Turvallisuus ja liiketoiminta

Transkriptio

1 Turvallisuus ja liiketoiminta Teemupekka Virtanen Helsinki University of Technology Telecommunication Software and Multimedia Laboratory

2 Turvallisuus puhekielessä Turvallisuus on tila, jossa mitään pahaa ei tapahdu Turvallisuus on tunne, jossa mitään ei tarvitse pelätä

3 Yritysturvallisuus Turvallisuus on toiminto, joka vähentää tahallisista ja tahattomista teoista aiheutuvia menetyksiä Turvallisuus on riskienhallintaa, jossa optimoidaan kustannuksia ja menetyksiä

4 Turvallisuus yrityksissä väestönsuojelu tietoturvallisuus kuljetusten turvallisuus paloturvallisuus ympäristönsuojelu rahankäsittely työsuojelu tuoteturvallisuus kirjanpito riskienhallinta rikostentorjunta toiminnan jatkuvuus

5 Turvallisuuden suhde yritystoimintaan Varmistaa häiriötön toiminta Estää tarpeettomat riskit Riski kuuluu liiketoimintaan Varmistaa lakien ja määräysten noudattaminen Estää omaisuushäviöt Säilyttää maine

6 Laillisuusnäkökulma Turvallisuustoiminta saa oikeutuksensa laista Lait turvaavat yksilöille ja yhteisöille oikeuden fyysiseen koskemattomuuteen ja omaisuuden turvaan Turvallisuustoiminnan tehtävänä on suojella tätä oikeutta Turvallisuus tarkoittaa vartiointia ja lukkoja

7 Laatunäkökulma Erilaiset asiat aiheuttavat häiriöitä työssä Turvallisuuden tehtävänä on estää (ulkopuoliset) häiriöt Turvallisuustoiminta siirtää painopistettä häiriöiden selvittämisestä niiden torjuntaan Turvallisuus tarkoittaa työn ja työolojen hyvää suunnittelua

8 Riskinottonäkökulma Kaikki liiketoiminta on riskin ottamista Riski on ainoa tapa menestyä hyvin Tasainen viilaaminen estää tappion mutta ei anna mahdollisuuksia voittoonkaan Myös lakien rikkominen on riskin ottamista Turvallisuuden tehtävänä on pienentää riskiä ja tehdä se hallittavaksi

9 Brandinäkökulma Turvallisuus on tapa erottua muista Osa asiakkaista haluaa ostaa korkeampaa turvallisuutta Oma turvallisuus (autot) Toimitusvarmuus (sähkö) Salassapito (maanpuolustus) Mahdollisuus parempaan hintaan

10 Yksilön näkökulma Mitään yllättävää ikävää ei tapahdu Hengen ja omaisuuden turva Taloudellinen turvallisuus Hyvinvoinnin jatkuminen Mukana paljon tunnetta Pelko ei aina ole rationaalinen

11 Yrityksen tapoja suhtautua turvallisuuteen Juristinäkökulma Toteutetaan ulkoa annettuja tavoitteita Ei omaa kiinnostusta Insinöörinäkökulma Turvallisuus edistää tehokkuutta Ekonominäkökulma Turvallisuus on tapa erottua Brandi

12 Turvallisuus ja tehokkuus Turvallisuuden tehtävänä on estää häiriöitä varsinaisessa toiminnassa Tehokas toiminta edellyttää häiriöttömyyttä Jos kaikki aika kuluu sotkujen siivoamisessa ei aikaa riitä varsinaiselle työlle

13 Turvallisuus keinona profiloitua Monet asiakkaat ovat valmiita ostamaan turvallista tuotetta ja myös maksamaan siitä Monet asiakkaat halauavat siirtää osan riskistä alihankkijalle ja edellyttävät tiettyä turvatasoa tai toimintavarmuutta Turvallisille tuotteille ja palveluille on olemassa omat markkinansa, jossa hinta ei välttämättä ole tärkein valintaperuste

14 Trendejä yrityksissä Tehokkuus kasvaa Ei varaa pysähdyksiin Ei resursseja varalla Lyhytjänteisyys Tulos neljännesvuosittain Kansainvälisyys Toimintatavat yhtenäistyvät Kilpailu kovenee

