KÄYTTÄJÄN TIETOTURVAOHJE Käsitelty yt-toimikunnassa 16.11.2004 Päivitetty /Timo Pirtilä
SISÄLTÖ JOHDANTO...3 Tietoturvallisuuden muistilista...3 Mitä tietoturvallisuudella tarkoitetaan?...4 Miksi tietoturvallisuus on tärkeää?...4 Lainsäädäntö tietoturvallisuuden perustana...5 Tietojen käsitteleminen...5 TIETOKONEEN KÄYTTÖ...7 Käyttöoikeudet ja salasanat...7 Internet ja sähköposti...8 Yleisperiaatteet: Internetin ja tietoverkon käyttö...8 Sähköpostin ohjaus...8 Sähköpostin käyttö...9 Roska- ja viruspostit...9 Sähköpostin rajoitukset...10 Etäkäyttö...10 Vierailijoiden työasemat...10 Toimitilojen turvallisuus...11 OMAT TIEDOT JA YKSITYISYYS...11 Ilmoitusvelvollisuus...11 Toiminta ongelmatilanteessa...12 Seuraamukset...12 Mistä saa lisätietoja?...12
TIETOTURVAOHJE 3 (12) JOHDANTO Tämä tietoturvaohje on tarkoitettu kaikille Kymenlaakson ammattikorkeakoulun tietoverkon käyttäjille: henkilökunnalle ja opiskelijoille. Ohje tiivistää keskeisimmät tietoturvallisuuden perusasiat ja antaa käytännön neuvoja tietoturvallisuuden toteuttamiseen omassa työssä. Ohjeen laatimisen pohjana on käytetty Valtiovarainministeriön Käyttäjän tietoturvaohje -dokumenttia. Tietoturvallisuuden muistilista 1. Tietoturvallisuus perustuu lainsäädäntöön ja normiohjaukseen. 2. Tietoturvallisuudesta huolehtiminen kuuluu kaikkialle ja kaikille, myös Sinulle. Tämän dokumentin pääpaino on sähköisen tiedonkäsittelyn tietoturvassa. 3. Tutustu organisaatiosi tietoturvaohjeisiin ja noudata niitä. ATK-ohjeita löytyy osoitteesta http://support.kyamk.fi/ohjeet/ ja ATK-aiheinen keskustelupalsta http://forum.kyamk.fi 4. Tietojärjestelmien käyttöön tarvitaan aina henkilökohtainen käyttöoikeus. 5. Suojaamattoman sähköpostin turvallisuus on verrattavissa postikortin turvallisuuteen. 6. Tietohallinto ottaa varmistuksia tärkeimmistä tiedoista säännöllisesti. Ota kuitenkin elintärkeistä tiedostoistasi varmuuskopio esim. CD-levylle tai muistitikulle. 7. Käytä verkkolevyjä tietojen tallennuspaikkana. Paikallisen tietokoneen kovalevylle tallennettaessa levyrikon sattuessa menetetään kaikki tiedot. 8. Internet ja sähköposti on tarkoitettu ensisijaisesti työ- ja opiskelukäyttöön. 9. Muista aina uloskirjautuminen sekä ohjelmistoista että koneelta työskentelyn päätyttyä. 10. Jos opiskelijat käyttävät muuta kuin AMK:n sähköpostijärjestelmää, tulee heidän edelleenohjata sinne oma postinsa AMK:n järjestelmästä. 11. Henkilökunnan tulee laittaa sähköpostiin automaattivastaus yli viikon poissaolosta.
