Ilmainen e-kirja: NIS2 haltuun hyödyntäen ISO 27001 -käytäntöjä
Lataa e-kirja

Tutustu tehtävään liittyviin vaatimuskehikkoihin tarkemmin

11.1.1
ISO27 Täysi

ISO 27001 (2013): Täysi

11.1.2
ISO27 Täysi

ISO 27001 (2013): Täysi

3.1.1
TISAX

TISAX: Information security

3.2
TiHL: Tietoturva

TiHL: Suositus tietoturvan vähimmäisvaatimuksista

6.6.4
Omavalvonta

Tietoturvan ja tietosuojan omavalvontasuunnitelma

6.9
Tietoturvasuunnitelma

Tietoturvasuunnitelma (THL 3/2024)

7.1
ISO27k1 Täysi

ISO 27001 (2022): Täysi

7.2
ISO27k1 Täysi

ISO 27001 (2022): Täysi

9.12 §
KyberTL

Kyberturvallisuuslaki (NIS2)

ACCESS-3
C2M2: MIL1

C2M2: MIL1

Article 9b
DORA

Digital Operational Resilience Act (DORA)

CC6.4
SOC 2

SOC 2 (järjestelmät ja organisaation hallintakeinot)

DE.CM-2
NIST

NIST Cybersecurity Framework

DE.CM-2
CyFun

CyberFundamentals (Belgia)

F-04
Katakri 2020

Katakri 2020

F-05.2
Katakri 2020

Katakri 2020

F-06.2
Katakri 2020

Katakri 2020

F04
Katakri

Katakri 2015

FYY-03
Julkri

Julkri: TL IV-I

FYY-04
Julkri

Julkri: TL IV-I

FYY-06.2
Julkri

Julkri: TL IV-I

FYY-07.2
Julkri

Julkri: TL IV-I

PR.AC-2
NIST

NIST Cybersecurity Framework

PR.AC-2
CyFun

CyberFundamentals (Belgia)

Muita saman teeman digiturvatehtäviä

Ilmoitusprosessi fyysisten tunnisteiden häviämisen varalle

Critical
High
Normal
Low

Henkilöstöllä on toimintaohjeet ja työkalut, joiden avulla he voivat ilmoittaa kadonneesta fyysisestä tunnisteesta (esim. avaimenperä, älykortti, älytarra).

11.1.2: Kulunvalvonta
ISO27 Täysi
7.2: Kulunvalvonta
ISO27k1 Täysi
CC6.4: Physical access control to facilities and protected information assets
SOC 2
9.12 §: Fyysinen turvallisuus
KyberTL

Fyysisen pääsyn valvonta rakennuksiin, toimistoihin ja muihin toimipaikkoihin

Critical
High
Normal
Low

Organisaation turva-alueille ei pääse huomaamatta, vaan tilat on suojattu asianmukaisella kulunvalvonnalla. Vain luvan saaneet henkilöt pääsevät turva-alueille.

F04: Kulkuoikeuksien hallinta
Katakri
11.1.2: Kulunvalvonta
ISO27 Täysi
11.1.1: Fyysinen turva-alue
ISO27 Täysi
6.6.4: Fyysisten tilojen, laitteiden ja tulosteiden turvallisuus
Omavalvonta
PR.AC-2: Physical access control
NIST

Vierailijaohjeet ja -loki

Critical
High
Normal
Low

Vierailijat pääsevät turva-alueille ainoastaan luvan kanssa, asiallisesti tunnistettuina ja heidän pääsyoikeutensa on rajattu ainoastaan tarvittaviin tiloihin. Kaikki vierailut kirjataan vierailijalokiin. Lisäksi henkilöstöä on ohjeistettu turvalliseen toimintaan vierailuihin liittyen.

F04: Kulkuoikeuksien hallinta
Katakri
11.1.2: Kulunvalvonta
ISO27 Täysi
PR.AC-2: Physical access control
NIST
FYY-04: Tiedon säilytys
Julkri
FYY-05.5: Turvallisuusalue - Vierailijat
Julkri

Teknisen turva-alueen suojauskäytännöt

Critical
High
Normal
Low

Suojaustason IV-II tietoja voidaan käsitellä turva-alueella. Suojaustason III-II tason tietoja tulee säilyttää turva-alueella.

