Yrityksen Azure-ympäristö voi näyttää hallitulta, vaikka sen taustalla olisi vanhoja käyttäjätunnuksia, liian laajoja käyttöoikeuksia tai asetuksia, joita kukaan ei enää aktiivisesti seuraa. Kysymys siitä, miten Azure-asetukset suojataan yrityksessä, ei ratkea yhdellä tietoturvaominaisuudella. Kyse on jatkuvasta hallinnasta: kuka pääsee mihinkin, millä laitteella, mitä ympäristössä tapahtuu ja miten häiriötilanteeseen reagoidaan.

Pienessäkin yrityksessä Azureen voi kertyä nopeasti sähköpostit, tiedostot, varmuuskopiot, sovellukset, käyttäjätunnukset ja asiakkaiden tietoja. Siksi pilviympäristön asetukset kannattaa käsitellä samalla vakavuudella kuin toimitilan avaimet, palvelinhuoneen pääsy ja työasemien tietoturva. Vastuun pitää olla selkeästi nimetty, eikä asetusten hallinta saa jäädä kiireisen arjen sivutehtäväksi.

Mistä Azure-ympäristön tietoturvariskit syntyvät?

Usein suurin riski ei ole yksittäinen tekninen vika vaan epäselvä toimintatapa. Kun työntekijä vaihtaa tehtävää tai lähtee yrityksestä, käyttöoikeuksia ei ehkä poisteta riittävän nopeasti. Kun ulkopuolinen toimittaja tarvitsee apua varten pääsyn ympäristöön, hänelle voidaan antaa laajemmat oikeudet kuin työ todellisuudessa edellyttää. Kun uusi palvelu otetaan käyttöön nopeasti, sen suojausasetukset jäävät tarkistamatta.

Azure mahdollistaa paljon, mutta sama joustavuus vaatii kurinalaisuutta. Järjestelmänvalvojan oikeudet, avoimet verkkoyhteydet, suojaamattomat tallennustilat ja puutteellinen lokitus voivat muodostaa kokonaisuuden, jota on vaikea havaita ilman säännöllistä tarkastelua. Yrityksen koko vaikuttaa toteutuksen laajuuteen, mutta ei perusperiaatteisiin. Kymmenen hengen yritykselläkin on syy tietää, kenellä on pääsy tärkeisiin tietoihin ja millä perusteella.

Tietoturvaa ei myöskään kannata rakentaa oletuksen varaan, että hyökkäys kohdistuu vain suuriin organisaatioihin. Pienempi yritys voi olla kiinnostava kohde esimerkiksi siksi, että sen kautta päästään asiakkaan tietoihin, laskutusjärjestelmiin tai sähköpostiin. Usein hyökkääjän tavoitteena on hyödyntää tavallista käyttäjätunnusta, ei murtaa näyttävästi teknistä suojausta.

Miten Azure-asetukset suojataan yrityksessä käytännössä?

Turvallinen Azure-ympäristö alkaa inventaariosta. Ensin selvitetään, mitä palveluita yritys käyttää, missä tiedot sijaitsevat, ketkä niitä hallitsevat ja mitä käyttöoikeuksia eri henkilöillä on. Tämä kuulostaa perusasioilta, mutta juuri tässä vaiheessa löytyvät tavallisesti käyttämättömät tilit, vanhat projektit ja tarpeettomat järjestelmänvalvojan oikeudet.

Seuraavaksi sovitaan hallintamalli. Yrityksessä pitää olla tiedossa, kuka hyväksyy uudet käyttöoikeudet, kuka poistaa ne työsuhteen päättyessä ja kuka vastaa poikkeamien selvittämisestä. Vastuun voi ulkoistaa, mutta omistajuutta ei. Johdon ja nimetyn IT-kumppanin on tiedettävä, kuka tekee päätökset ja mistä saa nopeasti apua ongelmatilanteessa.

Hyvä käytännön malli on tarkistaa käyttöoikeudet määräajoin, esimerkiksi neljännesvuosittain sekä aina henkilöstömuutosten yhteydessä. Tarkistuksessa ei kysytä vain, toimiiko käyttäjätunnus, vaan tarvitseeko henkilö edelleen kyseiset oikeudet. Erityistä huomiota vaativat järjestelmänvalvojat, taloushallinnon käyttäjät, ulkopuoliset toimittajat ja yhteiskäyttöiset tunnukset. Viimeksi mainittuja kannattaa välttää, koska niiden käyttöä ja vastuuta on vaikea jäljittää.

