Kannettavat tietokoneet on suojattu full-disk -salauksella.
Kun varmuuskopioiden luottamuksellisuus on tärkeää, varmuuskopiot suojataan salauksella. Varmuuskopioiden salaamisen tarve voi korostua, kun varmuuskopioita säilytetään fyysisessä sijainnissa, jonka turvallisuuskäytännöistä ei ole varmuutta.
Salausavainten hallintajärjestelmällä (CKMS) käsitellään, hallitaan ja varastoidaan salausavamia sekä valvotaan niihin liittyiviä toimenpiteitä. Hallintajärjestelmä voi olla toteutettu automatisoituna työkaluna tai manuaalisempana toteutuksena.
Organisaatiolla on oltava keinot, joilla salausavainten hallintajärjestelmän avulla seurataan ja raportoidaan kaikista salauksen materiaaleista ja niiden statuksista. Salausavainten hallintajärjestelmää tulisi käyttää ainakin:
Kaikkien käytettävien salausmenetelmien on pystyttävä tarjoamaan tarvittava turvallisuus kyseisellä sovellusalueella alan parhaiden standardien mukaisesti. Tällaisia aloja ovat esimerkiksi
Kun salassa pidettäviä tietoja siirretään fyysisesti suojattujen alueiden ulkopuolella, pyritään tiedot ensisijaisesti siirtämään tietoverkon yli sähköisesti viranomaisen hyväksymillä salaustuotteilla suojattuina.
Jos edellä mainittua menettelyä ei käytetä:
Lisäksi suojaustasolla II toteutetaan alla mainitut toimenpiteet:
Kansainvälisiä turvallisuusluokiteltuja tietoja koskevat vaatimukset on varmistettava tapauskohtaisesti Suojelupoliisilta tai Pääesikunnasta.
Kun salassa pidettäviä tietoja siirretään fyysisesti suojattujen alueiden ulkopuolella, pyritään tiedot ensisijaisesti siirtämään tietoverkon yli sähköisesti viranomaisen hyväksymillä salaustuotteilla suojattuina.
Jos edellä mainittua menettelyä ei käytetä:
Lisäksi suojaustasolla III toteutetaan alla mainitut toimenpiteet:
Kansainvälisiä turvallisuusluokiteltuja tietoja koskevat vaatimukset on varmistettava tapauskohtaisesti Suojelupoliisilta tai Pääesikunnasta.
Kun salassa pidettäviä tietoja siirretään fyysisesti suojattujen alueiden ulkopuolella, pyritään tiedot ensisijaisesti siirtämään tietoverkon yli sähköisesti viranomaisen hyväksymillä salaustuotteilla suojattuina.
Jos edellä mainittua menettelyä ei käytetä:
Lisäksi suojaustasolle IV toteutetaan alla mainitut toimenpiteet:
Kansainvälisiä turvallisuusluokiteltuja tietoja koskevat vaatimukset on varmistettava tapauskohtaisesti Suojelupoliisilta tai Pääesikunnasta.
Aineiston sähköinen välitys kattaa esimerkiksi puhelimen, faksin, sähköpostin, pikaviestimet ja muut vastaavat tietoverkon kautta toimivat tiedonsiirtomenetelmät.
Sähköisen tietojen välittämisen turvaamiseksi organisaatio toteuttaa seuraavat toimenpiteet:
Viranomaisen on toteutettava tietojensiirto yleisessä tietoverkossa salattua tai muuten suojattua tiedonsiirtoyhteyttä tai -tapaa käyttämällä, jos siirrettävät tiedot ovat salassa pidettäviä. Lisäksi tietojensiirto on järjestettävä siten, että vastaanottaja varmistetaan tai tunnistetaan riittävän tietoturvallisella tavalla ennen kuin vastaanottaja pääsee käsittelemään siirrettyjä salassa pidettäviä tietoja.
