Yritysturvallisuuden perusteet Teemupekka Virtanen Helsinki University of Technology Telecommunication Software and Multimedia Laboratory teemupekka.virtanen@hut.fi Järjestelyihin liittyviä asioita Tilatkaa opetusmonisteet Oppimateriaali Kalvot? Kotisivu Päivittyy Kalvot? Maanantain luentojen aika 16.00? 1
2.Luento Johtaminen Turvallisuusjohtaminen ja turvallisuuden organisointi yrityksessä Turvallisuus yrityksen liiketoiminnan osana Turvallisuustoiminnan sisältö, tavoitteet ja organisointi Tiedottaminen Turvallisuus keinona profiloitua Monet asiakkaat ovat valmiita ostamaan turvallista tuotetta ja myös maksamaan siitä Monet asiakkaat halauavat siirtää osan riskistä alihankkijalle ja edellyttävät tiettyä turvatasoa tai toimintavarmuutta Turvallisille tuotteille ja palveluille on olemassa omat markkinansa, jossa hinta ei välttämättä ole tärkein valintaperuste 2
Turvallisuus ja tehokkuus Turvallisuuden tehtävänä on estää häiriöitä varsinaisessa toiminnassa Tehokas toiminta edellyttää häiriöttömyyttä Jos kaikki aika kuluu sotkujen siivoamisessa ei aikaa riitä varsinaiselle työlle Turvallisuus on vastakkainasettelua Eri osapuolten turvallisuustarpeet ovat usein ristiriidassa keskenään Minun turvallisuuteni edellyttää, että minulla on ase ja että sinulla ei ole Turvallisuusjohtaminen edellyttää eri osapuolten tarpeiden yhteensovittamista Usein vahvempi osapuoli määrää yksin Toinen osapuoli ei välttämättä sitoudu 3
Rikosten määrä YRITYSRIKOSTEN MÄÄRÄN KEHITYS 0 Onko yritykseen kohdistuneet rikosriskit ja väärinkäytökset viimeisen kolmen vuoden aikana... n=kaikki vastaajat Lisääntyneet paljon Lisääntyneet jonkin verran Pysyneet ennallaan Vähentyneet jonkin verran Vähentyneet paljon SALDOLUKU Kaikki, n=463 Yrityskoko 5-49, n=252 3 31 60 4 1 4 27 64 2 2 30 28 50-249, n=129 3 33 56 7 1 250+, n=82 1 40 56 2 29 39 Asema Toimitusjohtaja, n=201 4 27 66 21 Talouspääll/johtaja, n=1471 30 63 5 1 Turvapääll/johtaja, n=42 2 38 52 7 28 25 33 Muu, n=72 Toimiala 6 43 46 4 1 43 Teollisuus, n=161 3 26 68 3 26 Rakentaminen, n=33 6 30 64 36 Kauppa, n=71 3 35 51 7 4 Palvelut, n=198 4 34 58 4 1 27 33 Lokakuu 2005 1620 KN/snä/ov 0 10 20 30 40 50 60 70 80 90 100 % Yritysten rikosturvallisuus 2005 Riskit ja niiden hallinta selvitys, www.kauppakamari.fi Yritysturvallisuus 2005 Turvallisuusjohtamisen malleja 4
TT-Yritysturvallisuustoimisto Teollisuuden keskusliiton yritysturvallisuustoimisto on useita vuosia toiminut turvallisuustoiminnan edistäjänä teollisuudessa Valmistaa materiaalia ja järjestää koulutusta turvallisuuteen liittyen Perustuu Markku Pesosen väitöskirjaan yrityksen turvallisuusjärjestelyistä (1993) Henkilöturvallisuus Valmiussuunnittelu Ympäristöturvallisuus Ulkomaantoimintojen turvallisuus Työturvallisuus Tietoturvallisuus Kiinteistö- ja toimitilaturvallisuus Pelastustoiminta Rikosturvallisuus Tuotannon ja toiminnan turvallisuus 5
VAHTI Valtionhallinnon tietoturvallisuuden johtoryhmä on valtiovarainministeriön johdolla toimiva ryhmä, jossa on edustaja keskeisistä ministeriöistä ja laitoksista Ensimmäinen periaatepäätös tietoturvallisuudesta 1992 Useita ohjeita tietoturvallisuuteen liittyen Eheys Luottamuksellisuus Käytettävyys 6
