Kulunvalvonta- ja vieraskäytännöt

Tilojemme fyysistä suojausta tarvitaan vaihteleva määrä siitä riippuen, millaista suojattavaa omaisuutta tiloissa säilytämme. Toimitilojen kulunvalvonta ja käytännöit turvalliseen vierailijoiden hallintaan ovat fyysisen turvallisuuden perusasioita.
fyysinen turvallisuus
toimitilat ja rakennukset
pääsynvalvonta
Huom.! Tätä artikkelia täydennetään vielä. Lisää sisältöä tulossa piakkoin.

Vaatimustaso

Tason 1 asiat ovat pakollisia peruasioita, joista jokaisen organisaation, vaikka digitaalisuus tai datan käsittely ei korostuisikaan, olisi syytä pitää hyvää huolta.
Tason 2 asiat ovat digiturvan oleellisia ydinasioita, jotka ovat tärkeitä useimmille organsiaatioille ja joilla voidaan huomattavasti parantaa digiturvan tasoa. Nämä liittyvät yleensä tiiviisti tason 1 asioihin.
Tason 3 asiat ovat syventäviä digiturvateemoja, jotka eivät korostu jokaisen organisaation toiminnassa, mutta joiden voidaan entisestään parantaa tietoturvan ja tietosuojan saralla.
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3

Suositeltu organisointi

Teemoille, jotka ovat sopivan kokoisia ja koordinoitavissa ilman jalkauttamista yksikkö- tai esimerkiksi järjestelmäkohtaisesti, on helpompaa nimetä selkeä(t) vastuuhenkilö(t). Vastuuhenkilöllä on oltava tarvittavat valtuudet ja resurssit teeman hoitamiseen. Vastuuhenkilö voi olla esimerkiksi tietoturvapäällikkö tai tietosuojavastaava.
Teemoille, jotka vaativat järjestelmä- tai rekisterikohtaista koordinointia, organisointi kannattaa hoitaa pääkäyttäjien kautta. Tietojärjestelmät ja rekisterit ovat organisaation avainomaisuutta, joiden pääkäyttäjälle tai yhteyshenkilölle kuuluu vastuilleen erilaisten käytäntöjen hoitamista tai sääntöjen valvomista.
Teemoille, jotka ovat turhan laajoja yksittäisten vastuuhenkilöiden koordinoitaviksi, ja jotka eivät suoraan organisoidu järjestelmä- tai rekisterivetoisesti, suosittelemme yksikkökohtaista koordinointia. Jokaisessa yksikössä (myynti, tuotanto, talous, asiakaspalvelu, jne.) olisi oltava vastuuhenkilö, joka huolehtii esimerkiksi tiedon keräämisen tai sääntöjen jalkauttamisen oman yksikkönsä henkilöstölle.
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt

Osa-alueen tavoite, riskit ja haasteet

Nykyään omissa toimitiloissa saatetaan varsinaisesti varastoida melko vähäistäkin määrää tietoa. Mikäli organisaatio toimii vahvasti pilvivetoisesti eikä käsittele tietoja juurikaan papereissa ja mapeissa, fyysinen turvallisuus korstuu vähemmän. Tottakai jokaisella organisaatiolla on toimitiloissaan kuitenkin suojattavana laitteistoa ja omaa arvokasta henkilöstöä.

Fyysisen turvallisuuden korostuminen riippuu siis vahvasti toiminnan piirteistä. Myös toimitilajärjestelyt vaikuttavat, ollaanko omassa rakennuksessa vai huolehtiiko toimistohotellin tarjoaja monista fyysisen turvallisuuden asioista. Tästä syystä perinteisen fyysisen turvallisuuden syvin pääty ei korostu Digiturvakartalla.

Jokaisen organisaation on kuitenkin järkevää huolehtia turvallisen toimitiloissa kulun perusteista. Tämä voi tarkoittaa kulunvalvontaratkaisujen, kuten liikkumislokia tuottavien avainten käyttöä, selkeät toimintatavat vierailujen kirjaukseen ja valvontaan tai pidemmälle mentäessä eri tasoisten turva-alueiden tunnistamista, joista kriittisimmille vaaditaan vahvempia, esimerkiksi monivaiheisia, tunnistautumismentelmiä.

