Kaakon SOTE-INTO hanke / Matkanhallintajärjestelmä. Tarjous 88/2010. Liite 7: Western Systems Oy:n tietoturvaohje

Transkriptio

1 Kaakon SOTE-INTO hanke / Matkanhallintajärjestelmä Tarjous 88/2010 Liite 7: Western Systems Oy:n tietoturvaohje

2 TARJOUS 88/ (10) Sisältö Kaakon SOTE-INTO hanke / Matkanhallintajärjestelmä... 1 Tarjous 88/ Western Systems Oy:n tietoturvaohje Yleistä Tieturvan määritelmä Western Systems Oy:n tietoturva Tietoturvan osa-alueet Tietoturvalainsäädäntö Suomessa Tietoturva osana yritystä Henkilökohtainen tietoturva Suojaa tietokoneesi Turvaa itsesi verkossa Noudata pelisääntöjä Asiakkaan tietoon liittyvä tietoturva Luvanvaraisuus Turvallisuus Tuhoaminen Luottamuksellisuus ASP-Palveluun liittyvä tietoturva Kulunvalvonta Tietoturva Turvakopiointi Virus- ja tunkeutumissuojaus Loppusanat lukijalle... 10

3 TARJOUS 88/ (10) 1 Yleistä Western Systems Oy:n tietoturva ja laadunvarmistus ovat liiketoimintamme kulmakiviä. Liiketoimintaamme ohjaava laadunvarmistus on määritelty Laatukäsikirjassa, jota päivitetään kahdesti vuodessa laatutyöryhmän toimesta. Tämä dokumentti on Tietoturvaohje, jonka tarkoitus on ohjeistaa sekä henkilöstön että yrityksen toimintaa kohti aukotonta tieturvaa. Tietoturvan tärkeys on korostunut tietotekniikan kehityksen myötä aina vain korkeammalle ja korkeammalle jokaisen yrityksen toiminnassa. Erityisen tärkeää tietoturvasta huolehtiminen on yrityksille, joiden liiketoiminta koostuu asiakasyritysten tietojenkäsittelyyn liittyvistä palvelutehtävistä. 1.1 Tieturvan määritelmä Tietoturvan edellytysten muistisääntö on CIA, joka tulee englannin sanoista confidentiality, integrity ja availability. Suomeksi nämä ominaisuudet ovat luottamuksellisuus, eheys ja käytettävyys tai saatavuus. Muita tietoturvan ominaisuuksia ovat kiistämättömyys, todennus ja pääsynvalvonta. Luottamuksellisuus tarkoittaa sitä, että verkossa olevaan tai liikkuvaan tietoon pääsevät käsiksi vain ne, joille on etukäteen annettu siihen oikeus. Kukaan ei siis pääse käyttämään tietoa, jota ei ole hänelle tarkoitettu. Käyttäjien tunnistaminen edellyttää todennusta. Tiedon säilymiseen muilta suojattuna taas tarvitaan salausta, joka toteutetaan teknisin keinoin. Eheys tarkoittaa sitä, että tiedon käsittelymekanismit takaavat tiedon virheettömän käsittelyn. Tieto ei siis voi huomaamatta muuttua siirtämisen tai säilyttämisen aikana eikä kukaan voi ilman lupaa muuttaa tiedon tai tiedostojen sisältöä saati poistaa sitä. Tiedon eheyden varmistamiseen liittyy aina lähettäjän todennus. Eheys ja todennus yhdessä varmistavat, että lähetty tieto saavuttaa vastaanottajan juuri siinä muodossa, missä se lähetettiinkin. Käytettävyydellä tarkoitetaan sitä, että tieto on aina niiden käyttäjien saatavilla, jotka sitä tarvitsevat ja joille se on tarkoitettu. Käytettävyyden turvaamiseen kuuluvat mm. tietojärjestelmien toiminnan fyysinen ja tekninen varmistaminen sekä tiedostojen suojaus, asianmukainen tallennus ja varmuuskopiointi. Tiedon käytettävyys on vaikeimmin toteutettava tietoturvan muoto. Pääsynvalvonnalla tarkoitetaan, että käyttäjien pääsyä koneessa olevaan tietoon rajoitetaan ja valvotaan. Pääsynvalvonnalla tarkistetaan, onko osapuolella oikeus palvelun ja tiedon käyttöön, jolloin vain todennetut henkilöt pääsevät käyttämään tietoja. Pääsynvalvonnan tavoitteena on osaltaan turvata tiedon luottamuksellisuus ja eheys. Pääsynvalvonta varmistaa osaltaan myös tiedon käytettävyyttä, sillä se tekee järjestelmään hyökkäämisen vaikeammaksi. Osa pääsynvalvontaa on myös käytön seuranta. Järjestelmä kirjaa muistiin ns. lokitietoihin käyttäjien järjestelmässä tekemät toimet. Lokitietoihin on pääsy järjestelmän-

