Vanhentuneiden tietoturvadokumenttien arkistointi ja säilyttäminen

Organisaation on luotava ja ylläpidettävä tietoturvasuunnitelmaa.

Asiakastietolain 27 §:n mukaisesti palvelunantajan on laadittava tietoturvaan ja tietosuojaan sekä tietojärjestelmien käyttöön liittyvä tietoturvasuunnitelma.

Tämän määräyksen(MÄÄRÄYS 3/2024) mukaista tietoturvasuunnitelmaa ei tule sisällyttää tai yhdistää julkaistaviin tai julkisesti saatavilla oleviin omavalvontasuunnitelmiin. Tietoturvasuunnitelmaa ja siinä viitattuja liitedokumentteja tulee käsitellä ja säilyttää ottaen huomioon tarvittava suojaaminen sivullisilta ja tarvittaessa niihin tulee merkitä salassa pidettävä -tieto

Organisaation tulee määritellä vaatimuskehikot, joita käytetään hallintajärjestelmän pohjana. Vaatimuskehikoilla tulisi saavuuttaa:

Sisäiset raportointitavoitteet:

• Johdolle päätöksentekoa tukevat raportit
• Raportoinnin tarkkuus ja yksityiskohdat ei taloudellisiin raportteihin liittyen

Vaatimuksien täyttötavoitteet:

• Lakien ja asetusten täyttyminen
• Alatavoitteiden asettaminen, jotta turvallisuuden, saatavuuden, käsittelyn eheyden, luottamuksellisuuden ja yksityisyyden kriteerit tukevat riittävää raportointia, organisaation toimintaa ja vaatimuksenmukaisuuden täyttymistä

Organisaation on käytettävä, ylläpidettävä ja jatkuvasti kehitettävä tietoturvallisuuden hallintajärjestelmää.

Hallintajärjestelmään liittyvät rajaukset ja soveltamisala, sisällöt, roolitus, kertyvä toteutustieto sekä muu tarpeellinen kuvaustieto on oltava selkeästi dokumentoitu.

Organisaatio on ottanut käyttöön menettelyt sisäisten tarkastusten suorittamiseksi. Menettelyissä on kuvattava ainakin seuraavat seikat:

• kuinka usein auditointeja tehdään
• kuka voi suorittaa auditointeja (mukaan lukien auditointikriteerit).
• miten varsinainen auditointi suoritetaan
• miten auditoinnin tulokset dokumentoidaan ja kenelle niistä raportoidaan.
• tuloksista on ilmoitettava toimivaltaiselle viranomaiselle, jos sitä säännellään lainsäädännöllä.

Organisaatiolla on ylimmän johdon laatima ja hyväksymä tietoturvapolitiikka. Politiikka sisältää ainakin seuraavat asiat:

• perustan organisaation tietoturvatavoitteiden asettamiselle
• sitoutumisen tietoturvallisuutta koskevien vaatimusten täyttämiseen
• sitoutumisen tietoturvallisuuden hallintajärjestelmän jatkuvaan parantamiseen

Lisäksi tehtävän omistaja varmistaa, että:

• tietoturvapolitiikka soveltuu organisaation toiminta-ajatukseen
• politiikka on tiedotettu koko organisaatiolle
• politiikka on tarvittaessa sidosryhmien saatavilla

Organisaation johto asettaa tietoturvatavoitteet. Tietoturvatavoitteet täyttävät seuraavat vaatimukset:

• ne ottavat huomioon soveltuvat tietoturva- ja tietosuojavaatimukset sekä riskien arvioinnin ja käsittelyn tulokset
• ne viestitään selvästi tietoturvan ja tietosuojan avainhenkilöille, henkilöstölle sekä muille oleellisille sidosryhmille
• niitä päivitetetään tarvittaessa (esim. riskimaiseman muuttuessa tai määräajoin tavoitteiden täyttyessä)
• ne on dokumentoitu ja ovat (jos mahdollista) mitattavissa

Tietoturvatavoitteiden dokumentoinnin yhteydessä määritellään lisäksi tarvittavat ylätason toimenpiteet, resurssit, vastuuhenkilöt, aikataulu sekä tavat tulosten arviointiin, jotta tavoitteet saavutetaan.

Organisaatio toteuttaa sisäisiä auditointeja oman menettelykuvauksensa mukaisesti. Tavoitteena on tarkistaa:

• onko tietoturvallisuuden hallintajärjestelmä organisaation omien tietoturvallisuuden hallintajärjestelmää koskevien vaatimusten mukainen
• onko tietoturvallisuuden hallintajärjestelmä muiden toimintaa koskevien tietoturvavaatimusten tai noudatettujen standardien mukainen
• onko hallintajärjestelmää toteutettu ja ylläpidetty vaikuttavasti

Auditointien järjestämisestä ja tuloksista on säilytettävä dokumentoitua tietoa.

Soveltuvuuslausunto (engl. Statement of Applicability tai SoA) on keskeinen dokumentti joka määrittelee, kuinka organisaatio toteuttaa ison osan omasta tietoturvastaan.

Sovelutuvuuslausunto kuvaa, mitkä ISO 27001 -standardin suosittelemista hallintakeinosta organisaatiossa toteutetaan, kuinka ne toteutetaan ja mikä on hallintakeinojen tämänhetkinen tila. Lisäksi kuvataan mahdolliset perustelut tiettyjen hallintakeinojen käyttämättä jättämiselle.

Vaadittujen lakien, asetusten, standardien sekä sopimusvelvoitteiden noudattaminen voi olla yhtä suuri haaste, kuin jatkuvasti muuttuvan uhkaympäristön ja uusien kyberhyökkäysten muotojen käsittely.