Teknisillä turva-alueilla noudatetaan turva-alueiden suojauskäytäntöjä sekä seuraavia lisäkäytäntöjä:

  • Alueella on murtohälytysjärjestelmä.
  • Alue pidetään lukittuna silloin, kun se ei ole käytössä, ja vartioituna silloin, kun se on käytössä.
  • Avaimia valvotaan.
  • Alueelle tulevia henkilöitä ja aineistoja valvotaan.
  • Alue tarkastetaan säännöllisesti mahdollisten luvattomien tietoliikenneyhteyksien ja viestintävälineiden sekä muiden elektronisten laitteiden löytämiseksi.
  • Alueella ei ole luvattomia tietoliikenneyhteyksiä tai laitteita

Kaikki aluelle vietävät laitteet on tarkastettava ennen niiden käyttöä alueella, joilla pidetään EU SECRET/NATO SECRET -turvallisuusluokan tietoihin liittyviä kokouksia.

Suojelupoliisi tai Pääesikunta päättää teknisesti suojattuun turva-alueeseen liittyvästä uhka-arvioinnista, riskien hallintatoimenpiteistä ja mahdollisesti tilapäisen teknisesti suojatun turva-alueen turvallisuusjärjestelyjen hyväksynnästä.

F02: Hallinnolliset alueet, turva-alueet ja tekniset turva-alueet
Katakri
F-07: TEKNISESTI SUOJATTU TURVA-ALUE
Katakri 2020
3.2: Toimitilaturvallisuus
TiHL: Tietoturva

Turva-alueen suojauskäytännöt

Critical
High
Normal
Low

Suojaustason IV-II tietoja voidaan käsitellä turva-alueella. Suojaustason III-II tason tietoja tulee säilyttää turva-alueella.

Turva-alueilla noudatetaan seuraavia suojauskäytäntöjä:

  • Alueella on selkeästi määritellyt ja suojatut rajat, joilla valvotaan kaikkea kulkua sisään ja ulos kulkuluvin tai henkilökohtaisesti tunnistamalla.
  • Alueelle on pääsy ilman saattajaa vain henkilöillä, joilla on asianmukainen turvallisuusselvitys ja erityinen lupa tulla alueelle tiedonsaantitarpeensa perusteella. Kaikilla muilla henkilöillä on aina oltava saattaja tai heille on tehtävä vastaavat tarkastukset.
  • Aluetta rajaavat rakenteet muodostavat kokonaisuuden, joka tarjoaa riskeihin nähden riittävän suojan asiattoman pääsyn estämiseksi.
  • Mikäli alueella säilytetään salassa pidettäviä tietoja, tulee siellä olla kyseisen tiedon säilyttämiseen hyväksytty tila tai säilytysratkaisu.
  • Mikäli alueelle ei ole asennettu murtohälytysjärjestelmää ja alueella ei ole henkilöstöä palveluksessa ympäri vuorokauden, se on tarvittaessa tarkistettava normaalin työajan päätteeksi ja satunnaisin ajankohdin sen ulkopuolella.

Jos alueelle tulo merkitsee käytännössä välitöntä pääsyä sillä oleviin salassa pidettäviin tietoihin, sovelletaan lisäksi seuraavia vaatimuksia:

  • On varmistettu, että alueella tavanomaisesti säilytettyjen tietojen korkein suojaustaso tai turvallisuusluokka on tiedon käsittelijän tiedossa.
  • Kaikilla vierailijoilla on oltava erityinen lupa tulla alueelle. Heillä on aina oltava saattaja ja asianmukainen turvallisuusselvitys, paitsi jos on tehty toimia, joilla varmistetaan, ettei henkilöllä ole pääsyä sellaisiin tietoihin, joihin tällä ei ole oikeutta.

Alueelle on laadittu turvallisuusmenettelyt, joissa on määräykset seuraavista:

  • Korkein suojaustaso- tai turvallisuusluokka, jota alueella voidaan käsitellä.
  • Sovellettavat valvonta- ja suojatoimenpiteet.
  • Henkilöt, joilla on pääsy alueelle ilman saattajaa tiedonsaantitarpeensa ja turvallisuusselvityksensä perusteella.
  • Henkilön saattamiseen liittyvät menettelyt.
  • Muut asiaan kuuluvat toimenpiteet ja menettelyt.
F02: Hallinnolliset alueet, turva-alueet ja tekniset turva-alueet
Katakri

Hallinnollisen alueen suojauskäytännöt

Critical
High
Normal
Low

Suojaustason IV-II tietoja voidaan käsitellä hallinnollisella alueella, jos sivullisten pääsy tietoihin on estetty. Suojaustason IV tietoja voidaan säilyttää hallinnollisella alueella.