ISO 17799 / 27700 Alkujaan British Standard, nykyään kansainvälinen standardi Esittelee joukon kontrolleja, jotka on tuotava normaalien työprosessien osaksi Etuna standardinomaisuus Yhdenmukainen tapa Helppo tarkastaa Tietoturvallisuus Tietoturvallisuuden tarkoituksena on taata liiketoiminnan jatkuminen ja minimoida liiketoiminnalle aiheutuvat vahingot estämällä ja minimoimalla turvallisuuteen liittyvien tapahtumien vaikutus 7
Standardin rakenne Turvallisuuspolitiikka Turvallisuuden organisointi Tietoaineistojen luokitus ja valvonta Tietoturvallisuus henkilöstön kannalta Fyysinen turva ja turva ympäristöä vastaan Tietokoneiden ja tietoverkkojen hallinta Järjestelmään pääsyn valvonta Tietojenkäsittelyn kehittäminen ja ylläpito Liiketoiminnan jatkuvuuden suunnittelu Vaatimustenmukaisuus Avaintoimenpiteet Tietoturvallisuuspolitiikan määrittelyasiakirja Tietoturvallisuutta koskevien vastuiden jako Tietoturvallisuuden koulutus ja harjoittelu Turvallisuuteen liittyvien tapahtumien raportointi Virustarkistukset Liiketoiminnan jatkuvuuden suunnitteluprosessi Tekijänoikeuden suojaamien ohjelmien kopioinnin valvominen Organisaatiota koskevien tallenteiden valvominen Tietosuoja Turvallisuuspolitiikan noudattaminen 8
Muita ISO-standardeja ISO 15408 Common Criteria Tietojärjestelmien luokittelu ISO 21827 Security Engineering Capability Maturity Model Organisaation kyky toteuttaa tietoturvallisuuteen liittyviä prosesseja Oma malli Kehitys aloitettiin osana puolustusvoimien turvallisuustoiminnan suunnittelua Pyrkii helpottamaan turvallisuustoiminnan organisointia 9
Toiminnan turvallisuus Toimitilaturvallisuus Henkilöstöturvallisuus Tieto Henkilö Materia Maine Tietotekninen turvallisuus Suojattavat kohteet Erilaiset asiat, jotka ovat arvokkaita organisaatiolle Arvo voi perustua Rahallinen arvo Toiminnallinen arvo Mielikuva-arvo 10
Omaisuus Arvo-omaisuus Rahallinen arvo Raha, arvopaperit, taide Kiinteistöt Toiminnallinen arvo (toimitilat) Rahallinen arvo (sijoitukset) Koneet ja laitteet Toiminnallinen arvo Varasto Toiminnallinen arvo Omaisuuteen liittyvät riskit OMAISUUTEEN LIITTYVÄT RISKIT 4 Toteutuneet riskit/uhat n=kaikki vastaajat Työvälinetai laitevarkaus 34 Murto toimitai 28 tuotantotiloihin Ilkivalta yrityksen 23 muuhun omaisuuteen Ilkivalta toimitai tuotantotiloihin 21 Merkittävä hävikki 7 Kaikki, n=463 Yrityskoko 5-49, n=252 50-249, n=129 250+, n=82 NETTO: TOTEUTUNEET RISKIT/UHAT 53 Lokakuu 2005 1620 KN/snä/ov 0 10 20 30 40 50 60 70 80 90 100 % Kyllä vastausten osuus Yritysturvallisuus 2005 Yritysten rikosturvallisuus 2005 Riskit ja niiden hallinta selvitys, www.kauppakamari.fi 11
Tieto Välttämätöntä toiminnalle Raaka-aine Toimintatapa Rahallinen arvo Tiedon saamiseksi tehty työ Myytävä tieto Tiedon arvo määräytyy myös sen mukaan kuinka harva sen tuntee Tietoon liittyvät riskit TIETOON LIITTYVÄT RISKIT Toteutuneet riskit/uhat n=kaikki vastaajat 2 Tietoverkkoon murtautumisen tai hakkeroinnin yritys Yritystiedon (sisällön) luvaton urkkiminen / vakoilu 36 Tietojen kopiointi omaan käyttöön ennen siirtymistä 19 pois yrityksen palveluksesta Kriittisistä yritysasioista kertominen luvatta 14 kolmannelle osapuolelle 9 Tiedostojen tahallinen tuhoaminen Tietoverkkoon 6 murtautuminen tai hakkerointi Luottamuksellista yritysasiaa sisältävän asiakirjan luovuttaminen luvatta kolmannelle osapuolelle Yritystiedon (sisällön) luvaton 3 muuttaminen / väärentäminen 6 5 Kaikki, n=463 Yrityskoko 5-49, n=252 50-249, n=129 250+, n=82 NETTO: TOTEUTUNEET RISKIT/UHAT 55 Lokakuu 2005 1620 KN/snä/ov 0 10 20 30 40 50 60 70 80 90 100 % Kyllä vastausten osuus Yritysturvallisuus 2005 Yritysten rikosturvallisuus 2005 Riskit ja niiden hallinta selvitys, www.kauppakamari.fi 12
