.png)
Merkittävien häiriliden sattuessa organisaation on ilmoitettava niistä kansallisessa DORA:n asetuksessa määritellyille viranomaisille. Merkittävien häiriöiden ilmoituksen tulee sisältää:
Jos tapahtumalla on vaikutusta asiakkaiden taloudellisiin etuihin, heille on ilmoitettava mahdollisimman pian tarvittavilla toimenpiteillä tilanteen lieventämiseksi. Kyberuhkien sattuessa asiakkaille tulee ilmoittaa, jos he saattavat vaikuttaa heihin suojatoimenpiteistä, joita heidän tulisi harkita.
Asianomaiset toimivaltaiset viranomaiset määritellään DORA:n 46 artiklassa
Viranomaisen on viipymättä tiedotettava niille, jotka hyödyntävät sen tietoaineistoja, jos viranoman tietojenhallintaan kohdistuu häiriö, joka estää tai uhkaa estää tietoaineistojen saatavuuden. Tiedotuksessa on annettava seuraavat tiedot:
a) Häiriön tai sen uhan arvioitu kesto.
b) Mahdolliset korvaavat tavat hyödyntää viranomaisen tietoaineistoja, jos sellaisia on.
c) Häiriön tai uhan päättyessä.
Viranomaisen on noudatettava digitaalisten palvelujen ja muiden sähköisten tiedonsiirtomenetelmien käyttökatkoista tiedottamisesta yleisölle annettuja ohjeita, kuten ne on säädetty digitaalisten palvelujen tarjoamisesta annetun lain (306/2019) 4 §:n 2 momentissa.
Organisaatio ilmoittaa ilman viivästystä lainsäädännössä määritellylle viranomaiselle (CSIRT) merkittävästi palveluidensa tarjontaan vaikuttaneista häiriöistä.
Häiriö on merkittävä, kun vähintään toinen seuraavista toteutuu:
Ilmoitukset on tehtävä vaiheittain allaolevien kuvausten mukaisesti. Lisäksi häiriön ollessa käynnissä organisaation on toimitettava viranomaisen pyytämät statuspäivitykset.
Aikainen varoitus (viimeistään 24h kuluessa häiriön havaitsemisesta)
Tarkempi häiriöilmoitus (viimeistään 72h kuluessa häiriön havaitsemisesta)
Lopullinen raportti (viimeistään 1kk kuluessa häiriöilmoituksesta)
Häiriöiden ilmoittamiseen ylläpidetään prosessia, joka auttaa henkilöstöä ilmoittamaan häiriöistä tehokkaasti ja johdonmukaisesti.
Häiriönä ilmoitettavia asioita ovat mm.:
Henkilöstön ohjeissa korostetaan velvollisuutta raportoida tietoturvahäiriöistä mahdollisimman pian sovitun prosessin mukaisesti. Ohjeistus kuvaa myös muun toiminnan häiriön tapauksessa (mm. virheilmoitusten ja muiden yksityiskohtien kirjaaminen ylös).
Organisaatio huolehtii siitä, että häiriöhallintaan on nimetty selkeät vastuuhenkilöt, jotka vastaavat esimerkiksi häiriöiden ensimmäisen tason käsittelystä.
Häiriöiden hallinnasta vastaavia henkilöitä on ohjeistettava ja koulutettava, jotta he ymmärtävät organisaation prioriteetit tietoturvahäiriöiden käsittelyssä.
Kaikki tietoturvahäiriöt käsitellään johdonmukaisesti, jotta tietoturvaa voidaan parantaa tapahtuneen perusteella.
Häiriöiden käsittelyprosessissa:
Operators providing trusted services must inform the authority designated by the Government as soon as possible of a incident that have significantly affected the provision of its services.
A disturbance is significant when at least one of the following occurs:
Notifications are to be done step by step according to the descriptions below. In addition, while the disruption is ongoing, the organization must submit an interim report with relevant status updates at the request of the authority.
Initial notification of incident (at the latest within 24 hours of detecting the disruption)
More detailed report of incident (at the latest within 24 hours of detecting the disruption)
Final report (at the latest within 1 month of the incident report)
Organisaation olisi määriteltävä turvallisuuden valvonnasta ja havaitsemisesta vastaavan henkilöstön erityiset pätevyysvaatimukset. Tämä koskee sekä sisäisiä työntekijöitä että ulkoistettuja kumppaneita. Vaadittavaan tietämykseen olisi sisällyttävä ymmärrys suojattavista järjestelmistä, odotettavissa olevista uhkista sekä organisaation hallinto- ja raportointimenettelyistä.
Organisaation olisi otettava käyttöön ennakoiva havaitsemisprosessi, jonka avulla voidaan tunnistaa haitallista tai epäilyttävää toimintaa, joka saattaa ohittaa tavanomaiset tietoturvatyökalut. Prosessissa olisi määriteltävä, miten uhkatiedustelu ja käyttäytymisanalyysi ohjaavat tutkimuksia, mitä työkaluja ja tietolähteitä käytetään ja miten havainnot dokumentoidaan ja miten niitä käytetään turvavalvonnan parantamiseen.
Organisaatiolla on oltava virallinen menettely havaittujen haavoittuvuuksien raportoimiseksi kansalliselle koordinointielimelle CERT.PT:lle. Ilmoitus on tehtävä ilman aiheetonta viivytystä sen jälkeen, kun organisaation omissa verkoissa, järjestelmissä tai sen käyttämissä tieto- ja viestintäteknisissä tuotteissa ja palveluissa on havaittu haavoittuvuus.
Menettelyssä olisi määriteltävä roolit ja vastuualueet haavoittuvuusilmoituksen tunnistamista, dokumentointia ja toimittamista varten, jotta varmistetaan, että se käsitellään nopeasti ja ohjataan oikealle viranomaiselle.
Organisaation on laadittava, ylläpidettävä ja toimitettava ennakoivasti vuotuinen turvallisuusselvitys, jossa esitetään yhteenveto kaikista olennaisista turvallisuustoimista ja vaaratilanteita koskevista tiedoista kultakin kalenterivuodelta. Kyberturvallisuusvastaavan on allekirjoitettava raportti ja toimitettava se toimivaltaiselle kyberturvallisuusviranomaiselle määritellyn aikataulun mukaisesti.
Vuotuisessa tietoturvaraportissa olisi annettava selkeä yleiskuva organisaation tietoturvatilanteesta ja vaaratilanteiden kehityssuunnista, mukaan lukien vähintään seuraavat tiedot:
Vuotuinen turvallisuusselvitys on toimitettava vuosittain tammikuun viimeiseen työpäivään mennessä.
Lisäksi on oltava käytössä menettely CNCS:n virallisten tietopyyntöjen käsittelemiseksi. Tähän sisältyy:
Organisaation on laadittava menettely CERT.PT:lle lähetettyihin haavoittuvuusraportteihin liittyvien tietojen hallinnoimiseksi ja varmistettava niiden luottamuksellisuus ja oikea-aikainen poistaminen.
