TAISTO18-HARJOITUSKÄSIKIRJA - PÄIVI- TETTY VERSIO 1.02 Ohjeita TAISTO18 -harjitukseen valmistautuville rganisaatiille
OHJE [Numer] 3 (20) Harjituskäsikirja Palvelut Digitalisaati ja digitaalinen turvallisuus Rusku Kimm DOKUMENTINHALLINTA Omistaja Kimm Rusku Laatinut Kimm Rusku Tarkastanut Juhta- ja VAHTI-asiantuntijaryhmät Hyväksynyt 21.8.2018 Kirsi Janhunen, Juha Kirves, Hanna Heikkinen VERSION HALLINTA versinr mitä tehty pvm/henkilö 0.72 Lunnsversi 2.8.2018 KR 0.75 1.00 Ensimmäisen kmmentintikierrksen perusteella päivitetty versi laajemmalle kmmentintikierrkselle TAISTO18-harjitukseen sallistuville rganisaatiille tarkitettu harjituskäsikirja 9.8.2018 KR 21.8.2018 KR 1.02 Lisätty Liite 2 päivitettyjä hjeita harjitukseen liittyen 18.10.2018 KR
OHJE [Numer] 4 (20) Harjituskäsikirja Palvelut Digitalisaati ja digitaalinen turvallisuus Rusku Kimm Sisällysluettel 1 Taustalla valtivarainministeriön yhteishankkeet tietsujan- ja tietturvallisuuden kehittämiseksi... 5 1.1 Lppuvuden työpajat... 5 1.2 Ajankhtaiskatsaukset... 6 1.3 Ketkä vastaavat harjituksen tteuttamisesta... 6 2 Kenelle harjitus n tarkitettu?... 7 3 Mitä harjituksessa harjitellaan?... 7 4 Miten harjitukseen tulee valmistautua?... 9 4.1 Mistä edellisiin löytyy lisätieta?...10 4.2 Kenen tulisi sallistua harjitukseen rganisaatista?... 11 4.3 Käytännön vinkkejä nnistuneen harjituspäivän ja harjituksen tteuttamiseksi...12 5 Miten harjitus tulee käytännössä etenemään?... 13 5.1 Harjituspäivän aikataulu sekä käytettävät palvelut... 13 5.2 Sähköpsti... 13 5.3 Taist-harjituksen www-palvelu...14 5.4 Skype-kkus...14 5.5 Deltagn D-frms-lmakealusta...14 6 Mitä rganisaatin kannattaa tehdä harjituksen jälkeen... 16 7 Palautteen antaminen sekä palauteseminaari 23.1.2019... 17 8 Liitteet...18 8.1 Liite 1. Harjituslki...18 8.2 Liite 2. Päivitetty hjeistus kskien harjitukseen valmistautumiseen ja itse harjituspäivään liittyen... 19
OHJE [Numer] 5 (20) Harjituskäsikirja Palvelut Digitalisaati ja digitaalinen turvallisuus Rusku Kimm TAISTO18-HARJOITUSKÄSIKIRJA - PÄIVITETTY VERSIO 1.02 Tämän käsikirjan tarkituksena n valmentaa julkishallinnnrganisaatiita valmistautumaan TAISTO18-harjitukseen. Käsikirjassa kerrtaan harjituksesta yleisesti sekä pastetaan, miten keskeiset prsessit täyttävät niin tietturvallisuudelta kuin tietsujalta edellytettävät vaatimukset. Käsikirjassa kerrtaan myös, miten rganisaatin tulisi hyödyntää harjituksen ppeja sekä kuinka jkainen rganisaati vi antaa palautetta harjituksesta, sekä kuinka se tulee itse saamaan palautetta harjituksen aikaisesta timinnasta. Tivmme, että tätä asiakirjaa ei julkaista avimesti netissä ennen marraskuun harjituskuukauden päättymistä, jnka jälkeen julkaisemme kaiken harjitusmateriaalin yleisesti kaikkien saataville. 1 Taustalla valtivarainministeriön yhteishankkeet tietsujan- ja tietturvallisuuden kehittämiseksi 1.1 Lppuvuden työpajat Valtivarainministeriön asettamat julkisen hallinnn tiethallinnn neuvttelukunta (Juhta) ja julkisen hallinnn digitaalisen turvallisuuden jhtryhmä (VAHTI) järjestävät 2017 2018 kaksi yhteishanketta, jiden tarkitus n kehittää julkisen hallinnn rganisaatiiden tietsujaa sekä tietturvallisuutta. Yhteishankkeeseen sallistumalla rganisaati saa hyvät valmiudet muuttuvan tietsujalainsäädännön edellyttämiin muutksiin. Yhteishankkeissa n tutettu tietsujakulutusvideita, nettitestejä ja järjestetty työpajatilaisuuksia. Työpajissa n käsitelty tietsuja-asetuksen eri sa-alueita, riskienhallintaa ja tietturvallisuutta julkishallinnn näkökulmasta. Tarkempaa tieta pidetyistä ja tulevista työpajista sekä niiden materiaalit vat tietsujanyhteishankkeiden verkksivulla vm.fi:ssä (http://vm.fi/tietsujan-yhteishankkeet). Tietsujaan liittyvät kulutusvidet löytyvät sitteesta http://www.arjentietsuja.fi. Materiaalit ja tilaisuudet vat maksuttmia. Lppuvuden 2018 aikana tteutetaan vielä kaksi työpajaa, jtka järjestetään: 20.11.2018 VM Nh Paja tai verkklähetys 4.12.2018 Yhteishankkeen päätöstilaisuus pidetään Säätytallla Jkaisessa näistä tilaisuuksista kerrtaan TAISTO18-harjituksen valmistelun etenemisestä sekä annetaan vinkkejä harjitukseen valmistautumiseen. Tämän lisäksi kerrmme yleisesti harjittelun tärkeydestä sana tietturvallisuuden ja tietsujan kehittämistä VAHTI-kesäseminaarissa 31.8. Seminaariin vi sallistua paikan päälle tai sitä vi seurata netistä ilmittautumalla sitteessa: https://www.webrplsurveys.cm/s/d78a6c9951807381.par - vit myös katsa tilaisuuden verkktallenteen jälkikäteen