Henkilöt Ihmisissä yhdistyvät omaisuus ja tieto Käsipareja Tietovarastoja Henkilöihin liittyvät riskit IHMISIIN LIITTYVÄT RISKIT Toteutuneet riskit/uhat n=kaikki vastaajat 1 Työntekijää on työssään 29 uhkailtu/häiritty Työntekijä syyllistynyt rikokseen/väärinkäytökseen 27 yritystänne kohtaan Tapahtunut muuta työhön liittyvää rikosta 8 työntekijää kohtaan Avainhenkilöitä tai heidän läheisiään 7 on uhattu työhön liittyen Työntekijä on joutunut työssään 7 väkivallan uhriksi Työntekijä syyllistynyt rikokseen/rväärinkäytökseen 6 asiakastanne kohtaan Kaikki, n=463 Yrityskoko 5-49, n=252 50-249, n=129 250+, n=82 NETTO: TOTEUTUNEET RISKIT/UHAT 44 Lokakuu 2005 1620 KN/snä/ov 0 10 20 30 40 50 60 70 80 90 100 % Kyllä vastausten osuus Yritysturvallisuus 2005 Yritysten rikosturvallisuus 2005 Riskit ja niiden hallinta selvitys, www.kauppakamari.fi 13
Maine Yrityksen toiminnan kannalta usein yhtä tärkeää kuin omaisuus ja tieto Vaikuttaa ihmisten ostopäätöksiin Vaikuttaa osakkeiden arvoon Toimintaan liittyvät riskit TOIMINTAAN LIITTYVÄT RISKIT Toteutuneet riskit/uhat n=kaikki vastaajat 3 Yhteistyökumppani 33 on ollut epäluotettava Tahallinen perättömän tiedon levittäminen yrityksestä 25 Tuotannossa, kuljetuksissa tai varastoinnissa on ollut epätavallista hävikkiä 17 Toimialalla on pimeää työvoimaa 12 Taloushallintoon liittyvät väärinkäytökset Yritys on kohdannut lahjontaa5 Vahingollisella tiedolla kiristäminen 5 2 Kaikki, n=463 Yrityskoko 5-49, n=252 50-249, n=129 250+, n=82 NETTO: TOTEUTUNEET RISKIT/UHAT 56 Lokakuu 2005 1620 KN/snä/ov 0 10 20 30 40 50 60 70 80 90 100 % Kyllä vastausten osuus Yritysturvallisuus 2005 Yritysten rikosturvallisuus 2005 Riskit ja niiden hallinta selvitys, www.kauppakamari.fi 14
Pakolliset suojausmenetelmät Menetelmät, joiden täytyy olla olemassa kaikissa yrityksissä Perusta kaikille muille toimenpiteille Turvallisuusjohtaminen Turvallisuuden yhdistäminen liiketoimintaan Liiketoiminnan suojaaminen Turvallisuustason valinta Riskianalyysi Turvallisuustoiminnan organisointi 15
Luokittelu Etsitään toiminnan kannalta olennaiset asiat Todetaan, millä tavalla ne ovat arvokkaita Luottamuksellisuus eheys käytettävyys Päätetään, kuinka arvokkaita ne ovat jollakin asteikolla Valinnaiset menetelmät Valinnaisilla menetelmillä rakennetaan varsinainen suojaus Menetelmistä valitaan tilanteeseen ja kohteeseen parhaiten sopivat On tärkeää pitää suojaus yhtä vahvana kaikkialla, vaikka menetelmät vaihtuisivatkin välillä 16
Fyysinen turvallisuus Myös toimitilaturvallisuus tai tilaturvallisuus Luodaan erilaisia alueita, joille pääsyä rajoitetaan ulkopuolisilta Voidaan jakaa estämiseen, havaitsemiseen ja torjumiseen Tietotekninen turvallisuus Luodaan erilaisia alueita, joille pääsyä rajoitetaan ulkopuolisilta Voidaan jakaa estämiseen, havaitsemiseen ja torjumiseen 17
Henkilöstöturvallisuus Määrittelee, kuka on ulkopuolinen Varmistaa, että henkilökunnasta ei ole uhkaa Turvallinen työhönotto Turvallisuus osana kehitystä Turvallinen ulospotkiminen Varmistaa henkilökunnan pätevyyden ja osaamisen Toiminnan turvallisuus Toiminnan laatu Varsinainen työ on suunniteltu niin, että se tehdään turvallisesti Resursseja on riittävästi Henkilöitä Aikaa Kunnolliset prosessit, joita pystytään valvomaan 18
