Andmebaasi platvormide valik on väga lai. Osad neist on arendatud analüütiliste lahenduste toetamiseks ja kasutatakse seega andmeaida platvormidena. Nende sisemised arhitektuurilised lahendused pakuvad olulist väärtust kasutajale eelkõige juhul, kui nii andmete ja ka päringute mahud ning keerukus on suured. Teistpidi jaotades eristuvad täna väga selgelt pilvepõhised andmebaasi lahendused ja sealhulgas siis ka andmeaida platvormid. See tähendab, et andmebaas pole mitte vaid ligipääsetav üle interneti, vaid kogu lahendus asetsebki pilves. Mõlemas lõikes on esindatud suurimad pilveteenuste pakkujad: Google Cloud Platform, Amazon Web Services ja Microsoft Azure – neil kõigil on oma pilvepõhise andmebaasi tehnoloogiad, sealhulgas ka andmeaitadeks sobivad vahendid. Lisaks võimaldavad oma virtuaalsetel serveritel ja/või niinimetatud “serverless” lahendustel hallata ka pea kõigi teiste tootjate baase.
Täiesti unikaalse lahendusena on pilvepõhiste andmeaitade turule tulnud Snowflake. Eestiski on nad uudiskünnise ületanud oma võimsa IPOga, kuid veelgi olulisem, et see lahendus on ka Eestis juba mitme ettevõtte poolt kasutusele võetud. Snowflake arhitektuuriline lahendus on aga täiesti unikaalne ning seda võib ka kirjeldada kui suurte pilveteenuste ülese lahendusena. Täpsemalt võid lugeda meie varasematest postitutest “Mis on Snowflake andmeait?”.
Turvalisus pilvelahenduses
Andmeaida lahenduste teostamisel on alati üks esmane küsimus turvalisus, seda nii pilveteenuse kui ka enda poolt hallatava keskkonna puhul. Kahetsusväärselt sageli kuuleme jätkuvalt ettevõtete ja nende IT juhtkondade poolt seisukohti, et “meie küll midagi pilve ei pane”. Sisulised põhjendused jäävad küll sageli ebatäpseks, kuid peamiselt põhjus on ikka kahtlus andmete turvalisusel. Igal pilvelahendusel on loomulikult oma spetsiifika turvalisuse tagamiseks, kuid teenuse peamine motivatsioon on ikka sama: teenuse pakkuja tahab võimalikult palju ja häid kliente – iga kasutaja tahab aga turvalist teenust: seega on turvalisus oluline mõlemale poolele. Näeme üle maailma valdavat pilvelahendustele ülemineku strateegiat. Seda teiste hulgas ka pankade kui ka meditsiiniasutuste poolt (mõlemas valdkonnas on meil ka juba täna Eestis Snowflake kasutajaid). Seega võib juba see olla piisav argument usaldamaks, et pilvelahendus on turvaline.
Kuidas on pilvelahenduses turvalisus tagatud? Pilve andmeaida turvalisuse kategooriad ei erine andmeturvalisusest sisevõrgus. Turvalisuse kolm üldtunnustatud rühma on:
konfidentsiaalsus – vaid lubatud kasutaja ligipääs andmetele
terviklikkus – andmed peavad olema/jääma rikkumata, õiged, korrektsed
käideldavus – vajalikul hetkel kättesaadavad ja kasutatavad
A
ndmeait on ründajatele muidugi potentsiaalselt huvitav oma olemuse pärast – palju andmeid, kontsentreeritult, tihti lisaks ka metaandmetega väärtustatud. Võib juhtuda, et ründajad ei satu kunagi ebaturvalisuse otsa ja seega ei juhtu midagi. Kui aga ründajad saavad andmetele ligi, võivad riskid olla:
andmed muutuvad kätteaadavaks mittesoovitud osalpooltele
andmeid rikutakse
andmete pealt tehakse valesid järeldusi ja otsuseid
andmed kaovad taastamatult
mitmed ärilised riskid ja võimalikud kahjud
jmt
Mida siis teha, et neid riske ja sellega seonduvat kahju vältida ning saavutada andmete ja lahenduse soovitud turvalisus. Esmalt mõned üldised põhimõtted ja soovitused:
Esiteks tasuks muidugi vältida tundmatuid ja vähelevinud pilveteenuse pakkujaid. Andmeid ei maksa usaldada tundmatule, ükskõik kui head turvalisust (ja hinda) lubatakse pakkuda. Andmete eest vastutab ikkagi alati omanik. Teenuse osutaja vastutab üldiselt vaid nö tehnilise poole eest. Üldlevinud platvormidel on võimalike investeeringute maht märksa suurem ning see võimaldab ka oma teenuses arendada turvalisus nõutavale tasemele.
Teiseks – turvalisuse nõrgimaks lüliks on ja jääb alati inimene, kes andmeid kasutab. Selle riski vähendamiseks tuleb õiguste süsteem korralikult läbi mõelda ning juurutada ja seada sisse ka sisemised protseduurid andmete kasutamisel ja liigutamisel. See on muidugi täpselt sama nii pilvelahenduse kui ka “sisese” lahenduse puhul. Kui kasutaja tõmbab andmeaidast omale andmed excelisse ja saadab selle siis e-mailiga edasi mitmetele teistele kasutajale, ei ole mingit vahet kui tugev turvalisus on kasutusel andmeaida laheduse puhul.