4 TARJOUS 88/ (10) valvojalla, joka voi tarvittaessa niiden avulla selvittää tahallisia ja tahattomia tietoturvarikkomuksia. Todennuksella varmistetaan, että osapuolet ovat niitä, joita sanovat olevansa. Esimerkiksi sähköisessä kaupankäynnissä ja viranomaispalveluissa, sekä henkilöiden välisessä viestinnässä on usein tärkeää tietää varmasti, kuka toinen osapuoli on. Tarvitaan osapuolen ja tietolähteen eli tiedon alkuperän todennusta. Sähköpostissa todennus tehdään usein vain lähettäjän osoitteen perusteella, esimerkiksi tutulta tullutta viestiä ja sen liitettä avatessa. Pelkän osoitteen perusteella todentaminen on kuitenkin erittäin turvatonta, sillä postin lähettäjän tiedot on hyvin helppo väärentää. Monet tietokoneesta toiseen leviävät matovirukset käyttävät tätä tapaa postin lukijoiden hämäämiseen. Kiistämättömyydellä tarkoitetaan, ettei tiedon lähettäjä voi kiistää lähettäneensä tietoa ja olleensa jossakin tapahtumassa osapuolena. Kiistämättömyys on tietolähteen todennuksen vahva muoto ja se toteutetaan sähköisellä allekirjoituksella. Kiistämättömyys on ehdoton edellytys monien palvelujen ja toimintojen, kuten sähköisen kaupankäynnin, toteuttamiselle tietoverkkojen kautta. 1.2 Western Systems Oy:n tietoturva Yrityksemme tietoturvaa ohjaa Titurvapolitiikka, jota toteutetaan Tietoturvastrategialla. Tietoturvastrategiassa on määritelty Toimintaohjeet, Politiikat ja Koulutus. Toimintaohjeet Toimintaohjeiden avulla varaudutaan Poikkeustilanteisiin, esimerkkeinä koneiden tyhjennys, ohjelmien asennus, tilien avaaminen ja sulkeminen ja varmuuskopiointi. Politiikat Tieturvapolitiikkamme määrittelevät sähköpostin käytön, tilaturvallisuuden, virustorjunnan, internetin käytön ja kulunvalvonnan. Koulutus Jatkuvalla koulutuksella varmistamme, että henkilöstö on aina ajan tasalla uusimpien uhkien suhteen ja, että osaamme yrityksenä huolehtia parhailla mahdollisilla välineillä sekä omasta että asiakkaidemme tietoturvasta. 1.3 Tietoturvan osa-alueet Ohjelmistoturvallisuus Western Systems Oy:ssä ohjelmistoturvallisuudella pyritään suunnittelemaan tietojärjestelmät ja ohjelmistotuotteet siten, että ne vahvistavat tietoturvaa. Tietoturva-asiat on siis otettu huomioon jo heti laitteita ja ohjelmia suunniteltaessa. Ohjelmistojen ja eri ohjelmistoversioiden keskinäinen yhteensopivuus on otettu huomioon. Ohjelmistoturvallisuuteen kuuluvat myös varsinaiset tietoturvaohjelmat sekä

