Monthly Archives: March 2012

Pilven reunoja

Pilvipalveluhypen pölyt ovat hiljalleen laskeutumassa ja arki alkamassa. Pilven tekninen ja kaupallinen konsepti on varsin ymmärrettävä ja luonnollinen, melkein voisi sanoa, että evoluution seuraava askel.

Tätä ajatusta voidaan kritisoida – aivan perustellusti – siitä, että kysehän on perusteiltaan vanhasta asiasta eli siitä, että hankitaan palveluita verkkoyhteyden päästä. Näinhän on tehty ainakin periaatteessa jo vuosikymmeniä, joskin erilaisella konseptilla ja hinnoittelumallilla.

Joskus kuulee kysyttävän, että mitkä ovat ne syyt, jota estävät pilvipalveluiden käyttämisen? Oikea vastaus tähän lienee se, että ei ole olemassa mitään yksittäistä estettä, vaan samaa harkintaa kuin silloin kun hankitaan IT-palvelua jostain. Harkintaa ihan siksi, että pilvipalvelumalli ei ole myöskään automaatti parempaan maailmaan.

Seuraavassa on muutama harkintaa vaativa seikka ja näkemys, joita on kerätty omista kokemuksista, seminaareista ja muiden asiantuntijoiden lausunnoista. Täydellinen lista ei ole, mutta avannee hieman asiaa.

Luottamusta vaaditaan

Pilvipalveluiden riskit ovat osin eri paikassa kuin perinteisessä IT-palveluiden tuotantomallissa. Niin on myös data.

Pilvet myös vuotavat tietoja, joten siinä missä omasta infrasta tapahtuvat tietojen vuotamiset voidaan hallita oman organisaation sisällä on pilvessa usein luotettava siihen, mitä palveluntarjoaja tekee tai sanoo. Tässä on tyypillisesti uskottava puheisiin ja papereihin, sillä asiakas ei pääse auditoimaan pilvitoimittajan tietoturvaa tai muutakaan toimintaa.

Luottamus konkretisoituu sopimuksissa. Miten tätä luottamusta sitten mitataan, jos se pitää tehdä peräämällä omia oikeuksia toisen EU-maan tai jonkin yhdysvaltalaisen osavaltion tuomioistuimessa?

Tietoturva pilvessä on vasta kehittymässä ja sekin perustuu pitkälti luottamukseen. Asiakas ei itse pääse auditoimaan toimittajan tietoturvaa tai muutakaan toimintaa. Kolmannen osapuolen audintointiraportteja on tyypillisesti mahdollista saada.

Pilvipalvelut ovat erilaisia myös monitoroinnin suhteen. Tietoturvan näkökulmasta katsottuna pilvistä saa joitain tietoja, mutta ei esimerkiksi kunnollista käyttäjäseurantaa.

Juridiikkaa riittää

Ongelmatilanteiden lisäksi juridiikka vaikuttaa pilvipalveluiden käytön arviointiin siten, että eri maissa on erilaisia säädöksiä siitä miten palveluita saadaan käyttää. Esimerkiksi joissain maissa saatetaan vaatia vaikkapa salasanojen liikuttamista tietyissä tilanteissa selväkielisenä, mikä ei esimerkiksi Suomessa tulisi kuuloonkaan. On siis syytä tietää minkä maan laki on kulloinkin voimassa.

Julkisten pilvipalveuiden oma haasteensa tulee tietojen yhdistelemisestä ja linkityksestä. Onko miten yhdentekevää miten hyvän profiilin esimerkikisi mainostilaa myyvä yritys käyttäjistä voi tai saa tehdä? Profiileista kun voi luoda varsin tarkkoja. Esimerkiksi tästä kelpaa Googlen yksityiskäyttäjilleen laatimista uusista käyttöhedoista, jotka sallivat yhtiölle laajat oikeudet yhdistellä tietoja toisiinsa.

Pilvissä tietojen yhdisteleminen on tehty erityisen helpoksi, sillä siellä käytetään yhtenäisiä tietomalleja (mikä toki on viisasta muutenkin).

Perinteisen heikko argumentti, jonka mukaan “sillä ei ole väliä, jos joku saa tietojani käsiini, koska minulla ei ole salattavaa”, ei toimi pilvipalveluidenkaan kohdalla. Jokaisella meistä on olemassa jotain tai asioioiden kokonaisuuksia, joita ei halua näyttää muille. Ja kysymys ei ole pelkästään siitä, mitä nyt tapahtuu, vaan myös siitä mitä tietoja kerääntyy vaikkapa vuosikymmenessä.

Jotta asia ei olisi ihan näin yksinkertainen, niin millainen on esimerkiksi yliopiston tai korkeakoulun vastuu esimerkiksi opiskelijoidensa tietojen vuotamisesta vuosien varrella pitkin maailman verkkoja? Käyttäjät kun eivät aina tiedosta tähän liittyviä ongelmia ennen kuin ne konkretisoituvat vaikkapa työnhakutilanteessa. Pitäisikö palvelun kylkeen liittää varoituksia savukeaskien tapaan?

Oman mausteensa tuo EU:n tietosuojadirektiivi, joka rajoittaa sitä mitä tietoja saa siirtää maanosasta toiseen. Pilvipalveluiden tarjoajilla on erilaisia ratkaisuja datan maantieteellisen sijainnin suhteen. Jotkut takaavat, että data pysyy EU-alueella ja jotkut eivät. Hajonta on varsin suurta. Usein unohdetaan käydä keskustelu siitä, onko pilvipalveluntarjoajalla ylläpitoa, joka toimii EU-alueen ulkopuolella, mutta pääsee käsiksi EU-alueella sijaitsevaan dataan.

