Ilmainen e-kirja: NIS2 haltuun hyödyntäen ISO 27001 -käytäntöjä
Lataa e-kirja
No items found.

Prosessi teknisten haavoittuvuuksien käsittelyyn

Critical
High
Normal
Low

Organisaatio on määritelly prosessin, jonka perusteella tunnistetut tekniset haavoittuvuudet käsitellään.

Osa haavoittuvuuksista voidaan korjata suoraan, mutta merkittäviä vaikutuksia omaavat haavoittuvuudet tulisi dokumentoida myös tietoturvahäiriöinä. Merkittäviä vaikutuksia omaavan haavoituvuuden tunnistamisen jälkeen:

  • yksilöidään haavoittuvuuteen liittyvät riskit ja tarvittavat toimenpiteet (esim. järjestelmän paikkaus tai muut hallintatehtävät)
  • aikataulutetaan tarvittavat toimenpiteet
  • dokumentoidaan kaikki toimenpiteet

Uhkatiedustelun tavoitteet ja tietoturvauhkiin liittyvän tiedon kerääminen

Critical
High
Normal
Low

Organisaatio toteuttaa uhkatiedustelua keräämällä tietoa toimintaansa liittyvistä tietoturvauhkista ja niiltä suojautumisesta. Tavoitteena on kasvattaa tietoisuutta uhkaympäristöstä, jotta omaa suojaustasoa voidaan paremmin arvioida ja riittävät hallintakeinot toteuttaa.

Uhkatiedustelutiedon keräämisessä on huomioitava kaikki kolme tasoa:

  • strateginen uhkatiedustelu (mm. tieto kasvavista hyökkääjä- ja hyökkäystyypeistä)
  • taktinen uhkatiedustelu (mm. tieto hyökkäyksissä käytetyistä työkaluista ja teknologioista)
  • operatiivinen uhkatiedustelu (mm. yksityiskohdat tietyistä hyökkäyksistä)

Uhkatiedusteluun liittyvien periaatteiden tulisi sisältää:

  • tavoitteiden asettaminen uhkatiedustelulle
  • uhkatiedustelussa käytettävien tietolähteiden tunnistaminen, tarkistaminen ja valinta
  • uhkatiedustelutiedon kerääminen
  • tiedon käsittely analyysiä varten (mm. kääntäminen, formatointi, tiivistäminen)

Säännöllinen uhkaperusteinen tunkeutumistestaus (TLPT)

Critical
High
Normal
Low

Organisaatiolla on prosessi uhkaperusteisen tunkeutumistestauksen (TLPT) säännöllistä suorittamista varten.

TLPT-prosessi täyttää seuraavat vaatimukset:

  1. Toteutustiheys: Rahoitusyksiköiden on oletusarvoisesti suoritettava uhkaperusteinen tunkeutumistestaus kolmen vuoden välein.
  2. Laajuus: Jokaisen TLPT:n on katettava useat tai kaikki yhteisön kriittiset tai tärkeät toiminnot, ja se on suoritettava näitä toimintoja tukeville tuotantokäyttöön tarkoitetuille järjestelmille.
  3. Kolmannen osapuolen ICT-palveluntarjoajien osallistaminen: Jos kriittiset toiminnot on ulkoistettu kolmannen osapuolen ICT-palveluntarjoajille, nämä palveluntarjoajat on sisällytettävä TLPT:hen.
  4. Haavoittuvuuksien lieventäminen: Organisaation on (yhteistyössä kolmansien osapuolten palveluntarjoajien ja testaajien kanssa) sovellettava tehokkaita riskinhallintakeinoja, joilla lievennetään mahdollisia vaikutuksia tietoihin, omaisuuteen ja toimintaan.
  5. Testausraportointi: Testin päätyttyä organisaation on toimitettava nimetylle viranomaiselle yhteenveto havainnoista ja korjaussuunnitelmista.
  6. Testaajan vaatimukset: Yhteisöjen on käytettävä testaajia asetuksissa määritellyllä tavalla ja ulkopuolisia testaajia määräajoin (kolmen testin välein), ellei niitä ole luokiteltu merkittäviksi, jolloin on käytettävä ainoastaan ulkopuolisia testaajia.

