Så håller du din Atlassian Cloud-data compliant: dina ansvarsområden och åtgärder

Blir du en pionjär inom molntransformation, eller sätter du ner foten och begränsar användningen av publika moln helt och hållet? Okej, vi förstår att det inte är så enkelt som att välja ett av de två alternativen.

I det här blogginlägget fokuserar vi på Atlassian Cloud och går igenom:

1. De säkerhetsaspekter du behöver känna till

2. Vilka compliancefrågor du som Atlassian Cloud-kund ansvarar för

3. Några åtgärder du kan vidta direkt för att säkerställa compliance

Gartner bedömer att 90 % av organisationerna av misstag kommer att dela känsliga data före 2025 om de saknar en strategi för att hantera publika moln. Och 99 % av alla säkerhetsrelaterade incidenter kommer att bero på kunden själv. Så, låt oss sätta igång:

Uppfyller dina data i Atlassian Cloud kraven i GDPR?

GDPR är en avgörande faktor när det gäller molninstanser. Vissa tvivlar på om Atlassian Cloud ens är ett bra val ur ett GDPR-perspektiv. Låt oss titta närmare på det.

Vanligtvis är frågan: var lagras informationen, och kan Atlassian verkligen garantera att informationen stannar där du vill att den ska vara?

Svaret på den frågan är lite komplext. När det gäller SaaS-tjänster talar vi om data i två faser:

• data i vila

• data under överföring

Data i vila är platsen där data lagras när de inte används. I det här fallet kan Atlassian ange var dina data finns med hjälp av ”Data Residency”. När data inte används krypteras de på disk med AES-256-kryptering.

Det är när data är i rörelse, under överföring, som det blir komplicerat.

Data behöver flyttas när de behandlas, eftersom det är så SaaS-produkter fungerar. När en användare begär information eller utför en åtgärd skickas informationen i ett anrop till en central funktion, som sedan returnerar ett svar. Det innebär att Atlassian inte kan garantera att dina data stannar i en och samma region, eftersom miljön bygger på många funktioner som är spridda över hela världen.

När du gör ett anrop kan det involvera en tjänst som drivs av Atlassians datacenter i USA. Men även om Atlassian inte kan garantera att dina data alltid finns på samma plats, säkerställer de att informationen är säker under överföringen genom att använda TLS 1.2 och PFS (Perfect Forward Secrecy).

Så, är din Atlassian-produkt kompatibel med GDPR? Ja, det är den.

Atlassian har byggt in många funktioner som ger dig full administratörskontroll för att radera användardata på begäran. Observera dock att detta endast gäller användardata. Om du till exempel har en servicedesk där känsliga data behandlas i ärenden måste den informationen raderas manuellt. Det innebär att du ansvarar för vilken typ av information som hanteras i din Jira-instans.

Låt oss titta närmare på de här ansvarsområdena:

Ditt ansvar för att hålla dina Atlassian-produkter GDPR-kompatibla

Atlassian talar om delat ansvar, eftersom du som kund ansvarar för hur du använder plattformen. Det är viktigt att förstå varje parts ansvar.

Atlassian ansvarar för säkerheten, tillgängligheten och prestandan hos sina applikationer, systemen och miljöerna de finns i. I praktiken innebär det att den faktiska administrationen av applikationerna hanteras av dig som kund.

Ditt ansvar som kund kan delas in i fyra områden: användare, policy och compliance, tredjepartsappar samt informations- och datahantering. Låt oss titta på vart och ett av dem.

Användare

Här handlar det i huvudsak om användarhantering. Eftersom den kan hanteras på så många olika sätt är den förknippad med många säkerhetshot.

Se till att du har en bra strategi för hur användarna ska få tillgång till systemet: automatiskt genom användarprovisionering eller genom att lägga till användare manuellt. Vad som passar dig beror på hur välstrukturerad din katalogtjänst är i dag. Om du kan lägga till en AD-anslutning rekommenderar vi starkt att du gör det.

Policy och compliance

Det är viktigt att förstå att olika sektorer har olika tillsynsmyndigheter och därmed olika skyldigheter enligt lag. Se till att du förstår hur du får agera och hur Atlassians molntjänst kan användas inom den sektor där du arbetar. 

Granska din riskprofil för att förstå hur känsliga dina data är och skapa en bättre förståelse för dessa frågor i företaget. 

Tredjepartsappar

Om du är en erfaren användare av Atlassians verktyg on-premises eller i en självhanterad miljö har du kanske redan ett antal applikationer. De här apparna, som i dag är isolerade i en on-premises-installation, kommer i stället att drivas på egna plattformar. Det innebär att data som du hanterar i din Jira-miljö kan skickas till andra sidan jorden för bearbetning innan de skickas tillbaka till dig.

Det finns många utmärkta appar på Atlassian Marketplace som ger dig mängder av möjligheter i din miljö. Men var uppmärksam på vilka appar du använder. Som kund ansvarar du för att varje app uppfyller de specifika kraven från dig och din sektor. 

Vi rekommenderar att du letar efter följande indikationer på Marketplace: 

• Användarrecensioner 

• Märkningen ”Staff Pick”

• Cloud Security Participant

• Bug Bounty Program 

All denna information finns tillgänglig på Marketplace, och ju fler punkter du kan bocka av, desto bättre förutsättningar har du. Var därför selektiv och välj bara seriösa aktörer.

Informations- och datahantering

En vanlig källa till problem är när användare hanterar känsliga data på ett osäkert sätt. Ha tydliga riktlinjer för vilken dataklassificering som passar respektive verktyg och se till att dina team får en ordentlig introduktion innan de börjar använda verktygen.

I praktiken handlar den här punkten om att säkerställa att rätt data hamnar på rätt plats. Skapa inga projekt med känslig information, exempelvis en HR-service desk, om du inte är säker på att företaget godkänner att informationen finns där. Om det är godkänt ska du säkra projektet med issue security, så att endast den personal som behöver informationen kan se den.

7 åtgärdspunkter som tar dig långt mot compliance

Data i molnet och compliance är förståeligt nog ett stort och komplext område. Vi kan inte ta upp alla viktiga aspekter. Men nedan finns en lista med sju viktiga saker att tänka på. Om du tar hänsyn till dem har du kommit långt mot compliance. 

1. Verifiera din domän och gör anspråk på alla Atlassian-konton som omfattas av domänen. Då får du kontroll över användarnas lösenordskrav och sessioner.

2. Säkra centralt genom att installera Atlassian Access. Med den här produkten kan du använda SSO via SAML. Aktivera användarprovisionering via SCIM för att skapa och synkronisera användare automatiskt på ett kontrollerat sätt.

3. Om du hanterar användare manuellt bör detta göras med stor omsorg. Överväg att på sikt införa en mer hållbar lösning.

4. Granska globala behörigheter och säkerställ att obehöriga inte kan komma åt dina data. Kontrollera dessutom att inte vem som helst kan skapa ett konto på din sajt.

5. Granska alla appar i din miljö och ställ krav på appleverantörerna. Se till att de lever upp till din standard, i stället för att du sänker dig till deras.

6. Begränsa verktygen till en rimlig klassificeringsnivå. Ta reda på vilken information som passar i verktyget och förankra det internt.

7. Upprätta en plan för att administrera och hjälpa nya medarbetare. Se till att de förstår hur produkten ska användas och vad som är tillåtet.

Där har du det. Nu vet du lite mer om hur Atlassian arbetar med compliance, vilket ansvar du har som kund och vad du kan göra redan i dag för att uppfylla kraven. Hoppas att det hjälper.