ISO 27001

Käyttöturvallisuus

Teema-alueen vaatimukset

Teeman tehtävien osa-alueet

ISO 27001

Käyttöturvallisuus

Vaatimuskategoriaan liittyvät vaatimukset

No items found.

Esimerkkejä vaatimuksiin liittyvistä tehtävistä

Klikkaa itsesi yksittäisen vaatimuksen näkymään nähdäksesi kaikki kohtaan liittyvät sisällöt.

Hallintajärjestelmän muutoshallintamenettely

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Järjestelmällisessä turvallisuustyössä merkittävien muutosten vaikutukset on arvioitava ennakkoon ja muutokset toteutettava systemaattisesti. Tahattomien muutosten seuraukset on arvioitava ja pyrittävä lieventämään mahdollisia haittavaikutuksia.

Merkittäviä muutoksia voivat olla mm. organisaatioon, toimintaympäristöön, liiketoimintaprosesseihin sekä tietojärjestelmiin kohdistuvat muutokset. Muutoksia voidaan tunnistaa mm. johdon katselmuksissa sekä muuten toiminnan ohessa.

Tärkeän tieto-omaisuuden varmuuskopiointivastuiden selvittäminen

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Riittävien varmuuskopioiden avulla kaikki tärkeät tiedot ja ohjelmat voidaan palauttaa katastrofin tai tietovälinevian jälkeen. Tärkeä ensiaskel toimivassa varmuuskopioinnissa on tunnistaa, kenen vastuulla kunkin tiedon varmuuskopioiminen on. Varmuuskopioinnin vastuun selvittäminen on tieto-omaisuuden (järjestelmät, laitteisto) omistajien vastuulla.

Mikäli varmuuskopiointi on kumppanin vastuulla selvitämme:

  • kuinka kattavasti kumppani varmuuskopioi tiedot?
  • kuinka tiedot ovat tarvittaessa palautettavissa?
  • mitä varmuuskopioinnista on sovittu sopimuksissa?

Mikäli varmuuskopiointi on omalla vastuullamme selvitämme:

  • onko tietoihin liittyvä varmuuskopiointiprosessi olemassa ja dokumentoitu?
  • onko varmuuskopioinnin kattavuus ja toteutussykli tietojen tärkeyden vaatimalla tasolla?

Omien varmuuskopiointiprosessien dokumentointi ja vastuuttaminen

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Kuvaamme tietojärjestelmälistauksen yhteydessä, minkä järjestelmien suhteen vastuu varmuuskopioinnin toteutuksesta on itsellämme. Organisaation omalla vastuulla olevat varmuuskopiointiprosessit on dokumentoitu ja jokaiselle on määritelty omistaja. Dokumentaatio sisältää mm.:

  • millä järjestelmällä ja kuinka usein varmuuskopiot toteutetaan?
  • kuinka varmuuskopiot suojataan (salaus, fyysinen sijainti)?
  • kuinka pitkään varmuuskopiot säilytetään?

Järjestelmälokien dokumentointi

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Järjestelmälokien kehityksen tulee pysyä järjestemän kehityksen mukana ja mahdollistaa esim. tarvittava häriötilanteiden selvitys. Kuvaamme tietojärjestelmälistauksen yhteydessä, minkä järjestelmien suhteen vastuu lokituksen toteutuksesta on itsellämme. Näiden järjestelmien suhteen dokumentoimme:

  • mitä tietoja lokiin tallentuu
  • kuinka pitkään lokin tiedot säilytetään

Sisäisten auditointien toteuttaminen ja dokumentointi

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Organisaatio toteuttaa sisäisiä auditointeja oman menettelykuvauksensa mukaisesti. Tavoitteena on tarkistaa:

  • onko tietoturvallisuuden hallintajärjestelmä organisaation omien tietoturvallisuuden hallintajärjestelmää koskevien vaatimusten mukainen
  • onko tietoturvallisuuden hallintajärjestelmä muiden toimintaa koskevien tietoturvavaatimusten tai noudatettujen standardien mukainen
  • onko hallintajärjestelmää toteutettu ja ylläpidetty vaikuttavasti

Auditointien järjestämisestä ja tuloksista on säilytettävä dokumentoitua tietoa.