Turvallisuuden kehittäminen TURVALLISUUDEN KEHITTÄMINEN 5 Mitkä ovat tulevaisuuden painopisteet turvallisuuden kehittämisessä n=kaikki vastaajat Nykyistä enemmän Saman verran kuin nykyisin Ei osaa sanoa Nykyistä vähemmän SALDOLUKU Tietoturvallisuus 63 35 1 63 Avainhenkilöturvallisuus 26 71 2 26 Tuotantotilojen ja välineiden turvallisuus 26 71 2 26 Henkilöturvallisuus 25 74 2 25 Muiden uhkien torjunta 14 78 7 14 Terrorismiin varautuminen 6 79 13 2 5 Lokakuu 2005 1620 KN/snä/ov 0 10 20 30 40 50 60 70 80 90 100 % Yritysturvallisuus 2005 Yritysten rikosturvallisuus 2005 Riskit ja niiden hallinta selvitys,www.kauppakamari.fi Turvallisuuden organisointi perinteisesti Yrityksissä on määräysten mukaan oltava joukko vastaavia henkilöitä Suojelujohtaja, valmiuspäällikkö, työsuojelupäällikkö,... Turvallisuustietoisessa yrityksessä on myös turvallisuuspäällikkö Turvallisuuspäällikkö tekee ohjeet turvallisuusasioissa (=ovien lukitseminen) ja valvoo niiden noudattamista 19
Tulos- ja turvallisuusjohtaminen Turvallisuus on osa normaalia johtamista Ylempi taso antaa tiettyjä turvallisuuteen liittyviä reunaehtoja ja alempi taso toimii niiden puitteissa Alempi taso voi itse päättää toimintansa edellyttävän joissakin asioissa korkeampia vaatimuksia kuin ylhäältä edellytetään 90 Get requirement from the upper level The mail service has to work Assign the requirements for the subprocesses 90 The Internetconnection has to work 90 The Intranetconnection has to work 45 Mail server A has to work 45 Mail server B has to work 90 The workstation has to work Send the requirements to the lower level 20
Oman mallin organisointi Turvallisuusjohtaminen on osa johdon työtä Johto asettaa vaatimukset vastaamaan likketoimintastrategiaa Henkilöstöturvallisuus on turvallista henkilöstöhallintoa Palkkaus, tuloskeskustelut ym. ovat normaaleja henkilöstöhallinnon prosesseja Fyysinen turvallisuus liittyy kiinteistöhallintoon Tietotekninen turvallisuus liittyy tietohallintoon Toiminnan turvallisuus on jokaisen esimiehen vastuulla Ulostaminen Jos vaadittavat turvallisuustasot ja reunaehdot on määritelty kunnolla organisaation sisällä, on myös toimintojen ulkoistaminen helppoa Turvallisuusteen liittyvät vaatimukset on kirjattava sopimuksiin Turvallisuudesta maksettava hinta on osa palvelun hintaa 21
Turvallisuustiedottaminen Kun jotain tapahtuu, tiedottaminen on osa tapahtuman käsittelyä Suunniteltaessa etukäteen toimenpiteitä on suunniteltava myös tiedotus Kuka tiedottaa Kuinka paljon kerrotaan Mitä pyydetään Tiedottamisen onnistuminen vaikuttaa Maineeseen Toiminnan jatkumiseen Tiedottamisen tavoitteet Osapuolet tietävät mitä on tapahtunut Osapuolet osaavat toimia oikein uudessa tilanteessa Luottamus säilyy 22
Tiedottamisen ongelmat Ei ole päätetty, kuka tiedottaa Useita ristiriitaisia viestejä Ketä uskotaan? Tiedottaja ei tiedä riittävästi Viesti on väärä tai epäuskottava Kerrotaan vääriä asioita Paljastuu huijaukseksi Selittelyä Elävästä elämästä Turvallisuden roolin ymmärtäminen Sonera GE Moneyn tietoturvapäällikkö Tietoliikenteen tietosuoja 23
Yhteenveto Turvallisuuden avulla voidaan tehostaa tuotantoa ja profiloitua markkinoilla halutulla tavalla Turvallisuuden organisointiin on olemassa erilaisia tapoja ja malleja, organisointi on tehtävä organisaatiolle luonnollisella tavalla Tiedottaminen on suunniteltava osana turvallisuutta 24