Organisaation on dokumentoitava tietoturvallisuuteen liittyvät vaatimukset sekä organisaation toimintamalli niiden täyttämistä varten.

On tärkeää huomata, että iso osa vaatimuksista (esim. lait, standardit) ovat kehittyviä kokonaisuuksia. On suositeltavaa määritellä dokumentaatiolle tarkistusväli kuvaamaan sitä, millä frekvenssillä muutoksia vaatimuksissa on vähintään tarkasteltava.

The organization must submit the report on the review of ICT risk management framework in searchable electronic format. It must include:

Introduction:

Description of the financial entity’s context, including:

• Nature, scale, and complexity of services, activities, and operations.
• Organization structure and identified critical functions.
• Strategy and major ongoing projects or activities.
• Relationships and dependence on in-house and outsourced ICT services.
• Implications of a total loss or severe degradation of ICT systems on critical functions and market efficiency.

Executive Level Summary:

• Summarize the current and near-term ICT risks identified.
• Discuss the threat landscape and the assessed effectiveness of controls.
• Outline the financial entity’s security posture.

Reported Area Information:

• Provide specific details about the focus of the report.

Changes in ICT Risk Management Framework:

• Summarize major changes since the previous report.
• Describe the impact of these changes on the simplified ICT risk management framework.

Approval Date:

• If applicable, mention the date the management body approved the report.

Reason for Review:

• Explain why the review was undertaken, including:
• Any supervisory instructions, with evidence attached.
• Occurrence of ICT-related incidents and list them with root-cause analysis.

Review information:

• Include the start and end date of the review period.
• Identify the person responsible for conducting the review.
• Provide a summary and self-assessment of weaknesses, deficiencies, and gaps in the ICT risk management framework.
• Include a detailed analysis of these findings.

Remedying Measures:

• List the measures identified to address weaknesses, deficiencies, and gaps.
• Include expected dates for implementing measures.
• Follow up on unresolved issues from previous reports.

Conclude the review, including further planned developments for the ICT risk managemen

The organization must develop, document, and implement an ICT project management procedure. It should take into account:

• it encompasses all stages of a project, from initiation to closure.
• Clearly define and document the roles and responsibilities of individuals involved in the implementation of ICT projects.
• Document the entire project management procedure to ensure consistency and accountability.
• Documented project management procedure is consistently executed across all ICT projects.
• Monitoring and reviewing the procedure's effectiveness and make adjustments as necessary to enhance project outcomes.

The organization must ensure that internal auditing has sufficient segregation and independence from control functions.

The simplified ICT risk management framework is subject to an internal audit in line with the organization's audit plans. The auditor needs to have sufficient competence and independence. The frequency and scope of audits should be based on the ICT risk of the organization.

Based on the outcome of the audit the organization must ensure timely verification and remediation of the critical audit findings.

The organization must have in place an internal governance and control framework to ensure effective management of ICT risk and achieve high level of digital operational resilience.

The management body must:

• bear overall responsibility and make sure the simplified ICT risk management framework allows achievement of business strategy in accordance to risk appetite of the organization.
• Set clear roles and responsibilities for all ICT related tasks
• Set information security objectives and ICT requirements
• Approve, oversee and periodically review the classification of information assets as referred to in Article 30(1) of the regulation
• Approve, oversee and periodically review the list of main risks identified, business impact and related policies
• Allocate and review yearly the budget necessary to fulfil the needs to achieve the digital operational reselience. This needs to take into account all possible resourced needed.
• Specify and implement the policies and measures included in chapter I, II, and III
• Identifies and implements procedures, tools and protocols to protect all information and ICT assets
• Ensure the sufficient knowledge and skills of the organization's staff to understand and asses ICT risk
• Establish reporting arrangements such as frequency, form, and content

Organizations should do coopearation with the single point of contact and the competent CSIRTs, if requested or voluntarily, when a significant incident with cross-border and cross-sectoral impact happens.

Organizations should conduct an external audit at least once every two years or whenever it's requested by competent authority, as mandated by applicable laws and regulations.

Audits are conducted by cybersecurity auditors, who are responsible for preparing a report on the audit findings. Organizations should note that some laws and regulations may require auditors to hold specific certifications, e.g. national cybersecurity audit security certificate or audit has to be done by specific authority.

Organizations are required to submit the report to the competent authority responsible for implementing cybersecurity requirements immediately upon receipt, if mandated by laws and regulations.

Organisaatioiden johto- ja hallintoelimille on tiedotettava säännöllisesti tai tarvittaessa viipymättä häiriöistä ja ilmoituksista.

Organisaatio nimittää tietoturvavastaavan, joka vastaa tiettyjen verkkojen ja järjestelmien vaatimustenmukaisuudesta.

• Varmistetaan, että ehdokas täyttää samat pätevyysvaatimukset kuin tietoturvapäällikkö.
• Annetaan tietoturvavastaavalle mahdollisuus valvoa tarvittaessa useita järjestelmiä.
• Vaihtoehtoisesti ulkoistetaan tämä tehtävä palveluntarjoajalle tai nimitetään CISO huolehtimaan tehtävistä.

Organisaatio nimittää tietoturvapäällikön (CISO), joka täyttää määritellyt vaatimukset ja vastaa organisaation riskienhallintatoimenpiteiden toteuttamisesta.

