JULKISEN HALLINNON DIGITAALISEN TURVALLISUUDEN KEHITTÄMISHANKE. TAISTO19-harjoitus VÄESTÖREKISTERIKESKUS

Transkriptio

1 JULKISEN HALLINNON DIGITAALISEN TURVALLISUUDEN KEHITTÄMISHANKE TAISTO19-harjoitus VÄESTÖREKISTERIKESKUS HANNA HEIKKINEN KIRSI JANHUNEN ERJA KINNUNEN JUHA KIRVES LAURA PENTTILÄ KIMMO ROUSKU

2 TAISTO19-harjoitus - info

3 Motivointi-kalvo miksi tämä on tärkeää? Harjoittelematon Harjoiteltu Paniikki Kustannukset maine muu haitta / vahinko Aika

4 Harjoituksen tausta TAISTO18-harjoitus Tietoturva- ja henkilötietojen tietoturvaloukkausten hallinnan harjoitus 234 organisaatiota >4400 henkilötyöpäivää ~2200 htp työpanos valmistautuminen ja harjoitus Palaute (asteikolla 1-5, jossa 5 on erittäin hyvä) Toteutettiin Juhta/VAHTI-yhteishankkeessa Raportti ja harjoitusmateriaalit

5 Harjoituksen tavoite Kuten edellinen TAISTO18, harjoituksen tarkoitus on edelleen kehittää ja ylläpitää tietoturvaja tietosuojaloukkausten hallintaa, mutta tässä tapauksessa lisäksi keskittyen organisaation toiminnan jatkuvuuden kehittämiseen siis kuinka häiriöstä, mikä sen aiheuttaja onkaan: ICT-häiriö Ilmasto (tulva, lumi- tai muu myrsky jne) Inhimillinen erehdys (me teemme virheitä muistakaa MMKT) Tietoturvapoikkeama, loukkaus tai kyberhyökkäys Muu toimintaan vaikuttava häiritsevä, keskeyttävä tai pysäyttävä ilmiö selvitään kriittisen toiminnan ollessa kysymyksessä, mahdollisimman tehokkaasti (kustannus, aika, vaikutukset) tarkoituksenmukaisesti Ja ennen kaikkea ilman, että näitä joutuu hoitamaan akuutisti, ad hoc Harjoittelu on eräänlaista vakuuttamista mitä paremmin olemme varautuneet toimimaan häiriötilanteissa, todennäköisemmin siitä aiheutuu meille vähemmän haittaa ja vahinkoa kuin jos emme ole harjoitelleet itse uskaltaisin sellaisen organisaation puolesta lyödä vetoa

6 Harjoituksen tavoite #Luottamus Kansalaiset yritykset asiakkaat sidosryhmät Unohtamatta meidän kansan #maine => kilpailukyky

7 Harjoituksen tavoite kolme tärkeintä TAISTO19-harjoitus tarkoitus on kehittää ja harjoitella organisaation: 1) tietoturvallisuuden hallintaa, johtamista ja viestintää tietoturvaloukkauksissa, erityisesti erilaisissa kyberhyökkäyksissä kuten palvelunestohyökkäys, lunnashaittaohjelmahyökkäys tai tietomurto 2) henkilötietojen tietoturvaloukkauksissa tarvittavia prosesseja, muun muassa kykyä arvioida syntynyttä riskiä ja tehdä sen perusteella tarvittavat viranomaisilmoitukset sekä viestiä tilanteesta 3) toiminnan jatkuvuuteen ja valmiuteen liittyvää ohjeistusta ja toimintaprosesseja jatkuvuus-, valmius- ja toipumissuunnittelun osalta

8 Aikataululuonnos - vahvistuu harjoitus käsikirjassa 2.9 TAISTO19-harjoituskäsikirja julkaistaan osana seuraavaa työpajaa 17.9 Skype-kokous osallistujille harjoituskäsikirja ja vinkkejä 30.9 Skype-kokous osallistujille viimeiset vinkit ja tarkistukset Ensimmäinen syöte 7.11 harjoitusryhmä Ensimmäinen syöte ja harjoitusryhmät 2 ja Toinen syöte 7.11 harjoitusryhmä Harjoituspäivä harjoitusryhmä Toinen syöte ja harjoitusryhmät 2 ja Harjoituspäivä harjoitusryhmä Harjoituspäivä harjoitusryhmä TAISTO-studio -2 h yhteenveto ja tilannekatsaus TAISTO19-palautseseminaari

9 Valmistautuminen Miten organisaationne tulisi varautua? Olemme käsitelleet nyt viidessä työpajatilaisuudessa Riskienhallintaa Toiminnan jatkuvuutta ja varautumista Näiden mallien ja prosessien jalkauttamista organisaation toimintaan Nykyaikana tapahtuu erittäin harvoin digimaailmassa toimittaessa sellaista häiriötilannetta, jossa voisi heti todeta, tässä EI VOI OLLA kyseessä henkilötietojen tietoturvaloukkaus, niin laajasti ja kattavasti toimintamme niistä riippuu Osana viime vuoden TAISTO18-harjoitusta olemme toteuttaneet ohjeita ja työpajoja, joissa on käsitelty henkilötietojen tietoturvaloukkausta ja siihen liittyvää riskienarviointia Sekä mallia siitä, kuinka tulee huolehtia tarvittavasta (viranomais)tiedottamisesta Ja kertaamme näistä tärkeimmät asiat JUDO-työpaja nro 7 Näistä kaikista annetaan tarkempaa ohjetta, linkit, vinkit ja muu materiaali TAISTO19-info miten valmistautua harjoitukseen -harjoituskäsikirjan julkaisu

