Ilmainen e-kirja: NIS2 haltuun hyödyntäen ISO 27001 -käytäntöjä
Lataa e-kirja

Ohjeistukset henkilöstölle tietojenkalasteluun liittyen

Critical
High
Normal
Low

Organisaatio on muodostanut henkilöstölle toimintaohjeet, joilla määritellään eri viestintäpalvelujen hyväksyttävä käyttö ja joiden avulla pyritään estämään luottamuksellisen tiedon paljastaminen esimerkiksi tietojenkalastelijalle tai muille ulkopuolisille.

Liittyvät muut vaatimuskehikot ja vaatimukset:
13.2.1: Information transfer policies and procedures
ISO 27001
13.2.3: Electronic messaging
ISO 27001

Sähköpostitodennus: DMARC

Critical
High
Normal
Low

SPF, DKIM ja DMARC ovat teknologioita, jotka estävät väärennettyjen sähköpostien lähettämistä ja tietojen kalastelua.

DMARC toimii yhteen SPF:n ja DKIM:n kanssa. Sen avulla määritetään vastaanottavalle sähköpostipalvelimelle, kuinka toimia viestin kanssa, jotka eivät läpäise SPF- tai DKIM-tarkistuksia.

Liittyvät muut vaatimuskehikot ja vaatimukset:
13.2.3: Electronic messaging
ISO 27001
5.14: Tietojen siirtäminen
ISO 27001

Sähköpostitodennus: DKIM

Critical
High
Normal
Low

SPF, DKIM ja DMARC ovat teknologioita, jotka estävät väärennettyjen sähköpostien lähettämistä ja tietojen kalastelua.

DKIM lisää digitaalisen allekirjoituksen lähtevän sähköpostin ylätunnisteeseen. Lähtevän sähköpostin ylätunniste salataan yksityisellä avaimella ja julkinen avain lisätään verkkotunnuksen DNS-tietoihin, jotta vastaanottava palvelin voi purkaa tiedot. Avaimen avulla siis varmistetaan, että viestit todella tulevat omasta verkkotunnuksestanne eivätkä teitä esittävältä lähettäjältä.

Liittyvät muut vaatimuskehikot ja vaatimukset:
13.2.3: Electronic messaging
ISO 27001
5.14: Tietojen siirtäminen
ISO 27001

Sähköpostitodennus: SPF

Critical
High
Normal
Low

SPF, DKIM ja DMARC ovat teknologioita, jotka estävät väärennettyjen sähköpostien lähettämistä ja tietojen kalastelua.

SPF:n käyttö auttaa vahvistamaan verkkotunnuksestanne lähetettyjen sähköpostien aitouden. SPF lisätään TXT-merkintänä verkkotunnuksenne DNS-tietoihin kertomaan, mitkä sähköpostipalvelimet saavat lähettää sähköpostia verkkotunnuksenne puolesta. Vastaanottava sähköpostipalvelin viittää tähän merkintään päätellessään, tuleeko sähköposti oikealta taholta.

Liittyvät muut vaatimuskehikot ja vaatimukset:
13.2.3: Electronic messaging
ISO 27001
5.14: Tietojen siirtäminen
ISO 27001

Sähköpostilaatikkojen tarkastuslokin käyttöönotto ja määritys

Critical
High
Normal
Low

Sähköpostilaatikkojen audit logeilla on mahdollista seurata esimerkiksi kirjautumisia ja muita toimenpiteitä sähköpostin sisällä.

Yleensä tämä ominaisuus ei oletuksena ole päällä, ja työntekijöiden yksityisyyden vuoksi on tärkeää valita valvottavat toimenpiteet tarkasti.

Liittyvät muut vaatimuskehikot ja vaatimukset:
13.2.3: Electronic messaging
ISO 27001
5.14: Tietojen siirtäminen
ISO 27001

Sovelluspalvelujen julkisen verkkoliikenteen salaus

Critical
High
Normal
Low

Julkisten verkkojen kautta siirrettävää sovelluspalveluihin kuuluvaa tietoa on suojattava vilpilliseltä ja sopimuksen vastaiselta toiminnalta ja luvattomalta paljastumiselta ja muuttamiselta.

Käytämme vahvoja salaus- ja turvallisuusprotokollia (esim. TLS, IPSEC, SSH) suojaamaan luottamuksellisia tietoja niitä siirrettäessä julkisia verkkoja pitkin kehittämiemme IT-palvelujen yhteydessä.

Liittyvät muut vaatimuskehikot ja vaatimukset:
13.2.3: Electronic messaging
ISO 27001
14.1.2: Securing application services on public networks
ISO 27001

Anti-phishing käytäntöjen käyttö

Critical
High
Normal
Low

Anti-phishing käytännöt voivat auttaa organisaatiota estämään matkimiseen pohjautuvaa tietojenkalastelua. Etenkin kohdistetut "spear phishing" -hyökkäykset ovat usein niin taitavasti toteutettuja, että tietoisenkin työntekijän on vaikea tunnistaa huijaus.

Esimerkiksi Microsoft 365 -ympäristön ATP-laajennuksella voidaan asettaa henkilönä toimitusjohtajaamme esittävät tai lähettäjän verkkotunnuksena omaa verkkotunnustamme esittävät sähköpostiviestit karanteeniin ja välittää ne samalla eteenpäin tietoturvan vastuuhenkilölle.

Liittyvät muut vaatimuskehikot ja vaatimukset:
13.2.1: Information transfer policies and procedures
ISO 27001
13.2.3: Electronic messaging
ISO 27001

Sähköpostilaatikkojen tarkastuslokin valvonta

Critical
High
Normal
Low

Kun sähköpostilaatikkojen tarkastusloki on otettu käyttöön, tapahtumat tulee tallentaa halutuksi ajaksi valittuun paikkaan. Tämä voi olla esimerkiksi "Audit log search" Microsoft 365 -ympäristössä tai erillinen SIEM-järjestelmä. Lisäksi täytyy päättää suoritettavista valvontatoimista.

Liittyvät muut vaatimuskehikot ja vaatimukset:
13.2.3: Electronic messaging
ISO 27001
5.14: Tietojen siirtäminen
ISO 27001

Email monitoring -järjestelmän käyttö

Critical
High
Normal
Low

Sähköpostivalvonnan avulla voidaan mm. tunnistaa sähköpostiliikenteessä ja järjestelmässä liikkuvia, rakenteettomia mutta arvokkaita tai sensiviitisiä henkilötietoja tai muita tietoja.

Liittyvät muut vaatimuskehikot ja vaatimukset:
13.2.3: Electronic messaging
ISO 27001
No items found.