IT uudiste portaal Geenius avaldas ADM Cloudtechi juhi Klemens Arro arvamusartikli pilveturvalisuse trendidest. Loe siit, miks on mitmikpilved aina populaarsemad ja kui oluline on Zero Trust poliitika rakendamine eri suurusega organisatsioonides.

Pea pool kõikidest maailma organisatsioonidest on kokku puutunud andmete turvalisuse probleemidega. Tõepoolest, mida rohkem andmeid luuakse, seda rohkem neid andmeid ka lekib, turvaauditid ebaõnnestuvad ja rünnakud sagenevad. See on paratamatu osa iga tehnoloogia elukaarest ning pilv, mis on endiselt üks kõige turvalisematest viisidest oma andmeid hoida ja hallata, ei ole siin paraku erand. Enamasti ei ole alati abi ka uutest turbeteenustest ja -lahendustest, sest üldjuhul ei suuda ettevõtted iseseisvalt mõista, milliste lahendustega ennast kaitsta. Sellisele järeldusele jõudis turvafirma Thales oma hiljutises uuringus Cloud Security Study: Global Edition.

Mitme pilve lahendused kasvavad

Koos uute tehnoloogiatega ja aina keerukamate rakendustega muutub ka pilvetehnoloogia kasutusele võtmine aina komplitseeritumaks ning enam ei piisa ainult andmete ja rakenduste pilve tõstmisest. Seda kinnitab nii Thalese uuring kui ADM Cloudtechi kogemus paljude ettevõtete ja riigiasutuste pilvepartnerina – pilve kasutuselevõtu kõige lihtsama variandi ehk andmete pilve kopeerimise osakaal on kahanenud umbes poole võrra (Thalese järgi langenud 55 protsendilt 24%-ni).

Seevastu mitmikpilve ehk multi cloud lahendused on kõige kiiremini kasvav pilvevaldkond – kui eelmisel aastal kasutas mitut IaaS teenusepakkujat 57% küsitletud ettevõtteist, siis sel aastal on see juba 72%. Nendest omakorda on suurima tõusu teinud organisatsioonid, kus on korraga kasutusel kolm või enam IaaS pakkujat – selliste osakaal kasvas kümnelt protsendilt 20%-ni.

Mitmikpilve kasvav populaarsus on loogiline ja igati põhjendatud. Esiteks väheneb erinevate pilveteenuste kasutamisega sõltuvus ühest teenusepakkujast ja teiseks suureneb paindlikkus ehk tekib võimalus kasutada erinevate pilveteenuse spetsiifilisi teenuseid, nt tehisintellekti või suurandmete töötlemist. Kolmandaks on mitmikpilve kasutamisel ka potentsiaalsete intsidentide mõju üldjuhul isoleeritud ja tänu sellele ka väiksem. Nende positiivsete aspektide juures tuleb siiski arvestada ka võimalike riskidega.

Turvalisus, turvalisus, turvalisus

Usaldades oma andmed pilve, ei ole kõige põletavam küsimus mitte renditav salvestusruum ega ka mitme teenusepakkuja vahel riskide jaotamine, vaid turvalisus. Siin kehtib reegel, et mida rohkem andmeid on pilves, seda olulisem on ka turvalisus. Seda reeglit ilmestab hästi Thalese raport, mille järgi on koguni 35% organisatsioonidest puutunud kokku pilves olevate andmete lekkimisega või on nende pilveressursside auditid läbi kukkunud. See viimane on kindlasti parem kui reaalne andmeleke, sest võimaldab lahendusi parendada enne otsese kahju tekkimist. Ennetamine ongi aina olulisem, sest tundlike andmete ja kriitiliste rakenduste hulk pilveteenustes kasvab iga päevaga: 85% ettevõtteist hindab oma pilves talletatud andmetest tundlikeks viiendikku ja enam kui 50% ütleb, et konfidentsiaalseid andmeid on vähemalt 40%. Samal ajal kui tundlike andmete hulk pilves kasvab, on suurenenud nii pahavara, lunavara kui ka õngitsusrünnete arv. Seegi on loogiline, sest kurikaelad liiguvad sinna, kus on raha ja võimalus sellest oma osa võtta.