Käytössä on oltava prosessi, jolla seurataan raportoitujen haavoittuvuuksien tilaa. Kaikki tiettyyn haavoittuvuusilmoitukseen liittyvät tiedot on poistettava turvallisesti 10 päivän kuluessa siitä, kun on vahvistettu, että haavoittuvuus on korjattu.
Organisaatio ilmoittaa viranomaiselle (CNCS) ilman aiheetonta viivytystä kaikista tapahtumista, joilla on merkittävä vaikutus sen palvelujen tarjoamiseen ("merkittävä tapahtuma").
Merkittävällä vaaratilanteella tarkoitetaan tapausta, jossa tapahtuu vähintään yksi seuraavista:
Ilmoitukset on tehtävä vaiheittain alla olevien kuvausten mukaisesti.
Ensimmäinen ilmoitus (viimeistään 24 tunnin kuluessa häiriön havaitsemisesta).
Ilmoitus vaikutuksen päättymisestä(24 tunnin kuluessa vaikutuksen päättymisestä).
Loppuraportti (viimeistään 1 kuukauden kuluessa alkuperäisestä raportista).
Välikertomukset (jos pyydetään)
Jos tapahtuma jatkuu loppuraportin määräajan jälkeen, CNCS:lle on pyydettäessä toimitettava viikoittaiset väliraportit. Kunkin raportin on sisällettävä seuraavat tiedot
Ilmoitukset on toimitettava sähköisesti CNCS:n tarjoaman alustan kautta.
Organisaation olisi nimettävä yhteyspiste, joka vastaanottaa ja kirjaa raportit tietoturvaloukkauksista ja haavoittuvuuksista. Tämä voi olla tietty henkilö, rooli tai erityinen viestintäkanava, kuten sähköpostiosoite. Raportointiprosessista ja yhteystiedoista olisi tiedotettava selkeästi koko henkilöstölle.
Organisaation on varmistettava yhteys viestintäjärjestelmään, joka mahdollistaa nopean raportoinnin ja ratkaisun kyberturvallisuuspoikkeamista. Tähän sisältyy menettelyjen luominen sisäistä ja ulkoista vaaratilanteiden raportointia varten sekä teknisen ja organisatorisen integraation varmistaminen kansalliseen tai alakohtaiseen ennakkovaroitusjärjestelmään.
Yhteyden on mahdollistettava oikea-aikainen tiedonvaihto uhkista ja vaaratilanteista, tuettava nopean toiminnan koordinointia ja oltava yhdenmukainen kansallisten kyberturvallisuusviranomaisten vaatimusten kanssa.
Organisaation olisi varmistettava, että kaikki tietotekniikkatapahtumiin liittyvät olennaiset tiedot ja asiakirjat, jotka eivät sisälly lopulliseen 5 jakson mukaiseen raporttiin, kerätään ja säilytetään järjestelmällisesti. Näin organisaatio voi helposti toimittaa lisätietoja Ruotsin siviilivalmiusvirastolle sen pyynnöstä.
Organisaation olisi laadittava ja dokumentoitava prosessi, jonka avulla se vastaanottaa, arvioi ja vastaa Ruotsin siviiliolojen valmiusviraston pyyntöihin, jotka koskevat 5 jakson mukaisesti toimitettuihin tietotekniikkatapahtumaraportteihin liittyviä lisätietoja. Prosessissa olisi määriteltävä roolit, vastuut ja vastausaikataulut.
Organisaation olisi laadittava ja dokumentoitava prosessi, jolla ilmoitetaan viipymättä Ruotsin siviilivalmiusvirastolle (MSB) tietotekniikkatapahtumista, joihin sovelletaan ilmoitusvelvollisuutta. Prosessilla on varmistettava, että yleinen kuvaus vaaratilanteesta toimitetaan viimeistään kuuden tunnin kuluessa siitä, kun organisaatio on todennut vaaratilanteen raportointikelpoiseksi, MSB:n nimeämiä yhteyskanavia käyttäen.
Viranomainen ilmoittaa viipymättä lainsäädännössä määritellyille asianomaisille tahoille häiriöistä, jotka ovat vaikuttaneet merkittävästi sen palvelujen tarjoamiseen.
Häiriö on merkittävä, kun vähintään yksi seuraavista tapahtuu:
Ilmoitukset on tehtävä vaiheittain alla olevien kuvausten mukaisesti. Lisäksi viranomaisen on häiriön ollessa käynnissä toimitettava asianomaisten osapuolten pyytämät tilapäivitykset.
Ensimmäinen ilmoitus (viimeistään 6 tunnin kuluttua ilmoitusvelvollisuuden toteamisesta).
Varhaisvaroitus (viimeistään 24 tunnin kuluessa häiriön havaitsemisesta).
Yksityiskohtaisempi ilmoitus häiriöstä ( viimeistään 72 tunnin kuluessa häiriön havaitsemisesta).
Loppuraportti (viimeistään 1 kuukauden kuluessa häiriöilmoituksen tekemisestä).
Organisaation olisi luotava ja ylläpidettävä dokumentoitua häiriöraportointiprosessia, jonka avulla maakuntahallitukselle voidaan ilmoittaa ajoissa merkittävistä palveluhäiriöistä. Prosessin avulla olisi varmistettava, että kriittiset toimijat ilmoittavat kaikista tapahtumista, jotka aiheuttavat tai saattavat aiheuttaa merkittävän häiriön keskeisille palveluille. Ilmoitukset olisi tehtävä ilman tarpeetonta viivytystä tai kahdenkymmenenneljän tunnin kuluessa siitä, kun häiriöstä on saatu tieto, ellei se ole toiminnallisesti mahdotonta. Prosessissa on myös varmistettava, että yksityiskohtainen seurantaraportti toimitetaan kuukauden kuluessa, jos lisätietoja tarvitaan.
Prosessiin on sisällytettävä arviointiperusteet sen määrittämiseksi, onko häiriö merkittävä. Siihen olisi sisällyttävä häiriön kohteena olevien käyttäjien määrä ja osuus, häiriön kesto ja maantieteellinen alue, johon häiriö vaikuttaa. Raportoinnin työnkulussa on varmistettava, että jokainen raportti sisältää kaikki tarvittavat tiedot, jotta lääninhallitus voi ymmärtää häiriön luonteen, syyn, seuraukset ja mahdolliset rajat ylittävät vaikutukset.
The organization informs the Provincial Government without delay about disturbances that have significantly affected the provision of its services. A disturbance is significant when at least one of the following occurs:
Notifications are to be done step by step according to the descriptions below. In addition, while the disruption is ongoing, the organization must deliver the status updates requested by the authority.
