Ajankohtaista määräyksistä ja lainsäädännöstä. Jarkko Saarimäki Kehityspäällikkö

Transkriptio

1 Ajankohtaista määräyksistä ja lainsäädännöstä Jarkko Saarimäki Kehityspäällikkö

2 Sisältö Hosting-palveluntarjoajien rooli Viestintäviraston näkökulmasta Ilmoitukset tietoturvaloukkauksista ja Vika- ja häiriötilanteista Tilastointi Tietoyhteiskuntakaari Viestintäviraston määräysten kehittyminen Jarkko Saarimäki, kehityspäällikkö

3 Hosting-palveluntarjoajien rooli Viestintäviraston näkökulmasta Hosting-palveluntarjoajalle ei ole mitään roolia Toiminta ratkaisee Palvelintilan vuokraaminen ja ylläpitäminen ei ole teletoimintaa Liikenteen ohjaaminen palvelimille voi olla Oman roolin tunnistaminen välttämätöntä Edellytyksenä, että palveluntarjoajalla on omia laitteita, jotka osallistuvat viestien välittämiseen Teletoiminnan harjoittajat ovat teleyrityksiä Viestintämarkkinalaki ja SVTsL soveltuvat Myös Vivin määräykset Velvoitteet kohdistuvat usein kaikkiin toimijoihin Tämä ei tee kaikesta toiminnasta teletoimintaa Jarkko Saarimäki, kehityspäällikkö

4 Sama kuvana Viestinnän välittäjät Viestinnä n osapuoli Teleyritys Teleyritys (hosting) (hosting) Teleyritys Teleyritys Yhteisö Yhteisö tilaaja tilaaja Viestinnä n osapuoli Jarkko Saarimäki

5 Keskeiset velvoitteet Välitettäviä tietoja saa käsitellä ainoastaan laista löytyvillä perusteilla» Viestien ja tunnistamistietojen käsittelysäännöt» Osapuolen suostumus Velvollisuus huolehtia palvelun tietoturvasta» SVTsL 20 antaa oikeuden tiettyihin tietoturvatoimenpiteisiin Ilmoitusvelvollisuus vika- ja häiriötilanteista sekä tietoturvaloukkauksista ja uhkista» Tietoturvaloukkaukset ja niiden uhkat» Vika- ja häiriötilanteet

6 Tietoturvailmoitukset tilaajalle ja käyttäjälle Teleyrityksen palveluun kohdistuva erityinen uhka» Haavoittuvuudet, päätelaitteisiin kohdistuvat uhkat...» MPS 9 Ajankohta» Ilmoitettava viipymättä» Ilmoitusta voidaan poikkeuksellisesti lykätä jos uhkaan ei ole ratkaisua Sisältö» Kerrottava tilaajan ja käyttäjän käytettävissä olevista toimenpiteistä uhkan torjumiseksi sekä niiden todennäköisistä kustannuksista» Selvitettävä tilaajalle ja käyttäjälle heiltä odotettavat toimenpiteet sekä heihin vaikuttavat teleyrityksen toimenpiteet Ilmoitustapa» Teleyrityksen internet-sivuilla tai muulla tarkoituksenmukaisella tavalla

7 Tietoturvailmoitukset Viestintävirastolle Merkittävistä tietoturvaloukkauksista ja tietoturvauhkista» Uhkat joista teleyritys on tietoinen» Tietomurrot ja niiden yritykset, tietoturvaloukkaukset...» MPS 9 Ajankohta» Ilmoitettava aina välittömästi, voidaan täydentää Sisältö» Toimenpiteet joilla uusiutuminen estetään» Mikä taho loukkauksen tai uhan on aiheuttanut» Miten tietoturvaloukkaus on aiheutettu» Kuinka laajat sen vaikutukset ovat Ilmoitustapa» Ilmoitus on tehtävä kirjallisesti, sähköinen riittää» Tapahtumailmoituslomake

