Järjestelmien käyttöoikeuksien säännöllinen katselmointi

Critical
High
Normal
Low

Tietojärjestelmästä vastaava taho määrittää järjestelmän käyttöoikeudet käyttäjien tehtäviin liittyen. Todellisten käyttöoikeuksien vastaavuutta suunniteltuun on valvottava ja oikeuksia uudelleenarvioitava säännöllisin aikavälein.

Pääsyoikeuksia katselmoitaessa on huomiotava lisäksi ylläpito-oikeuksien minimointi sekä tarpeettomien tunnusten sulkeminen.

Liittyvät muut vaatimuskehikot ja vaatimukset:
I06: Pääsyoikeuksien hallinnointi
Katakri
4 luku, 16 §: Tietojärjestelmien käyttöoikeuksien hallinta
TiHL

Ohjeet pääsyoikeuksiin vaikuttavien muutosten ilmoittamisesta

Critical
High
Normal
Low

Esihenkilöitä on ohjeistettu ilmoittamaan etukäteen tietojärjestelmien omistajille merkittävistä muutoksista alaisten työsuhteissa, kuten ylennyksistä, alennuksista, työsuhteen päättymisestä tai muista muutoksista työroolissa.

Ilmoituksen perusteella henkilön pääsyoikeuksia voidaan päivittää joko keskitetystä hallintajärjestelmästä tai yksittäisistä tietojärjestelmistä.

Liittyvät muut vaatimuskehikot ja vaatimukset:
9.2.6: Removal or adjustment of access rights
ISO 27001
I06: Pääsyoikeuksien hallinnointi
Katakri

Pääsyoikeuksien katselmointi työsuhteen muutostilanteissa

Critical
High
Normal
Low

Kaikissa työsuhteen muutostilanteissa pääsyoikeudet olisi katselmoitava yhteistyössä suojattavan omaisuuden omistajien kanssa, ja myönnettävä henkilölle kokonaan uudelleen, kun henkilön työsuhteessa tapahtuu merkittävä muutos. Muutos voi olla ylennys tai roolin vaihtaminen (esim. yksiköstä toiseen siirtyminen).

Liittyvät muut vaatimuskehikot ja vaatimukset:
9.2.5: Review of user access rights
ISO 27001
HAL-15: Työskentelyn tietoturvallisuus koko palvelussuhteen ajan
Julkri

Käyttöoikeuksien rajoittaminen työsuhteen riskihetkillä

Critical
High
Normal
Low

Mikäli henkilön työsuhde on päättymässä tai merkittävästi muuttumassa, käyttöoikeuksien vähentämistä suojattavaan omaisuuteen on harkittava riippuen seuraavista asioista:

  • henkilön haluttomuus tulevaan muutokseen
  • henkilön tämänhetkisten käyttöoikeuksien ja vastuiden laajuus
  • suojattavan omaisuuden arvo, johon työntekijällä on pääsy
Liittyvät muut vaatimuskehikot ja vaatimukset:
9.2.6: Removal or adjustment of access rights
ISO 27001
5.18: Pääsyoikeudet
ISO 27001

Varjo-IT:n tunnistaminen ja hallinta

Critical
High
Normal
Low

Keskimäärin IT-pääkäyttäjä arvioi henkilöstön käyttävän n. 50 pilvipalvelua, kun todellinen määrä on 1 000. Useat näistä ovat tärkeitä henkilöstön tuottavuuden kannalta ja niitä käytetään organisaation verkon ulkopuolelta, joten palomuurisäännöillä ei haastetta ratkaista.

Pilvipalvelujen tunnistamiseen ja hallintaan keskittyvien järjestelmien avulla voit tunnistaa henkilöstön käyttämiä pilvipalveluita ja valvoa eri palvelujen käyttäjiä. Tämä auttaa mm.:

  • määrittämään omaa riskitasoanne pilvipalveluissa olevan tiedon suhteen
  • tarkistamaan palveluita tietoturvan suhteen
  • pystymään raportoimaan vaatimusten mukaisesti esim. tietojen sijiannista ja kumppaneista
Liittyvät muut vaatimuskehikot ja vaatimukset:
9.2.2: User access provisioning
ISO 27001
5.18: Pääsyoikeudet
ISO 27001

Koulutuksen ja ohjeistuksen järjestäminen perehdytyksen yhteydessä (tai ennen pääsyoikeuksien myöntämistä)

Critical
High
Normal
Low

Työntekijät ovat ennen pääsyoikeuksien myötämistä luottamukselliseen tietoon tai tietojärjestelmiin:

  • saaneet asianmukaisen opastuksen tietoturvavastuistaan (mm. ilmoitusvastuu ja vastuu omista päätelaitteista)
  • saaneet asianmukaisen opastuksen omaan työrooliinsa liittyvistä tietoturvarooleistaan (mm. omaan työrooliin liittyvät digiturvasäännöt sekä tietojärjestelmät ja niiden hyväksyttävä käyttö)
  • saaneet tiedot digiturvan yhteyshenkilöistä, joilta voi kysyä lisää
Liittyvät muut vaatimuskehikot ja vaatimukset:
7.3: Termination and change of employment
ISO 27001
7.3.1: Termination or change of employment responsibilities
ISO 27001
No items found.