Early warning (at the latest within 24 hours of detecting the disruption)
More detailed notification of disruption (within 72 hours of the disruption at the latest detection)
Final report (at the latest within 1 month of the incident report)
Organisaation olisi luotava ja ylläpidettävä tarpeettomia tai vaihtoehtoisia viestintäkanavia sen varmistamiseksi, että kriittinen viestintä pysyy saatavilla turvallisuusrikkomusten, haavoittuvuuksien tai uhkien aikana. Tähän sisältyy viestintäinfrastruktuurin häiriönsietokyvyn arviointi ja toimenpiteiden toteuttaminen häiriöiden estämiseksi.
Organisaation olisi testattava vuosittain kaikkien häiriötilanteisiin vastaamiseen tarkoitettujen teknisten laitteiden ja järjestelmien toimivuus. Tähän sisältyy vaihtoehtoisten viestintämenetelmien testaaminen ja viestintäkanavien teknisen valvonnan ja käytettävyyden varmistaminen sen varmistamiseksi, että kriittiset viestintäkanavat pysyvät toiminnassa ja turvallisina, vaikka ensisijaiset järjestelmät vaarantuisivat tai eivät olisi käytettävissä.
Organisaation olisi määriteltävä ja ylläpidettävä vaaratilanteiden torjuntaryhmää, jolla on selkeästi määritellyt roolit ja vastuualueet. Tämän ryhmän on kyettävä lähettämään riittävästi henkilöstöä ja teknistä apua kaikkina vuorokauden aikoina (24/7) organisaation varautumissuunnitelmien ja kunkin häiriötilanteen erityistarpeiden mukaisesti. Tällä valmiudella varmistetaan, että organisaatio voi ylläpitää tai palauttaa palvelunsa nopeasti minkä tahansa tietoturvaloukkauksen jälkeen.
Organisaation on laadittava, dokumentoitava ja ylläpidettävä vaaratilanteista ilmoittamista koskeva menettely, jolla varmistetaan oikea-aikainen ja tehokas yhteydenpito palvelujen vastaanottajiin. Menettelyssä on edellytettävä välitöntä sisäistä raportointia ja sen jälkeistä ilmoittamista palvelun vastaanottajille ilman aiheetonta viivytystä, kun merkittävä tapahtuma todennäköisesti vaikuttaa kielteisesti palvelujen tarjoamiseen.
Menettelyllä on varmistettava, että ilmoituksen sisältö on kattava ja että se sisältää vähintään seuraavat tiedot siinä määrin kuin ne ovat saatavilla:
Organisaation on viipymättä ilmoitettava Tanskan energiavirastolle häiriöistä, jotka ovat vaikuttaneet merkittävästi sen palvelujen tarjoamiseen. CSIRT:lle on ilmoitettava myös, jos häiriö vaarantaa verkko- ja tietojärjestelmien turvallisuuden, ja Energinetille on ilmoitettava sähkö-, kaasu- ja vetyalaan vaikuttavista häiriöistä.
Kaikki ilmoitukset on tehtävä toimivaltaisen viranomaisen nimeämän digitaalisen ratkaisun kautta. Erityisesti tietoverkkoihin liittyvien vaaratilanteiden on noudatettava CSIRT:n määrittelemää prosessia, kun taas kaikkien muiden merkittävien vaaratilanteiden on noudatettava Tanskan energiaviraston määrittämää prosessia.
Häiriö on merkittävä, kun vähintään yksi seuraavista tapahtuu:
Ilmoitukset on tehtävä vaiheittain alla olevien kuvausten mukaisesti. Lisäksi organisaation on häiriön ollessa käynnissä toimitettava viranomaisen pyytämä alustava raportti asiaankuuluvista tilapäivityksistä.
Varhainen varoitus (viimeistään 24 tunnin kuluessa häiriön havaitsemisesta).
Häiriön tilailmoitus (viimeistään 72 tunnin kuluessa häiriön havaitsemisesta).
Loppuraportti (viimeistään 1 kuukauden kuluessa häiriöilmoituksen tekemisestä).
Organisaation olisi laadittava selkeä menettely tiettyjen turvallisuuspoikkeamien ilmoittamiseksi viranomaisille. Menettelyssä olisi täsmennettävä, että maalla tai merellä tapahtuvista tapauksista, joihin liittyy epäilty tai tiedossa oleva murto, varkaus, sabotaasi tai vakoilu, ilmoitetaan asianmukaisille viranomaisille (esim. poliisille). Menettelyssä olisi myös määriteltävä, kuka on vastuussa ilmoittamisesta.
Organisaation olisi luotava ja ylläpidettävä viisivuotista suunnittelusykliä kyberturvallisuusharjoitusten toteuttamista varten. Suunnitelmalla varmistetaan, että häiriötilanteisiin reagointi- ja jatkuvuusvalmiuksia testataan säännöllisesti. Se olisi päivitettävä vähintään vuosittain tai merkittävien muutosten jälkeen.
Suunnitelmassa olisi määriteltävä kunkin harjoituksen aikataulu, harjoitustyypit (esim. tablettiharjoitukset, toiminnalliset harjoitukset), laajuus, tavoitteet ja osallistujat, jotta varmistetaan kattava testaus viiden vuoden aikana. Harjoitusten olisi katettava ainakin seuraavat keskeiset aiheet:
Organisaation tulisi myös laatia harjoituksista virallinen harjoitusten arviointiraportti. Tässä raportissa on kuvattava harjoituksen koulutetut osat, harjoituksen kulku, saadut kokemukset, asiaankuuluvat oppimiskohteet ja suunnitellut jatkotoimet aikatauluineen ja sisäisine vastuunjakoineen.
Organisaation olisi laadittava ja dokumentoitava menettely tietoturvaloukkauksista ilmoittamiseksi asiaankuuluville ulkoisille osapuolille. Menettelyssä olisi määriteltävä selkeästi edellytykset, joiden täyttyessä raportointi on tarpeen, ja sen olisi oltava oikeudellisten ja sopimusvelvoitteiden mukainen. Siinä olisi myös määriteltävä vastuulliset roolit, viranomaiset tai osapuolet, joille on ilmoitettava, sekä vaaditut raportointiaikataulut ja varmistettava, että kaikkia sovellettavia vaatimuksia noudatetaan.
Organisaation olisi luotava virallinen prosessi, jonka avulla kyberturvallisuustietoja, kuten järjestelmävikoja, tietokoneviruksia tai verkkohyökkäyksiä, voidaan julkaista yleisölle. Prosessin avulla on varmistettava, että kaikki tällaiset julkistamiset tehdään asiaankuuluvien valtion säännösten mukaisesti. Prosessissa olisi määriteltävä julkistamisen kriteerit, vaadittavat sisäiset hyväksynnät ja viralliset viestintäkanavat.