OHJE [Numer] 6 (20) Harjituskäsikirja Palvelut Digitalisaati ja digitaalinen turvallisuus Rusku Kimm 1.2 Ajankhtaiskatsaukset Mikäli julkisen hallinnn rganisaatisi ei le ilmittautunut sallistuvansa työpajihin, se n edelleen mahdllista sitteessa: https://www.lyyti.fi/questins/46d441ee05 Mikäli yksittäinen asiantuntija haluaa saada lisätieta tulevista työpajista ja sallistua niiden seuraamiseen nettilähetyksen avulla, tivmme myös tästä ilmittautumista: https://www.lyyti.fi/questins/f243109a0d Kaikki yhteishankkeissa tutettu materiaali löytyy sitteesta: https://vm.fi/juhta-vahti-yhteishankkeiden-materiaalit - jkaisesta työpajatilaisuudesta löytyy videtallenne sekä tilaisuudessa läpikäydyt esitysmateriaalit ja mahdlliset harjitustehtävät - lisäksi sivustlla n paljn muita hyödyllisiä työkaluja, jita susittelemme jkaista TAISTO18-harjitukseen sallistuvaa rganisaatita sveltamaan massa timinnassaan. Näiden lisäksi Valtivarainministeriö tteuttaa vunna 2018 klme ajankhtaiskatsausta digitaalisen turvallisuuden eri sa-alueista yhteistyössä Turvallisuuskmitean, Viestintävirastn Kyberturvallisuuskeskuksen, tietsujavaltuutetun timistn sekä Väestörekisterikeskuksen kanssa. Ajankhtaiskatsausten ideana n kta ajankhtaista tieta digiturvallisuuden eri sa-alueista niin, että hallinnn henkilöstö vi hyödyntää sitä työssään. Jkainen katsaus sisältää useita videita eri khderyhmille, esimerkiksi henkilöstölle, ICT- ja tietturva- sekä tietsujahenkilöille sekä rganisaatin jhdlle. Organisaati vi itse päättää miten se jakelee ja hyödyntää julkaistavia videita. Nämä videblgit vat vapaasti kaikkien katseltavissa: https://vm.fi/digiturva Tukkuussa julkaistussa katsauksessa n kaksi videta liittyen TAISTO18-harjitukseen: Miksi ja miten rganisaati vi sallistua henkilötietjen tietturvalukkausten hallintaa edistävään TAISTO18-harjitukseen? Miksi rganisaatillesi n tärkeää sallistua TAISTO18-harjitukseen? 1.3 Ketkä vastaavat harjituksen tteuttamisesta Harjituksen peratiivisena tteuttajana timii Väestörekisterikeskus. Harjituksen suunnittelussa sekä harjituspäivien tteuttamisessa vat mukana myös Pliisi, tietsujavaltuutetun timist, Valtin tiet- ja viestintätekniikkakeskus (Valtri) sekä Viestintävirastn Kyberturvallisuuskeskus ja Kuntaliitt. Lisätieta harjituksesta antaa: VAHTI-pääsihteeri Kimm Rusku, puh. 029553 5120, kimm.rusku@vrk.fi
OHJE [Numer] 7 (20) Harjituskäsikirja Palvelut Digitalisaati ja digitaalinen turvallisuus Rusku Kimm 2 Kenelle harjitus n tarkitettu? Harjitus n tarkitettu kaikille julkishallinnn rganisaatiille. Harjitukseen vi sallistua myös sellaiset timijat, jtka valtinhallinnn tai muu julkisen hallinnn rganisaati mistaa 100-prsenttisesti. Tällainen vi lla esimerkiksi kunnan mistama yritys, jka timii rganisaatin sellaisena palvelututtajana, jnka tulee tällaiseen harjitukseen sallistua. Harjitus ei le tarkitettu tässä vaiheessa yrityksille. Sen sijaan kaikki keskeiset harjitukseen liittyvät materiaalit tullaan jakamaan avimesti julukuussa 2018 siten, että jkainen rganisaati vi halutessaan tteuttaa itsenäisesti vastaavanlaisen harjituksen julkaistun materiaalin perusteella. Materiaali julkaistaan TAISTO18-harjituksen nettisivustlla ja siitä tiedtetaan erikseen. 3 Mitä harjituksessa harjitellaan? Tässä harjituksessa emme anna suraan vinkkejä tai tulkintahjeita siitä, tapahtuuk harjituksessa tietturva- tai henkilötietjen tietturvalukkaus vaan se n harjitukseen sallistuvien rganisaatiiden arviitava. Harjituksessa harjitellaan kahta keskeistä, jkaisen rganisaatin timintaan liittyvää kknaisuutta: 1) tietturvallisuuden hallinta miten rganisaatin n tteuttanut kulunvalvnnan sen timitilihin, jtta sellaisiin tilihin, jissa käsitellään salassa pidettäviä tietja, ei ulkpulisilla le pääsyä miten varmistetaan, että esimerkiksi ICT-palveluissa ja käytettävissä päätelaitteissa (esimerkiksi tietkneet, tabletit, älypuhelimet) n hulehdittu tarvittavista tietturvapäivityksistä, jtta tietturvahaavittuvuuksien hyödyntäminen ei le helppa miten timitaan, js nusee epäilys siitä, että rganisaatin (salassa pidettäviä) tietja n päätynyt ulkpulisille tahille, esimerkiksi tietmurrn jhdsta mahdllisesti tarvittava yhteydenpit rganisaatin ICT-palveluita tuttavaan timittajaan ICT-palvelutimittajan tällöin surittamat timenpiteet muu tällaisessa tilanteessa edellytettävä jhtaminen 2) tietsuja-asetuksen mukainen timinta henkilötietjen tietturvalukkauksessa nk tehty arviintia rekisteröidyn ikeuksiin ja vapauksiin khdistuvista riskeistä?
