Page 113

TIETOTURVALLISUUDEN KÄSIKIRJA Sivu 112 / 127 • • • • • • TIETOTURVALLISUUDEN KÄSIKIRJA NIS 2 - EU:n kyberturvallisuusdirektiivi Kaksi pääaluetta, joilla NIS2 vaikuttaa, ovat: • Kyberturvallisuusriskien hallintatoimenpiteet • Vaaratilanteista ilmoittamista koskevat velvoitteet Mitä organisaation sitten täytyy tehdä täyttääkseen NIS2:n asettamat vaatimukset? Selkein lähtöaskel on toiminnan mukaistaminen ISO/IEC 27001 –standardin mukaan. ISO/IEC 27001 -standardin ytimessä oleva tietoturvan johtamis- ja hallintajärjestelmä (ISMS) kattaa NIS2:n asettamat vaatimukset ja samalla ulkopuolisella auditoinnilla varmistetaan hallintajärjestelmän käytäntöjen toiminta. ISO27001 standardi kattaa käytännössä NIS2 vaatimukset, eli riskien hallinta ja poikkeamien raportointi on oleellinen asia. • ISO 27001 on kansainvälinen tietoturvastandardi. Se käsittelee tietoturvallisuuden hallintajärjestelmän luomista, toteuttamista, ylläpitämistä ja jatkuvaa parantamista koskevia vaatimuksia. • ISO27001 Soveltuvuuslausunto (engl. Statement of Applicability tai SoA) on keskeinen dokumentti, joka määrittelee, kuinka organisaatio toteuttaa ison osan omasta tietoturvastaan. Soveltuvuuslausunto kuvaa, mitkä ISO 27001 -standardin suosittelemista hallintakeinosta organisaatiossa toteutetaan, kuinka ne toteutetaan ja mikä on hallintakeinojen tämänhetkinen tila. Lisäksi kuvataan mahdolliset perustelut tiettyjen hallintakeinojen käyttämättä jättämiselle. • Sertifikaatin hankkiminen ei ole pakollista. Vaihtoehtona on hoitaa organisaation tietoturvan hallintajärjestelmä (ISMS) vastaamaan sertifikaatin vaatimuksia ilman ISO/IEC 27001 -sertifiointia. • NIS2:n vaatimat asiat kuuluvat hyvin ISO/IEC 27001:n alle, mutta esimerkiksi jatkuvuudenhallinta voi näillä näkymin olla sellainen seikka, jossa voi olla hyvä tehdä jopa 27001:n vaatimuksia perusteellisempaa työtä. Nämä seikat tarkentuvat, kun suomalainen lainsäädäntö valmistuu. • ISO 27001 lisätietoja: https://www.insta.fi/fi/iso-27001-tietoturvallisuudenhallintajarjestelma/ • Keskitetyn tietoturvan hallintajärjestelmän hyödyt: https://www.digiturvamalli.fi/blogi/isms-opas-10-tietoturvan-hallintajarjestelmanisms-paahyotya ISO27001 – Tietoturvallisuuden hallintajärjestelmän rakentaminen ISO 27001 on johtamisen viitekehys, jonka avulla yritys tai organisaatio voi luoda itsellensä menetelmän liiketoiminnan kannalta kriittisen tiedon suojaamiseksi. Standardi kuvaa, mitä kaikkea hallintajärjestelmän on katettava ollakseen toimintakykyinen. Standardia voi soveltaa hyvin erilaisiin organisaatioihin niin koon kuin toimialan puolesta.