Sisältökirjasto
Tietoturvasuunnitelma
6.7: Käyttövaltuuksien hallinnan ja tunnistautumisen käytännöt

Kuinka täyttää vaatimus

Tietoturvasuunnitelma (THL 3/2024)

6.7: Käyttövaltuuksien hallinnan ja tunnistautumisen käytännöt

Tehtävän nimi
Prioriteetti
Tila
Teema
Politiikka
Muut vaatimukset

Ohjeistukset henkilöstölle tietojärjestelmien ja tunnistautumistietojen käyttöön liittyen

Critical
High
Normal
Low
Täysin tehty
Pääosin tehty
Osin tehty
Tekemättä
Järjestelmien hallinta
Tietojärjestelmien hallinta
26
vaatimusta
Tehtävä toteuttaa näitä vaatimuskehikkojen vaatimuksia
32. Käsittelyn turvallisuus
GDPR
29. Tietojenkäsittely rekisterinpitäjän ja henkilötietojen käsittelijän alaisuudessa
GDPR
8.1.3: Suojattavan omaisuuden hyväksyttävä käyttö
ISO27 Täysi
12.1.1: Dokumentoidut toimintaohjeet
ISO27 Täysi
9.1.1: Pääsynhallintapolitiikka
ISO27 Täysi
1. Tehtävän vaatimuskuvaus

Organisaatiolla tulisi olla määritelly ohjeet tietojärjestelmien yleisesti hyväksyttävälle käytölle sekä tarvittavien tunnistautumistietojen hallinnalle.

Tärkeäksi luokiteltujen tietojärjestelmien omistaja voi lisäksi määritellä, dokumentoida ja jalkauttaa tarkempia sääntöjä juuri tämän tietojärjestelmän käytöstä. Nämä saannöt voivat kuvata mm. tietoturvavaatimukset, jotka järjestelmän sisältävään tietoon liittyvät.

Järjestelmien käyttöoikeuksien säännöllinen katselmointi

Critical
High
Normal
Low
Täysin tehty
Pääosin tehty
Osin tehty
Tekemättä
Järjestelmien hallinta
Pääsynhallinta ja tunnistautuminen
26
vaatimusta
Tehtävä toteuttaa näitä vaatimuskehikkojen vaatimuksia
I06: Pääsyoikeuksien hallinnointi
Katakri
16 §: Tietojärjestelmien käyttöoikeuksien hallinta
TiHL
24. Rekisterinpitäjän vastuu
GDPR
32. Käsittelyn turvallisuus
GDPR
5. Henkilötietojen käsittelyä koskevat periaatteet
GDPR
1. Tehtävän vaatimuskuvaus

Tietojärjestelmästä vastaava taho määrittää järjestelmän käyttöoikeudet käyttäjien tehtäviin liittyen. Todellisten käyttöoikeuksien vastaavuutta suunniteltuun on valvottava ja oikeuksia uudelleenarvioitava säännöllisin aikavälein.

Pääsyoikeuksia katselmoitaessa on huomiotava lisäksi ylläpito-oikeuksien minimointi sekä tarpeettomien tunnusten sulkeminen.

Hyväksyttyjen tunnistautumistapojen määrittely ja dokumentointi

Critical
High
Normal
Low
Täysin tehty
Pääosin tehty
Osin tehty
Tekemättä
Järjestelmien hallinta
Pääsynhallinta ja tunnistautuminen
30
vaatimusta
Tehtävä toteuttaa näitä vaatimuskehikkojen vaatimuksia
I07: Tietojenkäsittely-ympäristön toimijoiden tunnistaminen
Katakri
9.1.1: Pääsynhallintapolitiikka
ISO27 Täysi
9.2.4: Käyttäjien tunnistautumistietojen hallinta
ISO27 Täysi
9.4.2: Turvallinen kirjautuminen
ISO27 Täysi
6.6.2: Käyttövaltuushallinta ja tunnistautuminen järjestelmiin
Omavalvonta
1. Tehtävän vaatimuskuvaus

Organisaatio on ennalta määritellyt tunnistautumistavat, joita työntekijöiden tulisi suosia tietojärjestelmiä käytettäessä.

Useita pilvipalveluita käyttäessään käyttäjä voi itse määritellä, millä tavalla hän palveluun tunnistautuu. Yksittäinen keskitetty tunnistautumistili (esim. Google- tai Office365-tili) voi auttaa sulkemaan iso määrä pääsyoikeuksia kerralla, kun tunnistautumistapana toimiva käyttäjätili suljetaan.