• Varmistetaan, että henkilö on suoraan vastuussa yhteisön johtajalle.
• Varmistetaan, että ehdokas täyttää kelpoisuusvaatimukset: moitteeton maine, ei viimeaikaisia rangaistuksia ja asiaankuuluva kokemus tai sertifiointi.
• Määritellään hänen vastuualueensa kyberturvallisuusriskien hallintatoimenpiteiden ja vaatimustenmukaisuuden osalta.
• Vaihtoehtoisesti tehtävä voidaan yhdistää tietoturvavastaavan tehtävään tai ulkoistaa.

Organisaatio tekee tietoturva-auditointeja kansallisen kyberturvallisuuskeskuksen menettelyjen mukaisesti.

• Tietoturva-auditointi on suoritettava vähintään joka kolmas vuosi.
• Tarkastuksissa on noudatettava kansallisen kyberturvallisuuskeskuksen hyväksymiä menetelmiä.
• Auditoijalla on oltava kansallisen kyberturvallisuuskeskuksen menettelyjen mukainen sertifiointi, koulutus ja pätevyys.
• Tarkastajan on täytettävä kansallisen kyberturvallisuuskeskuksen riippumattomuutta, puolueettomuutta ja mainetta koskevat vaatimukset. Auditoijat eivät voi arvioida työnantajansa hallinnoimia verkkoja tai järjestelmiä.

Kansallinen kyberturvallisuuskeskus asentaa ja hallinnoi teknisiä kyberturvallisuustoimenpiteitä kyberuhkien ja -välikohtausten seuraamiseksi ja käsittelemiseksi. important-luokitellut organisaatiot voivat pyytää ja essential-luokiteltujen on mahdollistettava näiden toimenpiteiden toteuttamista ja hallinnointia järjestelmissään. Puolustusministeriö määrittelee menettelyt ja hyväksyy asennussuunnitelman, jossa määritellään toimenpiteet ja käsiteltävät tiedot. Kansallinen kyberturvallisuuskeskus kattaa näiden tietoturvatoimenpiteiden asennus-, ylläpito- ja korjauskustannukset.

Valtiollisten ja kunnallisten organisaatioiden tai muiden turvallisten verkkojen luettelossa lueteltujen laitosten on säilytettävä valtion tietovarantoja valtion palvelinkeskuksissa tai Liettuassa, EU:n, ETA:n tai Naton jäsenvaltioissa sijaitsevissa palvelinkeskuksissa. Valtion tietovarantojen tallennuskustannukset rahoitetaan laitoksille myönnetyistä valtionvaroista.

Valtiollisten ja kunnallisten organisaatioiden tai muiden laitosten, jotka käsittelevät valtion tietoja tai täyttävät kriteerit, on käytettävä sähköisessä viestinnässä puolustusministeriön valvomaa turvallista valtion tiedonsiirtoverkkoa ja oltava yhteydessä julkisiin verkkoihin ainoastaan sen kautta, lukuun ottamatta hallituksen määrittelemiä poikkeuksia.

Turvallisen verkon käytön ehdot:

• Ainoastaan hallituksen hyväksymässä käyttäjäluettelossa olevat organisaatiot saavat käyttää suojattua verkkoa.
• Laitosten on noudatettava hallituksen vahvistamia suunnitelmia ja aikatauluja liittyessään suojattuun verkkoon tai irrottautuessaan siitä.
• Sisältää tiedonsiirron, julkisen verkon käytön, kollektiivisen kyberturvallisuuden ja vuorovaikutuksen EU:n ja Naton resurssien kanssa, ja se on maksuton ja valtion rahoittama.
• Tarjotaan käyttäjäkohtaisilla tasoilla todelliset kustannukset kattavaa maksua vastaan, jonka auditoijat tarkistavat vuosittain.

Kansalliset kyberturvallisuusviranomaiset ylläpitävät Kyberturvallisuuden tietojärjestelmää, jonka avulla hallitaan velvollisia organisaatioita, vaaratilanteita ja riskinhallintatoimenpiteitä koskevia tietoja. Kyberturvallisuustietojärjestelmää koskevissa säännöksissä määriteltyihin vaatimuksiin perustuvan organisaation on rekisteröidyttävä tähän järjestelmään, ja sillä on oikeus tulla toimittamiensa tietojen käyttäjäksi.

Keskeisiä vaatimuksia ovat mm:

• Rekisteröityminen järjestelmän käyttäjäksi ja keskinäisten tiedonjakosopimusten toteuttaminen, myös ajantasaisten tietojen ylläpitäminen.
• Ilmoittaa kansalliselle kyberturvallisuuskeskukselle keskinäisistä sopimuksista tai irtisanomisista 20 työpäivän kuluessa.
• Ilmoittamaan kyberuhkatilanteista, läheltä piti -tilanteista ja uhkista kyberturvallisuustietojärjestelmään.
• Varmistetaan kansallisten kyberturvallisuuslakien noudattaminen ja vältetään operatiiviset riskit.

Kyberturvallisuuden tietojärjestelmän käytön hyödyt organisaatiolle:

• Pääsy ja käyttö kyberturvallisuustietojärjestelmän tietoihin, jotka liittyvät organisaation hallinnoituun verkkoon ja järjestelmiin
• Yhteistyö kansallisen kyberturvallisuuskeskuksen ja laitosten kanssa äärimmäisissä kyberuhkatilanteissa
• Saada reaaliaikaista tietoa vaaratilanteiden hallinnan ja varautumisen parantamiseksi.
• Vahvistaa organisaation riskienhallintaa järjestelmän tarjoamien työkalujen, palvelujen ja tietojen avulla.

