TIETOTURVA LIIKETOIMINNAN MAHDOLLISTAJANA

Transkriptio

1 TTL 60 vuotta Roadshow, Joensuu TIETOTURVA LIIKETOIMINNAN MAHDOLLISTAJANA Antti Pirinen, Tietoturva ry

2 Antti Pirinen Tietoturva ry Hallituksessa > Sihteeri 2013 Työkokemus: > KPMG:n tietoturvavastaava > KPMG, tietoturva asiantuntija : Helsinki Institute of Physics, tutkija, projektipäällikkö : Helsinki Institute of Physics / CERN, tutkija Tietoturva-alalla vuodesta 1999

3 Mikä Tietoturva ry on? Tietoturva ry on tietoturva-ammattilaisten voittoa tavoittelematon, itsenäinen ja vapaaehtoisvoimin toimiva yhdistys, joka edistää tietoturvallisuutta ja hyvien tietoturvatapojen noudattamista tietoturvallisuuden kaikilla osa-alueilla Toimii yhteistoiminnan edistäjänä tietoturva-alalla Suomen suurin tietoturva-alan yhdistys n. 900 henkilöjäsentä n. 50 yhteisö-/yritysjäsentä Tietotekniikanliiton teemayhdistys

4 Tietoturvapäällikön klassinen poissaoloviesti Hei! Kiitoksia viestistäsi. Valitettavasti juuri nyt en pysty vastaamaan viestiisi, mutta vastaus on EI. Ystävällisin terveisin

5 F1 KERS ja jarrut ylipäätään Kimi Räikkönen ja Lotus E21 Kuva: Paul Gilham Copyright: Getty Images New Delhi -

6 Mitä tietoturva on? Mitä on tietoturva? Turvallisuus on omaisuuden ja ihmisten suojaamista Tietoturva on informaatio-omaisuuden suojaamista (ja niihin kohdistuvien riskien vähentämistä). Tietoturvaa ei voi tehdä mielekkäästi tunnistamatta suojattavaa informaatiota ja siihen kohdistuvia uhkia.

7 Liiketoiminnan lähtökohdat muuttuneet Liiketoiminnan asettamat prioriteetit ICT:lle ja tietoturvalle Kasvun mahdollistaja ja tuki Kustannustehokkuus / tehokkaat ja nopeat prosessit Tuottavuus, Innovaatio Reagointi muutospaineeseen Uudet teknologiat mahdollistavat osaltaan tavoitteiden saavuttamista Mutta toisaalta ne tuovat myös uusia riskejä. Tietotekniikalla on hyvin oleellinen osa liiketoiminnassa Mutta puhuvatko tietohallinto, tietoturvallisuus ja liiketoiminta samaa kieltä?

8 Liiketoiminnan lähtökohdat muuttuneet

9 Tietoturva: este vai mahdollistaja Mikä on tietoturvallisuuden tarkoitus organisaatiolle? Jos organisaatioiden pitäisi valita onko luottamuksellisuus vai saatavuus tärkeämpää, niin kumman valitsisivat?

10 Mobiliteetti liikkuuko tietoturva mukana? Mobiilityön edellytyksenä on se, että TIETO on mukana tai TIETOON on pääsy siellä missä työtä tehdään Myös turvallisuuden pitää kulkea mukana! Tietoturvallisuuden kannalta huomioitavaa Tiedon sijainti ja sen riittävä suojaus Käytettävät yhteydet, luotettavuus Pääsynhallinta & tunnistus Päätelaitteet ja hallinta

11 Kuluttajistuminen: BYOD Tietotekniikan Liitto ry:n IT-barometri 2011/2012

12 Kuluttajistuminen: BYOD Tietotekniikan Liitto ry:n IT-barometri 2011/2012 Tietotekniikan Liitto ry:n IT-barometri 2011/2012

13 Kuluttajistuminen: BYOD Tietotekniikan Liitto ry:n IT-barometri 2011/2012 Tietotekniikan Liitto ry:n IT-barometri 2011/2012 Tietotekniikan Liitto ry:n IT-barometri 2011/2012

14 Kuluttajistuminen: BYOD On hyvä muistaa kysyä mihin tarkoitukseen ja myös miksi Käyttötarkoitus ja tietosisältö määrää tarvittavan turvatason Mitä tietoa käsitellään? Millä aplikaatiolla (yrityksen omat vai vapaasti valittavat)? Päätelaitteiden turva-asetukset? Tietoturvavaatimukset päätelaitteille? Integroidut palvelut minne tieto voi tallentaa ja millä ehdoin?

