Kankaan alueen kyberturvallisuusstrategia

Transkriptio

1 Kankaan alueen kyberturvallisuusstrategia

2 Kankaan alueen kyberturvallisuusstrategian tuottaminen Strategian määrittely on tehty kesän 2015 aikana Pohjana Viisas Kangas kehityshankkeen aineistot Sisältö on kerätty työpajoissa, haastatteluissa ja esiversioiden kommentteina Dokumentin ovat kirjoittaneet Relator Oy:n konsultit Riku Nykänen ja Olli Pitkänen Strategiatyössä on ollut edustajia seuraavista organisaatioista: Jyväskylän kaupunki, Jyväskylän yliopisto, Jyväskylän Ammattikorkeakoulu, Viestintävirasto, JYKES, Tekes, Jyväskylän Energia

3 Kankaan alueen visio Visiona Viisas Kangas - Kankaalla asumisen ja elämisen arki on hyvää, sujuvaa ja turvallista viihtyisässä ympäristössä. Kangas on resurssiviisas ja työpaikkaympäristönä vetovoimainen. Turvallisuusratkaisut ovat tasapainossa teknologisen kehityksen ja vuorovaikutuksen lisääntymisen myötä syntyvien turvallisuusuhkien kanssa.

4 Kyberturvallisuusstrategiat ja lainsäädäntö

5 Strategian kulmakivet Avoin Älykäs Kokeileva

6 Hallintamalli Muuttuvat haasteet vaativat turvallisuusjohtamista Hallintamallissa tulee määrittää Ketkä päättävät ja vastaavat? Ketkä osallistuvat? Miten toimitaan? Miten resursoidaan? Kuinka varaudutaan? Kaupunki vastuussa hallintamallin muodostamisesta

7 Riskeihin perustuvat toimintasuunnitelmat Aihealueittain on arvioitava alueelle kohdistuvat kyberturvallisuusriskit Riskiarviot on tehtävä alueellista kokonaisuutta arvioiden Kaikki alueen toimijat tulisi sitouttaa osallistumaan arviointiin ja vastatoimenpiteiden toteuttamiseen Riskien arviointi vaatii sekä kohteen toimialan että kyberturvallisuuden asiantuntijoiden yhteistyötä Riskiarviointi on toistettava säännöllisesti

8 Sopimuksellinen velvoittaminen Kyberturvallisuutta ei juurikaan huomioida nykyisin sopimuksissa Ongelmana osaamisen puute hankinnoissa Kyberturvallisuuden huomioiminen hankinnassa 1. Määritellään tavoiteltava turvallisuustaso 2. Määritellään vaatimukset turvallisuustason mukaan 3. Pisteytyksen laatiminen minimitason huomioiden 4. Vaatimusten kirjaaminen sopimuksiin 5. Toimituksen yhteydessä vaatimusten toteutumisen verifiointi 6. Turvallisuustason jatkuva arviointi ja raportointi

9 Strategiassa käsitellyt aihepiirit Infrastruktuuri Valokuitupohjainen alueverkko Alueen kriittisten palveluiden verkottaminen Kiinteistöautomaatio ja kaapelointi WLAN-verkot Mobiiliverkot Toimitila-arkkitehtuuri Fyysinen pääsynhallinta Alueportaali Infrastruktuurin huolto ja ylläpito Asuminen ja palvelut Asukkaisiin ja asumiseen vaikuttavat linjaukset Palveluliiketoiminta Turvallisuuden hallinta Hallintamalli Sopimustenhallinta Yksityisyyden suoja Tunnistaminen ja pääsyoikeuksien hallinta Valtuutusten ja suostumusten hallinta Todennetut ratkaisut Tietoturvapäivitykset Tutkimus- ja kehittämistoiminta Living Lab toiminta ja tutkimus- ja kehitysympäristö Avoin tieto

10 Tietoverkot Alueellinen verkko on rakennettava vikasietoiseksi; yksittäisen laitteen tai kaapelin rikkoutumisen kestäväksi Kriittisten kytkentäpisteiden suojaus Kiinteistöissä tulevaisuuden tarpeisiin varauduttava kaapelireitein Kiinteistöautomaatiojärjestelmät on eristettävä erilliseen kiinteistöverkkoon Kiinteistöautomaatiojärjestelmiin keskitetty pääsynhallinta, ei suoraa pääsyä internetistä Mobiiliverkkojen kuuluvuuteen matalaenergiataloissa on kiinnitettävä erityistä huomioita

11 Sähköinen lukitus ja kulunvalvonta Merkittävä innovaatioiden mahdollistaja alueellisesti Ratkaisu säästää kustannuksia esimerkiksi vuokrakohteissa ja vanhuspalveluissa Lisää asumismukavuutta: yksi Kangas, monta tilaa, yksi avain Teknisten ratkaisujen edellytyksenä integroitavuus alueelliseen IAM-järjestelmään Haasteena pitkän rakennusajan aikana kehittyvä teknologia

12 Alueportaali Alueportaali on tiedonjakamisen ensisijainen alusta Integrointi alueen IAM-ratkaisuun mahdollistaa tehokkaan käyttövaltuushallinnan Toiminnallisten visioiden täyttyminen edellyttää IAM-integraatiota Tiedon ja palveluiden koostaja Sähköiset palvelut ja asiointi Tiedottaminen Joukkoistaminen Alueen kyberturvallisuuslupauksen kannalta portaalin tulee olla ehdottoman tietoturvallinen