Hallinnollisilla alueilla noudatetaan seuraavia suojauskäytäntöjä:

  • Alueella on selkeästi määritellyt näkyvät rajat, joilla henkilöt ja mahdollisuuksien mukaan ajoneuvot voidaan tarkastaa.
  • Alueelle on pääsy ilman saattajaa vain henkilöillä, joilla on lupa tulla alueelle. Kaikilla muilla henkilöillä on aina oltava saattaja tai heille on tehtävä vastaavat tarkastukset.
  • Mikäli alueella säilytetään salassa pidettäviä tietoja, alueella on kyseisen tiedon säilyttämiseen hyväksytty tila tai säilytysratkaisu.
  • Mikäli alueella käsitellään salassa pidettäviä tietoja, sivullisten pääsy tietoihin on estetty.
F02: Hallinnolliset alueet, turva-alueet ja tekniset turva-alueet
Katakri

Salassapidettävien tietojen käsittelyyn tarkoitettujen alueiden määrittely ja suojauksen varmistaminen

Critical
High
Normal
Low

Organisaatio on määritellyt eritasoiset tietojen fyysiseksi suojaamiseksi tarvittavat alueet (hallinnollinen alue, turva-alue ja tekninen turva-alue), joissa käsitellään salassa pidettäviä tietoja. Vastuuhenkilö varmistaa, että alueilla noudatetaan suojaustason mukaisia suojauskäytäntöjä.

Alueella voidaan tarkoittaa mm. huonetta, laitetilaa, varastoa, arkistotilaa, niiden muodostamaa kokonaisuutta tai muuta rakennuksen osaa. Rakennuksissa sekä toimitiloissa voi olla useita eri turvallisuusvyöhykkeisiin kuuluvia alueita.

Suojaustason IV-II tietoja voidaan käsitellä turva-alueella. Suojaustason IV-II tietoja voidaan käsitellä myös hallinnollisella alueella, jos sivullisten pääsy tietoihin on estetty. Suojaustason IV tietoja voidaan säilyttää hallinnollisella alueella. Suojaustason III-II tason tietoja tulee säilyttää turva-alueella.

F02: Hallinnolliset alueet, turva-alueet ja tekniset turva-alueet
Katakri
FYY-05: Turvallisuusalue
Julkri
FYY-06: Hallinnollinen alue
Julkri
FYY-07: Turva-alue - TL III
Julkri
42: Turvallisuusalueiden määrittely
Kokonaiskuva (DVV)

Avainten hallintajärjestelmä

Critical
High
Normal
Low

Avainten hallintajärjestelmällä on vastuuhenkilö ja menettelytavat avainten hallintaan on ohjeistettu ja dokumentoitu.

Järjestelmän menettelyt voivat olla mm.:

  • Vastuuhenkilöllä on luettelo jaetuista ja hallussaan olevista avaimista
  • Avaimen luovutusperuste kirjataan dokumenttiin
  • Avaimet voidaan luovuttaa vain kulkuoikeuden omaavalle henkilölle
  • Henkilöstössä tapahtuvat muutokset välittyvät tarvittaessa avainten hallintaoikeuteen
  • Avainten hallintaoikeus katselmoidaan säännöllisesti
F05: Avainten ja numeroyhdistelmien hallinta
Katakri

Avaustunnisteiden hallintakäytännöt

Critical
High
Normal
Low

Avaustunnisteet annetaan mahdollisimman harvoille henkilöille ja henkilöt osaavat numeroyhdistelmät ulkoa.

F05: Avainten ja numeroyhdistelmien hallinta
Katakri
FYY-05.4: Turvallisuusalue - Pääsyoikeuksien ja avaintenhallinnan menettelyt
Julkri
F-05.2: PÄÄSYOIKEUKSIEN MYÖNTÄMINEN
Katakri 2020

Numeroyhdistelmien vaihtamiskäytännöt

Critical
High
Normal
Low

Organisaatio on määritellyt toimintatavat numeroyhdistelmien vaihtamiseksi, joilla pyritään hallitsemaan riskiä numeroyhdistelmien väärinkäytöstä.

