Ilmainen e-kirja: NIS2 haltuun hyödyntäen ISO 27001 -käytäntöjä
Lataa e-kirja

Tutustu tehtävään liittyviin vaatimuskehikkoihin tarkemmin

76
Kokonaiskuva (DVV)

Digiturvan kokonaiskuvapalvelu (DVV)

Muita saman teeman digiturvatehtäviä

Tietoturvasuunnitelma-raportin luominen ja ylläpito

Critical
High
Normal
Low

Organisaation on luotava ja ylläpidettävä tietoturvasuunnitelmaa.

Asiakastietolain 27 §:n mukaisesti palvelunantajan on laadittava tietoturvaan ja tietosuojaan sekä tietojärjestelmien käyttöön liittyvä tietoturvasuunnitelma.

Tämän määräyksen(MÄÄRÄYS 3/2021) mukaista tietoturvasuunnitelmaa ei tule sisällyttää tai yhdistää julkaistaviin tai julkisesti saatavilla oleviin omavalvontasuunnitelmiin. Tietoturvasuunnitelmaa ja siinä viitattuja liitedokumentteja tulee käsitellä ja säilyttää ottaen huomioon tarvittava suojaaminen sivullisilta ja tarvittaessa niihin tulee merkitä salassa pidettävä -tieto

3: Vastuut tietoturvan sekä asiakastietojen asianmukaisen käsittelyn varmistamisessa
Tietoturvasuunnitelma

Tietoturvallisuuteen liittyvien muiden vaatimusten tunnistaminen, dokumentointi ja hallinta

Critical
High
Normal
Low

Vaadittujen lakien, asetusten, standardien sekä sopimusvelvoitteiden noudattaminen voi olla yhtä suuri haaste, kuin jatkuvasti muuttuvan uhkaympäristön ja uusien kyberhyökkäysten muotojen käsittely.

Organisaation on dokumentoitava tietoturvallisuuteen liittyvät vaatimukset sekä organisaation toimintamalli niiden täyttämistä varten.

On tärkeää huomata, että iso osa vaatimuksista (esim. lait, standardit) ovat kehittyviä kokonaisuuksia. On suositeltavaa määritellä dokumentaatiolle tarkistusväli kuvaamaan sitä, millä frekvenssillä muutoksia vaatimuksissa on vähintään tarkasteltava.

18.1.1: Sovellettavien lakisääteisten ja sopimuksellisten vaatimusten yksilöimiseen
ISO27 Täysi
ID.GV-3: Legal and regulatory requirements
NIST
HAL-05: Vaatimukset
Julkri
5.31: Lainsäädäntöön, asetuksiin, viranomaismääräyksiin ja sopimuksiin sisältyvät vaatimukset
ISO27k1 Täysi
2: Lainsäädäntö ja velvoitteet
Kokonaiskuva (DVV)

Soveltuvuuslausunnon luonti ja täydennys

Critical
High
Normal
Low

Soveltuvuuslausunto (engl. Statement of Applicability tai SoA) on keskeinen dokumentti joka määrittelee, kuinka organisaatio toteuttaa ison osan omasta tietoturvastaan.

Sovelutuvuuslausunto kuvaa, mitkä ISO 27001 -standardin suosittelemista hallintakeinosta organisaatiossa toteutetaan, kuinka ne toteutetaan ja mikä on hallintakeinojen tämänhetkinen tila. Lisäksi kuvataan mahdolliset perustelut tiettyjen hallintakeinojen käyttämättä jättämiselle.

6.1: Tietoturvariskien hallinta
ISO27k1 Täysi
7.5: Dokumentoitua tietoa koskevat vaatimukset
ISO27k1 Täysi
1.2.1: Scope of Information Security management
TISAX

Sisäisten auditointien toteuttaminen ja dokumentointi

Critical
High
Normal
Low

Organisaatio toteuttaa sisäisiä auditointeja oman menettelykuvauksensa mukaisesti. Tavoitteena on tarkistaa:

  • onko tietoturvallisuuden hallintajärjestelmä organisaation omien tietoturvallisuuden hallintajärjestelmää koskevien vaatimusten mukainen
  • onko tietoturvallisuuden hallintajärjestelmä muiden toimintaa koskevien tietoturvavaatimusten tai noudatettujen standardien mukainen
  • onko hallintajärjestelmää toteutettu ja ylläpidetty vaikuttavasti

Auditointien järjestämisestä ja tuloksista on säilytettävä dokumentoitua tietoa.

18.2.1: Tietoturvallisuuden riippumaton katselmointi
ISO27 Täysi
12.7: Tietojärjestelmien auditointinäkökohtia
ISO27 Täysi
12.7.1: Tietojärjestelmien auditointimekanismit
ISO27 Täysi
ID.GV-3: Legal and regulatory requirements
NIST
HAL-07: Seuranta ja valvonta
Julkri

Tietoturvatavoitteiden määrittely ja dokumentointi

Critical
High
Normal
Low

Organisaation johto asettaa tietoturvatavoitteet. Tietoturvatavoitteet täyttävät seuraavat vaatimukset:

  • ne ottavat huomioon soveltuvat tietoturva- ja tietosuojavaatimukset sekä riskien arvioinnin ja käsittelyn tulokset
  • ne viestitään selvästi tietoturvan ja tietosuojan avainhenkilöille, henkilöstölle sekä muille oleellisille sidosryhmille
  • niitä päivitetetään tarvittaessa (esim. riskimaiseman muuttuessa tai määräajoin tavoitteiden täyttyessä)
  • ne on dokumentoitu ja ovat (jos mahdollista) mitattavissa

Tietoturvatavoitteiden dokumentoinnin yhteydessä määritellään lisäksi tarvittavat ylätason toimenpiteet, resurssit, vastuuhenkilöt, aikataulu sekä tavat tulosten arviointiin, jotta tavoitteet saavutetaan.

