Mobiililaitteiden käyttöä varten on luotu omat ohjeistukset henkilöstölle. Ohjeissa käsitellään:

• rajoituksia ohjelmistojen asentamiselle sekä eri palvelujen käyttämiselle organisaation laitteilla
• toimintatapoja uusien laitteiden rekisteröintiin
• vaatimuksia laitteiden fyysisestä suojaamisesta ja päivitysten asentamisesta
• pääsynhallintaa koskevia vaatimukset
• organisaation tietojen suojausta salauksen, haittaohjelmasuojauksen sekä varmuuskopioinnin avulla
• organisaation mahdollisuuksia etähallita laitetta

Tietosuojan vastuuhenkilö on muodostanut toimintaohjeet henkilötietoja käsittelevälle henkilöstölle. Lisäksi tietosuojan vastuuhenkilö on valmiina antamaan neuvoja rekisterinpitäjälle, henkilötietoja käsitteleville kumppaneille tai omalle henkilöstölle tietosuojaan liittyen tietosuoja-asetuksen tai muiden tietosuojavaatimusten noudattamiseen.

Henkilöstölle on laadittu ja jaeltu tietoturvaohjeet, jotka käsittelevät mm. seuraavia aiheita:

• mobiilaitteiden käyttö ja päivitykset
• tiedon tallentaminen ja varmuuskopiointi
• tietosuoja
• sähköpostin käyttö
• tulosteiden, papereiden ja tiedostojen käsittely
• häiriöistä ilmoittaminen
• huijausten estäminen

Tietoluokittelun avulla voidaan antaa tietoja käsitteleville henkilöille nopea näkemys siitä, miten kriittistä tietoa on kyseessä ja kuinka tietoa pitää käsitellä sekä suojata.

Käytetyt tietoluokat ja niitä vastaavat suojaustasot on määritelty. Tietoluokka määritellään analysoimalla kyseessä olevan tiedon luottamuksellisuus, eheys ja saatavuus sekä mahdolliset muut vaatimukset. Kullekin tasolle annetaan selkeä ja kuvaava nimi.

Tietoluokat voivat olla esimerkiksi seuraavia:

• tietojen paljastaminen ei aiheuta harmia (JULKINEN)
• tietojen paljastaminen aiheuttaa lievää kiusaa tai vähäistä toiminnallista harmia (LUOTTAMUKSELLINEN)
• tietojen paljastamisella on huomattavia lyhyen aikavälin vaikutuksia toimintaan tai taktisiin tavoitteisiin (RAJOITETTU)
• tietojen paljastamisella on vakavia vaikutuksia pitkän aikavälin strategisiin tavoitteisiin tai se vaarantaa koko organisaation olemassaolon (KIELLETTY)

RAJOITETULTA paperitiedolta voidaan vaatia mm. seuraavia suojauksia:

• Lukittu kaappi
• Luotettu siirtokumppani
• Sinetöidyt kirjekuoret
• Turvallinen hävittäminen

RAJOITETULTA sähköiseltä tiedolta voidaan vaatia mm. seuraavia suojauksia:

• Valitun salaustason käyttö
• Salasanasuojaus
• Turvallinen hävittäminen
• Tarkemmin rajatut pääsyoikeudet

Etenkin kun paikallista tai rakenteetonta tietoa on toiminnan luonteen vuoksi tarpeen käsitellä paljon, voi olla tarpeen kehittää koulutusta, joka kuvaa näihin liittyiviä riskejä henkilöstölle.

Paikallisen ja rakenteettoman tiedon yleisiä ongelmia ovat mm.:

• ei varmuuskopiointia
• ei pääsynhallintaa
• vaikea löydettävyys

Tiedoille, joiden et haluat häviävän, joiden käyttöä haluat valvoa tai jotka on tärkeä löytää jatkossa, henkilöstön pitäisi käyttää niihin suunniteltuja järjestelmiä.

Tietojärjestelmien toiminta voi olla riippuvaista tietyistä avainresursseista, kuten palvelinkapasiteetista, tallennustilasta, tietojenkäsittelykapasiteetista, valvontakapasiteetista tai tietyistä avainhenkilöistä. 

Etenkin osalla näistä resursseista voi tietyissä tilanitessa olla pitkät toimitusajat tai korkeat kustannukset, jolloin tuleviin kapasiteettiongelmiin niiden kanssa on kiinnitettävä erityistä huomiota. 

Tarkkailemme tärkeimpien järjestelmäresurssien käyttöä ja tunnistamme suuntaukset, turvallisuutta mahdollisesti uhkaavat pullonkaulat ja riippuvuudet tärkeistä henkilöistä.

Ylijännitesuojat estävät virtatason nousujen ja laskujen vahingoittamasta laitteita. Keskeytymättömät virtalähteet (UPS) puolestaan takaavat rajallisen ajan akkuvirtaa, jonka avulla voidaan työskennellä lyhyiden sähkökatkostenkin aikana. Kriittiset laitteet pidetään kiinni UPS:ssä.