Varmuuskopioiden säännöllinen testaus, arviointi ja palautusohjeet

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Varmuuskopiointiin käytettäviä tietovälineitä ja varmuuskopioiden palauttamista testataan säännöllisesti, jotta voidaan varmistua siitä, että hätätilanteessa niihin voidaan luottaa. 

Varmuuskopioiden palauttamisesta ylläpidetään tarkkoja ja täydellisiä ohjeita. Toimintaohjeiden avulla seurataan varmuuskopioiden toimintaa ja varaudutaan varmuuskopioiden epäonnistumiseen.

Mobiililaitteiden käyttöön liittyvä ohjeistus ja koulutus henkilöstölle

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Mobiililaitteiden käyttöä varten on luotu omat ohjeistukset henkilöstölle. Ohjeissa käsitellään:

  • rajoituksia ohjelmistojen asentamiselle sekä eri palvelujen käyttämiselle organisaation laitteilla
  • toimintatapoja uusien laitteiden rekisteröintiin
  • vaatimuksia laitteiden fyysisestä suojaamisesta ja päivitysten asentamisesta
  • pääsynhallintaa koskevia vaatimukset
  • organisaation tietojen suojausta salauksen, haittaohjelmasuojauksen sekä varmuuskopioinnin avulla
  • organisaation mahdollisuuksia etähallita laitetta

Tietosuojaan liittyvien ohjeistusten ja koulutuksen varmistaminen

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Tietosuojan vastuuhenkilö on muodostanut toimintaohjeet henkilötietoja käsittelevälle henkilöstölle. Lisäksi tietosuojan vastuuhenkilö on valmiina antamaan neuvoja rekisterinpitäjälle, henkilötietoja käsitteleville kumppaneille tai omalle henkilöstölle tietosuojaan liittyen tietosuoja-asetuksen tai muiden tietosuojavaatimusten noudattamiseen.

Prosessi teknisten haavoittuvuuksien käsittelyyn

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Organisaatio on määritelly prosessin, jonka perusteella tunnistetut tekniset haavoittuvuudet käsitellään. Haavoituvuuden tunnistamisen jälkeen:

  • yksilöidään haavoittuvuudeen liittyvät riskit ja tarvittavat toimenpiteet (esim. järjestelmän paikkaus tai muut hallintatehtävät)
  • aikataulutetaan tarvittavat toimenpiteet
  • dokumentoidaan kaikki toimenpiteet

Ohjeet tietojärjestelmien ja tunnistautumistietojen käytölle

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Organisaatiolla tulisi olla määritelly ohjeet tietojärjestelmien yleisesti hyväksyttävälle käytölle sekä tarvittavien tunnistautumistietojen hallinnalle.

Tärkeäksi luokiteltujen tietojärjestelmien omistaja voi lisäksi määritellä, dokumentoida ja jalkauttaa tarkempia sääntöjä juuri tämän tietojärjestelmän käytöstä. Nämä saannöt voivat kuvata mm. tietoturvavaatimukset, jotka järjestelmän sisältävään tietoon liittyvät.

Säännöllinen tunkeutumistestaus

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Staattiset skannaukset koodiin ovat ensimmäinen askel riskialttiiden haavoittuvuuksien havaitsemiseksi. Kun palvelu on otettu käyttöön, se kuitenkin altistuu uudenlaisille hyökkäyksille (esim. cross-site scripting tai tunnistautumisen ongelmat). Näitä voidaan pyrkiä tunnistamaan tunkteutumistestauksella.