5.1.1: Tietoturvapolitiikat
ISO27 Täysi
ID.BE-3: Organizational mission, objectives, and activities
NIST
ID.GV-1: Cybersecurity policy
NIST
HAL-01: Periaatteet
Julkri
5.1: Johtajuus ja sitoutuminen
ISO27k1 Täysi

Tietoturvapolitiikka-raportin julkaisu, tiedottaminen ja ylläpito

Critical
High
Normal
Low

Organisaatiolla on ylimmän johdon laatima ja hyväksymä tietoturvapolitiikka. Politiikka sisältää ainakin seuraavat asiat:

  • perustan organisaation tietoturvatavoitteiden asettamiselle
  • sitoutumisen tietoturvallisuutta koskevien vaatimusten täyttämiseen
  • sitoutumisen tietoturvallisuuden hallintajärjestelmän jatkuvaan parantamiseen

Lisäksi tehtävän omistaja varmistaa, että:

  • tietoturvapolitiikka soveltuu organisaation toiminta-ajatukseen
  • politiikka on tiedotettu koko organisaatiolle
  • politiikka on tarvittaessa sidosryhmien saatavilla
T01: Turvallisuusperiaatteet
Katakri
8.1: Toiminnan suunnittelu ja ohjaus
ISO27k1 Täysi
5.1.2: Tietoturvapolitiikkojen katselmointi
ISO27 Täysi
5: Tietoturvapolitiikat
ISO27 Täysi
5.1: Johdon ohjaus tietoturvallisuutta koskevissa asioissa
ISO27 Täysi

Sisäisen auditoinnin menettelykuvaus -raportin julkaisu ja ylläpito

Critical
High
Normal
Low

Organisaatio on määritellyt menettelyn, jonka mukaisesti sisäiset auditoinnit tulee toteuttaa. Menettelykuvaus kuvaa vähintään:

  • kuinka usein auditointeja järjestetään
  • ketkä auditointeja voivat toteuttaa (mm. auditointikriteerit)
  • kuinka varsinainen auditointi toteutetaan
  • kuinka auditoinnin tulokset dokumentoidaan ja kenelle tuloksista raportoidaan
ID.GV-3: Legal and regulatory requirements
NIST
7.5: Dokumentoitua tietoa koskevat vaatimukset
ISO27k1 Täysi
9.2: Sisäinen auditointi
ISO27k1 Täysi
CC1.5: Accountability for responsibilities
SOC 2
Article 5: Governance and organisation
DORA

Tietoturvallisuuden hallintajärjestelmän kuvaus ja ylläpito

Critical
High
Normal
Low

Organisaation on käytettävä, ylläpidettävä ja jatkuvasti kehitettävä tietoturvallisuuden hallintajärjestelmää.

Hallintajärjestelmään liittyvät rajaukset ja soveltamisala, sisällöt, roolitus, kertyvä toteutustieto sekä muu tarpeellinen kuvaustieto on oltava selkeästi dokumentoitu.

6.3: Muutosten suunnittelu
ISO27k1 Täysi
8.1: Toiminnan suunnittelu ja ohjaus
ISO27k1 Täysi
4.1: Organisaation ja sen toimintaympäristön ymmärtäminen
ISO27k1 Täysi
5.1.1: Tietoturvapolitiikat
ISO27 Täysi
PR.AT-5: Physical and cybersecurity personnel
NIST

Hallintajärjestelmän pohjana toimivien vaatimuskehikkojen määrittäminen

Critical
High
Normal
Low

Organisaation tulee määritellä vaatimuskehikot, joita käytetään hallintajärjestelmän pohjana. Vaatimuskehikoilla tulisi saavuuttaa:

Sisäiset raportointitavoitteet:

  • Johdolle päätöksentekoa tukevat raportit
  • Raportoinnin tarkkuus ja yksityiskohdat ei taloudellisiin raportteihin liittyen

Vaatimuksien täyttötavoitteet:

  • Lakien ja asetusten täyttyminen
  • Alatavoitteiden asettaminen, jotta turvallisuuden, saatavuuden, käsittelyn eheyden, luottamuksellisuuden ja yksityisyyden kriteerit tukevat riittävää raportointia, organisaation toimintaa ja vaatimuksenmukaisuuden täyttymistä
CC3.1: Sufficient specifying of objectives
SOC 2

Jatkuva parantaminen ja parannusten dokumentointi

Critical
High
Normal
Low

Organisaation on pyrittävä jatkuvasti parantamaan tietoturvallisuuden hallintajärjestelmän suorituskykyä. Tapoja parantamiseen pyritään löytämään aktiivisesti - ei ainoastaan auditointien tai selkeiden havaittujen poikkeamien kautta.

Tehtävän omistaja vastaa siitä, että hallintajärjestelmään tehdyt parannukset dokumentoidaan ja jaotellaan toteutettaviksi tehtäviksi, tehtävät toteutetaan suunnitelmien mukaisesti ja niillä aikaansaadut vaikutukset arvioidaan.

PR.IP-7: Protection processes
NIST
10.1: Jatkuva parantaminen
ISO27k1 Täysi
CC4.2: Evaluation and communication of internal control deficiencies
SOC 2
21.4: Non-conformities and corrective actions
NIS2
1.5.2: External review of ISMS
TISAX

Tietoturvan hallintajärjestelmän viestintäsuunnitelma

Critical
High
Normal
Low

Organisaation on määritettävä, mistä asioista tietoturvallisuuden hallintajärjestelmään liittyen on säännöllisesti viestittävä. Suunnitelman on sisällettävä vastaukset mm. seuraaviin kohtiin:

  • Mistä asioista viestitään? Nämä voivat olla mm. uusia tai muuttuneita tietoturvatavoitteita.
  • Miten ja milloin viestitään? Mitä kanavia pitkin ja kuinka usein.
  • Kenelle viestitään? Miten useasti tietoturvan avainhenkilöille, miten usein koko organisaatiolle tai kumppaneille.
  • Kuka osallistuu? Kenellä on oikeus viestiä ja keneltä viesteille pitää esimerkiksi saada hyväksyntä.

