Page 112

TIETOTURVALLISUUDEN KÄSIKIRJA Sivu 111 / 127 • • • • • • TIETOTURVALLISUUDEN KÄSIKIRJA • Vähentää inhimillisiä virheitä (yleisin tietoturvariski) • Varmistaa, että organisaatio noudattaa lakeja ja tietoturvastandardeja (esim. GDPR, ISO 27001) 2. Kohderyhmä ja roolitus • Kaikki työntekijät – peruskoulutus tietoturvakäytännöistä • IT-henkilöstö – syvällisemmät tekniset koulutukset • Johto ja hallinto – riskienhallinta, päätöksenteko ja tietoturvapolitiikat 3. Keskeiset osa-alueet koulutuksessa 1. Tietoturvan perusteet • CIA-malli: luottamuksellisuus, eheys, saatavuus • Miksi tietoturva on tärkeää organisaation toiminnalle? 2. Tekninen tietoturva • Salasanakäytännöt, monivaiheinen tunnistautuminen • Päivitykset ja haittaohjelmien torjunta. Palaan tähän myöhemmin – yksi tärkeimmistä asioista on ”päivitetään kun on päivitettävää”. 3. Toiminnallinen tietoturva • Sosiaalisen manipuloinnin (phishing, vishing) tunnistaminen • Turvallinen tiedon käsittely (esim. työpaikalla ja etänä) 4. Hallinnollinen tietoturva • Organisaation tietoturvapolitiikat ja ohjeistukset • Poikkeamien raportointi ja vastuuhenkilöt 5. Ajankohtaiset uhkat • Esimerkit viimeaikaisista kyberhyökkäyksistä • Organisaation omat riskit (case-harjoitukset) 4. Koulutusmenetelmät • Verkkokurssit ja testit (peruspaketti) • Työpajat ja simuloidut hyökkäystilanteet (phishing-harjoitukset) • Säännölliset tietoiskut ja uutiskirjeet 5. Seuranta ja kehittäminen • Osaamisen mittaaminen (testit, auditoinnit) • Poikkeamien analysointi ja oppiminen niistä • Koulutuksen päivittäminen uusien uhkien mukaan Tietoturvan jatkoprojektin raameja, ISO27001, NIS2 Kuvaan tässä kappaleessa, miten esimerkiksi ISO27001 projekti lähtisi liikkeelle, ja mitkä olisivat ensimmäiset stepit. Poimin myös NIS2 asetuksesta muutamia huomioita.