Yhteenveto 1 (16) Kyberturvallisuuskeskus Dnro: 1.10.2014 238/651/2013 NCSA-toiminnon hyväksymät salausratkaisut Kyberturvallisuuskeskuksen kansainvälisiin tietoturvavelvoitteisiin liittyviin tehtäviin kuuluu salaustuotteiden hyväksyntä kansainvälisen turvallisuusluokitellun tiedon suojaamiseksi Suomessa. Salaustuotteiden hyväksyntäviranomaisesta käytetään EU:ssa lyhennettä CAA (Crypto Approval Authority). NCSA-toiminto huolehtii CAA-vastuista Suomessa. Tämä lista sisältää EU:n neuvoston, sen pääsihteerin sekä NCSA-toiminnon hyväksymiä salaustuotteita EU:n turvallisuusluokitellun tiedon suojaamiseen. Lista sisältää myös NCSA-toiminnon hyväksymiä salaustuotteita kansallisiin suojaustasoihin luokiteltujen tietojen suojaamiseen. Listan tuotteet on hyväksytty käytettäväksi tiedon luottamuksellisuuden ja eheyden suojaamiseen korkean uhkatason ympäristössä. Korkea uhkataso tarkoittaa esimerkiksi viestintää avointen verkkojen, kuten Internetin, yli. Se voi tarkoittaa myös järjestelmää, joka on hyväksytty lähetettävän tiedon turvallisuusluokkaa matalammalle turvallisuusluokalle. Listan soveltamisesta muihin uhkatasoihin saa tarvittaessa neuvoja NCSA-toiminnolta. 1 Tämän listan muutokset suhteessa aiemmin julkaistuun versioon (20.12.2013) 1.1 Lisäykset Suomalaisen Deltagon -salaimen versio 3.3.0 on hyväksytty kansalliselle suojaustason IV tiedolle. NCSA-toiminnon hyväksymää käyttöpolitiikkaa tulee noudattaa. Alankomaalaisen Sectra Panthon -salaimen versio 3 on hyväksytty - tason tiedolle ja kansalliselle suojaustason IV tiedolle. Alankomaiden viranomaisen tuotteen käyttöön tulee huomioida. Saksalaisen SINA L3 Box H -salaimen versio 2.2 on hyväksytty - tason tiedolle ja kansalliselle suojaustason II tiedolle. Saksan viranomaisen tuotteen käyttöön tulee huomioida. Saksalaisen SINA L3 Box S -salaimen versio 2.2 on hyväksytty - tason tiedolle ja kansalliselle suojaustason IV tiedolle. Saksan viranomaisen tuotteen käyttöön tulee huomioida. Saksalaisen Genua Genuscreen -salaimen versio 3.0 on hyväksytty - tason tiedolle ja kansalliselle suojaustason IV tiedolle. Saksan viranomaisen tuotteen käyttöön tulee huomioida. Saksalaisen Genua Genucard -salaimen versio 3.0 on hyväksytty - tason tiedolle ja kansalliselle suojaustason IV tiedolle. Saksan viranomaisen tuotteen käyttöön tulee huomioida. 1.2 Poistuneet tuotteet Tuotteita ei ole poistettu listalta, mutta Truecrypt-salausohjelmiston tuki valmistajan puolelta on lakannut. Kannattaa huomioida, että Truecrypt on Suomessa hyväksytty ainoastaan osioiden (container) salaamiseen ja vain noudattaen