OHJE [Numer] 8 (20) Harjituskäsikirja Palvelut Digitalisaati ja digitaalinen turvallisuus Rusku Kimm miten rganisaatissa timitaan, js käy ilmi, että rganisaatin henkilötietja n päätynyt ulkpulisille tahlle mikäli rganisaati tteaa, että sen käyttämissä palveluissa n tapahtunut tietmurt ja/tai henkilötietjen tietturvalukkaus, miten tällöin timitaan? miten tilannetta jhdetaan? miten rganisaati arvii, nk henkilötietjen tietturvalukkauksesta mudstunut riskiä rekisteröityjen ikeuksiin ja vapauksiin? miten rganisaati arvii edellä mainitun riskin suuruuden? kuinka tämän mahdlliset ilmitukset viranmaisille ja rekisteröidyille tteutetaan, esimerkiksi tietturvalukkausten salta Viestintävirastn Kyberturvallisuuskeskukselle riksilmituksen salta Pliisille henkilötietjen tietturvalukkausten salta tietsujavaltuutetun timistlle sekä mahdllisesti rekisteröidyille tehtävät ilmitukset miten rganisaati viestii mahdllisesti tapahtuneesta tietturva- tai henkilötietjen tietturvalukkauksesta rganisaatin sisällä, asiakkaille, muille sidsryhmille ja mediaan? Harjituksessa n pääpain henkilötietjen tietturvalukkauksiin liittyvissä prsesseissa ja timinnassa, mutta tätä edeltää tilanteeseen jhtava tietturvalukkaus. Edellä n kuvattu keskeisimmät harjituspäivän aikana nusevat asiat, jihin rganisaatin tulee valmistautua. Organisaati vi myös laajentaa tai muuten lisätä harjituspäivään muita sellaisia asiita, jiden tteutumista se haluaa harjituksessa arviida.
OHJE [Numer] 9 (20) Harjituskäsikirja Palvelut Digitalisaati ja digitaalinen turvallisuus Rusku Kimm 4 Miten harjitukseen tulee valmistautua? Edellisessä luvussa n kuvattu niitä asiita, jihin harjituspäivän aikana tulee varautua. Käytännössä tämä tarkittaa sitä, että rganisaatilla tulisi lla hjeistus / spimus / prsessi esimerkiksi seuraavista asiita: 1) Miten timitaan, js rganisaatissa havaitaan tai sille ilmitetaan tietturvalukkauksesta, esimerkiksi tietmurrsta sen järjestelmään? Miten rganisaati n spinut ja miten vidaan valva, että sille ICT-palveluita tuttavat timittajat hulehtivat tietturvapäivitysten jakelusta rganisaatin käytössä leviin tai sen mistamiin palveluihin ja sen henkilöstön käytössä leviin päätelaitteisiin? nk rganisaatin nettisivuilla ja intranetissä hjeet siitä, miten sille vidaan ilmittaa mahdllisista tietturvapikkeama-epäilyistä? Miten näiden ilmitusten käsittely n vastuutettu, myös lma-aikina? 2) Miten tulee timia, js rganisaatissa havaitaan tai sille ilmitetaan henkilötietjen tietturvalukkauksesta? Miten selvitetään ja vidaan varmistua tiedn laadusta ja alkuperästä? Mikäli vidaan varmista, että n tapahtunut henkilötietjen tietturvalukkaus, millainen hjeistus ja prsessi sillä n tällaisessa tilanteessa timimiseen? Miten rganisaati arvii rekisteröityyn tällaisessa tilanteessa khdistuvat uhat? Onk rganisaatissa valmiina hjeet mahdllisten viranmaisille tehtävien ilmitusten sekä niiden rekisteröityjen tavittamiseksi, jita n tarpeen infrmida? Millaisia, turvallisia välineitä käytetään esimerkiksi rekisteröidyille suunnatussa viestinnässä? Miten tapahtuman aiheuttanut pikkeama, esimerkiksi tietturvalukkaus saadaan krjattua ja estettyä sen tistumasta? 3) Yleistä tietturvallisuuden ja tietsujan kehittämisessä ja ylläpitämisessä humiitavaa Onk rganisaatilla vimassa leva, ajan tasalla leva hjeistus timitilaturvallisuuden salta esimerkiksi vieraiden vastaanttamisesta ja pääsystä sen timitilihin? Millin hjeistus ja timintamalli n läpikäyty tätä palvelua tuttavan alihankkijan tai/ja rganisaatin man henkilöstön kanssa Onk rganisaatilla vimassa levat spimukset sisältäen svitut timenpiteet henkilötietjen ja salassa pidettävien tietjen käsittelyn salta niiden alihankkijiden tai henkilötietjen käsittelijöiden kanssa, jtka näitä käsittelevät?
