Palvelun toimittajalle asetettavat tietoturvavaatimukset

Transkriptio

1 LIITE 3 Tietturvallisuus Palvelun timittajalle asetettavat tietturvavaatimukset Spimusliite Versi 3.0 TRAFI 28292/ /2014 Cpyright Liikenteen turvallisuusvirast

2 Palvelun timittajan tietturvallisuusvaatimukset 2(9) SISÄLLYSLUETTELO 1 TIETOTURVALLISUUS Tausta ja tavite Trafin tietturvallisuuden viitekehys Tietturvallisuuden ulkiset vaatimukset Tietturvallisuuden sisäiset vaatimukset 4 2 TIETOTURVALLISUUDEN YHTEISTYÖMALLI JA VAATIMUKSET Timittajan tietturvallisuuden ja jatkuvuudenhallinnan hallintajärjestelmät Timittaja ja Trafin tietturvallisuuden viitekehys Kkuskäytäntö Riskienhallinta Ilmitusvelvllisuus Tarkastusikeus Alihankinta 8 3 TIETOAINEISTOJEN HALLINTA 9 Liikenteen turvallisuusvirast

3 Palvelun timittajan tietturvallisuusvaatimukset 3(9) 1 TIETOTURVALLISUUS 1.1 Tausta ja tavite Tietturvallisuudella tarkitetaan tässä tietturvaliitteessä määritelmän mukaan tietjen eheyden, luttamuksellisuuden ja käytettävyyden varmistamista (ISO 27002). Tietturvallisuus kattaa näin määriteltynä sekä hallinnllisen että teknisen tietturvallisuuden. Kknaisvastuu ulkpulisilta timittajilta hankituista tutteista ja palveluista säilyy Trafilla, mutta kukin timittaja vastaa pulestaan spimuskumppanina virastlle timittamistaan tutteista ja palveluista svitulla tavalla. Timittajan vastuuseen sisältyvät tällöin aina sen timittamiin tutteisiin ja palveluihin liittyvä tietturvallisuus, tietsuja ja jatkuvuuden hallinta. Tämän tietturvaliitteen tavitteena n määrittää Trafin ja sen spimuskumppanina timivan palveluntarjajan (timittajan) välinen yhteistyömalli tietturvallisuuden salta. Yhteistyömalli sisältää määritteitä niin spimuskumppanin tietturvallisuuden hallintaan kuin sen timittamien tutteiden ja palveluiden tietturvallisuuteen. Tietturvaliite n tarkitettu käytettäväksi yleisenä spimusliitteenä, jten tietturvaliitteen käsittelytas n plitiikka- ja periaatetaslla. Operatiivisen tasn tietturvaasetukset ja kntrllitimenpiteiden käytännön tteutus määritetään ja dkumentidaan sana tutteen ja palvelun timitusta tietturvaliitteessä esitetyn viitekehyksen kntrllikhteiden phjalta. Tietturvatteutuksen hyväksyminen tehdään spimuksessa määritellyn ja svitun hyväksymismenettelyn mukaisesti. Trafi n ISO/IEC 27001:2005 sertifiitu rganisaati ja pyrkii nudattamaan valtinhallinnssa määriteltyä krtettua tietturvatasa (Valtineuvstn asetus tietturvallisuudesta valtinhallinnssa ( /681)). Trafin spimuskumppanina timivan palveluntarjajan (timittajan) timittamien tutteiden ja palveluiden tulee mahdllistaa se, että Trafin tteuttamat palvelut täyttävät aina myös nämä vaatimukset, vaikka niistä ei lisikaan jhdettavissa välittömästi velvittavia vaatimuksia spimuskumppania (timittajaa) itseään khtaan. Vuden 2015 aikana Trafi tulee uudistamaan sertifiinnin ISO/IEC 27001:2013 vaatimusten mukaiseksi. Palveluntarjajan (timittajan) tulee varautua viitekehyksen muutkseen sana spimuksen tteuttamista. Trafi edellyttää uudelleensertifiinnin jälkeen sille timitettavien tutteiden ja palveluiden mahdllistavan Trafin tteuttamien palveluiden tteuttamisen uuden viitekehyksen (ISO/IEC 27001:2013) mukaisesti. 