Numeroyhdistelmät vaihdetaan mm.:

  • uuden turvallisen säilytyspaikan vastaanoton yhteydessä
  • aina kun avaustunnisteen tunteva henkilö vaihtaa tehtäviä tai poistuu organisaation palveluksesta
  • aina kun tiedot ovat vaarantuneet tai kun niiden epäillään vaarantuneen
  • kun jokin lukoista on huollettu tai korjattu ja vähintään 12 kuukauden välein

Turvallisuusjärjestelmien sekä -laitteiden turvallisuus ja testaus

Critical
High
Normal
Low

Tietojen fyysiseen suojaamiseen tarkoitetut turvallisuusjärjestelmät ja laitteet ovat hyväksyttyjen teknisten standardien tai vähimmäisvaatimusten mukaisia. Järjestelmiä ja laitteita testataan säännöllisesti ja ne pidetään käyttökuntoisina.

Turvallisuusjärjestelmiä ja -laitteita voivat olla mm.:

  • turvakaapit
  • kassakaapit
  • kulunvalvontajärjestelmät
  • murtohälytyshälytysjärjestelmät
  • valvontajärjestelmät
  • lukot
  • ovet ja aukot
  • paperisilppurit
F03: Tietojen fyysiseen suojaukseen tarkoitetut turvallisuusjärjestelmät ja laitteet
Katakri
FYY-02: Fyysisten turvatoimien valinta (monitasoinen suojaus)
Julkri

Monitasoisen suojauksen periaate

Critical
High
Normal
Low

Organisaatio suunnittelee fyysiset turvatoimet monitasoisen suojaamisen periaatetta noudattaen. Monitasoisella suojaamisella tarkoitetaan sitä, että toteutetaan joukko toisiaan täydentäviä turvatoimia.

Esimerkiksi rakennuksen ulkoseinät ja kuori voivat muodostaa ensimmäisen turvallisuustason. Kulunvalvonta muodostaa seuraavan kerroksen ja korkeamman suojaustason tietoa käsitellään ainoastaan rakennuksen sisemmissä osissa, jotta tunkeutuminen tiloihin on estetty. Turvallisuustekniset ratkaisut (säilytysyksiköt, hälytysjärjestelmät, kameravalvonta, valaistus, jne.) täydentävät rakenteellisia ratkaisuja. Suunnittelussa otetaan huomioon ikkunat, ovet ja muut aukot.

F01: Fyysiset turvatoimet
Katakri
FYY-02: Fyysisten turvatoimien valinta (monitasoinen suojaus)
Julkri
FYY-07: Turva-alue - TL III
Julkri
ACCESS-3: Control Physical Access
C2M2: MIL1
F-03: FYYSISTEN TURVATOIMIEN VALINTA (MONITASOINEN SUOJAUS)
Katakri 2020

Sähköistä liikkumislokia tuottavien avainten tai muiden tunnisteiden käyttö

Critical
High
Normal
Low

Toimitiloissa ei voi liikkua ilman tunnisteita, jotka tallentavat henkilön liikkeet sähköiseen lokikirjaan.

11.1.2: Kulunvalvonta
ISO27 Täysi
FYY-07.2: Turva-alue - kulunvalvonta - TL III
Julkri
7.2: Kulunvalvonta
ISO27k1 Täysi
CC6.4: Physical access control to facilities and protected information assets
SOC 2

Vahva tunnistus erittäin luottamuksellisen tiedon käsittely- tai varastointialueille

Critical
High
Normal
Low

Pääsy alueille, joissa käsitellään tai varastoidaan luottamuksellista tietoa, olisi rajoitettava vain valtuutettuihin yksilöihin toteuttamalla asianmukainen pääsynhallinta, esim. käyttämällä kaksivaiheista todentamismekanismia, kuten kulkukorttia ja tunnuslukua.

