Pilvipalvelujen tietoturvallisuuskysymykset ja -haasteet

Kyberturvallisuusriskit ovat lisääntyneet kaikissa digitaalisissa alustoissa pandemian aikana, mutta pilvipalveluiden ongelmat ovat kaikista korostuneimpia.

Merkittävimpiin nykyisiin pilvien tietoturvallisuusuhkiin sisältyvät:

• Yritysten etäkäyttöjärjestelmät eivät ole tietoturvallisia ja niiden tietoturvatarkastukset ovat puutteellisia, koska yritykset eivät olleet valmistautuneet pakolliseen kotoa työskentelyyn.
• Loppukäyttäjien koulutus sosiaalista manipulaatiota vastaan on edelleen tarpeen, sillä käyttäjätietoja varastetaan haitallisten sähköpostien ja muiden petosten avulla.
• Älykotien tietoturvallisuus on puutteellista, koska käyttäjät eivät tiedä, kuinka turvalliset määritykset tehdään. Aiemmin verkkoon kuulumattomat laitteet, kuten termostaatit ovat muodostuneet potentiaalisiksi murtopisteiksi, joiden kautta rikolliset pääsevät sisään yksityisiin kotiverkkoihin.

Pilven tietoturvahaasteet

Pilvipalvelujen tietoturvallisuus on ollut huolenaihe pitkään. Henkilökohtaiset pilvipalvelut, kuten Applen iCloud ovat olleet polemiikin kohteena, mutta nykyisin suurin huolenaihe kohdistuu yritysten ja hallitusten toimintojen turvallisuuteen.

Toimistotilojen verkkoja ja laitteistoja on helpompi hallita, kun taas etäkäytössä on useampia hyökkäyksille alttiita yhteyspisteitä. Jokainen yhteys ja komponentti täytyy varmistaa turvallisella, murrot estävällä rakenteella. Turvallisessa etätyösuunnitelmassa kannettavat tietokoneet, puhelimet ja verkkoyhteyslaitteet ovat sisäisen IT-tiimin määrittämiä ja niiden kestävyys on testattu.

Valitettavasti Covid-19-pandemian nopea globaali leviäminen johti yllättävään kotoa työskentelyyn. Etätyöskentelyinfrastruktuurit otettiin käyttöön suunnittelematta. Niiden käytännöt ja työkalut mm. pilvipalvelinten käyttöä koskien olivat vaillinaiset ja keskeneräiset. Pilvipohjaisten yhteistyöalustojen ja virtuaalikokousten lisääntynyt käyttö lisäsi nopeasti tietotekniikka-alan ongelmia.

Fugue-tutkimuksen tuloksista kävi ilmi, että lähes kolme neljästä pilvipalveluissa toimivasta tiimistä koki päivittäin yli 10 ongelmaa pelkästään sopimattomien järjestelmän asetusten takia. Säilytystilojen murrot ja liian löyhät järjestelmien käyttöoikeudet ovat saaneet 84 % yritysten IT-tiimeistä huolestuneiksi, että heidän tietoihinsa saatettu murtautua, mutta sitä ei vielä ole saatu selville. Monien tiimien käyttämä tehoton manuaalinen palauttaminen lisää yhtälöön inhimillisen virheen tekijän, minkä vuoksi pilvipalvelujen vianetsintä ei ole luotettavaa.

Rikolliset hyödyntävät pilvipalvelujen lisääntynyttä käyttöä kohdistaen hyökkäykset laajasti aina terveydenhuoltolaitoksista verkkotyöskentelypalveluihin. Tietoturvallisuudessa on jo olemassa aukkoja ja inhimilliset virheet aiheuttavat lisähuolen organisaatioille. IT-henkilökunnan ja käyttäjien tulee olla jatkuvasti tarkkana kyberuhkien suhteen. Se johtaa "hälytystilaväsymykseen" ja arvostelukyvyn heikkenemiseen.