Laitteistot olisi asetettava tiloihin turvallisesti ja harkitusti. Tässä tulee huomioida mm. seuraavat seikat:

• laitteistot olisi sijoitettava siten, että pääsy työskentelyalueille pysyy luontaisesti mahdollisimman vähäisenä
• erityissuojausta edellyttävät kohteet suojataan tarvittaessa erillisillä lisäjärjestelyillä, jotta tarvittava yleissuojaus pysyy rajallisena
• luvaton pääsy myös varastotiloihin on estetty
• arkaluonteista tietoa sisältävä tietojenkäsittely suoritetaan paikassa, joka ei mahdollista salakatselua

Hälytysjärjestelmien avulla tarkkaillaan tärkeimpien ympäristöolosuhteiden (esim. lämpötila ja kosteus) tasoa, jotka voivat vaikuttaa haitallisesti tietojenkäsittelylaitteistojen toimintaan.

Laitteistoja olisi huollettava toimittajan suosittelemin aikavälein ja tämän määrittelyjä noudattaen.

Huollon tilaajan on varmistettava mm. seuraavat seikat:

• pätevä henkilöstö suorittaa korjaukset ja huollot
• luottamukselliset tiedot olisi tarvittaessa poistettava laitteistosta 
• laitteet tarkistetaan ennen käyttöönottoa huollon jälkeen, jotta voidaan varmistaa, ettei laitteita ole peukaloitu ja että ne eivät ole epäkunnossa

Virta- ja tietoliikennekaaplien, jotka joko liikuttavat tietoa itsessään tai tukevat tiedonsiirtopalveluita, suojataan vahingolta, salakuuntelulta ja häirinnältä.

Kaapeloinnin turvallisuudessa olisi otettava huomioon mm. seuraavat seikat:

• tietoliikennelinjojen olisi mahdollisuuksien mukaan oltava maanalaisia tai muuten riittävän suojattuja
• sähkökaapelit olisi eristettävä tietoliikennekaapeleista, jotta vältytään häiriöiltä
• panssarikaapeleiden, sähkömagneettisen suojauksen tai teknisen haravoinnin käyttö erittäin kriittisissä paikoissa

Kaikkiin rakennuksiin ja kaikkiin saapuviin voimalinjoihin ja ulkoisiin viestintälinjoihin on asennettu salamasuojaus.

Peruspalvelujen (kuten sähkön, tietoliikenteen, vedenjakelun, viemäröinnin, lämmityksen, tuuletuksen ja ilmastoinnin) toimintaa seurataan, jotta voidaan varmistaa, että niiden kapasiteetti kattavan liiketoiminnan kasvun.

Seurantaa voidaan tehdä mm.:

• testaamalla peruspalvelujen toiminta säännöllisesti
• varustamalla peruspalvelut hälyttimillä, jotka havaitsevat toimintahäiriöt
• tuomalla peruspalvelut useamman, eri fyysistä reittiä kulkevan syöttölinjan kautta

Sähköiset laitteet kuten kaapelit, näyttöpäätteet, kopiokoneet, tabletit ja älypuhelimet vuotavat sähkömagneettista säteilyä, josta on oikealla laitteistolla mahdollista selvittää alkuperäinen lähetetty tieto - vaikkapa syötetty käyttäjätunnus ja salasana.

Toimitilan rakenteissa olevat aukot (ikkunat, ovet, ilmastointi) suojataan, jotta ne eivät päästä säteilyä ulos. Lisäksi luottamuksellista tietoa käsittelevät laitteet sijoitetaan niin, että sähkömagneettisesta vuodosta johtuva tietovuotoriski pidetään mahdollisimman pienenä.

Laitteistolle tehdyt huollot kirjataan lokiin, joka sisältää tiedot mm.:

• epäillyistä ja sattuneista vioista
• ehkäisevistä ja korjaavista toimenpiteistä
• laitteiden tarkistamisesta huollon jälkeen

Laitteet olisi suojattava siten, ettei niihin tallennettua tai niissä käsiteltävää tietoa kyetä käyttämään tai paljastamaan luvattomasti. Laitteiden pakollinen suojaaminen esim. 5-numeroisella PIN-koodilla ennen jokaista käyttökertaa sekä laitteiden automaattinen lukittuminen esim. 5 minuutin käyttämättömyyden jälkeen voivat auttaa.

Kun vanhoja laitteita poistetaan käytöstä, pyyhitään ensin kovalevyt elektronisesti esimerkiksi käyttöjärjestelmän tai erillisen ohjelmiston avulla. Tämän jälkeen kovalevyt poistetaan laitteesta ja tuhotaan erikseen. Tämän jälkeen laite voidaan turvallisesti myydä, lahjoittaa tai kierrättää. 

Sopivien laitteiden ja säilytyskalusteiden järjestäminen etätyötä varten, jos organisaation valvonnan ulkopuolella olevien henkilökohtaisten laitteiden käyttö ei ole sallittua.

Mikäli arkaluonteista paperitietoa tarvitaan, niiden säilyttämistä varten on olemassa kassakaappeja, muita lukollisia kaappeja tai muita turvallisia huonekaluja.

Arkaluonteiset tiedot eivät saa olla lojumassa kenen tahansa saatavilla ympäri toimistoa.