OHJE [Numer] 10 (20) Harjituskäsikirja Palvelut Digitalisaati ja digitaalinen turvallisuus Rusku Kimm Miten rganisaati n velvittanut sille palveluita tuttavat alihankkijat ilmittamaan mahdllisista tietturvapikkeamista tai henkilötietjen tietturvalukkauksista? Onk rganisaati hjeistanut, missä tilanteissa ja keneltä edellytetään minkä tasista henkilöturvallisuusselvitystä? 4.1 Mistä edellisiin löytyy lisätieta? Edellä kuvattuja asiita n läpikäyty useammassa Juhta/VAHTI-hankkeiden työpajissa, jista keskeisimpiä vat: Riskienhallinta työpajat #2 #3 #4 sekä Tietturvapikkeama- ja tietsujalukkaustilanteiden hallinta - työpajat #6 #7 Viestintä häiriö- ja kriisitilanteissa - työpaja #12 Lisäksi: Tietsuja-asetus, artiklat 32 34 sekä lisäksi jhdant-san khdat 83, 85 88 https://eur-lex.eurpa.eu/legal-cntent/fi/txt/?uri=uriserv:oj.l_.2016.119.01.0001.01.fin&tc=oj:l:2016:119:full Näiden hella tietsujavaltuutetun timistn sivustlla n hyödyllisiä hjeita: https://tietsuja.fi/etusivu Riskien arviinti sana henkilötietjen käsittelyä https://tietsuja.fi/arvii-riskit - sivun alaisuudesta löytyy khta Vaikutustenarviinti, jssa n mm. kriteerit krkean riskin arviimiseksi https://tietsuja.fi/vaikutustenarviinti Ohjeita kskien tietturvalukkausta https://tietsuja.fi/tietturvalukkaukset Muita materiaaleja: VM julkaisu 22/2017 Ohje riskienhallintaan Riskienhallintatyökalu - Excel - perusversi Riskienhallintatyökalu - Excel - laajempi versi Ohje riskienhallintatyökaluun 8/2017 Tietturvapikkeamatilanteiden hallinta
OHJE [Numer] 11 (20) Harjituskäsikirja Palvelut Digitalisaati ja digitaalinen turvallisuus Rusku Kimm Ohjeita kskien henkilöturvallisuusselvitysten tekemiseen http://www.sup.fi/turvallisuusselvitykset/henkilturvallisuusselvitys 4.2 Kenen tulisi sallistua harjitukseen rganisaatista? Kska kyseessä n tietturva- ja henkilötietjen tietturvalukkaustilanteiden hallinnan harjitus, edellyttää tämä seuraavien rlien mukaisten henkilöiden sallistumista harjituspäivään ja myös ennaklta siihen valmistautumiseen Jhdn edustaja - kska n mahdllista, että harjituspäivän aikana tilanne eskalituu sellaiseksi, että se vaatii jhdn edustajalta päätöksiä ja/tai asian viemistä myös rganisaatin ylimmän jhdn tietn, jhdn edustaja tulee lla tavitettavissa harjituspäivän aikana ainakin sähköisesti tulemme tarjamaan mahdllisuuden harjituksessa harjitella kriisiviestintää median suuntaan, julkaisemme viden, jssa median edustaja esittää rganisaatin (jhdn tai muun svitun tahn) edustajalle sellaisia kiperiä kysymyksiä, jita tällaisessa tilanteessa vi kuvitella esitettävän Tietturvallisuuden vastuuhenkilö(t) - vastuuhenkilöä tarvitaan niissä tilanteissa, jissa rganisaati tteaa, että kyseessä n tietturvalukkaus tai tietturvapikkeama. Vastuuhenkilön tehtävänä n tällöin hulehtia tämän tilanteen hitamisesta lemassa levien hjeiden ja prsessien mukaisesti Tietsujavastaava(t) - vastuuhenkilöä tarvitaan niissä tilanteissa, jissa rganisaati tteaa, että kyseessä n henkilötietjen tietturvalukkaus. Vastuuhenkilön tehtävänä n tällöin hulehtia tämän tilanteen hitamisesta lemassa levien hjeiden ja prsessien mukaisesti Viestintä-asiantuntija - viestintä-asiantuntijaa