11.1.1: Fyysinen turva-alue
ISO27 Täysi
11.1.3: Toimistojen, tilojen ja laitteistojen suojaus
ISO27 Täysi
PR.AC-2: Physical access control
NIST
DE.CM-2: The physical environment monitoring
NIST
FYY-03: Tiedon käsittely
Julkri

Näkyvien tunnisteiden käyttö

Critical
High
Normal
Low

Organisaation toimitiloissa ei voi liikkua ilman näkyvää tunnistetta.

11.1.2: Kulunvalvonta
ISO27 Täysi
11.1.6: Toimitus- ja kuormausalueet
ISO27 Täysi
7.2: Kulunvalvonta
ISO27k1 Täysi
CC6.4: Physical access control to facilities and protected information assets
SOC 2
3.1.1: Management of secure areas
TISAX

Salakatselun estäminen

Critical
High
Normal
Low

Tiedon esiintymismuodosta riippumatta henkilötietoja tai muuta salassa pidettävää tietoa käsitellään niin, ettei tieto näy asiattomille.

F06: Salakatselulta suojautuminen
Katakri
11.1.3: Toimistojen, tilojen ja laitteistojen suojaus
ISO27 Täysi
6.6.4: Fyysisten tilojen, laitteiden ja tulosteiden turvallisuus
Omavalvonta
FYY-05.2: Turvallisuusalue - Salaa katselun estäminen
Julkri
7.3: Toimistojen, tilojen ja laitteistojen suojaus
ISO27k1 Täysi

Salakuuntelun estäminen

Critical
High
Normal
Low

Henkilötiedoista tai muista salassa pidettävistä tiedoista käytävä keskustelu ei saa välittyä viereisiin tiloihin tiloihin niille, joilla ei ole tietoon oikeutta.

F07: Salakuuntelulta suojautuminen
Katakri
11.1.3: Toimistojen, tilojen ja laitteistojen suojaus
ISO27 Täysi
6.6.4: Fyysisten tilojen, laitteiden ja tulosteiden turvallisuus
Omavalvonta
FYY-05.1: Turvallisuusalue - Äänieristys
Julkri
7.3: Toimistojen, tilojen ja laitteistojen suojaus
ISO27k1 Täysi

Vartiointipalvelut kiinteistöissä

Critical
High
Normal
Low

Organisaation toimitiloja sekä laitteiden käyttöympäristöjä suojataan aktiivisesti vartioinnilla.

11.1.1: Fyysinen turva-alue
ISO27 Täysi
PR.AC-2: Physical access control
NIST
DE.CM-2: The physical environment monitoring
NIST
FYY-07.6: Turva-alue - tunkeutumisen ilmaisujärjestelmät - TL III
Julkri
7.1: Fyysiset turva-alueet
ISO27k1 Täysi

Luvattomaan tunkeutumiseen vastaamisen harjoittelu

Critical
High
Normal
Low

Organisaation on toteutettava säännöllisesti harjoituksia, joissa testataan luvattoman tunkeutumisen havaitsemista sekä toimintatapoja luvattomaan tunkeutumiseen vastaamiseksi.

Pääsynvalvonta datakeskuksen ulkokehällä

Critical
High
Normal
Low

Organisaation on käytettävä pääsynvalvonnan tekniikoita datakeskuksen ulkokehällä. Pääsynvalvonta voi koostua mm. hälytysjärjestelmistä, valvontalaitteista (mm. liiketunnistimet, kamerat) sekä valvontaa suorittavasta henkilöstöstä.

Pääsynvalvonnan on ulotuttava kaikille sisääntulo- ja poistumispisteille luvattoman sisääntulon ja poistumisen havaitsemiseksi.

Pääsynhallinta turva-alueille

Critical
High
Normal
Low

Organisaation on sallittava ainoastaan ennalta hyväksytyn henkilöstön pääsy turva-alueille.

Kaikkien sisään- ja ulosmenopisteiden on oltava oletuksellisesti estettyjä, dokumentoituja sekä valvottuja pääsynhallintajärjestelmien toimesta.

Kaikesta kulusta turva-alueille on kerryttävä lokia ja organisaation on määriteltävä, kuinka pitkään lokeja säilytetään.

PR.AC-2: Physical access to assets is managed and protected.
CyFun

Ohjeistukset toimintaan luottamuksellisen tiedon käsittelyalueilla

Critical
High
Normal
Low

Organisaatio on määritellyt luottamuksellisen tiedon käsittelyalueet sekä toimintasäännöt, joita noudatetaan kaikessa luottamuksellisen tiedon käsittelyalueilla tapahtuvassa toiminnassa.