The organization shall establish and maintain a formal complaint and reporting system for network information security. This system must:
Organisaation olisi otettava käyttöön prosessi, joka mahdollistaa turvallisuuteen liittyvien vaaratilanteiden ja havaintojen luottamuksellisen tai nimettömän raportoinnin. Prosessissa on varmistettava, että ilmoittajan henkilöllisyys on suojattu kostotoimien estämiseksi ja raportoinnin kannustamiseksi. Organisaation olisi myös määriteltävä, miten ilmoittajan tietojen luottamuksellisuus säilytetään koko vaaratilanteen käsittelyprosessin ajan.
The organization shall establish and maintain processes to ensure that no electronic information or application software distributed, hosted, or made available through its platforms contains malware or prohibited content under applicable laws and regulations.
Organisaation olisi luotava prosessi, jonka avulla se voi vapaaehtoisesti toimittaa riskinarvioinnin tuloksia ja käytettyjä teknologioita koskevat tiedot toimivaltaiselle CSIRT MON:lle, CSIRT NASK:lle, CSIRT GOV:lle tai alakohtaiselle CSIRT:lle. Prosessilla olisi varmistettava, että tiedot toimitetaan sähköisesti 46 artiklan 1 kohdassa tarkoitetun tieto- ja viestintätekniikkajärjestelmän kautta tai muita käytettävissä olevia viestintävälineitä käyttäen, jos sähköinen siirto ei ole mahdollista.
Lisäksi organisaation on varmistettava, että toimitettuihin tietoihin sisältyvät oikeudellisesti suojatut salaisuudet, mukaan lukien liikesalaisuudet, merkitään selvästi luottamuksellisuuden säilyttämiseksi.
Organisaation olisi varmistettava, että suuronnettomuuksia koskevat ennakkovaroitusilmoitukset sisältävät ilmoittavan yksikön täydelliset tiedot, kuten yrityksen nimen, rekisterinumeron, kotipaikan ja osoitteen. Sen on myös ilmoitettava sekä ilmoituksen tekevän henkilön että selitysten antamiseen valtuutetun henkilön etu- ja sukunimi, yrityspuhelinnumero ja yrityssähköpostiosoite. Lisäksi ilmoituksessa on mainittava suuronnettomuuden tapahtuma-aika, havaitsemisajankohta ja kesto.
Organisaation olisi vahvistettava menettelyt, joilla se voi pyytää lieventämistoimenpiteitä koskevia ohjeita tai teknistä lisätukea alakohtaiselta CSIRT:ltä suuronnettomuuden aikana. Kaikki tiedossa olevat tiedot on annettava ilmoitusta tehtäessä ja niitä on täydennettävä vaaratilanteen käsittelyn edetessä. On myös otettava käyttöön menettelyt, joilla tunnistetaan ja välitetään oikeudellisesti suojattuja salaisuuksia, mukaan lukien liikesalaisuudet, toimivaltaiselle CSIRT:lle, kun se on tarpeen sen tehtävien hoitamiseksi, ja joissa tällaiset tiedot merkitään selvästi. Organisaation olisi myös oltava valmis täydentämään tietoja CSIRT:n pyynnöstä.
Organisaation on pantava täytäntöön kansallisen kyberturvallisuusviranomaisen tai muun toimivaltaisen elimen määräämät reaktiiviset kyberturvallisuustoimenpiteet. Näillä toimenpiteillä voidaan pyrkiä seuraaviin tavoitteisiin:
Organisaation on pantava toimenpiteet täytäntöön määritellyn laajuuden ja aikataulun puitteissa, ellei viranomainen toisin määrää. Reaktiivisten toimenpiteiden toteuttamisen jälkeen organisaation on ilmoitettava viranomaiselle toteutuksesta ja sen tuloksista ilman aiheetonta viivytystä tai viranomaisen asettamassa määräajassa.
Organisaation olisi säännöllisesti tarkistettava ja päivitettävä omaisuutensa määriteltyä soveltamisalaa. Tähän prosessiin olisi kuuluttava sellaisten ensisijaisten omaisuuserien kirjaaminen, jotka on nimenomaisesti jätetty soveltamisalan ulkopuolelle, sekä selkeät perustelut kullekin poissulkemiselle.
The organization informs the authority defined in the legislation (CSIRT / National CERT / Office) without delay about cybersecurity incidents that have significantly affected the provision of its services or the state’s cyberspace.
A cybersecurity incident is significant when at least one of the following occurs:
Notifications are to be done step by step according to the descriptions below. In addition, while the incident is ongoing, the organization must deliver the status updates requested by the authority.
Initial notification (without undue delay, no later than 72 hours of discovering the incident; 24 hours for regulated trust service providers under EU law)
Progress report (at the request of the Office or the National CERT)
Final report (no later than 30 days from the initial notification)
If the incident is still ongoing after 30 days, a progress report is submitted instead. The final report must then be provided no later than 30 days after the resolution of the incident.
Organisaation on luotava ja ylläpidettävä selkeitä menettelyjä, joilla kyberturvallisuuteen liittyvistä vaaratilanteista ilmoitetaan asianomaisille kansallisille viranomaisille, kuten Tšekin tasavallan kansalliselle kyber- ja tietoturvavirastolle (NUKIB), kuten kyberturvallisuuslaissa säädetään.
Näissä menettelyissä on määriteltävä ensisijaiset ja vaihtoehtoiset viestintäkanavat:
Häiriötilanteiden hallintaan ja raportointiin osallistuva henkilöstö on koulutettava näihin menettelyihin ja viestintäkanavien oikeaan käyttöön, jotta voidaan varmistaa oikea-aikainen ja sääntöjenmukainen raportointi.
Organisaation on määriteltävä kynnys sille, milloin tietoturvaloukkaus on tietoturvaloukkaus. Kynnysarvon olisi keskityttävä tapauksiin, jotka ovat peräisin kyberavaruudesta ja joissa tahallisia virheitä ei voida sulkea pois.
Organisaation olisi laadittava dokumentoitu menettely, jolla vaarantuneet järjestelmät eristetään tietoturvaloukkauksen aikana. Näin varmistetaan nopea reagointi, jolla estetään vaaratilanteen leviäminen koko verkkoon. Menettelyssä olisi määriteltävä kriteerit sille, milloin järjestelmä on eristettävä, ja tekniset toimenpiteet, kuten laitteen irrottaminen verkosta tai sen liikenteen estäminen palomuurissa.
The organization informs the Competent Authority (Úřad) without delay about cybersecurity incidents affecting the provision of its regulated services, have their origin in cyberspace, and for which intentional fault cannot be ruled out within the defined reporting period.
A disturbance is significant when at least one of the following occurs:
Notifications are to be done step by step according to the descriptions below. While the disturbance is ongoing, the organization must deliver the status updates requested by the Authority.