Organisaation on ilmoitettava toimivaltaiselle viranomaiselle välittömästi, mutta viimeistään viiden työpäivän kuluessa, tietoturvapäällikön nimittämisestä. Ilmoituksessa on mainittava tietoturvapäällikön nimi, sukunimi, henkilötunnus, asema, sähköpostiosoite ja puhelinnumero. Organisaation on ilmoitettava kaikista muutoksista toimivaltaiselle viranomaiselle välittömästi, mutta viimeistään viiden työpäivän kuluessa.

Organisaation tietoturvanhallinnasta vastaa organisaation johto ja se varmistetaan. Kunkin yksikön johtaja määrittää vastuuhenkilön, joka toteuttaa ja valvoo kyberturvallisuustoimenpiteiden toteuttamista kyseisessä yksikössä. Valtioneuvosto määrittelee tietoturvapäällikölle asetettavat vaatimukset.

Tietoturvapäällikkö huolehtii seuraavista tehtävistä:

• Järjestää toimielimen tieto- ja viestintätekniikan infrastruktuurin turvatoimet.
• Suorittaa vähintään kerran vuodessa tieto- ja viestintätekniikan turvallisuustarkastus ja järjestää sen tulosten perusteella havaittujen puutteiden poistaminen.
• Osallistuu vähintään kerran vuodessa verkkoturvallisuuskoulutukseen, jonka järjestää verkkovahinkojen torjuntalaitos.
• Vähintään kerran vuodessa varmistaa, että laitoksen työntekijät saavat tiedotuksen aiheen ajankohtaisista kyberriskeistä ja kyberturvallisuudesta.

Organisaation vaatimustenmukaisuus varmistetaan läpäisemällä pakollinen säännöllinen vaatimustenmukaisuuden arviointi. Arvioinnin suorittamiseksi organisaatio voi valita kolmesta vaihtoehdosta:

• CyberFundamentals (CyFun®) -sertifiointi (taso essential) tai todentaminen (taso important tai basic) asiaankuuluvalla laajuudella, jonka myöntää CCB:n hyväksymä vaatimustenmukaisuuden arviointilaitos (CAB) BELACin akkreditoinnin jälkeen.
• ISO/IEC 27001 -sertifikaatti, jolla on asianmukainen soveltamisala ja jonka on myöntänyt akkreditointielin, joka on allekirjoittanut ISO 27001 -standardia koskevan vastavuoroista tunnustamista koskevan sopimuksen (MLA) eurooppalaisen akkreditointiyhteistyön (EA) tai kansainvälisen akkreditointifoorumin (IAF) puitteissa.
• CCB:n tarkastusyksikön (tai alakohtaisen tarkastusyksikön) tekemä tarkastus.

Vaatimustenmukaisuuden arviointilausunto, jonka organisaatio saa valitsemiensa puitteiden vaatimustenmukaisuuden arvioinnin jälkeen, antaa sille mahdollisuuden hyötyä vaatimustenmukaisuusolettamasta. Kunnes toisin todistetaan, sen oletetaan noudattaneen velvoitteitaan.

Riippuvuudet ulkoisista palveluista saattavat vaikuttaa organisaation riskienhallintaan ja kriittisiin valmiuksiin. Organisaation on tunnistettava ja ylläpidettävä luetteloa organisaation ulkoisista riippuvuuksista, mukaan lukien toimitilat, pilvipalvelujen tarjoajat ja mahdolliset kolmannen osapuolen palvelut.

Dokumentaation tulisi myös sisältää:

• Riippuvuuksien ja organisaation keskeisten omaisuuserien ja liiketoimintojen väliset suhteet
• Riippuvuudet, jotka muodostavat mahdollisia vikapisteitä kriittisille palveluille.

Varmistetaan, että asiaankuuluvalle henkilöstölle tiedotetaan näistä riippuvuuksista ja niihin liittyvistä riskeistä.

Organisaatio määrittelee strategiset lähestymistavat riskeihin vastaamiseksi riskityyppien sekä organisaation riskinsietokyvyn ja -alttiuden perusteella. Näihin strategioihin voi kuulua esimerkiksi

• Määritellään kriteerit kyberturvallisuusriskien hyväksymiselle tai välttämiselle eri tietoluokitusten osalta.
• Määritetään kyberturvavakuutuksen tarve organisaation riskinsietokyvyn ja altistumisen perusteella.
• Dokumentoidaan ehdot, joiden mukaisesti jaetun vastuun mallit (esim. kyberturvallisuuden ulkoistaminen, kolmannen osapuolen liiketoimet tai julkiset pilvipalvelut) ovat organisaation kannalta hyväksyttäviä.

Tunnista ja dokumentoi organisaation strategia ja prioriteetit, joilla voi olla vaikutusta tietojärjestelmien turvallisuuteen.

On tärkeää huomata, että tämä dokumentaatio olisi tarkistettava aina, kun organisaation strategia ja prioriteetit muuttuvat.

Organisaatio kehittää ja toteuttaa kriisitoimintastrategian, jolla suojellaan organisaatiota kriisin kielteisiltä seurauksilta ja maineen vahingoittumiselta. Strategian olisi sisällettävä ennalta määriteltyjä toimia, joilla hallitaan julkista kuvaa ja narratiivia sekä lievennetään kriisin vaikutusta organisaatioon.

Organisaation on määriteltävä, mitä työaloja ja tiettyjä työtehtäviä pidetään arkaluonteisina (esim. käsiteltyjen tietojen ja työntekijän käyttöoikeuksien perusteella).

&Arkaluonteiset työalat riippuvat organisaation toiminnan luonteesta, mutta niihin voi kuulua esimerkiksi tietoturva, tietotekniikka ja järjestelmähallinto, taloushallinto, henkilöstöhallinto, lakiasiainhallinto, tutkimus ja kehitys, asiakastuki, analytiikka, johto ja monet muut.