Tehtävän omistaja huolehtii suunnitelman toteuttamisen ja sen tehokkuuden säännöllisen arvioinnin.

RC.CO-2: Reputation
NIST
5.1: Johtajuus ja sitoutuminen
ISO27k1 Täysi
7.4: Viestintä
ISO27k1 Täysi
20.1: Top management commitment
NIS2
CC2.2: Internal communication of information
SOC 2

Johdon katselmusten toteuttaminen ja dokumentointi

Critical
High
Normal
Low

Ylimmän johdon on katselmoitava organisaation tietoturvallisuuden hallintajärjestelmä suunnitelluin aikavälein varmistaakseen, että se on edelleen soveltuva, asianmukainen ja vaikuttava.

Johdon katselmuksessa on käsiteltävä ja kommentoitava vähintään seuraavien asioiden tilaa:

  • aiempien johdon katselmusten vuoksi käynnistettyjen parannusten (tai muiden toimenpiteiden) tilanne
  • tietoturvallisuuden hallintajärjestelmän kannalta olennaisten tulevat muutokset
  • tietoturvan hallintajärjestelmän suorituskyky (häiriöt, mittarointi, auditointien tulokset ja johdon määrittelemien tietoturvatavoitteiden täyttyminen)
  • sidosryhmien antama palaute tietoturvasta
  • riskien arviointi- ja käsittelyprosessin toiminta

Katselmusten suorittamisesta ja tuloksista on ylläpidettävä dokumentoitua tietoa.

18.1.1: Sovellettavien lakisääteisten ja sopimuksellisten vaatimusten yksilöimiseen
ISO27 Täysi
ID.GV-3: Legal and regulatory requirements
NIST
9.3: Johdon katselmus
ISO27k1 Täysi
12: Digiturvan tilan seuraaminen
Kokonaiskuva (DVV)
13: Digiturvan kokonaistilanteen raportointi
Kokonaiskuva (DVV)

Tietoturvamittarien määrittely ja dokumentointi

Critical
High
Normal
Low

Organisaatio arvioi tietoturvan tasoa ja tietoturvallisuuden hallintajärjestelmän tehokkuutta säännöllisesti.

Organisaatio on määrittänyt:

  • seurattavat mittarit, joilla saadaan vertailtavissa olevia tuloksia tietoturvan kehittymisestä
  • vastuuhenkilöt mittareiden seurannalle
  • tavat, aikataulun ja henkilöt mittareiden katselmointiin ja arviointiin
  • tavat mittareiden ja niihin liittyvien arviointien dokumentointiin

Tehokkaita mittareita tulisi pystyä käyttämään heikkouksien tunnistamiseen, resurssien parempaan kohdistamiseen sekä oman onnistumisen / epäonnistumisen arviointiin.

13 §: Tietoaineistojen ja tietojärjestelmien tietoturvallisuus
TiHL
7.2.1: Johdon vastuut
ISO27 Täysi
HAL-07: Seuranta ja valvonta
Julkri
9.1: Seuranta, mittaus, analysointi ja arviointi
ISO27k1 Täysi
11: Digiturvan mittarien määrittäminen
Kokonaiskuva (DVV)

Henkilöstön yleinen tietoturvapätevyys ja -tietoisuus

Critical
High
Normal
Low

Koko organisaation ohjauksessa toimivan henkilöstön on oltava tietoisia:

  • miten he voivat osaltaan lisätä tietoturvallisuuden hallintajärjestelmän vaikuttavuutta ja millaista hyötyä tietoturvallisuuden tason parantamisesta on
  • seurauksista, joita tietoturvallisuuden hallintajärjestelmää koskevien vaatimusten noudattamatta jättämisellä voi ollaminkä osan henkilöstöstä työ vaikuttaa tietoturvan tasoon

Lisäki johto on määrittänyt tavat, joilla henkilöstö pidetään tietoisina omaan työrooliinsa liittyvistä tietoturvaohjeista.

32. Käsittelyn turvallisuus
GDPR
29. Tietojenkäsittely rekisterinpitäjän ja henkilötietojen käsittelijän alaisuudessa
GDPR
7.2.2: Tietoturvatietoisuus, -opastus ja -koulutus
ISO27 Täysi
7.2.1: Johdon vastuut
ISO27 Täysi
PR.AT-1: Awareness
NIST

Häiriöiden hallinnan resursointi ja seuranta

Critical
High
Normal
Low

Johdon on määriteltävä hallintavastuut ja luotava menettelyt, joilla taataan tehokas ja johdonmukainen reagointi tietoturvahäiriöihin.

Johdon on varmistettava mm.:

  • häiriöiden hallinta on vastuutettu
  • häiriöiden vastaamiseen, käsittelyyn ja raportointiin on dokumentoitu prosessi

Prosessin on varmistettava mm.:

  • henkilöstöllä on selkeä yhteydenottopiste / -työkalu sekä ohjeistus häiriöiden raportoimiselle
  • pätevä henkilöstö käsittelee raportoidut tietoturvahäiriöt tarpeeksi kattavasti
24. Rekisterinpitäjän vastuu
GDPR
7.2.1: Johdon vastuut
ISO27 Täysi
16.1.1: Vastuut ja menettelyt
ISO27 Täysi
5.24: Tietoturvahäiriöiden hallinnan suunnittelu ja valmistelu
ISO27k1 Täysi
Article 17: ICT-related incident management process
DORA

Johdon sitoutuminen tietoturvan hallintaan ja hallintajärjestelmään

Critical
High
Normal
Low

Organisaation johdon on osoitettava sitoutumista tietoturvatyötä ja tietoturvallisuuden hallintajärjestelmää kohtaan. Johto sitoutuu:

  • määrittämään työn perusteena toimivat vaatimukset (esim. asiakasvaatimukset, lait ja asetukset tai standardit)
  • määrittämään tietoturvan hallintaan tarvittavat resurssit
  • viestimäään tietoturvallisuuden tärkeydestä
  • varmistamaan, että työllä saavutetaan halutut tulokset
  • edistämään tietoturvan jatkuvaa parantamista

Johto päättää lisäksi tietoturvan hallintajärjestelmän soveltamisalan ja kirjaa päätöksen ylös hallintajärjestelmän kuvaukseen. Tämä tarkoittaa, rajataanko esimerkiksi joitain osia organisaation toiminnasta tai hallinnoimasta tiedosta pois hallintajärjestelmän piiristä, vai koskeeko se organisaation kaikkea tietoa / toimintaa.

