Thalesin tutkimus: Suurin osa yrityksistä ei suojaa arkaluontoisia tietojaan pilvipalveluissa

Thalesin teettämästä kansainvälisestä Thales Global Cloud Security Study 2021 -tutkimuksesta selviää, että 40 % organisaatioista on kohdannut pilvipalveluihin kohdistuvia tietomurtoja viimeisen vuoden aikana. Huolimatta lisääntyneistä kyberhyökkäyksistä suurin osa (83 %) organisaatioista ei salaa puoltakaan pilveen tallennettavasta arkaluontoisesta datasta. Tämä lisää huolta kyberrikollisuuden vaikutuksesta. 

Tilaustutkimuksen toteutti 451 Research, joka on osa S&P Global Market Intelligenceä.

Pandemia kiihdyttänyt pilveen siirtymistä

Pilvipalveluiden käyttöönotto yrityksissä on lisääntymässä ja niiden käyttö on monipuolistunut. Kansainvälisistä vastaajista 57 % kertoi käyttävänsä kahta tai useampaa pilvi-infrastruktuurien tarjoajaa. Lähes neljäsosa (24 %) organisaatioista kertoi, että suurin osa niiden toiminnasta ja datasta sijaitsee pilvipalveluissa.  

Tuoreen McKinsey & Companyn tutkimuksen mukaan yritykset ovat ottaneet pilvipalveluita käyttöön kiihtyvällä tahdilla. Pandemian aikana pilvipalveluiden käyttöönotossa on otettu kolmea vuotta vastaava harppaus verrattuna pandemiaa edeltäneeseen tahtiin. Tämä on huomattava muutos pilvipalveluiden käytössä – ne eivät ole enää vain datan varastoja, vaan ympäristöjä, joissa dataa käytetään liiketoiminnallisesti ja joissa se tukee jokapäiväistä yritystoimintaa. 

Turvallisuus pilvipalveluissa on sekavaa

Tutkimuksen mukaan viidesosa (21 %) yrityksistä säilyttää suurinta osaa arkaluontoisesta datastaan pilvipalveluissa. 40 % kertoi tietomurroista viime vuoden aikana. Tutkimus nosti esiin yleisiä trendejä siitä, millä tavoin yritykset suojaavat pilvi-infrastruktuuriaan. 33 % kertoi monivaiheisen tunnistautumisen (MFA) olevan keskeinen osa yrityksen kyberturvallisuustrategiaa. Kuitenkin vain 17 % tutkituista salasi yli puolet pilveen tallennettavasta datastaan. Tämä luku putoaa 15 prosenttiin niissä yrityksissä, joilla on käytössä multipilvilähestymistapa. 

Jopa yrityksistä, jotka suojaavat dataansa salauksella, 34 % jättää salausavainten hallinnan palveluntuottajille sen sijaan, että pitäisivät hallinnan itsellään. Mikäli yrityksissä ei suojata dataa riittävissä määrin salauksella, on entistä tärkeämpää rajoittaa mahdolisuuksia päästä dataan käsiksi. Silti kansainvälisesti melkein puolet (48 %) yritysjohtajista myönsivät, ettei heidän organisaatiossaan käytetä Zero Trust -suojausmallia, eikä neljäsosa (25 %) edes harkitse sitä.  

Huolena monimutkaisuus

Yritykset jakavat huolen siitä, että pilvipalvelut muuttuvat yhä monimutkaisemmiksi. Melkein puolet (46 %) kansainvälisistä vastaajista sanoi, että yksityisyyden ja datan suojeleminen pilvipalvelussa on monimutkaisempaa kuin paikan päällä yrityksessä.  

Hybridimallit ovat yleisiä organisaatioissa, jotka eivät siirry kokonaan pilveen. Pilvipalveluista on kuitenkin tulossa yhä olennaisempi osa yritysinfrastruktuuria. 55 % yrityksistä ovat kertoneet suosivansa pilvipalveluiden käyttöönotossa palvelinten siirtoa sellaisenaan eli lift & shift -lähestymistapaa mieluummin kuin palveluarkkitehtuurin suunnittelua uudelleen.  

”Organisaatiot ympäri maailman ponnistelevat pilvipalveluiden käytön lisääntymisen mukanaan tuoman monimutkaisuuden kanssa. Vankka turvallisuusstrategia on välttämätön, jotta varmistetaan datan ja yritystoimintojen pysyminen turvallisina. Kun lähes jokainen yritys on jollakin tavalla riippuvainen pilvipalveluista, on elintärkeää, että turvallisuustiimeillä on kyky löytää, suojella ja hallinnoida dataa”, Thalesin pilvitietoturvaan keskittyvän Cloud Security & Licensing -yksikön johtaja Sebastian Cano sanoo. 

”Asiakkaiden datan suojeleminen on aina etusijalla. Organisaatioiden tulisi todella harkita strategioidensa uudelleenarviointia sekä pilvessä olevan datan suojelemisen lähestymistapoja. Tähän sisältyy ymmärrys tietynlaisten teknologioiden roolista, sisältäen salaamisen ja avainten hallinnan, kuten myös jaetuista vastuista palveluntuottajien ja asiakkaiden välillä. Kun datan yksityisyyteen ja yksilönvapauteen liittyvät säännökset kiristyvät, on tärkeintä, että organisaatioilla on selkeä ymmärrys siitä, että ne ovat vastuussa datan turvallisuudesta. Niiden tulee tehdä selkeitä päätöksiä siitä, kenellä on kontrolli ja kuka pääsee käsiksi yritysten arkaluontoiseen dataan”, sanoo 451 Researchin pääanalyytikko Eric Hanselman tutkimuksesta.

Thales Global Data Threat Report 2021 perustuu 451 Researchin maailmanlaajuiseen tutkimukseen. Siihen vastasi verkossa 2600 yritysjohdon edustajaa, joiden vastuualueeseen tai toimialaan kuuluvat IT ja tietoturvallisuus. Vastaajia oli mukana 16 maasta: Australia, Brasilia, Ranska, Saksa, Hong Kong, Intia, Japani, Meksiko, Alankomaat, Uusi Seelanti, Singapore, Etelä-Korea, Ruotsi, Yhdistyneet Arabiemiirikunnat, Yhdistynyt kuningaskunta ja Yhdysvallat. Organisaatiot edustivat useita toimialoja, joissa painottuivat terveydenhuolto, rahoituspalvelut, teknologia ja valtionhallinto. Työnimikkeet vaihtelivat ylimmän tason johtajista kuten toimitusjohtaja, talousjohtaja, tietohallintojohtaja, tietoturvajohtaja, Chief Data Scientist ja riskienhallintajohtaja tietoturva-analyytikoihin, turvallisuusinsinööreihin ja järjestelmänvalvojiin. Vastaajat edustivat hyvinkin eri kokoisia organisaatioita, joissa on yleisimmin 500–10 000 työntekijää. Tutkimus tehtiin tammi–helmikuussa 2021.