Organisaation on määriteltävä ja dokumentoitava organisaation tietoturvarakenne. Tässä tulee huomioida muut asiaankuuluvat tietoturvaroolit

Organisaation tulee seurata digitaalisen häiriönsietokykystrategiansa tehokkuutta. Tämän pitäisi sisältää ainakin:

• ICT-riskien arvioinnin kartoitus ajan mittaan
• Analysoi tapahtumien tiheys, tyyppi, laajuus ja kehitys
• Erityistä huomiota tulisi kiinnittää kyberhyökkäysten malleihin

Tämän pitäisi lisätä tietoisuutta kyberhyökkäykseen liittyville riskeille altistumisesta erityisesti tärkeiden ja kriittisten toimintojen ja kyberhyökkäyksiä vastaan varautumiseen liittyen.

Organisaatiolla tulee olla prosessi, jonka avulla voidaan analysoida ja oppia digitaalisen häriönsietokyvyn testauksen tuloksista, todellisista kyberturvallisuushäiriöistä ja jatkuvuussuunnitelmien aktivointikokemuksista. Asiaankuuluvia tietoja ja kokemuksia tulisi vaihtaa kumppanien kanssa.

Opitut opetukset tulisi sisällyttää kyberriskien hallintaprosessiin.

Organisaation ylimmällä johdolla tulisi olla vuosittain raportti vanhempien ICT-henkilöstön opetuksista sekä parannussuositukset.

Organisaation johto vastaa, että:

• organisaatiolla on ylimmän johdon hyväksymät turvallisuusperiaatteet, jotka kuvaavat organisaation tietoturvallisuustoimenpiteiden kytkeytymistä organisaation toimintaan
• turvallisuusperiaatteet ovat turvallisuusluokiteltujen tietojen suojaamisen kannalta kattavat ja tarkoituksenmukaiset
• turvallisuusperiaatteet ohjaavat tietoturvallisuustoimenpiteitä
• organisaatiossa on järjestetty riittävä valvonta turvallisuusluokiteltujen tietojen tiedonhallintaan liittyvien velvoitteiden ja ohjeiden noudattamisesta.

Organisaatiolla on oltava strategia kyberturvallisuusarkkitehtuurin kehittämiselle ja ylläpidolle.

Strategian on sovittava yhteen organisaation kyberturvallisuusohjelman ja organisaation arkkitehtuurin kanssa.

Arkkitehtuuriin on sisällytettävä:

• Tietoverkkojen turvallisuustoimet
• Tieto-omaisuuden suojaaminen
• Sovellusturvallisuus
• Tietosuojan toteuttaminen

Organisaation on luotava ja ylläpidettävä strategiaa kyberturvallisuusohjelmalle. Kyberturvallisuusohjelma määrittelee tavoitteet organisaation kyberturvallisuustoimenpiteille.

Organisaation on perustettava ja ylläpidettävä kyberturvallisuusohjelmaa. Ohjelmalla tulee olla korkeimman johdon tuki.

Ohjelma tulee perustaa:

• Kyberturvallisuusohjelmastrategian mukaisesti
• Korkeimman johdon tuki on aktiivista ja tukee ohjelman kehitystä ja ylläpitoa
• Ohjelma on vastuutettu roolille, jolla on riittävä toimivalta sen täyteenpanoon

Organisaation on määriteltävä toimintansa sekä etenkin tietoturvallisuuden toteuttamisen kannalta relevantit yksiköt.

Yksiköille määritellyille omistajille voidaan jalkauttaa vastuita eri tehtävien yksikkökohtaisesta toteuttamisesta.

Organisaation tietoturvatavoitteita asettaessa täytyy ottaa huomioon ulkoiset tavoitteet. Tämä tarkoittaa esimerkiksi:

• Ulkoisesti asetettujen vaatimuskehikkojen, kuten lait ja asetukset tai muiden ulkoisten sidosryhmien asettamat vaatimukset
• Raportoinnissa otetaan huomioon raporttien yksityiskohtaisuuden riittävä määrä ulkoisten vaatimusten täyttämisen osoittamiseksi

Organisaatiossa täytyy:

• tunnistaa yhteydet teknologian ja liiketoimintojen pyörittämisen välillä
• Rakentaa tarvittava infrastruktuuri tarvittavan teknologian ylläpitämiseen, jotta niiden saatavuus ja toimintavarmuus voidaan taata

Organisaation tulee määritellä, mitä teknologiaa tarvitaan, jotta tietoturvatavoitteet saavutetaan? Ja, mitä teknologiaa täytyy hankkia / kehittää, jotta tietoturvatavoitteet saavutetaan?

Johdosta erillinen hallitus toteuttaa valvontaa sisäisten tietoturvatoimien kehitykselle ja toteuttamiselle.

Hallituksen tehtäviin kuuluu erityisesti:

• Vastuuttaa toiminnan tarkemman toteutuksen ja valvonnan
• Hyödyntää tietoturva-alan asiantuntijoita ja arvioi tarvetta asiantuntijuuden lisäämisestä hallitukseen
• Toimii itsenäisesti ja on objektiivinen arvioissa ja päätöksenteossa
• Täydentää asiantuntijuuttaan tarvittaessa esimerkiksi konsulteilla

Organisaation tietojärjestelmät keräävät dataa sisäisistä ja ulkoisista lähteistä ja jalostavat olennaisen datan tiedoksi. Tiedolla tuetaan sisäisen valvonnan komponentteja

Tiedon tulee olla:

• Ajantasaista
• Tarkkaa
• Kokonaista
• Suojattua
• Varmistettua

Organisaatio on määritellyt, mikä on tärkeää turvallisuuteen liittyvää dokumentaatiota ja ohjeistusta (esim. raporttiasiakirjat tai kaikki tehtävien/ohjeiden sisältö), jotka tulee turvallisesti arkistoida sen jälkeen, kun ne on vaihdettu tai muuten vanhentuneet.

