Tietoturvan ja -etosuojan suhde sovelluskehityksessä An6 Vähä- Sipilä Tietoturva ry SFS:n seminaari 26.11.2013 avs@iki.fi, TwiHer @an6vs
TIETOTURVAN JA TIETOSUOJAN OLEMUKSIEN EROT
Tietoturva LuoHamuksellisuus Eheys Saatavuus
Tietoturva vs. -etosuoja LuoHamuksellisuus Eri luohamuksellisuusluokkia (henkilö-edot, arkaluontoiset) Eheys Oikeellisuusvaa-mus Saatavuus Tarkastusoikeus Poisto- oikeus (right to erasure)
Tietosuojatyö on -etoturvatyötä Tietoturvaa voi olla olemassa ilman -etosuojaa (yksityisyyden suojaa), muha -etosuojaa ei voi tehdä ilman -etoturvaa ( There can be security without privacy, but no privacy without security )
Myös ris-riitoja on Tietoturva Haluaa kahavat lokit Tietojen siirto voi olla turvallista rajojen yli Varmuuskopio tuo turvallisuuha Tietosuoja muha lokista voi tulla henkilörekisteri muha ei välhämähä laillista kunnes kellarin nauhoilta on poistehava henkilö-etoja
Regulaa-o & riskit Tietoturva Vähemmän regulaa-ota Sopimussakkoja & brändiongelmia Tietosuoja Enemmän regulaa-ota Sakkoja ja linnaa
Ohjelmistokehitysnäkökulma Bisnes- vaa-mukset Tekniset vaa-mukset Tietosuoja- ja -etoturvavaa-musten ero on vielä nähtävissä Koodaus ja testaus Operoin-
Ohjelmistokehitysnäkökulma Bisnes- vaa-mukset Tekniset vaa-mukset Koodaus ja testaus Operoin- ja täällä -etosuojavaa-mukset näyhävät -etoturvalta
Ohjelmistokehitysnäkökulma Bisnes- vaa-mukset Tekniset vaa-mukset Koodaus ja testaus Operoin- Jossain tällä välillä on uhkamallinnus eli arkkitehtuurin uhka- analyysi, ehkä tärkein yhdysside -etosuojavaa-musten ja -etoturvatoteutuksen välillä Voi olla tekninen osa PIA:ta (Privacy Impact Assessment)
Ohjelmistokehitysnäkökulma Bisnes- vaa-mukset Tekniset vaa-mukset Koodaus ja testaus Operoin- Täältä on saatava todisteita -etoturvallisesta toteutuksesta
Ohjelmistokehitysnäkökulma Bisnes- vaa-mukset Tekniset vaa-mukset Koodaus ja testaus joha täällä voidaan olla varmoja, ehä -etosuoja on turvahu Onko todisteita PIA:n perusteella -latusta ak-vitee-sta? Operoin-
OHJELMISTOKEHITYKSEN TIETOTURVATYÖ
Ohjelmistojen -etoturvatyö Sarja ak-viteeheja, joiden pitäisi taata -etoturvallisuus Tietoturvallisuuden takaaminen on esiehto -etosuojavaa-musten täyhymiselle Useita eri näkökulmia, mitä tämä voi tarkoihaa
Kaksi eri esimerkkinäkymää -etoturvatyöhön ISO 27034 Konteks-t: Liiketoiminnallinen Lainsäädännöllinen Tekninen Sovelluksen speksit Henkilöiden roolit Tietoturvakontrollit Prosessikirjasto Sovellusturvallisuuden elinkaarimalli Koordinoija ONF CommiHee BSIMM 112 ohjelmisto- turvallisuusak-vitee6a jaehuna 12 eri kategoriaan ja kolmeen kypsyysasteeseen Vasemmalla mainihujen konteks-en, roolien ja määrihelyjen selvihäminen ovat mukana ak-viteeheina Koordinoija Sobware Security Group
Mallien eroja ISO 27034-1 Yhteiset käsiheet ja strukturoitu kuvaus ohjelmistoturvallisuusprosessista, ei kerro mitä tehdään BSIMM Tutkimus ja vertailudataa siitä, mitä turva- ak-viteeheja yritykset tekevät, ei norma-ivinen Microsob SDL, OpenSAMM, VAHTI- sovellusturvallisuusohje, ym. Ohjeellinen lista turva- ak-viteeteista, joita mallin tekijän mukaan pitäisi tehdä