Pääsyoikeusroolien määrittely ja dokumentointi

Critical
High
Normal
Low
Täysin tehty
Pääosin tehty
Osin tehty
Tekemättä
Järjestelmien hallinta
Pääsynhallinta ja tunnistautuminen
41
vaatimusta
Tehtävä toteuttaa näitä vaatimuskehikkojen vaatimuksia
I06: Pääsyoikeuksien hallinnointi
Katakri
25. Sisäänrakennettu ja oletusarvoinen tietosuoja
GDPR
5. Henkilötietojen käsittelyä koskevat periaatteet
GDPR
9.1.1: Pääsynhallintapolitiikka
ISO27 Täysi
9.2.2: Pääsyoikeuksien jakaminen
ISO27 Täysi
1. Tehtävän vaatimuskuvaus

Organisaatio toteuttaa roolipohjaista pääsynhallintaa, jossa on ennakkoon määritetty eri suojattavalle omaisuudelle pääsyoikeusroolit, jotka oikeuttavat pääsyn. Roolien tiukkuuden tulisi heijastaa omaisuuteen liittyviä tietoturvariskejä.

Määrittelyn tueksi pitää harkita seuraavia asioita:

  • kuinka laajoihin tietoihin kukin käyttäjä tarvitsee pääsyn
  • kuinka laajasti käyttäjän tulee pystyä muokkaamaan tietoja (luku-, kirjoitus-, poisto-, tulostamis-, suorittamisoikeus)
  • onko muilla sovelluksilla pääsyä tietoihin
  • voidaanko tietoja eriyttää omaisuuden sisällä niin, että arkaluonteiset tiedot paljastuvat vähemmän

Jaettujen käyttäjätunnusten välttäminen ja dokumentointi

Critical
High
Normal
Low
Täysin tehty
Pääosin tehty
Osin tehty
Tekemättä
Järjestelmien hallinta
Pääsynhallinta ja tunnistautuminen
11
vaatimusta
Tehtävä toteuttaa näitä vaatimuskehikkojen vaatimuksia
I07: Tietojenkäsittely-ympäristön toimijoiden tunnistaminen
Katakri
32. Käsittelyn turvallisuus
GDPR
9.2.4: Käyttäjien tunnistautumistietojen hallinta
ISO27 Täysi
TEK-08: Tietojenkäsittely-ympäristön toimijoiden tunnistaminen
Julkri
5.16: Identiteetin hallinta
ISO27k1 Täysi
1. Tehtävän vaatimuskuvaus

Jaetut käyttäjätunnukset olisi sallittava vain, jos ne ovat tarpeellisia liiketoiminnallisista tai toiminnallisista syistä, ja ne olisi hyväksytettävä ja dokumentoitava.

Mikäli jaettuja käyttäjätunnuksia käytetään ylläpitokäyttöön, salasanat on vaihdettava mahdollisimman pian sen jälkeen, kun ylläpitooikeuksin varustettu käyttäjä jättää työnsä.

Roolipohjaisista käyttöoikeuksista poikkeamien käsittely

Critical
High
Normal
Low
Täysin tehty
Pääosin tehty
Osin tehty
Tekemättä
Järjestelmien hallinta
Pääsynhallinta ja tunnistautuminen
2
vaatimusta
Tehtävä toteuttaa näitä vaatimuskehikkojen vaatimuksia
6.6.2: Käyttövaltuushallinta ja tunnistautuminen järjestelmiin
Omavalvonta
6.7: Käyttövaltuuksien hallinnan ja tunnistautumisen käytännöt
Tietoturvasuunnitelma
1. Tehtävän vaatimuskuvaus

Poikkeamat roolikohtaisista oikeuksista tulee asianmukaisesti hyväksyä ja dokumentoida.