24. Rekisterinpitäjän vastuu
GDPR
7.2.1: Johdon vastuut
ISO27 Täysi
7.2.2: Tietoturvatietoisuus, -opastus ja -koulutus
ISO27 Täysi
5.1.1: Tietoturvapolitiikat
ISO27 Täysi
ID.GV-1: Cybersecurity policy
NIST

Tietoturvan avainhenkilöstön määrä, pätevyys ja riittävyys

Critical
High
Normal
Low

Organisaatiossa on tarpeeksi koulutettua, valvottua ja tarvittaessa asianmukaisesti turvallisuusselvitettyä henkilöstöä, jotka toimivat tietoturvan avainrooleissa suorittaen tietoturvallisuuden hallintajärjestelmään liittyviä hallintatehtäviä.

Organisaatio on määritellyt:

  • millainen pätevyys tällä henkilöstöllä tulee olla
  • kuinka pätevyys hankitaan ja varmistetaan (esim. soveltuvan koulutuksen ja koulutuksen seurannan avulla)
  • kuinka pätevyys voidaan osoittaa dokumentaation avulla

Tehtävän omistaja katselmoi turvallisuushenkilöstön määrää ja osaamistasoa säännöllisesti.

T03: Turvallisuustyön resurssit
Katakri
32. Käsittelyn turvallisuus
GDPR
37. Tietosuojavastaavan nimittäminen
GDPR
6.1.1: Tietoturvaroolit ja -vastuut
ISO27 Täysi
ID.GV-2: Cybersecurity role coordination
NIST

Tietoturvaroolien ja -vastuiden määrittäminen

Critical
High
Normal
Low

Ylimmän johdon on varmistettava selkeät vastuualueet/valtuudet ainakin seuraavissa asioissa:

  • kuka on ensisijaisesti vastuussa siitä, että tietoturvallisuuden hallintajärjestelmä on tietoturvavaatimusten mukainen.
  • ketkä toimivat ISMS:n teemojen omistajina, jotka vastaavat tietoturvallisuuden hallintajärjestelmän pääteemoista.
  • kenellä on vastuu ja valtuudet raportoida ylimmälle johdolle tietoturvallisuuden hallintajärjestelmän toimivuudesta.
  • kenellä on valtuudet suorittaa sisäisiä tarkastuksia

ISMS-teemojen omistajat esitellään johtamisjärjestelmän työpöydällä ja tietoturvapoliitiikan raportissa.

Lisäksi ylimmän johdon on varmistettava, että kaikki tietoturvan kannalta merkitykselliset roolit sekä niihin liittyvät vastuut ja valtuudet määritellään ja niistä tiedotetaan. On myös tärkeää tunnistaa ulkoisten kumppaneiden ja palveluntarjoajien roolit ja vastuut.

T02: Turvallisuustyön tehtävien ja vastuiden määrittäminen
Katakri
24. Rekisterinpitäjän vastuu
GDPR
6.1.1: Tietoturvaroolit ja -vastuut
ISO27 Täysi
ID.AM-6: Cybersecurity roles and responsibilities
NIST
ID.GV-2: Cybersecurity role coordination
NIST

Tietoturvallisuuteen liittyvien vastuiden eriyttäminen

Critical
High
Normal
Low

Organisaatiolla tulee olla prosesseja sen varmistamiseksi, että ristiriitaiset vastuut erotetaan toisistaan, jotta vähennetään mahdollisuuksia käyttää organisaation omaisuutta väärin.

On syytä olla varovainen esim. siitä, että yksittäinen henkilö voi käsitellä tietoja huomaamatta. Usein myös tapahtuman aloittamisen erottaminen sen hyväksymisestä on hyvä käytäntö.

Kun tehtävien suoraa eriyttämistä on vaikea saavuttaa, voidaan käyttää seuraavia periaatteita:

  • Tietoturvavastuiden korkeatasoinen erottelu
  • Erottelun tukeminen hyvällä seurannalla, kirjausketjuilla ja johdon valvonnalla
6.1.2: Tehtävien eriyttäminen
ISO27 Täysi
ID.RA-3: Threat identification
NIST
PR.AC-4: Access permissions and authorizations
NIST
PR.DS-5: Data leak protection
NIST
HAL-02.1: Tehtävät ja vastuut - tehtävien eriyttäminen
Julkri

Identifying and documenting dependencies between assets

Critical
High
Normal
Low

Organisation should identify and document dependencies between its assets.

In Cyberday dependencies between asset elements are created when creating and linking documentation. Procedure can be expanded according to organisation's own needs.

HAL-04.5: Suojattavat kohteet - riippuvuudet
Julkri
Article 8: Identification
DORA
4.1.2: Perform a business impact analysis
NSM ICT-SP
1.1.5: Identify the organisation’s deliverables, information systems and supporting ICT functions
NSM ICT-SP

Kasautumisvaikutuksen huomiointi suojattavien kohteiden luokittelussa

Critical
High
Normal
Low

Tietojärjestelmän tai muun useita tietoaineistoja sisältävän kohteen luokitus määräytyy ensi sijassa korkeimman luokituksen aineiston mukaan. Tietojärjestelmien luokitusta arvioitaessa tulee huomioida myös kasautumisvaikutus riskilähtöisesti.

Suuresta määrästä tietyn luottamuksellisuuden tason tietoa koostuvissa tietojärjestelmissä asiakokonaisuus voi nousta luokitukseltaan yksittäistä tietoa korkeammalle tasolle. Määrä ei ole kuitenkaan ainoa tekijä, vaan joskus esimerkiksi kahden eri tietolähteen yhdistäminen voi johtaa tietovarannon luokituksen nousemiseen.

