Pilvipalveluiden käyttö ja suojausmallien rooli tiedon suojaamisessa: asiantuntijanäkökulma sektorien välisiin eroihin

Abstract

Pilvipalveluiden käyttö on yleistynyt merkittävästi, ja organisaatiot siirtävät pilviympäristöihin yhä enemmän toiminnalleen kriittistä tietoa. Pilvipalveluiden roolin kasvaessa myös tarve ympäristöjen tietoturvan hallinnalle on korostunut. Pilvipalveluilla tarkoitetaan verkon välityksellä tarjottavia tietoteknisiä resursseja, kuten laskentatehoa, tallennustilaa, sovelluksia ja alustoja, joita organisaatiot voivat hyödyntää joustavasti omien tarpeidensa mukaisesti. Pilvipalvelut tarjoavat organisaatioille monia etuja, kuten kustannustehokkuutta, skaalautuvuutta ja toimintavarmuutta tukevia ratkaisuja, mutta samalla ne korostavat tietoturvan, riskienhallinnan, vastuunjaon ja datasuverenieetin merkitystä. Näiden tekijöiden painotukset voivat poiketa julkisen ja yksityisen sektorin välillä, sillä sektorien tavoitteet, toimintaympäristöt, sääntelyvaatimukset ja käsiteltävän tiedon luonne eroavat toisistaan.

Tämän tutkimuksen tarkoituksena on selvittää, miten pilvipalveluiden käyttö, palvelumallit, käyttöönottomallit ja tietoturvaa ohjaavien suojausmallien rooli eroavat julkisella ja yksityisellä sektorilla asiantuntijoiden näkökulmasta. Lisäksi tutkimuksessa tarkastellaan, miten jaettu vastuu, riskienhallinta ja datasuvereniteetti vaikuttavat pilviympäristöjen tietoturvan toteuttamiseen ja niihin liittyviin ratkaisuihin. Tutkimus toteutettiin laadullisena tutkimuksena, joka muodostuu kirjallisuuskatsauksesta sekä empiirisestä osuudesta. Kirjallisuuskatsauksen pohjalta laadittiin puolistrukturoidut asiantuntijahaastattelut, joiden avulla selvitettiin asiantuntijoiden kokemuksia ja näkemyksiä pilvipalveluiden käytöstä, tietoturvan toteuttamisesta ja sektorien välisistä eroista.

Tutkimuksen tulosten perusteella pilvipalveluiden käyttöä ohjaavat julkisella ja yksityisellä sektorilla osin erilaiset painotukset. Yksityisellä sektorilla korostuivat erityisesti nopea käyttöönotto, kustannustehokkuus, liiketoiminnan jatkuvuus ja kilpailukyky, minkä vuoksi julkisen pilven SaaS-ratkaisut näyttäytyivät yleisinä ja tarkoituksenmukaisina palvelumalleina. Julkisella sektorilla puolestaan korostuivat hallinnan tarve, tiedon luokittelu, lainsäädäntö, arkaluonteisen tiedon käsittely sekä datasuvereniteetti, minkä vuoksi IaaS-ratkaisut sekä yksityisen ja hybridipilven ratkaisut nähtiin monissa tilanteissa perusteltuina vaihtoehtoina.

Suojausmallit olivat tutkimustuloksissa vahvasti läsnä, ja niitä hyödynnettiin rinnakkain toisiaan täydentävinä tietoturvaa ohjaavina periaatteina. Zero Trust- ja Defense in Depth -mallit nähtiin erityisesti ylätason arkkitehtuurisina työvälineinä, jotka ohjaavat tietoturvan suunnittelua mutta eivät itsessään tarjoa yksityiskohtaisia teknisiä ratkaisuja. Defense in Depth -malli korostui useiden suojauskerrosten ja kontrollien yhdistämisessä, kun taas Zero Trust painotti jatkuvaa varmentamista ja luottamuksen rajaamista. Tulokset osoittivat, ettei pilviympäristöjen tietoturva voi perustua yksittäiseen ratkaisuun, vaan se rakentuu teknisten kontrollien, hallinnollisten prosessien, jatkuvan valvonnan, identiteetin- ja pääsynhallinnan, riskienhallinnan sekä selkeän vastuunjaon kokonaisuudesta. Datasuvereniteetti nousi merkittäväksi teemaksi erityisesti julkisella sektorilla, mutta sen merkityksen arvioitiin kasvavan myös yksityisellä sektorilla.