Miten tietoturvallisuus ja tietosuoja saadaan palveluihin sisäänrakennetuksi? Pyry Heikkinen

Taustaa ICT-tietoturvapäällikkö Tullissa Tietoturvan ja riskien hallinta Tietosuoja ja yksityisyyden suoja Tietoturvaarkkitehtuuri OWASP Helsingin hallituksen jäsen ISC 2 CISSP IAPP CIPP/E SABSA SCF VAHTI-sihteeristön jäsen ISACA CISM IAPP CIPT CSA CCSK LinkedIn: pyryheikkinen ITIL v3 Foundation PRINCE2 Foundation TOGAF 9 Certified 2

Sisäänrakennettu tietoturvaja tietosuoja Mukana alusta lähtien Järjestelmällinen Skaalautuva Sisäänrakennettu TT/TS Yksi suunnittelun lähtökohta Kattava ja osa prosesseja 3

Rakennuspalikat Turvallisuuden visio Tietoturvaja tietosuojaperiaatteet Tekniikka Tietoturva ja tietosuoja Riskienhallinta Prosessit Henkilöstö 4

Esimerkkejä rakennuspalikoista Prosessit ja periaatteet Teknologia Ihmiset Hallintarakenteet, politiikat ja periaatteet Käyttövaltuus- ja pääsynhallinta, vahva tunnistus, turvalliset kirjastot Koulutus ja ohjeistus sekä tietoisuus ja kulttuuri Prosessit, käytännöt ja tehtävät Salaus, anonymisointi ja pseudonymisointi Roolit, vastuut ja työnkuvat (dedikoidut ja OTO) Arkkitehtuuri, toimintamallit ja sopimukset Lokipalvelu, seuranta ja valvonta (SOC) Taustatarkastukset ja salassapito 5

ARKKITEHTUURINÄKÖKULMA 6

Tietosuoja regulaatio Tietosuojaasetus eprivacyasetus TYK, HeL LyT/TTL Tietoturva regulaatio Tiedonhallintalaki Tietoturvaasetus VAHTI KATAKRI Lähde: Integrating Risk and Security within a TOGAF Enterprise Architecture: https://www2.opengroup.org/ogsys/catalog/g152 3.10.2017 7

Muut lait ja ulkoiset driverit EIDAS Arkistolaki Sisäiset driverit Etä- ja liikkuvatyö Kehityshankkeet ja ulkoiset toimittajat Lähde: Integrating Risk and Security within a TOGAF Enterprise Architecture: https://www2.opengroup.org/ogsys/catalog/g152 3.10.2017 8

Toiminnan jatkuvuus & riskienhallinta Toiminnan vaatimustenmukaisuus Tietoturvaperiaatteita Autenttisuus Jäljitettävyys Kiistämättömyys Suojattu petoksilta, kavalluksilta ja väärinkäytöksiltä Saatavuus Tuhoutumat -tomuus Eheys Tietosuoja Luottamuksellisuus Tieto Työturvallisuus 9

Tietoturvapolitiikka Käyttövaltuushallinnan ja pääsynhallinnan politiikka Varmistuspolitiiikka KVH-soveltamisohje Tunnistamisperiaatteet Tietoturvapolitiikat ja periaatteet Sähköposti- ja internetpolitiikka Lokipolitiikka Päätelaitepolitiikka Lokiohje Lokilähdematriisi Hankinnan tarkastuslista Pilvipalvelupolitiikka Tietoturvasuunnitelma Verkkoarkkitehtuuri Verkkopolitiikka Palomuuriperiaatteet Sähköisten allekirjoitusten periaatteet Etäkäyttöperiaatteet Tiedon suojausperiaatteet järjestelmissä Valvontapolitiikka ICT-varautumisen politiikka Käyttöönottopolitiikka 10

Esimerkki tietoarkkitehtuurin vaikutuksesta tietosuojaan Järjes -telmä A Järjes -telmä B Sidosjärjestelmä Käyttäjä A. Keskitetty pääsyn ja valtuuksien hallinta Järjes -telmä C Järjes -telmä D Master data Sidosjärjestelmä Järjestelmä A. Sidosjärjestelmä Asiakastiedot Käyttäjä B. Tietovarasto X Sidosjärjestelmä Tiedon oikeellisuus varmistettu Järjestelmä B. Keskitetty lokien hallinta 11