TIETOTURVAOHJE 4 (12) Mitä tietoturvallisuudella tarkoitetaan? Tietoturvallisuudella tarkoitetaan tietojen, järjestelmien, palveluiden ja tietoliikenteen asianmukaista suojaamista sekä normaali- että poikkeusoloissa hallinnollisilla, teknisillä ja muilla toimenpiteillä. Tietojen luottamuksellisuutta, eheyttä ja käytettävyyttä turvataan laitteisto- ja ohjelmistovikojen, luonnontapahtumien sekä tahallisten, tuottamuksellisten tai tapaturmaisten tekojen aiheuttamilta uhilta ja vahingoilta. Tietoturvallisuuden keskeisillä käsitteillä tarkoitetaan seuraavaa: Luottamuksellisuus: tiedot ja järjestelmät ovat vain niiden käyttöön oikeutettujen käytettävissä. Sivullisille ei anneta mahdollisuutta muuttaa tai tuhota tietoja eikä muutoin käsitellä tietoja. Eheys: tiedot ja järjestelmät ovat luotettavia, oikeita ja ajantasaisia, eivätkä ne ole hallitsemattomasti muuttuneet tai muutettavissa laitteisto- tai ohjelmistovikojen, luonnontapahtumien tai inhimillisen toiminnan seurauksena. Käytettävyys: järjestelmien tiedot ja palvelut ovat niihin oikeutettujen käytettävissä etukäteen määritellyssä vasteajassa. Tiedot eivät ole tuhoutuneet tai tuhottavissa vikojen, tapahtumien tai muun toiminnan seurauksena. Muita yleisiä tietoturvallisuuteen kuuluvia vaatimuksia ovat osapuolten todentaminen ja tapahtuman kiistämättömyys, jotka ovat erityisen tärkeitä silloin, kun järjestelmän käyttäjät tulee pystyä tunnistamaan esimerkiksi käytettäessä vuorovaikutteisia sähköisiä asiointipalveluita tai etätyötä tehtäessä. Todentaminen (autentikointi) tarkoittaa osapuolten (henkilö tai järjestelmä) luotettavaa tunnistamista. Kiistämättömyys tarkoittaa tapahtuneen todistamista jälkeenpäin, jolloin tavoitteena on juridinen sitovuus. Kiistämättömyys varmistaa sen, ettei toinen osapuoli voi kieltää toimintaansa jälkeenpäin. Miksi tietoturvallisuus on tärkeää? Kymenlaakson ammattikorkeakoulun toiminta on erittäin riippuvaista tiedoista ja tietotekniikasta. Tietoyhteiskuntakehitys, kansainvälistyminen, verkottuminen sekä toimintojen ja palveluiden siirtyminen tietoverkkoihin lisäävät niiden merkitystä edelleen. Tietoturvallisuuden avulla varmistetaan tärkeiden tietojen hallinta ja toiminnan jatkuvuus. Tietoturvallisuus on myös tärkeää, koska ammattikorkeakoulussa käsitellään paljon tärkeää tietoa, kuten esimerkiksi henkilötietoja, taloustietoja ja erilaisia asiakirjoja. Osa tiedoista on salassa pidettävää, arkaluonteista tai muuta luottamuksellista tietoa. Salassa pidettävällä tiedolla tarkoitetaan lailla salassa pidettäväksi säädettyjä asiakirjoja tai tietoja. Salassa pidosta säädetään mm. julkisuus- ja henkilötietolaissa sekä muissa erityislaeissa. Eräät viranomaisten salassa pidettävistä asiakirjoista on määritelty turvaluokittelun piiriin. Tämän vuoksi on tärkeää, että tiedot eivät päädy tahallisesti tai tahattomastikaan asiattomien haltuun.
