Google Workspacessa tietoturva ja käyttökokemus ovat ratkaisujen keskiössä. Tuotteita kehitettäessä Google on pyrkinyt huomioimaan niin pääkäyttäjien kuin loppukäyttäjien tarpeet sekä vallitsevat trendit. Käyttäjien turvaamisessa Googlen ensisijainen päämäärä on tehdä tuotteistaan oletusarvoisesti tietoturvallisia, niin ettei pääkäyttäjien tarvitse mennä säätämään asetuksia varmistaakseen perustason turvallisuuden.
Työn muuttuessa paikkariippumattomaksi ja viimeistään koronan pakotettua monet työntekijät etätöihin, on tullut aika uudistaa perinteistä tietoturva-arkkitehtuuria ja siihen kytkeytyviä ongelmia, kuten yrityksen sisäverkkoon pohjautuvaa käyttäjien todentamista ja pääsynhallintaa. Googlen moderni lähestymistapa on Zero Trust -arkkitehtuuria soveltava BeyondCorp viitekehys, joka pyrkii korjaamaan perinteisen tietoturvamallin ongelmakohtia. Nimensä mukaisesti Zero Trust -arkkitehtuuri eliminoi oletuksen luottamuksesta kokonaisuudessaan – siinä uhkia mielletään olevan yhtä lailla niin ulkoverkossa kuin sisäverkossa.
Google alkoi kehittämään omaa sovellutusta Zero Trust -arkkitehtuurista jo vuonna 2011 ja niin sai alkunsa BeyondCorp -malli. Alkuun sisäiseksi viitekehykseksi tarkoitetun mallin missio oli: “To have every Google employee work successfully from untrusted networks without the use of a VPN”. Sittemmin Google on tuonut samat toimintaperiaatteet myös asiakkaidensa käyttöön Google Cloud -ratkaisuissaan.
Verkon sijaan, Googlen BeyondCorp viitekehys siirtää hallintamekanismit sovelluskohtaiselle tasolle ja perustuu käyttäjän identiteettiin sekä laitteeseen, ympäristöön ja olosuhteisiin (context-aware access) joista käyttäjä pyrkii pääsemään kiinni tietoon. Lisäksi BeyondCorpin toimintaperiaatteeseen kuuluu se, että pääsy palveluihin on aina autentikoitu, auktorisoitu ja kryptattu. BeyondCorpin rakenneosina toimivat SSO, access proxy (identity aware proxy), access control engine, käyttäjäluettelo, laiteluettelo, tietoturvakäytäntö ja trust repository.
BeyondCorp mahdollistaa sen, että käyttäjät voivat työskennellä joustavasti sijainnistaan riippumatta ja miltä tahansa laitteelta, kunhan se täyttää yrityksen tietoturvavaatimukset. Tästä syystä monille Google Workspacen käyttäjille työn siirtyminen yrityksen tiloista kotitoimistolle onkin ollut helppoa.
Tutustutaan seuraavaksi hieman tarkemmin, kuinka BeyondCorp -viitekehys esiintyy käytännössä osana kontekstitietoista pääsynhallintaa eli “context-aware accessia”.
Ensimmäisen kerroksen muodostavat käyttäjän ja laitteen identiteetteihin pohjaavat luottamussäännöt. Näiden perusteena toimivat käyttäjän Cloud Identity (IAM/EMM alusta) sekä Googlen laitehallinta. Tiesitkö, että jokainen laite, jota käytetään Google Workspace -tilille kirjautumiseen suojataan Googlen “fundamental desktop security” -oletustietoturvalla, selaimesta riippumatta? Tämä on jälleen kerran osa Googlen ennaltaehkäisevää ja ennakoivaa suhtautumista tietoturvan perusasetuksiin, joiden ei tulisi vaatia pääkäyttäjien erillisiä toimia. Kun perusturvallisuus on vakaalla pohjalla, on pääkäyttäjien helpompi lähteä rakentamaan edistyneempiä hallinnan tasoja ja hyödyntää esimerkiksi laajaa mobiililaitehallintaa ja Windows 10 -laitehallintaa Googlen kautta, sekä luomaan sääntöjä millaisilla laitteilla on mahdollista ladata tiedostoja offline-tilaan Drive File Streamin kautta.
Toisen kerroksen muodostaa dynaamiset hallinnan keinot, eli ns. context-aware access. Kontekstitietoisen hallinnan alla voivat olla mm. Google Workspace -sovellukset, Google Cloud Platform ja sen rajapinnat, web-sovellukset jne. Context-aware accessilla pyritään esimerkiksi varmistamaan että laite, jolla käyttäjä yrittää päästä kiinni suojeltavaan dataan omaa riittävän tietoturvatason, kuten salasanasuojauksen ja kryptauksen. Mikäli nämä ehdot eivät täyty, ei laitteella pääse kirjautumaan. Lisäksi context-aware access antaa mahdollisuuden erittäin hienojakoisiin pääsynhallinnan menettelyihin, riippuen käyttäjän ympäristöstä ja olosuhteista.
Tässä muutamia konkreettisia skenaarioita, jotka voi toteuttaa context-aware pääsynhallinnalla:
Kolmannen tason muodostaa arkaluonteisen datan hallinta ja suojaaminen Data Loss Prevention (DLP) -sääntöjen avulla. DLP auttaa ympäristön pääkäyttäjiä ymmärtämään, hallinnoimaan ja suojelemaan yrityksen sensitiivistä tietoa. DLP-säännöillä voi skannata Drive-tiedostoja arkaluonteisen sisällön löytämiseksi ja suojaamiseksi sekä esimerkiksi määritellä minkälaista tietoa käyttäjät eivät pysty lähettämään sähköpostitse (luottokorttinumerot, hetu jne.).
Lisäksi Google on julkaissut Cloud Next ‘20 konferenssissaan lisää tulevia DLP-ominaisuuksia, jotka ovat nyt saatavilla julkaisuaikajanallaan beta-versiona. Näitä ovat:
Helppokäyttöisyys, tietoturva, yksityisyyden kunnioittaminen ja toimintavarmuuden takaaminen ovat Googlen tuotteiden keskiössä. Tuotteisiin sisäänrakennetut perustavanlaatuiset turvaominaisuudet takaavat sen, että Googlen asiakkaat pääsevät ponnistamaan erittäin vakaalta pohjalta ja kehittämään saatavilla olevilla lisäominaisuuksilla organisaation tietoturvaa korkeimmalle tasolle.
Mikäli kaipaat BeyondCorp -mallin tuomaa toimintavarmuutta, hienojakoista hallittavuutta ja joustavuutta, kannattaa olla meidän asiantuntijoihin yhteydessä, niin kerromme lisää ja autamme sinua evaluoimaan kuinka teidän organisaatio voisi hyötyä Google Context Aware -pääsyhallinnasta ja DLP:stä.