{"id":16938,"date":"2024-03-18T07:46:49","date_gmt":"2024-03-18T06:46:49","guid":{"rendered":"https:\/\/cleura.com\/?p=16938"},"modified":"2026-02-02T14:45:16","modified_gmt":"2026-02-02T13:45:16","slug":"ar-amerikanska-molntjanster-sakra","status":"publish","type":"post","link":"https:\/\/cleura.com\/sv\/molnguiden\/perspektiv\/ar-amerikanska-molntjanster-sakra\/","title":{"rendered":"\u00c4r amerikanska molntj\u00e4nster s\u00e4kra?"},"content":{"rendered":"\n

F\u00f6rfattare: Arman Borghem, Regulatory and Compliance Advisor p\u00e5 Cleura<\/em><\/p>\n\n\n\n

I diskussionen om den s\u00e5 kallade molnfr\u00e5gan h\u00e4vdas ibland att det \u00e4r s\u00e4krare att ha sin data hos amerikanska molntj\u00e4nstleverant\u00f6rer.<\/p>\n\n\n\n

Fr\u00e5gan \u00e4r dock – s\u00e4krare \u00e4n vad?<\/p>\n\n\n\n

S\u00e4krare \u00e4n ett l\u00e5gprioriterat serverrack i k\u00e4llaren? H\u00f6gst troligen. En l\u00e5g ribba \u00e4r l\u00e4tt att ta sig \u00f6ver. Man kan n\u00e4stan f\u00f6rnimma hur spindeln\u00e4t och vattenl\u00e4ckor smyger sig p\u00e5 i den mytomspunna serverk\u00e4llaren.<\/p>\n\n\n\n

Lyckligtvis ser alternativen i verkligheten i de flesta fall annorlunda ut. B\u00e5de vad g\u00e4ller eventuell egen drift, men s\u00e4rskilt de valm\u00f6jligheter som finns p\u00e5 marknaden f\u00f6r att k\u00f6pa molntj\u00e4nster av leverant\u00f6rer.<\/p>\n\n\n\n

Cleura och m\u00e5nga andra bolag erbjuder molninfrastruktur som tj\u00e4nst<\/a> (IaaS) men ocks\u00e5 plattform som tj\u00e4nst (PaaS) i konkurrens med Azure, AWS och Google Cloud. Cleura g\u00f6r detta fr\u00e5n sina datacenterregioner i Sverige och Tyskland<\/a>.<\/p>\n\n\n\n

Verksamheter kan allts\u00e5 ta sig till molnet – med drift hos en extern tj\u00e4nsteleverant\u00f6r – utan att l\u00e4gga sin data i en amerikansk molntj\u00e4nst som tillhandah\u00e5lls av en amerikansk molntj\u00e4nstleverant\u00f6r.<\/p>\n\n\n\n

Alternativet till amerikanska molntj\u00e4nster: OpenStack-baserade moln<\/h2>\n\n\n\n

Vi p\u00e5 Cleura, och m\u00e5nga med oss, anv\u00e4nder plattformen OpenStack<\/a> f\u00f6r att leverera molninfrastruktur. Idag kan du f\u00e5 OpenStack-baserade publika molntj\u00e4nster levererade fr\u00e5n \u00f6ver 180 datacenter v\u00e4rlden \u00f6ver.<\/p>\n\n\n\n

OpenStack skapades av det amerikanska hostingbolaget Rackspace och den amerikanska rymdmyndigheten NASA.<\/p>\n\n\n\n

Teknik med amerikanska r\u00f6tter, allts\u00e5.<\/p>\n\n\n\n

Rackspace och NASA uppt\u00e4ckte att de p\u00e5 var sitt h\u00e5ll hade byggt molnkomponenter som kompletterade varandra. De best\u00e4mde sig f\u00f6r att sammanfoga projekten och skapade vad som b\u00e4st kan liknas vid en ers\u00e4ttare till AWS.<\/p>\n\n\n\n

De som var med n\u00e4r det begav sig har ber\u00e4ttat att projektet tidigt kunde ha fallit i bitar. Sv\u00e5righeterna tycktes o\u00f6verstigliga, och en amerikansk senator f\u00f6rs\u00f6kte enligt uppgift rentav s\u00e4tta stopp f\u00f6r projektet. Senatorn var r\u00e4dd att automatiserad molndrift med OpenStack skulle leda till f\u00e4rre arbetstillf\u00e4llen i delstatens datacenter. NASA:s byr\u00e5krati var ocks\u00e5 ett hinder.<\/p>\n\n\n\n