Säännöllinen tunkeutumistestaus

Critical
High
Normal
Low

Staattiset skannaukset koodiin ovat ensimmäinen askel riskialttiiden haavoittuvuuksien havaitsemiseksi. Kun palvelu on otettu käyttöön, se kuitenkin altistuu uudenlaisille hyökkäyksille (esim. cross-site scripting tai tunnistautumisen ongelmat). Näitä voidaan pyrkiä tunnistamaan tunkteutumistestauksella.

Ohjelmistohaavoittuvuuksien säännöllinen tarkastelu (ST III-II)

Critical
High
Normal
Low

Ohjelmistohaavoittuvuuksien hallitsemiseksi suojaustasoilla III-II toteutetaan seuraavat toimenpiteet:

  • Verkko ja sen palvelut, palvelimet sekä verkkoon kytketyt työasemat, kannettavat tietokoneet ja vastaavat tarkastetaan vähintään (haavoittuvuusskannaus, CMDB, jne.) puolivuosittain ja aina merkittävien muutosten jälkeen päivitysmenettelyjen korjauskohteiden löytämiseksi.
  • Säännöllisesti (esim. kuukausittain) tarkastellaan keskitetyistä päivityksenjakopalveluista päivitysten asentumisen onnistumista.

Merkittäviä muutoksia ovat mm. verkkotopologian muutokset, uusien järjestelmien käyttöönotot, vanhojen järjestelmien merkittävät päivitykset sekä palomuurien ja vastaavien suodatussääntöjen merkittävät muutokset.

Ohjelmistohaavoittuvuuksien säännöllinen tarkastelu (ST IV)

Critical
High
Normal
Low

Ohjelmistohaavoittuvuuksien hallitsemiseksi suojaustasolla IV toteutetaan seuraavat toimenpiteet:

  • Verkko ja sen palvelut, palvelimet sekä verkkoon kytketyt työasemat, kannettavat tietokoneet ja vastaavat tarkastetaan vähintään (haavoittuvuusskannaus, CMDB, jne.) vuosittain ja aina merkittävien muutosten jälkeen päivitysmenettelyjen korjauskohteiden löytämiseksi.
  • Säännöllisesti (esim. kuukausittain) tarkastellaan keskitetyistä päivityksenjakopalveluista päivitysten asentumisen onnistumista.

Merkittäviä muutoksia ovat mm. verkkotopologian muutokset, uusien järjestelmien käyttöönotot, vanhojen järjestelmien merkittävät päivitykset sekä palomuurien ja vastaavien suodatussääntöjen merkittävät muutokset.

Seuratut teknisten haavoittuvuuksien tietolähteet

Critical
High
Normal
Low

Ohjelmistoille ja muulle teknologialle on tietoisesti yksilöity tietolähteet, joita käyttämällä tunnistetaan meille relevantteja teknisiä haavoittuvuuksia ja ylläpidetään tietoa niistä (esim. viranomaiset tai laite- ja ohjelmistovalmistajat). Tietolähteitä arvioidaan ja päivitetään löydettäessä uusia hyödyllisiä lähteitä.

Haavoittuvuuksia voi löytyä suoraan hyödyntämistämme toimittajien järjestelmistä tai monien järjestelmiemme hyödyntämistä open source -komponenteista. On tärkeää seurata useita lähteitä, jotta oleellisista asioista ollaan kärryillä.

Tunnistettujen teknisten haavoittuvuuksien ensikäsittely

Critical
High
Normal
Low

Olemme määritelleet säännöt , joiden perusteella tunnistettuun haavoittuvuuteen reagoidaan. Säännöt voivat sisältää mm. seuraavat asiat:

  • ketkä kuuluvat quick-response tiimiin, joka on valmiina reagoimaan haavoittuvuuksiin
  • haavoittuvuuden paikallistava henkilö tiedottaa välittömästi koko tiimia sovittua kanavaa myöten
  • tiimi määrittää haavoittuvuudelle vakavuuden (matala, keskiverto, korkea) ennaltamääriteltyjen kriteerien perusteella
  • tiimi päättää, jatketaanko käsittelyä tietoturvahäiriönä (kiireellisemmin) vai yleisen muutostenhallinnan mukaisesti
  • haavoittuvuuden käsittelyä jatkamaan valitaan tarvittavat henkilöt

Riskialttiisiin järjestelmiin liittyvät haavoittuvuudet saavat aina korkean vakavuuden ja ne käsitellään ensimmäisinä.