1.2 Trafin tietturvallisuuden viitekehys Trafin timintaan khdistuu vaatimuksia tietturvallisuuden salta niin ulkisesti kuin sisäisesti. Viitekehys määrittelee vaatimuksenmukaisuuden näkökulmasta Trafin timinnalle asetetun vaatimustasn. Seuraavassa käydään läpi tämä keskeinen tietturvallisuuden viitekehys. Liikenteen turvallisuusvirast

4 Palvelun timittajan tietturvallisuusvaatimukset Tietturvallisuuden ulkiset vaatimukset 4(9) Trafin timintaan khdistuu ulkisia tietturvavaatimuksia lainsäädännön, valtinhallinnn tietturvatasjen ja hyvän tietturvallisuustavan kautta. Keskeisen säädösperustan mudstavat: 1. Laki viranmaisen timinnan julkisuudesta (621/1999) ja siihen liittyvä asetus (1030/1999) 2.Valtineuvstn asetus tietturvallisuudesta valtinhallinnssa ( /681) 3.Valtineuvstn periaatepäätös valtinhallinnn tietturvallisuuden kehittämisestä (VAHTI 7/2009) 4.Valtineuvstn periaatepäätös valtin tiethallinnn kehittämisestä ( , VM0087:00/02/021999) 5.Henkilötietlaki (523/1999) 6.Laki kansainvälisistä tietturvallisuusvelvitteista ( /588) 7.Laki sähköisestä asiinnista hallinnssa (13/2003) 8.Laki sähköisestä allekirjituksesta (14/2003) 9.Viestintämarkkinalaki (393/2003) 10.Arkistlaki (381/1994) 11.Sähköisen viestinnän tietsujalaki (516/2004) 12.Laki yksityisyyden sujasta työelämässä (759/2004) 13. Valtineuvstn päätös hultvarmuuden tavitteista ( /539) Trafia säätelevät myös valtinhallinnssa määritellyt erityiset tietturvatast ja VAH- TI-hjeistus. Lisäksi Trafilta edellytetään timintaa hyvän tietturvallisuustavan mukaisesti ja yleisesti tunnustettujen hyvien käytäntöjen nudattamista Tietturvallisuuden sisäiset vaatimukset Trafilla n käytössä hyväksytty tietturvaplitiikka. Se määrittelee plitiikka-taslla tavitteet, rganisinnin ja periaatteet tietturvallisuudelle ja tietturvatyön järjestämiselle sekä hallinnalle. Tietturvaplitiikka n samalla keskeisin sisäinen tietturvavaatimus. Tietturvaplitiikan määrittelemien tavitteiden ja periaatteiden tteuttamiseksi käytännön tietturvatyössä Trafissa n tietturvallisuuden hallintajärjestelmä. Tietturvallisuuden hallintajärjestelmän tarkituksena n timia tietturvatyön jhtamisen työkaluna. Trafi n sisäisesti situtunut ISO ja standardien periaatteita tukevaan timintamalliin. Trafin tietturvallisuuden hallintajärjestelmä n ISO standardin mukainen ja Trafilla n ISO/IEC 27001:2005 sertifikaatti. ISO ja standardien kattamat tietturvallisuuden sa-alueet vat (2013-versi): Turvallisuusplitiikka Tietturvaplitiikka määrittelee jhdn hyväksymät ja sen tukea nauttivat rganisaatin liiketimintaa tukevat tietturvallisuuden periaatteet. Tietturvallisuuden rganisiminen Liikenteen turvallisuusvirast

