View
70
Download
1
Category
Preview:
Citation preview
Pilvipalvelut
hallitusti käyttöön
• palvelun valinta
• ohjeistukset
• tietoturva
• tietosuoja
• jatkuvuus
Tekninen tietoturvatyöpaja 3.11.2014
Tomi Järvinen – IT-Security specialist
https://twitter.com/tomppaj
Tärkeimmät ohjeistukset
• Pilvipalvelupolitiikka, kevyt ohjeistus josta käyttäjät ja
palveluita tarvitsevat voivat tarkistaa miten toimia”Amerikan
palveluiden” kanssa. ”hipjahei.com vs. SaaS”
• Tiedon luokittelu, jotta tiedetään minkälaiseen palveluun
”jutussa*” käsiteltävä aineisto sopii (lainsäädäntö,
velvoitteet, omat politiikat)
• Hankintaohjeistus ja vaatimusmäärittelyt, jotta voidaan
hankkia tai ottaa käyttöön (myös maksuttomat) pilvipalvelut
• Palveluiden kriittisyysluokittelu, jotta voidaan varmistua
siitä että pilvipalvelun palvelutasolupaus riittää ko. käyttöön
*”Juttu” = yksittäinen tarve, projekti, yksikön työtila, tallennuspalvelu, jne.
Ohjeistuksen pääperiaate - jako kahteen”Minun pitää aloittaa projekti, käykö vaikka ilmainen tosi kiva
hipjahei.com.com”Mitä ollaan oikeasti tekemässä?
Käyttöön liittyy
• henkilötietojen käsittelyä
• salassa pidettävää materiaalia
• pankkitietojen käsittelyä
• suuri määrä käyttäjiä
• ylläpito vaatimuksia, käytettävyys
24/7…
Tarkista ensin:
IT-palvelu-
luettelo
Asia eteenpäin
asiakkuus-
päälliköiden
kautta
Lista käytössä
olevista
palveluista Aallon
Wiki-sivuilla
Omaan tai pienen yhteisön käyttöön
• ryhmäkeskustelu
• materiaalin jako
• Verkkotyöskentely
• tiedon turvaluokka on julkinen
• …
Pyynnöt Aallon
PilviWiki-sivuilla
olevalla
lomakkeella
http://Pilvi.aalto.fi , avattiin 20.6.2011 , now only in English
A
B
Valinnan vaikeus, A vai B?
Asiakkaan kannalta, ohjeissa ja koulutuksissa korostetaan:
Jos pienikin epäilys niin ota yhteys tietotekniikkapalveluihin
IT:n kannalta,
projektipäälliköiden, hankinnan ja asiakkuuspäälliköiden pitäisi tietää
miten edetään jos tarvitaan SaaS-tyyppinen palvelu
Esiselvityslomake, ”tarkistuslista”
Käsiteltävä tieto
tietosuoja/tietoturva/SLA, käyttäjät,
ENSIN
SITTEN
Jos käyttöön kelpaa hipjahei.com,
pohdi näitä:
• kolme mallia: Free – Advertisement – Freemium (business)
– maksuton yleensä päätyy joko mainosperusteiseksi tai maksulliseksi
– mainosrahoitteinen-> tarjoajan motivaatio?
• money, money, money (Google liikevoitto 2013 20 Miljardia)
– freemium, usein paras vaihtoehto, ilmainen ei sisällä mainoksia, raha
tulee täydestä versiosta. (esim. Yammer)
• mieti mitä palvelulta haluat, yhteen asiaan keskittyneellä jatkuvuus voi
olla vakaammalla pohjalla, (Twitter)
– käyttäjät oppivat käytön helpommin
– palvelu tekee juuri ja vain sen mihin se on tarkoitettu
MIT Study: "free" is a special price that confuses peoples'
thinking. http://web.mit.edu/ariely/www/MIT/Papers/zero.pdf
• dokumentaatio, laajasti tuetut rajapinnat (API)
• standardi tiedostoformaatti, useiden formaattien tuki
• anonymiteetti, voiko palvelua käyttää ilman tietojen
luovutusta, voi olla merkittävä ominaisuus opiskelijoille
• EULA, käyttö- ja tietosuojaehdot. Näissä on suuria eroja
• tiedon saaminen pois palvelusta, kun haluat lopettaa
palvelun, saatko tiedot mukaasi ja kuinka helpolla?