Säännöllinen haavoittuvuusskannaus

Critical
High
Normal
Low

Organisaatio tekee säännöllisesti haavoittuvuusskannausta, jossa etsitään tietokoneista, työasemista, mobiililaitteista, verkoista tai sovelluksista tunnettuja haavoittuvuuksia. Skannausta on tärkeää tehdä myös merkittävien muutosten jälkeen.

On huomioitava, että haavoittuvaa lähdekoodia voi löytyä niin käyttöjärjestelmäohjelmistoista, palvelinsovelluksista, loppukäyttäjäsovelluksista, kuin esimerkiksi laiteohjelmistotason (firmware) sovelluksista sekä ajureista, BIOS:ista ja erillisistä hallintaliittymistä (esim. iLo, iDrac). Ohjelmistovirheiden lisäksi haavoittuvuuksia aiheutuu konfiguraatiovirheistä ja vanhoista käytänteistä, esimerkiksi vanhentuneiden salausalgoritmien käytöstä.

Kapasiteettiongelmien ennakointi

Critical
High
Normal
Low

Tietojärjestelmien toiminta voi olla riippuvaista tietyistä avainresursseista, kuten palvelinkapasiteetista, tallennustilasta, tietojenkäsittelykapasiteetista, valvontakapasiteetista tai tietyistä avainhenkilöistä.

Etenkin osalla näistä resursseista voi tietyissä tilanitessa olla pitkät toimitusajat tai korkeat kustannukset, jolloin tuleviin kapasiteettiongelmiin niiden kanssa on kiinnitettävä erityistä huomiota.

Tarkkailemme tärkeimpien järjestelmäresurssien käyttöä ja tunnistamme suuntaukset, turvallisuutta mahdollisesti uhkaavat pullonkaulat ja riippuvuudet tärkeistä henkilöistä.

Ohjelmistojen ja ohjelmistokirjastojen asentamiseen valtuutetut käyttäjät ja säännöt

Critical
High
Normal
Low

Ohjelmistojen hallinnoimattomat asennukset tietokoneille voivat johtaa haavoittuvuuksiin ja tietoturvahäiriöihin.

Organisaation olisi määriteltävä, minkä tyyppisiä ohjelmistoja tai päivityksiä kukin käyttäjä voi asentaa. Ohjeet voivat sisältää mm. seuraavia reunaviivoja:

  • vain erikseen nimetyt henkilöt saavat asentaa laitteille uusia ohjelmia
  • aiemmin erikseen turvalliseksi määriteltyjä ohjelmia saa asentaa kuka tahansa
  • tiettyjen ohjelmistojen käyttö voi olla mahdotonta kaikille
  • olemassa olevien ohjelmistojen päivitykset ja tietoturvakorjaukset ovat sallittuja asentaa kaikille

Kriittisten ympäristöjen eriyttäminen

Critical
High
Normal
Low

Eristetään ympäristöt, joissa seuraukset voivat olla erittäin vahingollisia.

Teknisten haavoittuvuuksien käsittelyn automatisointi

Critical
High
Normal
Low

Organisaation on kehitettävä prosessi teknisten haavoittuvuuksien käsittelyn automatisoinnille.

Haavoittuvuuksien hallintaan liittyvien tietoturvamittarien määrittely

Critical
High
Normal
Low

Organisaation on määriteltävä seuratut mittarit haavoittuvuuksien tunnistamiseen sekä korjaamiseen liittyen. Mittareita on seurattava määritetyin aikavälein.