Early Warning (at the latest within 24 hours of detecting the disturbance)More detailed notification of disruption (at the latest within 72 hours of the disturbance detection)
Final report (at the latest within 1 month of the incident report):
Jos organisaatio saa tietoonsa aktiivisesti hyödynnettyn haavoittuvuuden tuotteessa, jossa on digitaalisia elementtejä, sen on ilmoitettava siitä koordinoivalle CSIRT:lle ja ENISAlle. Valmistajan on ilmoitettava aktiivisesti hyödynnettävästä haavoittuvuudesta 16 artiklan mukaisesti perustetun yhtenäisen raportointialustan
kautta.Haavoittuvuusilmoitus on tehtävä ilman aiheetonta viivytystä, joka tapauksessa 72 tunnin kuluessa siitä, kun valmistaja on saanut siitä tiedon. Haavoittuvuusilmoituksen on sisällettävä ainakin seuraavat tiedot:
Haavoittuvuusilmoituksen lisäksi valmistajan on toimitettava loppuraportti, joka sisältää ainakin seuraavat tiedot:
Organisaatiolla on dokumentoitu prosessi tietoturvahäiriöiden (myös tietoturvaloukkaukset) hallintaa varten havaitsemisesta lopulliseen ratkaisuun. Prosessissa otetaan huomioon kaikki tarvittavat näkökohdat, kuten viestintä asiaankuuluvien sidosryhmien kanssa, ilmoitusvaatimukset ja tekniset lieventämistoimet. Organisaatiolla on tekniset ja organisatoriset resurssit, jotta se voi reagoida asianmukaisesti tietoturvahäiriöihin ja loukkauksiin.
Organisaation on raportoitava kaikista merkittävistä häiriöistä, jotka vaikuttavat digitaalisia osia sisältävän tuotteen turvallisuuteen, koordinoivalle CSIRT:lle ja ENISAlle. Valmistajan on raportoitava vaaratilanteesta 16 artiklan mukaisesti perustetun yhteisen raportointialustan kautta
.Vakavasta häiriöstä, jolla on vaikutusta digitaalisia elementtejä sisältävän tuotteen turvallisuuteen, on annettavaennakkovaroitus ilman aiheetonta viivytystä ja viimeistään 24 tunnin kuluessa siitä, kun valmistaja on saanut siitä tiedon, mukaan lukien ainakin tieto siitä, epäilläänkö vaaratilanteen johtuvan laittomista tai ilkivaltaisista toimista, sekä tarvittaessa tieto siitä, minkä jäsenvaltion alueella heidän tuotteensa on asetettu saataville.
Häiriöstä on ilmoitettava ilman aiheetonta viivytystä ja viimeistään 72 tunnin kuluessa siitä, kun valmistaja on saanut siitä tiedon. Häiriöilmoituksen on sisällettävä ainakin seuraavat tiedot:
Häiriöilmoituksen lisäksi valmistajan on toimitettava loppuraportti, joka sisältää ainakin seuraavat tiedot:
Häiriötilanteiden torjuntasuunnitelmasta on tiedotettava vastaavasti kaikille suunnitelman kannalta merkityksellisille sidosryhmille. Näin varmistetaan, että kaikki sidosryhmät tietävät suunnitelmasta, ymmärtävät sen merkityksen ja ovat valmiita toimimaan nopeasti häiriötilanteessa. Suunnitelmasta voidaan tiedottaa samanaikaisesti suunnitelman dokumentoinnin kanssa tai erikseen.
Organisaatio testaa säännöllisesti tieto- ja viestintätekniikan toiminnan jatkuvuussuunnitelmiaan käyttäen realistisia ja vakavia häiriöskenaarioita arvioidakseen, voidaanko kriittiset tai tärkeät toiminnot säilyttää ja palauttaa.
Testauksen on oltava:
Näiden testien tulokset on dokumentoitava, ja kaikki havaitut heikkoudet on analysoitava ja raportoitava johtoelimelle korjaamista varten.
Organisaation on määriteltävä selkeät kriteerit sille, milloin havaitut poikkeamat johtavat virallisiin häiriötilanteiden torjuntatoimiin. Näihin laukaiseviin tekijöihin olisi sisällyttävä:
Nämä säännöt on dokumentoitava, automatisoitava mahdollisuuksien mukaan ja integroitava häiriötilanteiden toimintaohjeisiin ja havaitsemisjärjestelmiin.
Poikkeavuuksien havaitsemisjärjestelmien tuottamat hälytykset. Tähän kuuluu sääntöjen asettaminen seuraaville:
käyttää kontekstia, kuten esim:
Hälytysten priorisoinnilla varmistetaan oikea-aikainen ja oikeasuhteinen reagointi ja vähennetään hälytysväsymystä. Priorisointisääntöjä olisi tarkistettava ja hienosäädettävä säännöllisesti.
The organization must establish, implement, and maintain comprehensive written policies and procedures to ensure full compliance with the HIPAA Breach Notification Rule. These policies and procedures must detail the steps for identifying, assessing, and responding to potential breaches of unsecured protected health information (PHI), including the timelines and methods for notifying affected individuals, the Secretary of Health and Human Services (HHS), and, where applicable, prominent media outlets.
These procedures must also address:
Furthermore, the organization must create and maintain thorough documentation for a minimum of six years, evidencing its adherence to these policies and procedures. This documentation must include, but is not limited to:
Organisaatio ymmärtää ja hyväksyy, että sillä on todistustaakka osoittaa Yhdysvaltain terveysministeriölle (HHS), että kaikki vaaditut tietoturvaloukkauksia koskevat ilmoitukset on tehty tai että tietty suojattujen terveystietojen (PHI) käyttö tai luovutus ei muodostanut tietoturvaloukkausta. Siksi huolellinen ja tarkka kirjanpito on ensiarvoisen tärkeää. Työntekijöille on annettava asianmukaista koulutusta näistä vaatimuksista ja heidän henkilökohtaisista vastuistaan tietoturvaloukkauksista ilmoittamisessa.
Organisaation olisi määriteltävä ja pantava täytäntöön virallinen prosessi, jolla tiedotus- ja viestintäkeskukselle ilmoitetaan välittömästi. Prosessi on aktivoitava, kun tapahtuu tapahtuma, jonka katsotaan todennäköisesti uhkaavan elintärkeän infrastruktuurin turvallisuutta.
Menettelyssä olisi määriteltävä selkeästi kriteerit sille, mikä on ilmoitettava tapahtuma, roolit ja vastuut ilmoituksen käynnistämiseksi sekä nimetyt viestintäkanavat ja keskuksen yhteystiedot.
Organisaation on varmistettava, että sen vaaratilanteisiin reagointiprosessi on valmis käsittelemään haavoittuvuusraportteja, jotka kansallinen kyberturvallisuuspoikkeamien käsittelyryhmä (CSIRT) lähettää.
