TIETOTURVAA TOTEUTTAMASSA

Transkriptio

1 TIETOTURVAA TOTEUTTAMASSA

2

3 Ari Andreasson Juha Koivisto TIETOTURVAA TOTEUTTAMASSA TIETOSANOMA

4 Tekijät ja Tietosanoma Oy ISBN KL 61.7 Tietosanoma Oy Bulevardi 19 C Helsinki info@tietosanoma.fi Kansi: Mikko Valtavaara Valokuvat: Ari Andreasson ja Juha Koivisto Taitto: Sisko Honkala Painopaikka: AS Pakett, Tallinna 2013

5 Vaimolleni Sarille sekä kaikille Suomen tietosuojavastaaville. Ari Andreasson Perheelleni sekä kaikille kaupunkien ja kuntien tietoturvasta vastaaville. Juha Koivisto

6

7 Sisällys Alkusanat 11 Esipuhe 13 Kirjoittajat 19 1 Keskeiset käsitteet ja toimijat 21 2 Tietoturvan johtaminen ja hallinta 32 Tietoturvapolitiikka 34 Riskien arviointi ja hallinta 38 Tietoturvallisuuden hallintajärjestelmä 41 Tietoturvaohjeet 44 Tietoturvaraportointi 47 3 Tilat, laitteet ja tietoliikenneyhteydet 52 Fyysinen turvallisuus 52 Laitetilat 56 Kulunvalvontajärjestelmät 61 Kameravalvonta 63 Vierailijat 63 Vartiointipalvelut 64 Tilojen äänieristys 64 Sähkömagneettiselta säteilyltä suojautuminen 64 Laitteistoturvallisuus 65 Omien laitteiden käyttö työssä 66 Laitteiden paikantaminen 68 Tietoliikenneturvallisuus 69 Verkon suunnittelu 70 Palomuuri 71 Häiriöihin varautuminen ja verkon valvonta 72 SISÄLLYS 7

8 Langattomat ja ulkoiset tietoliikenneyhteydet 73 Sisäverkon suojaaminen 75 Verkon suojaaminen 802.1X-tekniikalla 75 Tietoliikenteen hallinnan parantaminen 76 4 Ulkoistaminen tietoturvakysymyksenä 77 ICT-palvelujen ulkoistamisen riskienhallinta 77 Terveyspalvelujen ulkoistamisen toimeksiantosopimukset 87 Rekisterinpito ja tietosuojaliitteen sisältö 88 5 Häiriöihin ja uhkiin varautuminen 94 Häiriö- ja uhkatilanteet 94 Yhteiskunnan turvallisuusstrategia 97 Suositukset ja sopimukset 98 Suunnitelmat 99 Tietojärjestelmien käytettävyyden parantaminen Identiteettien ja käyttövaltuuksien hallinta 106 Lait ja organisaation säännöt käyttöoikeuksien hallinnan perustana 108 Toimintaprosessit ja -säännöt 110 Identiteetti- ja käyttövaltuushallinto (IAM) 116 Käyttöoikeushallinta ja tietosuoja 119 Käyttöoikeushallintajärjestelmät 120 Käytönvalvonta 122 Yleiset periaatteet ja rangaistussäännökset 123 Lokitiedot 127 Valvoja 128 Automaattinen rutiinivalvonta ja asiattoman käytön etsintä Organisaation sähköpostijärjestelmä 134 Tiedon luokittelu ja salaaminen 136 Tekninen tietoturva 137 Sähköpostien salaaminen julkishallinnossa 139 Sähköpostin käyttäminen asiakastietojen välittämisessä SISÄLLYS

9 Tunnistetiedot ja niiden käsittely 142 Työnantajan ja sähköpostijärjestelmän ylläpitäjien oikeudet 143 Roskapostit 145 Sähköinen kalenteri 147 Poissaoloilmoitukset 148 Mobiilikäyttö Sosiaalinen media 151 Käyttöpolitiikka 156 Riskit ja haitat 158 Kiusaaminen ja haitanteko 160 Tietoturvahaasteet 162 Haittaohjelmien leviäminen 165 Sosiaalinen krakkerointi 167 Huijausviestit ja tietojen kalastelu (phishing) 168 Pharming 169 Tietovuodot 171 Hyödyt 172 Riskienhallinta Verkossa tunnistamisen konseptit 176 Henkilötunnuksen käsittely 181 Vahvan tunnistamisen tarjoajat Sähköiset asiointipalvelut sosiaali- ja terveydenhuollossa 191 Tärkeimpiä ohjeistuksia ja projekteja 193 Tekniset toteutustavat ja tietoturva 195 SMS-viesti 196 Videopuhelut 198 Web-palvelut 199 Sähköinen tunnistaminen 200 Kuvavarmennus 201 Sähköisten palvelujen tietoturvauhat 202 Tietoturva-auditoinnit 204 Sähköisen asioinnin ja kehittämisprojektien riskit 207 Käytönvalvonta ja lokitiedot 211 SISÄLLYS 9

10 11 Masterdatan eli ydintietojen hallinta 213 Ydintietojen hallintamalli 217 Palvelukeskeinen arkkitehtuuri (SOA) 219 Kokonaisarkkitehtuuri 220 Ydintietojen hallinta osana kokonaisarkkitehtuuria 223 Muita ydintietojen hallintaan kuuluvia asioita Uudistunut lainsäädäntö 228 Potilastietojen käsittelyä koskevat säännökset 229 Tietohallintoa koskevat säännökset 230 Isäntäkuntamalli 234 Jälkisanat 236 Lähteet 243 Liitteet 249 Liite 1 Malli: Tietoturva- ja tietosuojahuoneentaulu 250 Liite 2 Malli: Tietoturvallisuuden tarkastuslista 252 Liite 3 Malli: Tietojen ja tietojärjestelmien käyttö- ja salassapito - sitoumusmalli 255 Liite 4 Malli: Asiakas- ja potilastietojen väärinkäytön seuraamustaulukko 257 Liite 5 Malli: Toimeksiantosopimuksen turvallisuusliite 258 Liite 6 Malli: Varautumissuunnitelma pandemian varalle 263 Liite 7 Voimassa olevat VAHTI-tietoturvaohjeet ja -määräykset 266 Liite 8 Toiminnan jatkuvuuden hallinta (SOPIVA-suositus) 269 Liite 9 Toiminnan jatkuvuuden hallinta (SOPIVA-suositus): sopimuslausekkeet 279 Liite 10 Laki julkisen hallinnon tietohallinnon ohjauksesta / Hakemisto SISÄLLYS