Siirrettävien tietovälineiden ollessa tärkeässä osassa organisaation toiminnassa, ollaan määritelty tarkempia sääntöjä siirrettävien tietovälineiden ja niiden sisältämän tiedon turvaamiselle.
Digiturvamalli sisältää raporttikirjaston, josta löytyvät omat raporttipohjat jokaiselle vaatimuskehikolle.
Olipa kuulijana oma johto, viranomainen, auditoija tai asiakas, saat tarvittavan raportin muodostettua yhdellä klikkauksella.
Tehtävälistat sisältävät digiturvan ydinasiat. Päätä, mitkä tehtävät teillä hoidetaan ja kuka vastaa. Näet vaaditut tehtävät suoraan valitun vaatimuskehikon perusteella, ja voit halutessasi täydentää listaa omilla.
Lue lisää tietoturvatehtävistäKohdista ohjeet kaikilla tai vain relevanteille yksiköille. Saat ehdotuksia suoraan valitun vaatimuskehikon perusteella ja voit lisätä omat ohjeenne.
Työntekijöille ohjeet jaellaan Teams-botin kautta. Botti ei myöskään anna lukemisen unohtua.
Digiturvamalli sisältää älykkäät mallipohjat mm. järjestelmien, henkilötietojen ja riskien dokumentointiin. Et turhaan kirjoita tai piirrä, vaan klikkailet linkittäen tietoja, jolloin automaattinen raportointi mahdollistuu.
Lue lisää dokumentoinnistaKlikkaa itsesi yksittäisen vaatimuksen näkymään nähdäksesi kaikki kohtaan liittyvät sisällöt.
Kun tietoja lähetetään esim. posti-, lähetti- tai kuljetuspalvelujen kautta, paperidokumentit tai tietovälineet voivat kuljettamisen aikana altistua luvattomalle käytölle, väärinkäytölle tai vääristymiselle.
Kuljetusten turvaamiseksi organisaatio on määritellyt toimintatavat:
Siirrettäviä tietovälineitä ovat mm. flash-muistit, SD-muistit, siirrettävät tallennusasemat, USB-tikut ja DVD-levyt.
Organisaatio on määritelly, minkä siirrettävien tietovälineiden käyttö on sallittua.
Tarpeettomat tietovälineet olisi hävitettävä turvallisella, toimialalla yleisesti hyväksytyllä, tavalla (esimerkiksi polttamalla, silppuamalla tai pyyhkimällä) muodollisten menettelyjen mukaisesti. Turvallista hävittämistä edellyttävät tietovälineet on merkitty selkeästi.
Prosessin mukaisesti hävitettyjen tietojen ei tule olla palautettavissa edes rikosteknisin keinoin.
Siirrettäviä tietovälineitä on säilytettävä kassakaapissa, muussa lukillisessa kaapissa tai muussa turvallinen huonekalussa. Niitä ei saa olla lojumassa ympäri toimistoa.
Turvallisuusluokan I sähköisessä muodossa olevan tiedon tuhoamisessa voidaan hyödyntää "VM 2021:5 Suositus turvallisuusluokiteltavien asiakirjojen käsittelystä" koottuja turvallisuusluokan II silppukokoja, mikäli suojausta täydennetään viranomaisen hyväksymillä menettelyillä. Tällaisia menettelyihin sisältyvät tyypillisesti muun muassa silpun jatkokäsittely valvotusti polttamalla tai sulattamalla.
Tuhoaminen ylikirjoittamalla
Tuhottaessa turvallisuusluokiteltua materiaalia ylikirjoittamalla, suositellaan noudatettavaksi Kyberturvallisuuskeskuksen ohjeen "Kiintolevyjen elinkaaren hallinta" mukaisia vaatimuksia ylikirjoitukselle sekä muistivälineiden uusiokäytölle.