tarvitaan siinä vaiheessa, kun rganisaati tteaa, että jk/tai n tapahtunut sellainen tietturvapikkeama henkilötietjen tietturvalukkaus, jssa rganisaatin tulee viestiä eri ryhmille ICT-asiantuntija - harjitus liittyy vahvasti rganisaatin käytössä leviin tai myös sen tuttamiin ICT-palveluihin ja sen henkilöstön käytössä leviin päätelaitteisiin, jten harjituksessa tarvitaan henkilöä, jlla n tiet siitä, miten näitä palveluita rganisaatille tutetaan tai hän tietää ne henkilöt, jtka näistä asiista vastaavat Edellisen lisäksi harjitukseen n mahdllista ttaa mukaan myös muita henkilöitä / rleja. Eräs susiteltava rli n harjituksen ulkpulinen tarkkailija, jka visi kirjata ylös havaintja harjituspäivän aikana. Tällöin niiden kirjaaminen ei lisi varsinaisten harjitukseen sallistuvien
OHJE [Numer] 12 (20) Harjituskäsikirja Palvelut Digitalisaati ja digitaalinen turvallisuus Rusku Kimm henkilöiden tehtävä. Harjituksen jälkeen rganisaatin lisi mahdllista tehkkaasti tunnistaa ja kehittää maa timintaa näiden havaintjen perusteella. 4.3 Käytännön vinkkejä nnistuneen harjituspäivän ja harjituksen tteuttamiseksi Varaa harjituspäivää varten sellainen tila, jssa siihen sallistuvat henkilöt vivat rauhassa kkntua. Varmista, että ne henkilöt jtka eivät sallistu harjitukseen paikan päälle fyysisesti, vat yhteydessä ryhmään tarvittavia viestintävälineitä käyttäen. Varaa myös harjituspäivään sallistuvien henkilöiden kalentereista kyseinen ajankhta. Kkntukaa mielellään vähintään kaksi kertaa ennen harjitusta, käykää läpi tämä harjituskäsikirja, varmistakaa että lette lukeneet ja ymmärtäneet tässä käsikirjassa käsitellyt asiat. Tarkistakaa, että teillä n lemassa timintahjeet (prsessit) aikaisemmin tässä luvussa kuvattuja tilanteita varten. Tarkistakaa, että teillä n tarvittavat yhteystiedt esimerkiksi kriittisten ICT-palvelututtajien tukipalveluihin sekä kirjattuna ja hjeistettuna muun muassa seuraavat linkit ja ilmituskanavat: Viestintävirastn Kyberturvallisuuskeskus ilmitus tietturvapikkeamasta https://www.viestintavirast.fi/asiikanssamme/ilmituksetjamuutlmakkeet/tietturvailmituksetja-hakemukset/ilmitustietturvalukkauksesta.html Tietsujavaltuutetun timist ilmitus henkilötietjen tietturvalukkauksesta https://tietsuja.fi/ilmitus-tietturvalukkauksesta Pliisi riksilmitus https://www.pliisi.fi/rikkset/sahkinen_riksilmitus Susittelemme tutustumaan näihin ilmitussivustihin ennaklta ja etenkin varmistamaan, että rganisaati n käynyt läpi niissä levat tarvittavat tiedt. Vastatkaa hulella harjitukseen liittyviin raprtintipisteisiin, jissa rganisaati vastaa, kuinka se n timinut harjituksessa esille nusseisiin tilanteisiin. Kirjatkaa päivän aikana ylös saman tien sellaisia havaintja, jtka edellyttävät teiltä hjeistuksen tai timintaprsessin kehittämistä. Spikaa mielellään muutaman päivän sisälle harjitukseen sallistuneen ryhmän kkus, jssa tarkastelette harjituspäivää ja käytte läpi keskeiset havainnt harjitukseen liittyen sekä svitte, miten harjituspäivän aikana tehtyjä havaintja jhdetaan timinnan kehittämiseksi. Kirjatkaa keskeiset tapahtumat ja timenpiteet erilliseen harjituslkiin. Lkista n malli liitteessä 1.