Projektet blev emellertid en framg\u00e5ng emot alla odds. Den som vill f\u00f6rdjupa sig kan l\u00e4sa tidningen Wires sp\u00e4nnande reportage The Secret History of OpenStack, the Free Cloud Software That’s Changing Everything<\/a>.<\/p>\n\n\n\n

OpenStack bygger p\u00e5 samverkan<\/h2>\n\n\n\n

OpenStack \u00e4r speciellt d\u00e4rf\u00f6r att det bygger p\u00e5 samverkan – inte bara mellan Rackspace och NASA utan mellan verksamheter v\u00e4rlden \u00f6ver. Genom att Rackspace och NASA sl\u00e4ppte OpenStack med \u00f6ppen k\u00e4llkod-licens kunde n\u00e4mligen alla bidra med f\u00f6rb\u00e4ttringar.<\/p>\n\n\n\n

Ingen beh\u00f6ver heller be n\u00e5gon om till\u00e5telse f\u00f6r att anv\u00e4nda OpenStack, eller betala n\u00e5gon licensavgift.<\/p>\n\n\n\n

Hundratals f\u00f6retag som anv\u00e4nder eller f\u00f6rlitar sig p\u00e5 OpenStack bidrar \u00e4nd\u00e5 med kod, ekonomiskt st\u00f6d eller p\u00e5 annat s\u00e4tt. OpenStack kan liknas vid en allm\u00e4nning som anv\u00e4ndarna v\u00e5rdar och omh\u00e4ndertar. Skillnaden mot en jordpl\u00e4tt \u00e4r att OpenStack blir mer v\u00e4rdefullt f\u00f6r alla i takt med att fler anv\u00e4nder l\u00f6sningen och deltar i gemenskapen. OpenStack har d\u00e4rigenom blivit ett av v\u00e4rldens mest framg\u00e5ngsrika \u00f6ppen k\u00e4llkod-projekt.<\/p>\n\n\n\n

\"\"<\/a><\/figure>\n\n\n\n

Tack vare OpenStack kan europeiska och svenska molntj\u00e4nstleverant\u00f6rer som Cleura erbjuda infrastruktur som tj\u00e4nst (IaaS) till verksamheter som beh\u00f6ver f\u00f6lja GDPR och andra regelverk. Det \u00e4r rena, skalbara molntj\u00e4nster som bland annat tillhandah\u00e5lls fr\u00e5n Cleuras datacenterregioner<\/a> i Stockholm, Karlskrona och Frankfurt.<\/p>\n\n\n\n

OpenStack-projektets hem \u00e4r sedan l\u00e4nge stiftelsen OpenInfra Foundation<\/a>. Stiftelsen s\u00e4kerst\u00e4ller att projektet f\u00f6rvaltas och utvecklas f\u00f6r gemenskapens b\u00e4sta, utan att blidka n\u00e5got enskilt f\u00f6retags s\u00e4rintresse.<\/p>\n\n\n\n

F\u00f6rutom OpenStack \u00e4r stiftelsen v\u00e4rd f\u00f6r n\u00e4raliggande projekt inom bl.a. AI\/maskinl\u00e4rning, CI\/CD, containers och edge computing.<\/p>\n\n\n\n

Cleura \u00e4r guldmedlem<\/a> i OpenInfra Foundation och \u00e4r representerad i den r\u00e5dgivande styrelsen<\/a> f\u00f6r OpenInfra Europe<\/a>.<\/p>\n\n\n\n

S\u00e4kerheten hos amerikanska molntj\u00e4nster<\/h2>\n\n\n\n

En \u00e5terkommande refr\u00e4ng \u00e4r att amerikanska molntj\u00e4nstleverant\u00f6rer allokerar stora pengabelopp eller \u00e4gnar stora personalresurser \u00e5t s\u00e4kerhet. Det s\u00e4ger emellertid inte mycket om vilka resultat som uppn\u00e5s.<\/p>\n\n\n\n

Anv\u00e4nds personalresurserna effektivt? M\u00e5ste de st\u00e4da upp i efterhand p\u00e5 grund av ett h\u00f6gt utvecklingstempo som lett till s\u00e4kerhetsmissar? Tillkommer nya funktioner i en takt som \u00f6kar attackytan till men f\u00f6r s\u00e4kerheten? Belastas koden av gammal teknisk skuld som kr\u00e4ver extra mycket anstr\u00e4ngning ur s\u00e4kerhetssynpunkt?<\/p>\n\n\n\n

Har l\u00f6sningen en s\u00e5 stor kundbas att antagonister ser den som ett s\u00e4rskilt attraktivt m\u00e5l?<\/p>\n\n\n\n