2 (16) NCSA-toiminnon antamia ohjeita. Kiintolevyn salaus Truecryptillä ei ole hyväksytty yleisesti millekään suojaustasolle. 1.3 Muutokset voimassaoloon Tässä päivityksessä ei ole tehty muutoksia hyväksyntien voimassaoloon. Yleisenä sääntönä tämän listan hyväksynnät ovat voimassa toistaiseksi, ellei muuta ilmoiteta. 2 NCSA-toiminnon hyväksymät salaustuotteet EU:n turvallisuusluokitellulle tiedolle Kun EU:n turvallisuusluokiteltujen tietojen suojaamiseen käytetään salaustuotteita, tulee niiden olla hyväksyttyjä EU:n turvallisuussääntöjen 10 artiklan 6 kohdan mukaisesti. Kyseisen kohdan mukaan EU:n CONFIDENTIEL UE/EU CONFIDENTIAL (C- UE/EU-C) tai RESTREINT UE/EU RESTRICTED () turvallisuusluokiteltujen tietojen luottamuksellisuus voidaan suojata jäsenvaltioiden kansallisissa järjestelmissä salaustuotteilla, jotka on hyväksynyt jäsenvaltion salaustuotteiden hyväksyntäviranomainen (CAA). SECRET UE/EU SECRET () tai sitä korkeamman turvallisuusluokan tietojen luottamuksellisuus, ja kansallisten järjestelmien ulkopuolella C-UE/EU-C ja turvallisuusluokan tietojen luottamuksellisuus, on suojattava salaustuotteilla, jotka on hyväksynyt salaustuotteiden hyväksyntäviranomaisena toimiva neuvosto tai vastaavasti neuvoston pääsihteeri. Tärkeää: Salaustuotteiden käyttöönotossa on syytä huomioida, että hyväksyntään yleensä liittyy lisäehtoja. Siksi suositamme, että jo uusia järjestelmiä suunniteltaessa otetaan yhteyttä NCSA-toimintoon. EU:n turvallisuussääntöjen mukaan kaikilta EU:n turvallisuusluokiteltua tietoa käsitteleviltä järjestelmiltä edellytetään myös kansallisen SAA-toimijan (Security Accreditation Authority, Suomessa NCSA-toiminto) tarkastusta ja hyväksyntää. Ks. "NCSA- FI:n suorittama tietojärjestelmien tietoturvallisuushyväksyntä". 1 NCSA-toiminnon hyväksynnän perusteena on salaustuotteen tietoturva-arviointi, jonka on EU-maan toimivaltainen salaustuotteiden hyväksyntäviranomainen (CAA) tehnyt tai valvonut. 1 https://www.viestintavirasto.fi/tietoturva/viestintavirastontietoturvapalvelut/ncsa-fi.html
3 (16) 2.1 SECRET UE/EU SECRET Tuote Versio Tyyppi Valmistaja Turvaluokka Ehdot ARANA VPN system v1.3.3 IP-salain Advenica (TSA) huomioitava turvallisuusmenettelyissä. ARANA VPN system v1.3.1 IP-salain Advenica (TSA) huomioitava turvallisuusmenettelyissä. CAPUCINE (TRC 7514) X.25 -salain Thales CM 109 IP v1-ue IP-salain Selex S.p.A.(IT) Echinops IP-salain Thales (ANSSI) huomioitava turvallisuusmenettelyissä. ELCRODAT 6-2 S tai M (EUmalli) /modeemi (ISDN) Rohde & Schwarz HANNIBAL /modeemi (ISDN) Selex Ltd.
4 (16) Mobile Encryption Device (MED) 7301-C (GSM, PSTN) AB (SE) Tiger XS: mobiili -laite, XO: toimistomalli /modeemi (GSM, PSTN, ISDN) BV (NL) Turvallisuusluokitellussa arviointiraportissa on käyttöä koskevia erityisohjeita, joita on noudatettava. Tiger XS v3.4: mobiili -laite, XO v3.4: toimistomalli /modeemi (GSM, PSTN, ISDN) BV (NL) SINA Box P v1.4.4 IP-salain secunet AG Turvallisuusluokitellussa arviointiraportissa on käyttöä koskevia erityisohjeita, jotka on otettava huomioon. SINA Box P IP-salain secunet AG SINA L3 Box H v2.2 IP-salain secunet AG SINA Thin Client P v1.3.7 IP-salain secunet AG Arviointiraportissa on käyttöä koskevia erityisohjeita, jotka pitää huomioida. Thamer Linkkisalain Selex Ltd. Turvallisuusluokiteltu arviointiraporti sisältää lisävaatimuksia käytölle.