TIETOTURVAOHJE 5 (12) Lisäksi ammattikorkeakoulussa on paljon tietoa, joka ei ole salassa pidettävää, vaan luonteeltaan julkista, mutta tällaisenkin tiedon oikeellisuudesta, muuttumattomuudesta ja saatavuudesta sekä lain mukaisesta käsittelystä on huolehdittava. Lainsäädäntö tietoturvallisuuden perustana Viranomaisen tulee hyvän tiedonhallintatavan luomiseksi ja toteuttamiseksi huolehtia asiakirjojen ja tietojärjestelmien sekä niihin sisältyvien tietojen asianmukaisesta saatavuudesta, käytettävyydestä ja suojaamisesta sekä eheydestä ja muusta tietojen laatuun vaikuttavista tekijöistä. (Laki viranomaisten toiminnan julkisuudesta 18, Hyvä tiedonhallintatapa). Rekisterinpitäjän on toteutettava tarpeelliset tekniset ja organisatoriset toimenpiteet henkilötietojen suojaamiseksi asiattomalta pääsyltä tietoihin ja vahingossa tai laittomasti tapahtuvalta tietojen hävittämiseltä, muuttamiselta, luovuttamiselta, siirtämiseltä taikka muulta laittomalta käsittelyltä. (Henkilötietolaki 32, Tietojen suojaaminen) Tietoturvallisuus perustuu viranomaisten toiminnan julkisuudesta annetun lain ja asetuksen lisäksi useisiin eri lakeihin. Yksityiselämän suoja ja julkisuusperiaate ovat jo perustuslaissa säädeltyjä perusoikeuksia. Eri lakeihin sisältyvien salassapitosäännösten lisäksi laeista tärkeimpiä ovat - Perustuslaki (731/1999) 2.luku 10 (Yksityiselämän suoja ja luottamuksellisen viestin salaisuus) - Perustuslaki (731/1999) 2.luku 12 (Viranomaisten hallussa olevien asiakirjojen ja tallenteiden julkisuus) - Laki viranomaisten toiminnan julkisuudesta (621/1999) - Henkilötietolaki (523/1999) (Henkilötietojen käsittelyä koskevat yleiset periaatteet) - Arkistolaki (831/1994) (Asiakirjojen laatiminen, säilyttäminen ja käyttö) - Työsopimuslaki (55/2001) - Rikoslaki (39/1889) 34.luku 9a (Vaaran aiheuttaminen tietojenkäsittelylle) - Rikoslaki (39/1889) 38.luku 8 (Tietomurto) - Rikoslaki (39/1889) 38.luku 9 1. kohta (Henkilötietorikos) - Henkilötietolaki (523/1999) 48 (Henkilörekisteririkkomus) - Vahingonkorvauslaki (41/1974) - Laki sananvapauden käyttämisestä joukkoviestinnässä (460/2003) - Yhteistoiminnasta yrityksissä annettu laki (725/1978) - Laki yksityisyyden suojasta työelämässä (759/2004) - Hallintolaki (434/2004) - Sähköisen viestinnän tietosuojalaki (516/2004) Tietojen käsitteleminen Tiedolla tarkoitetaan tässä eri muodoissa talletettavaa, käsiteltävää tai siirrettävää tietoa. Tieto voi olla yksittäisenä asiakirjana, tiedostona, ääni- tai kuvanauhana, puheena, tietokantana, suoritettavana ohjelmana, näytteenä tai muussa muodossa. Tietoa on tarkasteltava tiedon koko elinkaaren ajalta. Tiedon käsittelyvaiheet ovat luominen, käyttäminen, muuttaminen, tallettaminen,
TIETOTURVAOHJE 6 (12) siirtäminen, jakelu, kopioiminen, arkistointi sekä tuhoaminen. Tietoja käsiteltäessä tulee huomioida, että käsiteltävät tiedot ovat usein merkittävästi arvokkaampia kuin tietojen käsittelyssä käytettävä väline. Näin ollen tietoja tulee suojata kaikissa sen käsittelyvaiheissa. - Tunnista aineiston luokittelu ja siihen liittyvät käyttöä, luovutusta ja käsittelyä koskevat rajoitukset. - Varmistuksia otetaan tärkeimmistä tiedoista säännöllisesti. Ota kuitenkin elintärkeistä tiedostoistasi varmuuskopio esim. CD-levylle tai muistitikulle. - Tietovarastojen tietoja, joihin sinulla on käyttöoikeudet, saat käyttää vain työtehtäviin. - Henkilörekisterin tietojen käyttötarkoituksen vastainen käyttö on lainvastaista. Kymenlaakson ammattikorkeakoulussa kerättävät henkilötiedot ilmenevät henkilöstörekisteriselosteista. - Muista, että voit käyttää ja käsitellä tietoja vain omien tehtäviesi hoidossa. - Varmista onko käsittelemäsi tieto salassapidettävää. - Huolehdi, että et levitä salassa pidettäviä tietoja julkisella paikalla. Ole huolellinen esimerkiksi puhuessasi julkisissa liikennevälineissä tai kadulla. - Mikäli joudut lähettämään salassa pidettävää