Kyberturvallisuus Petri Vilander, Kyberturvallisuuspäällikkö, Elisa Oyj
Kyberturvallisuus toiminta Valtio Kyberturvallisuuden poliittinen ohjaus kuuluu valtioneuvostolle, joka päättää myös strategisista linjauksista, kyberturvallisuuden voimavaroista ja toimintaedellytyksistä. Ministeriöt ja virastot vastaavat toimialalleen kuuluvasta strategian toimeenpanosta, kyberturvallisuustehtävien toteuttamisesta ja niiden kehittämisestä sekä kyberhäiriötilanteiden hallinnasta. Kyberturvallisuustehtävät ovat Yhteiskunnan turvallisuusstrategiassa määritettyihin strategisiin tehtäviin liittyviä ministeriöiden tehtäviä. Toiminnassaan ministeriöiden on aina otettava huomioon kansallinen ja kansainvälinen yhteistyö, hallinnon eri tasot sekä elinkeinoelämän ja järjestöjen rooli. Yritys? Vaatimukset ja lainsäädäntö Tietoturvan hallintomalli Tietoturvajohtaminen Tietoturvapolitiikka Tietoturva-arkkitehtuuri Roolit ja vastuut Tietoturvajohto Yritysjohto 2
Agenda 1 2 3 4 5 3
Onko Elisalla jotain tekemistä yhteiskunnan seitsemän elintärkeän toiminnon ylläpidossa Onko Elisalla roolia näiden elintärkeiden toimintojen ylläpitämisessä?? Mihin kaikkeen osallistumme? Olemmeko toteuttaneet riskiarvioon perustuvan jatkuvuussuunnittelun? Olemmeko varautuneet? 4 Lähde: Yhteiskunnan turvallisuusstrategia (YTS 2010)
Tulevaisuuden näkymä tuo haasteita yrityksille Kyber megatrendi Asiakkaiden odotukset Digitalisaatio Laki vaatimukset Brändi Luotettavuus Liiketoiminnnan jatkuvuus 5 SISÄINEN
Osaaminen Lukuja 6
Elisa ja Kyberturvallisuus opas - http://hub.elisa.fi/lataa-opaskyberturvallisuuden-johtamiseen/ Yrityksen kyberturvallisuudessa on kyse laajemmasta ulottuvuudesta kuin tietoverkon ja yrityksen ICT-ympäristön turvallisuudesta sekä niitä uhkaavista hyökkäyksistä Kyberturvallisuuteen liittyy olennaisesti myös Fyysinen turvallisuus Toimitilat Henkilöstö ja johto Viestintä Ulkoiset sidosryhmät 7
Kyberturvallisuus ja suojautuminen Ihminen, hallintajärjestelmä, arkkitehtuuri, teknologia ja viestintä
Tiedon lähteet; arvot, politiikat, ohjeet, periaatteet Yläpuoli auttaa työntekijää ymmärtämään mitä häneltä odotetaan päivittäisessä työnteossa Alapuolella käyttäjän motivaatio asettaa rajoja omalle toiminnalle Vanhempien työkavereiden ohjaus ja esimerkki Ohjeiden noudattamiseen vaatima työmäärä ja joustamattomuus Käyttäjän oma toiminta ja päätöksenteko valmius eri tilanteissa Sisäiset tietoturvauhat: - Käyttäjän tekemät virheet - Välinpitämättömyys - Sisäiset hyökkäykset - Yleinen huolimattomuus Työntekijän omat arvot ja asenteet Työntekijän suhde työnantajaan
Hallintajärjestelmä Sisältää tietoturvallisuuden johtamiseen ja hallintaan liittyvät: organisaatiorakenteen politiikat periaatteet suunnittelu- ja kehittämistoimenpiteet vastuut menettelytavat menetelmät prosessit mittarit 10 resurssit Lähde: Valtori, Pekka Ristimäki