Pilven tietoturvariskit

Pilvipalvelujen tietoturvauhkat on luokiteltu seuraavalla tavoin:

• Järjestelmän heikkoudet ovat uhkien tekninen puoli. Asiantuntevan IT-henkilökunnan pitää ratkaista ne proaktiivisesti.
• Päätepisteiden käyttäjien virheet ja huolimattomuus ovat inhimillinen tekijä, joka edellyttää jatkuvaa koulutusta ja oppimista uhkien estämiseksi.
• Haitalliset kyberhyökkääjät ovat lopulta vain niin tehokkaita kuin ihmiset ja pilvijärjestelmän tekniset heikkoudet sallivat niiden olla. Kuitenkin kokemus sekä teknisten että inhimillisten elementtien manipuloinnissa antaa hyökkääjille edun.

Vaikka nollapäivähyökkäykset ovat täysin mahdollisia, monet hyökkääjät hyödyntävät helpompia, tunnettuja tunkeutumistapoja organisaation pilvijärjestelmiin. Tässä on esitelty joitakin pilven käyttöön vaikuttavia ongelmia:

Pilven konfiguraatio

Väärin konfiguroidut pilvijärjestelmät ovat nykyään tavanomaisia monien yritysten määrittäessä etäjärjestelmiä ensimmäistä kertaa. Pilvipohjainen ympäristö vaatii kattavan turvajärjestelmän, joka vähentää sen heikkoihin kohtiin suuntautuvia verkkohyökkäyksiä. Pilven tarkat määritykset vaativat aikaa, mutta monet IT-osastot ovat joutuneet suorittamaan määritykset kiireessä.

Fuguen huhtikuussa 2020 suorittama tutkimus mainitsee käytäntöjen tuntemuksen puutteen merkittävänä syynä, jonka vuoksi uhkia ei pystytä hallitsemaan tehokkaasti. Tiimien valvonta on puutteellista, samoin kuin myös säännökset kaikkia pilvipalvelujen kanssa toimivia ohjelmointirajapintoja koskien. Ei ole yllättävää, että IT-tiimit eivät ole valmistautuneita uuteen tilanteeseen, jossa on yllättäen monia uusia lupien ja valvonnan tasoja.

Myös kuormituksen testaamisen puuttuminen on huolenaihe siirryttäessä etätyöskentelyyn. Kun koko yritys — tai kymmenet tai jopa sadat yritykset — käyttävät pilvipalvelimia, niiden kapasiteettia pitää säännöllisesti testata. Järjestelmän vakautta ei voida taata testaamatta ja ilman testauksia muuten turvallinen infrastruktuuri saattaa toimia ei-toivotulla tavalla.

Kaikkien näiden haasteiden ollessa vielä ratkaisematta menetelmät otetaan käyttöön samalla, kun ne asennetaan tai niitä testataan. Samanaikainen ongelmien ratkaisu ja päätösten teko aiheuttavat IT-tiimeille paljon työtä, jota he eivät välttämättä pysty tekemään parhaimmillaan. Jokainen heikkous antaa rikollisille oven, josta he voivat päästä sisälle järjestelmään.

Työskentely kotoa omilla laitteilla

Jotkin organisaatiot ovat ottaneet käyttöön käytännön, joissa työntekijät saavat työskennellä kotoa käsin omilla laitteillaan. Näin pyritään helpottamaan etätyöskentelyn vaatimuksia ja lisäämään joustavuutta. Yritysten laitteisto- ja huoltokulut siirtyvät työntekijöille. Mutta samalla yrityksen IT-järjestelmään syntyy monia potentiaalisia murtopisteitä.

Kun laitteita käytetään sekä työhön että henkilökohtaisiin tarkoituksiin, pilvijärjestelmät altistuvat helpommin suojaamattomista laitteista peräisin oleville haittaohjelmille. Useimmilla työpaikoilla työkoneiden henkilökohtaista käyttöä ei sallita. Se myös vähentää päätepisteen käyttäjän suojaamattomien tilien ja tiedostojen kosketusta työpaikan laitteistoihin.

Toimistojen verkot on turvattu palomuureilla, Wi-Fi-reitittimet on suojattu ja jopa työnantajan antamat puhelimet ovat IT-tiimin hallitsemia. He takaavat säännöllisesti, että hyökkäyksille altistuvat pinnat noudattavat viimeisimpiä tietoturvaprotokollia ja ohjelmistopäivityksiä.