Tyypillisesti kasautumisessa on kysymys IV-luokan tiedosta (esimerkiksi suuri määrä turvallisuusluokan IV tietoa voi muodostaa yhdistettynä turvallisuusluokan III tietovarannon), mutta kasautumisvaikutus tulee huomioida myös turvallisuusluokittelemattoman salassa pidettävän tiedon suojaamisessa.



HAL-04.3: Suojattavat kohteet - kasautumisvaikutus
Julkri
2.4: Luokittelu ja turvallisuusluokittelu
TiHL: Tietoturva

Tarvittavien teemakohtaisten politiikkadokumenttien luominen

Critical
High
Normal
Low

Teemakohtaiset politiikkadokumentit voivat auttaa eri osa-alueisiin liittyvien tehtävien, ohjeistusten sekä muun dokumentaation viestintää ja katselmointia sekä mahdollisten ylätason periaatteiden liittämistä näihin tarkempaa toteutusta kuvaaviin hallintajärjestelmän sisältöihin.

Organisaation on määriteltävä, mitä teemakohtaisia politiikkadokumentteja ylläpidetään sekä tarvittaessa katselmoidaan kokonaisuuksina halutuin väliajoin. Esimerkkejä teemoista, joille omaa politiikkadokumenttia voidaan haluta ylläpidää, ovat mm.:

  • pääsynhallinta
  • fyysinen turvallisuus
  • suojattavan omaisuuden hallinta
  • varmuuskopiointi
  • salauskäytännöt
  • tietojen luokittelu
  • teknisten haavoittuvuuksien hallinta
  • turvallinen kehittäminen
5.1: Tietoturvapolitiikat
ISO27k1 Täysi
5.1.1: Tietoturvapolitiikat
ISO27 Täysi
7.5: Dokumentoitua tietoa koskevat vaatimukset
ISO27k1 Täysi
CC5.3: Establishment of policies
SOC 2
6.1: Yleiset tietoturvakäytännöt
Tietoturvasuunnitelma

Digiturvabudjetin määrittäminen ja riittävyys

Critical
High
Normal
Low

Organisaatio on selkeästi määrittänyt digitaalisen turvallisuuden ylläpitoon sekä kehittämiseen dedikoidun budjetin. Budjetti on riittävä digiturvalle asetettujen tavoitteiden saavuttamiseen.

Digiturvan budjetoinnissa on huomioitava etenkin kolme keskeistä osa-aluetta - henkilöstökulut, teknologiaratkaisut sekä toimintamenot.

5: Riittävä digiturvallisuuden budjetti
Kokonaiskuva (DVV)
20.1: Top management commitment
NIS2
Article 5: Governance and organisation
DORA
10 §: Johdon vastuu
KyberTL

Varautuminen organisaatioon kohdistuvaan informaatiovaikuttamiseen

Critical
High
Normal
Low

Organisaatio on muodostanut suunnitelman siihen kohdistuvan mustamaalaus- tai vaikuttamiskampanjan varalle.

76: Varautuminen informaatiovaikuttamiseen
Kokonaiskuva (DVV)

Digitaalisen turvallisuuden resursoinnin riittävyys

Critical
High
Normal
Low

Organisaation on dedikoinut riittävät resurssit ja osaamisen digiturvallisuuden kehittämiseen osana organisaation strategian toteuttamista.

Digitaaliselle turvallisuudelle on lisäksi nimetty vastuuhenkilö ja tämä teema saa vastuuhenkilön työnkuvassa ja ajankäytössä tarpeeksi suuren huomion.

70: Riittävät resurssit digiturvan kehittämiseen
Kokonaiskuva (DVV)
1.2.2: Information Security Responsibilities
TISAX

Sisäinen tiedotus organisaation riskitilanteesta

Critical
High
Normal
Low

Organisaatiolla on toimintamalli säännölliseen tiedottamiseen koko organisaation laajuisesti digiturvallisuuden riskitilanteesta sekä uusista omaan organisaatioon vaikuttavista merkittävistä riskeistä.

Tiedotus voidaan toteuttaa esimerkiksi digiturvan ydintiimin sekä viestinnän ammattilaisten yhteistyönä.

16: Organisaationlaajuinen viestintä riskitilanteesta
Kokonaiskuva (DVV)
DE.DP-4: Event detection information is communicated.
CyFun
RC.CO-2: Reputation is repaired after an incident.
CyFun
4.1.5: Determine which communication channels to use in the event of an incident
NSM ICT-SP

Varautumista ohjaavan lainsäädännön tunnistaminen ja dokumentointi

Critical
High
Normal
Low

Organisaatio on tunnistanut toimintaansa ja palveluihinsa liittyvät ICT-varautumista ohjaavan kansallisen ja EU-lainsäädännön sekä muut ICT-varautumiseen liittyvät normit.

Lainsäädäntö ja normit määrittävät minimitason ICT-varautumisen toteuttamiselle. Tämän lisäksi organisaation on huomioitava oman toimintansa erityispiirteistä nousevat tarpeet. Toimintojen sisäisten ja ulkoisten riippuvuussuhteiden ymmärtäminen on perusedellytys varautumisen kustannustehokkaalle johtamiselle.

VAR-01: Varautumista ohjaava lainsäädäntö
Julkri

Luettelo turvaluokiteltuja asiakirjoja käsittelevistä henkilöistä valtionhallinnossa

Critical
High
Normal
Low

Valtionhallinnon viranomaisen on pidettävä luetteloa henkilöistä, joilla on oikeus käsitellä turvallisuusluokan I, II tai III asiakirjoja. Luettelossa on mainittava henkilön tehtävä, johon turvallisuusluokitellun tiedon käsittelytarve perustuu.

HAL-14.1: Käyttö- ja käsittelyoikeudet - ajantasainen luettelo - TL III
Julkri

Tietoturvallisuuteen liittyvän dokumentaation ajantasaisuus

Critical
High
Normal
Low

Tietoturvallisuuteen liittyvä dokumentaatio on ajantasaista.