Salausratkaisujen tarpeellisuudesta päättäminen nähdään osana kokonaisprosessia, johon sisältyvät riskien arviointi ja muiden hallintatehtävien määrittely.
Organisaatio on laatinut yleisen salauspolitiikan, jota noudatetaan aina tietoa suojattaessa salauksen avulla.
Salauspolitiikka määrittelee:
Työkäyttöön tarkoitetuiksi älypuhelimiksi ja tableteiksi valitaan laitteita, jotka tukevat full-device -salausta ja salaukset asetetaan päälle.
Luottamuksellisen tiedon varastoimista siirrettävissä tietovälineissä pyritään välttämään. Kun siirrettäviä tietovälineitä käytetään luottamuksellisen tiedon siirtämiseen, käytetään asiallista suojausta (esim. koko levyn salausta pre-boot autentikoinnilla).
Organisaatiomme on määritellyt toimintatavat salausavainten luomiseen, säilyttämiseen, jakamiseen ja poistamiseen.
Salausavainten pituudet ja käyttökäytännöt pyritään valitsemaan parhaiden yleisten käytäntöjen mukaisesti seuraamalla alan kehitystä.
Salausavainten palauttamisella tarkoitetaan salausavaimen uudelleenrakentamista varmuuskopioiden tai arkistojen avulla.
Organisaatiolla on oltava keinot arvioda salausavaimen tai salattujen tietojen paljastumisen riskiä verrattuna toiminnan jatkuvuuden vaarantumiseen siinä tapauksessa, että salausavain katoaa.
Salausavainten arkistoinnilla tarkoitetaan salausavainten turvallisesti järjestettyä pidemmän aikavälin säilyttämistä. Arkistoiduista avaimista voi olla hyötyä myöhempään tietojen palauttamiseen.
Organisaatiolla on oltava keinot hallita salausavaimia turvallisessa arkistossa, joka toimii pienimmän käyttöoikeuden periaatteen mukaan.
Salausavainten arkistoinnissa on huomioita vähintään:
Organisaatiolla täytyy olla keinot valvoa, tarkistaa ja hyväksyä avainten siirtäminen mistä tahansa tilasta väliaikaisesti kumotuksi ja toisinpäin.
Salausavainten väliaikaisessa kumoamisessa on huomioitava seuraavat seikat:
Organisaatiolla täytyy olla keinot salausavainten deaktivointiin niiden käyttöajan umpeutuessa.
Salausavainten deaktivoinnissa on huomioitava vähintään:
Organisaatiolla on oltava keinot luoda salausavaimia esiaktivoituun tilaan, kun avain on generoitu muttei vielä hyväksytty käyttöön.
Salausavainten aktivoinnissa on huomioitava seuraavat asiat:
Organisaatiolla täytyy olla keinot turvallisen ympäristön ulkopuolelle varastoitujen salausavainten tuhomaiseksi sekä HSM:iin (Hardware Security Modules) varastoitujen avainten kumoamiseksi, kun niitä ei enää tarvita.
Salausavainten tuhoamisessa on huomioitava seuraavat seikat, jotka varmistavat tietojen palauttamattomuuden:
Organisaatiolla on oltava keinot salausavainten käytöstä poistamiseksi ennen asetetun salausjakson päättymistä. Näitä toimenpiteitä käytetään esimerkiksi avaimen eheyden vaarantuessa tai salauksen kohteen poistuessa organisaation hallusta.
Tieto salausavaimen kumoamisesta tulisi olla saatavilla kaikille salausavaimeen nojautuneille tahoille. Relevanttien sidosryhmien tiedottamisessa voi olla syytä käyttää mm. certificate revocation -listoja (CRL).
Organisaation on huolehdittava salausavainten kierrättämisestä määriteltyjen salausjaksojen mukaisesti. Salausjakson määrittämisessä on huomioitava tiedon paljastumisen riskit sekä lakisääteiset vaatimukset.
Salausavainten kierrätyksen yhteydessä vanhaa avainta on ensin käytettävä salauksen purkamiseen ja tämän jälkeen uutta avainta tiedon uudelleensalaamiseen.