5 (16) 2.2 CONFIDENTIEL UE/EU CONFIDENTIAL Tuote Versio Tyyppi Valmistaja Turvaluokka Ehdot AEP Net EE Net Remote 1r4 IP-salain AEP C-UE/EU-C Turvallisuusluokitellussa arviointiraportissa on käyttöä koskevia erityissuosituksia, jotka on huomioitava turvallisuusmenettelyissä. AEP Net EE100M 6r4 IP-salain AEP C-UE/EU-C Turvallisuusluokitellussa arviointiraportissa on käyttöä koskevia erityissuosituksia, jotka on huomioitava turvallisuusmenettelyissä. AEP Net EE20M 6r4 IP-salain AEP C-UE/EU-C Turvallisuusluokitellussa arviointiraportissa on käyttöä koskevia erityissuosituksia, jotka on huomioitava turvallisuusmenettelyissä. Tiger 1 (DECT, GSM) AB (SE) C-UE/EU-C SINA Box S IP-salain secunet AG C-UE/EU-C Arvioijalla voi olla SINA Box S v1.4.4 IP-salain secunet AG C-UE/EU-C SINA L3 Box E v2.2 IP-salain secunet AG C-UE/EU-C
6 (16) 2.3 RESTREINT UE/EU RESTRICTED Tuote Versio Tyyppi Valmistaja Turvaluokka Ehdot ACID Cryptofiler v7 (EU) ACID Technologies Becrypt DISK Protect Baseline v7.3.3 Kiintolevysalain Becrypt Ltd Becrypt DISK Protect Baseline v3.4.7 Kiintolevysalain Becrypt Ltd otettava huomioon. Cryhod v2.0 Kiintolevysalain Prim'X Technologies Cryptoguard VPN VPN-salain Compumatica secure networks BV (NL) Turvallisuusluokitellussa arviointiraportissa on käyttöä koskevia erityissuosituksia, jotka on huomioitava turvallisuusmenettelyissä. DCAP v4.0.2 VPN-salain Thales e- Security Ltd. tuotteen FILKRYPTO PGBI v1.0.5 Tutus Data FILKRYPTO PGBI v1.0.4 Tutus Digital Gatekeepers (SE)
7 (16) FILKRYPTO PGBI v1.0.5l Tutus Data Genua Genucard v 3.0 VPN-salain Genua mbh MISTRAL TRC 7535 v7.0.2 VPN-salain Thales MISTRAL TRC 7539-11-A v7.0.1 VPN-salain Thales NETASQ Firewall-VPN 8 VPN-salain NETASQ huomioitava turvallisuusmenettelyissä. NETASQ Firewall-VPN v.5 VPN-salain NETASQ PGAI 9401 v3.0.6 VPN-salain Tutus Data PGAI 9401 v3.1.7 VPN-salain Tutus Data PGAI 9421 v1.1.6 VPN-salain Tutus Data
8 (16) PGAI 9421 v1.2.1 VPN-salain Tutus Data tuotteen Panthon 2 (VoIP) BV (NL) tuotteen Panthon 3 (VoIP) Sectra Communication BV (NL) Secuvoice SNS v1.0 (Symbian) (GSM) Secusmart GmbH tuotteen SiMKo 2 (Windows Mobile) v2.3-2.6 Sähköpostin salaus älypuhelimel -le T-Systems International GmbH tuotteen SINA L3 Box S v2.2 IP-salain secunet AG TrueCrypt v7.0, v7.1, v7.1a (osioiden salaus) TrueCrypt Developers Association Vain kansallisissa järjestelmissä. Vain ohjeiden mukainen käyttö on hyväksyttyä. Ohjeet saa tarpeen mukaan NCSA-toiminnolta. (ks. yhteystiedot luvusta 5) TrueCrypt v7.0, v7.1, v7.1a sähköpostin salaukseen TrueCrypt Developers Association Vain kansallisissa järjestelmissä. Vain ohjeiden mukainen käyttö on hyväksyttyä. Ohjeet saa tarpeen mukaan NCSA-toiminnolta. (ks. yhteystiedot luvusta 5)
