Ilmainen e-kirja: NIS2 haltuun hyödyntäen ISO 27001 -käytäntöjä
Lataa e-kirja

Tutustu tehtävään liittyviin vaatimuskehikkoihin tarkemmin

13 §
TiHL

Tiedonhallintalaki

14.1.1
ISO27 Täysi

ISO 27001 (2013): Täysi

14.1.2
ISO27 Täysi

ISO 27001 (2013): Täysi

14.2.5
ISO27 Täysi

ISO 27001 (2013): Täysi

2.1.1
NSM ICT-SP

NSM ICT Security Principles (Norway)

2.1.2
NSM ICT-SP

NSM ICT Security Principles (Norway)

21.2.e
NIS2

NIS2-direktiivi

4.2
TiHL: Tietoturva

TiHL: Suositus tietoturvan vähimmäisvaatimuksista

5.3.1
TISAX

TISAX: Information security

51
Kokonaiskuva (DVV)

Digiturvan kokonaiskuvapalvelu (DVV)

52
Kokonaiskuva (DVV)

Digiturvan kokonaiskuvapalvelu (DVV)

53
Kokonaiskuva (DVV)

Digiturvan kokonaiskuvapalvelu (DVV)

8.26
ISO27k1 Täysi

ISO 27001 (2022): Täysi

9.3 §
KyberTL

Kyberturvallisuuslaki (NIS2)

HAL-16
Julkri

Julkri: TL IV-I

I13
Katakri

Katakri 2015

PR.DS-6
NIST

NIST Cybersecurity Framework

PR.DS-6
CyFun

CyberFundamentals (Belgia)

TEK-14
Julkri

Julkri: TL IV-I

Muita saman teeman digiturvatehtäviä

Järjestelmien hankintaa ja valintaa koskevat yleiset säännöt

Critical
High
Normal
Low

Aina hankittaessa uusia tietojärjestelmiä noudatetaan ennalta määriteltyä hankintaprosessia ja -sääntöjä. Sääntöjen avulla varmistetaan, että toimittaja pystyy takaamaan riittävän turvallisuustason järjestelmän tärkeys huomioiden.

14.1.1: Tietoturvavaatimusten analysointi ja määrittely
ISO27 Täysi
13 §: Tietoaineistojen ja tietojärjestelmien tietoturvallisuus
TiHL
HAL-16: Hankintojen turvallisuus
Julkri
5.23: Pilvipalvelujen tietoturvallisuus
ISO27k1 Täysi
52: Tietoturva- ja tietousojavaatimukset hankintavaatimuksissa
Kokonaiskuva (DVV)

Hankitun järjestelmän koodin tarkistettavuus (ST III-II)

Critical
High
Normal
Low

Kaikki hankitun palvelun/sovelluksen/järjestelmän turvallisuuteen oleellisesti vaikuttava koodi on tarkastettavissa (esim. mahdolliset takaportit, turvattomat toteutukset).

I13: Ohjelmistoilla toteutettavat pääsynhallintatoteutukset
Katakri

Tietojärjestelmien kehittämistä ja hankintaa koskevat turvallisuussäännöt

Critical
High
Normal
Low

Aina hankittaessa tai kehitettäessä uusia tietojärjestelmiä noudatetaan ennalta määritettyjä turvallisuussääntöjä huomioiden järjestelmän prioriteetti. Sääntöjen avulla varmistetaan, että tietojen käsittelyn turvallisuus järjestelmässä on varmistettu riittävin toimenpitein.