Tietoluokkien merkitsemistapojen määrittely ja ohjeistaminen

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Tiedon merkitsemistavat on määritelty, ne ovat helposti tunnistettavia ja ne kattavat sekä fyysiset että sähköiset tiedot ja omaisuudet. Merkinnästä tulee käydä ilmi, miltä osin asiakirja on salassa pidettävä ja mihin salassapito perustuu. Henkilöstöä ohjeistetaan merkintöjen tekemisestä.

Lokitietojen suojaaminen

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Lokeja pyritään suojaamaan luvattomilta tietojen muutoksilta sekä toimintahäiriöiltä, joita ovat mm.:

  • tallennettavien sanomatyyppien muutokset
  • lokin tietojen muokkaaminen tai poistaminen
  • lokin säilytyskapasiteetin ylittäminen, josta voi seurata tapahtumien ylikirjoittaminen tai jääminen kirjaamatta

Kertyvien järjestelmälokien katselmointi

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Organisaatio on selvillä eri tietojärjestelmien käytöstä kertyvistä tapahtumalokeista, olipa lokien tuottaminen omalla tai järjestelmätoimittajan vastuulla. Lokeihin tallentuvat käyttäjien suorittamat toiminnot sekä tapahtuneet poikkeamat, virheet ja tietoturvatapahtumat.

Menettelyt ja tietolähteet luotettavan tiedon keräämiseen haittaohjelmista

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Organisaatio on määritelly toimintatavat, joiden avulla kerätään säännöllisesti ajantasaista ja luotettavaa tietoa haittaohjelmista. Tällaisia voivat olla mm. postituslistat, lehdet, torjuntaohjelmistojen toimittajien blogit tai tietoturvaa käsittelevät uutissivustot.

Tietolähteiden avulla pyritään todentamaan haittaohjelmia koskeva tieto, erottamaan huijaukset todellisista haittaohjelmista ja varmistetaan saatujen varoituksien olevan todenmukaisia ja informatiivisia.

Henkilöstön ohjeistaminen ja kouluttaminen haittaohjelmiin liittyen

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Organisaatio kouluttaa henkilöstöä säännöllisesti sekä hyödynnetyn haittaohjelmasuojauksen käytöstä, haittaohjelmahyökkäyksistä raportoinnista sekä haittaohjelmahyökkäyksistä toipumisesta.

Kriittisiä liiketoimintoja tukevien järjestelmien säännöllinen haittaohjelmatarkistus

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Kriittisiä liiketoimintaprosesseja tukevien järjestelmien ohjelmistot ja aineistosisältö katselmoidaan säännöllisesti haittaohjelmien paikallistamiseksi. Kaikki luvattomat tiedostot ja muutokset tutkitaan muodollisesti.

Henkilöstön tiedottaminen uusista, relevanteista haittaohjelmista

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Henkilöstön tietoturvatietoisuuden varmistaminen on tärkeä osa haittaohjelmilta suojautumista. Tämän vuoksi henkilöstölle tiedotetaan säännöllisesti uudenlaisista haittaohjelmista, joiden uhka heihin voi kohdistua.

Haavoittuvuuksien hallintaprosessin säännöllinen seuranta

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Teknisten haavoittuvuuksien hallintaprosessia seurataan ja arvioidaan säännöllisesti, jotta voidaan varmistaa sen tehokkuus ja vaikuttavuus.

Ohjeiden jatkuva kehittäminen

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Mikäli henkilöstöllä on ristiriitaisia tavoitteita tietoturvaohjeiden kanssa, he eivät todennäköisesti noudata ohjeita. 

Organisaatio pyrkii aktiivisesti löytämään huonosti toimivat ohjeet ja muokkaamaan joko ohjetta, työkaluja tai henkilöstön prioriteetteja, jotta ohjeita noudatetaan. 

