Kyberturva organisaatiossa

Tietoturvan hallinta

Henkilö tietokoneen äärellä puhelin kädessä

Johdanto

Tietoturvan hallinta tarkoittaa kokonaisvaltaista lähestymistapaa organisaation tietoturvan suunnitteluun, toteuttamiseen, seurantaan ja jatkuvaan kehittämiseen.

Tietoturvan hallinnan tavoitteena on suojata organisaation tietovarallisuutta, täyttää lakisääteiset velvoitteet ja turvata liiketoiminnan jatkuvuus myös häiriö- ja kriisitilanteissa.

Tietoturvallisuuden hallintajärjestelmä (ISMS)

ISMS (Information Security Management System) on dokumentoitu joukko politiikkoja, prosesseja, menettelyjä ja kontrolleja, joiden avulla organisaatio hallitsee tietoturvariskejä.

ISMS:n ydinelementit

Elementti Kuvaus
Tietoturvapolitiikka Johdon sitoutuminen tietoturvaan ja tavoitteisiin.
Riskienhallinta Riskien tunnistaminen, arviointi ja käsittely.
Kontrollit Tekniset ja hallinnolliset suojatoimenpiteet.
Auditointi ISMS:n tehokkuuden arviointi ja seuranta.
Johdon katselmus Johdon säännöllinen arvio tietoturvan tilasta.
Jatkuva parantaminen Havaintojen perusteella tehtävä kehitystyö.

PDCA-sykli

ISMS perustuu jatkuvan kehittämisen PDCA-malliin:

  1. Plan – suunnitellaan tavoitteet ja riskienhallinta.
  2. Do – toteutetaan kontrollit ja prosessit.
  3. Check – seurataan ja arvioidaan toimintaa.
  4. Act – kehitetään toimintaa havaintojen perusteella.

Tietoturvariskien hallinta

Riskienhallinta on tietoturvan hallinnan keskeinen osa-alue. Sen avulla tunnistetaan, arvioidaan ja käsitellään organisaation tietoturvariskejä systemaattisesti.

Riskienhallinnan prosessi

  1. Kontekstin määritys
  2. Riskien tunnistaminen
  3. Riskien analysointi
  4. Riskien arviointi
  5. Riskien käsittely
  6. Seuranta ja katselmus

Riskien käsittelystrategiat

Strategia Kuvaus
Riskien vähentäminen Kontrollien avulla pienennetään riskin vaikutusta tai todennäköisyyttä.
Riskien hyväksyminen Riski hyväksytään sellaisenaan.
Riskien siirtäminen Riski siirretään kolmannelle osapuolelle esimerkiksi vakuutuksella.
Riskien välttäminen Riskin aiheuttavasta toiminnasta luovutaan.

Riskimatriisi

Riskimatriisin avulla yhdistetään riskin todennäköisyys ja vaikutus, jolloin riskit voidaan priorisoida tehokkaasti.

Tietoturvakontrollit

Tietoturvakontrollit ovat käytännön toimenpiteitä, joilla hallitaan tunnistettuja riskejä.

Hallinnolliset kontrollit

  • Tietoturvapolitiikat ja menettelyt
  • Henkilöstöhallinta ja offboarding
  • Tietoturvakoulutus
  • Käyttöoikeuksien hallinta
  • Toimittajahallinta
  • Poikkeamien hallinta

Tekniset kontrollit

  • IAM, SSO, MFA ja PAM
  • Salausmenetelmät
  • Palomuurit ja IDS/IPS-järjestelmät
  • SIEM ja lokienhallinta
  • Haavoittuvuuksien hallinta
  • EDR/XDR-ratkaisut
  • Varmuuskopiointi

Fyysiset kontrollit

  • Kulunvalvonta
  • Videovalvonta
  • Laitteiden turvallinen hävitys
  • UPS ja ympäristönvalvonta

Käyttöoikeuksien hallinta

Käyttöoikeuksien hallinnan tavoitteena on varmistaa, että oikeilla henkilöillä on oikea-aikaisesti pääsy tarvitsemiinsa resursseihin.

Käyttöoikeuksien elinkaari

  1. Provisiointi
  2. Katselmus
  3. Muutos
  4. Deprovisiointi

Keskeiset periaatteet

Periaate Kuvaus
Vähimmäisoikeusperiaate Käyttäjälle annetaan vain välttämättömät oikeudet.
Tehtävien eriyttäminen Kriittiset toiminnot jaetaan useille henkilöille.
Tarve tietää -periaate Pääsy tietoihin vain työtehtävien perusteella.
PAM Privilegioitujen tilien käyttöä hallitaan ja valvotaan.

