Senaatin tietojärjestelmien ja ICT-palveluntoimittajien tietoturvavaatimukset (Senaatin ympäristöön toteutettava järjestelmä)

Transkriptio

1 Julkaisujärjestelmä Liite 7 1/6 Senaatin tietojärjestelmien ja ICT-palveluntoimittajien tietoturvavaatimukset (Senaatin ympäristöön toteutettava järjestelmä) Vaatimukset soveltuvat käytettäväksi mikäli toteutettavassa tietojärjestelmässä käsitellään julkista tai korkeintaan suojaustason IV tietoaineistoa. Tietojärjestelmä asennetaan Senaatin verkkoympäristöön, joka on luokiteltu tietoturvallisuuden perustasolle. Toimittaja voi käsitellä julkista tai korkeintaan suojaustason IV tietoaineistoa ja toimittajan kanssa laaditaan turvallisuussopimus. HALLINNOLLINEN TURVALLISUUS Hallinnolliset turvallisuusvaatimukset koskevat kaikkia toimittajan tietojen käsittelyympäristöjä ja tiloja. - Organisaatiolla on kirjattuna ylimmän johdon hyväksymä turvallisuuspolitiikka - Ylin johto valvoo turvallisuuspolitiikan perusteiden mukaista toimintaa. Valvonnan tulokset ovat esitettävissä. - Organisaatiolla on turvallisuussuunnitelma, joka kattaa turvallisuusjohtamisen, henkilöstö-, tieto- ja tilaturvallisuuden kehittämisalueet. - Organisaatio arvioi turvallisuuden kokonaisuuteen liittyvät riskit ja riskienarviointi on turvallisuustyön tärkeysjärjestyksen peruste. Menettelytapa on säännöllinen ja tulokset dokumentoidaan. - Riskienarviointi kattaa turvallisuusjohtamisen sekä henkilöstö-, tieto- ja tilaturvallisuuden osa-alueet. Asiat on huomioitu tarvittavien sidosryhmien osalta. - Turvallisuusorganisaatio kattaa turvallisuusjohtamisen sekä henkilöstö-, tieto- ja tilaturvallisuuden osa-alueet. Vastuulliset henkilöt on nimetty ja koulutettu ja tehtävä on osa henkilön toimenkuvausta. - Toimittaja nimeää tietoturvavastaavan, joka vastaa sopimuksen mukaisen palvelun tietoturvallisuudesta sopimuskauden aikana. - Turvallisuudesta vastaava henkilö raportoi organisaation johdolle siten, että johtoryhmä on selvillä turvallisuustoiminnan ja turvallisuustilanteen tasosta. Huomattavat poikkeamat tai muutokset on voitava raportoida johdolle välittömästi esimerkiksi kriisienhallintamenettelyn kautta.