5 Palvelun timittajan tietturvallisuusvaatimukset 5(9) Tietturvallisuuden rganisinti tteuttaa ja valv rganisaatin tietturvallisuutta kk laajuudessaan ennalta määritellyn puitekehikn sisällä. Henkilöstöturvallisuus Henkilöstöturvallisuuden tavitteena n kehittää ja ylläpitää kaikkien rganisaatille työtä tekevien henkilöiden salta tarkituksenmukaista tietturvallisuuden tasa kk työnteksuhteen elinkaaren ajan. Sujattavien khteiden hallinta Khdan keskeisenä tavitteena n määritellä rganisaatin sujattavat khteet (esim. tiedt, tietjärjestelmät, laitteet, tilat, henkilöt,...) ja niiden mistajuus, jtta sujattavien khteiden turvaamistimenpiteet vidaan mitittaa ja tteuttaa tdellisen sujaamistarpeen mukaisina. Pääsyikeuksien hallinta Pääsyikeuksien hallinnan tavitteena n kntrllida tietturvallista ja liiketiminnan tavitteisiin perustuvaa pääsyä käsiksi rganisaatin tietihin, tietjenkäsittelylaitteistihin ja liiketimintaprsesseihin. Salausmenetelmät Khdan keskeisenä tarkituksena n määrittää rganisaatin timinnan kannalta tarkituksenmukainen riskien arviintiin perustuva käytäntö salausmenetelmien salta. Fyysinen turvallisuus ja ympäristön turvallisuus Fyysisen turvallisuuden ja ympäristön turvallisuuden tarkituksena n riskiarviintiin perustuvan sujaamistarpeen mukaisesti ehkäistä timitilihin khdistuvaa rganisaatin tietjen ja timitiljen vahingittumista sekä luvatnta pääsyä. Käyttötimintjen turvallisuus Khdan tarkituksena n varmistaa rganisaatin tietjenkäsittelyn käyttötiminnn ja sen hallinnan ikeellisuutta ja turvallisuutta esimerkiksi tarkituksenmukaisin prsessein ja vaarallisia työyhdistelmiä ehkäisemällä. Tietliikenteen turvallisuus Khdan tarkituksena n varmistaa rganisaatin käyttämien tietliikenneratkaisujen timivuuden ja hallinnan ikeellisuutta ja turvallisuutta esimerkiksi tarkituksenmukaisin prsessein ja vaarallisia työyhdistelmiä ehkäisemällä. Tietjärjestelmien hankinta, kehittäminen ja ylläpit Khdan pyrkimyksenä n varmistaa tietturvallisuus kautta kk tietjärjestelmän elinkaaren ajan. Timittajahallinta Khdan tavitteena n varmistautua timittajien hallinnan tteutuminen tietturvallisesti ja hyvien käytäntöjen mukaisesti. Tietturvatapahtumien hallinta Tietturvatapahtumien hallinnan tavitteena n tietturvatapahtumien määrämutinen raprtinti ja hallintakäytäntö i- Liikenteen turvallisuusvirast

6 Palvelun timittajan tietturvallisuusvaatimukset 6(9) kea-aikaisten ja tarkituksenmukaisten krjaavien timenpiteiden mahdllistamiseksi. Liiketiminnan jatkuvuuden tietturvallisuus Khdan tarkituksena n varmistaa, että jatkuvuuden hallinnannassa ja suunnittelussa tetaan riittävällä tavalla humin tietturvallisuuden vaatimukset liiketiminnan ja liiketimintaprsessien häiriötilanteissa. Vaatimustenmukaisuus Vaatimuksenmukaisuuden tarkituksena n varmistaa liiketimintaan khdistuvien lainsäädännön, määräysten ja spimusten mukainen timinta. Trafin liiketiminnan jatkuvuudenhallinta tukee ISO/IEC ja standardien mukaista timintamallia. Timintamalli n riskilähtöinen ja jatkuvuudenhallintaa varten käytetään jatkuvuudenhallinnan hallintajärjestelmää. Jatkuvuudenhallinta kattaa sekä nrmaaliljen että pikkeusljen jatkuvuuden hallinnan. 