Sopivimman järjestelmän valintaa ohjaamaan on määritelty säännöt ja niiden noudattamista valvotaan.

Hankintasäännöt voivat sisältää mm. seuraavia asioita:

• Järjestelmä täyttää uuden, erillisen liiketoimintatarpeen
• Järjestelmä integroituu hyvin muihin käytettyihin järjestelmiin ja tunnistautumistapoihin
• Järjestelmä täyttää turvallisuuden minimivaatimukset kriittisyysluokkansa mukaan
• Järjestelmä sopii järjestelmäportfolioomme nyt ja tulevaisuudessa
• Järjestelmä ei vaadi liikaa kustomointia tarpeellisuuteensa nähden
• Palveluntarjoaja on kannattava yritys vahvoilla referensseillä ja historialla
• Henkilöstöllä on tarvittava osaaminen helposti tarjolla järjestelmän hyödyntämiseksi

Sopivien järjestelmävaihtoehtojen valitsemista ohjaamaan on määritelty minimivaatimukset järjestelmien turvallisuudelle ja niiden noudattamista valvotaan.

Minimivaatimukset voivat sisältää mm. seuraavia asioita:

MATALA RISKI

• Järjestelmä käyttää hyväksyttyjä tunnistautumistapoja
• Järjestelmä noudattaa organisaation vaatimia salasanojen laatuvaatimuksia
• Palveluntarjoaja toimii kannattavasti ja tiedottaa selvästi muutoksista
• Tietoliikenne on salattu vaaditusti (esim. vähintään TLS 1.1 -salauksella)

KESKIVERTO RISKI

• Järjestelmä integroituu käytettyyn IAM-ratkaisuun tai tukee kaksivaiheista tunnistautumista
• Palveluntarjoaja hyödyntää erillista staging-ympäristöä testaukseen
• Järjestelmä skaalautuu ja on vikasietoinen
• Järjestelmä sisältää kattavan käytön valvonnan ja ehdoissa on sitouduttu lokien toimittamiseen asiakkaalle pyynnöstä
• Palveluntarjoaja on sitoutunut sopimuksellisesti palauttamaan ja tuhoamaan asiakkaan tiedot käytön päättyessä

KORKEA RISKI

• Palveluntarjoaja omaa määritellyt sertifikaatit (esim. ISO27001, SOC2, NIST, PCI DSS)
• Palveluntarjoaja on läpäissyt tarkemman tietoturva- ja tietosuoja-analyysin

Huolella valitut sertifikaatit voivat olla hyviä yleisesti tunnistettuja todisteita tietystä tietoturva- tai tietosuojatasosta.

Organisaatio voi päättää vaatia tärkeiltä kumppaneilta tietyn sertifikaatin omaamista. Yleisesti tunnistettuja digiturvaan liittyviä sertifikaatteja ovat mm.:

• ISO 27001 (yleinen tietoturva)
• SOC2 (yleinen tietoturva, kutsutaan myös SSAE 16)
• ISO 27017 (digiturva pilvipalveluissa)
• ISO 27018 (tietosuoja pilvipalveluille)
• muita suosittuja digiturvaan liittyviä standardeja mm. NIST (yleinen), CSA (pilviohjelmistot), PCI DSS (korttimaksaminen)

Käsittelysopimuksella sidotaan henkilötietojen käsittelijän (kuten järjestelmätoimittajan) tekemisiä.

Meille voi olla tärkeää vastuuttaa tärkeää kumppania haluamallamme tasolla huolehtimaan mm. käytön valvonnasta (lokituksista) sekä tietojen palauttamisesta sopimuksen päättyessä haluamiemme toimintatapojen mukaan.