ISO/IEC 27034 LÄHEMMIN
ISO/IEC 27034-1:2011 MääriHelee tukun käsiheitä Applica-on Security Management Process (ASMP) Organiza-on Norma-ve Framework (ONF) Applica-on Norma-ve Framework (ANF) Applica-on Security Controls (ASC) Osa 1 sinällään ei anna paljoa eväitä varsinaisiin kontrolleihin / ak-viteeheihin Tarvitaan vielä muita lähteitä konkre-an saamiseksi
ISO/IEC 27034-1:2011 ONF ANF Organiza-onal Norma-ve Framework Organisaa-on ohjelmistoturvallisuuteen vaikuhavat asiat ja kontrolli- eli ASC- kirjasto Applica-on Norma-ve Framework Sovellus/projek-kohtainen osajoukko
ISO/IEC 27034-1:2011 Sovellusturvallisuuden hallintaprosessi (ASMP) 1. Vaa-musmääriHely 2. Riskien arvioin- 3. ANF:n määrihely 4. Sovelluksen toteutus (provisioning) ja käyhö 5. Auditoin- Perinteinen vesiputousmalli näkyvissä, ohjelmistokehitys kohdassa 4
ISO/IEC 27034:n jatko 27034-2 (valmis 2015) Organiza-on Norma-ve Framework MääriHelee tarkemmin sovellusturvallisuuselinkaaren 27034-3 (2017) Applica-on Security Management Process 27034-4 (2017) Applica-on Security Valida-on 27034-5 (2016) ASC Data Structures Paljon XML:ää 27034-6 (2016) Security Guidance for Specific Applica-ons
OSTAMASSA SOFTAA, JOLLA ON TIETOSUOJATARPEITA?
Turvallisen soban ostaminen 1 Kypsiä ohjelmistoturvallisuusprosesseja on harvassa Erityises- -etosuojan on oltava mukana vaa-muksissa, koska sitä ei voida luoda jälkikäteen testaamalla tai tarkastamalla Tietosuojan ja -etoturvan on oltava mukana laadullisina vaa-muksina Tärkeää on vaa-a todisteita turvallisuusak-vitee6en suorihamisesta, koska vain ao. ak-vitee-t takaavat laadullisten -etosuojavaa-musten toteutumisen
Turvallisen soban ostaminen 2 Kysy toimihajalta, miten -etosuoja (ja turva) toteutetaan Projekteissa ja firmojen toimintatavoissa on eroja, joten ei ole yhtä ainoaa oikeaa vastausta Vaadi täsmällinen kuvaus ak-viteeteista (tai ISO 27034:n kontrolleista), eli enemmän kuin lista niistä Listaksi käy Vendor BSIMM tai oma kysymyslista, muha vaadi -etää miten ne tehdään
Turvallisen soban ostaminen 3 Arvioi toimihajan ymmärrys vastauksen perusteella KaHaako vastaus kaikki ISO 27034-1:n ONF:n osa- alueet Osaako toimihaja antaa käytännön esimerkkejä ak-viteeteista Vertaa toimihajan listaa esim. BSIMMin listaan, myöhemmin ehkä myös ISO 27034-5
Turvallisen soban ostaminen 4 Jos toimihaja ei osaa sanoa ak-vitee-n hintavaikutusta, he eivät ehkä ole koskaan oikeas- tehneet sitä Muista: Tämä on bisnestä. Kaikkea ei tarvitse tehdä jäännösriski vs. kustannukset Jos toimihajan vastaus keskihyy vain testaukseen tai tarkastukseen, he eivät ymmärrä aihealueha kokonaisuutena Muista: Tietosuojaa ei voi luoda testaamalla
Kommen-t & yms. avs@iki.fi TwiHer: @an6vs Pari referenssiä: Microsob SDL ja ISO 27034 BSIMM