VIESTINTÄVERKKOJEN JA VIESTINTÄPALVELUIDEN VARMISTAMINEN; OHJEITA KÄYTTÄJILLE. TIVA-seminaari

Transkriptio

1 VIESTINTÄVERKKOJEN JA VIESTINTÄPALVELUIDEN VARMISTAMINEN; OHJEITA KÄYTTÄJILLE TIVA-seminaari

2 PROJEKTIRYHMÄ Projektiryhmä kokoontui seitsemän kertaa Jäsenet: Tapani Rantanen, puheenjohtaja Erkki Heliö Alpo Mäkinen Kari Wirman Antti Järvinen Päivikki Lavonius, projektisihteeri Veli-Pekka Kuparinen, kokoussihteeri Juhani Lahti Eero Vesterinen Aki Kallio Kari wirman 2

3 Sisällysluettelo LUKIJALLE 1. VARAUTUMISEN PERUSTEITA 1.1. Käsitteitä ja määritelmiä 1.2. Tietojärjestelmiin kohdistuvat uhkat 1.3. Tietoturvallisuus 1.4. Energian saannin turvaaminen 1.5. Toimintojen ulkoistaminen ja palvelun tuottajan valinta 1.6. Tietoturvaloukkauksista, vioista ja häiriöistä ilmoittaminen 2. VARAUTUMINEN 3. TOIMINTA NORMAALIOLOJEN HÄIRIÖTILANTEISSA 4. VALMIUDEN TEHOSTAMINEN 5. TOIMINTA JA OHJAUS POIKKEUSOLOISSA 5.1. Sähköisen viestinnän ja tiedonkäsittelyn sääntely ja säännöstely 6. LAINSÄÄDÄNTÖ JA OHJEITA Liite 1 ULKOISTAMISEN KARTOITUS Liite 2 VIESTINTÄVERKKOJEN JA PALVELUIDEN VARMISTAMISLISTA Liite 3 VARAUTUMISEEN LIITTYVIÄ WWW- OSOITTEITA Kari wirman 3

4 Ohjeen tarkoitus Tämän ohjeen tarkoituksena on auttaa käyttäjää selvittämään mitkä ovat kriittisiä toimintoja mitä uhkia niihin kohdistuu kuinka näihin on varauduttu mitä toimenpiteitä ne aiheuttavat ja kuka vastaa niihin varautumisesta Kari wirman 4

5 1.2. Tietojärjestelmiin kohdistuvat uhkat Tietojärjestelmät on ymmärrettävä laajasti, käsittäen kaikki tiedon tallentamiseen, siirtämiseen, kokoamiseen ja muuhun käsittelyyn käytettävät järjestelmät. Tietojen ja tietojärjestelmäpalveluiden saatavuus on nykyään edellytys lähes kaikkien prosessien toiminnalle. Tietojärjestelmiin kohdistuu erityyppisiä uhkia tai niiden yhdistelmiä jo normaali-oloissa. Uhkien vaikutuksia kohdistuu tietojen eheyteen, jolloin ulkopuolinen voi valtuudettomasti muuttaa alkuperäisiä tietoja tai viestien tai tapahtumien osapuolia sekä niiden tapahtuma-aikoja koskevia tietoja tietojen luottamuksellisuuteen, jolloin ulkopuolinen saa luvatta haltuunsa salassa pidettävää tietoa tietojen saatavuuteen, jolloin oikea tiedon käyttäjä ei saa haltuunsa tarvitsemaansa tietoa tai tietopalvelua silloin, kun hän sitä tarvitsee tietojärjestelmän hallintaan, jolloin tunkeutuja estää tai hidastaa esimerkiksi palvelinten toimintaa tai järjestää tunkeutujille etuoikeuksia Kari wirman 5