5 TARJOUS 88/ (10) niiden laadun ja toiminnan varmistaminen. Western Systems Oy käyttää vain testattuja ja testeissä hyviksi ja luotettaviksi todettuja apu- ja työkaluohjelmistoja. Tietoliikenneturvallisuus Tietoliikenneturvallisuudella varmistetaan tietojen säilyminen luottamuksellisina ja muuttumattomina niiden siirtyessä järjestelmästä toiseen joko yrityksen sisäisessä tai ulkopuolisessa tietoliikenteessä. Käyttäjän kannalta olennaisia seikkoja ovat sähköpostin ja Internetin turvallinen käyttö, tietoliikenteen salaaminen ja turvalliset etäyhteydet. Näiden osa-alueiden tietoturvaa on käsitelty tarkemmin omissa luvuissaan. Käytännön ratkaisuja tietoliikenneturvallisuuden varmistamiseksi ovat erilaiset tietoturvaohjelmistot ja -laitteet, palomuuriratkaisut sekä salausmenetelmät ja henkilöllisyyden todentaminen esimerkiksi digitaalisella allekirjoituksella. Etäyhteyden suojaamisessa merkittävää on mm. pääsynvalvonnan järjestäminen ja tietoliikenteen suojaaminen tietoa siirrettäessä. Tietoliikenteen turvallisuuteen kuuluu laitteiden ja käyttäjien tunnistaminen. Keskenään yhteydessä olevilla tietokoneilla on omat tunnuksensa. Palveluille voidaan myöntää myös sertifikaatti eli varmenne. Sertifikaatti on sähköinen aitoustodistus, joka takaa, että kohteen ilmoittamat tiedot pitävät paikkansa. Jos sertifikaatin myöntäjä on luotettava, voidaan varmuudella luottaa myös sertifikaatin sisältämiin tietoihin. Varmenteen myöntäjän luotettavuutta on jokaisen arvioitava itse. Tunnetun myöntäjätahon voi hyvällä syyllä olettaa olevan luotettava. Sertifikaateista pidetään myös rekistereitä. Suomessa Väestörekisterikeskuksen myöntämien varmenteiden rekisteri on osoitteessa Western Systems Oy:n tuottamat verkkopalvelut ovat sertifioituja ja palvelutuotannossamme hyväksymme vain sertifioituja alihankkijoita ja heidän tuotteitaan. Käyttäjien pääsyä tietojärjestelmiin valvotaan salasanojen ja käyttäjätunnuksien avulla. Käyttäjätunnusten avulla määritellään, mihin tietoihin kenelläkin on oikeus päästä käsiksi. Salasanat eivät kuitenkaan ole teknisestikään aukoton järjestelmä, sillä ulkopuoliset voivat päätellä niitä tai saada niitä tiedonsiirron aikana haltuunsa. Jotta salasanat eivät pääsisi vuotamaan ulkopuolisten käsiin, niiden muoto on hyvä määritellä tarpeeksi monimutkaiseksi ja salasana on hyvä vaihtaa usein. Western Systems Oy:n sovelluksien käyttöä palveluihin pääsyä ohjataan käyttäjähallinnolla, joka huolehtii siitä, että käyttäjätunnukset ja salasanat ovat murtovarmoja ja, että käyttäjätunnuksien omaajilla on oikeat oikeudet sallittuihin palveluihin. Sellaisissa lähiverkoissa, jotka ovat yhteydessä Internetiin, on syytä varmistaa, ettei ulkopuolelta pääse suoraan käsiksi verkon sisältöön. Luvattomat yhteydenotot Internetin ja lähiverkon välillä estää palomuuri. Se voi olla joko laite tai ohjelma. Kotikoneisiin riittää usein ohjelmallinen palomuuri. Western Systems Oy:n ASP-keskus ja yrityksen oma sisäverkko ovat suojatut erittäin korkeatasoisilla ja luotettavilla palomuureilla, jotka lisäksi ovat kahdennettuja.

