Etätyö ja mobiililaitteiden käyttö

Nykyään yhä suurempi osa työstä suoritetaan liikkeessä ja työvälineillä, joita ei ole sidottu "toimiston turvaan". Hallittu pilvipalvelujen hallinta ja käyttö tai tietoturvan parantaminen VPN-yhteyksin tai työpöytävirtualisoinnein voi olla harkinnan arvoista.
mobiililaitteet
BYOD, bring your own device
käyttöturvallisuus
Huom.! Tätä artikkelia täydennetään vielä. Lisää sisältöä tulossa piakkoin.

Vaatimustaso

Tason 1 asiat ovat pakollisia peruasioita, joista jokaisen organisaation, vaikka digitaalisuus tai datan käsittely ei korostuisikaan, olisi syytä pitää hyvää huolta.
Tason 2 asiat ovat digiturvan oleellisia ydinasioita, jotka ovat tärkeitä useimmille organsiaatioille ja joilla voidaan huomattavasti parantaa digiturvan tasoa. Nämä liittyvät yleensä tiiviisti tason 1 asioihin.
Tason 3 asiat ovat syventäviä digiturvateemoja, jotka eivät korostu jokaisen organisaation toiminnassa, mutta joiden voidaan entisestään parantaa tietoturvan ja tietosuojan saralla.
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3

Suositeltu organisointi

Teemoille, jotka ovat sopivan kokoisia ja koordinoitavissa ilman jalkauttamista yksikkö- tai esimerkiksi järjestelmäkohtaisesti, on helpompaa nimetä selkeä(t) vastuuhenkilö(t). Vastuuhenkilöllä on oltava tarvittavat valtuudet ja resurssit teeman hoitamiseen. Vastuuhenkilö voi olla esimerkiksi tietoturvapäällikkö tai tietosuojavastaava.
Teemoille, jotka vaativat järjestelmä- tai rekisterikohtaista koordinointia, organisointi kannattaa hoitaa pääkäyttäjien kautta. Tietojärjestelmät ja rekisterit ovat organisaation avainomaisuutta, joiden pääkäyttäjälle tai yhteyshenkilölle kuuluu vastuilleen erilaisten käytäntöjen hoitamista tai sääntöjen valvomista.
Teemoille, jotka ovat turhan laajoja yksittäisten vastuuhenkilöiden koordinoitaviksi, ja jotka eivät suoraan organisoidu järjestelmä- tai rekisterivetoisesti, suosittelemme yksikkökohtaista koordinointia. Jokaisessa yksikössä (myynti, tuotanto, talous, asiakaspalvelu, jne.) olisi oltava vastuuhenkilö, joka huolehtii esimerkiksi tiedon keräämisen tai sääntöjen jalkauttamisen oman yksikkönsä henkilöstölle.
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt

Osa-alueen tavoite, riskit ja haasteet

Etätyön ja mobiililaitteiden tärkeys korostuu liikkuvalla henkilöstöllä, mutta niiden voidaan nykyään sanoa olevan osa lähes jokaisen organisaation arkea ja digiturvaa. Mobiililaitteisiin kertyvän luottamuksellisen tiedon määrää voidaan pyrkiä mimimoimaan ja laitteita salaamaan. Etätyöhön voidaan pyrkiä tarjoamaan selkeät toimintaohjeet ja laitteet / ohjelmistot esimerkiksi turvallisten yhteyksien muodostamiseksi. Kaikessa kuitenkin korostuu henkilöstön osaaminen ja ymmärrys - toimivathan he kauempana valvovien silmien ulottumattomissa.

Esimerkkejä sisällöistä

Selvitettäviä kysymyksiä

Nämä ovat esimerkkejä asioista, joiden selvittämistä ja mahdollisesti raportoimista tämän osa-alueen käsitteleminen vaatii organisaartiolta.
No items found.

Mahdollisia toimintatapoja

Seuraavat sisältöesimerkit antavat tarkempia esimerkkejä siitä, millaisilla käytännöillä tai säännöillä tämän osa-alueen turvallisuutta voidaan kehittää.
Mobiililaitteiden käytön yleiset säännöt

Mobiililaitteiden käytön säännöt on määritelty ja niiden noudattamista valvotaan.

Säännöt voivat sisältää mm. seuraavia asioita:

ASENNUKSET & PÄIVITYKSET

  • Älä asenna ohjelmistoja tai tee niiden asetusmuutoksia, ellei se kuulu työtehtäviisi
  • Asenna luotettavasti pyydetyt, olemassa olevien ohjelmistojen päivitykset ja tietoturvakorjaukset viipymättä
  • Tarvitessasi käyttöön uutta ohjelmistoa, pyydä siihen lupaa IT-osastolta

ONGELMATILANTEET

  • Toimin ohjeiden mukaisesti järjestelmän toiminnan keskeydyttyä
  • Raportoi IT:lle ohjeiden mukaisesti, kun epäilet virustartuntaa
  • Ilmoita kaikki epäillyt huolet tietoturvasta tai muut väärinkäytökset määritellylle tietoturvan vastuuhenkilölle
  • Ilmoita kadonneesta / varastetuista laitteesta tai tunnisteista ilmoitusprosessin mukaisesti

SISÄLTÖ

  • Tunnen ja noudatan sopivan sisällön sääntöjä
  • Älä riko tekijänoikeuksia ja kunnioita suojatun materiaalin lisenssejä.
  • Omia henkilökohtaisia tiedostoja ei saa tarpeettomasti tallentaa työnantajan päätelaitteisiin tai palvelimille.
  • Poista luottamukselliset tiedot mobiililaitteelta, kun et niitä enää tarvitse tai kun säännöt näin sanovat.