Tuhoaminen silppuamalla
Tuhottaessa turvallisuusluokiteltua materiaalia silppuamalla, noudatetaan suosituksen "VM 2021:5 Suositus turvallisuusluokiteltavien asiakirjojen käsittelystä" mukaisia vaatimuksia kyseisen turvallisuusluokan aineiston silppukoolle.
Turvallisuusluokan II tietoa kuljetettaessa tarvittava tietoturvataso voidaan saavuttaa toteuttamalla aiempien turvallisuusluokkien toimien lisäksi seuraavat toimenpiteet:
Turvallisuusluokan II-III salaamaton tieto on kuljettamista varten pakattava asianmukaisesti sekä kuljetettava se jatkuvan valvonnan alaisuudessa vastaanottajalle. Mainitun tiedon saa kuljettaa vastaanottajalle myös muulla turvallisella tavalla, jolla tiedon luottamuksellisuus ja eheys varmistetaan kyseiselle turvallisuusluokalle riittävällä tavalla.
Turvallisuusluokan III tietoa kuljetettaessa tarvittava tietoturvataso voidaan saavuttaa toteuttamalla aiempien turvallisuusluokkien toimien lisäksi seuraavat toimenpiteet:
Turvallisuusluokan IV tietoa kuljetettaessa tarvittava tietoturvataso voidaan saavuttaa toteuttamalla seuraavat toimenpiteet:
Organisaation on huomioitava henkilöstön salassapidettävien tietojen turvallisen tuhoamisen prosesseissa. Organisaation tulee järjestää henkilöstölle yksikäsitteinen tapa tietojen tuhoamiseen ja ohjeistaa relevanttia henkilöstöä tämän tavan käyttämisessä.
Turvallisuusluokan III tai sitä korkeamman luokan tiedon vastaanottaminen ja lähettäminen tulee kirjata.
Turvallisuusluokan III tietojen ja niitä korkeamman tason tietojen käsittely kirjataan sähköiseen lokiin, tietojärjestelmään, asianhallintajärjestelmään, asiarekisteriin tai tietoon (esimerkiksi dokumentin osaksi).
Kannettavia tallennuslaitteita voivat olla esimerkiksi optiset levyt, DVD-/Bluray-levyt, flash-kortit, USB-tikut, SSD-levyt ja muut ulkoiset kiintolevyt.
Kannettavia tallennuslaitteita ja fyysisiä tietovälineitä, jotka eivät salli tietojen salausta, ei tule käyttää, ellei se ole väistämätöntä.
Kaikki salaamattomien tallennusvälineiden ja laitteiden käyttö tulee dokumentoida selvästi.
Kannettavia tallennuslaitteita voivat olla esimerkiksi optiset levyt, DVD-/Bluray-levyt, flash-kortit, USB-tikut, SSD-levyt ja muut ulkoiset kiintolevyt.
Kannettavia tallennuslaitteita ja fyysisiä tietovälineitä, jotka eivät salli tietojen salausta, ei tule käyttää, ellei se ole väistämätöntä.
Kaikki salaamattomien tallennusvälineiden ja laitteiden käyttö tulee dokumentoida selvästi.
Turvallisuusluokan III tai sitä korkeamman luokan tiedon vastaanottaminen ja lähettäminen tulee kirjata.
Turvallisuusluokan III tietojen ja niitä korkeamman tason tietojen käsittely kirjataan sähköiseen lokiin, tietojärjestelmään, asianhallintajärjestelmään, asiarekisteriin tai tietoon (esimerkiksi dokumentin osaksi).
Organisaation on huomioitava henkilöstön salassapidettävien tietojen turvallisen tuhoamisen prosesseissa. Organisaation tulee järjestää henkilöstölle yksikäsitteinen tapa tietojen tuhoamiseen ja ohjeistaa relevanttia henkilöstöä tämän tavan käyttämisessä.
