ISO 27001

Käyttäjän vastuut

Teema-alueen vaatimukset

Teeman tehtävien osa-alueet

No items found.
ISO 270019: Access control9Pääsynhallinta

Käyttäjän vastuut

Vaatimuskategoriaan liittyvät vaatimukset

Esimerkkejä vaatimuksiin liittyvistä tehtävistä

Klikkaa itsesi yksittäisen vaatimuksen näkymään nähdäksesi kaikki kohtaan liittyvät sisällöt.

Ohjeistukset henkilöstölle tietojärjestelmien ja tunnistautumistietojen käyttöön liittyen

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Organisaatiolla tulisi olla määritelly ohjeet tietojärjestelmien yleisesti hyväksyttävälle käytölle sekä tarvittavien tunnistautumistietojen hallinnalle.

Tärkeäksi luokiteltujen tietojärjestelmien omistaja voi lisäksi määritellä, dokumentoida ja jalkauttaa tarkempia sääntöjä juuri tämän tietojärjestelmän käytöstä. Nämä saannöt voivat kuvata mm. tietoturvavaatimukset, jotka järjestelmän sisältävään tietoon liittyvät.

Monivaiheisen tunnistautumisen mahdollistaminen kaikille käyttäjille

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Monivaiheinen tunnistautuminen (multi-factor authentication, MFA) auttaa suojaamaan laitteita ja tietoja. Sen soveltamiseksi käyttäjistä on oltava identiteetinhallintajärjestelmässä muutakin tietoa kuin vain sähköpostiosoite - esimerkiksi puhelinnumero tai liitetty Authenticator-sovellus (esim. Microsoft, Google tai LastPass Authenticator).

Salasanan hallintajärjestelmän käyttö ja arviointi

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Salasanojen hallintajärjestelmä antaa käyttäjän rekisteröitymistilanteessa päättää, mitenkä monimutkainen salasana tällä kertaa laitetaan, ja muistaa sen käyttäjän puolesta.

Salasanojen hallintajärjestelmän käytössä voidaan noudattaa mm. seuraavia periaatteita:

  • järjestelmä pakottaa käyttämään jatkossa yksilöllisiä salasanoja
  • järjestelmä varoittaa käyttäjää vaihtamaan vanhat toistuvat salasanat
  • järjestelmä pakottaa valitsemaan tarpeeksi monimutkaisia, laadukkaita salasanoja
  • järjestelmä pakottaa käyttäjän vaihtamaan tilapäisen salasanan ensimmäisellä kirjautumiskerralla
  • järjestelmä pakottaa vaihtamaan mahdollisesti tietovuodossa vaarantuneen salasanan
  • järjestelmä estää samojen salasanojen uudelleen käyttämisen
  • järjestelmä säilyttää salasanatiedostot erillään muista tiedoista ja vahvasti salattuina
ISO 270019: Access control9PääsynhallintaKäyttäjän vastuut

Käyttäjän vastuut

Tämän vaatimuksen toteuttamiseen liittyvät tehtävät

Alla näet tehtäviä, joiden avulla Digiturvamallissa tämän vaatimuksen toteutusta vastuutetaan ja jalkautetaan. Klikkaa itsesi tehtävän sivulle lukeaksesi toteutuksesta tarkemmin.

Ohjeistukset henkilöstölle tietojärjestelmien ja tunnistautumistietojen käyttöön liittyen

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Organisaatiolla tulisi olla määritelly ohjeet tietojärjestelmien yleisesti hyväksyttävälle käytölle sekä tarvittavien tunnistautumistietojen hallinnalle.

Tärkeäksi luokiteltujen tietojärjestelmien omistaja voi lisäksi määritellä, dokumentoida ja jalkauttaa tarkempia sääntöjä juuri tämän tietojärjestelmän käytöstä. Nämä saannöt voivat kuvata mm. tietoturvavaatimukset, jotka järjestelmän sisältävään tietoon liittyvät.

Monivaiheisen tunnistautumisen mahdollistaminen kaikille käyttäjille

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Monivaiheinen tunnistautuminen (multi-factor authentication, MFA) auttaa suojaamaan laitteita ja tietoja. Sen soveltamiseksi käyttäjistä on oltava identiteetinhallintajärjestelmässä muutakin tietoa kuin vain sähköpostiosoite - esimerkiksi puhelinnumero tai liitetty Authenticator-sovellus (esim. Microsoft, Google tai LastPass Authenticator).