OHJE [Numer] 13 (20) Harjituskäsikirja Palvelut Digitalisaati ja digitaalinen turvallisuus Rusku Kimm 5 Miten harjitus tulee käytännössä etenemään? Organisaati sallistuu harjitukseen sinä päivänä, jnka se n ilmittautuessaan valinnut eli jk 7.11. 15.11. 22.11. tai 27.11. Päivämäärää n mahdllista muuttaa vielä lkakuun lppuun saakka. Timitamme jkaiselle kyseiseen päivään sallistuneelle rganisaatille muistutusviestin viikka ja vielä päivää ennen harjitusta. 5.1 Harjituspäivän aikataulu sekä käytettävät palvelut 5.2 Sähköpsti Alustava aikataulu harjituspäivän salta n seuraava: 9.00 Harjitus käynnistyy Ensimmäinen, mahdllisesti timenpiteitä edellyttävä tapahtuma - rganisaati saa ensimmäisen harjitukseen liittyvän sähköpstiviestin 9.30 Tinen, mahdllisesti timenpiteitä edellyttävä tapahtuma 9.45 Klmas, mahdllisesti timenpiteitä edellyttävä tapahtuma 11.00 12.00 Raprtintipiste 1 rganisaati täyttää sähköisen kyselyn, jssa kysytään aamupäivän tapahtumiin liittyviä kysymyksiä siltä sin, miten rganisaati n niissä timinut 12.30 Neljäs, mahdllisesti timenpiteitä edellyttävä tapahtuma 13.45 Viides, mahdllisesti timenpiteitä edellyttävä tapahtuma 14.00 Kuudes, mahdllisesti timenpiteitä edellyttävä tapahtuma 15.00 16.00 Raprtintipiste 2 rganisaati täyttää sähköisen kyselyn, jssa kysytään iltapäivän tapahtumiin liittyviä kysymyksiä siltä sin, miten rganisaati n niissä timinut 15.45 Harjituksen rganisaatin ma debriefing-tilaisuus, sen jälkeen, kun raprtintipisteen vastaukset n lähetetty. Tässä kkuksessa n tarkitus läpikäydä päivän aikana kerätyt havainnt niiden llessa tureessa muistissa. 16.3 Harjitus päättyy Harjituksessa käytetään neljää erilaista palvelua, jiden avulla harjituspäivä tteutetaan. Yksittäinen harjituspäivä n pyritty tteuttamaan siten, että se vidaan tteuttaa vaikka yksittäisessä palvelussa esiintyisi satunnainen tekninen häiriö. Sähköpstia käytetään ennen harjitusta yleisesti TAISTO18-harjitukseen liittyvään viestintään. Lähetämme viestejä jk kaikille sallistujarganisaatiiden edustajille tai khdistetummin yksittäiseen harjituspäivään sallistuville.
OHJE [Numer] 14 (20) Harjituskäsikirja Palvelut Digitalisaati ja digitaalinen turvallisuus Rusku Kimm Harjituspäivä lähtee liikkeelle siitä, että sallistujarganisaatin yhteyshenkilö ja mahdllisesti muuhun määritettyyn sitteeseen (esimerkiksi tarkitusta varten perustettu jakelulista) tulee ensimmäinen sähköpstiviesti, jka käynnistää harjituksen. 5.3 Taist-harjituksen www-palvelu 5.4 Skype-kkus Harjitusta varten n perustettu ma www-sivust Väestörekisterikeskuksen www-palvelun alaisuuteen. Sivustn tarkitus n - timia yleisenä harjitukseen liittyvänä tiedtus- ja viestintäkanavana, myös muille kuin harjitukseen sallistuville rganisaatiille - harjituspäivän aikana sivustlla julkaistaan vastaavat harjitukseen liittyvät syötteet, jtka rganisaati saa sähköpstitse. Lisäksi sivustlla timii erillinen TAISTO-TV, jka tulee lähettämään harjituspäivän aikana ajankhtaishaastatteluita sekä muita videita harjituspäivään liittyen - marraskuun harjituskuukauden jälkeen sivustlla julkaistaan harjituksissa käytetty materiaali avimesti siten, että js jku julkishallinnn rganisaati, tai yritys tai muu yhteisö jka ei le vinut harjitukseen sallistua, pystyy sen tteuttamaan itsenäisesti harjituksen jälkeen. Timitamme sivustn sitteen kaikille rganisaatiille lkakuun aikana, jtta rganisaatit vivat tutustua sivustlla levaan materiaaliin. Sivustlla ei julkaista mitään sellaista tieta tai materiaalia, jta rganisaati ei tule saamaan muuten ennen harjitusta, sivust timii enemmän yleisenä tiedttamiskanavana ja aktivituu varsinaisesti vasta harjituspäivänä. Harjituspäivän ajaksi Väestörekisterikeskus perustaa Skype-kkuksen, jhn kutsutaan rganisaatin harjituksen yhteyshenkilö. Skype-kanava timii harjituksen teknisenä yhteydenpitkanavana. Skype-kkuksessa vi kysyä esimerkiksi syötteisiin, rganisaatilta edellytettävään raprtintiin tai muihin harjituksen hallinnllisiin ja teknisiin asiihin liittyviä kysymyksiä. Skype-kanavalla päivystää Väestörekisterikeskuksen harjitukseen sallistuva valmisteluryhmän jäsen, jka vi tarvittaessa kysyä lisätietja vastaukseen muulta valmisteluryhmältä. Tivmme, että kanavaa ei käytetä kysymyksiin liittyen siihen, miten rganisaatin tulisi timia tai miten heidän tulisi tulkita esimerkiksi syötteissä levia tietja tämä n juuri harjituksen yksi keskeinen tarkitus; rganisaati arvii ja tulkitsee sekä timii itsenäisesti harjituksessa käyttäen sen mia asiantuntijita hyödyntäen laadittuja hjeita sekä timintaprsesseja. 5.5 Deltagn D-frms-lmakealusta Tulemme keräämään harjituspäivänä ja viikn päästä sen jälkeen rganisaatilta tieta harjituksen etenemisestä. Käytämme tässä Valtin tiet- ja viestintätekniikkakeskuksen (Valtri) tuttamaa Deltagn D-frms lmakealustaa, jka timii sana valtinhallinnn yhteistä sähköpsti/viestintäratkaisua. Palvelu mahdllistaa salassa pidettävän tiedn käsittelyn turvallisesti
OHJE [Numer] 15 (20) Harjituskäsikirja Palvelut Digitalisaati ja digitaalinen turvallisuus Rusku Kimm Harjituspäivän aikana rganisaati saa kaksi kyselyä (linkkiä lmakkeisiin) liittyen harjituspäivän aikana rganisaatille lähetettyihin syötteisiin (harjitustapahtumiin). Organisaati vastaa lmakkeella leviin kysymyksiin sen mukaisesti, miten se n timinut harjitustehtävään liittyvissä asiissa. Kysymykset vat pääsin erilaisia valmiita valintakysymyksiä, mutta näiden lisäksi n mahdllista antaa myös avvastauksia.