Toimintasäännöissä tulisi harkita seuraavien seikkojen huomiointia:

  • säännöistä ja liittyvistä alueista tiedotetaan ainoastaan henkilöstöä, jolle tieto on relevanttia
  • valvomaton työ alueilla minimoidaan
  • alueet ovat fyysisesti lukittuja ja ne tarkastetaan säännöllisesti
  • valtuuttamattomien tallennuslaitteiden (mm. puhelimet, videokamerat) kieltäminen
  • päätelaitteiden kuljettamisen valvominen
  • hätätilanneohjeiden julkaiseminen helposti saatavilla olevalla tavalla
7.6: Turva-alueilla työskentely
ISO27k1 Täysi
42: Turvallisuusalueiden määrittely
Kokonaiskuva (DVV)
11.1.5: Turva-alueilla työskentely
ISO27 Täysi
SEC-05: Remote access user authentication
Cyber Essentials
6.9: Fyysinen turvallisuus osana tietojärjestelmien käyttöympäristön turvallisuutta
Tietoturvasuunnitelma

Fyysisen pääsyn jatkuva valvonta kriittisiin tiloihin

Critical
High
Normal
Low

Pääsyä kriittisiä järjestelmiä sisältäviin rakennuksiin tulee valvoa jatkuvasti luvattoman pääsyn tai epäilyttävän toiminnan havaitsemiseksi. Valvontakäytännöissä tulisi huomioida seuraavat asiat:

  • tunkeutumishälytyksen aiheuttavat kosketus-, ääni- tai liiketunnistimet
  • ulko-ovien ja ikkunoiden peitto tunnistimia käyttämällä
  • henkilöstöttömien sekä muuten tärkeiden (mm. palvelin- tai viestintäteknologia) tilojen valvonta 
  • hälytysjärjestelmien säännöllinen testaus

Valvontajärjestelmiin liittyvien tietojen tulee olla luottamuksellisia, koska tietojen paljastaminen voi helpottaa havaitsemattomia murtoja. Valvontajärjestelmät itsessään tulee myös suojata asiallisesti, jottei tallenteisiin tai järjestelmän tilaan pääse vaikuttamaan luvatta.

7.4: Fyysisen turvallisuuden valvonta
ISO27k1 Täysi
ARCHITECTURE-3: Implement IT and OT Asset Security as an Element of the Cybersecurity Architecture
C2M2: MIL1
I-17: TURVALLISUUSLUOKITELTUJEN SÄHKÖISESSÄ MUODOSSA OLEVIEN TIETOJEN KÄSITTELY FYYSISESTI SUOJATTUJEN ALUEIDEN SISÄLLÄ - FYYSINEN TURVALLISUUS
Katakri 2020
Article 9b: Prevention
DORA
DE.CM-1: The network is monitored to detect potential cybersecurity events.
CyFun

Hajasäteilyn (TEMPEST) vastatoimet (TL I)

Critical
High
Normal
Low

Turvallisuusluokan I tietojen suojaamisessa tulee huomioida turvallisuusluokan II tiedoista eroavat riskit ja suhteutettava nämä toteutettaviin turvatoimiin. Hajasäteilyä ja siltä suojautumisen periaatteita on kuvattu yksityiskohtaisemmin Kyberturvallisuuskeskuksen hajasäteilyltä suojautumisen ohjeessa.

TEK-15.2: Hajasäteily (TEMPEST) ja elektroninen tiedustelu - TL I
Julkri
I-14: MONITASOINEN SUOJAAMINEN – HAJASÄTEILY (TEMPEST) JA ELEKTRONINEN TIEDUSTELU
Katakri 2020

Hajasäteilyn (TEMPEST) vastatoimet ja riittävyyden toteaminen (TL II)

Critical
High
Normal
Low

On toteutettu turvatoimet hajasäteilyn kautta mahdollistuvien tietovuotojen estämiseksi, jotka on mitoitettu riskeihin ja tiedon turvallisuusluokkaan. Kohteen toimien riittävyys voidaan todentaa vyöhykemittauksella tai suojatun tilan mittauksella.