Kanta-palvelujen virhetilanteiden selvityksessä tehtävä tietojen käsittely

Critical
High
Normal
Low
Täysin tehty
Pääosin tehty
Osin tehty
Tekemättä
Sote-palvelujen tietoturvasuunnitelma
Kanta-palvelujen liitynnät ja käyttö
2
vaatimusta
Tehtävä toteuttaa näitä vaatimuskehikkojen vaatimuksia
6.6.2: Käyttövaltuushallinta ja tunnistautuminen järjestelmiin
Omavalvonta
6.7: Käyttövaltuuksien hallinnan ja tunnistautumisen käytännöt
Tietoturvasuunnitelma
1. Tehtävän vaatimuskuvaus

Pääkäyttäjillä ja tietojärjestelmäasiantuntijoilla ei ole oikeutta Kanta-palveluissa olevien tietojen käsittelyyn (kuten luovutushaku tai asiakirjan hakeminen omaan käyttöön) paitsi virhetilanteiden selvityksessä, jolloin on oikeus tarkistaa oman organsiaationsa tietoja potilastiedon arkistosta.

Kanta-oikeudet on rajattava edellä mainituissa selvitystilanteissa ainoastaan omien tietojen hakuun. Kaikkien selvityksessä tehtyjen hakujen tulee näkyä lokeista.

Pääkäyttäjien asiakastietoihin pääsyn rajoittaminen

Critical
High
Normal
Low
Täysin tehty
Pääosin tehty
Osin tehty
Tekemättä
Sote-palvelujen tietoturvasuunnitelma
Potilastietojärjestelmien tietoturva
1
vaatimusta
Tehtävä toteuttaa näitä vaatimuskehikkojen vaatimuksia
6.7: Käyttövaltuuksien hallinnan ja tunnistautumisen käytännöt
Tietoturvasuunnitelma
1. Tehtävän vaatimuskuvaus

Kaikilla pääkäyttäjillä ja tietojärjestelmäasiantuntijoilla ei lähtökohtaisesti ole oikeutta asiakastietoihin riippumatta siitä, missä asiakastieto sijaitsee.

Poikkeuksen tähän muodostaa paikallisiin rekistereihin liittyvät virhetilanteiden selvitykset, joissa pääkäyttäjillä ja tietojärjestelmäasiantuntijoilla on oikeus tarkastaa ja korjata oman organisaationsa tietoja tai sen organisaation tietoja, jonka lukuun he selvityksen aikana toimivat.

Organisaation on kuvattava käytännöt virhetilanteiden selvityksiin.

Muodollisten pääsynhallintaprosessien toteuttaminen

Critical
High
Normal
Low
Täysin tehty
Pääosin tehty
Osin tehty
Tekemättä
Järjestelmien hallinta
Pääsynhallinta ja tunnistautuminen
11
vaatimusta
Tehtävä toteuttaa näitä vaatimuskehikkojen vaatimuksia
9.1.1: Pääsynhallintapolitiikka
ISO27 Täysi
5.15: Pääsynhallinta
ISO27k1 Täysi
21.2.i (access): Access control
NIS2
6.7: Käyttövaltuuksien hallinnan ja tunnistautumisen käytännöt
Tietoturvasuunnitelma
4.1.2: Security of authentication
TISAX
1. Tehtävän vaatimuskuvaus

Varmistaakseen valtuutettujen käyttäjien pääsyn järjestelmiin ja estääkseen luvattoman pääsyn, organisaatio on määritellyt muodolliset prosessit seuraaviin asioihin:

  • Käyttäjien rekisteröinti ja poistaminen
  • Pääsyoikeuksien jakaminen
  • Pääsyoikeuksien uudelleenarviointi
  • Pääsyoikeuksien poistaminen tai muuttaminen

Näiden asioiden toteuttaminen tulee toteutua aina määritellyn, muodollisen prosessin kautta.

Käyttöoikeuspyyntöjä hyväksyvien henkilöiden ja roolien määrittely

Critical
High
Normal
Low
Täysin tehty
Pääosin tehty
Osin tehty
Tekemättä
Järjestelmien hallinta
Pääsynhallinta ja tunnistautuminen
2
vaatimusta
Tehtävä toteuttaa näitä vaatimuskehikkojen vaatimuksia
6.6.2: Käyttövaltuushallinta ja tunnistautuminen järjestelmiin
Omavalvonta
6.7: Käyttövaltuuksien hallinnan ja tunnistautumisen käytännöt
Tietoturvasuunnitelma
1. Tehtävän vaatimuskuvaus

Organisaatio on määritellyt roolit, joissa toimivat henkilöt voivat hyväksyä käyttöoikeuspyyntöjä. Organisaatio on lisäksi määritellyt, kuinka dokumentoidaan muut henkilöt, jotka voivat hyväksyä käyttöoikeuspyyntöjä.

No items found.