Monet organisaatiot toimivat sokeasti uudessa etätyöskentelyilmastossa. Vain muutamat, jos yksikään yrityksen tietokoneista tai puhelimista ovat valmiita työntekijöiden etäkäyttöön. Olemassa olevat haittaohjelmatartunnat ovat yksi monista suojaamattomien henkilökohtaisten laitteiden huolenaiheista. Vanhentuneet käyttöjärjestelmät ja muut laitteiden ohjelmat joutuvat helposti rikollisten hyökkäysten kohteeksi. Työntekijän kotiverkossa olevat muiden perheenjäsenten laitteet saattavat myös olla haittaohjelmien vektori.

Vaikka laitteisto olisi IT-tiimin tarkastamaa, monet työpaikkojen suojaukset ovat merkityksettömiä, kun kunkin käyttäjän kotiverkon turvallisuutta ei pystytä tarkistamaan.

Sosiaalinen manipulointi ja muut kyberhyökkäykset

Rikolliset pyrkivät yhä innokkaammin tunkeutumaan sisään pilviarkkitehtuurin valvomattomista aukoista hyödyntääkseen tai häiritäkseen organisaatioita. Sitä tapahtuu jopa tällaisina vaikeina aikoina.

Tietojenkalastelua käyttävät hyökkääjät tekeytyvät luotettaviksi henkilöiksi tai viranomaisiksi ja painostavat uhreiltaan arvokkaita tietoja tai pääsyn yksityistileille. Tällä termillä viitataan usein verkkotilin käyttöoikeuksien tai rahan varastamiseen. Tämänkaltaiset sosiaalisen manipuloinnin menetelmät ovat houkutteleva tapa hankkia työntekijöiltä pääsy pilvijärjestelmään.

Tietojenkalastelu haittaohjelmien avulla toimii niin, että hyökkääjä tekeytyy luotettavaksi tahoksi ja houkuttelee uhrit avaamaan tartunnan saaneita tiedostoja tai linkkejä. Hyökkäys voidaan kohdistaa työntekijöihin yrityksen pilvisäilytystilojen, tietokantojen ja muiden verkossa olevien rakenteiden tartuttamiseksi. Kun rakenteet on tartutettu, haittaohjelma voi levitä aiheuttaen monenlaisia häiriöitä ja yleensä aiheuttaa koko organisaation laajuisen tietomurron.

Pilvipalveluiden väsytysmenetelmähyökkäykset sisältävät mm. tunnistetietojen täytön, jossa muilta tileiltä varastettuja tunnistetietoja syötetään useisiin palveluihin. Hyökkääjät pyrkivät hyödyntämään mitä tahansa salasanan ja käyttäjänimen yhdistelmää monilla eri tileillä. Tyypillisesti varastetut tunnistetiedot ovat peräisin olemassa olevista tilimurroista ja tietoja myydään pimeässä verkossa. Nopeat kirjautumisyritykset kaukaisista paikoista voivat olla varoituksen merkki juuri tällaisesta toiminnasta.

Palvelunestohyökkäykset (DDoS) ylikuormittavat pilvipalvelimet tai niitä ympäröivät rakenteet häiritäkseen palveluja tai pakottaakseen ne pois verkosta. Niitä saattaa tapahtua botnet-pohjaisissa tai tietojenkalastelu-uhkissa, joissa hyökkääjät pääsevät käsiksi järjestelmään ja käyttävät ennalta määritettyä etätietokonearmeijaa hyökkäyksen toimeenpanemiseksi. DDoS-hyökkäykset ovat houkuttelevia, koska ne on helppo toimeenpanna ja ne aiheuttavat laajalti haittaa verkkopohjaisiin toimintoihin. Monet pilvipalveluja käyttävät organisaatiot ovat vielä haavoittuvampia puutteellisen infrastruktuurin vuoksi.