Esimerkkejä sisällöistä

Selvitettäviä kysymyksiä

Nämä ovat esimerkkejä asioista, joiden selvittämistä ja mahdollisesti raportoimista tämän osa-alueen käsitteleminen vaatii organisaartiolta.
No items found.

Mahdollisia toimintatapoja

Seuraavat sisältöesimerkit antavat tarkempia esimerkkejä siitä, millaisilla käytännöillä tai säännöillä tämän osa-alueen turvallisuutta voidaan kehittää.
Fyysisen pääsyn valvonta rakennuksiin, toimistoihin ja muihin toimipaikkoihin

Organisaation toimitiloihin ei pääse luvatta, vaan esimerkiksi vastaanotossa oleva päivystäjä tai muu järjestely valvoo fyysistä pääsyä rakennukseen. Pääsy organisaation rakennuksiin on täten rajoitettu vain valtuutettuun henkilöstöön.


Sähköistä liikkumislokia tuottavien avainten tai muiden tunnisteiden käyttö

Toimitiloissa ei voi liikkua ilman tunnisteita, jotka tallentavat henkilön liikkeet sähköiseen lokikirjaan.


Vahva tunnistus erittäin luottamuksellisen tiedon käsittely- tai varastointialueille

Pääsy alueille, joissa käsitellään tai varastoidaan luottamuksellista tietoa, olisi rajoitettava vain valtuutettuihin yksilöihin toteuttamalla asianmukainen pääsynhallinta, esim. käyttämällä kaksivaiheista todentamismekanismia, kuten kulkukorttia ja tunnuslukua.


Vierailijoiden rajattu pääsy tiloihin ja vierailijaloki

Kun toimitiloissa käy vieraita, heidän saapumisen ja poistumisen ajankohta sekä vastaava henkilö kirjataan ylös. Vierailijoiden henkilöllisyydet myös todennetaan asianmukaisin keinoin. Vierailusta vastaava henkilö vastaa ja valvoo vierailijaa vierailun ajan, ellei pääsyä ole ennalta hyväksytty.

Vierailijoille annetaan pääsy ainoastaan määriteltyihin valtuutettuihin tarkoituksiin ja heille annetaan tarvittaessa ohjeet muista vierailuun liittyvistä turvallisuusvaatimuksista ja hätätilannemenettelyistä.

Yleiset kulunvalvontasäännöt

Yleiset säännöt kulunvalvonnan toteuttamista varten on määritelty ja niiden noudattamista valvotaan.

Säännöt voivat sisältää mm. seuraavia asioita:

OVET / LUKITUKSET

  • Lukitse työhuoneesi ovi sekä toimitilasi ulko-ovi poistuessasi työpäivän päätteeksi tai pidemmäksi aikaa
  • Älä jätä auki kulunvalvonnassa olevia tai ovia, jotka on muuten tarkoitettu pidettäväksi suljettuina

KULUNVALVONNAN TUKEMINEN

  • Ilmoita kaikista liikkujista tiloissamme ilman tunnistetta
  • Älä anna esimerkiski tietokoneita tai verkkoja korjaaville henkilöille valvomatonta pääsyä järjestelmille tai laitteille

VIERAILUKÄYTTÖ JA NEUVOTTELUTILAT

  • Käytä vierailukäyttöön ainoastaan siihen tarkoitettuja neuvottelutiloja
  • Älä jätä neuvottelutiloihin arkaluonteisesta materiaalia esimerkiksi vierailun ajaksi tai sisäisen neuvottelun jälkeen

Vaatimuksia muissa frameworkeissä

Läheisesti liittyvät Digiturvakartan muut kohdat

Tämän osa-alueen sisällöt liittyvät läheisesti etenkin näihin kohtiin Digiturvakartan muista osasista:
Laitteiston suojaus ja huolto
Tietoteknisen suojaamisen lisäksi tärkeitä laitteitamme on suojattava fyysisesti mm. sijoittamalla ne asianmukaisiin tiloihin, valvomalla niiden ympäristöolosuhteita sekä valvomalla pääsyä niiden luokse.
Tunnistautumistavat
Hyvin mietitty henkilötietoja käsittelevien henkilöiden tunnistaminen on merkittävä toimenpide turvallisuuden eteen. Iso osa tietoturvaloukkauksista johtuu esimerkiksi vaaraantuneista salasanoista.