Henkilöstön ohjeistus- ja koulutusmenettely digiturva-asioissa

Critical
High
Normal
Low

Organisaatiomme on määritellyt toimintatavat henkilöstön digiturvaosaamisen ylläpitämiseen. Näihin voi liittyä mm. seuraavia asioita:

  • henkilöstölle on olemassa ohjeet, joilla kuvataan työrooliin liittyvät digiturvan yleiset säännöt
  • henkilöstöä koulutetaan, jotta he pystyvät toimimaan turvallisesti, tietävät ohjeet ja kykenevät noudattamaan niitä
  • henkilöstö osoittaa testien tai muun vastaavan avulla omaavansa turvallisen toiminnan vaatimat digiturvataidot ja -tiedot

Koulutus keskittyy kullekin työroolille oleellisimpiin digiturvateemoihin, mutta sisältää tarpeeksi usein myös kaikkia työntekijöitä koskevat "perusasiat":

  • työntekijän henkilökohtainen vastuu (mm. päätelaitteista ja käsittelemästään tiedosta)
  • kaikkia koskevat käytännöt (mm. tietoturvahäiriöiden raportointi)
  • kaikkia koskevat säännöt (mm. puhdas työpöytä)
  • organisaation tietoturvaroolit (keneen yhteyttä ongelmatilanteissa)
Liittyvät muut vaatimuskehikot ja vaatimukset:
T11: Turvallisuuskoulutus ja -tietoisuus
Katakri
2 luku, 4 §: Tiedonhallinnan järjestäminen tiedonhallintayksikössä
TiHL

Soveltuvuuslausunnon luonti ja täydennys

Critical
High
Normal
Low

Soveltuvuuslausunto (engl. Statement of Applicability tai SoA) on keskeinen dokumentti joka määrittelee, kuinka organisaatio toteuttaa ison osan omasta tietoturvastaan.

Sovelutuvuuslausunto kuvaa, mitkä ISO 27001 -standardin suosittelemista hallintakeinosta organisaatiossa toteutetaan, kuinka ne toteutetaan ja mikä on hallintakeinojen tämänhetkinen tila. Lisäksi kuvataan mahdolliset perustelut tiettyjen hallintakeinojen käyttämättä jättämiselle.

Liittyvät muut vaatimuskehikot ja vaatimukset:
6.1: Tietoturvariskien hallinta
ISO 27001
7.5: Dokumentoitua tietoa koskevat vaatimukset
ISO 27001

Riskienhallinnan menettelykuvaus -raportin julkaisu ja ylläpito

Critical
High
Normal
Low

Organisaatio on määritellyt menettelyt tietoturvariskien arviointiin ja käsittelyyn. Määrittely sisältää ainakin:

  • Riskien tunnistamistavat
  • Tietoturvariskien analysoinnin menetelmät
  • Tietoturvariskien arvioinnin kriteerit (seuraukset ja todennäköisyys)
  • Riskien priorisointi ja käsittelyvaihtoehtojen sekä hallintakeinojen määrittely
  • Riskien hyväksymiskriteerit
  • Prosessin toteutussykli, resursointi ja vastuut

Tehtävän omistaja tarkistaa säännöllisesti, että riskikriteerit ovat selkeitä ja tuottavat johdonmukaisia arvioita.

Liittyvät muut vaatimuskehikot ja vaatimukset:
T04: Turvallisuusriskien hallinta
Katakri
5.1.1: Policies for information security
ISO 27001

Tietoturvapolitiikka-raportin julkaisu, tiedottaminen ja ylläpito

Critical
High
Normal
Low

Organisaatiolla on ylimmän johdon laatima ja hyväksymä tietoturvapolitiikka. Politiikka sisältää ainakin seuraavat asiat:

  • perustan organisaation tietoturvatavoitteiden asettamiselle
  • sitoutumisen tietoturvallisuutta koskevien vaatimusten täyttämiseen
  • sitoutumisen tietoturvallisuuden hallintajärjestelmän jatkuvaan parantamiseen

Lisäksi tehtävän omistaja varmistaa, että:

  • tietoturvapolitiikka soveltuu organisaation toiminta-ajatukseen
  • politiikka on tiedotettu koko organisaatiolle
  • politiikka on tarvittaessa sidosryhmien saatavilla
Liittyvät muut vaatimuskehikot ja vaatimukset:
T01: Turvallisuusperiaatteet
Katakri
5.1.2: Review of the policies for information security
ISO 27001

Sisäisen auditoinnin menettelykuvaus -raportin julkaisu ja ylläpito

Critical
High
Normal
Low

Organisaatio on määritellyt menettelyn, jonka mukaisesti sisäiset auditoinnit tulee toteuttaa. Menettelykuvaus kuvaa vähintään:

  • kuinka usein auditointeja järjestetään
  • ketkä auditointeja voivat toteuttaa (mm. auditointikriteerit)
  • kuinka varsinainen auditointi toteutetaan
  • kuinka auditoinnin tulokset dokumentoidaan ja kenelle tuloksista raportoidaan
Liittyvät muut vaatimuskehikot ja vaatimukset:
ID.GV-3: Legal and regulatory requirements
NIST
7.5: Dokumentoitua tietoa koskevat vaatimukset
ISO 27001

Tietoturvallisuuden hallintajärjestelmän kuvaus ja ylläpito

Critical
High
Normal
Low

Organisaation on käytettävä, ylläpidettävä ja jatkuvasti kehitettävä tietoturvallisuuden hallintajärjestelmää.

Hallintajärjestelmään liittyvät rajaukset ja soveltamisala, sisällöt, roolitus, kertyvä toteutustieto sekä muu tarpeellinen kuvaustieto on oltava selkeästi dokumentoitu.

Liittyvät muut vaatimuskehikot ja vaatimukset:
5.1.1: Policies for information security
ISO 27001
PR.AT-5: Physical and cybersecurity personnel
NIST

Tarvittavien teemakohtaisten politiikkadokumenttien luominen

Critical
High
Normal
Low

Teemakohtaiset politiikkadokumentit voivat auttaa eri osa-alueisiin liittyvien tehtävien, ohjeistusten sekä muun dokumentaation viestintää ja katselmointia sekä mahdollisten ylätason periaatteiden liittämistä näihin tarkempaa toteutusta kuvaaviin hallintajärjestelmän sisältöihin. 

Organisaation on määriteltävä, mitä teemakohtaisia politiikkadokumentteja ylläpidetään sekä tarvittaessa katselmoidaan kokonaisuuksina halutuin väliajoin. Esimerkkejä teemoista, joille omaa politiikkadokumenttia voidaan haluta ylläpidää, ovat mm.:

  • pääsynhallinta
  • fyysinen turvallisuus
  • suojattavan omaisuuden hallinta
  • varmuuskopiointi
  • salauskäytännöt
  • tietojen luokittelu
  • teknisten haavoittuvuuksien hallinta
  • turvallinen kehittäminen
Liittyvät muut vaatimuskehikot ja vaatimukset:
5.1.1: Policies for information security
ISO 27001
5.1: Tietoturvapolitiikat
ISO 27001
No items found.