Järjestelmien hankintakriteerit

Tietojärjestelmät ovat kriittinen osa digiturvaa. Pienelläkin organisaatiolla erilaisia järjestelmiä on kymmeniä, isommilla satoja. Tietojärjestelmien järjestelmällisellä hankinnalla voidaan parantaa portfolion yhteensopivuutta, turvallisuutta ja keskittää avainasioita halutuille toimittajille.
pilvipalvelut
hosting
app portfolio management
Huom.! Tätä artikkelia täydennetään vielä. Lisää sisältöä tulossa piakkoin.

Vaatimustaso

Tason 1 asiat ovat pakollisia peruasioita, joista jokaisen organisaation, vaikka digitaalisuus tai datan käsittely ei korostuisikaan, olisi syytä pitää hyvää huolta.
Tason 2 asiat ovat digiturvan oleellisia ydinasioita, jotka ovat tärkeitä useimmille organsiaatioille ja joilla voidaan huomattavasti parantaa digiturvan tasoa. Nämä liittyvät yleensä tiiviisti tason 1 asioihin.
Tason 3 asiat ovat syventäviä digiturvateemoja, jotka eivät korostu jokaisen organisaation toiminnassa, mutta joiden voidaan entisestään parantaa tietoturvan ja tietosuojan saralla.
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3

Suositeltu organisointi

Teemoille, jotka ovat sopivan kokoisia ja koordinoitavissa ilman jalkauttamista yksikkö- tai esimerkiksi järjestelmäkohtaisesti, on helpompaa nimetä selkeä(t) vastuuhenkilö(t). Vastuuhenkilöllä on oltava tarvittavat valtuudet ja resurssit teeman hoitamiseen. Vastuuhenkilö voi olla esimerkiksi tietoturvapäällikkö tai tietosuojavastaava.
Teemoille, jotka vaativat järjestelmä- tai rekisterikohtaista koordinointia, organisointi kannattaa hoitaa pääkäyttäjien kautta. Tietojärjestelmät ja rekisterit ovat organisaation avainomaisuutta, joiden pääkäyttäjälle tai yhteyshenkilölle kuuluu vastuilleen erilaisten käytäntöjen hoitamista tai sääntöjen valvomista.
Teemoille, jotka ovat turhan laajoja yksittäisten vastuuhenkilöiden koordinoitaviksi, ja jotka eivät suoraan organisoidu järjestelmä- tai rekisterivetoisesti, suosittelemme yksikkökohtaista koordinointia. Jokaisessa yksikössä (myynti, tuotanto, talous, asiakaspalvelu, jne.) olisi oltava vastuuhenkilö, joka huolehtii esimerkiksi tiedon keräämisen tai sääntöjen jalkauttamisen oman yksikkönsä henkilöstölle.
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt

Osa-alueen tavoite, riskit ja haasteet

Tietojärjestelmät ovat nykyaikaisen tietointensiivisen toiminnan ytimessä ja toimittajat ovat kriittisiä jokaisen organisaation toiminnalle. Kun hankimma uusia tietojärjestelmiä, emme voi ulkoistaa vastuuta, vaan päätämme samalla luottaa tämän järjestelmän toimittajaan. Toimittaja vastaa usein isosta osasta teknistä tietoturvaa ja käsittelee (eli vähintään omaa pääsyn) arvokkaisiin ja luottamuksellisiin tietoihimme.

Tietojärjestelmien hankintaa voidaan ohjata mm. määrittelemällä yleiset säännöt ohjaamaan uusien järjestelmien valintaa. Mitkä kriteerit toimittajan tulee täyttää? Pitääkö järjestelmän tukea tiettyjä tunnistautumistapoja? Onko siinä oltava tietynlainen rajapinta integroituakseen muihin järjestelmiimme? Onko meillä oltava vastuuhenkilö, joka seuraa toimittajan toimintaa ja sopimusvelvotteiden täyttämistä? Eroavatko vaatimamme kriteerit korkean riskin järjestelmien suhteen?

Esimerkkejä sisällöistä

Selvitettäviä kysymyksiä

Nämä ovat esimerkkejä asioista, joiden selvittämistä ja mahdollisesti raportoimista tämän osa-alueen käsitteleminen vaatii organisaartiolta.
No items found.

Mahdollisia toimintatapoja

Seuraavat sisältöesimerkit antavat tarkempia esimerkkejä siitä, millaisilla käytännöillä tai säännöillä tämän osa-alueen turvallisuutta voidaan kehittää.
Järjestelmien hankintaa ja valintaa koskevat yleiset säännöt

Sopivimman järjestelmän valintaa ohjaamaan on määritelty säännöt ja niiden noudattamista valvotaan.