OHJE [Numer] 16 (20) Harjituskäsikirja Palvelut Digitalisaati ja digitaalinen turvallisuus Rusku Kimm 6 Mitä rganisaatin kannattaa tehdä harjituksen jälkeen Jkaisessa harjituksessa tulee lla selkeä päämäärä ja tavite. TAISTO18-harjituksessa se n llut tietturvan ja tietsujan salta harjitella ja arviida rganisaatin tietturva- ja henkilötietjen tietturvalukkaustilanteissa tarvittavia prsesseja sekä tämän perusteella tehdä tarvittavia kehittämistimenpiteitä prsessien salta. Mikäli rganisaati n tämän käsikirjan mukaisesti kerännyt harjituksen aikana a) npeasti ja helpsti parannettavia asiita ja b) pitemmän ajan vaativia kehittämiskhteita, nämä tulisi käydä läpi ja kuvata tarkemmin. Samassa yhteydessä niille tulisi laatia realistinen aikataulu, selvittää kehittämisen edellyttämät resurssitarpeet ja vastuuttaa nämä. Tämä edellyttää useissa rganisaatiissa kehittämistimenpiteiden hyväksymistä rganisaatin jhtamisjärjestelmän mukaisesti. Organisaati tulee saamaan vuden 2018 lppuun mennessä kirjallisen palautteen liittyen sen antamiin vastauksiin harjituspäivän aikana ja myöhemmin palautekyselyssä sen antamien vastausten phjalta. Tämä raprtti timii myös yhtenä työkaluna, jnka avulla rganisaatin tulisi kehittää sen timintaa tietturva- ja henkilötietjen tietturvalukkausten salta. Valtivarainministeriö tekee myöhemmin vuden 2019 aikana uuden kyselyn, jnka avulla halutaan selvittää harjituksen vaikuttavuutta sekä rganisaatin tunnistamien kehittämiskhteiden kehittämisen etenemistä.
OHJE [Numer] 17 (20) Harjituskäsikirja Palvelut Digitalisaati ja digitaalinen turvallisuus Rusku Kimm 7 Palautteen antaminen sekä palauteseminaari 23.1.2019 TAISTO18 n ensimmäinen näin laajasti kk julkiseen hallintn suunnattu harjitus. Tivmme, että rganisaati sallistuu aktiivisesti palautteen antamiseen harjituksen tteutumisesta, sekä psitiivista että rakentavaa palautetta. Valtivarainministeriö kerää harjituksesta palautetta harjituksen jälkeen palautekyselyllä, muun muassa näiden kyselyiden perusteella saadun palautteen perusteella tehdään päätös, miten jatkssa tällaisia harjituksia n tarkitus tteuttaa. Harjituksen palauteseminaari järjestetään 23.1.2019 valtivarainministeriön auditrissa (Nh Paja). Organisaatiiden yhteyshenkilöt saavat kutsun tähän tilaisuuteen erikseen lppuvuden aikana. Seminaarissa käydään läpi sekä harjituksen yleinen eteneminen, mutta samalla nstetaan esille niitä kehittämiskhteita, jita rganisaatikhtaisen raprtinnin perusteella n pystytty tunnistamaan. Näihin kehittämiskhteisiin liittyen pyrimme tarjamaan ratkaisuja, jiden avulla rganisaatit pystyivät niiden salta kehittämään timintaa. Lisäksi tilaisuudessa annetaan tunnustuspalkintja eri kategriissa harjitukseen sallistuneille rganisaatiille. Tilaisuuteen vi sallistua paikan päällä tai sitä n mahdllista seurata myös verkn välityksellä.
