Jaetun vastuun malli: IaaS, PaaS ja SaaS

Pilvipalveluja tarjotaan kolmella ensisijaisella mallilla, joista kukin tarjoaa erilaisen abstraktiotason. Infrastructure as a Service (IaaS) tarjoaa laskennan, tallennustilan ja verkkoyhteydet perusmuodossaan. Platform as a Service (PaaS) lisää käyttöjärjestelmän, väliohjelmistot ja ajoympäristöt. Software as a Service (SaaS) tarjoaa täysin toimivia sovelluksia internetin kautta. Näiden mallien ymmärtäminen on olennaista, koska tietoturvavastuut eroavat niiden välillä merkittävästi.

Jaetun vastuun malli määrittää, mitkä tietoturvatehtävät kuuluvat pilvipalveluntarjoajalle ja mitkä asiakkaalle. Malli tiivistetään usein näin: palveluntarjoaja vastaa pilven tietoturvasta (fyysiset konesalit, hypervisorit ja verkkoinfrastruktuuri), kun taas asiakas vastaa pilven sisäisestä tietoturvasta (tiedot, käyttöoikeuksien hallinta, sovellustietoturva ja asetukset). Tämän rajan ymmärtäminen väärin on yksi pilvitietoturvapoikkeamien yleisimmistä syistä.

IaaS-mallissa asiakas ottaa vastuulleen suurimman osan tietoturvasta. Pilvipalveluntarjoaja suojaa fyysisen infrastruktuurin, hypervisorin ja verkkorakenteen. Asiakas vastaa seuraavista: käyttöjärjestelmän asennus, korjauspäivitykset ja suojaus; ajoaika- ja väliohjelmistoasetukset; sovellustietoturva; verkkoturvaryhmien säännöt; IAM-käytännöt ja käyttäjien hallinta; tietojen salaus levossa ja siirron aikana sekä vaatimustenmukaisuusasetukset. IaaS tarjoaa parhaan hallittavuuden, mutta edellyttää eniten tietoturvatyötä.

PaaS-mallissa palveluntarjoaja ottaa vastuulleen käyttöjärjestelmän ja ajoympäristön hallinnan. Asiakas ei enää asenna käyttöjärjestelmän korjauspäivityksiä tai hallitse väliohjelmistoja, vaan palveluntarjoaja huolehtii niistä. Asiakas vastaa kuitenkin edelleen seuraavista: sovelluskoodin tietoturva (ei SQLi- tai XSS-haavoittuvuuksia), tietojen luokittelu ja salaus, identiteetin- ja käyttöoikeuksien hallinta, sovelluksen asetukset (ympäristömuuttujat ja salaisuuksien hallinta) sekä API-tietoturva. PaaS siirtää osan työmäärästä palveluntarjoajalle, jolloin asiakkaat voivat keskittyä sovelluslogiikkaan.

SaaS-mallissa palveluntarjoaja hallitsee lähes kaikkea. Asiakkaan ensisijaiset tietoturvavastuut ovat: käyttöoikeuksien hallinta (kenellä on tilejä, MFA-tunnistautumisen pakottaminen ja käyttöoikeuksien tarkistaminen), tietojen hallinta (mitä tietoja ladataan ja kuinka kauan niitä säilytetään), asetusten tietoturva (tietosuoja-asetukset, jakamisoikeudet ja kolmansien osapuolten integraatiot) sekä hyväksyttävän käytön vaatimustenmukaisuus. Monet SaaS-palvelujen tietomurrot johtuvat väärin määritetyistä jakamisasetuksista tai kolmansien osapuolten sovelluksille annetuista liian laajoista oikeuksista, eivät palveluntarjoajan virheistä.

Jotkin hallintatoimet ovat jaettuja palveluntarjoajan ja asiakkaan kesken. Esimerkiksi salaus: pilvipalveluntarjoaja voi tarjota salauspalveluja (KMS, oletussalaus), mutta asiakkaan on otettava ne käyttöön, määritettävä avainten hallinta ja valittava asianmukaiset algoritmit. Samoin identiteetin osalta palveluntarjoaja tarjoaa IAM-työkalut, mutta asiakkaan on määritettävä vähimpien oikeuksien mukaiset käytännöt ja edellytettävä MFA-todennusta. On yleinen ja vaarallinen virhe olettaa palveluntarjoajan huolehtivan jaetusta hallintatoimesta eikä määrittää sitä itse.

