Yritysturvallisuuden perusteet

Transkriptio

1 Yritysturvallisuuden perusteet Teemupekka Virtanen Helsinki University of Technology Telecommunication Software and Multimedia Laboratory 2.Luento Turvallisuusjohtaminen ja turvallisuuden organisointi yrityksessä Turvallisuus yrityksen liiketoiminnan osana Turvallisuustoiminnan sisältö, tavoitteet ja organisointi Tiedottaminen 1

2 Turvallisuus keinona profiloitua Monet asiakkaat ovat valmiita ostamaan turvallista tuotetta ja myös maksamaan siitä Monet asiakkaat halauavat siirtää osan riskistä alihankkijalle ja edellyttävät tiettyä turvatasoa tai toimintavarmuutta Turvallisille tuotteille ja palveluille on olemassa omat markkinansa, jossa hinta ei välttämättä ole tärkein valintaperuste Turvallisuus ja tehokkuus Turvallisuuden tehtävänä on estää häiriöitä varsinaisessa toiminnassa Tehokas toiminta edellyttää häiriöttömyyttä Jos kaikki aika kuluu sotkujen siivoamisessa ei aikaa riitä varsinaiselle työlle 2

3 Turvallisuusjohtamisen malleja TT-Yritysturvallisuustoimisto Teollisuuden keskusliiton yritysturvallisuustoimisto on useita vuosia toiminut turvallisuustoiminnan edistäjänä teollisuudessa Valmistaa materiaalia ja järjestää koulutusta turvallisuuteen liittyen Perustuu Markku Pesosen väitöskirjaan yrityksen turvallisuusjärjestelyistä (1993) 3

4 Administrative Security Physical Secu rity Per sonel Security Transportatio n Security Fire Preventi on Emergency Su pply Information S ecuri ty Risk Management Envi ronmental Protection Safety VAHTI Valtionhallinnon tietoturvallisuuden johtoryhmä on valtiovarainministeriön johdolla toimiva ryhmä, jossa on edustaja keskeisistä ministeriöistä ja laitoksista Ensimmäinen periaatepäätös tietoturvallisuudesta 1992 Useita ohjeita tietoturvallisuuteen liittyen 4

5 Confidentiality Integrity Availability ISO7799 Alkujaan British Standard, nykyään kansainvälinen standardi Esittelee joukon kontrolleja, jotka on tuotava normaalien työprosessien osaksi Etuna standardinomaisuus Yhdenmukainen tapa Helppo tarkastaa 5

6 Oma malli Kehitys aloitettiin osana puolustusvoimien turvallisuustoiminnan suunnittelua Pyrkii helpottamaan turvallisuustoiminnan organisointia Toi minnan turvallisuus Toimitilaturvallisuus Henkilöturvallisuus Tieto Henkil ö Materia Maine Tietotekninen tur vallisuus 6

7 Suojattavat kohteet Erilaiset asiat, jotka ovat arvokkaita organisaatiolle Arvo voi perustua Rahallinen arvo Toiminnallinen arvo Mielikuva-arvo Omaisuus Arvo-omaisuus Rahallinen arvo Raha, arvopaperit, taide Kiinteistöt Toiminnallinen arvo (toimitilat) Rahallinen arvo (sijoitukset) Koneet ja laitteet Toiminnallinen arvo Varasto Toiminnallinen arvo 7

8 Tieto Välttämätöntä toiminnalle Raaka-aine Toimintatapa Rahallinen arvo Tiedon saamiseksi tehty työ Myytävä tieto Tiedon arvo määräytyy myös sen mukaan kuinka harva sen tuntee Henkilöt Ihmisissä yhdistyvät omaisuus ja tieto Käsipareja Tietovarastoja 8

9 Maine Yrityksen toiminnan kannalta usein yhtä tärkeää kuin omaisuus ja tieto Vaikuttaa ihmisten ostopäätöksiin Vaikuttaa osakkeiden arvoon Pakolliset suojausmenetelmät Menetelmät, joiden täytyy olla olemassa kaikissa yrityksissä Perusta kaikille muille toimenpiteille 9

10 Turvallisuusjohtaminen Turvallisuuden yhdistäminen liiketoimintaan Liiketoiminnan suojaaminen Turvallisuustason valinta Riskianalyysi Turvallisuustoiminnan organisointi Luokittelu Etsitään toiminnan kannalta olennaiset asiat Todetaan, millä tavalla ne ovat arvokkaita Luottamuksellisuus eheys käytettävyys Päätetään, kuinka arvokkaita ne ovat jollakin asteikolla 10