13 Living Lab Kankaan alue tarjoaa mielenkiintoisen kohteen monipuoliseen tutkimukseen ja tuotekehitykseen nykyaikaisessa ympäristössä Living Labin keräämää tietoa tulee hallita keskitetysti, jolloin yksityisyydensuojasta ja turvallisuudesta on helpompi varmistua Sopimusmallien kautta datan käytöstä ja pilotoinnista tulee tehdä mahdollisimman helppoa

14 Living Labin haasteet

15 Asukkaan näkökulma Asukkaan oikeus yksityisyyteen ja verkkoneutraliteettiin Liikennettä voidaan esimerkiksi suodattaa vain poikkeustapauksissa tai sovittavana palveluna Asukas vastaa huoneistoonsa hankkimista laitteista ja niiden turvallisuudesta Asukkaan on pystyttävä luottamaan alueellisten palveluiden kyberturvallisuuteen Kyberturvallisuutta voidaan parantaa tietoisuutta lisäämällä Viestintä alueportaalin kautta Alueelliset koulutukset ja infotilaisuudet

16 Resursointi Kyberturvallisuuden toteutuminen edellyttää sekä rakennus- että käytönaikaista resursointia Asukkaat eivät ole valmiita maksamaan erikseen kyberturvallisesta kaupungin osasta Alueen kyberturvallisuuslupauksen lunastaminen vaatii kaupungin resursseja Kyberturvallisuus tulee huomioida osana operatiivisen toiminnan resursointia

17 Kankaan kyberturvallisuusstrategian toimeenpanosuunnitelma

18 Toimeenpanosuunnitelma Tavoite varmistaa kyberturvallisuus pitkällä aikavälillä muuttuvissa tilanteissa. Välttämätöntä analysoida tapauskohtaisesti uhat ennen toimenpiteiden suorittamista. Vaiheistettu suunnitelma Kannanotot

19 Toimeenpanon päävaiheet

20 Välittömät toimenpiteet

21 Lyhyen aikavälin toimenpiteet

22 Toimenpiteet ja ylläpito

23 Kannanotot Valokuituinfra Muu Kankaan infrastruktuuri Sähköinen kulunvalvonta ja lukitus Alueportaali Kiinteistödata Tehostetun vanhusasumisen huippuyksikkö Kiinteistödata kerääminen, kiinteistöjen etähallinta (sensorit, säätimet, IoT / Teollinen internet) Monitoimijaympäristöt Kaikkien edellä mainittujen osa-alueiden kyberturvallinen rakentaminen Muut kannanotot

24 Verkot Verkon saatavuus tulee olla korkealla tasolla, eivätkä yksittäisten laitteiden tai kaapeleiden rikkoutumiset saa aiheuttaa koko aluetta koskevia ongelmia. Kriittisiä toimintoja varten voidaan rakentaa rinnakkaisia fyysisiä verkkoja. Valokuitu verkkoon voidaan rakennusvaiheessa tehdä varauksia rinnakkaisille verkoille. Kriittisissä verkon liityntäpisteissä on minimivaatimuksia korkeampi suojaustaso.

25 Lukitus ja IAM Kankaan alueella tarvitaan keskitetty tunnistus- ja pääsynhallintapalvelu. Alueen innovatiivisten ratkaisujen mahdollistamiseksi sähköistä lukitusta tulisi edellyttää käytettäväksi kaikissa rakennuksissa. Sähköiset lukitus ja kulunvalvonta järjestelmät kehittyvät alueen rakentamisen aikana ja eri kohteiden järjestelmät eivät tule olemaan ominaisuuksiltaan yhtenäisiä. Sen vuoksi järjestelmiä valittaessa tulee edellyttää niiden integroitumista keskitettyyn hallintaan.

26 Kiinteistödata Jos kiinteistödata voidaan yhdistää henkilöön, se on henkilötietoa, jota koskevat henkilötietolain rajoitukset ja tietojen keräämisen tulee perustua henkilötietolain mukaisiin henkilötietojen käsittelyn yleisiin edellytyksiin. Tietoliikenneyhteydet kiinteistödataa kerääviin sensoreihin toteutetaan ensisijaisesti kiinteistökaapeloinnin kautta. Huoneistokohtaisen kiinteistödatan kerääminen tulee aina tapahtua suostumukseen perustuen ja yksityisyyden suojaa kunnioittaen.

27 Portaali Portaalin teknisen toteutuksen tulee mahdollistaa turvallisuusvaatimuksiltaan eritasoisten tietoaineistojen kyberturvallinen tallennus, käsittely ja esittäminen. Tämä edellyttää, että portaaliratkaisu rakennetaan korkeimman turvatason aineistojen vaatimusten mukaisesti, vaikka kaikkien aineistojen kohdalla kaikkia turvallisuusominaisuuksia ei käytetäkään.

28 Turvallisuuden hallinta Teknologian ja turvallisuusuhkien jatkuva muuttuminen sekä monitoimijaympäristö edellyttävät aktiivista hallintamallia. Sopimuksen ehdoksi turvallinen palvelu. Sopimusten turvallisuusvaatimukset eivät ole luottamuksellisia. Tietojen keruun ja jatkohyödyntämisen tulee perustua henkilön antamaan suostumukseen. Turvallisuuden testaamista tulee vaatia ja se pitää pystyä osoittamaan. Tietoturvapäivitysten tekemättä jättäminen on merkittävä uhka.

29 Kiitos!