Jaetun vastuun malli pettää useimmiten asiakkaan virheellisten määritysten, ei palveluntarjoajan epäonnistumisten, vuoksi. Klassisia esimerkkejä ovat julkisesti käytettävissä oleviksi jätetyt S3-säilöt (Capital Onen tietomurto vuonna 2019, 100 miljoonaa paljastunutta tietuetta), liian sallivat IAM-roolit, jotka mahdollistavat oikeuksien eskaloinnin, tietoturvaryhmät, joissa arkaluonteisille porteille on saapuvan liikenteen 0.0.0.0/0-sääntöjä, sekä pilveen asennettujen tietokantojen muuttamatta jätetyt oletustunnistetiedot. Palveluntarjoajan taustalla oleva infrastruktuuri oli suojattu, mutta asiakkaan määritykset eivät.

Jaetun mallin keskeinen haaste on näkyvyys. Paikallisissa ympäristöissä tietoturvatiimit hallitsevat kaikkea lokitusta. Pilvessä palveluntarjoajan infrastruktuurin lokit eivät välttämättä ole käytettävissä. Asiakkaiden on otettava käyttöön pilvipalvelun omat lokituspalvelut: AWS CloudTrail, Azure Monitor ja GCP Cloud Audit Logs tallentavat API-kutsut ja määritysten muutokset. Jos näitä palveluja ei oteta käyttöön, organisaatiolla ei ole tarkastusjälkeä siitä, kuka teki mitäkin pilviympäristössä — tämä aiheuttaa merkittävän vaatimustenmukaisuus- ja rikosteknisen puutteen.

Kun organisaatiot käyttävät hallinnoituja palveluntarjoajia (MSP) pilviympäristöjen ylläpitoon, vastuu jakautuu kolmen osapuolen kesken. Asiakkaan on varmistettava, että sopimuksissa (SLA- ja DPA-sopimukset) määritellään tietoturvavelvoitteet selkeästi. SaaS-palveluna käytettävät kolmannen osapuolen pilvisovellukset lisäävät monimutkaisuutta: liian sallivalle sovellukselle myönnetty OAuth-suostumus antaa sovellukselle pääsyn tietoihisi. Kolmannen osapuolen OAuth-suostumusten tarkistaminen ja säännöllinen auditointi ovat osa SaaS-tietoturvan hyvää ylläpitokäytäntöä.

Vaatimustenmukaisuusvaatimukset eivät katoa, vaikka työkuormat siirretään pilveen. HIPAA edellyttää Business Associate Agreement (BAA) -sopimusta sellaisten pilvipalveluntarjoajien kanssa, jotka käsittelevät PHI-tietoja — AWS, Azure ja GCP tarjoavat kaikki BAA-sopimuksia. PCI-DSS edellyttää, että pilviympäristö kuuluu arvioinnin piiriin; palveluntarjoajien jaetun vastuun matriisit dokumentoivat, mitkä PCI-hallintatoimet täyttyvät. Organisaatioiden on ymmärrettävä, mistä palveluntarjoaja vastaa ja mitä niiden on toteutettava itse auditointien läpäisemiseksi.

Jaetun vastuun mallilla on oikeudellista merkitystä. Pilvipalveluntarjoajan käyttöehdot ja palvelutasosopimukset (SLA) määrittävät saatavuustakuut ja poikkeukset. GDPR:n mukaiset tietojenkäsittelysopimukset (DPA) määrittelevät henkilötietojen käsittelijän velvoitteet. Jos tietomurto johtuu palveluntarjoajan puolella tapahtuneesta virheestä, asiakkaalla on SLA-sopimukseen perustuva oikeus oikeussuojakeinoihin. Jos tietomurto johtuu asiakkaan virheellisistä määrityksistä, palveluntarjoaja ei ole siitä vastuussa. Sopimusten ymmärtäminen on yhtä tärkeää kuin teknisten hallintatoimien ymmärtäminen.

Tässä oppitunnissa opit, että jaetun vastuun malli määrittää palveluntarjoajan ja asiakkaan tietoturvavelvoitteet IaaS-, PaaS- ja SaaS-palveluissa, asiakkaalla on eniten tietoturvavastuuta IaaS-palveluissa ja vähiten SaaS-palveluissa, mutta pääsynhallinta ja tietojen hallinnointi kuuluvat aina asiakkaalle ja asiakkaan virheelliset määritykset — eivät palveluntarjoajan epäonnistumiset — ovat pilvipalveluihin kohdistuvien tietomurtojen yleisin syy. Seuraavaksi tutustumme pilvitallennuksen tietoturvaan ja tietojen paljastumisen riskeihin.