15 Turvallisuus puolustusvoimissa Tietojen salassapito Suunnitelmat salaisia kymmeniä vuosia Omaisuuden suojelu Aseet anastusherkkää tavaraa Palvelusturvallisuus Onnettomuuksien välttäminen Paloturvallisuus Räjähdysaineita, luolia

16 Turvallisuus lehtitalossa Tietojenvälityksen nopeus Uutinen vanhenee nopeasti Tietojenvälityksen luotettavuus Totuusarvo pitää tietää Sabotaasi Lehtitalo näkyvä kohde Toimittajien turvallisuus

17 Turvallisuus korkean teknologian yrityksessä Yrityksen arvo perustuu odotuksiin tulevaisuudesta Kaikki puutteet heikentävät kuvaa Luodaan tulevaisuutta Salassapidettäviä strategisia tietoja Kehitetään uutta Tuotekehityksen salassapito Omaisuus aineetonta Työntekijöillä olevan tiedon hallinta

18 Riski Uhka Haavoittuvuus Vahinko Riski Riskin poistaminen Riskin pienentäminen Riskin hyväksyminen

19 Turvallisuuden optimointi Cost of risk Minimal costs Costs of avoiding accidents Costs of accidents Resources to avoid accident

20 Toi minnan turvallisuus Henki löturvallisuus Tieto Hen kilö Materi a Maine Toim itilaturvallisuus Tietotekninen tur valli suus

21 Suojattavat kohteet Erilaiset asiat, jotka ovat arvokkaita organisaatiolle Arvo voi perustua Rahallinen arvo Toiminnallinen arvo Mielikuva-arvo

22 Omaisuus Arvo-omaisuus Rahallinen arvo Raha, arvopaperit, taide Kiinteistöt Toiminnallinen arvo (toimitilat) Rahallinen arvo (sijoitukset) Koneet ja laitteet Toiminnallinen arvo Varasto Toiminnallinen arvo

23 Tieto Välttämätöntä toiminnalle Raaka-aine Toimintatapa Rahallinen arvo Tiedon saamiseksi tehty työ Myytävä tieto Tiedon arvo määräytyy myös sen mukaan kuinka harva sen tuntee

24 Henkilöt Ihmisissä yhdistyvät omaisuus ja tieto Käsipareja Tietovarastoja

25 Maine Yrityksen toiminnan kannalta usein yhtä tärkeää kuin omaisuus ja tieto Vaikuttaa ihmisten ostopäätöksiin Vaikuttaa osakkeiden arvoon

26 Pakolliset suojausmenetelmät Menetelmät, joiden täytyy olla olemassa kaikissa yrityksissä Perusta kaikille muille toimenpiteille

27 Turvallisuusjohtaminen Turvallisuuden yhdistäminen liiketoimintaan Liiketoiminnan suojaaminen Turvallisuustason valinta Riskianalyysi Turvallisuustoiminnan organisointi

28 Luokittelu Etsitään toiminnan kannalta olennaiset asiat Todetaan, millä tavalla ne ovat arvokkaita Luottamuksellisuus eheys käytettävyys Päätetään, kuinka arvokkaita ne ovat jollakin asteikolla

29 Valinnaiset menetelmät Valinnaisilla menetelmillä rakennetaan varsinainen suojaus Menetelmistä valitaan tilanteeseen ja kohteeseen parhaiten sopivat On tärkeää pitää suojaus yhtä vahvana kaikkialla, vaikka menetelmät vaihtuisivatkin välillä

30 Fyysinen turvallisuus Myös toimitilaturvallisuus tai tilaturvallisuus Luodaan erilaisia alueita, joille pääsyä rajoitetaan ulkopuolisilta Voidaan jakaa estämiseen, havaitsemiseen ja torjumiseen

31 Passiivinen este

32 Havaitseminen

33 Aktiivinen este

34 Tietotekninen turvallisuus Luodaan erilaisia alueita, joille pääsyä rajoitetaan ulkopuolisilta Voidaan jakaa estämiseen, havaitsemiseen ja torjumiseen

35 Avoin verkko

36 Suljettu verkko

37 Etätyön ongelmat

38 Turvallisen alueen laajennus

39 Etätyö

40 Etätyön ongelmat

41 Yrityksen sisäiset erot

42 Hierarkkiset alueet

43 Passiivinen este Salakirjoitus Suunnittelu Ohjelmistojen turvallisuus

44 Pääsynvalvonta Palomuuri Pääsynvalvonta

45 Valvonta Pest IDS

46 Henkilöstöturvallisuus Määrittelee, kuka on ulkopuolinen Varmistaa, että henkilökunnasta ei ole uhkaa Turvallinen työhönotto Turvallisuus osana kehitystä Turvallinen ulospotkiminen Varmistaa henkilökunnan pätevyyden ja osaamisen

