätään viedä mitään ja jos voi, niin mitä. Vallitsevana käytäntönä oli, että pilveen voi viedä vain julkista tietoa.

Vuonna 2019 alkoi tulla muutoksia:

Valtiovarainministeriö (VM) julkaisi vuonna 2019 Linjaukset julkisen hallinnon pilvipalveluista, jossa otettiin kantaa, että turvaluokittelematon tieto on mahdollista viedä pilveen, kunhan sen turvallisuudesta huolehditaan.
Traficom julkaisi toukokuussa 2019 Pilvipalveluiden turvallisuuden arviointikriteeristön PiTuKri 1.0-version. Tunnetko jo PiTuKrin? PiTuKri:sta on julkaistu työn edetessä päivitys PiTuKri v1.1.
Loppuvuodesta 2020 VM julkaisi lisää ohjeita, joissa pilveä kohdellaan jo tasa-arvoisena tai jopa ensisijaisena vaihtoehtona perinteisiin konesaleihin nähden.

Valtorin asiakaskyselyissä ja -tilaisuuksissa 2019-2020 suurimpana uhkana nousi edelleen esille tietoturva. Yksi merkittävä hankaluus oli löytää määritelmät ja ohjeet siihen, mitä PiTuKri merkitsee käytännössä ja miten se implementoidaan. Auditointikriteeristönä PiTuKrin avulla voi arvioida turvallisuutta, mutta se ei anna neuvoja siihen, miten ympäristön turvallinen toteutus tulisi tehdä vaatimusten täyttämiseksi.

Lähtöruudussa

Tavoitteeksemme nousi ratkaista lähtötilanteen pulmat siten, että ratkaisu toimisi Valtorin asiakaskunnan laajuudessa. Valtorin asiakaskuntahan koostuu noin 100 valtion virastosta ja laitoksesta.

PiTuKri on kansallinen kriteeristö ja koskettaa kaikkia Valtorin asiakkaita. Ei ole mielekästä tai tehokasta, että jokainen osaltaan ratkaisee samaa asiaa ja syntyy monta päällekkäistä ratkaisua.

Startti

Valtorissa aloitimme työn tietoturvapulman ratkaisemiseksi ja lähestymistavan valitsemiseksi Pilvi-ohjelmassa 2019-2020. Suunnittelun pohjaksi asetimme PiTuKrin sekä muut parhaat käytännöt ja valmistajien suositukset.

Lähdimme liikkeelle valitsemalla yllä mainitun kriteeristön. Kuvasimme yleisen julkisen pilvialustan päälle rakennetun järjestelmän kokonaisuuden. Seuraavana kuvasimme eri osiin kohdistuvat hyökkäyspisteet ja niiden kontrollit. Tämän avulla saimme muodostettua yhtenäisen ketjun PiTuKri-vaatimuksista konkreettisiin kontrolleihin asti.

Rimaa korkeammalle

Konkreettiset kontrollit olivat tiedossa, mutta avoimena oli, miten ne toteutetaan konkreettisesti asiakasympäristöihin ja se, voidaanko samalla mahdollistaa reaaliaikainen tilannekuvanäkymä ympäristön tilasta ja mahdollisista poikkeamista.

Pilvessä asioita tehdään yleensä koodina (Infrastructure As Code). Valitsimme tämän toteutuksen lähtökohdaksi. Kontrollien toteuttamiseksi ja tilannekuvan luomiseksi päätimme rakentaa koodiston, jolla toteutus olisi asennettavissa toistettavasti. Koodisto mahdollistaisi myös virheettömämmät päivitykset kontrolleihin jatkossa.