2 TIETOTURVALLISUUDEN YHTEISTYÖMALLI JA VAATIMUKSET 2.1 Timittajan tietturvallisuuden ja jatkuvuudenhallinnan hallintajärjestelmät Trafi edellyttää, että sille tutteita ja palveluja timittavalla spimuskumppanilla n käytössään määritelty ja hyväksytty kirjallinen tietturvaplitiikka. Tietturvaplitiikan tulee kuvata tietturvallisuuden tavitteet, rganisinti ja siinä nudatettavat yleiset periaatteet. Spimuskumppanilla (timittajalla) tulee lla kirjallinen ja säännöllisesti ylläpidettävä tietsujaplitiikka, jka ilmaisee nudatetut periaatteet. Tietsujaplitiikassa ilmaistuista periaatteista tulee jhtaa tarpeellinen tietsujahjeistus. Trafi edellyttää myös spimuskumppanilla levan käytössään dkumentitu tietturvallisuuden hallintajärjestelmä tietturvallisuuden jhtamisen työvälineenä. Trafin susituksen mukaisesti tietturvallisuuden hallintajärjestelmän tulee perustua ISO standardiin tai vaihtehtisesti muuhun kirjalliseen riittäväksi katsttavaan kuvaukseen, jka kuitenkin kattaa sisällöllisesti khdassa mainitut ISO ja standardien sa-alueet. Trafi edellyttää myös spimuskumppanilla levan käytössään dkumentitu liiketiminnan jatkuvuuden hallinnan hallintajärjestelmä jatkuvuuden hallinnan jhtamisen työvälineenä. Jatkuvuuden hallinnan tulee kattaa sekä jatkuvuussuunnittelu että tipumissuunnittelu. SLA ja/tai liiketiminnan keskeytysvakuutus eivät mudsta ainakaan yksinään tässä tarkitettua riittävää ratkaisua. Trafin susituksen mukaisesti liiketiminnan jatkuvuudenhallinnan hallintajärjestelmän tulee perustua ISO standardiin tai vaihtehtisesti muuhun kirjalliseen riittäväksi katsttavaan kuvaukseen, jnka tulee kattaa sisällöllisesti myös khdassa mainitut vaatimukset. Tietturvaplitiikan ja muun tietturvadkumentaatin suhteen spimuskumppanin (timittajan) ja mahdllisten alihankkijiden tulee nudattaa jatkuvan kehittämisen periaatetta. Dkumentaati tulee arviida, päivittää ja hyväksyä vähintään kalenterivusittain tai useamminkin merkittävien muutsten yhteydessä. Spimuskumppanin (timittajan) tulee nimetä vastuuhenkilö tai vastuuhenkilöt tietturvallisuudelle, tietsujalle ja jatkuvuuden hallinnalle. Vastuuhenkilölle tai vastuu- Liikenteen turvallisuusvirast

7 Palvelun timittajan tietturvallisuusvaatimukset 7(9) henkilöille tulee nimetä varahenkilö(t). Vastuuhenkilön/öiden tehtävät ja vastuut tulee dkumentida. Spimuskumppanin tulee kuvata palveluketju, jlla palvelu tutetaan, ja siinä nudatettavat tietturvaperiaatteet sekä kntrllikhteiden käytännön tteutus. Palveluketjun kuvaukseen tulee sisältyä mm. Trafin järjestelmien käyttötapa, käytettävät timintatavat, tietjärjestelmät ja mahdlliset alihankkijat. 