PROSESSINÄKÖKULMA 12

Tiedon elinkaari Saako kerätä? Miten ja kuka voi käsitellä? Kelle voi luovuttaa? Kauanko saa säilyttää? Pitääkö arkistoida? Kerääminen Käsittely Luovutus Säilytys Tuhoaminen Informointi Käsittelyn selosteet ja päätökset Päätökset luovutuksista THS ja Lokit AMS ja prosessit 13

Palvelun elinkaari Sopimus Hankinta Määrittely Suunnittelu Toteutus Testaus Käyttöönotto Ylläpito Toimittajan kyvykkyys Riskit Suojaus Laatu Tietoturva Tietosuoja -testaus ja auditointi Lokit Vaatimukset Arkkitehtuuri Testiaineisto Käyttöoikeudet Ylläpitoyhteydet ja -data Valvonta ja Poikkeamien hallinta Arkistointi Käytöstä poisto Turvallinen hävitys 14

ICT-projektin tietoturvatehtävät (yleinen malli) Esiselvitys Vaatimusmäärittely Hankinta: Turvallisuussopimus Käyttöönotto (sis. määrittely, suunnittelu, toteutus, testaus, tuotantoonsiirto) Tuotanto Tietoriskikartoitus Tietosuojariskiarvio Uhka-analyysi (looginen) Tietoturva-arkkitehtuurin ja suojausten katselmointi Tietoturvaauditointi Tuotantoonmenon hyväksyntä tietoturvan näkökulmasta Tuotannon alkuvaiheen seuranta ja tuki Tietosuojan vaikutusarvio Yleiset tietoturvavaatimukset Tietoriskiesiarvio Tietoturvavaatimukset ja alustava tietoturvaarkkitehtuuri Sisältyvät vaatimusmäärittely- ja arkkitehtuurityöhön Tietoturvavaatimukset Tietoturva-auditoinnin pohjatiedot Tietoturvareunaehdot Vaatimusmäärittely Arkkitehtuurikuvaus (Solution Design) Rekisteriseloste Tietojärjestelmäseloste Tietoturvaauditoinnin tilaus Tietoriskiarvio Looginen uhkamalli Katselmointikommentit Tietoturvaauditointiraportti Tuotantoonmenon hyväksynnän kokousmuistio 15

Järjestelmäkehitysprojektin tietoturvatehtävät Hankinta: Turvallisuussopimus Esiselvitys Vaatimusmäärittely Määrittely Suunnittelu Toteutus Testaus Käyttöönotto Tietoriskikartoitus Tietosuojariskiarvio Uhka-analyysi (looginen) Yleiset tietoturvavaatimukset Uhka-analyysi (tekninen) Suunnitteluvaiheen katselmoinnit Koodikatselmoinnit Tietoturvatestaus Sisältyy testaustyöhön Tietoturvaauditointi Tuotantoonmenon hyväksyntä tietoturvan näkökulmasta Tietosuojan vaikutusarvio Tietoriskiesiarvio Tietoturvareunaehdot Tietoriskiarvio Tietoturvavaatimukset ja alustava tietoturvaarkkitehtuuri Sisältyvät vaatimusmäärittely- ja arkkitehtuurityöhön Vaatimusmäärittely Arkkitehtuurikuvaus (Solution Design) Looginen uhkamalli Tietoturva-arkkitehtuuri ja suojaukset Sisältyy määrittelyja arkkitehtuurityöhön Tark. arkkitehtuurikuvaus (Solution Design) Tekninen uhkamalli Suunnitteluvaiheen katselmointikommentit Järjestelmän tekninen kuvaus Rekisteriseloste Tietojärjestelmäseloste Koodikatselmointipöytäkirja ja -kommentit Tietoturva-auditoinnin pohjatiedot Tietoturvatestitapaukset Tietoturvatestitulokset Tietoturvaauditoinnin tilaus Tietoturvaauditointiraportti Tuotantoonmenon hyväksynnän kokousmuistio Tuotannon alkuvaiheen seuranta ja tuki 16

