Kysy konsultilta: Mitkä ovat AWS:n ja asiakkaan vastuut pilven tietoturvassa?

 AWS noudattaa tietoturvan yhteydessä jaetun vastuun mallia , joka määrittelee AWS:n ja asiakkaan vastuut tietoturvaan liittyen.
AWS:n vastuulla on huolehtia, että kaikkien AWS-palveluiden käyttämä infrastruktuuri sekä AWS:n tarjoamat palvelut ovat turvallisia. Tämä pitää sisällään AWS-palveluiden käyttämien ohjelmistojen, laitteistojen, verkkojen ja konesalien turvallisuuden.

Asiakkaan vastuulla on puolestaan huolehtia oman pilviympäristön turvallisuudesta. Tämä pitää sisällään montakin eri asiaa ja kokonaisuutta, kuten esimerkiksi AWS-tilin suojauksen, identiteetin ja pääsynhallinnan, käytettävien AWS-palveluiden ja verkkojen suojaamisen ja turvallisuuden, uhkien ja haavoittuvuuksien tunnistamisen, tietojen salauksen niin levyllä kuin verkkoliikenteessäkin, pilvi-infrastruktuurin määrittelemisen ohjelmallisesti (IaC) ja tietoturvaan liittyvien parhaiden käytänteiden noudattamisen.

AWS-palveluiden välillä on suuriakin eroja liittyen tietoturvan vastuuseen ja laajuuteen. Esimerkiksi EC2-palvelun kanssa asiakas vastaa laaja-alaisesti ylläpidosta ja turvallisesta konfiguroinnista, kuten esimerkiksi käyttöjärjestelmän ylläpidosta, instanssille asennetuista sovelluksista, datan salaamisesta sekä instanssin turvallisesta konfiguroinnista. Lambda-palvelun yhteydessä asiakkaan vastuut tietoturvaan liittyen ovat suppeammat. Asiakas varmistaa, että Lambdassa suoritettava koodi ja käytetyt kirjastot ovat turvallisia sekä huolehtii identiteetin ja pääsynhallinnasta. AWS puolestaan vastaa Lambda-palvelun taustalla olevan infrastruktuurin turvallisuudesta.
AWS tarjoaa erilaisia palveluita tietoturvaan liittyen. Näitä palveluita käytetään esimerkiksi tietoturvaan liittyvien ongelmien tunnistamiseen, uhkilta suojautumiseen, hyökkäysten havaitsemiseen ja reagointiin sekä palautumiseen hyökkäyksen jäljiltä. Tällaisia palveluita ovat esimerkiksi Inspector, Security Hub, IAM, Security group, Network Firewall, Shield, WAF, Macie, KMS, GuardDuty, Detective sekä Backup. Tietoturvaan liittyvistä AWS-palveluista voi käydä lukemassa lisää myös AWS:n omasta listauksesta .
Näiden palveluiden käyttämisen lisäksi on myös suositeltavaa, että turvallisuus huomioidaan ohjelmistokehityksen kaikissa vaiheissa. DevOpsin yhteydessä tästä käytetään nimitystä DevSecOps, jota käyttämällä tietoturva on läsnä kaikissa vaiheissa suunnittelusta tuotantoympäristön monitorointiin, ja lisäksi tietoturvaan liittyvät operaatiot, kuten esimerkiksi tietoturvaongelmien tunnistaminen ja havaittuun uhkaan reagointi automatisoidaan.

Tietoturva on laaja aihepiiri, mutta AWS:n Well-Architected Framework sisältää erillisen tietoturvaan keskittyvän "Security Pillar" -osion , josta asiakkaat saavat paljon arvokasta tietoa tietoturvaan liittyen, kuten esimerkiksi parhaita käytänteitä ja suosituksia toteutuksiin liittyen.

Jukka Ukkonen
Senior Consultant