OHJE [Numer] 18 (20) Harjituskäsikirja Palvelut Digitalisaati ja digitaalinen turvallisuus Rusku Kimm 8 Liitteet 8.1 Liite 1. Harjituslki Kirjatkaa harjituslkiin päivän aikana tehdyt kaikki sellaiset keskeiset tapahtumat ja havainnt, jtka edellyttävät timenpiteitä tai päätöksiä. Spikaa ennen harjittelun alkua, kuka vastaa harjituslkiin vietävien asiiden kirjaamisesta. Organisaati Tapahtuma/havaint Aika (pvä, kl) sekä kirjaaja (esimerkiksi nimikirjaimet) Timenpiteet/päätökset
OHJE [Numer] 19 (20) Harjituskäsikirja Palvelut Digitalisaati ja digitaalinen turvallisuus Rusku Kimm 8.2 Liite 2. Päivitetty hjeistus kskien harjitukseen valmistautumiseen ja itse harjituspäivään liittyen Yleistä Pääpain harjituksessa n rganisaatin mien prsessien, hjeiden ja timintamallien kehittäminen. Harjituspäivänä mallinnetaan tilanne, jssa n j mnta asiaa mennyt pieleen. Näin mahdllistetaan se, että rganisaati vi harjitella useampaa ikeissa tilanteissa mahdllisesti vastaan tulevaa asiaa. Ennen harjitusta Varmistakaa, että käytössänne n harjitusta varten spiva kkustila tai muu tilanteen jhtamisen, tteuttamisen ja seurannan mahdllistava tila (ns. tilannehune). Varatkaa tilaan harjitusta varten yksi esitystietkne, jka pelkästään näyttää harjituksessa julkaistavaa www-sivusta videprjektrilla tai riittävän islle mnitrille. Sivustlle tulee päivän aikana harjituspäivään liittyvää tukimateriaalia ja videita. Varatkaa rganisaatistanne harjituspäivään yksi varsinaisen harjituksen ulkpulella timiva henkilö, jnka tehtävä n kirjata ylös harjituspäivän tapahtumia. Tällöin harjitukseen sallistuvat asiantuntijat vivat keskittyä itse harjitukseen eikä heidän tarvitse samalla kirjata ylös havaintja. Tarkkailijan ei tarvitse lla tämän sa-alueen asiantuntija. Harjitukseen sallistuvat asiantuntijat vivat tarkkailijalle ilmittaa, mitä asiita missäkin vaiheessa tulee kirjata ylös. Mikäli tarkkailijalla n aiheen asiantuntemusta, vi hän lisäksi kirjata ylös mia havaintjaan ja kehittämisideita. Harjituspäivänä Organisaati saa syötteet jakelulistalle tai yhteispstilaatikkn, jssa n useampia vastaanttajia. Tällä tavalla rganisaatin harjitus ei esty edes mahdllisten vikatilanteiden ja akuuttien pissaljen vuksi. Jkaisen rganisaatin tulee ennaklta spia, ja varmistaa harjituspäivän aamulla, kuka rganisaatissa vastaa syötteiden lukemisesta ja sen perusteella niiden jakelusta rganisaatin harjitusryhmälle. Tämän henkilön pitää lla mukana harjituksessa. Varmistakaa, että yhdellä henkilöllä n vain yksi rli. Js henkilö(t) jutuvat sijaistamaan tisiaan, saattaa se stkea harjitustilannetta.
OHJE [Numer] 20 (20) Harjituskäsikirja Palvelut Digitalisaati ja digitaalinen turvallisuus Rusku Kimm Tärkeää - syöte numer 3 harjituspäivänä kl 9.45 Jtta harjitus tteutuu kaikilla samankaltaisesti ja saatte harjituksesta mahdllisimman suuren hyödyn, valitkaa tämän syötteen yhteydessä yksi tietjärjestelmä, jnka kuvittelette levan syötteessä levan tapahtuman khteena. Käyttäkää tätä tietjärjestelmäänne esimerkkinä kk muun harjituspäivän ajan. Emme tässä yhteydessä paljasta syötteestä sen enempää, mutta hjeistamme tästä tarkemmin myös kyseissä syötteessä. Harjituspäivän aikana vitte ttaa yhteyttä seuraaviin viranmaisiin harjituksessa kuvaillulla tavalla, mikäli päädytte päivän tapahtumien yhteydessä siihen, että yhteydentt n tarpeellinen: - Pliisi - tietsujavaltuutetun timist - Viestintävirast Kyberturvallisuuskeskus - Valtri (vain valtinhallinnn VALTTI-työasemapalvelun käyttäjät) Valtriin vitte välittää kysymykset, jtka kskevat aamupäivän syötteiden mukaista tilannetta ja sen perusteella esittäisitte ikeassakin tilanteessa humatkaa, että kska kyseessä n harjitus, rganisaatiiden antamat viestit n svitettu harjitukseen liittyen tarkitus ei le käydä sen laajempaa viestintää ulkpulisten timijiden kanssa vaan keskittyä rganisaatin sisäisen, man timinnan kehittämiseen Humiikaa, että näihin tahihin ei tule ttaa yhteyttä, kuten tdellisessa tilanteessa tehtäisiin, vaan nimenmaan harjituksen hjeistuksen mukaan. Mikäli rganisaatinne haluaa käyttää harjituksessa muita sapulia, rganisaatin tulee spia siitä erikseen ja tämä ei liity tällöin Väestörekisterikeskuksen tteuttamaan TAISTO18-harjitukseen. Harjituspäivän aikana tulee timia, kuten ikeassa tilanteessa. Organisaatin tulee tteuttaa ne sisäiset yhteydentt, sähköpstiviestit, pikaviestikeskustelut, mahdlliset tiedtteet ja muut timenpiteet, jtka se aidssa tilanteessa tteuttaisi. Muistakaa kuitenkin käyttää kaikissa viesteissä TAISTO18-HARJOITUS-alitusta, jtta kukaan ei erehdy luulemaan tilannetta ikeaksi. Tässä yhteydessä tulee humata, että harjituksessa ei käytännössä päästä eikä le tarkitus tutkia tarkemmin mahdllisen tietturvapikkeaman tai henkilötietjen tietturvalukkauksen syitä tai päästä tekemään tarkempaa tapahtuneeseen liittyvää tutkintaa (frensiikka). Organisaatin tulee sana harjituksen jatktimenpiteitä ja man timinnan kehittämistä arviida ja selvittää, kuinka harjituksen kaltaisissa tilanteissa se jatkaisi tarvittavaa tilanteen selvitystä.