Nämä tiedot tulee säilyttää mahdollisia vanhojen käytäntöjen tai ohjeiden tarkistamista varten, jotka voivat olla tärkeitä esim. asiakasriidan tai tietosuojaviranomaisen suorittaman tutkimuksen yhteydessä.

Jos erityisessä laissa tai sopimuksessa ei määrätä säilytysaikaa, tietoja tulee säilyttää vähintään viisi vuotta.

Organisaatio on asettanut prioriteetit sen toiminnalle ja tavoitteille. Näiden prioriteettien pohjalta täytyy pystyä määrittämään tietoturvaroolit, -vastuut ja -tavoitteet.

Organisaation tietoturvallisuusvaatimukset muodostuvat esimerkiksi lainsäädännössä ja sopimuksissa määritellyistä vähimmäisvaatimuksista sekä muista tunnistetuista tai itse tavoitelluiksi valituista vaatimuksista.

Organisaation on seurattava tietoturvallisuusvaatimusten muutoksia ja tehtävä tarvittavat toimenpiteet niihin reagoimiseksi.

Tietoturvallisuuteen liittyvä dokumentaatio on ajantasaista.

• Organisaatiolla on prosessi, jonka avulla seurataan dokumentaation kattavuutta ja ajantasaisuutta
• Dokumentaation puutteisiin reagoidaan

Valtionhallinnon viranomaisen on pidettävä luetteloa henkilöistä, joilla on oikeus käsitellä turvallisuusluokan I, II tai III asiakirjoja. Luettelossa on mainittava henkilön tehtävä, johon turvallisuusluokitellun tiedon käsittelytarve perustuu.

Organisaatio on tunnistanut toimintaansa ja palveluihinsa liittyvät ICT-varautumista ohjaavan kansallisen ja EU-lainsäädännön sekä muut ICT-varautumiseen liittyvät normit.

Lainsäädäntö ja normit määrittävät minimitason ICT-varautumisen toteuttamiselle. Tämän lisäksi organisaation on huomioitava oman toimintansa erityispiirteistä nousevat tarpeet. Toimintojen sisäisten ja ulkoisten riippuvuussuhteiden ymmärtäminen on perusedellytys varautumisen kustannustehokkaalle johtamiselle.

Organisaatiolla on toimintamalli säännölliseen tiedottamiseen koko organisaation laajuisesti digiturvallisuuden riskitilanteesta sekä uusista omaan organisaatioon vaikuttavista merkittävistä riskeistä.

Tiedotus voidaan toteuttaa esimerkiksi digiturvan ydintiimin sekä viestinnän ammattilaisten yhteistyönä.

Organisaation on dedikoinut riittävät resurssit ja osaamisen digiturvallisuuden kehittämiseen osana organisaation strategian toteuttamista.

Digitaaliselle turvallisuudelle on lisäksi nimetty vastuuhenkilö ja tämä teema saa vastuuhenkilön työnkuvassa ja ajankäytössä tarpeeksi suuren huomion.

Organisaatio on muodostanut suunnitelman siihen kohdistuvan mustamaalaus- tai vaikuttamiskampanjan varalle.

Organisaatio on selkeästi määrittänyt digitaalisen turvallisuuden ylläpitoon sekä kehittämiseen dedikoidun budjetin. Budjetti on riittävä digiturvalle asetettujen tavoitteiden saavuttamiseen.

Digiturvan budjetoinnissa on huomioitava etenkin kolme keskeistä osa-aluetta - henkilöstökulut, teknologiaratkaisut sekä toimintamenot.

Teemakohtaiset politiikkadokumentit voivat auttaa eri osa-alueisiin liittyvien tehtävien, ohjeistusten sekä muun dokumentaation viestintää ja katselmointia sekä mahdollisten ylätason periaatteiden liittämistä näihin tarkempaa toteutusta kuvaaviin hallintajärjestelmän sisältöihin.

Organisaation on määriteltävä, mitä teemakohtaisia politiikkadokumentteja ylläpidetään sekä tarvittaessa katselmoidaan kokonaisuuksina halutuin väliajoin. Esimerkkejä teemoista, joille omaa politiikkadokumenttia voidaan haluta ylläpidää, ovat mm.:

• pääsynhallinta
• fyysinen turvallisuus
• suojattavan omaisuuden hallinta
• varmuuskopiointi
• salauskäytännöt
• tietojen luokittelu
• teknisten haavoittuvuuksien hallinta
• turvallinen kehittäminen

Tietojärjestelmän tai muun useita tietoaineistoja sisältävän kohteen luokitus määräytyy ensi sijassa korkeimman luokituksen aineiston mukaan. Tietojärjestelmien luokitusta arvioitaessa tulee huomioida myös kasautumisvaikutus riskilähtöisesti.

Suuresta määrästä tietyn luottamuksellisuuden tason tietoa koostuvissa tietojärjestelmissä asiakokonaisuus voi nousta luokitukseltaan yksittäistä tietoa korkeammalle tasolle. Määrä ei ole kuitenkaan ainoa tekijä, vaan joskus esimerkiksi kahden eri tietolähteen yhdistäminen voi johtaa tietovarannon luokituksen nousemiseen.