9 (16) Zed! v4.0 Prim'X Technologies tuotteen ZoneCentral v5.0 Kiintolevysalain Prim'X Technologies tuotteen 2.4 Lyhenteiden merkitys sarakkeessa 'Turvaluokka', kun tiedon omistaja on EU : Tuote on hyväksytty EU:n turvaluokitellun tiedon suojaamiseen SECRET UE/EU SECRET -tasolle. C-UE/EU-C: Tuote on hyväksytty EU:n turvaluokitellun tiedon suojaamiseen CONFIDENTIEL UE/EU CONFIDENTIAL -tasolle asti. : Tuote on hyväksytty EU:n turvaluokitellun tiedon suojaamiseen RESTREINT UE/EU RESTRICTED -tasolle. 3 NCSA-toiminnon hyväksymät salausratkaisut kansallisiin suojaustasoihin luokitelluille tiedoille Salaustuotteiden hyväksyntäviranomaisen hyväksyntää edellytetään salaustuotteelta, kun haetaan hyväksyntää tietojärjestelmälle tai tietoliikennejärjestelyille, perustuen kansainvälisten tietoturvavelvoitteiden täyttämiseen (L 588/2004). Hyväksyntää voidaan edellyttää myös silloin, kun hyväksyntäprosessin perustana on laki viranomaisten tietojärjestelmien ja tietoliikennejärjestelyjen tietoturvallisuuden arvioinnista (L 1406/2011). Salaustuotteiden käyttöönotossa on syytä huomioida, että hyväksyntään saattaa liittyä lisäehtoja. Siksi suositamme, että uusia järjestelmiä rakennettaessa ja epäselvissä tilanteissa otetaan yhteyttä NCSA-toimintoon. Kansallisiin suojaustasoihin luokitellun tiedon suojaamiseen hyväksytyistä tuotteista myös avaintenhallintaratkaisut on hyväksytettävä kansallisesti, joko SAA:n tietojärjestelmähyväksynnän yhteydessä tai erillisillä menettelyillä. NCSA-toiminnon kansallisen hyväksynnän perusteena on salaustuotteen tietoturva-arviointi, jonka toimivaltainen salaustuotteiden hyväksyntäviranomainen on tehnyt tai valvonut. 3.1 Suojaustaso Tuote Versio Tyyppi Valmistaja Turvaluokka Ehdot ARANA VPN system v1.3.1 IP-salain Advenica AB (SE) Vain rajatuissa tapauksissa. Arvioijalla on ARANA VPN system v1.3.3 IP-salain Advenica AB (SE) Vain rajatuissa tapauksissa. Arvioijalla on
10 (16) CAPUCINE (TRC 7514) X.25-salain Thales CM 109 IP v1-ue IP-salain Selex S.p.A.(IT) Echinops IP-salain Thales ELCRODAT 6-2 S tai M (EUmalli) /modeemi (ISDN) Rohde & Schwarz HANNIBAL /modeemi (ISDN) Selex Ltd. Mobile Encryption Device (MED) 7301-C (GSM, PSTN) Arvioijalla voi olla Tiger XS: mobiili -laite, XO: toimistomalli /modeemi (GSM, PSTN, ISDN) BV (NL) Tiger XS v3.4: mobiili -laite, XO v3.4: toimistomalli /modeemi (GSM, PSTN, ISDN) BV (NL) SINA Box H v2.2 IP-salain secunet AG SINA Box P v1.4.4 IP-salain secunet AG Turvallisuusluokitellussa arviointiraportissa on käyttöä koskevia erityissuosituksia.
11 (16) SINA Box P IP-salain secunet AG SINA L3 Box H v2.2 IP-salain secunet AG SINA Thin Client P v1.3.7 VPN-salain secunet AG NLNCSA:lla on Thamer Linkkisalain Selex Ltd. TrueCrypt v7.0, v7.1, v7.1a (osioiden salaus) TrueCrypt Developers Association Vain ohjeiden mukainen käyttö on hyväksyttyä. Ohjeet saa tarpeen mukaan NCSA-toiminnolta. (ks. yhteystiedot luvusta 5) 3.2 Suojaustaso I Tuote Versio Tyyppi Valmistaja Turvaluokka Ehdot AEP Net EE Net Remote 1r4 IP-salain AEP I tuotteen AEP Net EE100M 6r4 IP-salain AEP I tuotteen AEP Net EE20M 6r4 IP-salain AEP I tuotteen
12 (16) Insta Safelink v2.3c, v2.5 VPNsalain Insta Defsec Oy (FI) I Vain laatiman käyttöpolitiikan mukainen käyttö on hyväksyttyä. Ohjeet saa tarpeen mukaan Insta Defsec Oy:ltä. Tiger 1 (DECT, GSM) AB (SE) I tuotteen SINA Box S IP-salain secunet AG I tuotteen SINA Box S v1.4.4 IP-salain secunet AG I tuotteen SINA L3 Box E v2.2 IP-salain Secunet AG I tuotteen Stonesoft FW/VPN FW-1302, FW-3206 ja Stonesoft SMC Ohjelmistoversio 5.5.1 build 9848.openssl.1 ja SMC ohjelmistoversio 5.5.1 build 8530. VPNsalain Stonesoft Oyj I Vain laatiman käyttöpolitiikan mukainen käyttö on hyväksyttyä. Ohjeet saa tarpeen mukaan Stonesoft Oyj:ltä. TrueCrypt v7.0, v7.1, v7.1a sähköpostin salaukseen TrueCrypt Developers Association I Vain ohjeiden mukainen käyttö on hyväksyttyä. Ohjeet saa tarpeen mukaan NCSAtoiminnolta. (ks. yhteystiedot luvusta 5)