aineistoa, varmistu, että vastaanottaja on oikeutettu sen saamaan ja lähetys on mennyt perille. - Mikäli laadit salassa pidettävää asiakirjaa, vastaat tehtäviesi mukaisesti myös sen luokittelusta ja merkinnästä. Osa salassa pidettävästä aineistosta kuuluu turvaluokittelun piiriin. - Kun käsittelet salassa pidettävää tietoa tai kun syötät salasanoja, huolehdi, että kukaan ei näe tietokoneesi näyttöä tai näppäimistöä. - Käsittele tietoja huolellisesti välineestä riippumatta olipa tiedon välittäjänä sitten tietokone, paperi, puhelin, ääninauha tai telekopio. - Käytä tiedon suojausvaatimusten mukaisia silppureita ja tietoturva-aineiston keräyslaatikoita salassa pidettävän aineiston hävittämisessä. - Tallenna tekemäsi työ mahdollisuuksien mukaan palvelimelle, mistä tietohallinto varmistaa tiedot. Vältä tilannetta, että asiakirja tai muu aineisto olisi ainoastaan omalla koneellasi, koska kiintolevyn hajotessa voidaan kaikki tieto menettää. - Tarkista talon ulkopuolelta tuotu levyke, CD-rom tai muu muistiväline virustorjuntaohjelmalla ennen käyttöä. - Vältä turhaa tulostamista ja kopiointia, koska ylimääräiset kopiot lisäävät vääriin käsiin joutumisen vaaraa. - Varmista, mihin tulostimeen tulostat ja missä tulostin sijaitsee. - Hae tulosteesi verkkotulostimesta heti tulostuksen jälkeen. - PDA-laitteiden (Personal Digital Assistant) eli kämmentietokoneiden tulee tukea standardeja salausmenetelmiä. Älä oleta automaattisesti, että ostamasi PDA-laitteesi voidaan liittää Kymenlaakson AMK:n tietojärjestelmiin, esim. GroupWiseen.
TIETOTURVAOHJE 7 (12) TIETOKONEEN KÄYTTÖ Tietokoneen käyttö sisältää sekä oman työaseman sekä verkon kautta käytettävien palveluiden käytön. - Vastaat käyttäjänä omasta koneestasi. Ole siis huolellinen. - Kirjaudu koneelle aina omilla käyttöoikeuksillasi. - Estä asiaton pääsy tietojärjestelmiin lukitsemalla koneesi aina, kun poistut työhuoneestasi. Voit myös käyttää salasanasuojattua näytönsäästäjää. Virran säästämiseksi voit sammuttaa näytön yöksi. - Muista kirjautua ulos sekä ohjelmistoista että koneeltasi. - Jos käytät julkisia päätteitä tai tilapäisesti toisen henkilön hallussa olevaa tietokonetta, muista aina uloskirjautuminen sekä ohjelmistoista että koneelta työskentelyn päätyttyä. - Laitteiden ja ohjelmien asentamista ja päivittämistä voi tehdä vain tietohallinto (koskee kaikkia Kymenlaakson AMK:n verkossa olevia koneita). - Jos kovalevy tai muu tallennusväline rikkoutuu tai poistetaan muuten käytöstä, ei sitä saa laittaa roskakoriin, vaan toimita tallennusväline tietohallintoon, joka vastaa niiden asianmukaisesta hävittämisestä ja huolehtii, että tietoaineisto ei paljastu ulkopuolisille. Käyttöoikeudet ja salasanat Tietojärjestelmät tarvitsevat aina käyttöoikeuden. Käyttöoikeus on henkilökohtainen ja se on yhdistetty juuri sinun henkilöllisyyteesi ja työtehtävääsi. Käsittele käyttäjätunnusta ja salasanaa samalla tavalla kuin pankkikorttiasi ja tunnuslukuasi. - Älä luovuta henkilökohtaisia käyttäjätunnuksia ja salasanojasi toisen henkilön käyttöön, älä edes atk-henkilöstölle, koska he eivät niitä tarvitse. Suhtaudu epäilevästi kaikkiin tiedusteluihin, jotka liittyvät salasanoihisi tai järjestelmien käyttöoikeuksiisi. - Vaihda salasanat riittävän usein ja heti, kun epäilet niiden paljastuneen. - Huolehdi, että salasanat ovat riittävän monimutkaisia ja vältä tuttujen jokapäiväisten nimien käyttöä salasanana. Hyvässä salasanassa voi olla pieniä ja isoja kirjaimia, numeroita ja jopa erikoismerkkejä. Kaikkiin järjestelmiin ei kuitenkaan käy erikoismerkit. Hyvä salasana on sinun helppo muistaa, mutta vaikea ulkopuolisen arvata. - Älä kirjoita salasanoja muistiin. - Älä käytä organisaation henkilökohtaista käyttäjätunnusta ja salasanaa rekisteröityessäsi Internetiin. - Pääsääntö on, että yleistunnuksia (monen käyttäjän yhteisiä) ei käytetä. Erityisistä syistä ATK-keskus voi niitä perustaa.