Tyypillisesti kasautumisessa on kysymys IV-luokan tiedosta (esimerkiksi suuri määrä turvallisuusluokan IV tietoa voi muodostaa yhdistettynä turvallisuusluokan III tietovarannon), mutta kasautumisvaikutus tulee huomioida myös turvallisuusluokittelemattoman salassa pidettävän tiedon suojaamisessa.

The organisation has identified and documented the dependencies between information assets.

In Cyberday, dependencies between elements are usually automatic, but the approach can be refined according to the organisation's own choices.

Organisaatiolla tulee olla prosesseja sen varmistamiseksi, että ristiriitaiset vastuut erotetaan toisistaan, jotta vähennetään mahdollisuuksia käyttää organisaation omaisuutta väärin.

On syytä olla varovainen esim. siitä, että yksittäinen henkilö voi käsitellä tietoja huomaamatta. Usein myös tapahtuman aloittamisen erottaminen sen hyväksymisestä on hyvä käytäntö.

Kun tehtävien suoraa eriyttämistä on vaikea saavuttaa, voidaan käyttää seuraavia periaatteita:

• Tietoturvavastuiden korkeatasoinen erottelu
• Erottelun tukeminen hyvällä seurannalla, kirjausketjuilla ja johdon valvonnalla

Ylimmän johdon on varmistettava selkeät vastuualueet/valtuudet ainakin seuraavissa asioissa:

• kuka on ensisijaisesti vastuussa siitä, että tietoturvallisuuden hallintajärjestelmä on tietoturvavaatimusten mukainen.
• ketkä toimivat ISMS:n teemojen omistajina, jotka vastaavat tietoturvallisuuden hallintajärjestelmän pääteemoista.
• kenellä on vastuu ja valtuudet raportoida ylimmälle johdolle tietoturvallisuuden hallintajärjestelmän toimivuudesta.
• kenellä on valtuudet suorittaa sisäisiä tarkastuksia

ISMS-teemojen omistajat esitellään johtamisjärjestelmän työpöydällä ja tietoturvapoliitiikan raportissa.

Lisäksi ylimmän johdon on varmistettava, että kaikki tietoturvan kannalta merkitykselliset roolit sekä niihin liittyvät vastuut ja valtuudet määritellään ja niistä tiedotetaan. On myös tärkeää tunnistaa ulkoisten kumppaneiden ja palveluntarjoajien roolit ja vastuut.

Organisaatiossa on tarpeeksi koulutettua, valvottua ja tarvittaessa asianmukaisesti turvallisuusselvitettyä henkilöstöä, jotka toimivat tietoturvan avainrooleissa suorittaen tietoturvallisuuden hallintajärjestelmään liittyviä hallintatehtäviä.

Organisaatio on määritellyt:

• millainen pätevyys tällä henkilöstöllä tulee olla
• kuinka pätevyys hankitaan ja varmistetaan (esim. soveltuvan koulutuksen ja koulutuksen seurannan avulla)
• kuinka pätevyys voidaan osoittaa dokumentaation avulla

Tehtävän omistaja katselmoi turvallisuushenkilöstön määrää ja osaamistasoa säännöllisesti.

Organisaation johdon on osoitettava sitoutumista tietoturvatyötä ja tietoturvallisuuden hallintajärjestelmää kohtaan. Johto sitoutuu:

• määrittämään työn perusteena toimivat vaatimukset (esim. asiakasvaatimukset, lait ja asetukset tai standardit)
• määrittämään tietoturvan hallintaan tarvittavat resurssit
• viestimäään tietoturvallisuuden tärkeydestä
• varmistamaan, että työllä saavutetaan halutut tulokset
• edistämään tietoturvan jatkuvaa parantamista

Johto päättää lisäksi tietoturvan hallintajärjestelmän soveltamisalan ja kirjaa päätöksen ylös hallintajärjestelmän kuvaukseen. Tämä tarkoittaa, rajataanko esimerkiksi joitain osia organisaation toiminnasta tai hallinnoimasta tiedosta pois hallintajärjestelmän piiristä, vai koskeeko se organisaation kaikkea tietoa / toimintaa.

Johdon on määriteltävä hallintavastuut ja luotava menettelyt, joilla taataan tehokas ja johdonmukainen reagointi tietoturvahäiriöihin.

Johdon on varmistettava mm.:

• häiriöiden hallinta on vastuutettu
• häiriöiden vastaamiseen, käsittelyyn ja raportointiin on dokumentoitu prosessi

Prosessin on varmistettava mm.:

• henkilöstöllä on selkeä yhteydenottopiste / -työkalu sekä ohjeistus häiriöiden raportoimiselle
• pätevä henkilöstö käsittelee raportoidut tietoturvahäiriöt tarpeeksi kattavasti

Koko organisaation ohjauksessa toimivan henkilöstön on oltava tietoisia:

• miten he voivat osaltaan lisätä tietoturvallisuuden hallintajärjestelmän vaikuttavuutta ja millaista hyötyä tietoturvallisuuden tason parantamisesta on
• seurauksista, joita tietoturvallisuuden hallintajärjestelmää koskevien vaatimusten noudattamatta jättämisellä voi ollaminkä osan henkilöstöstä työ vaikuttaa tietoturvan tasoon

Lisäki johto on määrittänyt tavat, joilla henkilöstö pidetään tietoisina omaan työrooliinsa liittyvistä tietoturvaohjeista.

Organisaatio arvioi tietoturvan tasoa ja tietoturvallisuuden hallintajärjestelmän tehokkuutta säännöllisesti.