6 TARJOUS 88/ (10) Erittäin salaiset tiedot voi olla hyvä pitää jopa tietokoneessa, joka ei ole lainkaan yhteydessä Internetiin tai edes toisiin tietokoneisiin lähiverkossa. Näin voidaan olla varmoja siitä, ettei koneeseen päästä verkon kautta murtautumaan. Turvallisen tietoliikenteen edellytys on tiedon salaaminen. Salata voidaan yhtä hyvin tietokoneella säilytettävä kuin siirrettäväkin tieto, samoin Internetin tai lähiverkon kautta välitetyt viestit, kuten sähköposti. Salausmenetelmiä on erilaisia ja eritasoisia, ja menetelmien valinta riippuu siitä, kuinka vahvaksi salaus halutaan. Western Systems Oy:n tuottamat ohjelmistot hyödyntävät tietokantaratkaisuja, joiden perusominaisuuksiin kuuluu tiedon salaaminen. Näin ollen sovelluksien ja tietokantojen välinen tietoliikenne on automaattisesti salattua. Lisäksi etäkäyttöyhteyksissä käytetään suojattuja point-to-point yhteyksiä, joten asiakkaidemme tietoliikenne on erittäin hyvin turvattua. Laitteistoturvallisuus Laitteistoturvallisuuden tavoitteena on vähentää laitteiden toimintahäiriöistä aiheutuvia tietoturvauhkia ja vahinkoja. Laitteistoturvallisuudesta huolehtimiseen kuuluu mm. laitteiden asianmukainen käsittely ja turvallinen säilytys. Western Systems Oy:n henkilöstö huolehtii omista henkilökohtaisista tietokoneistaan erillisen käsittelyohjeistuksen mukaisesti. Ohjeistus kuvaa laitteiden turvallista käyttöä, kuljetusta ja valvontaa varmistavat toimet. Erityisen tarkasti on määritelty turvakopiointi ja kehitysversioiden arkistointimenetelmät. ASP-keskuksemme laitteisto on erityisvalvonnan piirissä. ASP-keskukseen ei ole pääsyä asiaankuulumattomilla tahoilla ja keskuksesta huolehtiva henkilöstökin pääsee tiloihin vain todellisessa tarpeessa. Käyttöturvallisuus Käyttöturvallisuudella luodaan tietoturvallisuuden säilymisen vaatimat toimintaolosuhteet yrityksen päivittäisessä toiminnassa. Käyttöturvallisuudella huolehditaan tietojärjestelmien luotettavasta toiminnasta. Siihen kuuluu tietojärjestelmien turvallisen käytön ohjeistus erityisesti tietoturvaohjelmien sekä käyttäjätunnusten ja salasanojen osalta. Työntekijät on sen lisäksi ohjeistettava yleisesti, esimerkiksi sähköpostin ja Internet-selaimen turvalliseen käyttöön. Western Systems Oy:n työntekijöillä on vain työtehtävien kannalta välttämättömät käyttöoikeudet järjestelmiin. He tietävät, että käyttöoikeuksien perustana ovat työtehtävät ja oikeudet muuttuvat tehtävien mukaan. Kaikki eivät tarvitse järjestelmänvalvojan oikeuksia. Käyttöturvallisuuteen sisältyy myös laitteiden käyttövarmuus. Laitteiden ja ohjelmien palautuksesta on laadittu etukäteen suunnitelmat, jotta palautus voidaan suorittaa mahdollisimman nopeasti. Käyttövarmuutta lisää myös tasaisen sähkönsaannin varmistaminen teknisillä ratkaisuilla.