TEK-15.1: Hajasäteily (TEMPEST) ja elektroninen tiedustelu - TL II
Julkri
I-14: MONITASOINEN SUOJAAMINEN – HAJASÄTEILY (TEMPEST) JA ELEKTRONINEN TIEDUSTELU
Katakri 2020

Hajasäteilyn (TEMPEST) vastatoimet (TL III)

Critical
High
Normal
Low

Hajasäteily voi mahdollistaa tahattomia sähkömagneettisia tietovuotoja. Organisaatio on tunnistanut ja arvioinut hajasäteilyyn liittyvät riskit. Turvatoimet tai korvaavat menettelyt on mitoitettu riskeihin, tiedon turvallisuusluokkaan ja hyväksyttävään jäännösriskitasoon.

TEMPEST-turvatoimet on suhteutettava tiedon hyväksikäytön riskiin ja turvallisuusluokkaan. Käsiteltäessä turvallisuusluokan III tai II tietoja sähköisesti, on pidettävä huolta, että elektroniseen tiedusteluun liittyviä riskejä on pienennetty riittävästi.

TEK-15: Hajasäteily (TEMPEST) ja elektroninen tiedustelu - TL III
Julkri
I-14: MONITASOINEN SUOJAAMINEN – HAJASÄTEILY (TEMPEST) JA ELEKTRONINEN TIEDUSTELU
Katakri 2020

Fyysisen turvallisuuden tavoitteet

Critical
High
Normal
Low

Fyysisten turvatoimien yksi tavoite on estää luvaton pääsy turvallisuusluokiteltuun tietoon. Tämä toteutetaan:

  • varmistamalla TL-tiedon asianmukainen käsittely ja säilytys
  • mahdollistamalla TL-tietoihin pääsy vain tiedonsaantitarpeen ja turvallisuuselvitysten perusteella
  • luvattoimien toimien ehkäisyllä, estämisellä ja havaitsemisella
  • estämällä tunkeutuminen tai viivyttämällä sitä
F-01: Fyysisten turvatoimien tavoite
Katakri 2020

Toimintoja tukevan omaisuuden hallinnointi

Critical
High
Normal
Low

Organisaation on määriteltävä ja täytettävä vaatimukset, jotka koskevat tukevan tieto-omaisuuden hallintaa, jotta voidaan varmistaa niiden asianmukainen käsittely koko niiden elinkaaren ajan.

Tukevan tieto-omaisuuden käsittelyä koskevat menettelyt, joihin voi sisältyä esimerkiksi seuraavia näkökohtia:

  • kuljetus
  • varastointi
  • korjaus
  • palauttaminen
  • hävittäminen

Nämä menettelyt olisi määriteltävä selkeästi, jotta voidaan varmistaa, että kaikkea tukevaa omaisuutta hallinnoidaan tavalla, joka säilyttää sen eheyden ja turvallisuuden.

Tukipalvelujen työntekijöiden rajattu pääsy tiloihin ja sen tarkkailu

Critical
High
Normal
Low

Ulkopuolisten tukipalvelujen työntekijöille, kuten huoltotyötä tai siivousta toteuttaville henkiköille, myönnetään pääsyoikeudet vain niille välttämättömille turva-alueille ja luottamuksellisiin tietojenkäsittelypalveluihin, joihin heillä on tarve. Ulkopuolisten tukipalvelujen työntekijöiden pääsyoikeuksia tarkastellaan säännöllisesti.

F04: Kulkuoikeuksien hallinta
Katakri
11.1.2: Kulunvalvonta
ISO27 Täysi
FYY-03: Tiedon käsittely
Julkri
7.2: Kulunvalvonta
ISO27k1 Täysi
CC6.4: Physical access control to facilities and protected information assets
SOC 2

Kameravalvonta kiinteistöissä

Critical
High
Normal
Low

Turvallisuushenkilöstö käyttää kameravalvontaa luvattoman pääsyn, sabotaasin tai muiten hälytysten todentamiseksi organisaation toimitiloissa.

11.1.1: Fyysinen turva-alue
ISO27 Täysi
PR.AC-2: Physical access control
NIST
DE.CM-2: The physical environment monitoring
NIST
7.1: Fyysiset turva-alueet
ISO27k1 Täysi
7.4: Fyysisen turvallisuuden valvonta
ISO27k1 Täysi