TIETOTURVAOHJE 8 (12) Internet ja sähköposti Internet ja sähköposti ovat hyviä työvälineitä sekä tiedon hakuun että yhteydenpitoon. On kuitenkin muistettava, että sähköpostissa tai Internetissä ei itsessään ole mitään suojausta, vaan tiedot liikkuvat salaamattomana julkisessa verkossa. Sähköpostin ja Internetin käyttö vaativatkin käyttäjältä huolellisuutta. Yleisperiaatteet: Internetin ja tietoverkon käyttö - Internet ja sähköposti on työpaikalla tarkoitettu ensisijaisesti työkäyttöön. Sähköpostin ja Internetin käyttö yksityisiin tarkoituksiin on vähäisessä määrin luvallista siten, että se ei haittaa ammattikorkeakoulun toimintoja. Käyttö kaupalliseen tai poliittiseen tarkoitukseen, kuten yritystoimintaan tai vaalimainontaan on kuitenkin ehdottomasti kielletty. Hyväksyttyä vaalitoimintaa on rehtorin luvalla järjestetty, esim. tiettyyn kansioon rajattu vaalikeskustelu. - Internetin kautta ei ole luvallista välittää salassa pidettävää tietoa ilman asianmukaista salausta. Ne on salattava tietohallinnon hyväksymillä tuotteilla ennen niiden lähettämistä julkisen tietoverkon kautta. - Opettele salaustuotteiden oikea käyttö, jotta tieto ei vahingossa lähde salaamattomana. - Jos käytät julkisia päätteitä tai tilapäisesti toisen henkilön hallussa olevaa tietokonetta, muista tyhjentää Internet-selaimen välimuisti ja evästeet (cookies). Pyydä tarvittaessa tietohallinnolta apua. - Jokaisella on tarjolla oma kotihakemisto, muotoa www.kyamk.fi/~xxxxx. (xxxxx=oma käyttäjätunnus). Ko. sivujen sisällöstä vastaa käyttäjä itse. - ATK-keskus voi rajoittaa tietoliikennettä tietoturvan ja kustannustehokkuuden varmistamiseksi. Käytössä olevia rajoituksia ja sääntöjä: http-virustarkistus käytössä www-liikenteessä tarpeettomat tietoliikenneportit ulkoapäin suljettu tietokoneita tulee käyttää user-käyttöoikeuksin (ei ylläpitooikeuksin) tiedostonjakoohjelmien (peer-to-peer) asentaminen ja käyttö on kielletty palvelimet ja tietokoneet voidaan välittömästi poistaa verkosta tietoturvaongelmien ilmaantuessa/epäiltäessä Sähköpostin ohjaus - Henkilökunnan työhön liittyvä sähköposti vastaanotetaan ja ohjataan AMK:n sähköpostijärjestelmään. Sitä ei saa automaattisesti ohjata Kymenlaakson AMK:n sähköpostijärjestelmän ulkopuolelle. - Suositeltavaa on huolehtia työasioita koskevan sähköpostisi käsittelystä enemmän kuin viikon kestävän poissaolon aikana esimerkiksi automaattivastauksen avulla, jossa kerrotaan kuinka kauan olet poissa ja kuka/ketkä toimivat yhteyshenkilöinä poissaolosi aikana. Tästä on erillinen ohje paikassa http://support.kyamk.fi/ohjeet/ jossa huomioidaan myös roskaposti (niihin ei lähetetä automaattivastausta).