• tuki
More information about EULAs:
open community http://tos-dr.info/ ”Terms of service - didn’t read”
HipjaHei - Tarkistettavaa..
6
Julkiset pilvipalvelutMoneen tarpeeseen erinomainen vaihtoehto
http://Pilvi.aalto.fi (avoin)• kaikista palveluista lyhyt tietoturva ja tietosuojalausunto
• tietoturvavinkkejä verkkopalveluiden käyttöön
• aiheeseen liittyvät politiikat
• Aalto-yliopiston omia ohjeita
• only in English
Muista yleinen: pilviohje.eduuni.fi• kaksikielinen (FI ja ENG)
• kuvaukset yleisellä tasolla, sopivat suoraan linkitettäviksi
kaikille
Jos HipjaHei taas ei käy
Asiakkaan ja IT:n keskustelussa huomataan että tarvitaan
”kunnollinen”* palvelu, alkaa Prosessi
Tietoturvan, tietosuojan ja jatkuvuudenhallinnan
näkökulmasta tärkeimmät dokumentit:
• esiselvityslomake
• hankinnan vaatimusmäärittelypohjat (Katakri)
• NDA sopimus (auditointipykälä)
• projektien tietoturvaohjeet
• jatkuvuussuunnitelma (myös SaaS-palveluille)
”kunnollinen” = vaatimustenmukaisuus
(tietoturva, lainsäädäntö,
ohjeet ja politiikat).
Tietosisältö?Periaatteessa yksinkertainen, käytännössä vaikea.
Vastaus: Tietojen luokittelu
IT: Mitä palvelu sisältää?
Asiakas: projektisuunnitelmia, pöytäkirjoja,
lähdeaineistoa
IT: Ei kun mitä se sisältää? Tietosisältö?
Asiakas: ????
Ohjeistus - julkisuus ja tietojen luokittelu
Luokittelussa vain Sisältö ratkaisee
Aineisto sisältää suojattavaa tietoa lainsäädännöstä johtuen, sopimusten
perusteella tai muiden syiden takia.
Tiedon
luokitteluohje
Tärkeysluokit-
telu, SLA
jatkuvuus-
suunnitelma
Saatavuus
• Arkiston
Tiedon-
ohjaus
suunnitelma
(TOS)
3. Tärkeys-
luokka
(normaali)
2. tärkeys-
luokka
(tärkeä)
1. tärkeys-
luokka (erittäin
tärkeä)
Säilytys-aika
10, 5, 1
vuotta?
Tiedon
elinkaari
Säilytys-
muoto
Metatiedon
käsittely
Ei
salassapito-
vaatimuksia
Sisäinen Luottamuksel-
linen,
ST IV, ST III
Nyt tiedetään tietoturva ja tietosuojavaatimukset,
mutta entä Eheys ja Jatkuvuus?
Ratkaisun
vaatimuksissa:
• Tärkeys
• Kriittisyys
• Eheys
• Tietoturva
• Tietosuoja
Tietosisältö+SLA =Tärkeys(luokittelu)
Tärkeysluokittelu
• tärkeysluokittelu• 1. tärkeysluokkaan (erittäin tärkeä) kuuluvat yliopiston ydintoiminnoille
välttämättömät IT-palvelut, joiden eheyden ja / tai toipumisvalmiuden
on oltava korkealla tasolla."haitata merkittävästi opetusta tai
tutkimusta, estää merkittävästi päivittäistä toimintaa, aiheuttaa
merkittäviä taloudellisia tappioita, aiheuttaa merkittäviä oikeudellisia
ongelmia ………….