Tällainen tilanne syntyy, jos kolmas osapuoli ilmoittaa vakavasta vaaratilanteesta tai aktiivisesti hyödynnetystä haavoittuvuudesta jossakin organisaation tuotteessa suoraan viranomaisille. CSIRT on tällöin velvollinen ilmoittamaan asiasta organisaatiolle ilman aiheetonta viivytystä.
Organisaation sisäisen prosessin on kyettävä tehokkaasti vastaanottamaan, validoimaan ja käynnistämään vastaus näihin erittäin tärkeisiin ilmoituksiin.
The organization must ensure that its internal CSIRT or external CSIRT service provider complies with all operational, technical, and service-related requirements set by national cybersecurity legislation.
Organisaation on varmistettava, että kaikki tietoturvan vaaratilanteet, joista on Romanian lainsäädännön mukaan pakko raportoida, toimitetaan kansallisen kyberturvallisuuspoikkeamien raportointifoorumin (PNRISC) kautta tietoturvaa ja kyberpuolustusta koskevan lain nro 58/2023 20 artiklan mukaisesti:
Organisaatio ilmoittaa viranomaiselle ilman aiheetonta viivytystä kaikista tapahtumista, joilla on merkittävä vaikutus sen palvelujen tarjoamiseen ("merkittävä tapahtuma"). Viranomainen välittää ilmoituksen saatuaan sen kansalliselle CSIRT-tietokannalle.
Merkittävällä vaaratilanteella tarkoitetaan vaaratilannetta, jossa tapahtuu vähintään yksi seuraavista:Ilmoitukset on tehtävä vaiheittain alla olevien kuvausten mukaisesti.
Varhainen varoitus (viimeistään 6 tunnin kuluessa siitä, kun merkittävästä häiriöstä on saatu tieto).Organisaation olisi laadittava selkeät menettelyt tietojen vaihtamiseksi kansallisten kyberturvallisuusviranomaisten kanssa.
Näihin menettelyihin olisi sisällyttävä:
Organisaation olisi laadittava selkeä prosessi, jolla täydennetään viranomaisille tehtävää alkuperäistä verkkohyökkäysilmoitusta. Prosessilla on varmistettava, että puuttuvat tiedot toimitetaan 14 päivän määräajassa.
Siinä olisi myös määriteltävä toimet, joihin on ryhdyttävä, jos vaadittuja tietoja ei ole vielä saatavilla tämän ajanjakson jälkeen, ja myös se, miten tästä ilmoitetaan virallisesti viranomaisille.
Organisaation olisi määriteltävä ja dokumentoitava menettely, jolla verkkohyökkäyksistä ilmoitetaan viranomaisille. Näin varmistetaan, että kaikki lakisääteiset tiedot kerätään ja raportoidaan ajoissa ja oikein.
Menettelyssä olisi määriteltävä, miten seuraavat tiedot kerätään ja jäsennetään:
Organisaation olisi laadittava selkeät sisäiset ohjeet sellaisten verkkohyökkäysten tunnistamiseksi, joista on ilmoitettava viranomaisille. Näissä ohjeissa olisi täsmennettävä, että tapahtuma on raportoitava, jos se täyttää yhden tai useamman seuraavista kriteereistä:
Organisaation olisi määriteltävä selkeä prosessi vuorovaikutusta varten BACS:n (Federal Office for Cybersecurity) suojatun viestintäjärjestelmän kanssa. Näin varmistetaan, että uhkatiedot saadaan nopeasti ja että organisaatio voi täyttää tiedonjakovelvoitteensa.
Prosessissa olisi määriteltävä:
Organisaatio ilmoittaa viipymättä kansalliselle turvallisuusviranomaiselle häiriöistä, jotka ovat vaikuttaneet merkittävästi sen palvelujen tarjoamiseen.
Häiriö on merkittävä, kun vähintään yksi seuraavista tapahtuu:
Ilmoitukset on tehtävä vaiheittain alla olevien kuvausten mukaisesti. Lisäksi organisaation on häiriön ollessa käynnissä toimitettava viranomaisen pyytämät tilapäivitykset.
Varhainen varoitus (viimeistään 24 tunnin kuluessa häiriön havaitsemisesta).
Yksityiskohtaisempi ilmoitus häiriöstä ( viimeistään 72 tunnin kuluessa häiriön havaitsemisesta).
Loppuraportti (viimeistään 1 kuukauden kuluessa häiriöilmoituksen tekemisestä).
Organisaation on otettava käyttöön ja ylläpidettävä dokumentoitua prosessia turvallisuuteen liittyvien vaaratilanteiden raportointia, hallintaa ja niistä oppimista varten sekä suojatun turvallisuustilanteen jatkuvaa seurantaa varten.
Prosessilla on varmistettava turvatoimien jatkuva valvonta, jotta voidaan varmistaa, että ne pysyvät tehokkaina kehittyviä uhkia ja toiminnallisia muutoksia vastaan. Siinä on myös annettava selkeät ja helposti saatavilla olevat ohjeet koko henkilöstölle vaaratilanteiden käsittelystä. Dokumentoidussa prosessissa on määriteltävä vähintään seuraavat seikat:
Organisaation olisi laadittava ja dokumentoitava selkeä menettely yhteisön turvallisuusvirastolle ilmoittamista varten. Näin varmistetaan, että ilmoitukset tehdään nopeasti hätätilanteissa. Menettelyssä olisi määriteltävä ilmoituksen laukaisevat tekijät, kuten hätätilavalmiuden aktivointi tai mahdollisen suuronnettomuuden tunnistaminen. Menettelyssä olisi myös määriteltävä, kuka on vastuussa ilmoittamisesta, ja siinä olisi oltava viraston tarvittavat yhteystiedot.
Analysoi organisaatiosi varautumis- ja häiriötilanteiden torjuntasuunnitelmat. Luo selkeä, dokumentoitu määritelmä siitä, mitä tarkoittaa "varautumissuunnitelman aktivointi" ja mitkä erityiset vaaratilanteet "arvioidaan mahdollisesti johtavan varautumistilanteeseen".
Jos on tarpeen tiedottaa yleisölle meneillään olevan merkittävän häiriön estämiseksi tai ratkaisemiseksi tai jos se palvelee yleistä etua, toimivaltainen CSIRT, asianomaiset kansalliset viranomaiset tai asianomaisten EU:n jäsenvaltioiden CSIRT:t voivat asianmukaisia elimiä ja asianomaista yhteisöä kuultuaan tiedottaa yleisölle tai pyytää organisaatiota tekemään niin.
Jos tapaus on vielä kesken, kun loppuraportti pitäisi toimittaa (kuukauden jälkeen), organisaation on toimitettava kuukausittain raportti edistymisestä. Loppuraportti on toimitettava kuukauden kuluessa häiriötilanteen hallinnan päättymisestä.