SUUNNITTELUPERIAATE- NÄKÖKULMA 17

Kerroksittaisen suojauksen periaate Ehkäisevät kontrollit Esim. tietoturvatietoisuuskoulutus, julkistetut valvontamekanismit, internet-käytön rajoittaminen Estävät kontrollit Esim. haittaohjelmantorjunta, pääsyn- ja käyttövaltuushallinta, palomuuri, tunnistusmekanismit, salaus Rajaavat kontrollit Esim. verkon jakaminen vyöhykkeisiin, roolin mukaan rajatut käyttöoikeudet, tuotantolaitteiden eriytys Havaitsevat kontrollit Esim. lokit ja niiden seuranta, tapahtumien seuranta, tietoturvatapahtumista ilmoittamisen käytäntö Korjaavat kontrollit Esim. varmistukset ja niiden palautus, tietoturvatapahtumien hallintaprosessi, toipumissuunnitelmat Pyry Heikkinen 20.9.2017 18

Privacy by design -strategiat Strategia Toteutusvaihtoehtoja https://www.enisa.europa.eu/publications /big-data-protection Minimoi Piilota Erota Ryhmittele Informoi Kontrolloi Valvo Demonstroi Kerää mahdollisimman vähän tietoja ja säilytä näitä vain niin kauan kuin tarvetta. Käsittele anonyymia tietoa kun mahdollista. Toteuta roolipohjainen käyttövaltuuksien hallinta ja tarpeen mukaan pääsyoikeudet tietoon. Salaa se kun mahdollista. Vältä henkilötietojen näyttöä ilman syytä (esim. hetu). Säilytä ja käsittele rekisteröidyn eri henkilötietoja eri tietokannoissa, järjestelmissä tai näkymissä. Hyödynnä tietojen pseudonymisointia kun mahdollista. Käsittele henkilötietoja korkeimmalla mahdollisella tasolla (esim. Tilastot). Käsittele anonymisoitua tietoa kun mahdollista Tiedota rekisteröityjä tietojen käsittelystä riittävällä tasolla. Ole läpinäkyvä. Toteuta rekisteröidyille mahdollisuudet tietojensa hallitsemiseen. Määrittele lain mukaiset tietosuojaperiaatteet ja kontrolloi sekä valvo näiden toteutumista Todista periaatteiden toteutuminen: Dokumentoi, suunnittele, analysoi ja kerää lokeja. 19

Tiedonsuojaustekniikoita Salaus 14051979-111F Z!pd3r.s6f)m Suojaa tietyn tiedon, siirron, tietokannan, alustan, jne. Tärkeä ymmärtää salauksen kattavuus Aina kun mahdollista Pseudonymisointi 14051979-111F 984243-342R Suojaa tietyn sensitiivisen tiedon tai yksilöivät tiedot Mahdollistaa (usein) paluun tietoon sekä tiedon eheyden Testaukseen, analytiikkaan, maksamiseen Maskaus / poisto 14051979- xxxx Voi laskea henkilötiedon sensitiivisyyttä Minimoi vaikutusta yksityisyyteen ja riskiin Roolipohjaisiin näkymiin tai siirrettäessä eri palveluun Anonymisointi Nainen 30-40 v. Suomesta Ei ole (yksilöivää) henkilötietoa Vaikea toteuttaa kunnolla Tilastoihin ja tutkimukseen 20

ESIMERKKI: TIETOVARASTOINTI JA TIETOSUOJAPROSESSI 21

Tavoite (miksi/mitä) Raportoinnin tavoite, raporttien sisältö, suunnitellut käyttäjäryhmät, käyttövaltuudet sekä raporttien jakelu Tekniset tiedot Kuvaus vaadituista teknisistä muutoksista: yhteyksistä, palomuuriavauksista ja uusista käyttäjä- tai järjestelmätileistä. Riskiarviointi Tiedon analysointi ja tietoriskiarvio (BIA), alustava riskiarviointi tietosuojan näkökulmasta (onko tarvetta DPIA:lle?) Tietosuojan vaikutusarviointi DPIA:n tekeminen yhdessä tietosuojavastaavan kanssa (riskiarviointi hallintatoimineen ja riskin hyväksyntä) Kasautumisvaikutus Tietojen yhdistämisen arviointi (henkilön tunnistaminen, arkaluonteinen tieto, jne.) ja tiedon suureen määrään liittyvät riskit. Tietolähteet Tietolähteiden kuvaus, tiedon omistajat, tiedon luokittelut sekä tiedon käsittelyyn vaikuttavat sopimukset ja rajoitukset Käyttäjät Tiedon omistaja Lähdejärjestelmä Lokit ja valvonta Arviointi erityisten lokitus-, valvonta-, ja hälytystarpeiden osalta (esim. arkaluonteiset kyselyt). Tietotyypit Kuvaus käsiteltävistä tietotyypeistä, säilytysajoista, piilotustarpeista ja rekisteriselosteista. Pääkäyttäjät ja ylläpitäjät Tietovarasto ja raportointi Kohdejärjestelmä Omistajan hyväksyntä Tiedon omistaja hyväksyy (kirjallisesti) tiedon siirron ja käytön tietovarastossa tämän prosessin perusteella. 22

