Lokitietojen kerääminen tietojärjestelmien käytöstä

Critical
High
Normal
Low

Viranomaisen on huolehdittava, että sen tietojärjestelmien käytöstä ja niistä tehtävistä tietojen luovutuksista kerätään tarpeelliset lokitiedot, jos tietojärjestelmän käyttö edellyttää tunnistautumista tai muuta kirjautumista. Lokitietojen käyttötarkoituksena on tietojärjestelmissä olevien tietojen käytön ja luovutuksen seuranta sekä tietojärjestelmän teknisten virheiden selvittäminen.

Digiturvamallissa tietojärjestelmän omistaja voi vastata tietojärjestelmän lokitietojen keräämisen tarkastamisesta. Organisaatio dokumentoi lokien sisällön tarkemmin niissä tietojärjestelmissä, joiden teknisestä ylläpidosta se vastaa itse. Muissa tietojärjestelmissä omistaja tarkistaa yhteistyössä järjestelmätoimittajan kanssa, että tarvittavat lokit kertyvät.

Liittyvät muut vaatimuskehikot ja vaatimukset:
4 luku, 17 §: Lokitietojen kerääminen
TiHL
HAL-07.1: Seuranta ja valvonta - tietojen käyttö ja luovutukset
Julkri

Järjestelmälokien dokumentointi itse ylläpidetyille tietojärjestelmille

Critical
High
Normal
Low

Järjestelmälokien kehityksen tulee pysyä järjestemän kehityksen mukana ja mahdollistaa esim. tarvittava häriötilanteiden selvitys. Kuvaamme tietojärjestelmälistauksen yhteydessä, minkä järjestelmien suhteen vastuu lokituksen toteutuksesta on itsellämme. Näiden järjestelmien suhteen dokumentoimme:

  • mitä tietoja lokiin tallentuu
  • kuinka pitkään lokin tiedot säilytetään
Liittyvät muut vaatimuskehikot ja vaatimukset:
I10: Turvallisuuteen liittyvien tapahtumien jäljitettävyys
Katakri
12.4.1: Event logging
ISO 27001

Lokitietojen keräämiseen liittyvien vaatimusten tunnistaminen ja lokitietojen riittävyys

Critical
High
Normal
Low

Organisaatio on tunnistanut lokitietojen keräämiseen liittyvät vaatimukset ja varmistanut niiden perusteella lokitietojen keräämisen ja seurannan riittävyyden.

Lokitiedot tulee kerätä tietojärjestelmän käytöstä ja tietojen luovutuksista, mutta tietojen kerääminen on sidottu tarpeellisuuteen. Jos tietojärjestelmästä luovutetaan rajapintojen tai katseluyhteyden avulla salassa pidettäviä tietoja tai henkilötietoja, tulee luovuttavassa järjestelmässä kerätä luovutuslokitiedot sen varmistamiseksi, että tietojen luovuttamiselle on ollut laillinen perusteensa. Lisäksi käyttölokitiedot tulee kerätä ainakin tietojärjestelmistä, joissa käsitellään henkilötietoja tai salassa pidettäviä tietoja.

Liittyvät muut vaatimuskehikot ja vaatimukset:
HAL-07.1: Seuranta ja valvonta - tietojen käyttö ja luovutukset
Julkri

Tallenteet henkilötietojen luovutuksista kolmansille osapuolille

Critical
High
Normal
Low

Organisaation tulisi tallentaa henkilötietojen luovutusta kolmansille osapuolille koskevat tiedot. Tietoihin kuuluu mitä henkilötietoja, kenelle ja milloin on luovutettu.

Liittyvät muut vaatimuskehikot ja vaatimukset:
A.7.5.4: Records of PII disclosure to third parties
ISO 27701
HAL-07.1: Seuranta ja valvonta - tietojen käyttö ja luovutukset
Julkri
No items found.