Organisaatio on määrittänyt:

• seurattavat mittarit, joilla saadaan vertailtavissa olevia tuloksia tietoturvan kehittymisestä
• vastuuhenkilöt mittareiden seurannalle
• tavat, aikataulun ja henkilöt mittareiden katselmointiin ja arviointiin
• tavat mittareiden ja niihin liittyvien arviointien dokumentointiin

Tehokkaita mittareita tulisi pystyä käyttämään heikkouksien tunnistamiseen, resurssien parempaan kohdistamiseen sekä oman onnistumisen / epäonnistumisen arviointiin.

Ylimmän johdon on katselmoitava organisaation tietoturvallisuuden hallintajärjestelmä suunnitelluin aikavälein varmistaakseen, että se on edelleen soveltuva, asianmukainen ja vaikuttava.

Johdon katselmuksessa on käsiteltävä ja kommentoitava vähintään seuraavien asioiden tilaa:

• aiempien johdon katselmusten vuoksi käynnistettyjen parannusten (tai muiden toimenpiteiden) tilanne
• tietoturvallisuuden hallintajärjestelmän kannalta olennaisten tulevat muutokset
• tietoturvan hallintajärjestelmän suorituskyky (häiriöt, mittarointi, auditointien tulokset ja johdon määrittelemien tietoturvatavoitteiden täyttyminen)
• sidosryhmien antama palaute tietoturvasta
• riskien arviointi- ja käsittelyprosessin toiminta

Katselmusten suorittamisesta ja tuloksista on ylläpidettävä dokumentoitua tietoa.

Organisaation on määritettävä, mistä asioista tietoturvallisuuden hallintajärjestelmään liittyen on säännöllisesti viestittävä. Suunnitelman on sisällettävä vastaukset mm. seuraaviin kohtiin:

• Mistä asioista viestitään? Nämä voivat olla mm. uusia tai muuttuneita tietoturvatavoitteita.
• Miten ja milloin viestitään? Mitä kanavia pitkin ja kuinka usein.
• Kenelle viestitään? Miten useasti tietoturvan avainhenkilöille, miten usein koko organisaatiolle tai kumppaneille.
• Kuka osallistuu? Kenellä on oikeus viestiä ja keneltä viesteille pitää esimerkiksi saada hyväksyntä.

Tehtävän omistaja huolehtii suunnitelman toteuttamisen ja sen tehokkuuden säännöllisen arvioinnin.

Organisaation on pyrittävä jatkuvasti parantamaan tietoturvallisuuden hallintajärjestelmän suorituskykyä. Tapoja parantamiseen pyritään löytämään aktiivisesti - ei ainoastaan auditointien tai selkeiden havaittujen poikkeamien kautta.

Tehtävän omistaja vastaa siitä, että hallintajärjestelmään tehdyt parannukset dokumentoidaan ja jaotellaan toteutettaviksi tehtäviksi, tehtävät toteutetaan suunnitelmien mukaisesti ja niillä aikaansaadut vaikutukset arvioidaan.

Lainsäädännön, määräysten tai sopimuksellisten määräyksien noudattamatta jättäminen voi aiheuttaa riskejä organisaation tietoturvalle.

Jotta vaatimukset täyttyvät, organisaatiossa huolehditaan, että tietueiden eheys on oikeudellisten, sääntely- tai sopimusmääräysten ja liiketoimintavaatimusten mukaista.

Organisaatiolla olisi oltava menettely, jolla projektit luokitellaan vaaditun tietoturvatason ja muiden hanketta koskevien tietoturvavaatimusten näkökulmasta.

Projektien luokitteluperusteet tulisi dokumentoida.

Organisaation on huomioitava tietoturvaan liittyvien petosten mahdollisuus riskejä arvioitaessa.

Huomioitava on ainakin:

• Erilaiset petokset ja niiden mahdolliset seuraukset (virheellinen raportointi, tieto-omaisuuden menettäminen ja korruptio)
• Erilaisten kannustimien ja paineiden vaikutus petoksen tekemiseen
• Asenteiden ja perusteluiden arviointi, kuinka johtava tai muu työntekijä voisi perustella petoksellista toimintaansa
• Arviointi petoksen mahdollisuuksista tietojärjestelmien käytössä

Organisaation on luokiteltava sen tieto-omaisuus, kuten tietojärjestelmät, tiedot, yksiköt, avainhenkilöstö ja muu suojattava omaisuus (esim. laitteet) prioriteettien mukaan. Priorisoinnin voi tehdä esimerkiksi käsiteltävän tiedon luottamuksellisuus-, eheys- ja saatavuusvaatimusten perusteella.

Sertifiointimekanismien ideana on osoittaa, että tietojenkäsittelyssä noudatetaan hyvää tietojenkäsittelytapaa ja yleisiä hyviä käytäntöjä. Tietoturvaa koskeva sertifikaatti on mm. ISO27001.

Tehtävän omistaja arvioi säännöllisesti sisäiten auditointien toteutusta etenkin seuraavista näkökulmista:

• onko auditoijat valittu niin, että auditointiprosessin objektiivisuus ja puolueettomuus toteutuu
• onko auditoinnit suoritettu niin, että auditointiprosessin objektiivisuus ja puolueettomuus toteutuu

Tehtävän omistaja tekee tarvittaessa muutoksia sisäisten auditointien menettelyyn sekä menettelykuvaukseen.

Organisaation on dokumentoitava tietoturvamittarit sovellusturvallisuuteen liittyen. Totoeutuksessa tulee ottaa huomioon organisaation tavoitteet, turvallisuusvaatimukset ja vaatimusten mukaisuus.