Turvallisuusluokan IV tietoa kuljetettaessa tarvittava tietoturvataso voidaan saavuttaa toteuttamalla seuraavat toimenpiteet:
Turvallisuusluokan II-III salaamaton tieto on kuljettamista varten pakattava asianmukaisesti sekä kuljetettava se jatkuvan valvonnan alaisuudessa vastaanottajalle. Mainitun tiedon saa kuljettaa vastaanottajalle myös muulla turvallisella tavalla, jolla tiedon luottamuksellisuus ja eheys varmistetaan kyseiselle turvallisuusluokalle riittävällä tavalla.
Turvallisuusluokan III tietoa kuljetettaessa tarvittava tietoturvataso voidaan saavuttaa toteuttamalla aiempien turvallisuusluokkien toimien lisäksi seuraavat toimenpiteet:
Turvallisuusluokan II tietoa kuljetettaessa tarvittava tietoturvataso voidaan saavuttaa toteuttamalla aiempien turvallisuusluokkien toimien lisäksi seuraavat toimenpiteet:
Tuhoaminen ylikirjoittamalla
Tuhottaessa turvallisuusluokiteltua materiaalia ylikirjoittamalla, suositellaan noudatettavaksi Kyberturvallisuuskeskuksen ohjeen "Kiintolevyjen elinkaaren hallinta" mukaisia vaatimuksia ylikirjoitukselle sekä muistivälineiden uusiokäytölle.
Tuhoaminen silppuamalla
Tuhottaessa turvallisuusluokiteltua materiaalia silppuamalla, noudatetaan suosituksen "VM 2021:5 Suositus turvallisuusluokiteltavien asiakirjojen käsittelystä" mukaisia vaatimuksia kyseisen turvallisuusluokan aineiston silppukoolle.
Tiedon tuhoamisen saa suorittaa vain henkilö, jonka viranomainen on tähän tehtävään määrännyt. Valmisteluvaiheen versiot voi tuhota ne laatinut henkilö.
Turvallisuusluokan I sähköisessä muodossa olevan tiedon tuhoamisessa voidaan hyödyntää "VM 2021:5 Suositus turvallisuusluokiteltavien asiakirjojen käsittelystä" koottuja turvallisuusluokan II silppukokoja, mikäli suojausta täydennetään viranomaisen hyväksymillä menettelyillä. Tällaisia menettelyihin sisältyvät tyypillisesti muun muassa silpun jatkokäsittely valvotusti polttamalla tai sulattamalla.
Siirrettäviä tietovälineitä on säilytettävä kassakaapissa, muussa lukillisessa kaapissa tai muussa turvallinen huonekalussa. Niitä ei saa olla lojumassa ympäri toimistoa.
Tarpeettomat tietovälineet olisi hävitettävä turvallisella, toimialalla yleisesti hyväksytyllä, tavalla (esimerkiksi polttamalla, silppuamalla tai pyyhkimällä) muodollisten menettelyjen mukaisesti. Turvallista hävittämistä edellyttävät tietovälineet on merkitty selkeästi.
Prosessin mukaisesti hävitettyjen tietojen ei tule olla palautettavissa edes rikosteknisin keinoin.
Siirrettäviä tietovälineitä ovat mm. flash-muistit, SD-muistit, siirrettävät tallennusasemat, USB-tikut ja DVD-levyt.
Organisaatio on määritelly, minkä siirrettävien tietovälineiden käyttö on sallittua.
Kun tietoja lähetetään esim. posti-, lähetti- tai kuljetuspalvelujen kautta, paperidokumentit tai tietovälineet voivat kuljettamisen aikana altistua luvattomalle käytölle, väärinkäytölle tai vääristymiselle.
Kuljetusten turvaamiseksi organisaatio on määritellyt toimintatavat:
Siirrettävien tietovälineiden ollessa tärkeässä osassa organisaation toiminnassa, ollaan määritelty tarkempia sääntöjä siirrettävien tietovälineiden ja niiden sisältämän tiedon turvaamiselle.