  • Organisaatiolla on prosessi, jonka avulla seurataan dokumentaation kattavuutta ja ajantasaisuutta
  • Dokumentaation puutteisiin reagoidaan
HAL-09.1: Dokumentointi - ajantasaisuus
Julkri

Muiden tietoturvavaatimusten seuranta

Critical
High
Normal
Low

Organisaation tietoturvallisuusvaatimukset muodostuvat esimerkiksi lainsäädännössä ja sopimuksissa määritellyistä vähimmäisvaatimuksista sekä muista tunnistetuista tai itse tavoitelluiksi valituista vaatimuksista.

Organisaation on seurattava tietoturvallisuusvaatimusten muutoksia ja tehtävä tarvittavat toimenpiteet niihin reagoimiseksi.

HAL-05: Vaatimukset
Julkri
HAL-05.1: Vaatimukset - seuranta
Julkri

Organisaation tavoitteista johdetut tietoturvaroolit, -vastuut ja -tavoitteet

Critical
High
Normal
Low

Organisaatio on asettanut prioriteetit sen toiminnalle ja tavoitteille. Näiden prioriteettien pohjalta täytyy pystyä määrittämään tietoturvaroolit, -vastuut ja -tavoitteet.

ID.BE-3: Organizational mission, objectives, and activities
NIST
69: Digiturvan huomiointi osana kokonaisuutta
Kokonaiskuva (DVV)
ID.BE-3: Priorities for organizational mission, objectives, and activities are established and communicated.
CyFun

Vanhentuneiden tietoturvadokumenttien arkistointi ja säilyttäminen

Critical
High
Normal
Low

Organisaatio on määritellyt, mikä on tärkeää turvallisuuteen liittyvää dokumentaatiota ja ohjeistusta (esim. raporttiasiakirjat tai kaikki tehtävien/ohjeiden sisältö), jotka tulee turvallisesti arkistoida sen jälkeen, kun ne on vaihdettu tai muuten vanhentuneet.

Nämä tiedot tulee säilyttää mahdollisia vanhojen käytäntöjen tai ohjeiden tarkistamista varten, jotka voivat olla tärkeitä esim. asiakasriidan tai tietosuojaviranomaisen suorittaman tutkimuksen yhteydessä.

Jos erityisessä laissa tai sopimuksessa ei määrätä säilytysaikaa, tietoja tulee säilyttää vähintään viisi vuotta.

A.10.2: Retention period for administrative security policies and guidelines
ISO 27018

Tiedon kerääminen ja jalostaminen

Critical
High
Normal
Low

Organisaation tietojärjestelmät keräävät dataa sisäisistä ja ulkoisista lähteistä ja jalostavat olennaisen datan tiedoksi. Tiedolla tuetaan sisäisen valvonnan komponentteja

Tiedon tulee olla:

  • Ajantasaista
  • Tarkkaa
  • Kokonaista
  • Suojattua
  • Varmistettua
CC2.1: Quality information to support internal controls
SOC 2

Organisaation hallituksen toteuttama valvonta

Critical
High
Normal
Low

Johdosta erillinen hallitus toteuttaa valvontaa sisäisten tietoturvatoimien kehitykselle ja toteuttamiselle.

Hallituksen tehtäviin kuuluu erityisesti:

  • Vastuuttaa toiminnan tarkemman toteutuksen ja valvonnan
  • Hyödyntää tietoturva-alan asiantuntijoita ja arvioi tarvetta asiantuntijuuden lisäämisestä hallitukseen
  • Toimii itsenäisesti ja on objektiivinen arvioissa ja päätöksenteossa
  • Täydentää asiantuntijuuttaan tarvittaessa esimerkiksi konsulteilla
CC1.2: Board of directors oversight
SOC 2

Tietoturvatavoitteiden saavuttamiseen tarvittavan teknologian tunnistaminen

Critical
High
Normal
Low

Organisaatiossa täytyy:

  • tunnistaa yhteydet teknologian ja liiketoimintojen pyörittämisen välillä
  • Rakentaa tarvittava infrastruktuuri tarvittavan teknologian ylläpitämiseen, jotta niiden saatavuus ja toimintavarmuus voidaan taata

Organisaation tulee määritellä, mitä teknologiaa tarvitaan, jotta tietoturvatavoitteet saavutetaan? Ja, mitä teknologiaa täytyy hankkia / kehittää, jotta tietoturvatavoitteet saavutetaan?

CC5.2: Control activities for achievement of objectives
SOC 2
3.3.1: Create a plan for analysing data from security monitoring
NSM ICT-SP

Ulkoisten tavoitteiden huomiointi tietoturvatavoitteita säädettäessä

Critical
High
Normal
Low

Organisaation tietoturvatavoitteita asettaessa täytyy ottaa huomioon ulkoiset tavoitteet. Tämä tarkoittaa esimerkiksi:

  • Ulkoisesti asetettujen vaatimuskehikkojen, kuten lait ja asetukset tai muiden ulkoisten sidosryhmien asettamat vaatimukset
  • Raportoinnissa otetaan huomioon raporttien yksityiskohtaisuuden riittävä määrä ulkoisten vaatimusten täyttämisen osoittamiseksi
CC3.1: Sufficient specifying of objectives
SOC 2

Oman organisaation yksikköjen määrittely

Critical
High
Normal
Low

Organisaation on määriteltävä toimintansa sekä etenkin tietoturvallisuuden toteuttamisen kannalta relevantit yksiköt.

Yksiköille määritellyille omistajille voidaan jalkauttaa vastuita eri tehtävien yksikkökohtaisesta toteuttamisesta.

CC1.3: Established responsibilities
SOC 2

Kyberturvallisuusohjelman perustaminen ja ylläpito

Critical
High
Normal
Low

Organisaation on perustettava ja ylläpidettävä kyberturvallisuusohjelmaa. Ohjelmalla tulee olla korkeimman johdon tuki.