Det framst\u00e5r som logiskt att ju fler som anv\u00e4nder en standardiserad molnl\u00f6sning, och ju k\u00e4nsligare data som hanteras i molnl\u00f6sningen, desto mer intressant blir det f\u00f6r antagonister att leta efter s\u00e4kerhetsh\u00e5l. En och samma s\u00e5rbarhet kan ju d\u00e5 anv\u00e4ndas mot fler eller k\u00e4nsligare m\u00e5ltavlor. Fullt naturligt att en leverant\u00f6r av en s\u00e5dan l\u00f6sning m\u00e5ste l\u00e4gga mer resurser p\u00e5 s\u00e4kerheten.<\/p>\n\n\n\n

Dessutom riskerar en driftst\u00f6rning hos leverant\u00f6ren drabba m\u00e5nga verksamheter samtidigt.<\/p>\n\n\n\n

H\u00e4r kan n\u00e4mnas att Google har pekat ut dominansen hos en av sina konkurrenter som ett s\u00e4rskilt stort s\u00e4kerhetsproblem, inte minst f\u00f6r offentlig sektor.<\/p>\n\n\n\n

\"Nyhetsartikel<\/a><\/figure>\n\n\n\n

F\u00f6retaget i fr\u00e5ga har ocks\u00e5 misslyckats med att uppr\u00e4tth\u00e5lla sin egen interna s\u00e4kerhet, och uppgav i januari 2024 att ryska hackare stulit interna meddelanden och filer fr\u00e5n b\u00e5de ledningsgrupp och anst\u00e4llda som arbetar med cybers\u00e4kerhet och r\u00e4ttsliga fr\u00e5gor. Intr\u00e5nget visade sig senare vara mycket v\u00e4rre \u00e4n vad som f\u00f6rst var k\u00e4nt<\/a>.<\/p>\n\n\n\n

Konkurrenter till f\u00f6retagets aff\u00e4rsomr\u00e5de inom s\u00e4kerhet riktar ocks\u00e5 h\u00e5rd kritik. Ur en artikel fr\u00e5n GovInfoSecurity<\/a>:<\/p>\n\n\n\n

\n

\u201dAny way you cut it, the threat is very real and very serious, and the prevailing view across the national security community seems to be that [the vendor] is hanging on by a thread,\u201d said Krebs, who served as the first director of the U.S. Cybersecurity and Infrastructure Security Agency. \u201dThese continued incidents pose a significant risk to companies that rely on [the vendor’s] systems and are driving executives in government and industry alike to reevaluate their dependence on [the vendor’s] systems.\u201d<\/p>\n<\/blockquote>\n\n\n\n

Men det \u00e4r inte bara konkurrenter till f\u00f6retaget som har haft synpunkter.<\/p>\n\n\n\n

I april 2024 publicerade USA:s departement f\u00f6r inrikes s\u00e4kerhet en rapport<\/a> som beskrev \u201den kaskad av s\u00e4kerhetsmisslyckanden hos [leverant\u00f6ren]\u201d och att \u201d[leverant\u00f6rens] s\u00e4kerhetskultur var otillr\u00e4cklig\u201d.<\/p>\n\n\n\n

\u201dUnder denna granskning identifierade styrelsen en rad operativa och strategiska beslut hos [leverant\u00f6ren] som sammantaget pekar p\u00e5 en f\u00f6retagskultur som nedprioriterade b\u00e5de investeringar i f\u00f6retagss\u00e4kerhet och rigor\u00f6s riskhantering\u201d, st\u00e5r det bland annat i rapporten.<\/p>\n\n\n\n

Styrelsen som tog fram rapporten bestod av tj\u00e4nstem\u00e4n fr\u00e5n myndigheter och n\u00e4ringsliv, bland annat fr\u00e5n departementet f\u00f6r inrikes s\u00e4kerhet, justitiedepartementet, f\u00f6rsvarsdepartementet, NSA, FBI och andra.<\/p>\n\n\n\n

Dessutom har BSI, den tyska federala myndigheten f\u00f6r informationss\u00e4kerhet, st\u00e4llt fr\u00e5gor till samma molntj\u00e4nstleverant\u00f6r utan att f\u00e5 tydliga svar. Saken g\u00e4llde leverant\u00f6rens anv\u00e4ndning av s\u00e5 kallad dubbelnyckelkryptering (DKE). Genom att anv\u00e4nda tv\u00e5 nycklar, varav den ena alltid finns kvar hos kunden, \u00e4r DKE avsett att f\u00f6rhindra datal\u00e4ckage i s\u00e4rskilt s\u00e4krade milj\u00f6er.<\/p>\n\n\n\n

