Verkkoviestinnän käytännöt

Internetin käyttäjät voivat jakaa tietoa helposti kenen tahansa kanssa, julkisesti tai yksityisesti, mm. sosiaalisen median palveluissa, sähköpostitse, VoIP-puheluohjelmien tai blogien kautta. Henkilöstön turvalliset toimintatavat luottamuksellisen tiedon käsittelyyn verkkoviestinnän yhteydessä ovat oleellinen osa digiturvasuunnitelmaa.
sosiaalinen media
phishing
verkkoselaimet
Huom.! Tätä artikkelia täydennetään vielä. Lisää sisältöä tulossa piakkoin.

Vaatimustaso

Tason 1 asiat ovat pakollisia peruasioita, joista jokaisen organisaation, vaikka digitaalisuus tai datan käsittely ei korostuisikaan, olisi syytä pitää hyvää huolta.
Tason 2 asiat ovat digiturvan oleellisia ydinasioita, jotka ovat tärkeitä useimmille organsiaatioille ja joilla voidaan huomattavasti parantaa digiturvan tasoa. Nämä liittyvät yleensä tiiviisti tason 1 asioihin.
Tason 3 asiat ovat syventäviä digiturvateemoja, jotka eivät korostu jokaisen organisaation toiminnassa, mutta joiden voidaan entisestään parantaa tietoturvan ja tietosuojan saralla.
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3

Suositeltu organisointi

Teemoille, jotka ovat sopivan kokoisia ja koordinoitavissa ilman jalkauttamista yksikkö- tai esimerkiksi järjestelmäkohtaisesti, on helpompaa nimetä selkeä(t) vastuuhenkilö(t). Vastuuhenkilöllä on oltava tarvittavat valtuudet ja resurssit teeman hoitamiseen. Vastuuhenkilö voi olla esimerkiksi tietoturvapäällikkö tai tietosuojavastaava.
Teemoille, jotka vaativat järjestelmä- tai rekisterikohtaista koordinointia, organisointi kannattaa hoitaa pääkäyttäjien kautta. Tietojärjestelmät ja rekisterit ovat organisaation avainomaisuutta, joiden pääkäyttäjälle tai yhteyshenkilölle kuuluu vastuilleen erilaisten käytäntöjen hoitamista tai sääntöjen valvomista.
Teemoille, jotka ovat turhan laajoja yksittäisten vastuuhenkilöiden koordinoitaviksi, ja jotka eivät suoraan organisoidu järjestelmä- tai rekisterivetoisesti, suosittelemme yksikkökohtaista koordinointia. Jokaisessa yksikössä (myynti, tuotanto, talous, asiakaspalvelu, jne.) olisi oltava vastuuhenkilö, joka huolehtii esimerkiksi tiedon keräämisen tai sääntöjen jalkauttamisen oman yksikkönsä henkilöstölle.
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt

Osa-alueen tavoite, riskit ja haasteet

Verkkoviestinnän helppous ja toisaalta persoonattomuus vetää puoleensa paljon huijareita. Phishing on yleistyvä teema, jossa huijari esittää henkilölle ennestään tuttua ja luotettavaa tahoa, ja omaa ehkäpä jossain aiemmin tapahtuneessa tietoturvaloukkauksessa vuotaneita henkilötietoja (tilaustietoja, sijaintitietoja, jne.) tämän mielikuvan vahvistamiseksi. Mikäli henkilöstö ei ole tietoinen phishing-tekniikoista ja tavoista huijauksen tunnistamiseen, voi olla melkoisen helppoa haksahtaa huijaukseen. Phishing-huijaukset eivät ole lähelläkään kirjoitusvirheitä pullollaan olevia rahanlähetyskirjeitä, vaan monesti sertifikaatteja myöten erittäin taitavasti toteutettuja huijauksia.

Verkkoviestinnässä kohdataan usein myös tietosuojaan liittyviä haasteita. Some-päivityksiin saatetaan liittää luottamuksellista tietoa, jotka kuuluisivat ainoastaan työpaikalle. Sähköpostia suhautellaan liikkeelle olematta ihan varma vastaanottajan osoitteesta tai sisällöstä, joka sähköpostilla välitettäväksi soveltuu. Omia käyttäjätunnuksia lähetellään kaverin käytettäväksi ongelmatilanteissa, milloin milläkin välineellä. Nämä toimintatavat voivat johtaa isoihin ongelmiin.

Verkossa asiointi suoritetaan pääosin verkkoselaimen kautta. Nykyaikaisten selainten käytön varmistaminen on yksi osa turvallista verkkoviestintää. Monet nykyaikaiset verkkopalvelut eivät kunnolla toimi vanhanaikaisilla selaimilla (esim. Internet Explorer) ja niihin voi jäädä turvallisuusongelmia, mikäli palveluntarjoaja ei aktiivisesti huolehdi niiden ylläpidosta. Silti monella työntekijällä kerran tehty selainvalinta asuu tiukassa. Tähän kuitenkin kannattaa patistaa mm. turvallisuuden, varmemman toiminnan ja helpomman ohjeistamisen takia.

Esimerkkejä sisällöistä

Selvitettäviä kysymyksiä

Nämä ovat esimerkkejä asioista, joiden selvittämistä ja mahdollisesti raportoimista tämän osa-alueen käsitteleminen vaatii organisaartiolta.
No items found.

