Verstaspäiväkirja on jatkuva sarja siitä, miten työkalut oikeasti syntyvät, omissa ja asiakkaiden projekteissa, ideasta erehdyksen kautta iteraatioon. Tämä on osa 3. Aiemmat: osa 1 (paikallinen tekoäly) ja osa 2 (tehon ostaminen).
Osat 1 ja 2 lähtivät oletuksesta, että data on sinun koneellasi ja sinä päätät, lähteekö se sieltä. Mutta valtavalla osalla organisaatioita data on jo pilvessä, tarkemmin Microsoft 365:ssä. Näyttääkö tämä kumoavan koko „pidä data kotona” -ajatuksen? Ei. Se vaihtaa kysymyksen kokonaan toiseksi.
Kun tieto asuu hallitussa pilvessä, kysymys ei enää ole vain „missä data fyysisesti on”. Se on kolme kysymystä: kuka hallitsee pääsyä siihen, missä se lepää sopimuksen mukaan, ja pääsetkö omaan dataasi ohjelmallisesti käsiksi. Käydään läpi neljä palasta, jotka muuttavat kuvan, ja yksi periaate, joka sitoo ne yhteen.
SharePoint: pilvi, jonka sijainnin voi valita
SharePoint ja OneDrive ovat monen organisaation dokumenttikerros, sama dokumenttikaaos kuin osassa 1, mutta pilvessä. Ratkaiseva ero kuluttajapilveen on, että sijainnin ja hallinnan voi määrittää. Microsoftin EU Data Boundary pitää datan EU:n sisällä, ja se on sinun vuokralaisesi (tenant) hallinnassa, sopimuksen alla. Se ei ole „jonkun pilvi”, se on sinun tilasi hallitussa pilvessä.
SharePoint tuo mukanaan myös hallinnan välineitä, joita hajallaan olevilla tiedostoilla ei ole: versiohistorian, säilytys- ja poistokäytännöt, käyttöoikeuksien hallinnan ja jäljitettävyyden siitä, kuka on tehnyt mitä. Nämä ovat juuri niitä prosesseja, joiden puuttumisesta osan 1 dokumenttikaaos syntyi. Silti on rehellistä sanoa: tämä ei ole sama kuin oma kone. Luotat Microsoftiin ja sopimukseen. Mutta luottamus on eksplisiittinen, sijainti tiedetään ja pääsyä voi hallita tarkasti, valtava ero verrattuna siihen, että tiedostot lojuvat sähköpostin liitteinä ja henkilökohtaisilla pilvitileillä.
Graph API: oma data ohjelmallisesti ulottuvilla
Microsoft Graph on rajapinta, jonka kautta pääset omaan dataasi ohjelmallisesti, tiedostot, sähköposti, kalenteri, käyttäjät, ryhmät, kaikki saman rajapinnan takaa. Tämä on se kohta, jossa osan 1 RAG palaa kuvaan: RAG-järjestelmän voi ruokkia suoraan SharePointista Graphin kautta, oikeilla luvilla, pysyen koko ajan vuokralaisen hallinnan sisällä.
Tässä oikeuksien hallinta on kaikki kaikessa. Graphin luvat jakautuvat karkeasti sovellusluviin (sovellus toimii itsenäisesti) ja delegoituihin lupiin (sovellus toimii kirjautuneen käyttäjän oikeuksilla). Vähimmän oikeuden periaate pätee tässä kirjaimellisesti: RAG-liittimelle annetaan lupa lukea vain se, mitä se oikeasti tarvitsee, ei koko organisaation dataa, jos yksi työtila riittää. Näin oma tekoälykerros rakentuu datan päälle poistamatta dataa hallitusta ympäristöstä.
Jaettu vastuu: mikä on Microsoftin, mikä sinun
Pilven tärkein, ja useimmin väärinymmärretty, periaate on jaetun vastuun malli. Palveluntarjoaja vastaa infrastruktuurin turvallisuudesta: konesaleista, laitteista, alustan ylläpidosta. Sinä vastaat siitä, mitä alustan päällä tapahtuu: kuka pääsee dataan, miten oikeudet on jaettu, miten tilit on suojattu ja miten palvelu on konfiguroitu.