Havaittujen teknisten haavoittuvuuksien priorisointi ja korjaustavoitteet

Critical
High
Normal
Low

Organisaatiolla on oltava selkeä toimintamalli havaittujen teknisten haavoittuvuuksien priorisointiin. Toimintamallin ei pitäisi olla täysin omaa keksintöä, vaan tukeutua yleisesti hyväksyttyihin käytäntöihin.

Haavoittuvuudet tulisi priorisoida niiden aiheuttamien riskin, liittyvän omaisuuden tärkeyden, mahdollisen organisationaalisen vaikutuksen sekä kiireellisyyden (huomioiden CVSS-arvo) perusteella.

Järjestelmäkovennuksen ylläpito

Critical
High
Normal
Low

Kovennusten voimassaolosta ja vaikuttavuudesta huolehditaan koko tietojärjestelmän elinkaaren ajan.

Säännöllinen kattava haavoittuvuusskannaus (TL III)

Critical
High
Normal
Low

Tietojenkäsittely-ympäristön laitteet tarkastetaan kattavasti ohjelmistohaavoittuvuuksien varalta vähintään puolivuosittain ja merkittävien muutosten yhteydessä. Prosessissa on huomioitu seuraavat seikat:

  • Verkko ja sen palvelut, palvelimet sekä verkkoon kytketyt työasemat, kannettavat tietokoneet, tulostimet, mobiililaitteet ja vastaavat tarkastetaan kattavasti vähintään (haavoittuvuusskannaus, CMDB jne.) vuosittain ja aina merkittävien muutosten jälkeen päivitysmenettelyjen korjauskohteiden löytämiseksi.
  • Laitteisto- ja ohjelmistokirjanpidon (ml. CMDB) sekä skannausohjelmiston ajantasaisuudesta ja tietoturvallisuudesta on huolehdittu.

"Merkittäviin muutoksiin" voidaan laskea esim. verkkotopologian muutokset, uusien järjestelmien käyttöönotot ja/tai vanhojen service pack -tason päivitykset sekä palomuurien ja vastaavien suodatussääntöjen merkittävät muutokset.

Säännöllinen kattava haavoittuvuusskannaus (TL IV)

Critical
High
Normal
Low

Tietojenkäsittely-ympäristön laitteet tarkastetaan kattavasti ohjelmistohaavoittuvuuksien varalta vähintään vuosittain ja merkittävien muutosten yhteydessä. Prosessissa on huomioitu seuraavat seikat:

  • Verkko ja sen palvelut, palvelimet sekä verkkoon kytketyt työasemat, kannettavat tietokoneet, tulostimet, mobiililaitteet ja vastaavat tarkastetaan kattavasti vähintään (haavoittuvuusskannaus, CMDB jne.) vuosittain ja aina merkittävien muutosten jälkeen päivitysmenettelyjen korjauskohteiden löytämiseksi.
  • Laitteisto- ja ohjelmistokirjanpidon (ml. CMDB) sekä skannausohjelmiston ajantasaisuudesta ja tietoturvallisuudesta on huolehdittu.

"Merkittäviin muutoksiin" voidaan laskea esim. verkkotopologian muutokset, uusien järjestelmien käyttöönotot ja/tai vanhojen service pack -tason päivitykset sekä palomuurien ja vastaavien suodatussääntöjen merkittävät muutokset.

Tietoturvauhkiin liittyvän tiedon säännöllinen analysointi ja hyödyntäminen

Critical
High
Normal
Low

Organisaatio toteuttaa uhkatiedustelua analysoimalla ja hyödyntämällä kerättyä tietoa toimintaansa liittyvistä tietoturvauhkista ja niiltä suojautumisesta.

Kerätyn uhkatiedustelutiedon analysoinnissa ja hyödyntämisessä on huomioitava seuraavat asiat:

  • analysoidaan, kuinka uhkatiedustelutieto liittyy omaan toimintaamme
  • analysoidaan, kuinka relevanttia uhkatiedustelutieto on toiminnallemme
  • viestitään ja jaetaan tietoa ymmärrettävässä muodossa relevanteille henkilöille
  • hyödynnettään uhkatiedustelun löydöksiä teknisten suojausten, käytettyjen teknologioiden sekä tietoturvallisuuden testaustapojen riittävyyden analysointiin

Teknisten haavoittuvuuksien tiedotuksen seuranta

Critical
High
Normal
Low

Organisaatio seuraa tiedotteita käytössä olevien tietojärjestelmien teknisistä haavoittuvuuksista. Kun relevantteja teknisiä haavoittuvuuksia havaitaan, organisaatio ryhtyy toimiin suunnitellun toimintamallin mukaisesti.