• palvelutasot
• 1, tärkeysluokka, palvelutaso: Gold tai Platinum
• 2. tärkeysluokka, palvelutaso: Silver, erityistapauksissa Gold
• 3. tärkeysluokka, palvelutaso: Bronze (best effort)
Jatkuvuussuunnitelma, MYÖS PILVI!
O365 ja jatkuvuussuunnitelma
JATKUVUUSSUUNNITELMA
OFFICE 365
1. Tarkoitus ja soveltamisala
Tämä jatkuvuussuunnitelma on johdon hyväksymä suunnitelma, jonka
tarkoituksena on tunnistaa Office 365-palveluun kohdistuvat uhat, dokumentoida
ja organisoida Office 365-palvelun jatkuvuustoimenpiteitä sekä tiedottaa niistä.
Microsoft Corporation tuottaa Office 365-palvelut pilvipalveluna, ….
…..
2.33 Palvelun valvonta
Palvelinten tilaa valvotaan ….. ja XXX, hälytykset ohjautuvat osoitteeseen
O365Ylläpitäjänosoite@....
Microsoft valvoo omia palvelimiaan itse ja saavat hälytykset palvelinten tilasta
automaattisesti.Ylläpitäjä saa tiedon palveluiden tilassa tapahtuvista muutoksista
joko hallintaportaalin tai RSS feedin kautta. Palvelun teknisestä toiminnasta
vastaavat ylläpitäjät seuraavat RSS feediä päivittäin
-----BEGIN PGP PUBLIC KEY BLOCK-----
Version: SKS 1.1.4 Comment: Hostname: pgp.mit.edu m
QENBE/6mxMBCAC684CWyidqnOBmz3UGz160AWdORErvtnbbXciDFDsW3X2XA3A5THyLrP29
PI2S+DYL6OLHhfahVHB3l4HY7G3T5njntKGMSZ2FSb8jSkwXkAw+j9stJpaP4k2YuviBlOgm
btkBGXVYArUWYN4bZ8MHFMrX4vOTwDJml3e8+jwaHyI7Z6qUfayMHL5D1weEeJrMXqgbPqbE
wMKIP85GemoiKf6OzDzI7mVlqhPzqDN+RqXEAzvTR2t3Izr/UljBdzqkWXHVa+Xv4tCaihFQ
qaCjmk/YYqRfmRoeUydzdYROPHiloxzLyePQaxyEEsvLLHIG7AHt1TijR0zx+lAa8w17ABEB
AAG0OFRvbWkgSsOkcnZpbmVuIChBYWx0byBZTyBhdmFpbikgPHRvbWkuamFydmluZW5AYWFs
dG8uZmk+iEYEEBECAAYFAlFcFV8ACgkQTqeTy9p+GlsBJQCeNxviBR8lYuni7JpL3e4Ay5OE
pSAAoJU0UOeUIMbkxpCsVPxzMfMCCL4giQE4BBMBAgAiAhsDBgsJCAcDAgYVCAIJCgsEFgID
AQIeAQIXgAUCUVvbQQAKCRC+i7KH+wlNkpIlB/4/IjzwUcAEQApd5IalmkcKHZRKTtmx6K7s
lSo5vh55CXA8NwRhQTnVV814OtAjXC/ViIk3jCEbVlwaYQ890CW0WVnoUB6jYT74x78E3Alt
QXsPN28JsDlYY+VNTs2E2Za7idHR0oW1J6ruN5cxxXNupqAT/MMfDunodk87kCzeVqcin1dV
