Ulkomaisiin pilvipalveluihin liittyy useita merkittäviä tietoturvariskejä: data voi sijaita lainsäädännöltään epäedullisessa maassa, kolmansien osapuolten pääsyoikeudet voivat olla epäselviä, ja tietoturvaloukkausten käsittelytavat vaihtelevat huomattavasti eri oikeusjärjestelmissä. Riskit koskevat erityisesti organisaatioita, jotka käsittelevät arkaluonteista tai säänneltyä tietoa. Alla käymme läpi tärkeimmät kysymykset, joita jokaisen IT-päättäjän kannattaa pohtia ennen pilvipalvelun valintaa.
Mitä lakeja ja säädöksiä ulkomaisiin pilvipalveluihin sovelletaan?
Ulkomaiseen pilvipalveluun tallennettuun dataan sovelletaan ensisijaisesti sen maan lainsäädäntöä, jossa palveluntarjoajan palvelimet sijaitsevat. Tämä tarkoittaa, että eurooppalainen yritys voi olla alttiina esimerkiksi Yhdysvaltojen CLOUD Act -lailla tai Kiinan kyberturvallisuuslailla, vaikka oma toiminta tapahtuisi täysin EU:n sisällä.
EU:n yleinen tietosuoja-asetus (GDPR) velvoittaa eurooppalaisia organisaatioita varmistamaan, että henkilötietoja käsitellään asianmukaisesti myös silloin, kun käytetään kolmannen maan palveluntarjoajia. Tietojen siirto EU:n ulkopuolelle edellyttää joko riittävyystoteamusta, vakiosopimuslausekkeita tai muuta hyväksyttyä siirtomekanismia. Näiden mekanismien oikeudellinen kestävyys on osoittautunut haavoittuvaksi: Privacy Shield kumottiin vuonna 2020, ja EU-U.S. Data Privacy Frameworkin tulevaisuus on edelleen epävarma.
Käytännössä tämä tarkoittaa, että pelkkä sopimus ei riitä. Organisaation on ymmärrettävä, missä data fyysisesti sijaitsee ja minkä maan viranomaisilla on siihen oikeudellinen pääsy.
Missä ulkomaisiin pilvipalveluihin tallennettu data fyysisesti sijaitsee?
Ulkomaisiin pilvipalveluihin tallennettu data voi sijaita fyysisesti useissa eri maissa samanaikaisesti, sillä suuret pilvipalveluntarjoajat kuten AWS ja Azure hajauttavat datan automaattisesti useisiin datakeskuksiin ympäri maailmaa. Pelkkä ”EU-alue” -valinta ei välttämättä tarkoita, että data pysyy yhdessä maassa tai edes yhden oikeusjärjestelmän alaisuudessa.
Suurten kansainvälisten pilvipalveluiden, kuten AWS-pilvipalveluiden, arkkitehtuuri perustuu redundanssiin ja saatavuuteen: data replikoidaan useisiin sijainteihin vikasietoisuuden varmistamiseksi. Tämä on teknisesti erinomainen ratkaisu, mutta tietosuojan näkökulmasta se luo monimutkaisen tilanteen, jossa datan tosiasiallinen sijainti voi olla vaikea selvittää.
Organisaation on eksplisiittisesti varmistettava palveluntarjoajalta, mihin alueisiin data tallennetaan, onko datan sijainti lukittavissa tiettyyn maahan tai alueeseen, ja miten varmuuskopiot käyttäytyvät. Ilman näitä selvityksiä ”eurooppalainen pilvi” voi käytännössä tarkoittaa, että kriittinen data sijaitsee myös EU:n ulkopuolella.
Kuka pääsee käsiksi ulkomaiseen pilvipalveluun tallennettuun dataan?
Ulkomaiseen pilvipalveluun tallennettuun dataan voivat päästä käsiksi palveluntarjoajan henkilöstö, alihankkijat, sekä sen maan viranomaiset, jossa palvelimet sijaitsevat. Yhdysvaltojen CLOUD Act velvoittaa amerikkalaisia pilvipalveluntarjoajia luovuttamaan dataa viranomaisten pyytäessä, riippumatta siitä, missä data fyysisesti sijaitsee.
Palveluntarjoajan sisäinen pääsy
Suurten kansainvälisten pilvipalveluntarjoajien henkilöstö voi teknisesti päästä käsiksi asiakkaiden dataan ylläpito- ja tukitoimenpiteiden yhteydessä. Hyvät palveluntarjoajat dokumentoivat nämä pääsyt ja rajoittavat niitä tiukasti, mutta käytännöt vaihtelevat merkittävästi. Alihankkijaketjut lisäävät kompleksisuutta: et välttämättä tiedä, kenen henkilöstö todellisuudessa hallinnoi infrastruktuuria.
Viranomaiset ja lainsäädännölliset pääsyoikeudet
Tämä on usein aliarvioiduin riski. Yhdysvaltojen CLOUD Act, Kiinan kyberturvallisuuslaki ja monien muiden maiden vastaavat säädökset velvoittavat palveluntarjoajia luovuttamaan dataa pyydettäessä. Palveluntarjoaja ei välttämättä edes voi ilmoittaa asiakkaalle tällaisesta tietopyynnöstä. Eurooppalaisen tai kotimaisen pilvipalvelun valinta on yksi konkreettinen keino rajoittaa tätä riskiä.
Miten tietoturvaloukkaukset käsitellään eri maissa eri tavalla?
