Tietoturvan ja -etosuojan suhde sovelluskehityksessä. An6 Vähä- Sipilä Tietoturva ry SFS:n seminaari

Transkriptio

1 Tietoturvan ja -etosuojan suhde sovelluskehityksessä An6 Vähä- Sipilä Tietoturva ry SFS:n seminaari

2 TIETOTURVAN JA TIETOSUOJAN OLEMUKSIEN EROT

3 Tietoturva LuoHamuksellisuus Eheys Saatavuus

4 Tietoturva vs. -etosuoja LuoHamuksellisuus Eri luohamuksellisuusluokkia (henkilö-edot, arkaluontoiset) Eheys Oikeellisuusvaa-mus Saatavuus Tarkastusoikeus Poisto- oikeus (right to erasure)

5 Tietosuojatyö on -etoturvatyötä Tietoturvaa voi olla olemassa ilman -etosuojaa (yksityisyyden suojaa), muha -etosuojaa ei voi tehdä ilman -etoturvaa ( There can be security without privacy, but no privacy without security )

6 Myös ris-riitoja on Tietoturva Haluaa kahavat lokit Tietojen siirto voi olla turvallista rajojen yli Varmuuskopio tuo turvallisuuha Tietosuoja muha lokista voi tulla henkilörekisteri muha ei välhämähä laillista kunnes kellarin nauhoilta on poistehava henkilö-etoja

7 Regulaa-o & riskit Tietoturva Vähemmän regulaa-ota Sopimussakkoja & brändiongelmia Tietosuoja Enemmän regulaa-ota Sakkoja ja linnaa

8 Ohjelmistokehitysnäkökulma Bisnes- vaa-mukset Tekniset vaa-mukset Tietosuoja- ja -etoturvavaa-musten ero on vielä nähtävissä Koodaus ja testaus Operoin-

9 Ohjelmistokehitysnäkökulma Bisnes- vaa-mukset Tekniset vaa-mukset Koodaus ja testaus Operoin- ja täällä -etosuojavaa-mukset näyhävät -etoturvalta

10 Ohjelmistokehitysnäkökulma Bisnes- vaa-mukset Tekniset vaa-mukset Koodaus ja testaus Operoin- Jossain tällä välillä on uhkamallinnus eli arkkitehtuurin uhka- analyysi, ehkä tärkein yhdysside -etosuojavaa-musten ja -etoturvatoteutuksen välillä Voi olla tekninen osa PIA:ta (Privacy Impact Assessment)

11 Ohjelmistokehitysnäkökulma Bisnes- vaa-mukset Tekniset vaa-mukset Koodaus ja testaus Operoin- Täältä on saatava todisteita -etoturvallisesta toteutuksesta

12 Ohjelmistokehitysnäkökulma Bisnes- vaa-mukset Tekniset vaa-mukset Koodaus ja testaus joha täällä voidaan olla varmoja, ehä -etosuoja on turvahu Onko todisteita PIA:n perusteella -latusta ak-vitee-sta? Operoin-

13 OHJELMISTOKEHITYKSEN TIETOTURVATYÖ

14 Ohjelmistojen -etoturvatyö Sarja ak-viteeheja, joiden pitäisi taata -etoturvallisuus Tietoturvallisuuden takaaminen on esiehto -etosuojavaa-musten täyhymiselle Useita eri näkökulmia, mitä tämä voi tarkoihaa

15 Kaksi eri esimerkkinäkymää -etoturvatyöhön ISO Konteks-t: Liiketoiminnallinen Lainsäädännöllinen Tekninen Sovelluksen speksit Henkilöiden roolit Tietoturvakontrollit Prosessikirjasto Sovellusturvallisuuden elinkaarimalli Koordinoija ONF CommiHee BSIMM 112 ohjelmisto- turvallisuusak-vitee6a jaehuna 12 eri kategoriaan ja kolmeen kypsyysasteeseen Vasemmalla mainihujen konteks-en, roolien ja määrihelyjen selvihäminen ovat mukana ak-viteeheina Koordinoija Sobware Security Group