Organisaation hallinnoimien salausavainten on oltava dedikoituja yhteen, ainutlaatuiseen käyttötarkoitukseen.
Salausavainten jakeluun liittyen on huomioitava vähintäänkin seuraavat asiat:
Organisaatio käyttää salausavainten luomiseen ainoastaan toimialalla yleisesti hyväksyttyjä salauskirjastoja. Kirjastot määrittävät käytetyn salausalgoritmin vahvuuden sekä mm. käytetyn satunnaisnumerogeneraattorin.
Organisaation täytyy auditoida salauksen ja salausavainten hallintajärjestelmät ja käytännöt säännöllisesti. Auditointi tulee toteuttaa vähintään vuosittain sekä aina näihin osa-alueisiin liittyvien tietoturvatapahtumien jälkeen.
Auditoinnissa on tärkeää huomioida mahdolliset toimialakohtaiset salausvaatimukset (esim. HIPAA - terveystiedot, tai PCI DSS - maksukorttitiedot).
Palveluntarjoajan täytyy kyetä tarjoamaan asiakkaalle mahdollisuus hallinnoida itsenäisesti sen hallinoimien tietojen salaukseen käytettävien salausavainten säilytys ja hallinta.
Tähän työnjakoon kuuluvat yksityiskohdat tulisi mainita palvelutasosopimuksissa, käyttöehdoissa tai muissa vastaavissa dokumenteissa.
Organisaatiolla on oltava keinot, joiden mukaisesti vaarantuneita salausavaimia käsitellään. Vaarantuneet salausavaimet voivat olla tilassa, jossa ne odottavat tarkempaa tutkintaa asiallisten toimenpiteiden selvittämiseksi.
Vaarantuneiden salausavainten käsittelyssä on huomioitava vähintään seuraavat seikat:
Vaarantuneiden salausavainten pikaiseen kumoamiseen tulisi soveltaa organisaation hätäkumoamisprosesseja.
Organisaation riskienhallintamenettelyssä on huomioitava riittävällä prioriteetilla salausavainten hallintaan liittyvien riskien tunnistaminen, arvionti, käsittely ja seuraaminen.
Pilvipalveluita tarjoaessaan organisaation tulee toimittaa pilvipalvelun asiakkaalle kuvaukset toteutetuista salausohjauksista soveltuvien sopimusten, lakien ja määräysten noudattamisen tarkistamiseksi.
Organisaation tulee varmistaa, että tietojärjestelmien käyttöön sovellettavat kryptografiset säännöt ja toimintatavat ovat asiaankuuluvien sopimusten, lakien ja määräysten mukaisia.
Kun TL I -tietojen suojaamiseen käytetään salausratkaisuja (esim. kiintolevyjen salaukseen, eri omistajien tietojen erottelu) huomioidaa, että TL I -tietojen suojaamiseen riittävän luotettavia, hyväksyttyjä salausratkaisuja on saatavilla äärimmäisen rajoitetusti.
Näissä tilanteissa salausratkaisut ovat lähtökohtaisesti vain tukevassa roolissa muille suojauksille, erityisesti fyysiselle pääsynhallinnalle. Tietojen siirtämisessä turva-alueiden välillä voidaan turvautua esimerkiksi kuriirimenettelyihin.
Turvallisuusluokan III sähköisten tietojen säilytys on mahdollista kyseisen turvallisuusluokan mukaisessa päätelaitteessa turva-alueen ulkopuolella seuraavien ehtojen täyttyessä:
Erityisesti turvallisuusluokitellun tiedon suojaamisessa korostuu tarve käyttää salausratkaisuja, joiden riittävästä turvallisuudesta on luotettavaa näyttöä. Puhtaasti ohjelmistopohjaiset salausratkaisut ovat tyypillisesti hyväksyttävissä IV- ja joissain tilanteissa erityisehdoilla myös III-luokille. II-luokalle ja useimmin myös III-luokalle edellytetään tyypillisesti enemmän alustan luotettavuudelta.