SOPIVA KÄYTTÖ

  • Älä käytä työlaitteita työn ulkopuolisiin asiohin
  • Huolehdi tietosuojasta käyttäessäsi mobiililaitteita julkisilla paikoilla
  • Älä muuta oletusasetuksia laitteen turvallisuuteen liittyen ilman lupaa
  • Sammuta tai siirrä laite virransäästätilaan työpäivän päättyessä, ellei muuta ole ohjeistettu (esim. tietoturvapäivitysten johdosta)
  • Älä poista tai ohita laitteen virussuojausta

VALVONTA

  • Älä jätä luottamuksellista tietoa sisältävää laitetta ilman valvontaa
  • Älä säilytä mobiililaitteita autossa
  • Varmista, että laitteen käyttöohjeen mukaiset automaattiset lukitukset ovat käytössä
  • Huolehdi varmuuskopioinnista ja synkronoinnista ohjeiden mukaisesti
  • Varmista laitteen käyttöjärjestelmän ajantasaisuus
Etätyön yleiset säännöt

Etätyön säännöt on määritelty ja niiden noudattamista valvotaan.

Säännöt voivat sisältää mm. seuraavia asioita:

SOPIVA KÄYTTÖ

  • Älä tallenna henkilökohtaisia tiedostoja tarpeettomasti työnantajan palvelimille
  • Älä anna ulkopuolisen henkilön, edes tutun, käyttää päätelaitettasi
  • Älä käytä julkisia päätteitä työasioihin
  • Minimoi mukana olevien tietojen määrä etätyössä

MATKUSTAMINEN

  • Älä laita salassapidettävää ICT-aineistoa lentokoneessa ruumaan
  • Vältä mobiiliyhteyden käyttöä ulkomailla, jos et tiedä kustannuksista
  • Älä jätä päätelaitteita ilman valvontaa ja suojele päätelaitteita kuin lompakkoasi

OMAT LAITTEET

  • Huolehdi haittaohjelmasuojauksesta ja palomuurisuojauksesta käyttäessäsi omia laitteita
  • Huolehdi varmuuskopioinnista käyttäessäsi omia laitteita
  • Huolehdi käyttöjärjestelmän ja turvallisuuspäivitysten ajantasaisuudesta käyttäessäsi omia laitteita

TIETOSUOJA

  • Älä käy luottamuksellisia keskusteluja julkisilla paikoilla, avotoimistoissa tai salaamattomien viestintäpalvelujen kautta (esim. Facebook-viestit)
  • Älä anna näytön näkyä käsitellessäsi salassa pidettävää tietoa julkisissa paikoissa
Mobiililaitteiden PIN-suojaus ja automaattinen lukitus

Laitteet olisi suojattava siten, ettei niihin tallennettua tai niissä käsiteltävää tietoa kyetä käyttämään tai paljastamaan luvattomasti. Laitteiden pakollinen suojaaminen esim. 5-numeroisella PIN-koodilla ennen jokaista käyttökertaa sekä laitteiden automaattinen lukittuminen esim. 5 minuutin käyttämättömyyden jälkeen voivat auttaa.


Prosessi mobiilailaitteiden katoamisen tai varastamisen varalle

Mobiililaitteiden varkautta tai katoamista varten on laadittu menettelytavat.

Käyttäjää voidaan velvoittaa:

  • vaihtamaan verkon käyttötunnukset
  • ilmoittamaan IT-osastolle tilanteesta (ja tarvittaessa poliisille tai mobiililiittymän tarjoajalle)
  • vaihtamaan muita tarvittavia käyttötunnuksia, jotka ovat voineet vaarantua

Organisaation prosessiin laitteen kadotessa voi sisältyä mm. laitteen tyhjentäminen (vähintään organisaation sisällön) etänä.


Käytettyjen siirrettävien tietovälinetyyppien määrittely ja listaaminen

Siirrettäviä tietovälineitä ovat mm. flash-muistit, SD-muistit, siirrettävät tallennusasemat, USB-tikut ja DVD-levyt.

Organisaation olisi määriteltävä, minkä siirrettävien tietovälineiden käyttö on sallittua.


Vaatimuksia muissa frameworkeissä

Läheisesti liittyvät Digiturvakartan muut kohdat

Tämän osa-alueen sisällöt liittyvät läheisesti etenkin näihin kohtiin Digiturvakartan muista osasista:
Digiturvakoulutukset
Digiturvakoulutuksella tarkoitetaan tietoturvaan ja tietosuojaan liittyvien periaatteiden sekä organisaation päättämien toimintasäätöjen kouluttamista henkilöstölle. Tehdyn koulutuksen osoittaminen ja riittävyyden arviointi ovat oleellinen osa osaamisen varmistamista.
Verkkoviestintä
Internetin käyttäjät voivat jakaa tietoa helposti kenen tahansa kanssa, julkisesti tai yksityisesti, mm. sosiaalisen median palveluissa, sähköpostitse, VoIP-puheluohjelmien tai blogien kautta. Henkilöstön turvalliset toimintatavat luottamuksellisen tiedon käsittelyyn verkkoviestinnän yhteydessä ovat oleellinen osa digiturvasuunnitelmaa.
Salasanat ja pääsynhallinta
Salasanojen avulla voimme tunnistautua tietojärjestelmiin, laitteille tai muiden luottamuksellisten tietojen äärelle. Vaikka salasanat yleensä säilötään salakirjoitettuina ja suolattuina, tietovuotojen yhteydessä salasanoja voi vuotaa ja etenkin heikot salasanat saadaan paljastettua helposti.