6 2. VARAUTUMINEN Käyttäjäorganisaation toimintamahdollisuudet normaalioloissa, normaaliolojen häiriötilanteissa ja poikkeusoloissa riippuvat käytössä olevien tietojärjestelmien teknisistä rakenteista sekä niiden käyttöön ja ylläpitoon liittyvistä järjestelyistä. Pääsääntö on, että käyttäjät vastaavat itse toimintansa turvaamisesta ja varautumisesta. Käyttäjän tulee tietojärjestelmien toiminnan turvaamiseksi varmistaa omin toimenpitein vastuullaan olevien järjestelmien osien toiminta. Tämä tarkoittaa käytännössä vastaavien varmistusmenetelmien käyttöä kuin mitä teleyritykset soveltavat yleisten viestintäverkkojen varmistamisessa Kari wirman 6

7 2. VARAUTUMINEN Tietojärjestelmäalan palveluiden varmistaminen on usean eri toimijan tehtävä palveluiden käyttäjien vastuulla on huolehtia omassa hallinnassaan olevien verkkojen ja järjestelmien toiminnasta. käyttäjän tulee tietojärjestelmien toiminnan turvaamiseksi omin toimenpitein varmistaa vastuullaan olevien järjestelmien osien toiminta sekä sopimuksin varmistaa toisten osapuolten hallussa olevien järjestelmän osien toiminta palvelua tarjoavan osapuolen tulee toteuttaa sopimuksen edellyttämät toimenpiteet hallussaan olevien verkkojen ja järjestelmien osalta Kari wirman 7

8 Varautumissuunnitelma Varautumissuunnitelmassa tulee käsitellä muun muassa seuraavia asioita varautumissuunnittelun tavoitteet ja vastuu- sekä henkilöjärjestelyt arviot erilaisten häiriötilanteiden vaikutuksista yrityksen toimintaan yrityksen johtaminen normaaliolojen häiriötilanteissa ja poikkeusoloissa; organisaatio ja toimivaltuudet varatilojen varustaminen kaikissa oloissa ylläpidettävien toimintojen määrittely tilojen riskikartoitukset henkilöstön tavoitettavuus henkilöstön varaaminen varautumiskoulutus energian saannin varmistaminen materiaalinen varautuminen: tietotekniikan varaosat, tarvikkeet, poltto- ja voitelu-aineet, ajoneuvo- ja työkonevarausmenettelyt alihankinta- ja ostopalveluriippuvuudet ja niihin liittyvät sopimukset myös henkilöstön osalta viestintäverkkojen ja palveluiden varmistaminen turvallisuustoimenpiteet ja pelastaminen yhteistoiminnan järjestelyt: menettelyt, yhteyshenkilöt varautumisen ylläpito- ja tarkastamismenettelyt varautumistilanteen seuranta ja raportointi tiedottaminen Kari wirman 8

9 3. TOIMINTA NORMAALIOLOJEN HÄIRIÖTILANTEISSA Tietojärjestelmien toimittajien palveluiden saatavuus on varmistettava palvelutasosopimuksilla. Sopimuksissa pitää sopia vähintään seuraavat asiat häiriöiden poistamiseen ja vikojen korjaukseen liittyvät vasteajat ja kiirehtimismahdollisuudet varaosien ja korvaavien laitteiden saatavuus yhteydenpitokanavat ja -menettelyt häiriöiden korjaamiseen liittyvät järjestelyt paikanpäällä tai kaukokäyttöisesti etätyönä informaatio tapahtumien kulusta ja eritoten arviot häiriön kestosta Kari wirman 9

10 5. TOIMINTA JA OHJAUS POIKKEUSOLOISSA Poikkeusoloja ovat valmiuslaissa ja puolustustilalaissa säädetyt tilanteet, joiden hallitseminen ei ole mahdollista viranomaisten säännönmukaisin toimivaltuuksin ja resurssein. Yhteiskunnan elintärkeiden toimintojen turvaamiseksi pitää ottaa huomioon myös tällä hetkellä vähemmän todennäköiset poikkeusolot. Poikkeusolojen valmiuden tavoitteina ovat yrityksen oman toiminnan turvaaminen poikkeusolojen vaikutuksista huolimatta valtiovallan asettamien poikkeusolojen valmiusvaatimusten täyttäminen yrityksen toiminnan kannalta yrityksen toiminnan kannalta välttämättömän tietojenkäsittelyn ylläpito resurssien vähentyessä tietojenkäsittelyn korvaavien järjestelmien käyttöönotto tarvittaessa edellytysten luominen häiriötilanteista elpymiselle palaaminen normaaliin toimintaan Kari wirman 10