Mahdollisia toimintatapoja

Seuraavat sisältöesimerkit antavat tarkempia esimerkkejä siitä, millaisilla käytännöillä tai säännöillä tämän osa-alueen turvallisuutta voidaan kehittää.
Verkkoviestinnän yleiset säännöt

Verkkoviestinnän yleiset säännöt on määritelty ja niiden noudattamista valvotaan.

Säännöt voivat sisältää mm. seuraavia asioita:

SELAIN

  • Käytä ainoastaan organisaation suosittelemia selaimia
  • Huolehdi selaimesi ajantasaisuudesta (joko auto-update -toiminnolla tai omilla päivityksillä)

SÄHKÖPOSTI

  • Varmista oikea vastaanottajan osoite sähköpostiä lähetettäessä
  • Älä välitä salassapidettäviä tietoja suojaamattomassa sähköpostissa
  • Älä jaa turhaan sähköpostin vastaanottajatietoja ja käytä to, cc ja bcc kenttiä oikein
  • Älä ohjaa työsähköposteja eteenpäin henkilökohtaisiin osoitteisiin

TERVE VAROVAISUUS

  • Varo epätavallisia sähköposteja
  • Älä välitä ketjukirjeitä eteenpäin
  • Käytä työsähköpostia ja työlaitteita vain työasioiden hoitamiseen

YKSITYISYYS

  • Älä lörpöttele työasioita somessa tai muissa verkkopalveluissa
  • Älä viattomissakaan keskusteluissa anna salassapidettävää tietoa
  • Vältä luottamuksellisen tiedon sisällyttämistä suoraan tekstiviestiin tai puhelinvastaajaviestiin
Huijausten vastaisen toiminnan yleiset säännöt

Huijausten vastaisen toiminnan yleiset säännöt on määritelty ja niiden noudattamista valvotaan.

Säännöt voivat sisältää mm. seuraavia asioita:

TARKISTUKSET

  • Tarkista, mihin linkki osoittaa, ennen kuin klikkaat
  • Tarkista sivuston https-suojaus ja verkko-osoitteen muoto
  • Huomioi selaimesi antamat varoitukset

TIETOISUUS

  • Seuraa IT-osaston tiedotusta phishing-tekniikoista
  • Suhtaudu epäilevästi kaikkiin tiedusteluihin, jotka liittyvät salasanoihisi tai järjestelmien käyttöoikeuksiin.
  • Tiedosta huijaussähköpostien, huijauspuheluiden, huijausmainosten ja haitallisten popup-ikkunoiden olemassaolo

TOIMINTA

  • Älä lataa / asenna ohjelmistoja verkosta, jos se ei kuulu työtehtäviisi
  • Estä popup-ikkunat oletuksena ja hyväksy vain tarvittaessa
  • Älä jätä online-tilejä olemassaolemaan käyttämättöminä
  • Älä täytä luottamuksellista tietoa sähköpostiisi saamasi linkin kautta
  • Älä lähetä luottamuksellisia tietoja sähköpostiviestissä
Selainten keskitetty päivittäminen

Selaimiin julkaistaan jatkuvasti päivityksiä joko turvallisuuden tai muuten käyttökokemuksen vuoksi.

Joissain selaimissa (Chrome, Firefox) auto-update -toiminto on päällä oletuksena. Joskus päivityksistä voidaan puolestaan haluta huolehtia keskitetysti.


Harkitusti valittujen selainten käyttäminen

Verkkoselaimen valinta ja pitäminen ajan tasalla vaikuttaa suuresti mm.:

  • verkkopalvelujen käyttökokemukseen
  • verkkopalvelujen yleiseen toimintaan
  • verkkoselailusi turvallisuuteen

Kun koko organisaatio käyttää huolella valittua selainta, ohjeistaminen on helpompaa ja turvallisuus parantuu.


Vaatimuksia muissa frameworkeissä

Läheisesti liittyvät Digiturvakartan muut kohdat

Tämän osa-alueen sisällöt liittyvät läheisesti etenkin näihin kohtiin Digiturvakartan muista osasista:
Digiturva sopimuksissa
Henkilöstöä voidaan sitouttaa digiturva-asioiden noudattamiseen mm. käsittelemällä digiturvavastuut selkeästi työsopimuksissa, käyttäen salassapitositoumuksia sekä ohjaamalla digiturvasääntöjen noudattamiseen esimerkiksi sääntöjen muodollisella hyväksymisellä.
Digiturvakoulutukset
Digiturvakoulutuksella tarkoitetaan tietoturvaan ja tietosuojaan liittyvien periaatteiden sekä organisaation päättämien toimintasäätöjen kouluttamista henkilöstölle. Tehdyn koulutuksen osoittaminen ja riittävyyden arviointi ovat oleellinen osa osaamisen varmistamista.
Etätyö ja laitteet
Nykyään yhä suurempi osa työstä suoritetaan liikkeessä ja työvälineillä, joita ei ole sidottu "toimiston turvaan". Hallittu pilvipalvelujen hallinta ja käyttö tai tietoturvan parantaminen VPN-yhteyksin tai työpöytävirtualisoinnein voi olla harkinnan arvoista.