Atlassian Cloud -datan vaatimustenmukaisuuden varmistaminen: vastuusi ja tarvittavat toimet

Ryhdytkö pilvitransformaation edelläkävijäksi vai vedätkö rajan ja rajoitat julkisten pilvipalveluiden käyttöä kokonaan? Ymmärrämme, ettei valinta ole näin yksinkertainen.

Tässä blogikirjoituksessa keskitymme Atlassian Cloudiin ja käymme läpi:

1. tietoturvaan liittyvät asiat, jotka sinun on hyvä tietää

2. vaatimustenmukaisuuteen liittyvät vastuut, jotka sinulla Atlassian Cloudin asiakkaana on

3. toimet, joihin voit ryhtyä heti varmistaaksesi vaatimustenmukaisuuden

Gartnerin mukaan 90 % organisaatioista jakaa arkaluonteista dataa virheellisesti vuoteen 2025 mennessä, jos niillä ei ole strategiaa julkisten pilvipalveluiden hallintaan. Lisäksi 99 % tietoturvaan liittyvistä tapauksista johtuu asiakkaan omista toimista. Mennään siis asiaan:

Onko Atlassian Cloudissa oleva datasi GDPR:n mukaista?

GDPR on keskeinen tekijä pilvi-instanssien kohdalla. Jotkut epäilevät, onko Atlassian Cloud edes hyvä valinta GDPR:n näkökulmasta. Katsotaanpa.

Yleensä kysymys kuuluu: missä tieto tallennetaan, ja voiko Atlassian todella taata, että tieto säilyy siellä, missä haluat sen olevan?

Vastaus tähän kysymykseen on hieman monimutkainen. SaaS-palveluissa dataa tarkastellaan kahdessa vaiheessa:

• levossa oleva data

• siirrettävä data

Levossa oleva data tarkoittaa sijaintia, johon data tallennetaan silloin, kun sitä ei käytetä. Tässä tapauksessa Atlassian voi määrittää datasi sijainnin Data Residency -toiminnon avulla. Kun data ei ole käytössä, se salataan levyllä AES-256-salauksella.

Tilanne mutkistuu, kun data liikkuu eli on siirrettävänä.

Dataa on siirrettävä käsittelyn aikana, sillä näin SaaS-tuotteet toimivat. Kun käyttäjä pyytää tietoa tai tekee toimenpiteen, tieto lähetetään kutsuna keskeiselle toiminnolle, joka palauttaa vastauksen. Atlassian ei siis voi taata, että datasi pysyy yhdellä alueella, koska ympäristö perustuu useisiin eri puolille maailmaa hajautettuihin toimintoihin.

Kun teet kutsun, siihen voi liittyä Atlassianin Yhdysvalloissa sijaitsevan datakeskuksen ylläpitämä palvelu. Vaikka Atlassian ei voi taata, että datasi on aina samassa sijainnissa, se varmistaa tiedon turvallisuuden siirron aikana TLS 1.2:n ja PFS:n (Perfect Forward Secrecy) avulla.

Onko Atlassian-tuotteesi siis GDPR-yhteensopiva? Kyllä on.

Atlassian on sisällyttänyt tuotteisiinsa monia toimintoja, joiden avulla järjestelmänvalvojana voit poistaa käyttäjätietoja pyynnöstä. Huomaa kuitenkin, että tämä koskee vain käyttäjätietoja. Jos esimerkiksi palvelutiskilläsi käsitellään tiketeissä arkaluonteista dataa, nämä tiedot on poistettava manuaalisesti. Olet siis vastuussa Jira-instanssissasi hallinnoitavan tiedon tyypistä.

Tarkastellaan näitä vastuita tarkemmin:

Mistä olet vastuussa, jotta Atlassian-tuotteesi ovat GDPR:n mukaisia

Atlassian puhuu jaetuista vastuista, sillä asiakkaana olet vastuussa siitä, miten käytät alustaa. On tärkeää ymmärtää kummankin osapuolen vastuut.

Atlassian vastaa sovellustensa, järjestelmiensä ja niiden toimintaympäristöjen tietoturvasta, saatavuudesta ja suorituskyvystä. Käytännössä sovellusten varsinaisesta hallinnasta vastaat sinä asiakkaana.

Asiakkaan vastuut voidaan jakaa neljään alueeseen: käyttäjiin, käytäntöihin ja vaatimustenmukaisuuteen, kolmansien osapuolten sovelluksiin sekä tiedon ja datan hallintaan. Tarkastellaan niitä kaikkia.

Käyttäjät

Kyse on käytännössä käyttäjähallinnasta. Koska sitä voidaan toteuttaa monin eri tavoin, siihen liittyy myös paljon tietoturvauhkia.

Varmista, että rakennat hyvän strategian sille, miten käyttäjäsi pääsevät käyttämään järjestelmää. Käyttöoikeudet voidaan myöntää joko automaattisesti käyttäjien provisioinnilla tai lisäämällä käyttäjät manuaalisesti. Sinulle sopiva vaihtoehto riippuu siitä, kuinka hyvin luettelopalvelusi on tällä hetkellä jäsennelty. Jos voit lisätä AD-yhteyden, suosittelemme sitä vahvasti.