Vaatame edasi konkreetsemalt ülaltoodud kolme turvalisuse klassi ja mida saame teha Snowflake andmeaidas riskide vähendamiseks.
Konfidentsiaalsus
See on kõige klassikalisem punkt kui räägitakse turvalisusest. Kuidas seda saavutada?
Kõikides Snowflake versioonides on võimalik seadistada IP piirangud (kas siis lubatud või keelatud IP aadresside nimistud). See siis piiritleb, mis võrguaadressidelt on andmeait kasutatv ja kust mitte. Need tuleks kindlasti rakendada. Mingil määral võib see lisada küll ebamugavust, kuna andmeaidale ligi pääsemiseks on vaja sisevõrku ühenduda, aga lisatud tase turvalisust kaalub siiski rohkem.
Baasi sisse loginud kasutajatele andmestiku lubamisel/keelamisel on nii klassikalised (rollid ja kasutajad ning läbi nende õiguste juhtimised) kui ka uuemad vahendid (turvalised vaated ja kasutaja defineeritavad funktsioonid). Vaja ainult läbi mõelda, kuidas rakendada. Väga kasulik lahendus on ka sisseehitatud pseudonümiseerimine, mis võimaldab seadistada, kellele võib näidata näiteks isikukoodi ja kelle jaoks on see maskeeritud kujul.
Snowflake lähtub otsast-otsani krüpteerimise põhimõttest, see tähendab et andmed on krüpteeritud nii baasis sees kui ka laadimise ajal. Krüpteerimine ja võtmete haldus on Snowflake sisene lisatasuta tuumteenus. Keegi kolmas osapool ei saa andmeid lugeda.
Snowflake Business Critical versioonis on lisaks võimalused siduda Snowflake vastavate pilveplatvormide virtuaalsete privaatsete võrkudega (AWS ja Azure on hetkel toetatud), mis lisab veel ekstra ligipääsetavuse turvalisust.
Logimiste turvalisuse jaoks on olemas ka mitme teguriga ja SAML autentimine.
Terviklikkus
Selle punkti lõikes ei eristu pilve andmeait lokaalsest traditsioonilisest andmeaidast ja asutuse sisevõrgus olevast andmebaasist. Andmed tuleb alliksüsteemidest eraldada, laadida, teisendada ja/või konsolideerida analüütilistele päringutele vastavaks, äri küsimusi lahendavaks. Andmed peavad olema õiged, aktuaalsed ja terviklikud, vale kasutaja ja/või valed reeglid ei tohi neid saada muuta. Ühelt poolt tagab selle konfidentsiaalsuse reeglite ja õiguste korrektne rakendamine. Snowflake puhul annavad lisa kindluse sisseehitatud varundamise lahendused, millega saab kas ise Time Travel funktsiooni kasutades või suuremate probleemide korral Snowflake abiga Fail Safe kaudu andmeid taastada.
Kättesaadavus, käideldavus
See punkt on siis osaliselt pilve olemusega kaetud – ta on kogu aeg ja igal pool olemas. Samas on aga kliendi ülesanne seda teenuse pakkuja vahenditega võimaldada.
Klassikalisest andmebaasist eristab Snowflake-i üsna võimekas veebilehe vormis kasutaja-/haldusliides. Lisaks on olemas käsurea tööriist Snowsql ja kõikvõimalikud baasi ühenduse draiverid ning erinevate programmeerimiskeelte/tööriistapõhiseid connectorid.
Snowflake opereerib koostöös Amazoni, Microsofti ja Googlega ning valdavalt on siis kliendil kontot avades valitud ka üks konkreetne regioon nende kolme platvormilt ja seega kättesaadavus väiksemvõrdne antud regiooni kättesaadavusega. Kuigi terve regiooni maas olemine on vähe ja järjest vähem tõenäoline, siis erinevaid tõrkeid ikkagi juhtub. Regioonide teenuse staatust ja ajalugu saab jälgida siin. Kui on vaja kõrgema taseme kättesaadavust, siis Snowflake kangemates (aga siis ka muidugi kallimates) versioonides on võimalik andmeid üle mitme regiooni või lausa erinevate platvormide vahel jagada ja kopeerida.
Kokkuvõttes on võimalik saavutada pilveteenuses samal tasemel andmete turvalisus nagu oma keskkonnas. Tõenäoliselt isegi parem, sest tootjale on see veelgi olulisem, et ei tekiks ühtegi turvaintsidenti kliendi andmetega. Lisaks pakub toote funktsionaalsus kindlasti täiendavaid turvalisuse võimalusi.
Kui soovid täpsemalt konsulteerida, kuidas luua turvalist andmeaita pilveplatvormil, siis võta meiega ühendust.
Põhjalikumalt on võimalik lugeda Snowflake turvameetmetest lehelt: Snowflake security and trust center.