Yleiset tietoturvaohjeet henkilöstölle

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Henkilöstöllä on oltava tietoturvaohjeet, joissa on käsiteltävä mm. seuraavia aiheita:

  • mobiilaitteiden käyttö ja päivitykset
  • tiedon tallentaminen ja varmuuskopiointi
  • tietosuoja
  • sähköpostin käyttö
  • tulosteiden, papereiden ja tiedostojen käsittely
  • häiriöistä ilmoittaminen
  • huijausten estäminen

Varmuuskopiointistrategian määrittäminen

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Riittävien varmuuskopioiden avulla kaikki tärkeät tiedot ja ohjelmat voidaan palauttaa katastrofin tai tietovälinevian jälkeen. Varmuuskopiointistrategian määrittämiseksi on tärkeää kartoittaa / päättää ainakin seuraavat asiat:

  • Minkä tiedon varmuuskopiointi on omalla vastuullamme?
  • Kuinka kriittistä mikäkin tieto on ja kuinka usein tämän perusteella mitkäkin tiedot on tarve varmuuskopioida ja kuinka laajasti (osittainen vai täydellinen kopio)?
  • Missä varmuuskopioit säilytetään ja kuinka ne on suojattu?
  • Kuinka pitkään varmuuskopiot on tarpeen säilyttää?
  • Millä järjestelmällä varmuuskopiot otetaan?

Pilveen tallennettujen tiedostojen pääsyn valvonta

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Valvomalla pilvipalveluissa jaettujen tietojen määrää voidaan pyrkiä havaitsemaan riskejä, jotka voivat johtaa tiedon luvattomaan paljastumiseen. Tiedostoihin liittyen voidaan esimerkiksi valvoa:

  • Ketkä työntekijät jakavat eniten tiedostoja pilvipalveluissa?
  • Kuinka usein DLP-käytännöt ovat antaneet hälytyksiä?
  • Miten usein DLP-käytäntöjen antamia varoituksia on ohitettu?
  • Paljonko tärkeitä tietoja on muissa pilvipalveluissa - DLP-valvonnan ulottumattomissa?

Hälytyskäytäntöjen määrittely ja valvonta

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Usein turvallisuustyökalut tarjoavat tavan asettaa hälytyksiä (alert policies), kun organisaation ympäristössä tapahtuu jotain mahdollisesti vaarallista. Esim. Microsoft 365 -ympäristössä on sisäänrakennettuja hälytyskäytäntöjä, jotka pyrkivät varoittamaan pääkäyttäjäoikeuksien väärinkäytöstä, haittaohjelmista, mahdollisista sisäistä ja ulkoisista riskeistä sekä riskeistä tietoaineistojen turvallisuudelle.

Hälytyskäytäntöjä valvotaan aktiivisesti ja niitä luodaan lisää tai muokataan kokemuksen perusteella.

Valitun verkkoselaimen käyttö ja ajantasaisuuden valvonta

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Verkkoselaimen valinta ja ajantasaisuus vaikuttavat suuresti mm. verkkopalvelujen käyttökokemukseen, toimintaan sekä selailun turvallisuuteen. Kun koko organisaatio käyttää samaa verkkoselainta, ohjeistaminen on helpompaa ja tietoturvallisuus parantuu.

IT on valinnut käytettävän selaimen, valvoo henkilöstön käyttävän oikeaa ja ajantasaista selainta sekä tukee henkilöstöä sen hyödyntämisessä.

Haittaohjelmajärjestelmän automaattinen päivittyminen ja ajaminen

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Haittaohjelmien suojaukseen käytetyt järjestelmät tarkistavat ja asentavat päivitykset automaattisesti halutuin väliajoin ja ajavat myös halutut tarkistukset valitulla frekvenssillä ilman käyttäjän toimia.

Haittaohjelmien havaitsemis- ja korjausohjelmien valinta ja käyttö kaikissa laitteissa

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Valitaan ja asennetaan haittaohjelmien havaitsemis- ja korjausohjelmat keskitetysti ja päivitetään ne säännöllisesti tietokoneiden ja tietovälineiden ennaltaehkäisevää tai säännöllistä tutkimista varten. 