Kun turvallisuusluokiteltua tietoa siirretään hyväksyttyjen fyysisesti suojattujen turvallisuusalueiden ulkopuolelle, tieto/tietoliikenne salataan riittävän turvallisella menetelmällä. Lisäksi tietojensiirto on järjestettävä siten, että vastaanottaja varmistetaan tai tunnistetaan riittävän tietoturvallisella tavalla ennen kuin vastaanottaja pääsee käsittelemään siirrettyjä turvallisuusluokiteltuja tietoja.
Salausratkaisujen hyväksyntäprosessia on kuvattu yksityiskohtaisemmin Kyberturvallisuuskeskuksen ohjeessa salaustuotearvioinneista ja -hyväksynnistä.
Kunkin turvallisuusluokan tiedot pidetään erillään julkisista ja muiden turvallisuusluokkien tiedoista, tai eri tason tietoja käsitellään korkeimman turvallisuusluokan mukaisesti.
Palvelimissa, työasemissa ja muissa tallennusvälineissä turvallisuusluokitellut tiedot säilytetään riittävän turvallisella menetelmällä salattuna, mikäli salausta käytetään tarkastusoikeuden varaavien eri tiedon omistajien tietojen erotteluun, tai/ja mikäli tallennusvälineitä viedään niiden elinkaaren aikana kyseisen turvallisuusluokan säilyttämiseen hyväksytyn turvallisuusalueen ulkopuolelle.
Langattomassa tiedonsiirrossa tietoliikenne salataan kyseiselle turvaluokalle riittävän turvallisella salausratkaisulla. Tarvittaessa salausratkaisu täytyy olla toimivaltaisen viranomaisen hyväksymä.
Liikenne voidaan esimerkiksi tunneloida liittävän turvallisella VPN-ratkaisulla tai voidaan käyttää sovellustason salausratkaisua.
Hallintaliikenteen kulkiessa ko. turvallisuusluokan sisällä, alemman tason salausta tai salaamatonta siirtoa voidaan käyttää riskinhallintaprosessin tulosten perusteella.
Hallintaliikenteen sisältäessä turvallisuusluokiteltua tietoa ja kulkiessa matalamman turvallisuusluokan ympäristön kautta, turvallisuusluokitellut tiedot on salattu riittävän turvallisella salaustuotteella.
Organisaation henkilöstölle tarjotaan ratkaisu turvallisuusluokittelemattoman salassa pidettävän tiedon suojaamiseksi salaamisella, kun tietoa siirretään fyysisesti suojattujen alueiden ulkopuolelle verkon kautta. Ratkaisussa ei ole tunnettuja haavoittuvuuksia ja se tukee valmistajalta saatujen tietojen mukaan moderneja salausvahvuuksia ja -asetuksia.
Henkilöstön osaamisesta salausratkaisun turvalliseen käyttöön on varmistuttu (esimerkiksi ohjeistus, koulutus ja valvonta).
Kun käytetään langattomia yhteyksiä fyysisten sijaan (esim. WLAN, Bluetooth) tulkitaan yhteys poistumiseksi suojatulta alueelta.
Tässä tapauksessa langattomassa tiedonsiirrossa tietoliikenne salataan salausratkaisulla, jossa ei ole tunnettuja haavoittuvuuksia ja jotka tukevat valmistajalta saatujen tietojen mukaan moderneja salausvahvuuksia ja -asetuksia.
Tiedonsiirtoon sisältyy myös oheislaitteiden ja päätelaitteiden välinen liikenne eli esim. langattomat hiiret, näppämistöt ja kuulokkeet. Fyysisesti suojatun sisällä tapahtuvan vaatimuksia heikommin suojattu langaton tiedonsiirto (esim. langattomat oheislaitteet) voidaan hyväksyä, mikäli voidaan varmistua, että tiedon luottamuksellisuus ei vaarannu näiden yhteyksien kautta.