47 Toiminnan turvallisuus Toiminnan laatu Varsinainen työ on suunniteltu niin, että se tehdään turvallisesti Resursseja on riittävästi Henkilöitä Aikaa Kunnolliset prosessit, joita pystytään valvomaan

48 Turvallisuuden organisointi perinteisesti Yrityksissä on määräysten mukaan oltava joukko vastaavia henkilöitä Suojelujohtaja, valmiuspäällikkö, työsuojelupäällikkö,... Turvallisuustietoisessa yrityksessä on myös turvallisuuspäällikkö Turvallisuuspäällikkö tekee ohjeet turvallisuusasioissa (=ovien lukitseminen) ja valvoo niiden noudattamista

49 Tulos- ja turvallisuusjohtaminen Turvallisuus on osa normaalia johtamista Ylempi taso antaa tiettyjä turvallisuuteen liittyviä reunaehtoja ja alempi taso toimii niiden puitteissa Alempi taso voi itse päättää toimintansa edellyttävän joissakin asioissa korkeampia vaatimuksia kuin ylhäältä edellytetään

50 90 Get requirement from the upper level The mail service has to work Assign the requirements for the subprocesses 90 The Internetconnection has to work 90 The Intranetconnection has to work Mail server A has to work 90 The workstation has to work Send the requirements to the lower level Mail server B has to work

51 Oman mallin organisointi Turvallisuusjohtaminen on osa johdon työtä Johto asettaa vaatimukset vastaamaan liiketoimintastrategiaa Henkilöstöturvallisuus on turvallista henkilöstöhallintoa Palkkaus, tuloskeskustelut ym. ovat normaaleja henkilöstöhallinnon prosesseja Fyysinen turvallisuus liittyy kiinteistöhallintoon Tietotekninen turvallisuus liittyy tietohallintoon Toiminnan turvallisuus on jokaisen esimiehen vastuulla

52 Turvallisuuskustannukset Osa toiminnan kuluja Otettava huomioon kun Suunnitellaan investointeja Hinnoitellaan tuotteita ja palveluita Turvallisuudella siirretään kuluja korjaamisesta suunnitteluun

53 Ulostaminen Jos vaadittavat turvallisuustasot ja reunaehdot on määritelty kunnolla organisaation sisällä, on myös toimintojen ulkoistaminen helppoa Turvallisuusteen liittyvät vaatimukset on kirjattava sopimuksiin Turvallisuudesta maksettava hinta on osa palvelun hintaa

54 Reagointi Vaikea toteuttaa automaattisesti IDS-perusteinen reagointi antaa mahdollisuuden palvelunestohyökkäykseen

55 Internetin turvallisuus Internet on täysin turvallinen verkko Se täyttää kaikki turvallisuusvaatimukset, jotka sille asetettiin Kustannussyistä Internettiä haluttaisi käyttää tarkoituksiin, joihin sitä ei ole suunniteltu Turvallisuutta voidaan parantaa, mutta se aiheuttaa kustannuksia Idea halvasta verkosta katoaa

56 Rusinoita pullasta Halpa turvallinen käytettävä Kaikkien käytettävissä vain hyviä käyttäjiä Me saamme viestin kaikille roskaposti

57 Uudet tuotteet Kehityksen alkuvaiheessa paino teknisillä ominaisuuksilla Ihmisen mukauduttava koneeseen Käyttäjät teknisesti suuntautuneita Kypsässä vaiheessa panostetaan käyttömukavuuteen Kone mukautuu ihmiseen Kaikki käyttävät Läpimurtovaiheessa turvariski Käyttäjäkunta laajenee nopeasti Käyttö ei vielä helppoa kaikille

58 Ihmisten osaaminen Capability to learn Required level for secure work

59 Yhteenveto Yrityksen on tiedettävä Mihin turvallisuudella pyritään Mitä turvallisuudella suojataan Mikä on hyväksytty riskitaso Yrityksen johto määrittelee tavoitteet Tavoitteet muutetaan turvallisuusvaatimuksiksi ja toteutetaan eri tavoin Esikunta Linja