Salasanat ja kirjautuminen

Salasanojen avulla voimme tunnistautua tietojärjestelmiin, laitteille tai muiden luottamuksellisten tietojen äärelle. Vaikka salasanat yleensä säilötään salakirjoitettuina ja suolattuina, tietovuotojen yhteydessä salasanoja voi vuotaa ja etenkin heikot salasanat saadaan paljastettua helposti.
salasanat ja tunnisteet
turvallinen tunnistautuminen
salasanahallinta
Huom.! Tätä artikkelia täydennetään vielä. Lisää sisältöä tulossa piakkoin.

Vaatimustaso

Tason 1 asiat ovat pakollisia peruasioita, joista jokaisen organisaation, vaikka digitaalisuus tai datan käsittely ei korostuisikaan, olisi syytä pitää hyvää huolta.
Tason 2 asiat ovat digiturvan oleellisia ydinasioita, jotka ovat tärkeitä useimmille organsiaatioille ja joilla voidaan huomattavasti parantaa digiturvan tasoa. Nämä liittyvät yleensä tiiviisti tason 1 asioihin.
Tason 3 asiat ovat syventäviä digiturvateemoja, jotka eivät korostu jokaisen organisaation toiminnassa, mutta joiden voidaan entisestään parantaa tietoturvan ja tietosuojan saralla.
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3

Suositeltu organisointi

Teemoille, jotka ovat sopivan kokoisia ja koordinoitavissa ilman jalkauttamista yksikkö- tai esimerkiksi järjestelmäkohtaisesti, on helpompaa nimetä selkeä(t) vastuuhenkilö(t). Vastuuhenkilöllä on oltava tarvittavat valtuudet ja resurssit teeman hoitamiseen. Vastuuhenkilö voi olla esimerkiksi tietoturvapäällikkö tai tietosuojavastaava.
Teemoille, jotka vaativat järjestelmä- tai rekisterikohtaista koordinointia, organisointi kannattaa hoitaa pääkäyttäjien kautta. Tietojärjestelmät ja rekisterit ovat organisaation avainomaisuutta, joiden pääkäyttäjälle tai yhteyshenkilölle kuuluu vastuilleen erilaisten käytäntöjen hoitamista tai sääntöjen valvomista.
Teemoille, jotka ovat turhan laajoja yksittäisten vastuuhenkilöiden koordinoitaviksi, ja jotka eivät suoraan organisoidu järjestelmä- tai rekisterivetoisesti, suosittelemme yksikkökohtaista koordinointia. Jokaisessa yksikössä (myynti, tuotanto, talous, asiakaspalvelu, jne.) olisi oltava vastuuhenkilö, joka huolehtii esimerkiksi tiedon keräämisen tai sääntöjen jalkauttamisen oman yksikkönsä henkilöstölle.
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt

Osa-alueen tavoite, riskit ja haasteet

Hyvät käytännöt salasanojen suhteen ovat yksi ensimmäisistä puolustuslinjoista, jolla voimme suojata luottamuksellisia tietojamme. Salasana on vähän kuin oma henkilökohtainen henkivartijamme suojaamassa meitä huijareilta ja hakkereilta, joten kannattaa mieluummin valita uniikki ja vahva, kuin yksinkertainen ja heikko. Osan salasanatoimista voi tehdä pääkäyttäjä tai yleinen sysadmin, mutta iso osa jää myös käyttäjän itsensä vastuulle.

Salanaojen vahvuus korostuu tietoturvaloukkauksen yhteydessä. Jos joku palvelu vuotaa käyttäjätietonsa huijarille, he alkavat saman tien offline-hyökkäyksenä murtaa salasanojen salausta. Heikoimmat salasanat on yleensä murrettu minuuttien kuluessa, vahvoja ei saada selville vuosissakaan. Mikäli heikkoa, vastikään murretua salasanaa on sitten käyttänyt muissakin palveluissa, on huijarilla mahdollisuudet tehdä pahaa vahinkoa. Salasanoja voidaan joissain palveluissa korvata sormenjäljillä tai muilla biometrisillä tunnisteilla, mutta näissä on omat ongelmansa. Mitä tehdä, jos sormenjälki vuotaa huijarien haltuun?

Olemme ryhmitelleet myös tunnistautumiseen yleisemmin liittyvät ohjeet ja hyvät käytännöt, kuten monivaiheisen tunnistautumisen käyttämisen tai yhteyskäyttötunnusten välttämisen, osaksi samaa digiturvatyön osa-aluetta.

Esimerkkejä sisällöistä

Selvitettäviä kysymyksiä

Nämä ovat esimerkkejä asioista, joiden selvittämistä ja mahdollisesti raportoimista tämän osa-alueen käsitteleminen vaatii organisaartiolta.
No items found.

Mahdollisia toimintatapoja

Seuraavat sisältöesimerkit antavat tarkempia esimerkkejä siitä, millaisilla käytännöillä tai säännöillä tämän osa-alueen turvallisuutta voidaan kehittää.
Salasanoihin liittyvät yleiset säännöt

Salasanojen käsittelyyn ja päivittämiseen liittyvät säännöt on määritelty ja niiden noudattamista valvotaan.

