Page 106

TIETOTURVALLISUUDEN KÄSIKIRJA Sivu 105 / 127 • • • • • • TIETOTURVALLISUUDEN KÄSIKIRJA Skenaarion etenemisen kuvaus: • Henkilö haluaa tunkeutua tiloihinne. Motivaatiovaihtoehtoja useita, esimerkiksi tietomurto, haitanteko, mainehaitan aiheuttaminen, ajattelematon teko, kilpailijan tilanteen huonontaminen, laitteiston anastaminen, rahallinen hyöty tms. • Henkilö kävelee sisään jostakin lukitsemattomasta ovesta huomaamatta. Huomio, olin itsekin tällaisessa tilanteessa teillä, löysin itseni ensin pukuhuonetiloista ja tajusin, että nyt en ole aivan oikeassa paikassa. • Henkilö etenee toimistotiloihinne. • Henkilö etenee työhuoneeseen. Palaveri menoillaan, työhuone lukitsematta, työhuone/huoneet valvomatta. • Pöydällä on papereita, tietokoneet lukitsematta. Pöytälaatikossa on kovalevy, jossa organisaation tietoja. Nämä asiat käytiin läpi tapaamisessamme ja tunnistettiin. • Tietokoneet eivät ole suojattu riittävällä tavalla, jolloin tietokoneeseen tallennettuihin tietoihin ja järjestelmiin on helppo murtautua. Tämä todettiin tapaamisessamme. • Samoja salasanoja käytetään eri ohjelmissa. Tämä todettiin tapaamisessamme. • Salasanat eivät mahdollisesti ole riittävän vahvoja. • Nämä aiheuttavat sen, että varkaustilanteessa organisaationne tietoihin pääsee helposti. • Organisaation tietoja päätyy henkilöille / tunkeutujalle. Tämä aiheuttaa: • Organisaationne tiedot pääsevät talon ”seinien” ulkopuolelle. • Organisaationne tietoja levitetään tai hyödynnetään, esimerkkinä Vastaamon tapaus https://fi.wikipedia.org/wiki/Vastaamon_tietomurto • Tietosuojavaltuutettu puuttuu asioiden etenemiseen. Selviää, että mitä-jos tilanteisiin ei ole varauduttu, ei ole tehty suunnitelmaa em. skenaariosta, ei ole tehty varautumisja toipumissuunnitelmaa, ei ole tehty toimintaympäristön tunnistamista ja riskiarviota, ei ole huolehdittu tietoturvallisuudesta asianmukaisesti. • Tietomurron tapahduttua ei ole tiedotettu osapuolia asianmukaisesti eikä ole täytetty lain mukaista ilmoitusvelvollisuutta. • Niille asiakkaille ja yhteistyökumppaneille olisi pitänyt tiedottaa, joiden tiedot vuodettiin. • Esimerkki siitä, miten järeitä toimenpiteitä tapahtuneen tietomurron vuoksi joutuu tekemään/ohjeistamaan. Valio joutui antamaan erittäin yksityiskohtaisen ohjeistuksen tietovuodon uhriksi joutuneille, sisältäen suosituksen luottokiellon tekemiseksi, osoitteen muutoksen estämiseksi, yhteystietojen luovutuskiellon tekemistä Digi- ja väestövirastolle sekä rekisteröintikieltoa Patentti- ja rekisterihallitukselle.