2 Julkaisujärjestelmä Liite 7 2/6 - Toimittaja reagoi hankinnan kohteeseen liittyviin vakaviin tietoturvapoikkeamiin viivytyksettä, pitää niistä kirjaa ja raportoi ne Senaatille. - Toimittajan tietoturvallisuuden vastuuhenkilö lähettää tietoturvaraportin Senaatin tietoturvallisuuden vastuuhenkilöille aina ongelmatilanteiden ilmetessä, kuitenkin vähintään puolivuosittain. - Organisaatiolla on tietoturvallisuuskoulutusmenettely, jolla voidaan osoittaa annettu koulutus ja sen sisältö. - Tiedon ja tietojenkäsittelypalveluihin liittyvät säännöt on määritetty ja tiedotettu henkilöstölle. - Palvelun toteuttamiseen osallistuvista henkilöistä tulee voida tehdä turvallisuusselvitykset. - Toimittaja tunnistaa ja nimeää hankinnan kohteen tietoturvallisuudelle tärkeät henkilöroolit ja nimeää niihin varahenkilö(t). - Ainoastaan nimetyt, turvallisuusselvitetyt ja Senaatin hyväksymät henkilöt saavat huolehtia hankittavan kohteen käyttöönottoasennuksesta ja käytöstä poistamisesta. FYYSINEN TURVALLISUUS (TOIMITILAT) Toimittajan ja sen alihankkijan toimitilojen tulee olla asianmukaisesti suojattu tarpeellisilla toimenpiteillä luvattoman pääsyn estämiseksi toimitiloihin ja siellä oleviin salassa pidettäviin tietoihin. Toimitiloille asetettavia vaatimuksia ja niiden täyttymistä arvioidaan VAHTI-ohjeen 2/2013 perustason mukaisesti. TIETOTURVALLISUUS TOIMITTAJAN TIETOJENKÄSITTELY-YMPÄRISTÖSSÄ Toimittajan tietojenkäsittely-ympäristön tulee täyttää seuraavat vaatimukset: - Käyttäjillä on vain ne oikeudet, joita he tarvitsevat tehtäviensä hoitamiseen. Pääsy on rajattu vain omiin työtehtäviin liittyviin verkkoihin, tietoihin ja järjestelmiin. - Käyttöoikeuksien käsittely ja myöntäminen on ohjeistettu - Käyttöoikeuden myöntämisen yhteydessä tarkistetaan, että oikeuden saaja kuuluu henkilöstöön tai on muutoin oikeutettu. - Jokaisesta myönnetystä käyttöoikeudesta jää dokumentti (paperi tai sähköinen).

3 Julkaisujärjestelmä Liite 7 3/6 - Tulee olla selkeä ja toimiva tapa henkilöstössä tapahtuvien muutosten ilmoittamiseen välittömästi asiankuuluville tahoille sekä toimiva tapa tarvittavien muutosten tekemiseen. - Käyttö- ja pääsyoikeuksien muutokset välittyvät sekä fyysiseen että tietojärjestelmiin pääsyyn ja käyttöön. - Yhteistyökumppanien/muiden ulkopuolisten oikeutetusta henkilöstöstä on olemassa oma rekisterinsä. - Vieraat eivät koskaan jää valvomatta toimitiloihin ilman isäntää tai hänen edustajaansa. - Suojattavien sähköisten aineistojen (Valtioneuvoston asetus tietoturvallisuudesta valtionhallinnossa 681/2010 mukaiset tiedot) hävittäminen tapahtuu luotettavasti (ylikirjoitus tai tallenteen fyysinen tuhoaminen). - Ei-sähköisten suojattavien aineistojen (Valtioneuvoston asetus tietoturvallisuudesta valtionhallinnossa 681/2010 mukaiset tiedot) tuhoaminen on järjestetty luotettavasti. - Käyttäjät tunnistetaan ja todennetaan ennen pääsyn sallimista organisaation tietoverkkoon ja -järjestelmiin: 1) Käytössä yksilölliset henkilökohtaiset käyttäjätunnisteet. 2) Kaikki käyttäjät tunnistetaan ja todennetaan. 3) Pääsyä käyttöjärjestelmään valvotaan turvallisen sisäänkirjausmenettelyn avulla. 4) Todennus tehdään vähintään salasanaa käyttäen. Mikäli käytetään salasanatodennusta, a) käyttäjiä on ohjeistettu hyvästä turvallisuuskäytännöstä salasanan valinnassa ja käytössä, b) käyttöä valvovan ohjelmiston tulee asettaa salasanalle turvallisuuden vähimmäisvaatimukset ja pakottaa salasanan vaihdon sopivin määräajoin. 5) Tunnistuksen epäonnistuminen liian monta kertaa peräkkäin aiheuttaa tunnuksen lukittumisen. 6) Järjestelmien ja sovellusten ylläpitotunnukset ovat henkilökohtaisia. Mikäli tämä ei kaikissa järjestelmissä/sovelluksissa ole teknisesti mahdollista, vaaditaan sovitut ja dokumentoidut salasanojen hallintakäytännöt yhteiskäyttöisille tunnuksille.