Säännöt voivat sisältää mm. seuraavia asioita:

  • Älä koskaan jaa kirjautumistietojasi muille
  • Älä kirjaa tunnistautumistietoja muualle kuin salasanojen hallintajärjestelmään (esim. paperille tai tekstitiedostoon)
  • Älä käytä samaa salasanaa useissa eri järjestelmissä
  • Opettele ja noudata kriteerit salasanojen minimilaadulle
  • Aseta salasanasi uusiksi ensimmäisellä kirjautumiskerralla
  • Käsittele salasanan palauttamiseen käytettyjen turvakysymysten vastauksia yhtä luottamuksellisina ja ei-arvattavina kuin salasanoja
Tunnistautumiseen liittyvät yleiset säännöt

Tunnistautumiseen liittyvät säännöt on määritelty ja niiden noudattamista valvotaan.

Säännöt voivat sisältää mm. seuraavia asioita:

  • Suosi organisaation ohjeistamia tunnistautumistapoja aina kun mahdollista
  • Käytä kaksivaiheista tunnistautumista tärkeissä järjestelmissä
  • Älä käytä tai luo yhteiskäyttötunnuksia ilman omistajan lupaa
  • Älä anna ulkopuoliselle pääsyä laitteeseesi, myöskään etäyhteydellä, jos et ole saanut lupaa ennalta
  • Huomioi selaimen antamat varoitukset kirjautuessasi
  • Vaihda tunnistautumistietosi, mikäli on mahdollista, että ne ovat paljastuneet
  • Raportoi kaikki luvattomat pääsyt tietoihin tietoturvatapahtumana eteenpäin
  • Ilmoita kadonneista / varastetuista kulkukorteista tai muista tunnisteista ilmoitusprosessin mukaisesti
Salasanan hallintajärjestelmän käyttö ja arviointi

Salasanojen hallintajärjestelmä antaa käyttäjän rekisteröitymistilanteessa päättää, mitenkä monimutkainen salasana tällä kertaa laitetaan, ja muistaa sen käyttäjän puolesta.

Salasanojen hallintajärjestelmän käytössä voidaan noudattaa mm. seuraavia periaatteita:

  • järjestelmä pakottaa käyttämään jatkossa yksilöllisiä salasanoja
  • järjestelmä varoittaa käyttäjää vaihtamaan vanhat toistuvat salasanat
  • järjestelmä pakottaa valitsemaan tarpeeksi monimutkaisia, laadukkaita salasanoja
  • järjestelmä pakottaa käyttäjän vaihtamaan tilapäisen salasanan ensimmäisellä kirjautumiskerralla
  • järjestelmä pakottaa vaihtamaan mahdollisesti tietovuodossa vaarantuneen salasanan
  • järjestelmä estää samojen salasanojen uudelleen käyttämisen
  • järjestelmä säilyttää salasanatiedostot erillään muista tiedoista ja vahvasti salattuina
Pääsyoikeuksien säännöllinen katselmointi

Todellisten pääsyoikeuksien vastaavuutta suunniteltuun on valvottavat ja pääsyoikeuksia uudelleenarvioitava säännöllisin aikavälein.


Hyväksyttyjen tunnistautumistapojen määrittely

Useita pilvipalveluita käyttäessään käyttäjä voi itse määritellä, millä tavalla hän palveluun tunnistautuu. Yksittäinen keskitetty tunnistautumistili (esim. Google- tai Office365-tili) voi auttaa sulkemaan iso määrä pääsyoikeuksia kerralla, kun tunnistautumistapana toimiva käyttäjätili suljetaan.


Jaettujen käyttäjätunnusten välttäminen ja dokumentointi

Jaetut käyttäjätunnukset olisi sallittava vain, jos ne ovat tarpeellisia liiketoiminnallisista tai toiminnallisista syistä, ja ne olisi hyväksytettävä ja dokumentoitava.

Vaatimuksia muissa frameworkeissä

Läheisesti liittyvät Digiturvakartan muut kohdat

Tämän osa-alueen sisällöt liittyvät läheisesti etenkin näihin kohtiin Digiturvakartan muista osasista:
Suojausjärjestelmät
Suojausjärjestelmät ovat teknisiä systeemejä, joilla pyritään nimenomaisesti parantamaan omaa tietoturvatasoa ja vastaamaan uhkiin - ei käsittelemään tietoja perinteisessä mielessä.
Digiturvakoulutukset
Digiturvakoulutuksella tarkoitetaan tietoturvaan ja tietosuojaan liittyvien periaatteiden sekä organisaation päättämien toimintasäätöjen kouluttamista henkilöstölle. Tehdyn koulutuksen osoittaminen ja riittävyyden arviointi ovat oleellinen osa osaamisen varmistamista.
Pääsyoikeusroolit
Pääsyoikeuksien hallinnan tavoitteena on minimoida pääsy henkilötietoihin kuitenkin niin, että oikeilla ihmisillä on oikeaan aikaan pääsy oikeaan tietoon ja oikeista syistä.
Tunnistautumistavat
Hyvin mietitty henkilötietoja käsittelevien henkilöiden tunnistaminen on merkittävä toimenpide turvallisuuden eteen. Iso osa tietoturvaloukkauksista johtuu esimerkiksi vaaraantuneista salasanoista.