Kansainvälisen ISO/IEC sertifioinnin toteuttaminen CSC:llä

Transkriptio

1 Kansainvälisen ISO/IEC sertifioinnin toteuttaminen CSC:llä Tietoturvapäällikkö Urpo Kaila CSC - Tieteen tietotekniikan keskus Korkeakoulujen IT-päivät

2 Sisältö Turvallisuuskatsaus Miten tietoturvallisuutta hallitaan? Tietoturvallisuus vs. muu toiminta Hallintajärjestelmän luonti ja ylläpito Tietoturva-auditoinnit CSC ja ISO/IEC sertifiointi Hyödyt korkeakouluille Seuraavat vaiheet 2

3 Threat Lansdscape Drive by exploits/ Worms/ Code Injection/ Exploit Kits/DOS/Scareware/Targeted Attacks/ Information Leakage/ Search Engine poisoning (ENISA 2013) Surveillance data mining by governments Social Engineering, Advanced Persistent Threats, Internal Threats, BYOD, Cloud Security, HTML5 (Forbes 2013) State-sponsored espionage, DDoS attacks, Cloud migration, Password Management, Sabotage, Botnets, Insider threat, Mobility, Internet, Privacy laws (SC Magazine 2013) 3

4 The Changing InfoSec Scene Clouds Surveillance Sourcing Big Data Human data Availability becomes critical Economics of Security Consolidation of Infrastructures Cyberthreats 4

5 5

6 Syyllisten etsintä... Olisiko nämä voitu estää/havaita, edes osittaiin? Onko tietoturvallisuuden perustoimintojen järkevä ylläpito kohtuullinen vaatimus? Huijaammeko itseämme ummistamalla tietoisesti silmämme päivittäisille turvallisuusriskeille? Onko järkevä tietoturvallisuus mahdollista ilman kohtuuttomia kustannuksia, työtä ja vaivaa Tämä on meidän ongelmamme, eikä vain käyttäjien? On jo olemassa hyviä käytäntöjä siitä, miten riskejä torjutaan? -> KYLLÄ 6

7 Miten tietoturvallisuutta hallitaan? Tietoturvallisuus!= tietokoneturvallisuus Monta rinnakkaista mutta samankaltaista mallia Johdon linjaus ja tuki Tehtävien organisointi ja vastuuttaminen Pääsynhallinta Tietoliikenneturvallisuus ja salaus Ohjelmistojen ja palveluiden kehittämisen turvallisuus Turvallisuusarkkitehtuuri Jatkuvuus ja toipuminen Henkilöstö- ja tilaturvallisuus Sopimukset ja lainsäädäntö Käyttöturvallisuus 7

8 Tietoturvallisuus vs. muu toiminta Turvallisuus tulee olla osa normaalia toimintaa, sitä ei voi liimata päälle jälkeenpäin Turvallisuusasiat tulee vastuuttaa selkeästi: Johto Esimiehet Tietoturvapäällikkö/-vastaavat Tietohallinto Henkilöstö Opiskelijat/käyttäjät Turvallisuudesta viestiminen, kouluttaminen ja motivointi on ensiarvoisen tärkeää mutta turvallisuus ei voi olla vain suositus silloin se ei toteudu 8

9 Tietoturvallisuuden kompastuskiviä NIH / Yksiköiden autonomia Johto ei tue/sitoudu Toteutetaan sovittuja vaatimuksia (esim. Tietoturvatasot) osittain/ soveltaen (jos joku haluaa) Epäselvät tavoitteet (korkeakoulujen tietoturvasäännöt) Disinformaatio (kaupalliset toimijat/viranomaiset) Seurantaa ei vastuutettu Kaksinaismoraali (vain paperilla) Ei kuulu kenenkään työtehtäviin Koulutuksen, perehdytyksen ja osaamisen puute 9

10 Tietoturvallisuuden hallintajärjestelmä Hallintajärjestelmän tulee kattaa kalvolla #7 mainitut asiat Kuvauksen tulee olla kirjallinen ja hyväksytty Viittaus ohjeisiin ja dokumentteihin Toteutumista tulee valvoa ja kehittää säännöllisesti Huom! Myös normaali operatiivinen toiminnan valvonta on osa kokonaisturvallisuutta: Käyttäjähallinta Muutoshallinta/ Elinkaarien hallinta Omaisuuden hallinta Palveluiden hallinta Kehitysprojektit/Uudet palvelut 10

11 Tietoturva-auditoinnit Auditoinneissa ulkopuolinen osapuoli tarkastaa että toiminto (esim. (Valtionhallinnon tietoturvatasojen perustaso, KATAKRI tai ISO 2700A:2005 Liite A) on sovittujen vaatimusten (n kpl) : On olemassa On kuvattu (korotettu taso, ISO27k) On valvottu, käytössä ja tiedossa Auditointiin varataan usein vähintään 3-10 htp:ää Auditoitavan organisaation johdon ja auditoinnista vastaavan henkilön panostukselle on merkittävä vaikutus lopputulokseen - tieto löydettävä heti Mikäli jokin vaatimus ei täyty, merkitään poikkeama > vaatimustaso ei toteudu 11

12 CSC:n ISO/IEC sertifionti Koska CSC osallistuu laajasti myös kansainväliseen toimintaan ei kansalliset normit ole yksinään riittäviä CSC on strategisista syistä ja koko organisaation laadukkuutta korostavan valinnut standardin ISO/IEC tietoturvanormikseen korotetun tietoturvatason lisäksi CSC Datakeskus Kajaani ja sitä tukevat sisäiset toiminnot sertifioitiin kesällä 2013 Sertifionnin kattavuutta on tarkoitus jatkossa laajentaa 12

13 13

14 Hyödyt korkeakouluille Tietoturvasertifionnin ansiosta CSC pystyy tarjoamaan korkeakouluille entistä laadukkaampia ja turvallisempia palveluita Myös jotkut yhteistyöprojektit tulevat ainakin tietyiltä osin noudattamaan sertifionnin vaatimuksia, tältä osin parhaat käytännöt voivat siirtyä myös suoraan korkeakoulujen toimintaan Hyviä kokemuksia pitkältä ajalta parhaiden tietoturvakäytäntöjen jakamisesta CSC:n ja korkeakoulujen välillä CSC jakaa mielellään kokemuksiaan auditoinneista ja sertifionneista 14

15 Lopuksi Myös korkekoulujen voi olla hyvä pohtia tietoturvavaatimusten esimerkiksi tietoturvatasojen perustason järjestelmällistä käyttöönottoa ainakin ydintoimintojen osalta Tietyt toiminnat, kuten riskienhallinta ja jatkuvuussuunnittelu ja toipumisharjoitukset vaatinevat lisäpanostusta Olellinen seikka vaatimuksissa on myös ulkopuolinen arvionti.korkekoulujen olisi hyvä totetuttaa vertaisarvionteja tässä CSC voisi mahdollisesti auttaa 15

16 Kiitos! 16