Data Platform: turvaa salaisuutesi

Data Platform eli data-alusta

Aiemmassa kirjoituksessa käsiteltiin modernia data-alustaa (data platform). Data-alusta pystyy käsittelemään monenlaista dataa ja on yrityksen digitalisaatio – sekä analytiikkahankkeiden keskiössä.

Tässä kirjoituksessa käydään läpi muutamia tapoja millä data-alustan kehityksessä voidaan huomioida tietoturvaan ja tietosuojaan liittyviä ei-toiminnallisia vaatimuksia.

Hyödynnä Azure Active Directory (AAD) ja RBAC täysimääräisesti

AAD ja Azure yhdessä mahdollistavat roolipohjaisen käyttöoikeuksien hallinnan (RBAC). Yksittäinen sovellustunnus tai käyttäjä lisätään sopivaan ryhmään, jonka kautta se saa valtuuksia RBAC – oikeuksiensa puitteissa.

Azure tarjoaa joukon standardirooleja sekä resurssikohtaisesti tiettyjä erikoistuneita rooleja, näissä on syytä huomioida periytyminen sekä se että annetaan riittävästi mutta ei liikaa oikeuksia erilaisiin resursseihin. Rooleja voi luoda myös itse.

Hyödynnä Azure Key Vault (AKV)

AKV on palvelu salaisuuksien, avainten ja sertifikaattien tallentamiseen erilaisten toimialojen tietoturva – ja tietosuojastandardien mukaisesti.

Kehittäjät voivat tallentaa AKV:hen erilaisina salaisuuksina vaikkapa Azure Data Factoryn (ADF) yhteysmääritykset johonkin on-premises tietokantapalvelimen tietokantaan. Käytännössä tällöin luodaan ADF:n puolelle linkki AKV:hen ja muita linkitettyjä resursseja määriteltäessä viitataankin suoraan määriteltyyn AKV – linkitettyyn resurssiin sekä tiettyyn salaisuuteen.

AKV:n oikeudet voidaan antaa AAD – tunnuksen tai ryhmän RBAC – roolien mukaisesti. Useimmille käyttäjille tai sovellustunnuksille riittänee, että ne voivat lukea salaisuuksia AKV:sta.

Hyödynnä Azure virtuaaliverkkoja ja niiden aliverkkoja segmentointiin (VNet)

Virtuaaliverkolla ja sen aliverkoilla saadaan rakennettua segmentointia Azuren palveluiden kesken, esimerkiksi tiettyyn tiedontallennuspaikkaan ei ole pääsyä tietyn virtuaaliverkon ulkopuolelta.

Tähän liittyy myös Microsoftin Azuressa suosiman Hub and Spoke – arkkitehtuurin hyödyntäminen.

Tietoliikenneyhteyksissä varmistetaan samalla että data liikkuu mahdollisimman nopeasti ja tietoturvallisesti hybridiympäristössä.

Minimoi käsiteltävien henkilötietojen määrä data-alustalla

Ehkä kaikkea henkilötietoa ei tarvitse tuoda data-alustalle ja toisaalta monesti riittää että suorat tunnistetiedot jätetään pois, tällöin data on luonteeltaan pseudonyymiä.

Puhtaasti tunnistamatonta anonyymiä dataa sisältävän tietojoukon tuottaminen on jo teknisesti hankalaa, on aina mahdollista että datan määrän kasvaessa ei pystytä täysin takaamaan tunnistamattomuutta, tästä hyvänä esimerkki ns. Netflix – tapaus.

Muutenkin kannattaa hyödyntää organisaation tietosuojasta vastaavien osaamista sekä ohjeistusta henkilötietojen käsittelyssä. Huomaa että henkilöön liitettävissä olevat mittaustiedotkin ovat henkilötietoa, tosin luonteeltaan pseudonyymiä jos on tehty aiemman kohdan mukaisesti.

Kirjoittajasta

Asko Kauppinen

Kirjoittaja on Ready Solutions Oy:n konsultti, jolla on vuosien kokemus erilaisista data-alustoista Teradatasta Azuren palveluihin.

asko.kauppinen@readysolutions.fi

+358451374850