15 Kuluttajistuminen: BYOD

16 Kuluttajistuminen: SOME-palvelut Tietoa jaetaan pääosin yksilönä sosiaalisessa mediassa Fiilikset, ystävät, perhe, CV, harrastukset, valokuvat mutta myös esimerkiksi työtehtävät, tilatiedot, paikannus Tietoa on helppo yhdistää! Kerättäessä esimerkiksi eri palveluihin ja eri henkilöiden samasta asiasta merkityksettömältä tuntuvia viestejä yhteen voi kokonaisuus olla merkittävä ja johtaa luottamuksellisen tiedon paljastumiseen Työntekijän maantieteellinen sijainti ei aina ole neutraalia tietoa Sosiaalinen media on erityisen helppo kenttä sosiaaliselle hakkeroinnille (social engineering) Esim. suositukset luotettavalta taholta

17 Kuluttajistuminen: SOME-palvelut

18 Pilvipalvelut Tärkeimmät ominaispiirteet: Resursseja voidaan ottaa käyttöön tarvittaessa itsepalveluna (On-demand selfservice) Resursseja käytetään verkon yli (Broad network access) Palvelun tarjoajan resurssit ovat jaetut usean asiakkaan kesken (Resource pooling) Kapasiteettia voidaan kasvattaa tai pienentää joustavasti (Rapid elasticity) Kapasiteetin käyttöä mitataan (Measured service) Palvelumallit: Infrastructure as a Service (IaaS), Platform as a Service (PaaS), Software as a Service (SaaS) Toteutusmallit: yksityinen pilvi, yhteisöpilvi, julkinen pilvi, hybridipilvi

19 Pilvipalvelut

20 Liiketoiminnan, tietohallinnon ja tietoturvan yhteys Tietohallinto Tietoturva Liiketoiminta

21 Liiketoiminnan, tietohallinnon ja tietoturvan yhteys Avustaa, neuvoo Tietohallinto Tietoturva Liiketoiminta

22 Riskien käsittely Tietoturvan tehtävä on kertoa liiketoiminnalle mitä riskejä valintoihin liittyy. Vrt kolmevuotiaan kasvattaminen Toteutuneet riskit eivät ole tietoturvan ongelma, ne ovat liiketoiminnan ongelma!

23 Mihin kannattaa keskittyä?

24 Yhteenveto C-level Varmistakaa, että seuraavat asiat ovat organisaatiossanne kunnossa: 1. Organisaatiolla on kyky ymmärtää riskejä ja niiden vaikutuksia 2. Liiketoiminta kertoo selkeästi mitä he haluavat 3. Tietohallinnolla on visio siitä, miten tietotekniikka palvelee liiketoimintaa viiden (5) vuoden kuluttua 4. Tietoturva ei ole irrallinen liimattava palikka. Tietoturva on osa riskienhallintaa, jolla tasapainotetaan mahdollisuuksia ja uhkia. 5. Voitte ulkoistaa tekemisen, vastuuta ette voi ulkoistaa!

25 Yhteenveto - tietoturva Varmistakaa, että toiminnassanne on seuraavat asiat kunnossa: 1. Olkaa avoimia, uudet toiminnallisuudet voivat olla mahdollisuus ei pelkästään uhka 2. Varmistakaa, että organisaatiossanne on systemaattinen tapa arvioida riskejä 3. Luokaa käyttäjille riittävän turvalliset toimintatavat! 4. Kouluttakaa, kouluttakaa, kouluttakaa! Räätälöikää koulutus sekä johdolle että henkilöstölle 5. Voitte ulkoistaa tekemisen, seurantavastuuta ette voi ulkoistaa!

26 Lopuksi 80 % liiketoiminnan tietojen turvallisuudesta luodaan henkilöstön arkipäivän rutiineja kehittämällä ja 20 % teknisten suojaamiskeinojen avulla Tietoturva paranee vasta, kun uhka-arvioon perustuvat tietoturvaratkaisut on implementoitu käytäntöön ja kun käyttäjät niitä käyttävät

27 KIITOS! Yhteystiedot: Antti Pirinen Lähteitä: F-Secure Labs / Mobile Threat Report Q Tietoturva ry / Tietoturva 2017 tutkimus 10/2012 Tietotekniikanliitto / IT-Barometri 2011