Ohjelmien tulisi tarkastaa ainakin seuraavat asiat:

  • verkon tai tallennusvälineen kautta saapuneet tiedostot tarkistetaan haittaohjelmien varalta ennen käyttöä
  • sähköpostiliitteet ja ladatut tiedostot tarkistetaan haittaohjelmien varalta ennen käyttöä
  • verkkosivustot tarkistetaan haittaohjelmien varalta

Lokitietojen automaattinen analysointi

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Järjestelmälokit sisältävät usein runsaasti tietoa, josta suuri osa on tietoturvallisuuden tarkkailun kannalta epäolennaista. Jotta tietoturvallisuuden tarkkailun kannalta merkittävät tapahtumat saadaan tunnistettua, olisi harkittava tarkoituksenmukaisten sanomatyyppien automaattista kopiointia toiseen lokiin tai soveltuvien apuohjelmien tai tarkastustyökalujen käyttöä tiedostojen läpikäymisessä ja selvittämisessä.

Suojausjärjestelmien muodostamien lokien tarkistaminen ja käyttöönotto

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Suojausjärjestelmissä (esim. palomuuri, haittaohjelmasuojaus) on usein mahdollisuus tallentaa lokia tapahtumista. Varmistakaa säännöllisin aikavälein, että kattavaa lokia kertyy ja pyrkikää tunnistamaan epäilyttävää toimintaa. Lokista on hyötyä myös häiriöiden tai loukkausten tutkinnassa.

Valtuutettujen, koodimuutoksia julkaisevien käyttäjien listaus

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Vain ennalta määritellyt, valtuutetut käyttäjät saavat julkaista muutoksia koodiin.

Tuotanto-, testaus- ja kehitysympäristöjen erottaminen

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Kehitettävänä, testauksessa ja tuotannossa olevia ohjelmistoja ajetaan eriytetyissä teknisissä ympäristöissä, jotta kehitystyön laatu voidaan varmistaa tuotantoympäristöä mukailevassa ympäristössä ja toisaalta tuotantoympäristöä ei häiritä keskeneräisellä kehityksellä. 

Käyttäjien arkaluonteisia tai henkilökohtaisia tietoja ei kopioida ja käytetä kehitysympäristössä. 

Julkaisulokin ylläpitäminen

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Kaikista tuotanto- tai asiakaskäytössä oleviin ohjelmistoihin tai omiin IT-palveluihin tehdyistä päivityksistä olisi pidettävä tapahtumalokia.

Palautusstrategia

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Olemme sopineet ja kirjanneet käytännöt, joiden avulla aiempi versio ohjelmistosta voidaan palauttaa, ennen julkaisujen toteuttamista.

Hallintaprosessi hankittujen ohjelmistojen päivittämiseen

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Ohjelmistopäivityksiä varten olisi toteutettava hallintaprosessi, jotta voidaan varmistaa, että viimeisimmät hyväksytyt korjaustiedostot ja sovelluspäivitykset on asennettu kaikkiin hyväksyttyihin ohjelmistoihin. Ohjelmistojen aikaisemmat versiot olisi säilytettävä varotoimenpiteenä.

Seuratut teknisten haavoittuvuuksien tietolähteet

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Ohjelmistoille ja muulle teknologialle on tietoisesti yksilöity tietolähteet, joita käyttämällä tunnistetaan meille relevantteja teknisiä haavoittuvuuksia ja ylläpidetään tietoa niistä (esim. viranomaiset tai laite- ja ohjelmistovalmistajat). Tietolähteitä arvioidaan ja päivitetään löydettäessä uusia hyödyllisiä lähteitä.

Haavoittuvuuksia voi löytyä suoraan hyödyntämistämme toimittajien järjestelmistä tai monien järjestelmiemme hyödyntämistä open source -komponenteista. On tärkeää seurata useita lähteitä, jotta oleellisista asioista ollaan kärryillä.