Ohjelma tulee perustaa:

  • Kyberturvallisuusohjelmastrategian mukaisesti
  • Korkeimman johdon tuki on aktiivista ja tukee ohjelman kehitystä ja ylläpitoa
  • Ohjelma on vastuutettu roolille, jolla on riittävä toimivalta sen täyteenpanoon
PROGRAM-2: Establish and Maintain Cybersecurity Program
C2M2: MIL1

Strategia kyberturvallisuusohjelmalle

Critical
High
Normal
Low

Organisaation on luotava ja ylläpidettävä strategiaa kyberturvallisuusohjelmalle. Kyberturvallisuusohjelma määrittelee tavoitteet organisaation kyberturvallisuustoimenpiteille.

PROGRAM-1: Establish Cybersecurity Program Strategy
C2M2: MIL1

Strategia kyberturvallisuusarkkitehtuurille

Critical
High
Normal
Low

Organisaatiolla on oltava strategia kyberturvallisuusarkkitehtuurin kehittämiselle ja ylläpidolle.

Strategian on sovittava yhteen organisaation kyberturvallisuusohjelman ja organisaation arkkitehtuurin kanssa.

Arkkitehtuuriin on sisällytettävä:

  • Tietoverkkojen turvallisuustoimet
  • Tieto-omaisuuden suojaaminen
  • Sovellusturvallisuus
  • Tietosuojan toteuttaminen
ARCHITECTURE-1: Establish and Maintain Cybersecurity Architecture Strategy and Program
C2M2: MIL1
ARCHITECTURE-3: Implement IT and OT Asset Security as an Element of the Cybersecurity Architecture
C2M2: MIL1
ARCHITECTURE-4: Implement Software Security as an Element of the Cybersecurity Architecture
C2M2: MIL1
ARCHITECTURE-2: Implement Network Protections as an Element of the Cybersecurity Architecture
C2M2: MIL1
ARCHITECTURE-5: Implement Data Security as an Element of the Cybersecurity Architecture
C2M2: MIL1

Riittävät organisaation turvallisuusperiaatteet turvallisuusluokiteltujen tietojen kannalta

Critical
High
Normal
Low

Organisaation johto vastaa, että:

  • organisaatiolla on ylimmän johdon hyväksymät turvallisuusperiaatteet, jotka kuvaavat organisaation tietoturvallisuustoimenpiteiden kytkeytymistä organisaation toimintaan
  • turvallisuusperiaatteet ovat turvallisuusluokiteltujen tietojen suojaamisen kannalta kattavat ja tarkoituksenmukaiset
  • turvallisuusperiaatteet ohjaavat tietoturvallisuustoimenpiteitä
  • organisaatiossa on järjestetty riittävä valvonta turvallisuusluokiteltujen tietojen tiedonhallintaan liittyvien velvoitteiden ja ohjeiden noudattamisesta.
T-01: JOHDON TUKI, OHJAUS JA VASTUU – TURVALLISUUSPERIAATTEET
Katakri 2020

Digitaalisen häiriönsietokyvyn testauksesta oppiminen

Critical
High
Normal
Low

Organisaatiolla tulee olla prosessi, jonka avulla voidaan analysoida ja oppia digitaalisen häriönsietokyvyn testauksen tuloksista, todellisista kyberturvallisuushäiriöistä ja jatkuvuussuunnitelmien aktivointikokemuksista. Asiaankuuluvia tietoja ja kokemuksia tulisi vaihtaa kumppanien kanssa.

Opitut opetukset tulisi sisällyttää kyberriskien hallintaprosessiin.

Organisaation ylimmällä johdolla tulisi olla vuosittain raportti vanhempien ICT-henkilöstön opetuksista sekä parannussuositukset.

Article 13: Learning and evolving
DORA
RC.IM-1: Recovery plans incorporate lessons learned.
CyFun

Digitaalisen häiriösietokyvyn tehokkuuden seuranta ja analysointi

Critical
High
Normal
Low

Organisaation tulee seurata digitaalisen häiriönsietokykystrategiansa tehokkuutta. Tämän pitäisi sisältää ainakin:

  • ICT-riskien arvioinnin kartoitus ajan mittaan
  • Analysoi tapahtumien tiheys, tyyppi, laajuus ja kehitys
  • Erityistä huomiota tulisi kiinnittää kyberhyökkäysten malleihin

Tämän pitäisi lisätä tietoisuutta kyberhyökkäykseen liittyville riskeille altistumisesta erityisesti tärkeiden ja kriittisten toimintojen ja kyberhyökkäyksiä vastaan varautumiseen liittyen.

Article 13: Learning and evolving
DORA

Tietoturvarakenteen kuvaus

Critical
High
Normal
Low

Organisaation on määriteltävä ja dokumentoitava organisaation tietoturvarakenne. Tässä tulee huomioida muut asiaankuuluvat tietoturvaroolit

1.2.2: Information Security Responsibilities
TISAX

Arkojen työalojen ja työpaikkojen tunnistaminen ja luettelointi

Critical
High
Normal
Low

Organisaation on määriteltävä, mitä työaloja ja tiettyjä työtehtäviä pidetään arkaluonteisina (esim. käsiteltyjen tietojen ja työntekijän käyttöoikeuksien perusteella).

&Arkaluonteiset työalat riippuvat organisaation toiminnan luonteesta, mutta niihin voi kuulua esimerkiksi tietoturva, tietotekniikka ja järjestelmähallinto, taloushallinto, henkilöstöhallinto, lakiasiainhallinto, tutkimus ja kehitys, asiakastuki, analytiikka, johto ja monet muut.

2.1.1: Competence of employees
TISAX

Kriisinhallintastrategian toteuttaminen

Critical
High
Normal
Low

Organisaatio kehittää ja toteuttaa kriisitoimintastrategian, jolla suojellaan organisaatiota kriisin kielteisiltä seurauksilta ja maineen vahingoittumiselta. Strategian olisi sisällettävä ennalta määriteltyjä toimia, joilla hallitaan julkista kuvaa ja narratiivia sekä lievennetään kriisin vaikutusta organisaatioon.

