EU: n turvallisuusviranomainen korostaa pilvikorvausriskejä

Pilvilaskentaan kohdistuvat ongelmat, kuten datan hallinnan menetys, sääntöjen noudattamisen vaikeudet ja muut oikeudelliset riskit, kun tiedot siirtyvät yhdeltä lailliselta lainkäyttöalueelta toiselle arvioitaessa Euroopan verkko- ja tietoturvaviraston (ENISA).

Virasto korosti, että näillä ongelmilla on vakavimmat seuraukset ja että ne ovat todennäköisimpiä yrityksille, jotka käyttävät pilvipalveluita ENISAn mukaan.

ENISA selvitti varoja, joita yritykset vaarantavat, kun ne kääntyvät cloud computing, mukaan lukien asiakastiedot ja oma maine; pilvitietojärjestelmissä esiintyvät haavoittuvuudet;

[Lue lisää: Haittaohjelmien poistaminen Windows-tietokoneelta]

Kun siirryt pilvipohjaisiin laskentapalveluihin, yrityksillä on oltava mahdollisuus käsiinsä pilvipalvelun hallinnan yli useista asioista, jotka saattavat vaikuttaa turvallisuuteen kielteisesti. Palveluntarjoajan käyttöehdot eivät esimerkiksi välttämättä salli sataman skannausta, haavoittuvuusarviointia ja tunkeutumisen testausta. Samanaikaisesti palvelutason sopimukset (SLA) eivät välttämättä sisällä kyseisiä palveluja. Tuloksena on puolustuskyvyn aukko, ENISA totesi mietinnössä.

Sääntöjen noudattaminen voi myös osoittautua suureksi ongelmaksi, jos palveluntarjoaja ei voi tarjota oikeita sertifiointitasoja tai sertifiointijärjestelmää ei ole mukautettu pilvipalveluihin

Yksi pilvipalvelujen eduista on se, että tietoja voidaan tallentaa useille paikoille, jotka voivat säästää päivän tapahtumasta jossakin datakeskuksesta. Se voi myös olla suuri riski, jos tietokeskukset sijaitsevat maissa, joissa on järkevä oikeusjärjestelmä, raportin mukaan.

Muut huolenaiheet ovat myyjän lukitus, erilaisten yritysten erottamisjärjestelmien epäonnistuminen, hallintayhteydet jotka hakkeri pääsee käsiksi, tietoja ei ole poistettu kunnolla ja haitalliset sisäpiiriläiset.

Näiden riskien minimoimiseksi raportissa esitetään luettelo kysymyksistä, joita yrityksen on kysyttävä mahdollisilta pilvipalveluilta. Esimerkiksi mitä takeita palveluntarjoajalle tarjotaan, että asiakkaiden resurssit ovat täysin eristyneet, mikä turvallisuuskoulutusohjelma hoitaa henkilökunnalle, mihin toimiin ryhdytään kolmannen osapuolen palvelutason saavuttamiseksi jne.

Lopussa hyvä sopimus voi vähentää riskejä raportin mukaan. Yritysten olisi kiinnitettävä erityistä huomiota tietojen siirtoon liittyviin oikeuksiinsa ja velvollisuuksiinsa, lainvalvontaviranomaisten tiedonsaantiin ja tietoturvaloukkausten ilmoituksiin.

ENISAn raportti ei kuitenkaan ole kaikkensa ja synkät. Pilvipalveluiden käyttäminen voi johtaa raportin mukaan entistä tehokkaampaan, skaalautuvampaan ja kustannustehokkaampaan suojautumiseen tiettyihin hyökkäyksiin. Esimerkiksi kyky resurssien dynaamiseen jakamiseen voisi tarjota parempaa suojaa DDoS-hyökkäyksiltä (distributed denial-of-service), ENISA sanoi.