Liiketoiminnan jatkuvuudenhallinta

Liiketoiminnan jatkuvuudenhallinta varmistaa, että organisaatio pystyy jatkamaan kriittisiä toimintojaan häiriö- ja kriisitilanteissa.

Keskeiset käsitteet

Lyhenne Merkitys
BIA Liiketoiminnan vaikutusanalyysi
RTO Palautumisaikatavoite
RPO Hyväksyttävä tietohäviö
BCP Jatkuvuussuunnitelma
DRP Palautussuunnitelma
MTTR Keskimääräinen palautumisaika

Jatkuvuussuunnittelun vaiheet

  1. Laajuuden määrittely
  2. BIA-analyysi
  3. Riskianalyysi
  4. Jatkuvuusstrategiat
  5. BCP- ja DRP-suunnitelmat
  6. Testaus ja harjoittelu
  7. Ylläpito ja päivitys

Tietoturvan mittaaminen ja seuranta

Mittarit auttavat johtoa ymmärtämään tietoturvan tilaa ja kohdistamaan resurssit oikein.

Keskeiset mittarit

Mittari Tavoite
Kriittisten haavoittuvuuksien määrä < 5
Patching-aika < 48 tuntia
Poikkeamien määrä Laskeva trendi
MTTD < 24 tuntia
MTTR < RTO
Koulutusten suoritusaste > 95 %

Tietoturvan tilannekuva

  • SIEM-järjestelmät
  • Haavoittuvuusskannerit
  • Kypsyysarvioinnit
  • Penetraatiotestaukset
  • Threat Intelligence

Tietoturvaorganisaatio ja roolit

Selkeä vastuunjako ja määritellyt roolit ovat toimivan tietoturvan hallinnan perusta.

Keskeiset roolit

Rooli Vastuut
CISO Vastaa tietoturvastrategiasta ja raportoinnista johdolle.
Tietoturvapäällikkö Vastaa operatiivisesta tietoturvasta.
DPO Vastaa GDPR-vaatimustenmukaisuudesta.
SOC-analyytikko Valvoo poikkeamia ja uhkia.
Tietoturva-arkkitehti Suunnittelee turvallisia arkkitehtuureja.

RACI-malli

RACI-matriisi auttaa selkeyttämään vastuunjakoa tietoturvatehtävissä.

Säädösvaatimukset ja standardit

Organisaatioiden on huomioitava kasvava joukko tietoturvaan liittyviä säädöksiä ja standardeja.

Säädös / standardi Merkitys
GDPR Henkilötietojen suojaus ja tietomurtoilmoitukset.
NIS2 Riskienhallinta, toimitusketjut ja johdon vastuu.
Kyberturvallisuuslaki NIS2:n kansallinen toimeenpano.
DORA Finanssialan digitaalinen häiriönsietokyky.
ISO/IEC 27001 Kansainvälinen ISMS-standardi.

Tietoturvakulttuurin kehittäminen

Vahva tietoturvakulttuuri tarkoittaa, että koko organisaatio ymmärtää tietoturvan merkityksen ja toimii turvallisesti päivittäisessä työssä.

Tietoisuusohjelma

  1. Johdon sitoutuminen
  2. Perehdytyskoulutukset
  3. Säännölliset koulutukset
  4. Kohdennetut koulutukset
  5. Phishing-simulaatiot
  6. Tietoturvaviestintä
  7. Palkitseminen

Kulttuurin kypsyysmalli

Taso Kuvaus
1 – Tietämätön Tietoturvaa ei ymmärretä.
2 – Ymmärtävä Perussäännöt tunnetaan.
3 – Compliant Sääntöjä noudatetaan vaatimuksesta.
4 – Proaktiivinen Tietoturvaa edistetään aktiivisesti.
5 – Optimoiva Tietoturva on osa organisaatiokulttuuria.

Yhteenveto

Tietoturvan hallinta on strateginen investointi, joka suojaa organisaation tietovarallisuutta, liiketoimintaa ja mainetta.

  • Johdon sitoutuminen on kriittistä.
  • Riskienhallinta muodostaa perustan.
  • Kontrollit suojaavat tietovarallisuutta.
  • Mittarit mahdollistavat jatkuvan kehittämisen.
  • Säädösvaatimukset on huomioitava proaktiivisesti.
  • Vahva tietoturvakulttuuri tukee koko organisaatiota.