Hallintaliikenne julkisessa verkossa on salattua käyttötilanteeseen soveltuvalla menetelmällä, suosien oikeellisen toiminnan osalta varmistettuja (validoituja) ja standardoituja salausratkaisuja/-protokollia.
Hallitun fyysisen turvallisuusalueen ulkopuolelle menevä liikenne salataan riittävän turvallisella salausratkaisulla.
Yleisessä tietoverkossa salassa pidettävää tietoa sisältävä tietoliikenne salataan salausratkaisulla, jossa ei ole tunnettuja haavoittuvuuksia ja jotka tukevat valmistajalta saatujen tietojen mukaan moderneja salausvahvuuksia ja -asetuksia tai vaihtoisesti siirto toteutetaan muuten suojattua tiedonsiirtoyhteyttä tai -tapaa käyttämällä.
Siirrettävä data täytyy suojata käyttämällä kryptografisia menetelmiä. Siirrettävän datan luottamuksellisuuden ja eheyden suojaaminen koskee sisäisiä ja ulkoisia verkko sekä kaikkia järjestelmiä, jotka voivat siirtää tietoa. Näitä ovat esimerkiksi:
Siirrettävä data voidaan suojata fyysisin tai loogisin keinoin.
Organisaation turvallisuusluokitellun tiedon säilyttämiseen ja siirtämiseen liittyen käytetty salausratkaisu on oltava toimivaltaisen viranomaisen hyväksymä.
Tässä tulee ottaa huomioon ainakin:
Organisaatiolla on oltava toimenpiteitä, joilla varmistetaan oikea tiedonsiirto ja osoitteet.
Sähköisessä tiedonvaihdossa on käytettävä siirrettävien tietojen luokitteluun soveltuvaa sisältö- tai siirtosalausta.
Organisaatiolla tulee olla tekniset säännöt, jotka sisältävät tietojen salausta koskevat vaatimukset tietojen luokittelun perusteella.
Organisaation tulee määritellä menettely salausmenetelmien soveltamista varten. Tähän olisi sisällyttävä:
Avainmateriaalin palauttamista varten tulisi luoda hätäprosessi.
Organization ensures confidentiality and integrity of all data at rest is protected across all storage systems:
The data can be protected by using physical and logical means.
Physical protection for data stored is ensured by using secure facilities, such as locked rooms or data centers, that prevent unauthorized physical access.
Logical protection is done by encrypting stored data using strong cryptographic algorithms and strict access control, ensuring only authorized users and systems can access the data.
Palvelinten levy- ja tiedostojärjestelmä on suojattu salauksella, jotta palvelinten fyysisen varkauden aiheuttamia vaikutuksia voidaan hallita.
Käytettäviä salaustapoja valittaessa olisi otettava huomioon mm. seuraavat seikat:
Salaushallintakeinojen valinnassa harkitaan aina ulkoisten asiantuntijoiden neuvojen tarpeellisuutta.
Jotta sopimattoman käytön todennäköisyyttä saataisiin pienennettyä, salausavaimille määritellään aktivoitumis- ja vanhentumispäivämäärät, jotta avaimia voidaan käyttää ainoastaan niin kauan kuin on määritelty.
Organisaation tulee määritellä salausavainten suvereniteettiä koskevat vaatimukset. Tämä on erityisen tärkeää, kun kyseessä on ulkoinen prosessi.
Organisaation täytyy toteuttaa tekniset toimenpiteet vaarantuneiden avaimien käyttöön salauksessa vain kontrolloidussa ympäristössä. Sen jälkeen vain salauksen purkamiseen ja ei enään ollenkaan salaamiseen.
Toteutuksessa tulee ottaa huomioon lakisääteiset vaatimukset ja säännökset.
Paranna osaamistasi viikoittaisten webinaarien, videokurssien, artikkeleiden ja blogien avulla.