Monivaiheinen tunnistautuminen on perusvaatimus

Salasana ei yksin riitä suojaamaan yrityksen pilvipalveluja. Monivaiheinen tunnistautuminen tuo kirjautumiseen toisen varmistuksen, kuten hyväksynnän puhelinsovelluksessa tai vahvan tunnistusmenetelmän. Se pienentää merkittävästi riskiä tilanteessa, jossa salasana on päätynyt vääriin käsiin tietojenkalastelun tai tietovuodon kautta.

Monivaiheinen tunnistautuminen kannattaa ottaa käyttöön kaikille käyttäjille, mutta erityisesti hallintaoikeuksilla toimiville henkilöille. Pelkkä käyttöönotto ei kuitenkaan riitä. On päätettävä, miten toimitaan, jos työntekijä vaihtaa puhelinta, unohtaa tunnistuslaitteensa tai epäilee tunnustensa joutuneen vääriin käsiin. Selkeä ohje ja nopea tukikanava estävät sen, että turvallisuus kierretään kiireessä.

Kirjautumisehtoja voidaan lisäksi rajata riskin mukaan. Hallintatunnuksilla kirjautuminen voidaan esimerkiksi sallia vain hallituilta laitteilta tai vaatia vahvempaa tunnistusta, kun kirjautuminen tapahtuu uudesta sijainnista. Rajaukset on tehtävä yrityksen työnteon tarpeet huomioiden. Jos henkilöstö työskentelee paljon liikkuvasti, liian tiukat ehdot voivat haitata arkea. Tavoite on vähentää tarpeetonta riskiä, ei tehdä työstä hankalaa.

Käyttöoikeudet annetaan työn, ei varmuuden vuoksi

Azure-ympäristössä oikea periaate on vähimmän oikeuden malli. Käyttäjälle annetaan vain ne oikeudet, joita hänen työnsä edellyttää, ja vain niin pitkäksi aikaa kuin niitä tarvitaan. Tavallisen työntekijän ei tarvitse olla järjestelmänvalvoja, eikä projektitoimittajalle tarvitse antaa pysyvää pääsyä koko ympäristöön.

Hallintaoikeuksille kannattaa käyttää erillisiä tunnuksia. Päivittäinen sähköpostin käyttö, tiedostojen käsittely ja selaaminen tehdään tavallisella käyttäjätilillä. Hallintatunnusta käytetään vain ylläpitotoimiin. Näin yhden huijatun tai saastuneen työaseman vaikutus jää rajatummaksi.

Käyttöoikeuksien selkeys auttaa myös häiriötilanteissa. Kun tiedetään, kuka voi muuttaa asetuksia ja kuka näkee mitäkin tietoa, ongelman rajaus on nopeampaa. Samalla yritys pystyy osoittamaan asiakkailleen ja yhteistyökumppaneilleen, että henkilötietoja ja liiketoimintatietoa käsitellään hallitusti.

Turvallinen perusasetusten taso vähentää virheitä

Jokainen Azure-palvelu tuo omat asetuksensa, joten ympäristöön kannattaa määritellä yhteinen perustaso. Siihen kuuluvat esimerkiksi hyväksytyt alueet, salauksen käyttö, tallennustilojen pääsyrajoitukset, verkkoyhteyksien rajaukset ja lokituksen vaatimukset. Kun peruslinja on sovittu, uudet palvelut eivät jää yksittäisten toteuttajien valintojen varaan.

Verkkoyhteyksien kohdalla kannattaa välttää tarpeettomasti avoimia palveluja. Jos palvelin, tietokanta tai tallennustila tarvitsee yhteyden vain yrityksen verkosta tai tietystä sovelluksesta, pääsy rajataan sen mukaisesti. Julkinen pääsy voi olla perusteltua esimerkiksi asiakkaille tarkoitetussa verkkopalvelussa, mutta silloin suojaus suunnitellaan palvelun käyttötarkoituksen mukaan eikä oletusasetuksilla.