Organisaatio kehittää erilaisia tapahtumaskenaarioita, suunnittelee säännöllisiä harjoituksia, testaa viestintäkanavia, arvioi päätöksentekoa, simuloi työnkulun toteuttamista, kerää palautetta sekä päivittää reagointiprosesseja.
Organisaatio laatii kattavan häiriötilanteiden torjuntasuunnitelman, jossa hahmotellaan yksityiskohtaiset menettelyt, määritellään roolit ja vastuualueet, sisällytetään vaatimustenmukaisuusvaatimukset, laaditaan viestintäsuunnitelma, johon sisältyy säännöllistä koulutusta, simulaatioita ja häiriötilanteiden jälkeisiä arviointeja.
Organisaation tulisi nimetä ensisijainen henkilö ja varahenkilö, sekä määriteltävä heidän roolinsa ja vastuualueensa. Organisaation tulisi laatia protokollat palveluntarjoajien kanssa työskentelyä varten, tarjottava säännöllistä koulutusta ja otettava käyttöön viestintäsuunnitelma tehokkaan häiriötilanteiden hallinnan varmistamiseksi.
Jos se on tarkoituksenmukaista organisaation tarjoaman palvelun kannalta ja jos tällaisten tietojen paljastaminen ei aiheuta uutta merkittävää tietoturvahäiriön riskiä tai ole muuten ristiriidassa kansallisten turvallisuusetujen kanssa, organisaation olisi ilmoitettava käyttäjilleen viipymättä kaikista merkittävistä häiriöistä, jotka todennäköisesti vaikuttavat kielteisesti kyseisten palvelujen tarjoamiseen.
Häiriö on merkittävä, kun vähintään yksi seuraavista tapahtuu:
Jos merkittävää tietoturvahäiriötä ei ole mahdollista ratkaista kuukauden määräajassa, kohteen on toimitettava toimivaltaiselle tietoturvahäiriöitä ehkäisevälle laitokselle edistymisraportti merkittävän tietoverkkotapahtuman ratkaisemisesta ja loppuraportti sen jälkeen, kun merkittävä tietoturvahäiriö on ratkaistu.
Organisaatio määrittelee kriteerit häiriötilanteiden toipumistoimenpiteiden aloittamiselle. Tapahtunutta häiriötä arvioidaan näiden kriteerien perusteella ja määritetään, onko vaaratilanteen korjaamisprosessi käynnistettävä vähintään näiden toimenpiteiden avulla:
dokumentoidaan päätöksentekoprosessi toipumistoimien käynnistämiseksi ja varmista, että siitä tiedotetaan asiaankuuluville sidosryhmille avoimuuden ja yhdenmukaisuuden varmistamiseksi.
Häiriötilanteessa organisaatio toteuttaa toipumissuunnitelmassaan määritellyt toimenpiteet. Toimenpiteet pannaan täytäntöön ja niistä tiedotetaan yleisölle seuraavasti:
Organisaation olisi selitettävä toimenpiteet, joihin on ryhdytty tapahtumasta toipumiseksi ja tapahtuman toistumisen estämiseksi.
Organisaatio noudattaa dokumentointikäytäntöjä kunkin häiriöiden tutkinta- ja reagointiprosessin osalta:
Organisaation olisi otettava toimittajat ja muut asiaankuuluvat kolmannet osapuolet mukaan häiriöiden hallintaprosessiin ja -suunnitteluun esimerkiksi seuraavin keinoin:
Organisaation olisi laadittava ja ylläpidettävä häiriötilannereagointisuunnitelmia. Reagointisuunnitelmien tulisi sisältää ainakin seuraavat seikat
Häiriötilannereagointisuunnitelmissa olisi määriteltävä aktivointi- ja deaktivointiolosuhteet. Asiakirjojen saatavuus hätätilanteissa on otettava huomioon siten, että niistä on olemassa paikalliset ja fyysiset kopiot.
Tunnista häiriön laajuus ja vaikutus liiketoimintaprosesseihin, jotta voidaan ymmärtää, miten toiminta voi häiriintyä. Tähän arviointiin olisi sisällyttävä perusteellinen arviointi vaikutuksista taustalla oleviin ICT-toimintoihin. Lisäksi olisi tutkittava, miten häiriö vaikuttaa ICT-palveluihin, mukaan lukien pilvipohjaiset sovellukset ja sisäiset järjestelmät, sekä erilaisiin liiketoimintaa tukeviin ICT-järjestelmiin.
Organisaatiolla tulisi olla selkeä prosessi, jolla tapahtumatietoja rikastetaan tehokkaiden vastatoimien varmistamiseksi. Tähän prosessiin olisi kuuluttava tapahtumatietojen jatkuva päivittäminen, tilannetietoisuuden seuranta ja tietojen kerääminen useista eri lähteistä. Tapahtumatietojen rikastaminen auttaa organisaatiota hallitsemaan tapahtumia tehokkaammin.
Organisaation on luotava selkeät prosessit aikajanan laatimiseksi aina, kun häiriö sattuu. Aikatauluun olisi sisällytettävä sekä organisaation toimet että uhkatoimijan toimet. Aikajanan tulisi kattaa:
Tämä auttaa organisaatiota ymmärtämään häiriön koko laajuuden ja parantamaan vastatoimia tulevissa häiriöissä.
Organisaatiolla tulisi olla määritelty ja hyvin dokumentoitu toipumissuunnitelma. Toipumissuunnitelma olisi voitava käynnistää häiriötilanteen aikana tai sen jälkeen. Elvytystoimet ja -toimenpiteet vaihtelevat vaaratilanteesta toiseen, esimerkiksi vaaratilanteen tyyppi voi vaikuttaa toteutettaviin toimiin. Näihin toimiin voivat kuulua:
Organisaation olisi omaksuttava "build back better" -ajattelutapa, kun se rakentaa ICT-järjestelmiä uudelleen. Tämä tarkoittaa, että järjestelmät olisi rakennettava uudelleen parempaan tilaan kuin ne olivat ennen häiriötä.
Organisaatiolla on määritellyt menettelyt, joiden avulla se viestii relevanteille viranomaisille ja osapuolille häiriön sattuessa. Näitä osapuolia ovat esimerkiksi alakohtaiset tietokonehätätilanteiden torjuntaryhmät ja NSM NCSC.
Jos yhteys katkeaa tai verkkojärjestelmissä ilmenee vika, kuten:
Organisaation tulee varmistaa, että sen kriittiset järjestelmät vikaantuvat turvallisesti, jotta lisävahingoilta voidaan välttyä tai pitää ne mahdollisimman pieninä.
