SFS-ISO/IEC 27018:2014 Menettelyohjeet henkilötietojen suojaamiseen henkilötietoja käsittelevissä julkisissa pilvipalveluissa

Transkriptio

1 SFS-ISO/IEC 27018:2014 Menettelyohjeet henkilötietojen suojaamiseen henkilötietoja käsittelevissä julkisissa pilvipalveluissa Yleisesittely Julkaisutilaisuus Teknologiajohtaja Aki Siponen, Microsoft Oy

2 SFS-ISO/IEC 27018:2014 Henkilötietojen suojaaminen pilvipalveluissa ISO/IEC standardiperhe ISO/IEC rooli Standardin tarkoitus Miksi ISO/IEC on tärkeä EU:n tietosuoja-asetus Miten organisaatioiden tulisi varautua Standardin rakenne Keskeinen sisältö Johtopäätökset

3 Innovaatiot kohtaavat vaatimukset Lait, säädökset ja Standardit määräykset Teknologia Vaatimukset Innovaatiot

4 ISO/IEC standardien perhe Yleiset vaatimukset Yleiset ohjeet Toimialaohjeet Yleiskatsaus ja sanasto Vaatimukset Sertifiointielinten vaatimukset Menettelyohje Toteutusohjeita Mittaukset Riskien hallinta Auditointiohjeita TR Sertifioijille hallintakeinoista ja integrointi Hallintaohje Pilvipalveluiden hallintakeinot Digitaalisten asiakirjojen laatiminen Organisaatioiden välinen viestintä Teletoimiala TR Finanssitoimiala Energiahuolto Toimittajasuhteet Terveydenhuolto Hallintakeino-ohjeet ICT jatkuvuuden hallinnassa Kyberturvallisuus Verkkoturvallisuus Ohjelmistoturvallisuus Turvallisuustapahtumien hallinta Digitaalinen forensiikka Tunkeutumisen havainnointi ja esto Tallennuksen turvallisuus Digitaalinen todistusaineisto

5 Kuinka ISO/IEC syntyi ❶ Tunnista EU-lainsäädännöstä henkilötietojen käsittelyä pilvessä koskevat säännökset Espanja ❷ Luo 70 uutta hallintakeinoa kattamaan EU-lakien vaatimukset ❹ Luonnostele ISO/IEC uudet hallintakeinot ja ohjeet ❺ Käytä ISO/IEC halintajärjestelmää ja hallintakeinojen yhdistelmällä ISO/IEC 27002:2013 Hallintakeinot ja ohjeet ISO/IEC Saksa Uudet hallintakeinot ja ohjeet Uusia ohjeita hallintakeinoille ISO/IEC 27001:2013 hallintajärjestelmä UK Uusia hallintakeinoja ja ohjeita Unkari ❸ Analysoi TSV (Art 29 WP) kannanotot ja päivitä hallintakeinoja

6 Standardin tarkoitus Hallintakeinot ja ohjeet henkilötietojen suojaamista varten julkisen pilvilaskennan ympäristössä Noudattaa ISO / IEC tietosuojaperiaatteita Perustuu IS / IEC standardiin Huomioidaan henkilötietojen suojaamista koskevat viranomaisvaatimukset Standardia voivat soveltaa kaikki organisaatiot, jotka tuottavat henkilötietoja sisältäviä pilvipalveluita käsittelijän roolissa asiakkaiden kanssa solmittujen sopimusten perusteella Voi soveltua myös rekisterinpitäjälle Rekisterinpitäjää saattavat koskea myös muut vaatimukset, jotka eivät koske käsittelijöitä

7 ISO / IEC asema ISO/IEC Tietosuojaperiaatteet ISO/IEC Pilvipalvelujen sanasto ISO/IEC Tietosuoja pilvipalveluissa ISO/IEC Menettelyohjeet ISO/IEC Hallintajärjestelmä ISO/IEC Sanasto

8 Asiakas ja pilvipalvelun tuottaja hallitsevat riskejä yhdessä Asiakkaan vastuulla olevat riskit Tiedon luokittelu Päätelaitteet Responsibility Tiedon luokittelu ja Vastuu tiedosta Päätelaitteiden suojaaminen Oma laitetila IaaS PaaS SaaS Identiteedin ja pääsyn hallinta Yhteiset riskit Identiteetin ja pääsyn hallinta Sovellustason kontrollit Verkkotason kontrollit Pilvipalvelun tuottaja vähentää asiakkaan riskejä Palvelinten turvallisuus Fyysiset tilat Verkko Fyysinen turvallisuus Asiakas Palveluntuottaja

