ISO 27001

Salauksen hallinta

Teema-alueen vaatimukset

Teeman tehtävien osa-alueet

No items found.
ISO 2700110: Cryptography10Salaus

Salauksen hallinta

Vaatimuskategoriaan liittyvät vaatimukset

Esimerkkejä vaatimuksiin liittyvistä tehtävistä

Klikkaa itsesi yksittäisen vaatimuksen näkymään nähdäksesi kaikki kohtaan liittyvät sisällöt.

Yleinen, riskilähtöinen salauspolitiikka

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Salausratkaisujen tarpeellisuudesta päättäminen nähdään osana kokonaisprosessia, johon sisältyvät riskien arviointi ja muiden hallintatehtävien määrittely.

Organisaatio on laatinut yleisen salauspolitiikan, jota noudatetaan aina tietoa suojattaessa salauksen avulla.

Salauspolitiikka määrittelee:

  • yleiset periaatteet salauksen hallintakeinojen käytölle koko organisaatiossa
  • tarvittavan salaustason määrittelytavat omaisuuden riskien arvioinnin perusteella
  • salauksen käytön mobiililaitteissa
  • tavat salausavainten suojaukseen ja salatun tiedon palauttamiseen avainten kadotessa
  • roolit ja velvollisuudet salaukseen liittyen
  • salauksen vaikutukset muihin tietoturvan hallintajärjestelmän tehtäviin

Ohjeistukset henkilöstölle mobiililaitteiden käyttöön liittyen

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Mobiililaitteiden käyttöä varten on luotu omat ohjeistukset henkilöstölle. Ohjeissa käsitellään:

  • rajoituksia ohjelmistojen asentamiselle sekä eri palvelujen käyttämiselle organisaation laitteilla
  • toimintatapoja uusien laitteiden rekisteröintiin
  • vaatimuksia laitteiden fyysisestä suojaamisesta ja päivitysten asentamisesta
  • pääsynhallintaa koskevia vaatimukset
  • organisaation tietojen suojausta salauksen, haittaohjelmasuojauksen sekä varmuuskopioinnin avulla
  • organisaation mahdollisuuksia etähallita laitetta

Käyttäjien salasanatietojen salaus

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Käytämme vahvaa salausta salasanojen siirron ja tallennuksen aikana kaikissa kehittämissämme palveluissa.

Kannettavien tietokoneiden salaus

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Kannettavat tietokoneet on suojattu full-disk -salauksella.

Älypuhelinten ja tablettien salaus

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Työkäyttöön tarkoitetuiksi älypuhelimiksi ja tableteiksi valitaan laitteita, jotka tukevat full-device -salausta ja salaukset asetetaan päälle.

Siirrettävien tietovälineiden salaus

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Luottamuksellisen tiedon varastoimista siirrettävissä tietovälineissä pyritään välttämään. Kun siirrettäviä tietovälineitä käytetään luottamuksellisen tiedon siirtämiseen, käytetään asiallista suojausta (esim. koko levyn salausta pre-boot autentikoinnilla).

Palvelinten salaus

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Palvelinten levy- ja tiedostojärjestelmä on suojattu salauksella, jotta palvelinten fyysisen varkauden aiheuttamia vaikutuksia voidaan hallita.

Varmuuskopioiden salaus

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Kun varmuuskopioiden luottamuksellisuus on tärkeää, varmuuskopiot suojataan salauksella. Varmuuskopioiden salaamisen tarve voi korostua, kun varmuuskopioita säilytetään fyysisessä sijainnissa, jonka turvallisuuskäytännöistä ei ole varmuutta.

Salaustapojen tarkistaminen ja riittävyyden arviointi

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Käytettäviä salaustapoja valittaessa olisi otettava huomioon mm. seuraavat seikat:

  • salauksen käyttökustannukset
  • salauksen taso (esim. salausalgoritmin tyyppi, voimakkuus ja laatu)
  • suojattavan omaisuuden arvo

Salaushallintakeinojen valinnassa harkitaan aina ulkoisten asiantuntijoiden neuvojen tarpeellisuutta.

Salausavainten hyvät hallintatavat

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Organisaatiomme on määritellyt toimintatavat salausavainten luomiseen, säilyttämiseen, jakamiseen ja poistamiseen.

Salausavainten pituudet ja käyttökäytännöt pyritään valitsemaan parhaiden yleisten käytäntöjen mukaisesti seuraamalla alan kehitystä.

Salausavainten aktivoitumis- ja päättymispäivien hallinta

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Jotta sopimattoman käytön todennäköisyyttä saataisiin pienennettyä, salausavaimille määritellään aktivoitumis- ja vanhentumispäivämäärät, jotta avaimia voidaan käyttää ainoastaan niin kauan kuin on määritelty.

ISO 2700110: Cryptography10SalausSalauksen hallinta

Salauksen hallinta

Tämän vaatimuksen toteuttamiseen liittyvät tehtävät

Alla näet tehtäviä, joiden avulla Digiturvamallissa tämän vaatimuksen toteutusta vastuutetaan ja jalkautetaan. Klikkaa itsesi tehtävän sivulle lukeaksesi toteutuksesta tarkemmin.

Yleinen, riskilähtöinen salauspolitiikka

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Salausratkaisujen tarpeellisuudesta päättäminen nähdään osana kokonaisprosessia, johon sisältyvät riskien arviointi ja muiden hallintatehtävien määrittely.

Organisaatio on laatinut yleisen salauspolitiikan, jota noudatetaan aina tietoa suojattaessa salauksen avulla.

Salauspolitiikka määrittelee:

  • yleiset periaatteet salauksen hallintakeinojen käytölle koko organisaatiossa
  • tarvittavan salaustason määrittelytavat omaisuuden riskien arvioinnin perusteella
  • salauksen käytön mobiililaitteissa
  • tavat salausavainten suojaukseen ja salatun tiedon palauttamiseen avainten kadotessa
  • roolit ja velvollisuudet salaukseen liittyen
  • salauksen vaikutukset muihin tietoturvan hallintajärjestelmän tehtäviin

Yleinen, riskilähtöinen salauspolitiikka

Critical
High
Normal
Low

Salausratkaisujen tarpeellisuudesta päättäminen nähdään osana kokonaisprosessia, johon sisältyvät riskien arviointi ja muiden hallintatehtävien määrittely.

Organisaatio on laatinut yleisen salauspolitiikan, jota noudatetaan aina tietoa suojattaessa salauksen avulla.

Salauspolitiikka määrittelee:

  • yleiset periaatteet salauksen hallintakeinojen käytölle koko organisaatiossa
  • tarvittavan salaustason määrittelytavat omaisuuden riskien arvioinnin perusteella
  • salauksen käytön mobiililaitteissa
  • tavat salausavainten suojaukseen ja salatun tiedon palauttamiseen avainten kadotessa
  • roolit ja velvollisuudet salaukseen liittyen
  • salauksen vaikutukset muihin tietoturvan hallintajärjestelmän tehtäviin
Liittyvät muut vaatimuskehikot ja vaatimukset:
10: Cryptography
ISO 27001
10.1: Cryptographic controls
ISO 27001
No items found.