Tietojen suojaaminen pilvessä

Kiinnitä huomiota muutamiin avainalueisiin parantaaksesi pilvipalvelujen datan turvallisuutta. Tietojen salaus on tärkeää pilven tietoturvallisuuden kannalta. Salaus sekoittaa tiedot niin, että ne ovat käyttökelvottomia kenelle tahansa, jolla ei ole avaukseen tarvittavia avaimia. Tässä on muutama vinkki avuksesi.

Yksityisenä kotikäyttäjänä voit tehdä seuraavat toimenpiteet:

• Käytä VPN-palvelua: Virtuaalinen yksityisverkko voi auttaa pitämään tietosi yksityisinä ja anonyymeina, kun ne liikkuvat pilven ja laitteidesi välillä. Salaus on useimpien VPN-palvelujen ensisijainen ominaisuus, joten ne voivat suojata yhteytesi salakuuntelulta.
• Määritä tarvitsevatko tallentamasi tiedot salausta: Kaikkia tietoja ei tarvitse salata, mutta arkaluontoiset tiedot tulisi aina varmistaa suojauksella. Esimerkiksi veroasiakirjat ja muut yksityiset tiedostot on hyvä salata, mutta se ei välttämättä ole tarpeen mm. julkisesti jakamasi datan kohdalla. Mutta muista, että saatat menettää pääsyn tiedostoihin, jos menetät salausavaimesi.
• Käytä salausta huolellisesti: Palveluntarjoajasi ei välttämättä tallenna itse salausavaimia, joten sinun pitää itse varmistaa, että pilven salausavaimia ei tallenneta haavoittuviin paikkoihin, kuten tietokoneen tallennustilaan.
• Valitse tietoturvapalvelu, joka valvoo identiteettiäsi: Tuotteet, kuten Kaspersky Security Cloud lähettävät sinulle päivityksiä, jos tietosi altistuvat pilvipalvelujen tarjoajan tietomurrossa. Jos jokin salausmenetelmä onnistutaan murtamaan, saat selkeän toimintasuunnitelman tietojesi turvaamiseksi.

Jos haluat turvata pienen, keskisuuren tai suuren yrityksen järjestelmät, tutustu seuraaviin ohjeisiin:

• Salaa tiedot ennen niiden tallentamista pilveen: Salaamalla paikalliset tallennuslaitteesi ja käyttöjärjestelmäsi pystyt hallitsemaan paremmin, kuinka yrityksesi käsittelee salaustoimia.
• Päästä päähän -salaus: Varmista, että tarjoajasi tarjoaa salauksen, joka turvaa tietojen kulun pilvipalveluun ja sieltä pois. Arkaluontoiset tiedot, kuten talous- ja osakeyhtiötiedot tulisi aina turvata sieppaukselta.
• Salausavainten hallinta: Salaus edellyttää useita avaimia tietoihin pääsemiseksi. Avaimia täytyy siis valvoa ja säilyttää huolellisesti. Määritä, hallitseeko pilvipalvelujen tarjoaja avaimia puolestasi, vai säilytätkö niitä sisäisesti.
• Käytä pilvipalvelujen tietoturvallisuusratkaisua: Tietojen salaus on valtava tehtävä ilman asiankuuluvaa apua. Tuotteet, kuten Kaspersky Hybrid Cloud Security voivat auttaa sinua arvioimaan, kuinka paikallisia ja pilven tietoturvallisuustoimia voidaan parantaa. Samalla se suojaa sinua uusilta uhkilta.

Vinkkejä pilven tietoturvallisuuden parantamiseksi

Pilvipalvelujen tietoturvahaasteiden ratkaisu voidaan aloittaa loppukäyttäjän suojaustyökalujen ja menetelmien avulla. Onpa kyse henkilökohtaisesta käytöstä tai yrityksen IT-käytäntöjen suunnittelusta, tässä on joitakin vinkkejä, joiden avulla pidät pilvipalvelusi turvassa:

1. Vältä dokumenttien ja liitteiden lataamista: Esikatsele liitteet ja dokumentit aina kun mahdollista. Säilytä dokumentit verkossa sen sijaan, että tallentaisit ja käyttäisit niitä paikallisesta säilytyspaikasta.
2. Ilmoita tuelle tietojenkalasteluyrityksistä: Olivatpa kyseessä sähköpostit, puhelut, tekstiviestit tai muut oletetut tietojenkalastelutavat, kerro niistä palveluntarjoajalle ja/tai IT-tiimillesi.
3. Ota käyttöön monitasoinen todennus: Kerroksittainen suojaus, kuten biometriikka tai USB-avaimet tavanomaisten salasanojen lisäksi voivat luoda lisää tietoturvaesteitä. Vaikka ne eivät olekaan täysin varmoja, henkilökohtaiseen tietoturvaan käytetty lisäminuutti saattaa pysäyttää peruskyberhyökkäykset.
4. Turvaa älykotisi laitteet (tai vähintään internetyhteytesi): Varmista, että reitittimesi järjestelmänvalvojan käyttöoikeus on vahvistettu vahvalla salasanalla ja käyttäjänimellä. Myös kodin Wi-Fi-yhteyden parempi salasana auttaa. Jos työskentelet etänä kotoa käsin, voit harkita käyttäväsi kotiverkon sijaan mobiilia tukiasemaa ja VPN-yhteyttä.
5. Varmista, että noudatat työpaikkasi kyberturvallisuuskoulutuksen ohjeita. Säännöt ja käytännöt ovat tehokkaita ainoastaan, jos noudatat niitä. Ehdota, että IT-tiimisi luo virtuaalisia harjoituksia uhkia, kuten tietojenkalastelua vastaan, ellei sellaisia jo ole käytössä.
6. Määritä VPN ja vaadi sen käyttöä. Tämä palvelu antaa sinulle ja organisaatiollesi yksityisen tunnelin, jonka kautta data liikkuu keskeytyksettä. Varmista, että VPN-tarjoaja tarjoaa päästä päähän -salauksen ja että sillä on luotettava historia.
7. Tarkista käyttöoikeudet ja rajoita niitä. Käyttämättömien käyttäjätilien poisto ja käyttöoikeuksien rajoitukset perusoikeuksiin tukevat etätyöskentelyn kyberturvallisuutta.
8. Asenna internetsuojausohjelmisto. Vaikka olisit tarkkaavainen omia laitteitasi koskien, tartunta saattaa tunkeutua sisään toisen käyttäjän kautta työpaikkasi pilveen. Kunnollinen virustorjuntaohjelmisto kuten Kaspersky Cloud Security auttavat tässä tehtävässä.
9. Pidä ohjelmistosi ajan tasalla. Tietoturvakorjaukset kattavat monet ohjelmistojen korjauspäivitykset. Asenna ne mahdollisimman pian sulkeaksesi mahdolliset tietomurtopisteet.
10. Paranna käyttöjärjestelmän, sovellusten ja verkkopalvelujen tietoturvatasoa. Joidenkin ohjelmien ja laitteiden tietoturvallisuutta koskevat oletusasetukset saattavat pyrkiä tasapainottamaan käyttömukavuuden ja turvallisuuden. Suosittelemme määrittämään ne tiukemmiksi, mikä auttaa pitämään tietoturvauhkat loitolla.
11. Testaa pilvipalvelujesi määritykset. Testaa verkkoasi ja kaikkia sen komponentteja monilla eri tietoturvamenetelmillä mahdollisten haavoittuvuuksien löytämiseksi. Yksi tärkeä menetelmä on salasanojen vahvuuden testaus työkaluilla kuten Kaspersky Password Manager. Testien tekeminen itse vie aikaa, mutta kyberturvallisuusapuvälineet, kuten Kaspersky Hybrid Cloud Security voivat vahvistaa järjestelmiäsi, ja samalla estää kaikki saapuvat uhkat.

Aiheeseen liittyvät tuotteet

• Kodin laitteiden kybersuojaus
• Advanced Endpoint Security pk-yrityksille
• Hybrid Cloud Security
• Suuryritysten kybersuojaus eri aloille

Aiheeseen liittyvät artikkelit:

• Mikä on kyberrikos: riskit ja ehkäisytoimet
• Useimman tyyppisten kyberrikosten välttäminen
• Esineiden Internetin tietoturvauhat
• Mitä ovat roskaposti ja tietojen kalastelu?