SrLT0atZYQ7GdsPa88Qi+EoNhIAfldv0vBWLQWQC8JTdlCMqSgnmSMbX0ivvY9uWmPd3+BYk
pp6+AJi3fjCf4PfJyaXMtZnFdH1A7rnMA/APjpbUem8NI5nSRsPuFczrG7LCASybRWk8/4I2
Wj2wLXMX+6SzYJYoi4zIiQE4BBMBAgAiBQJP+psTAhsDBgsJCAcDAgYVCAIJCgsEFgIDAQIe
AQIXgAAKCRC+i7KH+wlNkmy3CACW5RqFLzv9WukptrpM0py7UhPLyMx8xmPP+bAZqPuMcgA1
WahS+veTKugX0kLLUvUeLqRFQDPJ0hJO8LZ04d4K0sCp6SHuBhEnDntKNCX/tyKnv84GW9ZN
rd2uHP3AOVoJ3vXivE3t+xCrV3vYpNIWHijVm5G2aVQXG8/o2GcOJvWIr4ECqlSKmgyhDb6x
CgiHDLWg8ZuaIDg4YEd//zJYcpwei1roS+PPWjjtPKs8A0PFur7B8xVDT+Uo+sHNi6qPb2Vu
yT1aGOUkLhPXot5FymL73OvdNCTVwgZDBIokjBJnOpseCtZ6qKrOYD7ptEse8HkBrvdbhcFl
p4nuH2LriQE+BBMBAgAoAhsDBgsJCAcDAgYVCAIJCgsEFgIDAQIeAQIXgAUCUVAW1AUJAm5G
fQAKCRC+i7KH+wlNkquhCACuywQfUGgDlHLWpFUo10UtcURcl4R0c+2S7HZZMkjB0zJeu76g
LV9Nns07gJ1j9GqStwyrwxet9nKmhSEnnc03QJ56XattTGcn2qyFtcqszCkvTcCmQnhOM1e+
7+7WwK0vT4eCTlrSv5cpz8PlJE/+tt8L/y7DbF5Wd7i3zA86beTPKMuUWctwPKV1D3nhfhPT
styWve1gY3rPxvBTb03Gh20xogPb3HWidvNNHoveaO2+EK7WygIqzuYz9IaJj/cwrW9WkT+3
u2uiDNSkEUB7u4RdESHtVyoT4j0s5c4ST43qlamOcCNZ03VW3sEn4/RM8a4ai+57zcuCEgJN
DRzouQENBE/6mxMBCADh3JljbU6HyYTFZpwk+yN2RbFlWJjbf4yLtbhxf9NtZVCKMl2KL64k
gqOzzWoNrgVvf/hFoLBtR4A7XNNcbJE2XXWZmXJAVTenXrj8cQfFP3h6svkn5CxRjhv1RnSW
oLDWDAFI+tTHaJRADZ+P2s9Fka7opcz/0akatA015dLgsH9TquQD09tqpwFk17CvT4Rz70AT
64w9oKew0kVLNp/7IqR58WxbzRAp4myJ+ksfRxtSO0UgFT7cxvzTrarZ3RI80jujZSZCKjgH
auvjYLfQGwtxqeXZJULYwJ4DiAbVatrC+6CbT/zxseFXEGrWJynPJItoCMmc49Wwr0v99l6Z
ABEBAAGJAR8EGAECAAkFAk/6mxMCGwwACgkQvouyh/sJTZII0Af/UcmqCddV3CGaa4t25zDB
ftGK008IoY3kDCwAMaMfOBpw0uSLeDoehnDTuBpV4xlijzeSrRuYbc/lXvDJ6FqLnnDGUvSu
n0kly0/A3ShBJCoBjL2IbocWeTyT62y7c4nCuRbwFBOFLJD5AlFo4cZ9wx+Z9YfwRs/tfHE6
d1kGRryaXWsLcpHsbSIBzDMdhiyCTkgC9hro540nmFTFr9XpKuAsIz0v7nkjAUPM/P2EWRY/
fdnEbviPAJGEYeIy5uAfsdiNRgbqmrOJKQYPPCq8w1yiKpc7h99FRHtQ7Uq7cMzMBL5qblHr
i2xs65OlKHON9w41FXTQHtxlk9iefiUtiQ== =sZpD –
----END PGP PUBLIC KEY BLOCK-----
Kiitos!
https://people.aalto.fi/tomi.jarvinen
Key ID: 0xFB094D92
https://twitter.com/tomppaj
Recommended