4 Julkaisujärjestelmä Liite 7 4/6 - Käytössä on selkeät periaatteet ja toimintatavat siitä, ketkä saavat asentaa ohjelmistoja, tietoliikenneyhteyksiä ja oheislaitteita. Periaatteiden noudattamista valvotaan ja varmistetaan teknisin keinoin (esimerkiksi rajoittamalla asennus- ja asetusten muokkausoikeus vain ylläpitäjille). - Organisaatiossa on olemassa uusien järjestelmien, järjestelmäpäivitysten ja vastaavien hyväksymiskriteerit. Vain hyväksymisprosessin läpäisseitä verkkoja ja järjestelmiä käytetään. - Suojattavan tiedon (Valtioneuvoston asetus tietoturvallisuudesta valtionhallinnossa 681/2010 mukaiset tiedot) käsittelyyn käytetään vain Senaatti-kiinteistöjen hyväksymiä verkkoja ja järjestelmiä. - Papereita ja siirrettäviä tallennusvälineitä koskeva puhtaan pöydän politiikka sekä tietojenkäsittelypalveluja koskeva puhtaan näytön politiikka on käytössä. Huolehditaan siitä, ettei neuvottelutiloihin jää suojattavaa tietoa sisältäviä asiakirjoja tai muita muistiinpanoja kokousten jälkeen. SENAATILLE TOTEUTETTAVAN TIETOJÄRJESTELMÄN JA -LAITTEIDEN VAATIMUKSET Tekniset tietoturvallisuusvaatimukset mikäli järjestelmä toteutetaan Senaatin verkkoon (perustaso): - Järjestelmästä tai palvelusta tuotetaan kattava dokumentaatio jossa kuvataan sen käyttämä fyysiset ja virtuaaliset laitteet, tietojärjestelmät, virtuaalipalvelimet, ohjelmistot, lisenssit ja palvelut ja tietoturvakäytännöt. - Järjestelmän lähdekoodin omistus- ja hallinnointioikeudet on määriteltävä. - Uudet sovellukset ja sovellusmuutokset testataan ja viedään tuotantoon aina suunnitelmallisesti testiympäristön kautta. - Hankinnan kohteena olevalle palvelulle tai järjestelmälle tulee voida tehdä tilaajan käytännön mukainen kolmannen osapuolen tekemä tietoturva-auditointi (tekninen sekä hallinnollinen). - Tuotanto-, kehitys- ja testiympäristöt erotetaan toisistaan. Tuotantojärjestelmiin ei asenneta sovelluskehitystyökaluja. - Verkkopalvelu ja -laitteet on erotettu muista näitä vaatimuksia matalamman tietoturvallisuustason ympäristöistä. o Verkkopalveluun ja -laitteiden kytkeminen muiden suojaustasojen ympäristöihin edellyttää vähintään palomuuriratkaisun käyttöä. - Järjestelmän ylläpitotoiminnot eristetään loppukäyttäjän toiminnallisuuksista.