TIETOTURVAOHJE 9 (12) - Opiskelijat täyttävät ja allekirjoittavat käyttäjätunnushakemuksen ennen tunnusten saamista. - Jos opiskelijat käyttävät muuta kuin AMK:n sähköpostijärjestelmää, tulee heidän edelleenohjata sinne oma postinsa AMK:n järjestelmästä. Tämä siksi, koska AMK:n eri toimijat lähettävät tärkeätä informaatiota myös sähköpostilla. - Mikäli saat toiselle henkilölle kuuluvan sähköpostin, ohjaa viesti oikealle vastaanottajalle ja ilmoita lähettäjälle vastaanottajan oikea sähköpostiosoite. Mikäli oikea osoite ei ole tiedossa, ilmoita virheellisestä lähetyksestä lähettäjälle. Muista, että sinulla on vaitiolovelvollisuus saamastasi viestistä. - Työsuhteen ja opiskelun päättyessä sähköpostiosoite ja -laatikko poistetaan. Huolehdi työasioita koskevan sähköpostisi asioiden jatkokäsittelystä ja poista mahdolliset henkilökohtaiset viestit. - Pääsääntönä on, että toisen henkilön sähköpostin tutkimista/lukemista käytetään ainoastaan rikostutkinnan yhteydessä. Erityistapauksissa (esim. pitkäaikaiset poissaolot + akuutti tarve, kuolemantapaukset) on mahdollista tutkia työntekijöiden virkasähköposteja sähköisen viestinnän tietosuojalain määräämin ehdoin.muista, että viranomaisella on velvollisuus käsitellä virkasähköposti. Kymenlaakson AMK on viranomainen siltä osin kuin se käyttää julkista valtaa. Sähköpostin käyttö - Käytä sähköposteissasi asiallista ja virheetöntä tekstiä. - Huolehdi, että lähettämäsi sähköposti on kohdistettu oikeille henkilöille ja oikeisiin osoitteisiin. - Kohdista viestisi vastaanottajalle, älä (laajalle) Tiedoksi -jakelulle. - Älä käytä Peitetysti -jakelua tarpeettomasti. - Lähetä edelleen toiminnossa ota huomioon, että sähköposti nauttii perustuslaissa ja rikoslaissa määriteltyä luottamuksellisen viestin (kuten kirjesalaisuus) suojaa - Käytä työasioissa sähköpostissa allekirjoitusta, josta selviävät nimesi, tehtävänimikkeesi ja yhteystietosi. - Liitetiedostot voivat sisältää haittaohjelmia (viruksia, matoja tai troijalaisia). Varo kaikkia epätavallisia sähköposteja ja erityisesti liitetiedostoja. Älä avaa epäilyttäviä viestejä. - Vältä turhien sähköpostien lähettämistä. Esimerkiksi joulutervehdysten lähettäminen sähköpostin liitteenä kuormittaa sekä sähköpostijärjestelmää että vastaanottajan sähköpostilaatikkoa. Sähköposti voi myös olla aikavarkaasi. - Älä välitä ketjukirjeitä eteenpäin. - Kymenlaakson AMK:n sähköpostijärjestelmää voit käyttää AMK:n ulkopuolelta turvallisesti selaimella osoitteen nerri.kyamk.fi kautta. Roska- ja viruspostit - Roskapostia ovat mm. kaikki sähköpostiin tilaamatta tulleet mainokset. Roskapostiin ei kannata vastata, vaan se kannattaa tuhota heti. Jos viestiin vastaa, tietää roskapostittaja sähköpostiosoitteesi toimivaksi ja jatkaa roskapostien lähettämistä ja lisäksi välittää osoitteesi myös muille roskapostittajille. Roskapostia voi välttää sillä,