11 6. LAINSÄÄDÄNTÖ JA OHJEITA Sähköistä viestintää koskevia lakeja löytyy osoitteesta Viestintäviraston voimassa olevat tekniset määräykset, suositukset määräysten soveltamisesta ja standardiluettelot löytyvät osoitteesta: kohdasta Teletoiminta/Teletoimintamääräykset ( Viestintäviraston voimassa olevat suositukset löytyvät osoitteesta: kohdasta Teletoiminta/Standardointi/Kansalliset telealan suositukset ( Viestintäviraston CERT.FI varoitukset ja ohjeet löytyvät osoitteesta kohdasta Tietoturva/Tietoturvaloukkausten havainnointi ja ratkaisu (CERT-FI) (http// Viestintäviraston määräyksiä, ohjeita ja suosituksia päivitetään säännöllisesti. Määräyksen tunnuksessa oleva kirjain kertoo määräysversion. Esimerkiksi, kun määräys 27 C/2002 M päivitettiin vuonna 2004, uuden version tunnukseksi tuli 27 D/2004 M. Kunkin määräyksen ja suosituksen voimassa olevan version voi tarkistaa Viestintäviraston www-sivuilta. Valtiovarainministeriön antamat valtion tietohallinnon, tietojenkäsittelyn ja tietoturvallisuuden yleiset ohjeet löytyvät osoitteesta Esimerkiksi Valtion tietohallintotoimintojen ulkoistamisen tietoturvallisuussuositus, VAHTI 2/1999 Valtion viranomaisen tietoturvallisuustyön yleisohje, VAHTI 1/2001 Valtion tietotekniikkahankintojen tietoturvallisuuden tarkistuslista, VAHTI 6/2001 Toimet tietoturvaloukkaustilanteissa, VAHTI 7/2001 (uusittavana) Tietoteknisten laitetilojen turvallisuussuositus, VAHTI 1/2002 Käyttäjän tietoturvaohje, VAHTI 5/2003 Tietoturvallisuuden hallintajärjestelmän arviointisuositus, VAHTI 3/2003 Standardit BS fi ja BS fi sekä ISO 17799:2000 löytyvät osoitteesta Standardit ovat maksullisia. Elinkeinoelämän varautumisohjeita ja suosituksia löytyy Huoltovarmuuskeskuksen kotisivuilla ja Elinkeinoelämän keskusliiton (EK) kotisivuilta Liitteeseen 3 on koottu varautumiseen liittyviä www- osoitteita Kari wirman 11

12 Liite 1 ULKOISTAMISEN KARTOITUS Kysymys Kyllä Ei EOS Huomiot Onko yrityksenne liiketoimintaan liittyviä prosesseja tai niiden osia ulkoistettu? Onko ulkoistus tehty yhden vai useamman kumppanin kanssa? Ovatko kumppanit korvattavissa toisella palveluntarjoajalla? Ovatko ulkoistetuista palveluista vastuussa olevat henkilöt entisiä työntekijöitänne?? Oletteko varmistaneet palveluntarjoajilta riittävät henkilöresurssit erilaisissa häiriötilanteissa Oletteko varmistuneet palveluntarjoajan henkilökunnan luotettavuudesta turvallisuusselvitysmenettelyllä? Kari wirman 12

13 Liite 2 VIESTINTÄVERKKOJEN JA PALVELUIDEN VARMISTAMISLISTA Kysymys Kyllä Ei EOS Huomiot Onko yrityksellänne liiketoiminnan kannalta kriittisiä tietoliikenneyhteyksiä? Onko näille yhteyksille hankittu varayhteydet? Ovatko varayhteydet saman operaattorin toimittamia kuin varsinaiset yhteydet? Ovatko toteutettu varayhteydet fyysisesti eri reittiä kuin varsinainen yhteys? Onko tietoliikennepalveluista tehty turvallisuussopimus? Onko käyttöönne varattu nimettyjä resursseja häiriötilanteissa tai poikkeusoloissa Kari wirman 13