ESIMERKKI: TESTIAINEISTON SUOJAUS TESTIAINEISTOPALVELUSSA 23

Tietokannan salaus Tuotanto Rajattu otos oikeaa mutta vanhaa tuotantotietoa Tuotantotesti Ei pääsyä Kehittäjä Tuotanto Henkilötiedon pseudonymisointi Integraatiotesti Pääsy henkilökohtaisilla tunnuksilla Kehittäjä Testiaineiston generointipalvelu Keksittyä, anonyymia, tietoa Järjestelmätesti Vapaa pääsy Kehittäjä 24

HANKENÄKÖKULMA 25

Turvallisen toimituskyvykkyyden luonti Turvallisuussopimus, sopimus ja hankinta Toimittajan auditointi Henkilöstön alustava onboarding Toimitusympäristön turvallinen pystytys Turvallisuussopimus Tietosuojasopimus Toiminnalliset vaatimukset Ei-toiminnalliset vaatimukset Hankinnan luottamuksellisuus Salassapitositoumukset Toimittajan turvallisuus Toimitusprosessin turvallisuus Toimitusmenetelmien turvallisuus Turvallisuusselvitykset Henkilöiden hyväksyntä Turvallisuuskoulutus ja ohjeet Käyttöoikeudet Kehitysympäristöt Etäyhteydet Päätelaitteet Työvälineet- ja palvelut 26

Henkilöstön On- ja off boardaus Toimituksen aikaiset tietoturvatoimet Turvallinen viestintä ja tiedonvaihto Ohjelmiston tuotanto, räätälöinti, konfigurointi Tuotantoympäristön toteutus Integrointi muihin palveluihin Ratkaisun tietoturvaauditointi Tietoturvatestaus Koodikatselmointi Lähdekoodin eheys Ohjelmistopakettien toimitus Testidatan käsittely Escrow-menettelyt Turvallinen arkkitehtuuri Ympäristöjen kovennukset ja konfiguroinnit Ylläpitoprosessit Käyttöoikeudet Integraatioiden suojaus Tunnistaminen ja valtuutus Verkkoavaukset ja filtteröinnit Tiedon käsittely ja tallennus Palvelun 3. osapuolen auditointi ja korjaukset Ympäristön 3. osapuolen auditointi ja korjaukset 27

Toimituskyvykkyyden alasajo (jatkuvaan palveluun) Yhteyksien ja ympäristöjen alasajo Vastuun ja osaamisen siirto ylläpitoon Henkilöstön offboarding Tuotantoon siirto Tarpeettomien ympäristöjen poisto Tarpeettomien yhteyksien katkaisu Tiedon kerääminen, tallennus ja poisto Osaamisen siirto Vastuun siirto Prosessien kuvaus Tekniset edellytykset Tiedon siirto Materiaalin keräys Pääsyoikeuksien poisto Päätelaitteiden ja tiedon keräys Riskien hyväksyntä Prossien riittävyys Tuki- ja häiriönhallinta Toipuminen- ja jatkuvuus Ylläpitoprossit 28

Jatkuva palvelu Haavoittuvuudet ja päivitykset Tuki + Häiriöiden ja jatkuvuuden hallinta Palvelun hallinta Uudet ohjelmistoversiot Henkilöstön on/offboardaus Tietoturvapoikkeamien hallinta 29

Kiitos! Ikonit: Open Security Architecture http://www.opensecurityarchitecture.org Kuvat: Tulli 30