Kokonaisarkkitehtuuri Järjestelmäarkkitehtuuri Kaiken perusta ja yhdistää osa-alueet toisiinsa - Järjestelmäsalkku - Järjestelmien väliset liittymät - Järjestelmien vastuut ja rajaukset Tietoturva Hallintomalli Ohjaa kehitystä kokonaisarkkitehtuurin mukaisesti: - Päätöstasot ja foorumit - Prosessit - Toiminta- ja ohjausmallit - Roolit - Vastuut ja valtuudet Teknologia-arkkitehtuuri Arkkitehtuurin suunnittelu seuraa muita osa-alueita - standardit - kehitys- ja seurantatyökalut - Teknologiarajaukset Liiketoiminta-arkkitehtuuri Toiminne joka ohjaa kokonaisarkkitehtuurin suunnittelua: - Strategiset liiketoimintatavoitteet - Organisaatio - Sidosryhmät - Prosessit - Palvelut Periaatetaso Luo perustan kokonaisarkkitehtuurille ja sitä toteuttaville projekteille: - Kokonaisarkkitehtuurin periaatteet ja linjaukset - Tietoturvapolitiikka ja periaatteet - Ulkopuoliset, ohjaavat tekijät Tietoarkkitehtuuri Toimii ns. jalkoina jonka varaan kokonaisuus rakentuu - Käsitteet - Tietovarastot ja tietovirrat - Masterdata - Metadata 11
Teknologian käsitekartta Lähde:Helmikuu 2016 Valtioneuvoston selvitys ja tutkimustoiminnan julkaisusarja 9/2016 12
Viestintä - tilannekuvat - tilannetietoisuus Turvallisuuden strategiaa toteutetaan pitkäjänteisesti aika lasketaan vuosissa. Verkko sen sijaan syöttää uutta tietoa toimintaympäristöstä ja yhteiskunnan odotuksista vuorokauden ympäri vuoden jokaisena päivänä. Tällaisessa toimintaympäristössä viestinnän tehtävä ei ole helpoimmasta päästä. Viestinnän täytyy tietää asioista ensimmäisenä heti johdon jälkeen, mutta kuka päättää mitä ja miten tiedotamme jos kysymys negatiivisesta asiasta, varsinkin kun vaikutukset eivät ole tiedossa. Tilannekuva voi koskea esimerkiksi verkkojen ja -palvelujen toimivuutta, saatavuutta, kyvykkyyttä, tietoturvallisuutta tai muutosta ja kehitystä Tieto- ja kybertilannekuva taas sisältää tietoa palveluihin kohdistuneista uhkista ja riskeistä Toimivuuden tilannekuva sisältää tietoisuuden vika- ja häiriötilanteista tai tietoisuuden palveluiden toiminnasta. Saatavuuden tilannekuva sisältää käsityksen verkkojen/palveluiden maantieteellisistä peittoalueista tai palvelutarjonta-alueista. Kyvykkyyden tilannekuva voi kertoa palvelun kapasiteetista ja sen riittävyydestä tai yleisemmin kyvystä tarjota tiettyjä esim. viestintäpalveluita. Kehityksen ja muutoksen tilannekuva kertoo verkkoihin ja palveluihin suunnitelluista rakennemuutoksista tai kehitysnäkymistä ja tarpeista - > trendeistä
Esimerkki: tietojärjestelmä ja verkko 14
Digitaalisen ympäristön suojaaminen - johtajan muistilista 16
17 SISÄINEN
7 pääperiaatetta Seuraa kansallista ja kansainvälistä vaatimuksiin liittyvää toimintaa Keskity tietoon, ei teknologiaan Tee tietoturvasta ja sietokyvystä tietoista toimintaa Valmistaudu vastamaan asiakkaille Johdon pitää näkyä Tavoitetilan ja vision toteuttaminen Valitse oikeat kumppanit 18
Kiitos!