13 (16) 3.3 Suojaustaso Tuote Versio Tyyppi Valmistaja Turvaluokka Ehdot ACID Cryptofiler v7 (EU) ACID Technologies Becrypt DISK Protect Baseline v7.3.3 Kiintolevysalain Becrypt Ltd Becrypt DISK Protect Baseline v3.4.7 Kiintolevysalain Becrypt Ltd Cryhod v2.0 Kiintolevysalain Prim'X Technologies Cryptoguard VPN VPN-salain Compumatic a secure networks BV (NL) DCAP v4.0.2 VPN-salain Thales e- Security Ltd. Deltagon Sec@GW 3.3.0 Sähköpostin salaus Deltagon Group Oy Vain laatiman käyttöpolitiikan mukainen käyttö on hyväksyttyä. Ohjeet saa tarpeen mukaan Deltagon Group Oy:ltä FILKRYPTO PGBI v1.0.5 L Tutus Data FILKRYPTO PGBI v1.0.4 Tutus Digital Gatekeepers (SE) FILKRYPTO PGBI v1.0.5 Tutus Data Genua Genuscreen v 3.0 VPN-salain Genua mbh
14 (16) MISTRAL TRC 7535 v7.0.2 VPN-salain Thales MISTRAL TRC 7539-11-A v7.0.1 VPN-salain Thales NETASQ Firewall-VPN v.5 VPN-salain NETASQ NETASQ Firewall-VPN 8 VPN-salain NETASQ PGAI 9401 v3.1.7 VPN-salain Tutus Data PGAI 9401 v3.0.6 VPN-salain Tutus Data PGAI 9421 v1.1.6 VPN-salain Tutus Data PGAI 9421 v1.2.1 VPN-salain Tutus Data PGP- ja GPG -tuotteet Sähköpostin salaus useita Kysy hyväksyttyjä versioita ja ohjeita. Vain ohjeiden mukainen käyttö on hyväksyttyä. Ohjeet saa tarpeen mukaan NCSA-toiminnolta. (ks. yhteystiedot luvusta 5) Panthon 2 (VoIP) BV (NL) Panthon 3 (VoIP) Sectra Communication BV (NL)
15 (16) Secuvoice SNS v1.0 (Symbi an) (GSM) Secusmart GmbH SiMKo 2 (Windows Mobile) v2.3-2.6 Sähköpostin salaus älypuhelimelle T-Systems International GmbH SINA L3 Box S v2.2 IP-salain secunet AG Zed! v4.0 Prim'X Technologies ZoneCentral v5.0 Kiintolevysalain Prim'X Technologies 3.4 Lyhenteiden merkitys sarakkeessa 'Turvaluokka', kun tiedon omistaja on kansallinen : Tuote hyväksytty suojaustasolle IV luokitellun tiedon suojaamiseen. I: Tuote hyväksytty suojaustasolle III luokitellun tiedon suojaamiseen. : Tuote hyväksytty suojaustasolle II luokitellun tiedon suojaamiseen. 4 Lisätietoja 1. Neuvoston päätös turvallisuussäännöistä EU:n turvallisuusluokiteltujen tietojen suojaamiseksi (2011/292/EU), http://eurlex.europa.eu/lexuriserv/lexuriserv.do?uri=oj:l:2011:141:0017:0065:fi:pdf 2. Laki kansainvälisistä tietoturvallisuusvelvoitteista (588/2004), http://www.finlex.fi/fi/laki/alkup/2004/20040588 3. Laki viranomaisten tietojärjestelmien ja tietoliikennejärjestelyjen tietoturvallisuuden arvioinnista (1406/2011), http://www.finlex.fi/fi/laki/alkup/2011/20111406 5 Yhteystiedot Kyberturvallisuuskeskus Viestintävirasto PL 313 00181 Helsinki Itämerenkatu 3 A Helsinki Puhelin 09 69 661 Faksi 09 6966 410
WWW- osoite: https://www.viestintavirasto.fi/tietoturva/viestintavirastontietoturvapalvelut/ncsafi.html Sähköposti: NCSA-toiminnon asiat: ncsa (at) ficora (piste) fi 16 (16)