TIETOTURVAOHJE 10 (12) että ei anna omaa sähköpostiosoitettaan asiattomille www-sivuille. Myös muun henkilökohtaisen tiedon antamista kannattaa välttää. - Ole terveen epäluuloinen sähköpostin luotettavuuteen. Kuka tahansa voi lähettää toisen nimissä sähköpostia. Myös virukset voivat lähettää sähköpostia ilman käyttäjän toimenpiteitä. Lisäksi sähköpostin perillemenosta ei ole mitään takeita (yleensä tulee virheilmoitus, mutta ei aina). Sähköpostin rajoitukset - ATK-keskus voi rajoittaa sähköpostijärjestelmää ja -liikennettä tietoturvan ja kustannustehokkuuden varmistamiseksi. Käytössä olevia rajoituksia ja sääntöjä: sähköpostilaatikon koko 250MB liitetiedostojen koko ulospäin max. 30MB erilaisilla RBL-listoilla (Realtime Blackhole List) olevista osoitteista sähköposteja ei oteta vastaan suoritettavien liitetiedostojen (.exe,.pif jne) saapuminen estetään automaattisesti verkon ulkoreunalla. Tarpeelliset suoritettavat tiedostot voidaan välittää salasanasuojattuina zip-tiedostoina Automaattinen roskapostitunnistus käytössä. Oletettuun roskapostiviestiin lisätään Aihe-otsikon alkuun *****SPAM*****. Roskapostit voi kukin käyttäjä ohjata GroupWise-sähköpostijärjestelmän Säännöt toiminnolla omaan kansioon. Etäkäyttö Etäkäytöstä on kysymys silloin, kun käytät organisaation tietoverkkoa tai sen osaa tietoliikenneyhteyden avulla organisaation ulkopuolelta. - Etäkäyttö on sallittua vain, jos siitä on tehty erillinen sopimus. - Käyttäessäsi etäyhteyttä olet osa organisaation tietoverkkoa ja näin ollen tietojen käsittelyssä tulee ottaa samat asiat huomioon kuin ollessasi varsinaisissa toimitiloissa. - Huolehdi, että etäkäytössä käyttämäsi laitteistot, ohjelmistot, tietoliikenneyhteydet ja paperiaineistot ovat vain sinun käytössäsi. - Huolehdi, että käyttämäsi käyttäjätunnukset, salasanat ja mahdolliset muut todennusvälineet ovat vain sinun hallussasi ja tiedossasi. - Kuljeta mukanasi vain välttämätön määrä tietoaineistoa ja varmistu aina aineiston asianmukaisesta suojauksesta. Vierailijoiden työasemat - Vierailijoiden työasemilta vaaditaan ajantasainen virustorjunta. Työasema on ennen tietoverkkoon liittämistä hyväksytettävä toimipisteen ATK-tukihenkilöllä. - Opiskelijoille on varattu joissakin toimipisteissä pistokkeita kannettavien tietokoneiden verkkoon kytkemistä varten. Luokissa olevien työasemien verkkopistokkeen
TIETOTURVAOHJE 11 (12) irrottaminen ja oman tietokoneen kytkeminen on kiellettyä. Langaton verkkoon kytkeytyminen (WLAN, Wireless Local Area Network) on kehitteillä. Toimitilojen turvallisuus Toimitilojen turvallisuudella varmistetaan, että tietoja, asiakirjoja ja tietokonelaitteita säilytetään ja käsitellään asianmukaisesti turvallisissa tiloissa. Toimitilojen turvallisuus sisältää mm. kulunvalvonnan, teknisen valvonnan ja vartioinnin, palo-, vesi-, sähkö-, ilmastointi- ja murtovahinkojen torjunnan sekä kuriirien ja tietoaineistoja sisältävien lähetysten turvallisuuden. - Noudata kulunvalvonnasta annettuja ohjeita. Ohjaa vieraat tai eksyneet henkilöt oikeisiin paikkoihin. Älä päästä asiattomia henkilöitä toimitiloihin esim. töistä lähtiessäsi. - Älä jätä kulunvalvonnassa olevia ovia auki. - Vastaat omista vieraistasi ja heidän kulkemisistaan toimitiloissa