Haavoittuvuuksien hallinnan prosessin säännöllinen testaus

Critical
High
Normal
Low

Haavoittuvuuksien hallinnan prosessi testataan säännöllisesti organisaation määrittelemän aikavälin mukaan, jotta varmistetaan sen ajantasaisuus, toimivuus ja tehokkuus.

Digipalvelutarjonnassa käytettävien virtuaalikoneiden kovennukset

Critical
High
Normal
Low

Kovettaminen on käytäntö, jolla vähennetään järjestelmän haavoittuvuutta vähentämällä sen hyökkäyspintaa.

Virtuaalikoneita määritettäessä organisaation on varmistettava, että koneet on kovennettu esimerkiksi käyttämällä / sallimalla vain tarvittavia portteja, protokollia ja palveluita. Kaikissa virtuaalikoneissa on oltava myös tekniset suojatoimenpiteet, kuten haittaohjelmien torjunta ja lokikirjaus.

Henkilöstön tuki valituille häiriönsietokyvyn testaustoiminnoille

Critical
High
Normal
Low

Organisaation häiriönsietokykyvyn testausohjelmassa on varauduttu tarjoamaan kaikki tarvittava tukeva asiantuntijatyö valituille häiriönsietokykytestaustoimille. Tähän voi sisältyä esimerkiksi suorituskykytestausta, päästä päähän -testausta, tunkeutumistestausta tai lähdekoodin tarkistuksia.

Tähän liittyviin häiriönsietokyvyn testaustoimiin voi kuulua esimerkiksi haavoittuvuusskannauksia, muiden skannausohjelmistojen käyttöä, verkkoturvallisuuden arviointeja, fyysisen turvallisuuden tarkastuksia tai muunlaisia puuteanalyysejä.

Vaatimukset TLPT-testaajalle

Critical
High
Normal
Low

Uhkavetoisessa penetraatiotestauksessa käytettävän testausorganisaation tulee täyttää vähintään seuraavat vaatimukset:

  • Korkein soveltuvuus ja maine tehtävään
  • Omaa tekniset ja organisatoriset valmiudet erityisesti uhkatiedon, läpäisytestauksen ja red-tiimitoiminnan alalla
  • Ovat sertifioitu EU-maassa
  • He antavat auditointiraportin koskien testauksen suorittamiseen liittyvien riskien hallintaa
  • He ovat täysin katettuja asiaankuuluvilla vakuutuksilla, mukaan lukien väärinkäytösten ja laiminlyöntien riskit

Jos käytät sisäisiä testaajia yllä olevan luettelon kanssa, niiden tulee olla:

  • Toimivaltaisen viranomaisen hyväksymä
  • Viranomainen on vahvistanut, että organisaatiolla on riittävät resurssit testauksen suorittamiseen ja eturistiriitoja vältetään
  • Uhkatietojen tarjoajan on oltava entiteetin ulkopuolinen

Testaajan kanssa tehdyissä sopimuksissa tulosten hallinta ja mahdollinen tietojenkäsittely eivät aiheuta riskejä organisaatiolle.

Arvioinnit uhkavetoisen penetraatiotestauksen (TLPT) laajuuden määrittämiseksi

Critical
High
Normal
Low

Organisaatio suorittaa uhkavetoisen penetraatiotestauksen. Jokaisen testin on katettava useita asiaankuuluvan talousyksikön kriittisiä tai tärkeitä toimintoja.