Palapeli kasassa

Tuloksena syntyi palvelu, joka asennetaan kaikkiin AWS-tileihin ja Azure-tilauksiin. Palvelu kattaa seuraavat osa-alueet:

Määritelty kriteeristö
- PiTuKri 1.1, sen katetut osa-alueet ja valitut muut parhaat käytännöt
Eri kriteeristöjen linkitys toisiinsa kuvattuna
- ISO27001, CSA/CCM-vaatimusten linkitys PiTuKriin
- EU-tietosuojadirektiivin vaatimusten linkitys PiTuKri- ja ISO27001-vaatimuksiin
Uhkamallinnus
- Yleisen julkisen pilvialustan kokonaisuus ja siihen liittyvät hyökkäyspisteet
- Näihin liittyvät rajaukset (esim. käyttäjän päätelaite)
Pilvialustakohtaisten teknisten kontrollien kuvaukset
- Osana suunnitteluohjeita, jotka sisältävät muita ohjeita suunnittelijoille valtionhallinnon näkökulmasta.
- Tietoturva on sisäänrakennettu osa suunnitteluun liittyviä muita ohjeita.
Koodisto kontrollien konkreettiseen toteutukseen
- Koodilla saadaan asennettua kontrollit toistettavasti. Samalla luodaan reaaliaikainen tilannekuvanäkymä.
- Kontrollien avulla varmistetaan PiTuKri-vaatimuksenmukaisuus.
- Asiakas saa kokonaisnäkymän ympäristön tilasta reaaliaikaisesti.
Tietosuoja
- Privacy by design, PiTuKria hyödyntäen
- Tietosuojan toteutus pilvialustoissa: Yleiset ohjeistukset, suunnitteluohjeet, uhkamallinnus ja kontrollit samaan tapaan kuin tietoturva-osassa yllä

Entäs ne muut?

Tietoturvaan, kontrolleihin ja asetuksiin sekä raportointiin on saatavilla useita kaupallisia ratkaisuja. Pilvialustoissa on vakionakin tällaisia. Saatavilla oleviin ratkaisuihin nähden on kuitenkin selviä eroja, joista alla on lueteltu keskeisimmät.

Yhtenäinen ketju PiTuKri-vaatimuksista konkreettisiin kontrolleihin asti
- Sisältäen uhkamallin, josta tunnistaa, mitä uhkia on katettuna
Integroitu osaksi suunnittelijan muita ohjeita, ei erillinen tietoturva- tai tietosuojaohjeistus
Uhkamallin ja hyökkäyspisteiden avulla tiedetään, mitä on katettuna ja mitä ei ole.
- Muualtakin on saatavilla kontrolleja, mutta niiden osalta yleensä jää epäselväksi, mitä uhkia niillä katetaan.
Näkymä on reaaliaikainen, jolloin ympäristön tilannekuva on koko ajan saatavilla, eikä perustu esimerkiksi säännöllisesti ajattaviin raportteihin.
Muiden tarjoamissa kontrolleissa peilataan yleensä parhaisiin käytäntöihin tai johonkin muuhun kriteeristöön, ei PiTuKriin.
- Toteutetun ratkaisun pohjana on PiTuKri ja se sisältää myös muista kriteeristöistä tuotuja lisävaatimuksia.
Ei pelkkä ratkaisu, vaan palvelu, jota kehitetään jatkuvasti
- Uudet ominaisuudet tulevat päivityksinä palvelun käyttäjille.

Katse eteenpäin

Pilvialustat muuttavat nopealla tahdilla, joten myös palvelua pitää kehittää jatkuvasti. Uusille ominaisuuksille on tulevaisuudessa tarvetta. Palvelu onkin jatkuvassa kehityksessä ja sitä julkaistaan jatkuvan julkaisun periaatteella.

Palvelu on nyt tarjolla, olkaa hyvä! Voitte tutustua palvelun osa-alueisiin tarkemmin Valtionhallinnon pilvipalveluiden tietopankki Nimbuksessa. Valtionhallinnossa työskentelevät voivat pyytää Nimbukseen pääsyä Valtorin Pilvikeskuksen yhteyshenkilöltä Milla Turuselta: [email protected].