Ennakoiva digiturvariskien arviointi

Korkeatasoinen digiturvatyö edellyttää räätälöidysti ennakoivaa toteutusta, jossa erilaisia mahdollisia haitallisia tapahtumia tunnistetaan, priorisoidaan ja niiden hallintakeinoja arvioidaan.
riskilähtöisyys
ennakointi
priorisointi
Huom.! Tätä artikkelia täydennetään vielä. Lisää sisältöä tulossa piakkoin.

Vaatimustaso

Tason 1 asiat ovat pakollisia peruasioita, joista jokaisen organisaation, vaikka digitaalisuus tai datan käsittely ei korostuisikaan, olisi syytä pitää hyvää huolta.
Tason 2 asiat ovat digiturvan oleellisia ydinasioita, jotka ovat tärkeitä useimmille organsiaatioille ja joilla voidaan huomattavasti parantaa digiturvan tasoa. Nämä liittyvät yleensä tiiviisti tason 1 asioihin.
Tason 3 asiat ovat syventäviä digiturvateemoja, jotka eivät korostu jokaisen organisaation toiminnassa, mutta joiden voidaan entisestään parantaa tietoturvan ja tietosuojan saralla.
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3

Suositeltu organisointi

Teemoille, jotka ovat sopivan kokoisia ja koordinoitavissa ilman jalkauttamista yksikkö- tai esimerkiksi järjestelmäkohtaisesti, on helpompaa nimetä selkeä(t) vastuuhenkilö(t). Vastuuhenkilöllä on oltava tarvittavat valtuudet ja resurssit teeman hoitamiseen. Vastuuhenkilö voi olla esimerkiksi tietoturvapäällikkö tai tietosuojavastaava.
Teemoille, jotka vaativat järjestelmä- tai rekisterikohtaista koordinointia, organisointi kannattaa hoitaa pääkäyttäjien kautta. Tietojärjestelmät ja rekisterit ovat organisaation avainomaisuutta, joiden pääkäyttäjälle tai yhteyshenkilölle kuuluu vastuilleen erilaisten käytäntöjen hoitamista tai sääntöjen valvomista.
Teemoille, jotka ovat turhan laajoja yksittäisten vastuuhenkilöiden koordinoitaviksi, ja jotka eivät suoraan organisoidu järjestelmä- tai rekisterivetoisesti, suosittelemme yksikkökohtaista koordinointia. Jokaisessa yksikössä (myynti, tuotanto, talous, asiakaspalvelu, jne.) olisi oltava vastuuhenkilö, joka huolehtii esimerkiksi tiedon keräämisen tai sääntöjen jalkauttamisen oman yksikkönsä henkilöstölle.
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt

Osa-alueen tavoite, riskit ja haasteet

Digiturvatyön tulee olla riskilähtöistä. Toimenpiteitä tulee kohdistaa niihin kohtiin, joiden kautta digiturvan taso paranee (ja riskit täten pienenevät) eniten panostuksiin nähden.

Riskilähtöisyyttä voi toteuttaa monin eri tavoin. Voidaan valita panostusalueita analyysin perusteella, voidaan reagoida häiriöihin ja niiden paljastamiin riskeihin tai voidaan tehdä ennakoivaa riskien tunnistamista, arviointia ja hallintaa - riskien hallintaa puhtaimmillaan. Tämä ennakoiva riskien hallinta on kuitenkin melko haastavaa puuhaa ja vaatii tuekseen hyvän ymmärryksen oman organisaation toimintaympäristöstä, kuten hallinnoimista tiedoista, sidosryhmistä, oman organisaation osaamisesta, laillisista vaatimuksista sekä erilaisista uhkakuvista.

Digiturvatyö kannattaa mielestämme aloittaa perusteista - ennakoivaan riskien hallintaan kannattaa edetä näiden jälkeen. Riskejä on paljon ja monenlaisia. Ennakoivan riskien hallinnan ydintä on tunnistaa, mitkä riskit meidän toimintatapojemme ja- -piirteidemme takoa korostuvat, ja millaisiin riskeihin pystymme järkevän kokoluokan toimenpiteillä tehokkaasti vaikuttamaan? Toimenpiteet riskien hallitsemiseksi voivat tarkoittaa käytäntöjen (esim. koulutus, salaus, vahva tunnistaminen) ottamista käyttöön, oman toiminnan muuttamista (esim. toiminnan rajaaminen tai kieltäminen) tai riskin siirtämistä kumppanille (esim. sopimuskeinoin). Riski voidaan päättää myös hyväksyä ja esimerkiksi varautua sen realisoitumiseen taloudellisin reservein.

Esimerkkejä sisällöistä

  • Huolimattomuus (päivitysten laiminlyönti, huolimaton tiedon vieminen pois tietojärjestelmistä, Henkilötietojen lataaminen suojaamattomille laitteille)
  • Tekniset hyökkäykset (DDoS-hyökkäys, haittaohjelmatartunta, kiristysohjelma)
  • Sosiaaliset hyökkäykset (hakkerointi, phishing, spear-phishing)
  • Puutteelliset prosessit (laitteiston sijainti tiloissa ilman kulunvalvontaa, langattoman verkon puutteellinen suojaus)

Selvitettäviä kysymyksiä

Nämä ovat esimerkkejä asioista, joiden selvittämistä ja mahdollisesti raportoimista tämän osa-alueen käsitteleminen vaatii organisaartiolta.
Kuinka merkittävä riski on?

Riskitapahtuman potentiaaliset seuraukset ja tapahtuman esiintymisen todennäköisyys ovat hyvät kriteerit riskin suuruuden arviointiin - merkityksettömästä sietämättömään.

Millä käytännöillä riskiä hallitaan?

Riskiä voidaan hallita pienentämällä sen todennäköisyyttä tai vakavuutta erilaisin käytännöin. Käytännöt voivat liittyä mm. tekniseen tietoturvaan, yleisiin tietoturvallisuutta parantaviin toimintatapoihin tai henkilöstön ohjeitamiseen. Riskiä voidaan myös siirtää esim. kumppaneille sopimuksin tai vakuutuksin.

Onko riski hyväksyttävällä tasolla?

Hallintatoimenpiteiden käsittelyn jälkeen riski voidaan joko tietoisesti hyväksyä tai omaa toimintaa voidaan muuttaa niin, että riskin profiili muuttuu.

Mahdollisia toimintatapoja

Seuraavat sisältöesimerkit antavat tarkempia esimerkkejä siitä, millaisilla käytännöillä tai säännöillä tämän osa-alueen turvallisuutta voidaan kehittää.
No items found.

Vaatimuksia muissa frameworkeissä

Läheisesti liittyvät Digiturvakartan muut kohdat

Tämän osa-alueen sisällöt liittyvät läheisesti etenkin näihin kohtiin Digiturvakartan muista osasista:
No items found.