2.2 Timittaja ja Trafin tietturvallisuuden viitekehys Timittajan edellytetään perehtyvän khdassa 1.2 kuvatun Trafin tietturvallisuuden viitekehykseen sekä timivan sen mukaisesti timittaessaan Trafille tutteita ja palveluita. Mainittu viitekehys määrittelee tutteen ja palvelun timittaman tietturvallisuuden aineellisen sisällön ja laajuuden. Käytännössä timittajan spimuskumppanina edellytetään timivan tietturvallisella ja samalla hyvän tietturvallisuustavan mukaisia käytäntöjä tukevalla tavalla, sen timittamien tutteiden ja palveluiden täyttävän mainitussa viitekehyksessä määritellyn vaatimustasn sekä mahdllistavan Trafille mainitun vaatimuksenmukaisuuden täyttämisen massa palvelututannssaan. Jkaisen tutteen ja palvelun timittamiseen liittyvät yksityiskhtaiset tietturvaasetukset ja käytännöt määritetään ja dkumentidaan sana tutteen ja palvelun timitusta. 2.3 Kkuskäytäntö Trafi edellyttää, että spimusryhmien säännöllisesti pidettävissä kkuksissa käsitellään aina yhtenä esityslistan vakikhtana tietturvallisuutta. Kkukseen tulee tällöin aina tai ainakin niin erikseen svittaessa sallistua kummankin spijapulen nimeämä tietturvallisuuden vastuuhenkilö tai tämän varahenkilö. 2.4 Riskienhallinta Trafi edellyttää, että timittajalla n käytössä sen timittamaan tutteeseen tai palveluun liittyvä menetelmä riskien hallintaa varten, ellei sen tietturvallisuuden hallintajärjestelmä tue ISO standardia ja jatkuvuudenhallinnan hallintajärjestelmä ISO standardia, jtka edellyttävät sitä lähtökhtaisesti. Mikäli timittaja saa tietnsa sen tutteeseen tai palveluun mahdllisesti liittyvän riskin, uhkan, vahinktapahtuman, tietturvapikkeaman tai vastaavan muun asian n sen ilmitettava siitä Trafin spimusvastuuhenkilölle viipymättä. Spimuskumppanin (timittajan) tulee timia avimesti ja läpinäkyvästi suhteessa Trafiin. 2.5 Ilmitusvelvllisuus Trafi edellyttää, että sille timitettavat tutteet ja palvelut timitetaan EU-alueelta, mikäli niillä vi lla merkitystä tietturvallisuuden kannalta. Trafin tietkannat tulee vastaavasti aina säilyttää Sumessa hultvarmuusvaatimusten njalla, mikä vaatimus ei estä yksittäisten tietaineistjen luvuttamista ulkmaille. Trafilla tulee aina lla ajanmukainen tiet siitä miltä maantieteelliseltä alueelta sille timitettavat tutteet ja palvelut timitetaan. Mikäli mainituista periaatteista halutaan piketa edes saksi, n pikkeuksesta ilmitettava Trafille hyväksyntää varten. Sama ilmitusvelvllisuus kskee tutteen ja palvelun timittamiseen liittyvää muutsta, millä saattaa lla merkitystä tietturvallisuuteen. Liikenteen turvallisuusvirast

8 Palvelun timittajan tietturvallisuusvaatimukset 8(9) 2.6 Tarkastusikeus Trafilla n spimuksessa määritellyn tarkastusikeuden perusteella ikeus malla kustannuksellaan tarkastaa säännöllisesti ja tarpeelliseksi katsmassaan laajuudessa spimuskauden aikana spimuskumppanin myötävaikutuksella sen ja myös tarvittaessa sen alihankkijiden tietturvallisuutta. Trafi vi käyttää mainitun tarkastuksen surittamiseen jk mia henkilöitään tai pulueetnta ulkpulista asiantuntijaapua niin halutessaan. Spimuskumppanin (timittajan) tulee sisällyttää mahdllisten alihankkijidensa kanssa tehtäviin Trafille timitettaviin tutteisiin tai palveluihin liittyviin spimuksiin auditintiklausuuli. Auditintiklausuulin tulee