16 Mallien eroja ISO Yhteiset käsiheet ja strukturoitu kuvaus ohjelmistoturvallisuusprosessista, ei kerro mitä tehdään BSIMM Tutkimus ja vertailudataa siitä, mitä turva- ak-viteeheja yritykset tekevät, ei norma-ivinen Microsob SDL, OpenSAMM, VAHTI- sovellusturvallisuusohje, ym. Ohjeellinen lista turva- ak-viteeteista, joita mallin tekijän mukaan pitäisi tehdä

17 ISO/IEC LÄHEMMIN

18 ISO/IEC :2011 MääriHelee tukun käsiheitä Applica-on Security Management Process (ASMP) Organiza-on Norma-ve Framework (ONF) Applica-on Norma-ve Framework (ANF) Applica-on Security Controls (ASC) Osa 1 sinällään ei anna paljoa eväitä varsinaisiin kontrolleihin / ak-viteeheihin Tarvitaan vielä muita lähteitä konkre-an saamiseksi

19 ISO/IEC :2011 ONF ANF Organiza-onal Norma-ve Framework Organisaa-on ohjelmistoturvallisuuteen vaikuhavat asiat ja kontrolli- eli ASC- kirjasto Applica-on Norma-ve Framework Sovellus/projek-kohtainen osajoukko

20 ISO/IEC :2011 Sovellusturvallisuuden hallintaprosessi (ASMP) 1. Vaa-musmääriHely 2. Riskien arvioin- 3. ANF:n määrihely 4. Sovelluksen toteutus (provisioning) ja käyhö 5. Auditoin- Perinteinen vesiputousmalli näkyvissä, ohjelmistokehitys kohdassa 4

21 ISO/IEC 27034:n jatko (valmis 2015) Organiza-on Norma-ve Framework MääriHelee tarkemmin sovellusturvallisuuselinkaaren (2017) Applica-on Security Management Process (2017) Applica-on Security Valida-on (2016) ASC Data Structures Paljon XML:ää (2016) Security Guidance for Specific Applica-ons

22

23 OSTAMASSA SOFTAA, JOLLA ON TIETOSUOJATARPEITA?

24 Turvallisen soban ostaminen 1 Kypsiä ohjelmistoturvallisuusprosesseja on harvassa Erityises- -etosuojan on oltava mukana vaa-muksissa, koska sitä ei voida luoda jälkikäteen testaamalla tai tarkastamalla Tietosuojan ja -etoturvan on oltava mukana laadullisina vaa-muksina Tärkeää on vaa-a todisteita turvallisuusak-vitee6en suorihamisesta, koska vain ao. ak-vitee-t takaavat laadullisten -etosuojavaa-musten toteutumisen

25 Turvallisen soban ostaminen 2 Kysy toimihajalta, miten -etosuoja (ja turva) toteutetaan Projekteissa ja firmojen toimintatavoissa on eroja, joten ei ole yhtä ainoaa oikeaa vastausta Vaadi täsmällinen kuvaus ak-viteeteista (tai ISO 27034:n kontrolleista), eli enemmän kuin lista niistä Listaksi käy Vendor BSIMM tai oma kysymyslista, muha vaadi -etää miten ne tehdään

26 Turvallisen soban ostaminen 3 Arvioi toimihajan ymmärrys vastauksen perusteella KaHaako vastaus kaikki ISO :n ONF:n osa- alueet Osaako toimihaja antaa käytännön esimerkkejä ak-viteeteista Vertaa toimihajan listaa esim. BSIMMin listaan, myöhemmin ehkä myös ISO

27 Turvallisen soban ostaminen 4 Jos toimihaja ei osaa sanoa ak-vitee-n hintavaikutusta, he eivät ehkä ole koskaan oikeas- tehneet sitä Muista: Tämä on bisnestä. Kaikkea ei tarvitse tehdä jäännösriski vs. kustannukset Jos toimihajan vastaus keskihyy vain testaukseen tai tarkastukseen, he eivät ymmärrä aihealueha kokonaisuutena Muista: Tietosuojaa ei voi luoda testaamalla

28 Kommen-t & yms. Pari referenssiä: Microsob SDL ja ISO BSIMM