Määritä TLPT:n suhteellinen soveltamisala oikein seuraavasti:

  • Rahoituslaitosten on yksilöitävä tärkeitä tai tärkeitä toimintoja tukevat ICT-järjestelmät, -prosessit ja -teknologiat
  • Rahoituslaitosten on arvioitava, mitkä näistä on kuuluttava TLPT:n piiriin

Tämän arvioinnin tulos määrittää TLPT:n tarkan soveltamisalan, ja toimivaltaisten viranomaisten on validoitava se.

Korjaustenhallintaprosessin määrittäminen

Critical
High
Normal
Low

Organisaatiolla tulisi olla määriteltynä ja toteutettuna asianmukainen korjaustenhallintamenettely. Tähän tulisi sisällyttää korjausten testaus ja asennus.

Toimenpiteitä korjausten hallintaan liittyvien riskien minimoimiseksi ja korjausten onnistuneen asennuksen todentamiseksi on toteutettava.

Haavoittuvuuksien hallintaprosessin säännöllinen seuranta

Critical
High
Normal
Low

Teknisten haavoittuvuuksien hallintaprosessia seurataan ja arvioidaan säännöllisesti, jotta voidaan varmistaa sen tehokkuus ja vaikuttavuus.

Hallintaprosessi hankittujen ohjelmistojen päivittämiseen

Critical
High
Normal
Low

Ohjelmistopäivityksiä varten olisi toteutettava hallintaprosessi, jotta voidaan varmistaa, että viimeisimmät hyväksytyt korjaustiedostot ja sovelluspäivitykset on asennettu kaikkiin hyväksyttyihin ohjelmistoihin. Ohjelmistojen aikaisemmat versiot olisi säilytettävä varotoimenpiteenä.

Korjaustiedostojen arviointi ja testaus ennen käyttöönottoa

Critical
High
Normal
Low

Haavoittuvuuden toteamisen jälkeen toimittajilla on usein merkittäviä paineita julkaista korjaustiedostot mahdollisimman pian. Tämän vuoksi on mahdollista, ettei korjaustiedosto välttämättä käsittele ongelmaa riittävästi ja sillä on haitallisia sivuvaikutuksia.

Korjaustiedostojen arvioinnissa huomioidaan mm. seuraavat asiat:

  • voidaanko korjaustiedosto testata ennalta kunnolla?
  • onko viisasta odottaa kokemuksia muilta korjauksen tehneiltä tahoilta?
  • onko korjaustiedosto on saatavilla luotettavasta lähteestä?
  • mitä riskejä korjaustiedoston asentamiseen ja asentamisen viivästämiseen liittyy?
  • tarvitaanko muita toimia, kuten haavoittuvuuksiin liittyvien ominaisuuksien kytkemistä pois käytöstä, tarkkailun lisäämistä tai haavoittuvuudesta tiedottamista

Uhkatiedustelutiedon jakaminen

Critical
High
Normal
Low

Organisaation on jaettava uhkatiedustelutietoa muiden organisaatioiden kanssa molemminsuuntaisesti uhkatietoisuuden parantamiseksi.

Uhkatiedustelun löydösten huomiointi tietoturvariskien hallintaprosessissa

Critical
High
Normal
Low

Organisaation on huomioitava uhkatiedustelussa tehdyt löydökset tietoturvariskien hallintaprosessissa. Uhkatiedustelussa voidaan havaita esimerkiksi tietyntyyppisten hyökkäysten yleistymistä tai uusien teknologioiden kehittymistä, joiden perusteella tiettyjen tietoturvariskien arvioita on päivitettävä, joka voi johtaa tarpeeseen pienentää riskejä käsittelysuunnitelmien kautta.

Käytössä olevan kapasiteetin käytön seuranta

Critical
High
Normal
Low

Tietojärjestelmien toiminta voi olla riippuvaista tietyistä avainresursseista, kuten palvelinkapasiteetista, tallennustilasta, tietojenkäsittelykapasiteetista, valvontakapasiteetistatai tietyistä avainhenkilöistä.

Organisaatio on määritellyt avainresurssit sekä tavat näiden avainresurssien käytön seurantaan. Resursseille määritetään lisäksi normaalitaso, jota hyödynnetään arvioidessa riskiä saatavuuden vaarantumisesta kapasitettiongelmien vuoksi.