Ilmainen e-kirja: NIS2 haltuun hyödyntäen ISO 27001 -käytäntöjä
Lataa e-kirja

Ohjeistukset henkilöstölle tietojenkalasteluun liittyen

Critical
High
Normal
Low

Organisaatio on muodostanut henkilöstölle toimintaohjeet, joilla määritellään eri viestintäpalvelujen hyväksyttävä käyttö ja joiden avulla pyritään estämään luottamuksellisen tiedon paljastaminen esimerkiksi tietojenkalastelijalle tai muille ulkopuolisille.

Liittyvät muut vaatimuskehikot ja vaatimukset:
13.2.1: Information transfer policies and procedures
ISO 27001
13.2.3: Electronic messaging
ISO 27001

Ohjeistukset henkilötietojen ja muun luottamuksellisen tiedon käsittelyyn liittyen

Critical
High
Normal
Low

Tietosuojan vastuuhenkilö on muodostanut toimintaohjeet henkilötietoja käsittelevälle henkilöstölle. Lisäksi tietosuojan vastuuhenkilö on valmiina antamaan neuvoja rekisterinpitäjälle, henkilötietoja käsitteleville kumppaneille tai omalle henkilöstölle tietosuojaan liittyen tietosuoja-asetuksen tai muiden tietosuojavaatimusten noudattamiseen.

Liittyvät muut vaatimuskehikot ja vaatimukset:
29. Tietojenkäsittely rekisterinpitäjän ja henkilötietojen käsittelijän alaisuudessa
GDPR
7.2.2: Information security awareness, education and training
ISO 27001

Valitun verkkoselaimen käyttö ja ajantasaisuuden valvonta

Critical
High
Normal
Low

Verkkoselaimen valinta ja ajantasaisuus vaikuttavat suuresti mm. verkkopalvelujen käyttökokemukseen, toimintaan sekä selailun turvallisuuteen. Kun koko organisaatio käyttää samaa verkkoselainta, ohjeistaminen on helpompaa ja tietoturvallisuus parantuu.

IT on valinnut käytettävän selaimen, valvoo henkilöstön käyttävän oikeaa ja ajantasaista selainta sekä tukee henkilöstöä sen hyödyntämisessä.

Liittyvät muut vaatimuskehikot ja vaatimukset:
12.6.1: Management of technical vulnerabilities
ISO 27001
13.2.1: Information transfer policies and procedures
ISO 27001

Käytettyjen siirrettävien tietovälinetyyppien määrittely

Critical
High
Normal
Low

Siirrettäviä tietovälineitä ovat mm. flash-muistit, SD-muistit, siirrettävät tallennusasemat, USB-tikut ja DVD-levyt.

Organisaatio on määritelly, minkä siirrettävien tietovälineiden käyttö on sallittua.

Liittyvät muut vaatimuskehikot ja vaatimukset:
8.3.1: Management of removable media
ISO 27001
8.3.3: Physical media transfer
ISO 27001

Siirrettävien tietovälineiden tarkemmat hallintasäännöt

Critical
High
Normal
Low

Siirrettävien tietovälineiden ollessa tärkeässä osassa organisaation toiminnassa, ollaan määritelty tarkempia sääntöjä siirrettävien tietovälineiden ja niiden sisältämän tiedon turvaamiselle.

  • siirrettäessä uudelleen käytettävä tietoväline organisaation ulkopuolelle, sen sisällön palauttaminen tehdään mahdottomaksi, jos sisältöä ei enää tarvita
  • tietovälineiden siirtämiseen organisaatiosta on hankittava lupa ja kaikista siirroista pideätän kirjaa
  • siirrettäviä tietovälineitä suojataan salauksella, kun tiedon luottamuksellisuus ja eheys on tärkeää
  • edelleen tarvittava tieto siirretään säännöllisesti eteenpäin käyttämättömään tietovälineeseen, jottei tietoväline rappeudu ja tieto muutu lukukelvottomaksi tietovälineen ennen tätä
  • arvokkaasta tiedosta varastoidaan useampia kopioita eri tietovälineille yhtäaikaisen tiedon vahingoittumisen tai katoamisen riskin pienentämiseksi
Liittyvät muut vaatimuskehikot ja vaatimukset:
8.3.1: Management of removable media
ISO 27001
8.3.3: Physical media transfer
ISO 27001

Luottamuksellisia tietoja koskevien latausten estäminen ulkopuolisissa verkoissa

Critical
High
Normal
Low

Usein työntekijöiden halutaan pääsevän tietojärjestelmiin käsiksi mahdollisimman helposti - mistä ja milloin vain. Tietojen suojaamiseksi voidaan kuitenkin haluta estää tietojen paikallinen lataaminen itse ylläpidetyn verkon ulkopuolella, koska ei voida olla varmoja verkon turvallisuudesta.

Liittyvät muut vaatimuskehikot ja vaatimukset:
13.1.1: Network controls
ISO 27001
13.2.1: Information transfer policies and procedures
ISO 27001

Luottamuksellisia tietoja koskevien latausten estäminen ei-tuetuille laitteille

Critical
High
Normal
Low

Usein työntekijöiden halutaan pääsevän tietojärjestelmiin käsiksi mahdollisimman helposti - mistä ja milloin vain. Tietojen suojaamiseksi voidaan kuitenkin haluta estää tietojen paikallinen lataaminen laitteille, joita ei hallita esimerkiksi organisaation mobiililaitteiden hallinnan kautta.

Liittyvät muut vaatimuskehikot ja vaatimukset:
6.2.1: Mobile device policy
ISO 27001
13.2.1: Information transfer policies and procedures
ISO 27001

Anti-phishing käytäntöjen käyttö

Critical
High
Normal
Low

Anti-phishing käytännöt voivat auttaa organisaatiota estämään matkimiseen pohjautuvaa tietojenkalastelua. Etenkin kohdistetut "spear phishing" -hyökkäykset ovat usein niin taitavasti toteutettuja, että tietoisenkin työntekijän on vaikea tunnistaa huijaus.

Esimerkiksi Microsoft 365 -ympäristön ATP-laajennuksella voidaan asettaa henkilönä toimitusjohtajaamme esittävät tai lähettäjän verkkotunnuksena omaa verkkotunnustamme esittävät sähköpostiviestit karanteeniin ja välittää ne samalla eteenpäin tietoturvan vastuuhenkilölle.

Liittyvät muut vaatimuskehikot ja vaatimukset:
13.2.1: Information transfer policies and procedures
ISO 27001
13.2.3: Electronic messaging
ISO 27001

Sähköpostilaatikkojen auto-forwardien estäminen ulkoisiin verkkotunnuksiin

Critical
High
Normal
Low

Mikäli huijari saa pääsyn käyttäjän sähköpostilaatikkoon, hän voi käyttää auto-forward -toimintoa viestinnän seuraamiseen ja luottamuksellisen tiedon varastamiseen. Myös omat työntekijät voivat tehdä keksiliäitä uudelleenlähetyssääntöjä, jotka voivat johtaa tietojen vuotamiseen tai katoamiseen.

Tämän voi estää esimerkiksi Microsoft 365 -ympäristössä luomalla "mail flow" -säännön.

Liittyvät muut vaatimuskehikot ja vaatimukset:
13.2.1: Information transfer policies and procedures
ISO 27001
No items found.