7 TARJOUS 88/ (10) Tietoaineistoturvallisuus Tietoaineistoturvallisuudella tarkoitetaan tietojen ja niitä sisältävien järjestelmien tunnistusta, luokittelua ja valvontaa tiedonkäsittelyn eri vaiheissa. Tietoaineistoja ovat esimerkiksi asiakirjat, tiedostot, sähköpostit sekä ääni- ja kuvatallenteet. Western Systems Oy:ssä ja sen tuottamissa palveluissa tietoaineistoturvallisuus tulee taata tiedon luomisesta sen tuhoamiseen asti kaikessa tiedonkäsittelyssä ja siirtämisessä. Tietoaineistoturvallisuuteen sisältyy mm. tiedon luokitus, tietosuoja, varmuuskopiointi ja arkistointi sekä tiedon hävittäminen. Tiedon luokituksella jaetaan tiedot ryhmiin niiden käsittelyn, säilyttämisen ja tuhoamisen mukaan. Tietosuojalla tarkoitetaan esimerkiksi erilaisissa asiakas- ja henkilörekistereissä olevien henkilötietojen suojaamista asiattomalta ja vahingolliselta käytöltä. Olennainen osa tietoaineiston turvallisuutta on varmuuskopiointi. Kopioinnilla varmistetaan tiedon käytettävyys, kun tietoa tuhoutuu esimerkiksi laitevian vuoksi tai haittaohjelmien toiminnan seurauksena. Western Systems Oy:n omassa sisäverkossa ja tuotantojärjestelmässä turvakopiointi tapahtuu automaattisesti kerran vuorokaudessa ja turvakopioinnin onnistumista valvotaan median vaihdon yhteydessä päivittäin. Valvonnan suorittaa aina vuorossa oleva nimetty henkilö. Arkistoissa taas tietoaineistoa säilytetään pitkiä aikoja. Tietoturvan kannalta on tärkeää mm. tallentaa tiedostot sellaisessa muodossa, että niiden avaaminen onnistuu pitkänkin ajan päästä. Sähköpostijärjestelmä ei missään tapauksessa voi toimia arkistointijärjestelmänä. Western Systems Oy:n arkistot ovat PDF-muotoisia tiedostoarkistoja, jotka ovat sekä päivttäisen turvakopion piirissä että tallenteina DVD-tallenteille. Myös tiedon hävittäminen turvallisella tavalla kuuluu tietoturvaan. Luottamuksellisia asiakirjoja ei saa löytyä roskalavoilta tai kaatopaikoilta. Ne on hävitettävä siten, ettei niiden sisältöä voi enää saada selville. Western Systems Oy:ssä tiedot hävitetään Tietosuojakeräyksen kautta. Keräys on järjestetty kiinteistöyhtiön toimesta. Erityisen tärkeää on myös tiedon perusteellinen poistaminen tallennusvälineistä, esimerkiksi yrityksen ulkopuolelle myytävistä käytetyistä tietokoneista. Laitteiden puhdistamiseen on olemassa erityisiä ohjelmia. Western Systems Oy:ssä käytetään vain luokiteltuja tuhoamisohjelmistoja. 1.4 Tietoturvalainsäädäntö Suomessa Suomessa laadittiin kansallinen tietoturvastrategia jo vuonna Sen keskeisiä toimintaperiaatteita ovat mm. - yhteiskunnan kehityksen ja kansallisen kilpailukyvyn tukeminen tietoturvaa edistämällä

8 TARJOUS 88/ (10) - tietoturvariskien hallinnan kehittäminen, - yksilön ja muiden toimijoiden perusoikeuksien turvaaminen - tietoturvatietoisuuden ja osaamisen kehittäminen Strategiassa käsitellään siis tietoturvaa prosessina, johon vaikuttaa teknisen osaamisen lisäksi käyttäjien asenteiden ja tietoturvatietoisuuden kehittäminen. Tärkeää on sekin, että tietoturvan ohella huomiota kiinnitetään kansalaisten oikeuksien turvaamiseen ja tietosuojan toteutumiseen. Tietoturvallisuutta ja tietosuojaa käsitellään Suomen lainsäädännössä työsopimuslaista kilpailulakiin ja rikoslakiin. Laajasti säädetään kansalaisten tietosuojasta, mutta myös tietoturvarikokset ja rikkomukset, kuten yrityssalaisuuden rikkominen, on määritelty kattavasti. Tietoturvaa koskeva lainsäädäntö uusiutuu nopeasti, joten sen kehitystä kannattaa seurata. 1.5 Tietoturva osana yritystä Tietoturva on keskeinen osa yrityksen kokonaisturvallisuutta, johon tietoturvan lisäksi kuuluu mm.: henkilöturvallisuus, työturvallisuus ja rikosturvallisuus. Western Systemsin liiketoiminnan tietoturvahaasteet voidaan jakaa kolmeen peruskäsitteeseen: - Henkilökohtainen tietoturva - Asiakkaan tietoon liittyvä tietoturva - ASP-Palveluun liittyvä tietoturva Tietoturvasta ja tietoturvaohjeistuksesta vastaa yrityksessämme toimitusjohtajan vetämä tietoturvatiimi. Tiimi päivittää tietoturvaohjeistusta tarvittaessa, mutta vähintään kahdesti vuodessa. 2 Henkilökohtainen tietoturva 2.1 Suojaa tietokoneesi a) Pidä käyttöjärjestelmä ja ohjelmat ajan tasalla. b) Käytä virustentorjuntaohjelmaa. c) Käytä palomuuria. d) Päivitä kaikki ohjelmat säännöllisesti. e) Ota varmuuskopiot tärkeistä tiedostoista. f) Ole tarkkana, mitä lataat verkosta. 2.2 Turvaa itsesi verkossa a) Mieti, mihin annat henkilötietosi. b) Harkitse kenen kanssa keskustelet. c) Pidä mielessä, että netissä kaikki ei ole kivaa tai totta. 2.3 Noudata pelisääntöjä a) Myös netissä on noudatettava lakia. b) Muista hyvät käytöstavat!