11 Valinnaiset menetelmät Valinnaisilla menetelmillä rakennetaan varsinainen suojaus Menetelmistä valitaan tilanteeseen ja kohteeseen parhaiten sopivat On tärkeää pitää suojaus yhtä vahvana kaikkialla, vaikka menetelmät vaihtuisivatkin välillä Fyysinen turvallisuus Myös toimitilaturvallisuus tai tilaturvallisuus Luodaan erilaisia alueita, joille pääsyä rajoitetaan ulkopuolisilta Voidaan jakaa estämiseen, havaitsemiseen ja torjumiseen 11

12 Tietotekninen turvallisuus Luodaan erilaisia alueita, joille pääsyä rajoitetaan ulkopuolisilta Voidaan jakaa estämiseen, havaitsemiseen ja torjumiseen Henkilöturvallisuus Määrittelee, kuka on ulkopuolinen Varmistaa, että henkilökunnasta ei ole uhkaa Turvallinen työhönotto Turvallisuus osana kehitystä Turvallinen ulospotkiminen Varmistaa henkilökunnan pätevyyden ja osaamisen 12

13 Toiminnan turvallisuus Toiminnan laatu Varsinainen työ on suunniteltu niin, että se tehdään turvallisesti Resursseja on riittävästi Henkilöitä Aikaa Kunnolliset prosessit, joita pystytään valvomaan Turvallisuuden organisointi perinteisesti Yrityksissä on määräysten mukaan oltava joukko vastaavia henkilöitä Suojelujohtaja, valmiuspäällikkö, työsuojelupäällikkö,... Turvallisuustietoisessa yrityksessä on myös turvallisuuspäällikkö Turvallisuuspäällikkö tekee ohjeet turvallisuusasioissa (=ovien lukitseminen) ja valvoo niiden noudattamista 13

14 Tulos- ja turvallisuusjohtaminen Turvallisuus on osa normaalia johtamista Ylempi taso antaa tiettyjä turvallisuuteen liittyviä reunaehtoja ja alempi taso toimii niiden puitteissa Alempi taso voi itse päättää toimintansa edellyttävän joissakin asioissa korkeampia vaatimuksia kuin ylhäältä edellytetään 90 Get requirement from the upper level The mail service has to work Assign the requirements for the subprocesses 90 The Internetconnection has to work 90 The Intranetconnection has to work 45 Mail server A has to work 45 Mail server B has to work 90 The workstation has to work Send the requirements to the lower level 14

15 Oman mallin organisointi Turvallisuusjohtaminen on osa johdon työtä Johto asettaa vaatimukset vastaamaan likketoimintastrategiaa Henkilöturvallisuus on turvallista henkilöstöhallintoa Palkkaus, tuloskeskustelut ym. ovat normaaleja henkilöstöhallinnon prosesseja Fyysinen turvallisuus liittyy kiinteistöhallintoon Tietotekninen turvallisuus liittyy tietohallintoon Toiminnan turvallisuus on jokaisen esimiehen vastuulla Ulostaminen Jos vaadittavat turvallisuustasot ja reunaehdot on määritelty kunnolla organisaation sisällä, on myös toimintojen ulkoistaminen helppoa Turvallisuusteen liittyvät vaatimukset on kirjattava sopimuksiin Turvallisuudesta maksettava hinta on osa palvelun hintaa 15

16 Turvallisuustiedottaminen Kun jotain tapahtuu, tiedottaminen on osa tapahtuman käsittelyä Suunniteltaessa etukäteen toimenpiteitä on suunniteltava myös tiedotus Kuka tiedottaa Kuinka paljon kerrotaan Mitä pyydetään Tiedottamisen onnistuminen vaikuttaa Maineeseen Toiminnan jatkumiseen Tiedottamisen tavoitteet Osapuolet tietävät mitä on tapahtunut Osapuolet osaavat toimia oikein uudessa tilanteessa Luottamus säilyy 16

17 Tiedottamisen ongelmat Ei ole päätetty, kuka tiedottaa Useita ristiriitaisia viestejä Ketä uskotaan? Tiedottaja ei tiedä riittävästi Viesti on väärä tai epäuskottava Kerrotaan vääriä asioita Paljastuu huijaukseksi Selittelyä Yhteenveto Turvallisuuden avulla voidaan tehostaa tuotantoa ja profiloitua markkinoilla halutulla tavalla Turvallisuuden organisointiin on olemassa erilaisia tapoja ja malleja Tiedottaminen on suunniteltava osana turvallisuutta 17