Pilvet eivät ulkoista riskejä tai vastuita

Pilvipalvelu voi mennä nurin tai palvelu voi toimia väärin. Niin tietysti voi se omassa konesalissakin oleva palvelin. Kysymys on tässäkin siitä, miten riskit hallitaan ja vastuut jaetaan. Tyypillisesti pilvessä asiakas hankkii jotain ratkaisua palveluna ja vastaa itse sen käytöstä. Toimintaa ja vastuuta palvelun toiminnasta ei pilvipalveluiden kanssa automaattisesti ulkoisteta.

Yhdysvalloissa on voimassa Patriot Act (ja esimerkiksi Britanniassa jotain suunnilleen samanlaista). Sen nojalla yhdysvaltalaiset yhtiöt voivat joutua luovuttamaan tietoja viranomaisille, vaikka palvelu olisikin maan rajojen ulkopuolella kuten esimerkiksi Euroopassa. Yrityksillä ei edes ole välttämättä oikeutta kertoa asiakkailleen tietojen luovutuksista.

Tämä ei tietenkään tarkoita, että yritykset tietoja automaattisesti luovuttaisivat, mutta ei se tarkoita sitäkään etteikö niin voisi käydä.

Tietoturvakonsultit näyttävätkin suosittelevan sitä, että kaikki vähänkään arvokas tieto kryptataan kunnolla ennen kuin se siirretään pilveen.

Kaikkea ei pilvestä saa

Jotkut asiat organisaation on lähtökohtaisesti jollain tasolla hoidettava itse. Tällaisia ovat esimerkiksi indentiteetihallinta ja sovellusintegraatiot.

Pilvipalvelut tarjoavat näille rajapinnat ja luonnollisesti pilvestä saa identiteetinhallinnan palveluita tai integraatioalustaa. Olennaista on kuitenkin se, että käyttäjän on itse organisoitava asiat. Lisäksi nimenomaan indentiteetihallinnassa ja integraatioissa nousevat korostetusti esille erilaiset tietoturva- ja tietosuojavaatimukset.

Identiteettien hallinta on organisaatiolle kriittinen tekijä. Näin siksi, että siinä tunnetaan ja yhdistettynä pääsynhallintaan tunnistetaan käyttäjät. Kyse on siis organisaation tietoturvan kivijalasta ja murtuessaan voi aiheuttaa vakavan uhkan koko organisaatiolle.

Integraatioissa taas on kyse siitä, miten organisaation toimintaprosessit muutetaan tietotekniikaksi. Näitä on varsin harvoin mahdollista suoraan kopioida organisaatiosta toiseen. Tässä on siis kyse myös organisaation ydintoiminnasta.

Yksi asia, jonka toteutus pilvessä on harkittava tarkoin on tietojen varmistaminen. Kaikki pilvipalvelut eivät tee sitä sellaisessa muodossa kuin organisaatio sitä toivoisi tai tarvitsisi. Monin osin varmistaminen jätetään muutenkin tilaajan harteille esimerkiksi niin, että varmistuksen voi tilata erikseen eri paikasta.

Miten tiedot, jotka on tallennettu pilveen saadaan sieltä pois? Vastaus kysymykseen ei ole triviaali, vaikka se sellaiselta voikin kuulostaa. Käyttötapaukset, joissa tiedot pitää saada pois pilvestä voivat liittyä esimerkiksi siihen, että organisaatio haluaa vaihtaa pilvipalvelun tarjoajan toiseen. Kilpailu alalla on joka tapauksessa lisääntymässä.

Toinen esimerkki käyttötapauksesta voisi olla vaikkapa se, että organisaatioiden tärkeitä informaatioita pilveen tallentanut käyttäjä poistuu maisemista esimerkiksi kuolemantapauksen kautta. Nykyisellään pilvet eivät helpolla anna organisaation tietoja henkilön omiin nimiin tallentamia tietoja hänen organisaatiolleen.

Teknologiaa ei voi unohtaa

Kun organisaatio siirtää palveluitaan pilveen, on sen samalla myös sopeuduttava palvelutarjoajan teknologiaan ja sen kehityspolkuihin.

Tämä tulee esiin esimerkiksi siinä miten pilvessä tarjoaja omia alustojaan päivittää ja mitä ominaisuuksia sinne tuodaan missäkin vaiheessa.

Samalla pilvipalvelun tarjoaja voi edellyttää myös käyttäjien valitsevan ja käyttävän tietynlaista tai tietyntasoista tekniikkaa. Ilmiö, joka sekään ei ole oikeastaan uusi.

Pilvet eivät siis tuota aina yksinkertaisempaa teknologia-arkkitehtuuria.

Yhteenlaskua

Pilvipalveluiden hinnoittelu ja todelliset kustannukset eivät sekään ole aivan triviaali kysymys, vaikka palveluita tarjotaan “ilmaiseksi” tai esimerkiksi tuntihinnoittelulla. Jokin palvelu voi olla maksuton nyt, mutta kuinka kauan? Miten hinnoittelu ylipäätänsä muuttuu? Miten lasaketaan kaikki palveluun liittyvät kustannukset? Kysymykset ovat tietysti pitkälti samoja kuin missä tahansa palvelun tuottamisessa.

Jos edellä olevasta yrittää tehdä yhteenvetoa, voi todeta että pilvipalveluiden käytölle on koko joukko ehtoja ja rajauksia. Useimmat niistä organisaatiokohtaisia ja monet tekemällä hoidettavia.

Se mitä pilvipalvelut vaativat organisaatiolta, on vahvaa ymmärrystä omasta toiminnasta ja organisaation omasta kokonaisarkkitehtuurista.