Efter en s\u00e4rskilt allvarlig incident hos leverant\u00f6ren gav emellertid leverant\u00f6ren s\u00e5 oklara besked att BSI inte kunde avg\u00f6ra om hotakt\u00f6ren \u00e4nd\u00e5 hade kommit \u00e5t data i klartext. \u201dInte ens efter upprepade f\u00f6rfr\u00e5gningar och hot om r\u00e4ttsliga \u00e5tg\u00e4rder l\u00e4mnade Microsoft den beg\u00e4rda informationen. D\u00e4rf\u00f6r anv\u00e4nder BSI nu de r\u00e4ttsliga instrument som st\u00e5r till dess f\u00f6rfogande, f\u00f6rklarar en talesperson f\u00f6r BSI\u201d, rapporterar heise Security<\/a>.<\/p>\n\n\n\n

S\u00e4kerhet \u00e4r inte l\u00e4tt, men en m\u00e5ngfald av granskare g\u00f6r det l\u00e4ttare<\/h2>\n\n\n\n

S\u00e4kerhet \u00e4r inte l\u00e4tt. Vi kan utg\u00e5 ifr\u00e5n att alla l\u00f6sningar som blir tillr\u00e4ckligt stora eller betydelsefulla blir attraktiva m\u00e5l f\u00f6r antagonister som letar efter s\u00e4kerhetsh\u00e5l. Vi lyfter inte den h\u00e4r fr\u00e5gan f\u00f6r att peka finger \u00e5t en enskild leverant\u00f6r, utan f\u00f6r att p\u00e5visa att en utomordentligt h\u00f6g s\u00e4kerhetsniv\u00e5 inte n\u00f6dv\u00e4ndigtvis f\u00f6ljer automatiskt av att ett enskilt f\u00f6retag l\u00e4gger stora personalresurser p\u00e5 s\u00e4kerhet.<\/p>\n\n\n\n

Med amerikanska r\u00f6tter och bidrag fr\u00e5n v\u00e4rlden \u00f6ver, \u00e4r en f\u00f6rdel med OpenStack att k\u00e4llkoden finns fritt tillg\u00e4nglig. Tusentals organisationer anv\u00e4nder OpenStack och tusentals personer bidrar till utvecklingen. Den utbredda anv\u00e4ndningen och deltagandet blir en f\u00f6rdel genom att k\u00e4llkoden uts\u00e4tts f\u00f6r m\u00e5ngas \u00f6gon och perspektiv. Vill n\u00e5gon l\u00e5ta g\u00f6ra en oberoende s\u00e4kerhetsgranskning av en viss del av koden, eller penetrationstesta en viss implementering, s\u00e5 \u00e4r det fullt m\u00f6jligt. F\u00f6r projektet skapar det ett v\u00e4rde f\u00f6r samtliga anv\u00e4ndare eftersom det bidrar till att identifiera och t\u00e4ppa till s\u00e4kerhetsh\u00e5l.<\/p>\n\n\n\n

\u00c4gg i samma korg<\/h2>\n\n\n\n

En verksamhet kan minska sin s\u00e5rbarhet genom att sprida sina \u00e4gg i flera korgar, ist\u00e4llet f\u00f6r att l\u00e4gga all data i samma amerikanska molntj\u00e4nster som n\u00e4stan alla andra anv\u00e4nder. Dessutom minskar s\u00e5rbarheten p\u00e5 samh\u00e4llsniv\u00e5, eftersom ett s\u00e4kerhetsh\u00e5l inte kan drabba stora delar av samh\u00e4llet samtidigt.<\/p>\n\n\n\n

Dessutom tillkommer ytterligare ett perspektiv p\u00e5 s\u00e4kerhet: att amerikanska myndigheter f\u00e5r \u00e5tkomst till den data som hanteras i amerikanska molntj\u00e4nstleverant\u00f6rer. Det kan vara ett hot mot s\u00e5v\u00e4l f\u00f6retagshemligheter som sekretessbelagd information och den personliga integriteten. Vi har skrivit mer om hotet fr\u00e5n s\u00e5dan \u00e5tkomst i rapporten Vad din verksamhet beh\u00f6ver veta om det tredje adekvansbeslutet<\/a>.<\/p>\n\n\n\n

Ett djupt beroende till en enskild leverant\u00f6r p\u00e5 nationell niv\u00e5 kan rentav undergr\u00e4va ett lands sj\u00e4lvst\u00e4ndighet. Exempelvis har den danska regeringens cybers\u00e4kerhetsr\u00e5d varnat f\u00f6r att USA kan st\u00e4nga ner Danmark p\u00e5 en timme<\/a>.<\/p>\n\n\n\n

I den svenska regeringens nationella strategi f\u00f6r cybers\u00e4kerhet<\/a> noteras att:<\/p>\n\n\n\n