Tunnistettujen teknisten haavoittuvuuksien ensikäsittely

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Olemme määritelleet säännöt , joiden perusteella tunnistettuun haavoittuvuuteen reagoidaan. Säännöt voivat sisältää mm. seuraavat asiat:

  • ketkä kuuluvat quick-response tiimiin, joka on valmiina reagoimaan haavoittuvuuksiin
  • haavoittuvuuden paikallistava henkilö tiedottaa välittömästi koko tiimia sovittua kanavaa myöten
  • tiimi määrittää haavoittuvuudelle vakavuuden (matala, keskiverto, korkea) ennaltamääriteltyjen kriteerien perusteella
  • tiimi päättää, jatketaanko käsittelyä tietoturvahäiriönä (kiireellisemmin) vai yleisen muutostenhallinnan mukaisesti
  • haavoittuvuuden käsittelyä jatkamaan valitaan tarvittavat henkilöt

Riskialttiisiin järjestelmiin liittyvät haavoittuvuudet saavat aina korkean vakavuuden ja ne käsitellään ensimmäisinä.

Suojausjärjestelmien tehon, kannattavuuden ja uusien tarpeiden arviointi

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Suojausjärjestelmät ovat niitä tietojärjestelmiä, jotka ovat käytössä suojatakseen meillä olevaa tietoa, ei niinkään sen käsittelemiseksi. 

Arvioimme säännöllisesti eri suojausjärjestelmien toimintaa ja tarvetta uusille järjestelmille.

Säännöllinen haavoittuvuusskannaus

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Teemme säännöllisesti automatisoitua haavoittuvuusskannausta, jossa ohjelmisto etsii tietokoneista, verkoista tai sovelluksista tunnettuja haavoittuvuuksia.

Kapasiteettiongelmien ennakointi

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Tietojärjestelmien toiminta voi olla riippuvaista tietyistä avainresursseista, kuten palvelinkapasiteetista, tallennustilasta, tietojenkäsittelykapasiteetista, valvontakapasiteetista tai tietyistä avainhenkilöistä

Etenkin osalla näistä resursseista voi tietyissä tilanitessa olla pitkät toimitusajat tai korkeat kustannukset, jolloin tuleviin kapasiteettiongelmiin niiden kanssa on kiinnitettävä erityistä huomiota. 

Tarkkailemme tärkeimpien järjestelmäresurssien käyttöä ja tunnistamme suuntaukset, turvallisuutta mahdollisesti uhkaavat pullonkaulat ja riippuvuudet tärkeistä henkilöistä.

Korjaustiedostojen arviointi ja testaus ennen käyttöönottoa

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Haavoittuvuuden toteamisen jälkeen toimittajilla on usein merkittäviä paineita julkaista korjaustiedostot mahdollisimman pian. Tämän vuoksi on mahdollista, ettei korjaustiedosto välttämättä käsittele ongelmaa riittävästi ja sillä on haitallisia sivuvaikutuksia.

Korjaustiedostojen arvioinnissa huomioidaan mm. seuraavat asiat:

  • voidaanko korjaustiedosto testata ennalta kunnolla?
  • onko viisasta odottaa kokemuksia muilta korjauksen tehneiltä tahoilta?
  • onko korjaustiedosto on saatavilla luotettavasta lähteestä?
  • mitä riskejä korjaustiedoston asentamiseen ja asentamisen viivästämiseen liittyy?
  • tarvitaanko muita toimia, kuten haavoittuvuuksiin liittyvien ominaisuuksien kytkemistä pois käytöstä, tarkkailun lisäämistä tai haavoittuvuudesta tiedottamista

Ohjelmistojen ja ohjelmistokirjastojen asentamiseen valtuutetut käyttäjät ja säännöt

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Ohjelmistojen hallinnoimattomat asennukset tietokoneille voivat johtaa haavoittuvuuksiin ja tietoturvahäiriöihin.