8 Mitä ilmoituksen tekeminen aiheuttaa? Ilmoituksen lähettäminen osoitus teleyrityksen tietoturvallisuuden hallintajärjestelmän asianmukaisesta toimivuudesta CERT-FI-yksikön resurssit käytettävissä tietoturvaloukkaustilanteen selvittelyssä Tuki valtakunnalliselle tilannekuvalle» Voidaan varoittaa muita

9 Huomioitavaa Täydellistä tietoturvaa ei ole. Tietoturvaloukkaustapahtumia sattuu ennemmin tai myöhemmin myös teleyrityksille ja teleyritysten omissa tuotantoympäristöistä» Lomakkeen ehkä tärkein asia on ohjata pohtimaan kuinka tapaus on vältettävissä jatkossa» On suurempi vahinko vain peitellä tapahtuma kuin todeta tapahtunut ja ottaa opiksi Tietoturvaloukkausilmoitukset käsitellään Viestintävirastossa luottamuksellisesti (JulkL k)

10 Vika- ja häiriöilmoitukset Viestintävirastolle Yleisten viestintäverkkojen ja -palvelujen viat ja häiriöt luokitellaan niiden viestintäpalveluille aiheuttamien vaikutusten perusteella neljään eri vakavuusluokkaan: A, B, C ja D. Teleyrityksen on tehtävä Viestintävirastolle ilmoitus kaikista sellaisista viestintäverkkojen ja -palvelujen vioista tai häiriöistä, jotka ovat vakavuusluokkaa A, B tai C, ja jotka ovat kestäneet yhtäjaksoisesti vähintään 30 minuutin ajan. Teleyrityksen on ilmoitettava ilman aiheetonta viivästystä Viestintävirastolle merkittävästä alenemasta viestintäverkkojen tai -palvelujen hallintakyvyssä, jos sen vaikutuspiiriin kuuluvassa viestintäverkossa tai -palvelussa voi syntyä 9 :n tarkoittama vakavuusluokan A tai B vika tai häiriö. Tulkintaa avattu MPS 57 -dokumentissa

11 A ja B luokan viat

12 A ja B luokan viat

13 Vika- ja häiriöilmoitukset käyttäjälle Teleyrityksen on tiedotettava käyttäjille vähintään sellaisista viestintäverkkonsa tai - palvelunsa vioista tai häiriöistä, jotka kestävät yhtäjaksoisesti yli 60 minuuttia ja vaikuttavat vähintään 250 käyttäjään. Jos puhelinpalvelun, tekstiviestipalvelun tai internet-yhteyspalvelun vika tai häiriö kestää yhtäjaksoisesti yli viikon ajan, on teleyrityksen tiedotettava viasta tai häiriöstä käyttäjille, vaikka vika vaikuttaisi alle 250 käyttäjään. Tulkintaa avattu MPS 57 -dokumentissa

14 Tilastointi käsitellyistä tietoturvaloukkaustapauksista Teleyrityksen on tilastoitava käsittelemänsä tietoturvaloukkaustapaukset ja niiden vuoksi suoritetut toimenpiteet tyypeittäin. Tilastosta on käytävä ilmi ainakin seuraavat asiat: 1. teleyrityksen käsittelemien tietoturvaloukkaustapausten kokonaismäärä 2. tietoturvaloukkaustapausten aiheuttamien jatkotoimenpiteiden määrä toimenpidetyypeittäin 3. kuinka moni teleyrityksen tilaaja on joutunut tietoturvaloukkaustapausten aiheuttamien jatkotoimenpiteiden kohteeksi asiakasryhmittäin

15 Tilastointi Vika- ja häiriötilanteista Teleyrityksen on laadittava ja ylläpidettävä seuraavat tilastot sellaisista D-luokan vioista ja häiriöistä, jotka ovat kestäneet yhtäjaksoisesti vähintään 30 minuuttia: 1. Asiakkaiden ilmoittamien vikojen ja häiriöiden korjausaika viestintäpalveluittain. 2. Verkonhallinnan havaitsemien, korjaustoimenpiteitä vaatineiden vikojen ja häiriöiden korjausaika viestintäverkon tai -palvelun komponenteittain. 3. Verkonhallinnan havaitsemien, korjaustoimenpiteitä vaatineiden vikojen ja häiriöiden alkuperäiset syyt viestintäverkon tai -palvelun komponenteittain.