Tämä on olennaista, koska valtaosa pilvivuodoista ei johdu siitä, että palveluntarjoaja petti, vaan siitä, että asiakkaan puoli jäi kesken, väärin jaettu oikeus, avoimeksi unohtunut jako, suojaamaton tili. Pilveen siirtyminen ei poista tietoturvatyötä. Se siirtää sen painopisteen laitteista ja verkosta identiteettiin ja konfiguraatioon.
Kun data on pilvessä, palomuuri ei ole enää verkon reunalla. Se on identiteetissä, siinä, kuka pääsee mihin ja millä ehdoilla.
Intune ja laitehallinta: raja siirtyy laitteesta identiteettiin
Perinteisesti turvaraja oli toimiston verkko: sisäverkossa luotettiin, ulkona ei. Etätyö ja pilvi rikkoivat tämän lopullisesti. Laitehallinta: kuten Intune, siirtää rajan laitteeseen ja identiteettiin: pääsy dataan edellyttää hallittua, vaatimukset täyttävää laitetta ja todennettua identiteettiä, ei tiettyä verkkoa. Ehdollinen pääsy (conditional access) tarkoittaa käytännössä sääntöjä kuten „tähän dataan pääsee vain hallitulta laitteelta, jossa on ajantasainen suojaus”.
Tämä muuttaa myös sen, mihin paikallinen tekoälykone sopii. Osan 1 paikallinen RAG-kone hallitulla, salatulla, ehdollisen pääsyn takana olevalla laitteella on aivan eri asia kuin sama malli hallitsemattomalla kotikoneella. Data-suvereniteetti ei olekaan vain „paikallinen vai pilvi”, se on myös „hallittu vai hallitsematon”. Paikallinen ratkaisu hallitsemattomalla laitteella voi olla huonompi kuin pilvi hallitulla.
Tilihallinta on uusi palomuuri
Kaiken tämän ytimessä on identiteetin- ja tilinhallinta. Pilvimaailmassa se, joka hallitsee identiteettejä, hallitsee dataa. Vähimmän oikeuden periaate, monivaiheinen tunnistautuminen (MFA) ja ehdollinen pääsy ovat ne kontrollit, jotka oikeasti ratkaisevat, eivät konesalin sijainti sinänsä. Pääkäyttäjäoikeudet pidetään harvassa, korotetut oikeudet annetaan vain tarvittaessa ja määräajaksi, ja hätätilaa varten on erikseen suunniteltu varatie.
Tämä on myös se kohta, jossa moni kompastuu: ostetaan hieno pilvi mutta jätetään tilit puolivalmiiksi, jaettuja tunnuksia, ei MFA:ta, liikaa pääkäyttäjiä, vanhoja tilejä jotka olisi pitänyt sulkea. Silloin data on täsmälleen yhtä turvassa kuin heikoin tunnus. Kallis pilvi ei korjaa löysää tilinhallintaa; se vain siirtää löysyyden uuteen paikkaan.
Entä pienemmät yritykset?
Kaikki edellä oletti organisaation, joka on ostanut hallitun identiteetti- ja laitepinon. Iso osa pk-yrityksistä ei ole. Ne pyörittävät sekamelskaa: Google täällä, Outlook tuolla, Proton jossain, henkilökohtaisia laitteita, ei laitehallintaa, ei kertakirjautumista. Niille tämä osa ei tarjoa suoraa reseptiä, hallittu pino on iso investointi sekä rahassa että osaamisessa.
Mutta juuri niille on oma, kevyempi tie, rakentaa tarvittavat palaset itse pienellä koodilla sen sijaan, että ostaisi valmiin pinon kerralla. Siitä sarjan viimeisessä osassa.
Osa 4: kun tietoturvaa ei ole ostettu, miten pk-yritys rakentaa omat ratkaisunsa Pythonilla Googlen, Outlookin ja Protonin yli.