Asetuksia kannattaa valvoa myös automaattisesti. Jos uusi resurssi luodaan ilman vaadittua suojausta tai palvelun pääsy avataan liian laajaksi, poikkeama voidaan havaita heti. Automaatio ei korvaa asiantuntijan tekemää arviointia, mutta se estää tavallisia inhimillisiä virheitä toistumasta ympäristön kasvaessa.

Varmuuskopiointi ja palautus ovat osa Azure-tietoturvaa

Varmuuskopio ei ole vain tekninen vakuutus laiterikon varalle. Se on suoja myös kiristyshaittaohjelmia, virheellisiä poistoja ja epäonnistuneita muutoksia vastaan. Olennaista on, että varmuuskopioista voidaan todella palauttaa tarvittavat tiedot ja palvelut riittävän nopeasti.

Yrityksen kannattaa määritellä, mitkä tiedot ovat toiminnan kannalta kriittisiä ja kuinka pitkään niiden palautuminen saa kestää. Sähköpostin, asiakasdokumenttien, talousaineistojen ja keskeisten sovellusten vaatimukset eivät välttämättä ole samat. Samalla päätetään, kuinka pitkään varmuuskopioita säilytetään ja kuka valvoo niiden onnistumista.

Palautusta pitää myös testata. On vaarallista huomata vasta häiriötilanteessa, että varmuuskopio on puutteellinen, palautus kestää odotettua pidempään tai tarvittavat käyttöoikeudet puuttuvat. Säännöllinen palautusharjoitus kertoo käytännössä, ovatko suunnitelma ja tekninen toteutus kunnossa.

Lokitus ja valvonta muuttavat epäilyn tiedoksi

Ilman lokeja yritys ei tiedä luotettavasti, mitä ympäristössä on tapahtunut. Lokitiedoista voidaan selvittää esimerkiksi kirjautumisia, käyttöoikeuksien muutoksia, resurssien poistoja ja poikkeavia toimintoja. Ne ovat tarpeen sekä tietoturvatilanteiden selvityksessä että tavallisessa ylläpidossa.

Valvonnassa kannattaa keskittyä sellaisiin tapahtumiin, joihin on reagoitava. Hälytys voi syntyä esimerkiksi uudesta järjestelmänvalvojasta, poikkeavasta kirjautumisesta, monivaiheisen tunnistautumisen toistuvista epäonnistumisista tai tärkeän palvelun asetusten muuttumisesta. Jos hälytyksiä tulee liikaa eikä kukaan ehdi käsitellä niitä, niiden arvo katoaa.

Hyvä valvonta sisältää myös toimintatavan: kuka vastaanottaa ilmoituksen, mitä tarkistetaan ensin ja milloin asiasta kerrotaan yrityksen johdolle. Nopeus ratkaisee usein enemmän kuin täydellinen ensitieto. Epäilyttävä tunnus voidaan sulkea, istuntoja katkaista ja käyttöoikeuksia rajata ennen kuin vahinko laajenee.

Jatkuva ylläpito pitää suojauksen toimivana

Azure-asetukset eivät ole projekti, joka valmistuu käyttöönoton jälkeen. Palvelut, työntekijät, laitteet ja toimintatavat muuttuvat jatkuvasti. Siksi ympäristölle tarvitaan sovittu ylläpitorytmi, jossa tarkistetaan käyttöoikeudet, päivitykset, varmuuskopioinnit, hälytykset ja uudet tarpeet.

Monelle pk-yritykselle toimivin ratkaisu on nimetä yksi vastuullinen IT-kumppani, joka tuntee myös yrityksen laitteet, verkon ja käyttäjien arjen. Kun sama taho vastaa Azure-asetuksista, työasemista ja tietoturvan perusasioista, vikatilanteita ei tarvitse siirtää toimittajalta toiselle. Karjalan Datahuollon toimintamallissa asiakkaalla on yksi yhteyshenkilö ja selkeä reitti etätukeen sekä tarvittaessa paikalliseen apuun.

Turvallinen Azure-ympäristö ei vaadi yritykseltä jatkuvaa teknisten asetusten opiskelua. Se vaatii päätöksen siitä, että käyttöoikeuksilla, valvonnalla ja palautuskyvyllä on omistaja. Kun perusasiat ovat kunnossa ja niitä seurataan säännöllisesti, pilvipalvelu tukee yrityksen työtä sen sijaan, että siitä tulee huomaamaton riski.