16 Tietoyhteiskuntakaari Hallituksen kesäkuussa 2011 laatima ohjelma sisältää kirjauksen tietoyhteiskuntakaaresta, johon kootaan keskeiset sähköistä viestintää ja tietoyhteiskunnan palvelujen tarjontaa koskevat säännökset. Esimerkiksi elinkeinoelämä on ollut huolissaan sähköistä viestintää koskevan normiston hajanaisuudesta. Tietoyhteiskuntakaaren tarkoituksena on poistaa sähköistä viestintää koskevan lainsäädännön päällekkäisyydet sekä selkeyttää, ajanmukaistaa ja parantaa sääntelyä. Jarkko Saarimäki, kehityspäällikkö

17 Sisällytettävät lait Sähköisen viestinnän tietosuojalaki 516/2004 Viestintämarkkinalaki 393/2003 Laki radiotaajuuksista ja telelaitteista 1015/2001 Laki lapsipornografian levittämisen estotoimista 1068/2006 Laki televisio- ja radiotoiminnasta 744/1998 Verkkotunnuslaki 228/2003 Laki eräiden suojauksen purkujärjestelmien kieltämisestä 1117/2001 Laki eräiden radiotaajuuksien huutokaupoista 462/2009 Laki tietoyhteiskunnan palvelujen tarjoamisesta 458/2002 Jarkko Saarimäki, kehityspäällikkö

18 Sisällytettävät lait Lähde: LVM Jarkko Saarimäki, kehityspäällikkö

19 Turvallisuus-toimiala Riskienhallinta Jarkko Saarimäki, Kehityspäällikkö

20 Määräyskoordinaatio Viestintäviraston määräyskoordinaatio on keskitetty turvallisuussääntely-ryhmälle Tavoitteena toiminnan kehittäminen ja tasalaatuistaminen Sidosryhmäyhteistyön merkitys tulee korostumaan entisestään Teleyritykset Määräystyöryhmä Ohjauskatsaus Valvonta Teleyritystarkastukset Jarkko Saarimäki, kehityspäällikkö

21 Määräyskorit Tietoturvallisuus ja sen hallinta Määräys 9 - Tietoturvaloukkausten ilmoitusvelvollisuudesta yleisessä teletoiminnassa Määräys 11 - Sähköpostipalvelujen tietoturvasta ja toimivuudesta Määräys 13 - Internet-yhteyspalvelujen tietoturvasta Määräys 43 - Viestintäverkon sähköisestä suojaamisesta Määräys 47 - Teleyritysten tietoturvallisuuden hallinnasta Verkonhallinta, varmistaminen ja näiden suunnittelu/hallinta Määräys 26 - Digitaalisen puhelinverkon synkronoinnista Määräys 33 - Hätäliikenteen ohjauksesta ja varmistamisesta Määräys 54 - Viestintäverkkojen ja -palvelujen varmistamisesta Määräys 57 - Viestintäverkkojen ja -palvelujen ylläpidosta sekä menettelystä ja tiedottamisesta vika- ja häiriötilanteissa Luottamus palveluihin Määräys 7 - Tunnistuspalvelun tarjoajien ja yleisölle laatuvarmenteita tarjoavien varmentajien ilmoitusvelvollisuudesta Viestintävirastolle Määräys 8 - Tunnistuspalvelun tarjoajien ja laatuvarmenteita tarjoavien varmentajien toiminnan luotettavuus- ja tietoturvallisuusvaatimuksista Määräys 53 - Tunnistamistietojen tallentamisvelvollisuudesta Jarkko Saarimäki, kehityspäällikkö

22 [Esittäjän nimi, titteli] [pvm] 22