5 Julkaisujärjestelmä Liite 7 5/6 - Palveluun ja sen laitteiden ohjelmistoihin on asennettu tarpeelliset turvapäivitykset. - Palvelun tulee olla suojattu voimassa olevilta OWASP top 10 ( mukaisilta järjestelmähaavoittuvuuksilta. - Järjestelmä tulee olla suojattu ajantasaisella haittaohjelmatorjunnalla. - Toteutettavan palvelun osalta on arvioitava uhat ja toteutettava tarpeelliset torjunta- ja ehkäisykeinot palvelunestohyökkäysten (DoS, DDoS) osalta. - Järjestelmän hallinta ei ole mahdollista ilman käyttäjän tunnistamista ja todentamista. - Hallintayhteyksissä tulee käyttää istuntojen aikakatkaisua. - Järjestelmän etäyhteyskäytännöt dokumentoidaan. Etäyhteyksiä, joissa laitteen toimintatapa ei ole täydellisesti tiedossa ja tietoliikenne Senaatin valvonnassa, ei sallita. - Kovennukset pohjautuvat johonkin luotettavaksi arvioituun kovennusohjeeseen tai suositukseen. - Alusta sisältää vain järjestelmän tarvitsemia ohjelmistokomponentteja. Alustan komponenttien, prosessien (esim. palvelinprosessit), hakemistojen ja lisäohjelmien käyttöoikeudet on asetettu tarkoituksenmukaisiksi vähimpien oikeuksien periaatteen mukaisesti. Vain tarpeellisia verkkopalveluita on päällä. - Järjestelmiin asennuksen yhteydessä automaattisesti luoduille tileille (esim. "administrator" ja "guest") on oikeudet rajattu minimiin tai poistettu käytöstä. - Järjestelmä ei saa vaatia tietoturvallisuutta vaarantavien komponenttien asentamista Senaatin tekniseen työasemaympäristöön (esim. selainlisukkeet, vanhat versiot dllkirjastoista tai vastaavat). - Järjestelmän tiedot tulee varmuuskopioida. Varmuuskopiointi tulee suunnitella ja testata yhdessä Asiakkaan kanssa sovitulla tavalla. Erityisesti sisällönhallinta- ja julkaisujärjestelmään ja järjestelmän ylläpitoon kohdistuvat vaatimukset: - Senaatti-kiinteistöjen sisäverkossa oleviin tietojärjestelmiin ja muihin palveluihin käyttäjät tulee tunnistaa käyttäjätunnuksella ja henkilökohtaisella salasanalla. Käyttöoikeudet tulee asettaa vähimpien oikeuksien periaatteen mukaisesti. - Tietojärjestelmien pääsynhallinta tulee lähtökohtaisesti toteuttaa Senaatti-kiinteistöjen keskitetyn pääsynhallintajärjestelmän kautta. - Palvelun tuottamisessa käytettävissä tietojärjestelmissä pitää pystyä vaikuttamaan salasanan laatuvaatimuksiin (esimerkiksi pituus, eri merkkisarjojen käyttö eli kompleksisuus, vaihtoväli).

6 Julkaisujärjestelmä Liite 7 6/6 - Hankinnan kohteena oleva tai siihen liittyvä tietojärjestelmä kirjoittaa lokiin sekä onnistuneet että epäonnistuneet sisäänkirjautumiset niin, että yksittäisen käyttäjän kirjautumiset järjestelmään voidaan selvittää ja yhdistää hänen henkilöllisyyteensä luotettavasti. - Lokitiedot tulee voida yhdistää osaksi keskitettyä lokinhallintaa. - Hankinnan kohteena olevan tietojärjestelmäpalvelun käyttövaltuudet ovat henkilö- tai roolikohtaisia. - Istunnonhallinnassa käytetään tunnettua ja luotettavana pidettyä tekniikkaa tai istunnon kaappaus ja kloonaus on muuten tehty vaikeaksi. Erityisesti on huolehdittava seuraavista vaatimuksista. - 1) suljettujen istuntoja ei ole mahdollista uudelleenaktivoida, - 2) istunnonavaimet on eriytetty niiden lähettämisessä käytetyistä avaimista, - 3) istunnot sulkeutuvat automaattisesti yhteyden ollessa määritetyn ajan passiivinen, - 4) istuntojen pituus on rajattu määritettyyn maksimiaikaan. - Yksittäisen käyttäjän käyttövaltuudet tulee voida selvittää. - Hankinnan kohteena olevan tietojärjestelmäpalvelun tunnusten ja valtuuksien myöntö, muuttaminen ja poisto organisoidaan Senaatin kanssa yhdessä sovittavalla tavalla. - Palvelunkäyttäjien salasanat on suojattu salauksella, eikä autentikaatiodataa ei säilytetä tietojärjestelmissä selväkielisinä. - Järjestelmän hallinta ei ole mahdollista ilman käyttäjän tunnistamista ja todentamista. - Hallintayhteyksissä tulee käyttää istuntojen aikakatkaisua. - Järjestelmän etäyhteyskäytännöt dokumentoidaan. Etäyhteyksiä, joissa laitteen toimintatapa ei ole täydellisesti tiedossa ja tietoliikenne Senaatin valvonnassa, ei sallita.