Pilvipalveluiden käyttöpolitiikka

Pilvipalveluiden käyttöpolitiikka (P27) tarjoaa yhtenäisen, pakollisen standardin pilvilaskentapalveluiden käyttöönottoon, hallintaan ja hallintotapaan kattaen Infrastructure-as-a-Service (IaaS), Platform-as-a-Service (PaaS) ja Software-as-a-Service (SaaS) -mallit. Sen tavoitteena on varmistaa, että organisaation pilvialustojen käyttö on turvallista, asiaankuuluvien säädösten mukaista ja tukee operatiivista tehokkuutta ja innovointia samalla suojaten tietovarallisuuden luottamuksellisuutta, eheyttä ja saatavuutta. Politiikan soveltamisala on kattava ja koskee kaikkia työntekijöitä, urakoitsijoita, kolmannen osapuolen toimittajia ja konsultteja, jotka osallistuvat pilvipalveluiden provisiointiin, konfigurointiin, hallinnointiin tai käyttöön. Tämä ulottuu julkisiin, yksityisiin, hybridiympäristöihin ja yhteisöpilvitoteutuksiin, kattaa kaikki tietojen luokittelutasot ja sisältää nimenomaisesti sekä sisäiset että toimittajan isännöimät ympäristöt sekä varjotietotekniikan ja henkilökohtaisten pilvipalveluiden käytön estämisen liiketoimintatarkoituksiin. Keskeisiä tavoitteita ovat: selkeiden suuntaviivojen ja perustasojen määrittely pilven käyttöönotolle, operatiivisten ja sääntelyriskien minimointi (kuten virheelliset konfiguraatiot, tietoturvaloukkaukset ja luvaton pääsy) sekä vahvojen tietoturva- ja tietosuojakontrollien edellyttäminen sopimusvaatimusten, jatkuvan arvioinnin ja tarkastusoikeuksien kautta kaikille pilvipalveluntarjoajille. Politiikka edellyttää Pilvipalvelurekisterin keskitettyä ylläpitoa, jota valvoo tietoturvajohtaja (CISO) ja joka luetteloi hyväksytyt palveluntarjoajat, palvelutyypit, riskiluokitukset, liiketoiminnan omistajat ja sopimusattribuutit, tukien tiukkaa elinkaaren hallintaa ja vaatimustenmukaisuuden jatkuvaa seurantaa. Roolit ja vastuut määritellään täsmällisesti, ja hallinta- ja valvontatehtävät jaetaan toimitusjohtajalle, tietoturvajohtajalle (CISO), pilvitietoturva-arkkitehdille, IT-toiminnoille, hankinnalle, laki- ja vaatimustenmukaisuudelle, tieto-omaisuuden omistajille ja loppukäyttäjille. Politiikka edellyttää tiukkoja teknisiä ja menettelytason hallintakeinoja: identiteetin- ja pääsynhallintaa (IAM) (pakollinen roolipohjainen käyttöoikeuksien hallinta (RBAC) ja monivaiheinen todennus hallinnollisille tileille), perustason tietoturvamäärityksiä, salausta (NIST:n hyväksymien standardien mukaisesti), lokitusvaatimuksia sekä pilvipalveluiden integrointia Security Information and Event Management (SIEM) -järjestelmiin. Pilvipalveluntarjoajien sopimusten on käsiteltävä tarkastusoikeuksia, ilmoitettavia tietoturvaloukkauksia, tietojen palautusta/poistoa ja vaatimustenmukaisuuden seurantaa. Tietoja saa siirtää pilveen vain tietojen luokittelun jälkeen, ja rajat ylittävien siirtojen on noudatettava vakiintuneita säädöksiä, kuten GDPR:ää. Riskienhallinta on keskiössä: kaikki poikkeamat edellyttävät dokumentoituja poikkeuksia, yksityiskohtaisia riskien käsittelysuunnitelmia, hyväksyntää tietoturvajohtajalta (CISO) tai pilvitietoturva-arkkitehdilta sekä monitasoista katselmointia korkean riskin skenaarioissa. Jatkuva hallintotapa varmistetaan säännöllisellä vaatimustenmukaisuuden jatkuvalla seurannalla, tietoturvapoikkeamiin reagointi -integraatiolla (eskaloidaan Tietoturvapoikkeamiin reagoinnin politiikan (P30) mukaisesti), vuosittaisilla katselmoinneilla ja väliarvioinneilla, joita ohjaavat poikkeamien tulokset, järjestelmämigraatiot tai sääntelymuutokset. Politiikan vaatimusten rikkominen, kuten luvattomien pilvitilien käyttö tai vaadittujen hallintakeinojen laiminlyönti, käynnistää seuraamuksia koulutuksesta oikeudellisiin toimiin tai työsuhteen päättämiseen. Pilvipalveluiden käyttöpolitiikka linkittyy tietoturvaan, muutoksenhallintaan, tietojen luokitteluun, kryptografisiin hallintakeinoihin, lokitukseen ja seurantaan, tietoturvapoikkeamiin reagointiin sekä auditointiin liittyviin politiikkoihin, vahvistaen sen roolia pilvihallinnon auktoritatiivisena perustana.