9 TARJOUS 88/ (10) 3 Asiakkaan tietoon liittyvä tietoturva 3.1 Luvanvaraisuus Ylläpitotoiminnassa joudumme jatkuvasti ratkaisemaan sovellusympäristön ongelmia. Tällöin asiakkaan tiedot ovat korvaamattomia apuja ongelman ratkaisussa. Mitään asiakkaamme tietoa ei saa ottaa käyttöön ilman asiakkaan nimenomaista lupaa. 3.2 Turvallisuus Jos käytämme luvanvaraisesti asiakkaan tietoja, tulee varmistaa, että kaikki tiedot ovat turvakopioitu joko asiakkaan tai meidän itsemme toimesta. Jos tietojen käyttöön liittyy tietojen siirtäminen, tulee siirto tapahtua vain suojattuja yhteyksiä käyttäen. 3.3 Tuhoaminen Mikäli tietojen käyttöön liittyy tietojen siirtäminen, tulee tiedot hävittää välittömästi käyttötarpeen lakattua. Tietojen hävittäminen toteutetaan vain luokitelluilla tuhoamisohjelmistoilla. Tuhoamisesta on tehtävä ilmoitus asiakkaalle. 3.4 Luottamuksellisuus Kaikki tietoomme tavalla tai toisella tullut asiakkaan tieto on ehdottomasti luottamuksellista. Mitään tietoa emme paljasta kenellekään. Kollegoiden kanssa tietoa on mahdollista tehtävän suorittamisen yhteydessä jakaa, mutta vain jos se on tehtävän suorittamiseksi ehdottoman välttämätöntä. 4 ASP-Palveluun liittyvä tietoturva ASP-Palvelukeskuksemme teknisestä tieturvasta on oma määrityksensä. Määritys on vain ASP-Palvelukeskuksen toiminnasta vastaavien henkilöiden käytettävissä. 4.1 Kulunvalvonta ASP-Keskukseen on pääsy vain henkilöillä, jotka vastaavat keskuksen toiminnasta. Muille ylläpitohenkilöille on annettu käyttöoikeudet tarveperustaisesti etäkäyttää ASP-järjestelmää. Kulunvalvonnalla huolehditaan, että keskukseen ei ole pääsyä edes myyntitarkoituksessa, eli vierailuja keskukseen ei järjestetä. 4.2 Tietoturva ASP-Palvelukeskuksen sovelluksia ja asiakastietoja käsiteltäessä noudatetaan kohdan 3 määräyksiä ilman poikkeuksia. 4.3 Turvakopiointi ASP-Palvelukeskuksessa sijaitsevien tietojen turvakopiointi hoidetaan erillisen ohjeen mukaan. Pääperiaate ohjeiden mukaisessa kopioinnissa on, että kaikkien asiakkaiden

10 TARJOUS 88/ (10) kaikki tiedot turvakopioidaa kerran vuorokaudessa kiertävän turvamedian periaatteella huomioiden säännölliset break point kopiot. Turvamediakierrolla huolehditaan siitä, että aina vähintään yksi media on koko kiinteistön ulkopuolella, sovitussa turvapaikassa. Turvakopiointi laitteisto sijaitsee eri palotilassa kuin varsinainen ASP-laitteisto. 4.4 Virus- ja tunkeutumissuojaus Virustorjunta ja tunkeutumissuojaus ovat määritelty erillisessä teknisessä määrityksessä. Määritys on vain ASP-Palvelukeskuksen toiminnasta vastaavien henkilöiden käytettävissä. 5 Loppusanat lukijalle Tämä dokumentti on ote Western Systems Oy:n tietoturvaohjeistuksesta, joka on koko henkilökuntamme käytössä intranetdokumenttina. Dokumentin linkkiluonteesta johtuen kaikkia asioita ei ole määritelty tulostetussa dokumentissa, koska linkit eivät luonnollisestikaan ole käytettävissä. Tieturvaohjeemme on päivitetty Alkuperäisen ohjeistuksen laadinnassa on käytetty lähteenä Tampereen Teknillisen Yliopiston tietoturvaluentoja.