Pilvega seotud riskide maandamisel peetakse kõige tõhusamaks andmete ja ühenduste krüpteerimist (59%), Key Managementi (52%) ja Zero Trust poliitikat. Andmete krüpteerimine on aastaga kasvanud, kuid endiselt on väga palju selliseid organisatsioone, kus pilves hoitavad andmed on kas täielikult või osaliselt krüpteerimata – ainult 11% organisatsioonidest saab kinnitada, et nende andmetest on vähemalt 81% krüptitud.

Andmete krüpteerimise juures tasub ka tähelepanu pöörata krüpteerimise viisile vastavalt andmete tundlikkusele. Meie kogemuse põhjal eeldatakse vaikimisi, et kõik andmed on krüpteeritud salvestamisel (on-rest) ja liikluses (in-transit) nii välis- kui sisevõrgus. Samas tasub ülimalt tundlike andmete puhul kaaluda ka uuemaid viise pilveteenustes, kus on võimalik andmeid isegi töödelda (in-use) krüpteeritud kujul (confidential computing). Kui klient ka oma krüptovõtmeid ise haldab, siis tagab see, et pilveteenuste kasutamisel teab ainult klient andmete tegelikku sisu, mida pilves töödeldakse.

Zero Trust poliitika on juba kasutusel kolmandikus (29%) organisatsioonidest, 27% plaanib seda rakendada, 23% mõtleb selle peale ja 20 protsendil pole sellega seoses (veel) plaane. Võrreldes eelmise aastaga on toimunud teatav positiivne areng, kuid endiselt on viiendik pilveteenuseid kasutavatest ettevõtetest ilma igasuguse Zero Trust poliitikata.

Positiivne on ka see, et varasemast enamate organisatsioonide pilveturvalisuse strateegia põhineb Zero Trustil kas osaliselt (47%) või suures osas (34%).

Tugev autentimine on oluline osa Zero Trust poliitikast ning ses osas on samuti toimunud areng – pea pooled vastajad tunnistasid, et see mängib Zero Trusti puhul võtmerolli. See ei tähenda siiski, et kaasaegsed autentimisvahendid pilves ka tegelikult juba kasutusele võetud oleks.

Tegelikult peaks Zero Trust olema juba ammu iga IT-ga seotud tegevuse DNAsse kodeeritud. See on ühtviisi oluline nii pilves kui oma majas, töötajate seadmetes ja kõikides võrkudes (ka sisevõrgus!), millega töötajad kokku puutuvad ning kus liiguvad ettevõttega seotud andmed. Just seda silmas pidades juurutasime AMD Cloudtechis juba enam kui aasta tagasi totaalse Zero Trust poliitika, mis hõlmab eranditult kogu meie IT taristut ja annab kindlustunde, et rünnaku korral ei jää meie töö seisma, kuna ründe raadius on tugevalt limiteeritud.

Kõrgema turvalisuse nimel peaksid kõik organisatsioonid muutma oma turbetaristut palju tõhusamaks, rakendama Zero Trust poliitikaid, kasutama kaasaegseid autentimisvahendeid ja koolitama töötajaid turvateadlikemaks. See ei ole odav ja see pole alati ka väga lihtne, kuid on organisatsiooni jätkusuutlikkuse tagamiseks ülioluline.

Kokkuvõttes

Mitmikpilv on pilvetehnoloogia olevik ja tulevik ning ettevõtted peavad seda silmas pidades võtma kasutusele efektiivsed turbelahendused. Kaug- ja hübriidtöö ning digikanalite tähtsuse kasv ettevõtte töös ei muuda seda ülesannet kergemaks. Mitmikpilve aina valdavam kasutamine nõuab turbelahenduste pidevat parendamist ja ka uusi tööriistu, mis aitavad erinevaid keskkondi efektiivselt kaitsta.

See artikkel ilmus 22. juunil Geeniuses.