Hankintasäännöt voivat sisältää mm. seuraavia asioita:

  • Järjestelmä täyttää uuden, erillisen liiketoimintatarpeen
  • Järjestelmä integroituu hyvin muihin käytettyihin järjestelmiin ja tunnistautumistapoihin
  • Järjestelmä täyttää turvallisuuden minimivaatimukset kriittisyysluokkansa mukaan
  • Järjestelmä sopii järjestelmäportfolioomme nyt ja tulevaisuudessa
  • Järjestelmä ei vaadi liikaa kustomointia tarpeellisuuteensa nähden
  • Palveluntarjoaja on kannattava yritys vahvoilla referensseillä ja historialla
  • Henkilöstöllä on tarvittava osaaminen helposti tarjolla järjestelmän hyödyntämiseksi
Hankittujen järjestelmien turvallisuutta koskevat yleiset säännöt

Sopivien järjestelmävaihtoehtojen valitsemista ohjaamaan on määritelty minimivaatimukset järjestelmien turvallisuudelle ja niiden noudattamista valvotaan.

Minimivaatimukset voivat sisältää mm. seuraavia asioita:

MATALA RISKI

  • Järjestelmä käyttää hyväksyttyjä tunnistautumistapoja
  • Järjestelmä noudattaa organisaation vaatimia salasanojen laatuvaatimuksia
  • Palveluntarjoaja toimii kannattavasti ja tiedottaa selvästi muutoksista
  • Tietoliikenne on salattu vaaditusti (esim. vähintään TLS 1.1 -salauksella)

KESKIVERTO RISKI

  • Järjestelmä integroituu käytettyyn IAM-ratkaisuun tai tukee kaksivaiheista tunnistautumista
  • Palveluntarjoaja hyödyntää erillista staging-ympäristöä testaukseen
  • Järjestelmä skaalautuu ja on vikasietoinen
  • Järjestelmä sisältää kattavan käytön valvonnan ja ehdoissa on sitouduttu lokien toimittamiseen asiakkaalle pyynnöstä
  • Palveluntarjoaja on sitoutunut sopimuksellisesti palauttamaan ja tuhoamaan asiakkaan tiedot käytön päättyessä

KORKEA RISKI

  • Palveluntarjoaja omaa määritellyt sertifikaatit (esim. ISO27001, SOC2, NIST, PCI DSS)
  • Palveluntarjoaja on läpäissyt tarkemman tietoturva- ja tietosuoja-analyysin
Vaadittujen sertifikaattien tai standardien määrittely korkean riskin järjestelmien toimittajille

Huolella valitut sertifikaatit voivat olla hyviä yleisesti tunnistettuja todisteita tietystä tietoturva- tai tietosuojatasosta.

Organisaatio voi päättää vaatia tärkeiltä kumppaneilta tietyn sertifikaatin omaamista. Yleisesti tunnistettuja digiturvaan liittyviä sertifikaatteja ovat mm.:

  • ISO 27001 (yleinen tietoturva)
  • SOC2 (yleinen tietoturva, kutsutaan myös SSAE 16)
  • ISO 27017 (digiturva pilvipalveluissa)
  • ISO 27018 (tietosuoja pilvipalveluille)
  • muita suosittuja digiturvaan liittyviä standardeja mm. NIST (yleinen), CSA (pilviohjelmistot), PCI DSS (korttimaksaminen)
Tärkeiden järjestelmien toimittajien käsittelysopimuksen analysointi

Käsittelysopimuksella sidotaan henkilötietojen käsittelijän (kuten järjestelmätoimittajan) tekemisiä.

Meille voi olla tärkeää vastuuttaa tärkeää kumppania haluamallamme tasolla huolehtimaan mm. käytön valvonnasta (lokituksista) sekä tietojen palauttamisesta sopimuksen päättyessä haluamiemme toimintatapojen mukaan.


Vaatimuksia muissa frameworkeissä

Läheisesti liittyvät Digiturvakartan muut kohdat

Tämän osa-alueen sisällöt liittyvät läheisesti etenkin näihin kohtiin Digiturvakartan muista osasista:
Tietojärjestelmät
Usein digiturvatyö alkaa omien datavarantojen kartoittamisella. Ensin on helpoin kysyä, mitä erilaisia tietojärjestelmiä meillä on käytössä? Nämä ovat niitä myynnin, markkinoinnin, asiakaspalvelun, HR:n, tuotekehityksen ja muiden yksikköjen työkaluja, joiden kautta luottamuksellisia tietoja käsitellään.
Järjestelmätoimittajat
Erilaisia tietojärjestelmiä kertyy vähänkin isompaan organisaatioon kymmeniä tai satoja. Organisaatiolla on kuitenkin vastuu käyttää vain järjestelmätoimittajia, jotka huomioivat toiminnassaan asiallisesti digiturvan. Tärkeä päätös tehdään siis jo siinä vaiheessa, kun hankittavaa järjestelmää valitaan.
Käsittelysopimukset
Käsittelysopimus on tietossuoja-asetuksen vaatima ja siinä sovitaan vastuunjaosta rekisterinpitäjän sekä henkilötietojen käsittelijän välillä. Henkilötietojen käsittelijä ns. käsittelee henkilötietoja rekisterinpitäjän lukuun sopimuksessa säädetyin tavoin.