Organisaation on laadittava selkeä ja kattava määritelmä siitä, mikä on raportoitava turvallisuustapahtuma tai havainto, ja varmistettava, että se kattaa seuraavat luokat:
Organisaatiolla on oltava määritelty menettely häiriötilanteiden raportointia varten, ja siitä on tiedotettava henkilöstölle:
Organisaatiolla tulee olla selkeät viestintäkanavat tapahtumien raportointia varten:
Organisaation olisi myös harkittava mahdollisuutta ulkoiseen raportointiin. Tämä voi tarkoittaa, että organisaatiolla on järjestelmä, jolla voidaan käsitellä ulkoisten osapuolten raportteja turvallisuustapahtumista, mukaan lukien:
Organisaation olisi myös varmistettava, että häiriötilanteiden raportointimekanismit ja -tiedot ovat helposti kaikkien asianomaisten raportoijien saatavilla, ja otettava käyttöön palautemenettely, jolla turvatapahtumista raportoiville annetaan nopeita vastauksia ja päivityksiä ja jolla varmistetaan, että heille tiedotetaan tuloksista ja tarvittavista jatkotoimista.
Organisaatiolla olisi oltava menettely tietoturvahäriöiden luokittelemiseksi käsittelyn aikana. Häiriö olisi luokiteltava vähintään seuraaviin luokkiin:
Tämän jälkeen vaaratilanne olisi luokiteltava sen vaikutusten perusteella esimerkiksi seuraavasti:
Tämän jälkeen vaaratilanteet olisi asetettava tärkeysjärjestykseen vaaratilanteen vakavuuden perusteella.
Organisaatioiden tulee suorittaa häiriöiden luokittelu ja vaikutustenarviointi seuraavien kriteerien perusteella:
Organisaation tulee osoittaa riittävästi resursseja käyttäjien toiminnan, ICT-ympäristön poikkeavuuksien ja kyberhyökkäysten seurantaan.
Valvomalla organisaation tulee tunnistaa perustoiminnan poikkeamat ja häiriöt.
Häiriöiden hallinnassa on huomioitava myös:
Organisaatiolla tulee olla varmuus siitä, että käsiteltävä tieto tai järjestelmä on suojattu hätä- tai häiriötilanteissa fyysisiltä vahingoilta kuten tulipalot, vesivahingot tai ilkivalta tai luvaton tunkeutuminen sekä sähköisiä menetelmiä käyttäen aiheutetuilta fyysisiltä vahingoilta kuten laitteiden rikkoutuminen. Tietoa tai järjestelmää tulee suojata asianmukaisin, mutta riskiarvioinnin perusteella tarkoituksenmukaisin toimin.
Organisaatiolla tulee olla prosessi tapahtuneen tai epäillyn kansainvälisen turvallisuusluokitellun tiedon vaarantaneen tietoturvapoikkeaman ilmoittamisesta toimivaltaiselle turvallisuusviranomaiselle.
Organisaatiolla tulee olla myös ohjeistus ja menettelytavat turvallisuusluokitellun tiedon vaarantaneiden tietoturvapoikkeamien havaitsemiseen ja tiedottamiseen organisaation sisällä ja kenelle kaikille tietoturvapoikkeamasta tai sen epäilystä tulee ilmoittaa. Lisäksi täytyy olla selvillä millaiset tietoturvapoikkeamasta vaativat yhteydenottoa viranomaisiin.
Turvallisuusluokiteltujen tietojen katsotaan vaarantuneen, kun ne ovat tietoturvatapahtuman seurauksena paljastuneet tai voineet paljastua sivullisille henkilöille. Useat tiedon omistajat (esimerkiksi EU) sekä myös voimassa olevat viranomaishyväksynnät edellyttävät välitöntä ilmoitusta turvallisuusluokitellun tiedon vaarantaneista poikkeamista tai niiden epäilyistä.
Mikäli organisaation tarjoaman palvelun näkökulmasta on tarkoituksenmukaista, organisaatio ilmoittaa ilman viivästystä palveluidensa käyttäjille merkittävistä häiriöistä, jotka todennäköisesti vaikuttavat negatiivisesti kyseisten palveluiden toimittamiseen.
Häiriö on merkittävä, kun vähintään toinen seuraavista toteutuu:
Kun organisaation palveluiden käyttäjät ovat mahdollisesti alttiina merkittävälle tietoturvauhkalle, organisaation on viestittävä tästä heille sisältäen kaikki mahdolliset korjaustoimenpiteet, joita käyttäjät voivat itse toteuttaa suojautuakseen uhkaa vastaan.
Kun viestinnän selkeyden kannalta on tarpeen, organisaation on sisällytettävä viestintäänsä myös yleisempää tietoa liittyvästä tietoturvauhkasta.
Organisaation tulisi määritellä jokaisen tunnistetun kriittisen toiminnon suhteen, kuinka pitkä toimintakatkos siedetään ilman, että organisaation toiminta häiriintyy.
Määrittelyssä on otettava huomioon:
Organisaatiolla on määritellyt seurattavat mittarit, jotka liittyvät tietoturvahäiriöiden hallintaan. Parhaimmillaan hyvät mittarit auttavat havaitsemaan heikkouksia häiriöiden tunnistamiseen liittyen.
Mahdollisia mittareita ovat mm.:
Pilvipalveluita tarjoaessaan organisaatiolla tulee olla suunnitellut prosessit tai menettelyt:
Organisaation on määriteltävä, millaisia tietoturvatapahtumia se seuraa ja millä toimintatavoilla.
Tietoturvatapahtumia tulisi seurata useista eri lähteistä, joiden avulla tärkeä, reagointia vaativat mahdolliset häiriöt voidaan tunnistaa. Tietoa voidaan saada mm. suoraan hallintajärjestelmästä, ulkoisilta kumppaneilta tai organisaation laitteiden tuottamista lokeista.
Esimerkkejä seurattavista tietoturvatapahtumista voivat olla mm.:
Organisaation täytyy määritellä raja, jolloin tietoturvatapahtumasta tulee tietoturvahäiriö.
Havaitsemisprosesseja ja menettelyjä ylläpidetään ja testataan, jotta varmistetaan tietoisuus poikkeavista tapahtumista. Havaitsemistoimien täytyy sopia kaikkiin asiaan liittyviin vaatimuksiin.
Organisaation on otettava keinoja käyttöön, jolla häiriön vaikutus voidaan rajata mahdollisimman pieneen osaan. Keinot tulisivat vastata tehtyjä suunnitelmia ja sisältää häiriön:
Digiturvamallissa kaikki vaatimuskehikkojen vaatimukset kohdistetaan universaaleihin tietoturvatehtäviin, jotta voitte muodostaa yksittäisen suunnitelman, joka täyttää ison kasan vaatimuksia.
.png)
Aloita ilmaiseksi tutussa Microsoft Teams -ympäristössä.
Jos sinulla on kysymyksiä, varaa palaveri sinulle sopivaan ajankohtaan.
.svg)
.svg)