mahdllistaa myös Trafin tarpeellisiksi arviimat mahdlliset auditintitimet suhteessa timittajan alihankkijihin. Spimuskumppanin (timittajan) tulee auditida säännöllisesti kalenterivusittain alihankkijitaan. Auditintien tulee perustua ennalta laadittuun suunnitelmaan ja auditintien tulee nudattaa hyviä auditintikäytäntöjä. Spimuskumppanin (timittajan) tulee infrmida Trafia tekemistään tai teettämistään auditinneista ja auditintiraprttien tulee lla Trafin saatavilla. Trafilla n tietyissä tilanteissa mahdllisuus tehdä tai teettää kullinkin tarpeellisiksi arviimansa turvallisuusselvitykset ja tehdä nimenmaiset salassapitspimukset kskien tutteiden ja palveluiden timittamista Trafille. Timittaja n velvllinen tuttamaan Trafille asetettujen vaatimusten ja Trafin massa hjeistuksessaan asettamien vaatimusten mukaisia lkeja. Trafi edellyttää tehtäväksi säännöllisiä lkitarkastuksia vähintään neljännesvusittain. Havaitut pikkeamat raprtidaan viivytyksettä Trafin spimusvastuuhenkilölle. Lisäksi Trafi tekee säännöllisiä lkitarkastuksia miin järjestelmiinsä. Timittajan tulee timittaa lkit Trafille tarkastusten yhteydessä tai muullin pyydettäessä tai säännöllisesti niin nimenmaisesti svittaessa. 2.7 Alihankinta Trafin spimuskumppanina timiva palveluntarjaja (timittaja) vi käyttää Trafille timitettavien tutteiden ja/tai palveluiden tutannssa alihankkijita. Alihankkijita käytettäessä tulee spimuskumppanin (timittajan) ttaa humin alihankinnan salta erityisesti seuraavat vaatimukset: Spimuskumppanin (timittajan) tulee hulehtia mahdllisten alihankkijidensa salta siitä, että ne täyttävät Trafille timitettavien tutteiden ja palveluiden salta tässä tietturvaliitteessä asetetut vaatimukset. Spimuskumppani (timittaja) vastaa mien alihankkijidensa timesta aina kuin masta timinnastaan. Spimuskumppanin (timittajan) tulee hulehtia, että kaikissa työntekspimuksissa n nimenmaiset ja riittävän kattavat vaitilsitumukset. Spimuskumppanilla (timittajalla) tulee lla kirjallinen ja säännöllisesti ylläpidettävä timittajien ja kumppanien hallintaperiaatteet ilmaiseva plitiikka, jka kattaa myös tietturvallisuutta, tietsujaa ja jatkuvuuden hallintaa kskevat periaatteet. Liikenteen turvallisuusvirast

9 Palvelun timittajan tietturvallisuusvaatimukset 9(9) 3 TIETOAINEISTOJEN HALLINTA Spimuskumppanilla tulee lla tietaineistjen hallinnasta kirjalliset hjeet, jtka mahdllistavat valtinhallinnn tietaineistjen hallinnalle asetettujen määräysten mukaisen timinnan. Spimuskumppanin hjeistn tulee sisältää ainakin: Tietaineistjen hallinnasta vastaava henkilö. Tietaineistjen käsittelyhjeet tietaineistn elinkaaren aikana. Trafin tietaineista saa käyttää yksinmaan kussakin spimuksessa nimenmaisesti määriteltyyn ja svittuun käyttötarkitukseen. Tietaineistn luvattman käytön estämiseksi annetut hjeet. Tietaineistturvallisuutta tukevan timinnan, kuten henkilöturvallisuuden sekä käyttöympäristön ja fyysisen ympäristön turvallisuuden määrittelyn. Liikenteen turvallisuusvirast