Käytännöt ja vaatimustenmukaisuus

On tärkeää ymmärtää, että eri toimialoilla on eri sääntelyviranomaiset ja siten myös erilaiset lakisääteiset velvoitteet. Varmista, että ymmärrät, miten voit toimia ja miten Atlassianin pilvipalvelua voidaan käyttää toimialallasi.

Selvitä riskiprofiilisi, jotta ymmärrät datasi arkaluonteisuuden, ja lisää ymmärrystä näistä asioista yrityksessäsi.

Kolmannen osapuolen sovellukset

Jos olet Atlassianin työkalujen kokenut on-premises-/self-managed-käyttäjä, sinulla saattaa jo olla käytössäsi useita sovelluksia. Nämä sovellukset, jotka toimivat tällä hetkellä erillään on-premises-asennuksessa, toimivat jatkossa omilla alustoillaan. Tämä tarkoittaa, että Jira-ympäristössäsi hallinnoimasi data voidaan lähettää käsiteltäväksi maailman toiselle puolelle, ennen kuin se palautetaan sinulle.

Atlassian Marketplace sisältää paljon erinomaisia sovelluksia, jotka tarjoavat ympäristöösi rajattomasti mahdollisuuksia. Kiinnitä kuitenkin huomiota siihen, mitä sovelluksia käytät. Asiakkaana olet vastuussa siitä, että jokainen sovellus täyttää sinun ja toimialasi erityisvaatimukset.

Suosittelemme etsimään Marketplacesta seuraavia merkintöjä:

• Käyttäjäarvostelut

• "Staff Pick" -merkintä

• Cloud Security Participant

• Bug Bounty Program

Kaikki nämä tiedot ovat saatavilla Marketplacessa. Mitä useamman kohdan voit rastittaa, sitä paremmat lähtökohdat sinulla on. Ole siis valikoiva ja valitse vain luotettavia toimijoita.

Tiedon ja datan hallinta

Jos jokin aiheuttaa usein ongelmia, se on arkaluonteisen datan turvaton käsittely. Laadi selkeät käytännöt työkalulle sopivasta dataluokittelusta ja varmista, että tiimisi saavat kunnollisen perehdytyksen ennen työkalujen käytön aloittamista.

Kyse on siitä, että varmistat oikean datan päätyvän oikeaan paikkaan. Älä luo arkaluonteisia tietoja sisältäviä projekteja, kuten HR-palvelupistettä, ellet ole varma, että yrityksellesi sopii tietojen säilyttäminen siellä. Jos se on hyväksyttävää, suojaa projekti issue security -toiminnolla, jotta vain tarvittava henkilöstö näkee tiedot.

7 toimenpidettä, jotka vievät pitkälle kohti vaatimustenmukaisuutta

Pilvidata ja vaatimustenmukaisuus ovat ymmärrettävästi laaja ja monimutkainen aihe. Emme voi käsitellä kaikkia tärkeitä näkökulmia. Alla on kuitenkin lista seitsemästä keskeisestä asiasta. Kun kiinnität niihin huomiota, olet jo pitkällä vaatimustenmukaisuuden saavuttamisessa.

1. Vahvista verkkotunnuksesi ja ota haltuun kaikki sen piiriin kuuluvat Atlassian-tilit. Tämän jälkeen hallitset käyttäjien salasanavaatimuksia ja istuntoja.

2. Suojaa keskitetysti ottamalla käyttöön Atlassian Access. Tällä tuotteella voit käyttää SAML-pohjaista SSO:ta. Ota käyttöön käyttäjien provisiointi SCIMin avulla, jotta voit luoda ja synkronoida käyttäjiä automaattisesti hallitusti.

3. Jos hallinnoit käyttäjiä manuaalisesti, tee se huolellisesti. Harkitse myöhemmin kestävämpää ratkaisua!

4. Tarkista globaalit käyttöoikeudet ja varmista, etteivät asiattomat henkilöt pääse käsiksi dataasi. Tarkista myös, ettei kuka tahansa voi luoda tiliä sivustollesi.

5. Tarkista kaikki ympäristösi sovellukset ja aseta vaatimuksia sovellusten toimittajille. Varmista, että ne täyttävät standardisi sen sijaan, että laskisit standardisi niiden tasolle.

6. Rajoita työkalujen käyttö kohtuulliseen luokittelutasoon. Selvitä, millainen tieto sopii työkaluun, ja vahvista käytäntöjä organisaation sisällä.

7. Laadi suunnitelma uusien työntekijöiden hallinnointiin ja tukemiseen. Varmista, että he ymmärtävät, miten tuotetta tulee käyttää ja mikä on sallittua.

Siinä se. Tiedät nyt hieman enemmän siitä, miten Atlassian suhtautuu vaatimustenmukaisuuteen, mitkä ovat vastuusi asiakkaana ja mitä voit tehdä jo tänään vaatimustenmukaisuuden saavuttamiseksi. Toivottavasti tästä on apua.