Salasanan hallintajärjestelmän käyttö ja arviointi

Dokumentoi

Ohjeista

Luo menettely

Vastuuta toteutus

Salasanojen hallintajärjestelmä antaa käyttäjän rekisteröitymistilanteessa päättää, mitenkä monimutkainen salasana tällä kertaa laitetaan, ja muistaa sen käyttäjän puolesta.

Salasanojen hallintajärjestelmän käytössä voidaan noudattaa mm. seuraavia periaatteita:

  • järjestelmä pakottaa käyttämään jatkossa yksilöllisiä salasanoja
  • järjestelmä varoittaa käyttäjää vaihtamaan vanhat toistuvat salasanat
  • järjestelmä pakottaa valitsemaan tarpeeksi monimutkaisia, laadukkaita salasanoja
  • järjestelmä pakottaa käyttäjän vaihtamaan tilapäisen salasanan ensimmäisellä kirjautumiskerralla
  • järjestelmä pakottaa vaihtamaan mahdollisesti tietovuodossa vaarantuneen salasanan
  • järjestelmä estää samojen salasanojen uudelleen käyttämisen
  • järjestelmä säilyttää salasanatiedostot erillään muista tiedoista ja vahvasti salattuina

Ohjeistukset henkilöstölle tietojärjestelmien ja tunnistautumistietojen käyttöön liittyen

Critical
High
Normal
Low

Organisaatiolla tulisi olla määritelly ohjeet tietojärjestelmien yleisesti hyväksyttävälle käytölle sekä tarvittavien tunnistautumistietojen hallinnalle.

Tärkeäksi luokiteltujen tietojärjestelmien omistaja voi lisäksi määritellä, dokumentoida ja jalkauttaa tarkempia sääntöjä juuri tämän tietojärjestelmän käytöstä. Nämä saannöt voivat kuvata mm. tietoturvavaatimukset, jotka järjestelmän sisältävään tietoon liittyvät.

Liittyvät muut vaatimuskehikot ja vaatimukset:
29. Tietojenkäsittely rekisterinpitäjän ja henkilötietojen käsittelijän alaisuudessa
GDPR
32. Käsittelyn turvallisuus
GDPR

Salasanan hallintajärjestelmän käyttö ja arviointi

Critical
High
Normal
Low

Salasanojen hallintajärjestelmä antaa käyttäjän rekisteröitymistilanteessa päättää, mitenkä monimutkainen salasana tällä kertaa laitetaan, ja muistaa sen käyttäjän puolesta.

Salasanojen hallintajärjestelmän käytössä voidaan noudattaa mm. seuraavia periaatteita:

  • järjestelmä pakottaa käyttämään jatkossa yksilöllisiä salasanoja
  • järjestelmä varoittaa käyttäjää vaihtamaan vanhat toistuvat salasanat
  • järjestelmä pakottaa valitsemaan tarpeeksi monimutkaisia, laadukkaita salasanoja
  • järjestelmä pakottaa käyttäjän vaihtamaan tilapäisen salasanan ensimmäisellä kirjautumiskerralla
  • järjestelmä pakottaa vaihtamaan mahdollisesti tietovuodossa vaarantuneen salasanan
  • järjestelmä estää samojen salasanojen uudelleen käyttämisen
  • järjestelmä säilyttää salasanatiedostot erillään muista tiedoista ja vahvasti salattuina
Liittyvät muut vaatimuskehikot ja vaatimukset:
9.3: User responsibilities
ISO 27001
9.3.1: Use of secret authentication information
ISO 27001

Monivaiheisen tunnistautumisen mahdollistaminen kaikille käyttäjille

Critical
High
Normal
Low

Monivaiheinen tunnistautuminen (multi-factor authentication, MFA) auttaa suojaamaan laitteita ja tietoja. Sen soveltamiseksi käyttäjistä on oltava identiteetinhallintajärjestelmässä muutakin tietoa kuin vain sähköpostiosoite - esimerkiksi puhelinnumero tai liitetty Authenticator-sovellus (esim. Microsoft, Google tai LastPass Authenticator).

Liittyvät muut vaatimuskehikot ja vaatimukset:
9.3: User responsibilities
ISO 27001
9.3.1: Use of secret authentication information
ISO 27001
No items found.