14.1.1: Tietoturvavaatimusten analysointi ja määrittely
ISO27 Täysi
14.1.2: Sovelluspalveluiden suojaaminen julkisissa verkoissa
ISO27 Täysi
14.2.5: Turvallisen järjestelmäsuunnittelun periaatteet
ISO27 Täysi
13 §: Tietoaineistojen ja tietojärjestelmien tietoturvallisuus
TiHL
I13: Ohjelmistoilla toteutettavat pääsynhallintatoteutukset
Katakri

Kriteerit korkean prioriteetin tietojärjestelmien toimittajille

Critical
High
Normal
Low

Organisaatio on määritellyt tärkeiltä kumppaneilta vaaditut sertifioinnit tai noudatettavat standardit. Yleisesti tunnistettuja digiturvaan liittyviä standardeja ovat mm.:

  • ISO 27001 (tietoturvan hallintajärjestelmä)
  • SOC2 (yleinen tietoturva, kutsutaan myös SSAE 16)
  • ISO 27701 (tietosuojan hallintajärjestelmä)
  • ISO 27017 (digiturva pilvipalveluissa) tai ISO 27018 (tietosuoja pilvipalveluissa)
  • muita suosittuja mm. NIST (yleinen), CSA (pilviohjelmistot), PCI DSS (korttimaksaminen)

Esimerkiksi kumppanilta vaadittava sertifiointi voi tehostaa omaa kumppanihallintaa ja toimia hyvänä todisteena kumppanin tietystä tietoturva- tai tietosuojatasosta.

14.1.1: Tietoturvavaatimusten analysointi ja määrittely
ISO27 Täysi
15.1.1: Toimittajasuhteiden tietoturvapolitiikka
ISO27 Täysi
15.2.1: Toimittajien palvelujen seuranta ja katselmointi
ISO27 Täysi
ID.SC-1: Cyber supply chain
NIST
ID.SC-4: Audit suppliers and third-party partners
NIST

Pilvipalveluiden tarjoamista koskevien sopimusehtojen kattavuus

Critical
High
Normal
Low

Pilvipalvelun tarjoajan ja organisaation välisen sopimuksen tulee sisältää vaatimukset organisaation tietojen suojaamisesta ja palvelujen saatavuudesta mm. seuraavilla tavoilla:

  • ratkaisun tarjoaminen alalla yleisesti hyväksyttyihin arkkitehtuuri- ja infrastruktuuristandardeihin perustuen
  • käyttöoikeuksien hallinta organisaation vaatimusten täyttämiseksi
  • haittaohjelmien valvonta- ja suojaratkaisujen toteuttaminen
  • organisaation arkaluonteisten tietojen käsittely ja säilytys hyväksytyissä sijainneissa (esim. tietty maa tai lainsäädäntöalue)
  • tuen tarjoaminen tietoturvahäiriön sattuessa
  • organisaation tietoturvavaatimusten täyttymisen varmistaminen myös alihankintaketjuissa
  • tuen tarjoaminen digitaalisten todisteiden keräämisessä
  • riittävän tuen tarjoaminen, kun organisaatio haluaa päättää palvelun käytön
  • vaadittu varmuuskopiointi ja varmuuskopioiden turvallinen hallinta soveltuvin osin
  • organisaation omistamien tietojen (mahdollisesti esim. lähdekoodin, palveluun täytetyn / muodostuneen datan) palauttaminen pyydettäessä tai palvelun päättyessä
  • ilmoitusvaatimukset merkittäviin muutoksiin (kuten infrastruktuuriin, tärkeisiin ominaisuuksiin, tiedon sijaintiin tai alihankkijoiden käyttöön) liittyen
5.23: Pilvipalvelujen tietoturvallisuus
ISO27k1 Täysi
21.2.e: Secure system acquisition and development
NIS2

IoT-laitteiden hankintaa koskevat yleiset säännöt

Critical
High
Normal
Low

Hanki vain sellaisia IoT-laitteita, joissa on sisäänrakennetut turvatoiminnot ja jotka saavat tietoturvapäivityksiä.

On myös tärkeää varmistaa, että kaikki vakiosalasanat on mahdollista vaihtaa ja että IoT-laitteet voidaan pakottaa käyttämään vain sellaisia verkkoja, jotka ovat organisaation hallinnassa.

2.3.10: Reduce the risk posed by IoT devices
NSM ICT-SP

Järjestelmäportfolion hallinta ja ennakoiva suunnittelu

Critical
High
Normal
Low

Määrätietoinen järjestelmäportfolion hallinta tarkoittaa selkeää kuvaa organisaation järjestelmäkokonaisuudesta, eri järjestelmien hyödyistä ja tulevista tarpeista.