10 Valmistautuminen Ketä organisaatiossa tarvitaan: Digiturvan ja muun toiminnan vastuuhenkilö(t) esimerkiksi: Tietoturvallisuus Tietosuoja(vastaava) Toiminnan jatkuvuus ja valmius ICT-asiantuntija Johdon edustaja Viestintä Tarkkailija Harjoitus alkaa kk ennen ensimmäisellä syötteellä, toinen syöte tulee viikkoa ennen harjoituspäivää niihin ei tarvitse reagoida heti, mutta niissä tarvitaan useimpia edellä olevia rooleja

11 Valmistautuminen Organisaation ICT-toimittajien kytkeminen mukaan Jos organisaationne niin haluaa, voitte kytkeä harjoitukseen oman keskeisen ICTpalvelutoimittajan, joka vastaa kriittisten palveluiden tuottamisesta Suosittelemme, että olette yhteydessä heihin nyt ja kerrotte tarpeesta ja voitte kertoa tarpeesta tarkistaa teidän toiminnan jatkuvuuteen ja varautumiseen liittyviä suunnitelmia ja toimintamalleja Ja luonnollisesti varautua siihen, että todennäköisesti toimittajanne tulee tekemään tästä esityksen heille tästä työstä aiheutuvista kustannuksista Harjoituskäsikirjasta saa hyvän tarkistuslistan, josta voi aloittaa ja kun saatte ensimmäisen syötteen lokakuussa, se avaa tätä vielä tarkemmin

12 Ilmoittautuminen Kutsu TAISTO19-harjoitukseen löytyy Ilmoittautuminen Entäs kun meillä ei ole nämä asiat kunnossa tai meillä ei ole kaikkia tarvittavia resursseja olemassa? Hyvin harvalla on. Sitä suurempi syy on osallistua harjoitukseen sen avulla te pystytte parhaiten tunnistamaan ja kehittämään omaa kyvykkytttänne toimia sekä priorisoimaan, tehostamaan ja toimimaan tehokkaammin, kun tosi on kyseessä On kahdenlaisia organisaatioita, niitä, joihin on kohdistunut jonkinlainen kyberhyökkäys ja josta on selvitty ja niitä, jotka eivät ole sitä huomanneet

13 Ilmoittautuminen Tänään Lahden kaupungin CIO Marko Monni piti vaikuttavan esityksen koskien heidän 12.6 alkanutta kyberhyökkäystä. Kirjoitin tämän jälkeen meidän nettilähetyksen Chatwall-ikkunaan seuraavan viestin jota hieman vielä päivitin: *Jokaisen* organisaation JOHTORYHMÄN tulisi katsoa tämä esitys ja miettiä, teemmekö ja tarkistammeko nämä samat asiat nyt, kun kaikki meillä toimii vai vasta sen jälkeen, kun on pakko? Teemmekö ne a) hallitusti vai hallitsemattomasti ja osin ad hoc, b) budjetoidusti vai ilman tietoa tarvittavasta budjetista c) ilman varsinaista katkoa toimintaympäristöön vai niin, että emme tiedä millainen katkos hyökkäyksestä aiheutuu? - voitte tietysti kysyä Lahdesta, mitä tekisivät toisin, jos voisivat? -entä jos meidän johto toteaa, että ei meillä voi tapahtua samaan? - Niin, voihan olla että teillä ei ole käytössä lainkaan mitään ICT-/digi-infraa - epäilen

14 Miten tästä eteenpäin Toimitamme perjantaina kaikille TAISTO19-ilmoittautuneille lisätietoa ja muistutamme, että 2.9 JUDO-työpajassa 6 julkaisemme harjoituskäsikirjan Ja mistä se on ladattavissa Järjestämme kaikille ilmoittautuneille seuraavat Skype-kokoukset Tiistai klo Kysymyksiä harjoituskäsikirjaan ja harjoitukseen liittyen? Maanantai 30.9 klo Kysymyksiä harjoituskäsikirjaan ja harjoitukseen liittyen? Lisäksi viimeiset ohjeet ennen lokakuussa tulevia ensimmäisiä syötteitä

15 Muistattehan VAHTI-kesäseminaari 26.8 Vielä mahtuu paikalle tai voitte seurata verkon välityksellä tai katsoa tallenteen jälkikäteen! Erikoisohjelmanumero Kimmo tekee laajemman yleisön edessä ensimmäisen mentalisti-esityksen! Tätä ette halua menettää!

16 Kiitos! Tapaamme VAHTI-kesäseminaari ma JUDO-työpaja # JUDO-työpaja #7 Lokakuun aluekiertueella