Organisaation olisi määriteltävä, minkä tyyppisiä ohjelmistoja tai päivityksiä kukin käyttäjä voi asentaa. Ohjeet voivat sisältää mm. seuraavia reunaviivoja: 

  • vain erikseen nimetyt henkilöt saavat asentaa laitteille uusia ohjelmia
  • aiemmin erikseen turvalliseksi määriteltyjä ohjelmia saa asentaa kuka tahansa
  • tiettyjen ohjelmistojen käyttö voi olla mahdotonta kaikille
  • olemassa olevien ohjelmistojen päivitykset ja tietoturvakorjaukset ovat sallittuja asentaa kaikille 

Varmuuskopioiden salaus

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Kun varmuuskopioiden luottamuksellisuus on tärkeää, varmuuskopiot suojataan salauksella. Varmuuskopioiden salaamisen tarve voi korostua, kun varmuuskopioita säilytetään fyysisessä sijainnissa, jonka turvallisuuskäytännöistä ei ole varmuutta.

Automatisoitu luvattomien ohjelmien käytön estäminen ja havaitseminen

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Organisaatiomme on määritellyt toimintatavat, joiden avulla estetään tai vähintään havaitaan luvattomien ohjelmien käyttö.

Luvattomien verkkosivustojen käytön estäminen ja havaitseminen

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Organisaatiomme on määritellyt toimintatavat, joiden avulla estetään tai vähintään havaitaan tiedettyjen tai epäiltyjen haitallisten verkkosivustojen käyttö.

Useamman toimittajan haittaohjelmajärjestelmän käyttö

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Käytämme aina useamman toimittajan haittaohjelmajärjestelmää, jotta todennäköisyys havaita haittaohjelmia paranee.

Vahvistamattomien mobiiliohjelmistojen havaitseminen

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Organisaatiomme on määritellyt toimintatavat, joiden avulla estetään tai vähintään havaitaan luvattomien ohjelmien käyttö mobiililaitteissa (esim. älypuhelimet, tabletit).

Suojausjärjestelmien käytön sekä haittaohjelmahyökkäyksien raportoinnin kouluttaminen

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Organisaatiomme on määritellyt menettelyohjeet ja vastuut järjestelmien suojaamiseen haittaohjelmilta ja koulutetaan henkilöstöä suojauksien käyttöön sekä haittaohjelmahyökkäyksistä raportointiin ja niistä toipumiseen.

Verkon käyttöloki ja prosessi asiattoman verkkoliikenteen havaitsemiseen

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Verkon käytöstä syntyy asianmukaista lokia, jotta mahdollistetaan tietoturvallisuuden kannalta olennaisten toimenpiteiden havaitseminen.

Verkkoliikenteen normaali tila (liikennemäärät, protokollat ja yhteydet) on tiedossa. Poikkeamien havaitsemiseksi on olemassa menettely, jolla verkkoliikenteen normaaliin tilaan nähden eroavat tapahtumat (esimerkiksi poikkeavat yhteydet tai niiden yritykset) pyritään havaitsemaan.

Varautuminen nopeaan tietojen palauttamiseen vikatilanteissa

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Palautuskyky viittaa siihen, miten nopeasti henkilötietojen saatavuus ja pääsy henkilötietoihin voidaan palauttaa fyysisen tai teknisen vian sattuessa.

ISO 27001Käyttöturvallisuus

Käyttöturvallisuus

Tämän vaatimuksen toteuttamiseen liittyvät tehtävät

Alla näet tehtäviä, joiden avulla Digiturvamallissa tämän vaatimuksen toteutusta vastuutetaan ja jalkautetaan. Klikkaa itsesi tehtävän sivulle lukeaksesi toteutuksesta tarkemmin.

Oletko valmis aloittamaan?

Aloita kokeilu tai varaa demo.