9 Mistä on kysymys Rekisteröity Henkilötieto Rekisterinpitäjä Käsittelijä Julkisen pilvipalvelun tuottaja Henkilötietojen käsittely Tietoturvaloukkaus luonnollinen henkilö, johon henkilötieto liittyy kaikki sellainen tieto, (a) jonka avulla pystytään tunnistamaan tietoihin liittyvä rekisteröity tai (b) joka on tai saattaa olla suoraan tai epäsuorasti yhdistetty rekisteröityyn (yksi tai useampi) tietosuojatoimija, joka määrittelee henkilötietojen käsittelemisen tarkoituksen sekä niiden käsittelyn keinot ja joka ei ole luonnollinen henkilö, joka käyttää tietoja henkilökohtaisiin tarkoituksiinsa tietosuojatoimija, joka käsittelee henkilötietoja rekisterinpitäjän puolesta ja tämän ohjeiden mukaisesti osapuoli, joka asettaa pilvipalvelun saataville julkisen pilven toteutusmallin mukaisesti henkilötiedoille suoritettava toiminto tai toimintojoukko esim. henkilötietojen kerääminen, säilyttäminen, muuttaminen, hakeminen, käyttäminen, luovuttaminen, anonymisointi, pseudonymisointi, levittäminen tai muunlainen jakaminen, poistaminen tai hävittäminen turvallisuuden pettäminen, joka johtaa siirretyn, varastoidun tai muuten käsitellyn tiedon tahattomaan tai laittomaan tuhoutumiseen, häviämiseen, muuttumiseen, luvattomaan julkaisemiseen tai käyttöön

10 Standardin rakenne vastaa ISO / IEC 27002:ta Luku Pääkohta 5 Tietoturvapolitiikat Ohjeistus Muut lisätiedot 6 Tietoturvallisuuden organisointi Toteuttamisohjeistus 7 Henkilöstöturvallisuus Ohjeistus Muut lisätiedot 8 Suojattavan omaisuuden hallinta Pääsynhallinta Toteuttamisohjeistus Viittaus Liite A 10 Salaus Toteuttamisohjeistus 11 Fyysinen turvallisuus ja ympäristön turvallisuus Toteuttamisohjeistus Viittaus Liite A 12 Käyttöturvallisuus Toteuttamisohjeistus 13 Viestintäturvallisuus Toteuttamisohjeistus Viittaus Liite A 14 Järjestelmien hankkiminen, kehittäminen ja ylläpito Suhteet toimittajiin Tietoturvahäiriöiden hallinta Toteuttamisohjeistus 17 Liiketoiminnan jatkuvuuden hallintaan liittyviä tietoturvanäkökohtia 18 Vaatimustenmukaisuus Toteuttamisohjeistus Viittaus Liite A

11 Pääkohdan rakenne Pääkohdassa yksi tai useampi pääturvallisuusluokka määrittelevät tavoitteen Pääturvallisuusluokassa yksi tai useampia hallintakeinoja toteutusohjeineen 5. Tietoturvapolitiikat 5.1 Johdon ohjaus tietoturvallisuutta koskevissa asioissa Tavoite: Standardin ISO/IEC 27002:2013 kohdassa 5.1 määritellyt tavoitteet ovat voimassa Tietoturvapolitiikat Hallintakeino: Hallintakeino ja siihen liittyvät toteuttamisohjeet sekä muut standardissa ISO/IEC määritellyt tiedot ovat voimassa. Myös Julkisissa pilvipalveluissa olevien henkilötietojen suojaamista koskeva ohjeistus: Julkisissa pilvipalveluissa olevien henkilötietojen suojaamista koskevat lisätiedot: Tietoturvapolitiikkojen katselmointi Hallintakeino: Hallintakeino ja siihen liittyvät standardissa ISO/IEC määritellyt toteuttamisohjeet ovat voimassa. Julkisissa pilvipalveluissa olevien henkilötietojen suojaamista koskeva ohjeistus: Julkisissa pilvipalveluissa olevien henkilötietojen suojaamista koskevat lisätiedot:

12 Luku Keskeiset ohjeistukset Pääkohta 5 Tietoturvapolitiikat Henkilötietoja koskevan lainsäädännön noudattaminen 6 Tietoturvallisuuden organisointi 7 Henkilöstöturvallisuus 8 Suojattavan omaisuuden hallinta Sopimusten ehtojen tukeminen ja sitoutuminen sopimusten noudattamiseen Yhteydenottopiste asiakkaille henkilötietojen käsittelyä koskien Olennainen henkilöstö tietoinen tietosuojan ja yksityisyyden suojan sääntöjen ja menettelytapojen rikkomisen seurauksista Pääsynhallinta Asiakkaalle kyky hallita pääsyä asiakkaan hallinnassa olevien käyttäjien osalta 10 Salaus 11 Fyysinen turvallisuus ja ympäristön turvallisuus Käyttäjien rekisteröinti ja poistaminen aina kuten tietoturvaloukkaustilanteissa Tarvittaessa turvallinen kirjautuminen kaikille käyttäjätileille Asiakkaalle tiedot, missä tilanteissa henkilötietojen suojaamiseen käytetään salausta ja minkälaisia salausratkaisuja asiakkaalla on käytettävissä Käytöstä poistettaessa tallennusvälineitä, jotka saattavat sisältää henkilötietoja, on käsiteltävä kuin ne sisältäisivät niitä.

13 Keskeiset ohjeistukset Luku Pääkohta 12 Käyttöturvallisuus Riskiarviointi, jos henkilötietojen käyttöä testauksiin ei voida välttää. Tunnistettuja riskejä pienennettävä teknisillä ja organisaatioon kohdistuvilla ratkaisuilla Pilvipalveluissa uusia mekanismeja suojaamaan tietojen menettämiseltä, turvaamaan toiminnan jatkuvuus ja toipumaan häiriötilanteista. Varmuuskopiointipalveluissa kyvykkyydet asiakkaan tietoon. Toimintojen palauttaminen määritellyssä ja dokumentoidussa ajassa häiriötilanteen jälkeen. Varmistus- ja palautusmenettelyjen säännöllinen katselmointi. Määriteltävä politiikka kattamaan varmuuskopiointia koskevat vaatimukset ja varmuuskopioina säilytettävien henkilötietojen poistamista koskevat vaatimukset. Tapahtumalokien katselmointi määräajoin. Asiakkaan saataville tiedot siitä, millä kriteereillä tapahtumalokeja voidaan saattaa asiakkaan saataville. Varmistettava, että asiakkaalla on pääsy vain omiin lokitietoihinsa. Varmistettava, että lokitietoja käytetään vain tarkoitetusti. Varmistettava, että lokitiedot poistetaan määritellyn ja dokumentoidun ajan kuluttua.

14 Keskeiset ohjeistukset Luku Pääkohta 13 Viestintäturvallisuus Tietoturvahäiriöiden hallinta Vaatimustenmukaisuus Fyysisiä tallennusvälineitä käytettäessä varmistettava, että tietoja ei voida käyttää matkalla. Fyysisistä tallennusvälineistä ja niiden käytöstä pidettävä kirjaa. Voi olla tarpeen toimia yhteistyössä asiakkaan kanssa toiminnan kehittämisessä. Tietoturvahäiriön käynnistettävä katselmointi, jossa palvelutuottaja tutkii onko häiriö vaarantanut henkilötietoja. Asiakkaan auditoinnit epäkäytännöllisiä ja saattavat lisätä tietoturvariskejä. Asiakkaiden saataville ennen sopimuksen tekemistä riippumatonta näyttöä tietoturvallisuuden toteuttamisesta. Palvelutuottajan valitseman riippumattoman auditoinnin oltava hyväksyttävä menetelmä täyttää asiakkaan auditointitarve.

15 Liite A yksityisyydensuojan hallintakeinot

16 Liite A: Uudet henkilötietojen suojaamisen hallintakeinot henkilötietoja käsitteleville julkisille pilvipalveluille (velvoittava) Luku Pääkohta Uusia hallintakeinoja A1 Suostumus ja valinnanvapaus 1 A2 Tarkoituksen laillisuus ja määrittely 2 A3 Tiedonkeruun rajoittaminen 0 A4 Tiedonkäsittelyn rajoittaminen 1 A5 Käytön, säilytyksen ja luovutuksen rajoittaminen 2 A6 Oikeellisuus ja laatu 0 A7 Avoimuus, läpinäkyvyys ja ilmoittaminen 1 A8 Omien tietojen tarkistusoikeus 0 A9 Vastuullisuus 3 A10 Tietoturvallisuus 13 A11 Tietosuojavaatimusten noudattaminen 2

17 Tärkeysjärjestys Kohdat eivät ole tärkeysjärjestyksessä Standardia soveltavan organisaation olisi tunnistettava Pätevät hallintakeinot Hallintakeinojen tärkeys Soveltaminen yksittäisiin liiketoimintaprosesseihin.

18 Kiitos!