Tietoturvaloukkausten käsittely vaihtelee merkittävästi eri maiden lainsäädännön mukaan: ilmoitusvelvollisuuden laajuus, aikarajat ja sanktiot eroavat huomattavasti. EU:n GDPR edellyttää ilmoitusta valvontaviranomaiselle 72 tunnin kuluessa, mutta monissa muissa maissa vastaavaa velvoitetta ei ole lainkaan.
Kun tietoturvaloukkaus tapahtuu ulkomaisen pilvipalveluntarjoajan infrastruktuurissa, vastuu jakautuu monimutkaisesti. Palveluntarjoaja saattaa toimia oman maansa lainsäädännön mukaisesti, joka voi sallia huomattavasti pidempiä ilmoitusaikoja tai jopa salata loukkauksen olemassaolon kokonaan. Suomalainen yritys on kuitenkin GDPR:n nojalla vastuussa ilmoitusvelvollisuuden täyttämisestä, vaikka loukkaus tapahtuisi palveluntarjoajan puolella.
Käytännön ongelma on se, että saat tiedon loukkauksesta palveluntarjoajan omien prosessien aikataulun mukaan. Jos nämä prosessit ovat hitaita tai läpinäkymättömiä, 72 tunnin GDPR-ikkuna voi umpeutua ennen kuin sinulla on riittävästi tietoa ilmoituksen tekemiseksi. Tämä on konkreettinen compliance-riski, joka usein unohdetaan pilvipalvelua valittaessa.
Milloin eurooppalainen tai kotimainen pilvipalvelu on parempi vaihtoehto?
Eurooppalainen tai kotimainen pilvipalvelu on parempi vaihtoehto silloin, kun käsitellään arkaluonteista henkilötietoa, kriittistä liiketoimintadataa tai säänneltyä tietoa, johon sovelletaan tiukkoja tietosuojavaatimuksia. Kotimainen tai eurooppalainen pilvipalvelun tarjoaja toimii selkeämmin GDPR:n alaisuudessa ilman kolmansien maiden oikeudellisia epävarmuuksia.
Paremman pilvipalvelun puolesta kannattaa harkita kotimaista tai eurooppalaista vaihtoehtoa erityisesti seuraavissa tilanteissa:
- Organisaatio käsittelee terveys-, finanssi- tai henkilötietoja, joihin kohdistuu erityisiä sääntelyvaatimuksia
- Toimiala on kriittistä infrastruktuuria tai julkinen sektori
- Asiakkaat tai kumppanit edellyttävät tiettyä datan sijaintia
- Organisaatiolla on matala toleranssi oikeudelliselle epävarmuudelle
- Tietosuoja on osa brändilupausta ja kilpailuetua
Tämä ei tarkoita, että kansainväliset pilvipalvelut olisivat aina väärä valinta. AWS-pilvipalvelut ja vastaavat tarjoavat huomattavan ekosysteemin ja teknologisia etuja, joita ei kannata sivuuttaa. Kysymys on riskiprofiilista ja siitä, mihin data kuuluu. Vastuullinen IT-päätöksenteko tarkoittaa, että nämä valinnat tehdään tietoisesti eikä oletusasetuksena.
Me Magic Cloudilla autamme asiakkaitamme rakentamaan tietokantapalveluita ja pilvi-infraa, jossa datan sijainti ja hallinta ovat aina selkeitä. Oma pilvemme sijaitsee Euroopassa, ja se on myös hiilineutraali, joten asiakkaamme voivat tehdä vastuullisen IT-valinnan myös ympäristön näkökulmasta.
Miten ulkomaisiin pilvipalveluihin liittyvät riskit arvioidaan käytännössä?
Ulkomaisiin pilvipalveluihin liittyvät riskit arvioidaan käytännössä systemaattisella tietosuojavaikutusten arvioinnilla (DPIA), palveluntarjoajan sopimusehtojen analyysillä sekä datan luokittelulla. Arvioinnin lähtökohtana on ymmärtää, mitä dataa tallennetaan, mihin se menee, ja kuka siihen voi päästä käsiksi.
Datan luokittelu ja riskiprofilointi
Ensimmäinen askel on kartoittaa, mitä dataa ollaan siirtämässä ulkomaiseen pilvipalveluun. Kaikki data ei ole samanarvoista: julkinen markkinointimateriaali on eri asia kuin asiakkaiden henkilötiedot tai liikesalaisuudet. Luokittele data sen arkaluonteisuuden ja sääntelyvaatimusten mukaan ennen palveluntarjoajan valintaa.
Sopimus- ja palveluehtodokumentaatio
Palveluntarjoajan sopimusehdoista kannattaa tarkistaa erityisesti seuraavat kohdat: missä data fyysisesti sijaitsee, onko sijainti lukittavissa, miten tietoturvaloukkaukset ilmoitetaan ja millä aikataululla, mitkä ovat alihankkijoiden tiedot ja pääsyoikeudet, sekä miten data palautetaan tai poistetaan sopimuksen päättyessä. Monet organisaatiot hyväksyvät palveluehdot ilman näiden kohtien tarkistamista, mikä on merkittävä tietoturvariski.
Pilviekosysteemi on monimutkainen kokonaisuus, ja sen hallinta edellyttää asiantuntemusta. Jos oman tiimin resurssit tai osaaminen eivät riitä kattavaan riskiarviointiin, kannattaa hakea apua. Ota yhteyttä ja käydään yhdessä läpi, miten teidän pilvi-infraanne kannattaa kehittää turvallisesti ja vastuullisesti. Emme piiloudu tikettien taakse, vaan olemme aidosti mukana auttamassa, vaikka vastuu ei aina olisikaan meidän. Noustaan pilviin oikealla tavalla.