Järjestelmäportfolion hallinnalla pyritään saavuttamaan mm.:

  • tehokkuushyötyjä ymmärtämällä kokonaisuus ja esim. integraatioiden mahdollisuudet
  • poistamaan päällekkäisyyksiä
  • säästämään turhissa lisenssikustannuksissa
  • hallitsemaan toimittajien määrää
  • helpottamaan henkilöstön ohjeistamista
14.1.1: Tietoturvavaatimusten analysointi ja määrittely
ISO27 Täysi
CC8.1: Change management procedures
SOC 2

Tärkeiden järjestelmätoimittajien käsittelysopimusten erillinen analysointi

Critical
High
Normal
Low

Käsittelysopimuksella sidotaan henkilötietojen käsittelijän (kuten järjestelmätoimittajan) tekemisiä.

Meille voi olla tärkeää vastuuttaa tärkeää kumppania haluamallamme tasolla huolehtimaan mm. käytön valvonnasta (lokituksista) sekä tietojen palauttamisesta sopimuksen päättyessä haluamiemme toimintatapojen mukaan.

28. Henkilötietojen käsittelijä
GDPR
14.1.1: Tietoturvavaatimusten analysointi ja määrittely
ISO27 Täysi
15.1.2: Toimittajasopimusten turvallisuus
ISO27 Täysi
HAL-16.1: Hankintojen turvallisuus - sopimukset
Julkri
TSU-04.1: Henkilötietojen käsittelijä - Sopimukset
Julkri

Järjestelmäkuvauksen vaatiminen hankittavien tärkeiden tietojärjestelmien toimittajilta

Critical
High
Normal
Low

Organisaation on varmistettava jo ennakolta, että hankittavat tietojärjestelmät ovat tietoturvallisia. Tämän varmistamiseksi tärkeä hankittavan tietojärjestelmän toimittajalta on vaadittava riittäviä turvallisuuteen liittyviä selvityksiä jo hankintavaiheessa.

Toimittajan tulee selvittää vähintään seuraavat:

  • Palvelusta on järjestelmäkuvaus. Palveluntarjoajan kuvauksen perusteella on pystyttävä arvioimaan kyseisen palvelun yleistä soveltuvuutta kyseiseen asiakkaan käyttötapaukseen. Järjestelmäkuvauksesta tulee käydä ilmi vähintään
  • Palvelun palvelu- ja toteutusmallit, sekä näihin liittyvät palvelutasosopimukset (Service Level Agreements, SLAs).
  • Palvelun tarjoamisen elinkaaren (kehittäminen, käyttö, käytöstä poisto) periaatteet, menettelyt ja turvatoimet, valvontatoimet mukaan lukien.
  • Palvelun kehittämisessä, ylläpidossa/hallinnassa ja käytössä käytettävän infrastruktuurin, verkon ja järjestelmäkomponenttien kuvaus.
  • Muutostenhallinnan periaatteet ja käytännöt, erityisesti turvallisuuteen vaikuttavien muutosten käsittelyprosessit.
  • Käsittelyprosessit merkittäville normaalikäytöstä poikkeaville tapahtumille, esimerkiksi toimintatavat merkittävissä järjestelmävikaantumisissa.
  • Palvelun tarjoamiseen ja käyttöön liittyvät roolit ja vastuunjako asiakkaan ja palveluntarjoajan välillä. Kuvauksesta on käytävä selvästi esille ne toimet, jotka kuuluvat asiakkaan vastuulle palvelun turvallisuuden varmistamisessa. Palveluntarjoajan vastuisiin tulee sisältyä yhteistyövelvollisuus erityisesti poikkeamatilanteiden selvittelyssä.
  • Alihankkijoille siirretyt tai ulkoistetut toiminnot.
HAL-16: Hankintojen turvallisuus
Julkri
21.2.e: Secure system acquisition and development
NIS2
2.1.1: Include security in the organisation’s procurement process
NSM ICT-SP
2.1.10: Review the service provider’s security when outsourcing
NSM ICT-SP