Tietoturva ja Tietosuoja

Tietoturva ja Tietosuoja

• Tietoturvallisuus käsittää toimenpiteitä tietojärjestelmien suojaamiseksi luvattomilta pääsyltä sekä tärkeän tiedon suojaamiseksi ulkopuolisilta. Tavoitteena on varmistaa tiedon saatavuus, eheys ja luottamuksellisuus.
• Tietosuoja (information security) on yksi tietoturvan toteuttamiskeino.
• Kyberuhkamalli kuvaa kyberuhkien vaikutuksia, kuten häiriöitä, uhkan mekanismeja, vaikutteita kohteisiin ja vaikutteita yhteiskunnan elintärkeisiin toimintoihin.
• Yrityksen johdon on oltava sitoutunut tietoturva ja tietosuoja asioihin.
• Tietoturva ja tietosuoja koskettavat kaikkia yrityksen toimintoja.
• Tietoturva koostuu hallinnollisista, teknillisistä ja fyysisistä osa-alueista.
• Hallinnollinen tietoturvallisuus sisältää tietoturvallisuuden johtamisen, jonka avulla varmistetaan toiminta­jatkuvuus. Tämä sisältää mm. tietosuoja-asetuksen noudattamisen ja tietoturva­politiikan luomisen ja ylläpidon.
• Tietoturvakomponenttien keskinäiset yhteydet ovat tärkeitä tietojärjestelmän suojaamisen kannalta.

Tietoturvaluokitukset

• CIA-triadi -malli sisältää luottamuksellisuuden (Confidentiality), eheyden (Integrity) ja saatavuuden (Accessibility).
• Laajennettu tietoturvaluokitus sisälttää CIA-triadin lisäksi kiistämättömyyden (Non-Repudiation), pääsynvalvonnan (Access Control) ja tunnistamisen (Authentication).
• Parkerian Hexad -malli sisältää seuraavat kuusi tietoturvaelementtiä: Luottamuk­sellisuus, eheys, saatavuus, hallussapito/hallinta, aitous ja hyödyllisuus.
• Luottamuksellisuus: Tietojärjestelmän tietojen saatavillaolo vain niille, joilla on oikeu­det.
• Eheys: Tietojärjestelmien tietojen paik­kan­sa­pitävyys ja virheettömyys.
• Saatavuus: Val­tuutettujen henkilöiden ja järjestelmien kyky käyttää tieto­järjestelmää.
• Kiistämättömyys: Järjestelmäkäskyjen käyttötied­on tallenta­minen, joka mahdollistaa tiedon alkuperän tunnis­ta­mi­sen.
• Pääsynvalvonta: Menetelmät, joilla estetään ulkopuolisten pääsyn yrityksen laitteille.
• Tunnistaminen: Tietojärjestelmän käyttä­jien luotet­tava tunnistaminen (esimerkiksi salasanoilla tai digitaalisilla alle­kirjoituksin).

Tietojen luokittelu ja käsittely

• Iso 27002 standardia voidaan hyödyntää tietojen luo­kittelussa. Standardi sisältää ohjeita tiedon omistaja­n määrit­telulle, säily­ty­s­a­jan määritel­lä­lle ja varmuuskopioin­tia­lle.

GDPR (General Data Protection Regulation)

• GDPR -asetus koskee henkilötietojen käsittelyä sekä julkisella että yksityisellä sektorilla.
• Asetus on voimassa koko EU-alueella ja tuli voimaan 25.5.2018.
• Asetuksen tarkoituksena on varmistaa ihmisten tietosuojan ja yksity­i­syyden oikeudet.
• GDPR:ssä määriteltyjä henkilötietoja ovat:
  • Nimi
  • Osoite
  • Sähköpostiosoitteet
  • Puhelinnumerot
  • Syntymäpäivät
  • Kuvat
  • Videot
  • Biometriset tiedot
• Yrityksillä ja organisaatiolla on velvollisuus ilmoittaa tietoturva­rikkomuksista sekä henkilöille että viranomaisille.
• Tietosuojaval­tuutettu voi määrätä hallinnollisia sankti­oita asetuk­sen noudattamatta jättämisestä. Jos epäillä­ään­ ri­ko­sta, menee asia poliisin käsittelyyn.

Tietoturvapolitiikka

• Tietoturvapolitiikka on organisaation yleisohje tietoturvaan ja tietosuojaan liittyen.
• Se koostuu organisaation johdon hyväksymistä yleisistä säännöistä ja käytän­nöistä.
• Tietoturvapolitiikka määrittää ja luo tietoturvatasot, jotka ovat tarpeelli­set haluttujen luottamuksel­li­suus­tavoitteiden saavuttamiseksi.
• Suojaus­käytäntö määrittää, miten organisaatio hallinnoi, suojaa ja jakaa arkaluontoisia tietoja.
• Suojaus­käytäntöja voi luokitella kolmeen tyyppiin: Sääntelykäytännöt, neuvoa-antavat toimintaperiaatteet ja informatiiviset käytännöt.

Tietoturvan tärkeys

• Digitaalisaatiossa usean IT-toimijan yhteistyö on välttämätöntä.
• Tietoturva on jatkuva prosessi, jossa kaikilla osapuolilla on rooli.
• Riskianalyysi on olennaisinta vaihetta tietoturvan hallintaan.
• Riskienhallintaa tulisi ohjata periaatteella: "Vahingon ehkäisyn kustannukset (Burden B)< vahingon aiheuttama menetys (L) x vahingon todennäköisyys (P).
• Tiedon luokittelu ja suojaustasot ovat tärkeitä tietoturvan hallinnassa.

Tässä tietoturvaan ja tietosuojaan liittyvässä tietovisassa käsitellään eri näkökulmia tietojärjestelmien suojaamisesta luvattomalta pääsyltä. Tutustu kyberuhkamalleihin, hallinnolliseen ja teknilliseen tietoturvaan, sekä yritysjohdon vastuisiin. Tämä visailu tarjoaa kattavan yleiskatsauksen aiheeseen.