RC.CO-2: Reputation is repaired after an incident.
CyFun
4.3.5: Co-ordinate and communicate with internal and external stakeholders while managing the incident
NSM ICT-SP
4.3.2: Determine whether the incident is under control and take the necessary reactive measures
NSM ICT-SP

Organisaation strategian ja prioriteettien tunnistaminen

Critical
High
Normal
Low

Tunnista ja dokumentoi organisaation strategia ja prioriteetit, joilla voi olla vaikutusta tietojärjestelmien turvallisuuteen.

On tärkeää huomata, että tämä dokumentaatio olisi tarkistettava aina, kun organisaation strategia ja prioriteetit muuttuvat.

1.1.1: Identify the organisation’s strategy and priorities
NSM ICT-SP

Strategic directions of risk response options

Critical
High
Normal
Low

Organization defines the strategic approaches for responding to risks based on the risk types, and the organizational risk tolerance and exposure. These strategies can include for example:

  • Define criteria for accepting or avoiding cybersecurity risks for different data classifications
  • Determine the need for cybersecurity insurance based on the organizational risk tolerance and exposure
  • Document conditions under which shared responsibility models (e.g., outsourcing cybersecurity, third-party transactions, or public cloud services) are acceptable for the organization

Documentation of organization's dependencies on external resources

Critical
High
Normal
Low

Dependencies on external services might affect the organization's risk management and critical capabilities. The organization needs to identify and maintain a list of the organization’s external dependencies, including facilities, cloud providers, and any third-party services.

The documentation should also include:

  • The relationships between the dependencies and key organizational assets and business functions
  • The dependencies that pose potential failure points for critical services

Ensure that relevant personnel are informed about these dependencies and their associated risks.

Sisäisten auditointien toteutuksen arviointi

Critical
High
Normal
Low

Tehtävän omistaja arvioi säännöllisesti sisäiten auditointien toteutusta etenkin seuraavista näkökulmista:

  • onko auditoijat valittu niin, että auditointiprosessin objektiivisuus ja puolueettomuus toteutuu
  • onko auditoinnit suoritettu niin, että auditointiprosessin objektiivisuus ja puolueettomuus toteutuu

Tehtävän omistaja tekee tarvittaessa muutoksia sisäisten auditointien menettelyyn sekä menettelykuvaukseen.

Article 5: Governance and organisation
DORA

Tietoturvasertifioinnit

Critical
High
Normal
Low

Sertifiointimekanismien ideana on osoittaa, että tietojenkäsittelyssä noudatetaan hyvää tietojenkäsittelytapaa ja yleisiä hyviä käytäntöjä. Tietoturvaa koskeva sertifikaatti on mm. ISO27001.

18.2.2: Turvallisuuspolitiikkojen ja -standardien noudattaminen
ISO27 Täysi
21.2.f: Assessing effectiveness of security measures
NIS2
9.1 §: Toimien vaikuttavuuden arviointi
KyberTL
9.2 §: Kyberturvallisuuden toimintaperiaatteet
KyberTL

Organisaation tieto-omaisuuden prioriteettiluokittelu

Critical
High
Normal
Low

Organisaation on luokiteltava sen tieto-omaisuus, kuten tietojärjestelmät, tiedot, yksiköt, avainhenkilöstö ja muu suojattava omaisuus (esim. laitteet) prioriteettien mukaan. Priorisoinnin voi tehdä esimerkiksi käsiteltävän tiedon luottamuksellisuus-, eheys- ja saatavuusvaatimusten perusteella.

ID.AM-5: Resource prioritization
NIST
HAL-04.2: Suojattavat kohteet - luokittelu
Julkri
CC3.2: Identification of risks related to objectives
SOC 2
2.4: Luokittelu ja turvallisuusluokittelu
TiHL: Tietoturva
ID.AM-5: Resources are prioritized based on their classification, criticality, and business value.
CyFun

Petoksien mahdollisuuden huomioiminen riskien arvioinnissa

Critical
High
Normal
Low

Organisaation on huomioitava tietoturvaan liittyvien petosten mahdollisuus riskejä arvioitaessa.

Huomioitava on ainakin:

  • Erilaiset petokset ja niiden mahdolliset seuraukset (virheellinen raportointi, tieto-omaisuuden menettäminen ja korruptio)
  • Erilaisten kannustimien ja paineiden vaikutus petoksen tekemiseen
  • Asenteiden ja perusteluiden arviointi, kuinka johtava tai muu työntekijä voisi perustella petoksellista toimintaansa
  • Arviointi petoksen mahdollisuuksista tietojärjestelmien käytössä
CC3.3: Potential of fraud is considered
SOC 2

Projektien luokittelumenettely

Critical
High
Normal
Low

Organisaatiolla olisi oltava menettely, jolla projektit luokitellaan vaaditun tietoturvatason ja muiden hanketta koskevien tietoturvavaatimusten näkökulmasta.

Projektien luokitteluperusteet tulisi dokumentoida.

1.2.3: Information Security requirements in projects
TISAX

Turvallisuusvaatimuksiin liittyvien tietueiden eheyden varmistaminen

Critical
High
Normal
Low

Lainsäädännön, määräysten tai sopimuksellisten määräyksien noudattamatta jättäminen voi aiheuttaa riskejä organisaation tietoturvalle.

Jotta vaatimukset täyttyvät, organisaatiossa huolehditaan, että tietueiden eheys on oikeudellisten, sääntely- tai sopimusmääräysten ja liiketoimintavaatimusten mukaista.

7.1.1: Compliance management
TISAX

Sovellusturvallisuuteen liittyvien tietoturvamittarien dokumentointi

Critical
High
Normal
Low

Organisaation on dokumentoitava tietoturvamittarit sovellusturvallisuuteen liittyen. Totoeutuksessa tulee ottaa huomioon organisaation tavoitteet, turvallisuusvaatimukset ja vaatimusten mukaisuus.

test

Critical
High
Normal
Low