joko omakohtaisesti tai muun omaan henkilöstöön kuuluvan henkilön avustuksella. - Säilytä tieto ja laitteet turvassa, mahdollisuuksien mukaan lukitussa kaapissa ja huoneessa. - Älä jätä kannettavaa tietokonetta tai matkapuhelinta ilman valvontaa. Säilytä laitteita lukitussa tilassa. Muista myös levykkeiden, paperitulosteiden ym. asianmukainen säilyttäminen. - Jos matkapuhelimesi katoaa/varastetaan, soita välittömästi DNA:n asiakaspalveluun numeroon +358 44 144 044 liittymän (tuplakortin kyseessä ollessa liittymien) sulkemiseksi. - Ole erityisen varovainen matkustaessasi. Kannettavia ja matkapuhelimia ei saa jättää autoon näkyvälle paikalle, eikä niitä saa säilyttää autossa yön yli. - Noudata Puhtaan pöydän periaatetta. Työpöydällä ei saa säilyttää salassa pidettävää tietoa. - Älä jätä vierasta yksin tai ilman valvontaa työhuoneeseesi tai muihin toimitiloihin. - Asiakaspalvelupisteessä tietokoneen näyttö ei saa näkyä asiakkaalle. OMAT TIEDOT JA YKSITYISYYS - Käyttäjä vastaa itse vastaanottamiensa henkilökohtaisten viestien käsittelystä. - Järjestelmiin ja tietoverkon laitteisiin tallentuu yksityiskohtaista lokitietoa järjestelmien käytöstä. Tietoja käytetään ylläpidossa, vianmäärityksessä ja tietoturvallisuuden valvonnassa. - Kaikki työntekijät ovat vaitiolovelvollisia tietoonsa tulleista yksityisistä viesteistä. Ilmoitusvelvollisuus - Ilmoita aina haittaohjelmista (virukset, madot tai troijalaiset) ja muista tietoturvallisuuteen liittyvistä asioista välittömästi toimipisteen ATK-tukihenkilölle.
TIETOTURVAOHJE 12 (12) - Ilmoita aina myös muista turvallisuuteen liittyvistä epäilyistä tai ongelmista välittömästi omalle esimiehellesi. Toiminta ongelmatilanteessa Tietoturvaloukkausta voidaan epäillä, kun tietokone esimerkiksi äkillisesti hidastuu ilman, että olet tehnyt mitään erityistä toimintoa tai näytölle ilmestyy odottamattomia ilmoituksia ja varoituksia. - Kirjoita ylös, mitä mahdollisessa ilmoituksessa tai varoituksessa luki. - Sammuta tietokone. - Ota yhteyttä toimipisteen ATK-tukihenkilöön. - Toimi ohjeiden mukaisesti. - Auta tutkinnassa, kerro mitä olit tekemässä, kun kone alkoi toimia odottamattomasti. Seuraamukset - Jos opiskelija tai henkilökunnan jäsen rikkoo em. lakeja, määräyksiä tai ohjeita, käyttöoikeudet tietojärjestelmiin voidaan peruuttaa. Rikkomuksista tiedotetaan aina tietohallintopäällikölle ja esimiehelle. - Mikäli rikkomuksesta aiheutuu taloudellisia menetyksiä, voidaan päätyä vahingonkorvausvaatimuksiin. - Tietojen väärinkäyttö tai tahallinen tai huolimaton lakien, määräysten ja ohjeiden vastainen toiminta voi johtaa kurinpidollisiin seuraamuksiin, kuten irtisanomiseen ja/tai rikosoikeudellisiin seuraamuksiin. Mistä saa lisätietoja? - Tietohallintopäällikkö, tietohallinto, esimies - ATK-ohjeita löytyy osoitteesta http://support.kyamk.fi/ohjeet/ ja ATK-aiheinen keskustelupalsta http://forum.kyamk.fi - Lainsäädäntö - Muut tietoturvallisuutta ohjeistavat ja säätelevät organisaatiot (esimerkiksi Viestintävirasto, Tietosuojavaltuutetun toimisto ja Arkistolaitos)