Page 14

TIETOTURVALLISUUDEN KÄSIKIRJA Sivu 13 / 127 • • • • • • TIETOTURVALLISUUDEN KÄSIKIRJA Poikkeama, häiriö, loukkaus, tietomurto Tietoturvapoikkeama on yleistermi tapahtumille, jotka voivat vaarantaa tietoturvan. Tämä tarkoittaa tahallista tai tahatonta tapahtumaa, jonka seurauksena organisaation vastuulla olevien tietojen tai palveluiden eheys, luottamuksellisuus tai tarkoituksenmukainen käytettävyystaso on tai saattaa olla vaarantunut. Tietosuojapoikkeama tarkoittaa henkilötietojen vahingossa tapahtuvaa tai lainvastaista tuhoamista, häviämistä, muuttamista, luvatonta luovuttamista tai pääsyä tietoihin. Tietoturvahäiriö voi olla esimerkiksi organisaation sisäisiä tietoja sisältävän kannettavan tietokoneen unohtaminen ravintolan pöydälle tai haittaohjelman asentuminen tietokoneeseen. Tietoturvahäiriö on konkreettinen seuraus tietoturvapoikkeamasta, joka on johtanut haitalliseen tietoturvaloukkaamiseen. Tietoturvahäiriö on yksi tai useampi toisiinsa liittyvä odottamaton tai ei-toivottu tietoturvatapahtuma, joka vaarantaa tietojen ja palvelujen tietoturvan ja vaikuttaa organisaation toimintaan epäsuotuisasti. Tilanne muuttuu Tietoturvaloukkaukseksi vasta siinä vaiheessa, kun joku onnistuu pääsemään käsiksi tietoverkkoon tai jos tiedot vuotavat muulla tavoin ulkopuoliselle taholle. Tietoturvaloukkauksessa on kyse arkaluontoisiin tietoihin murtautumisesta. Tietomurrossa tilanne on edennyt jo siihen pisteeseen, että kyberrikollinen onnistuu viemään tietoja mukanaan. Viitekehykset ja Standardit Tietoturvan hallintaa tukemaan on kehitetty useita standardeja ja viitekehyksiä eli malleja, joiden avulla organisaatiot voivat suunnitella ja toteuttaa tietoturvallisuuttaan systemaattisesti. Näitä malleja voidaan hyödyntää sekä erikseen että yhdistellen niiden vahvuuksien mukaan. Tunnetuimpia ja laajimmin käytettyjä ovat: • Viitekehykset: Cobit, ITIL, GAISP. • Standardit: BS-standardi, ISO-standardit, ISF. Laaksonen ym. (2006, 83) Tietoturvan viitekehys (engl. Security Framework) on kokonaisuus, joka koostuu periaatteista, standardeista, käytännöistä ja ohjeista. Sen tarkoituksena on auttaa organisaatiota suojaamaan tietonsa ja IT-järjestelmänsä erilaisilta uhilta ja haavoittuvuuksilta. Viitekehys tarjoaa järjestelmällisen tavan hallita tietoturvaa sekä varmistaa, että organisaatio noudattaa lakisääteisiä ja toimialakohtaisia vaatimuksia.