Page 18

TIETOTURVALLISUUDEN KÄSIKIRJA Sivu 17 / 127 • • • • • • TIETOTURVALLISUUDEN KÄSIKIRJA 1) Mitä kyberturvallisuus tarkoittaa sääntelyssä ja yleisissä viitekehyksissä? Suomalaisessa sääntely- ja viranomaiskielessä kyberturvallisuus ankkuroidaan usein viestintäverkkoihin ja tietojärjestelmiin sekä niiden suojaamiseen kyberuhilta. • Eduskunnan vastaus / lainsäädäntöyhteys kuvaa kyberturvallisuutta toimina, joilla suojataan viestintäverkkoja ja tietojärjestelmiä sekä niiden käyttäjiä/asiaosaisia kyberuhilta. • Tukesin NIS2-velvoitteita kuvaava sivu tiivistää käytännönläheisesti saman: toimijalla on oltava riskienhallinnan toimintamalli viestintäverkkojen ja tietojärjestelmien suojaamiseksi. • Myös Teknologiateollisuus ry:n kyberalan NIS2-soveltamisopas käyttää hyvin samansuuntaista muotoilua (“estämään … vahingoittuminen, häirintä tai muu haitta”). • Tietoturvallisuus (information security) suojaa tietoa (CIA) ja sitä toteutetaan hallinnollisin, toiminnallisin ja teknisin kontrollein (ISO/IEC 27000 -perhe). Kansainvälisesti kyberturvallisuutta kuvataan usein riskienhallintana ja kyvykkyyksinä, jotka kattavat elinkaaren “tunnista–suojaa–havaitse–reagoi–toivu” (NIST CSF). NIST CSF 2.0:ssa korostuvat myös hallinto ja johtaminen (GOVERN-funktio lisättiin omaksi yläfunktioksi). Tulkinta: Kyberturvallisuus on “toimintaympäristö- ja järjestelmäkeskeinen” käsite: suojattava asia on verkottunut digitaalinen toimintaympäristö (järjestelmät, verkot, palvelut, identiteetit, valvonta, reagointi, palautuminen). Tämä tulkinta korostuu, kun tietoturvallisuus pidetään ISO/IEC-tyylisesti tiedon suojauksen yläkäsitteenä, joka kattaa myös ei-kyberisiä ulottuvuuksia (paperiarkistot, fyysiset tilat, henkilöstön toiminta, prosessit), ja “kyber” rajataan nimenomaan verkkoihin ja tietojärjestelmiin kohdistuviin uhkiin. Tällaista rajausta tukee myös suomalainen sääntelykieli, joka nimenomaisesti viittaa viestintäverkkoihin ja tietojärjestelmiin. 2) Mitä tietoturvallisuus tarkoittaa julkaisuissa ja standardeissa? Alan perusmääritelmä tulee standardiperheestä ISO/IEC 27000: • Information security (tietoturvallisuus) = tiedon luottamuksellisuuden, eheyden ja saatavuuden (CIA) varmistaminen ja siihen liittyvien hallintakeinojen (kontrollien) valinta ja johtaminen. • Kyberturvallisuus (cybersecurity) suojaa verkottunutta digitaalista toimintaympäristöä ja organisaation kykyä ehkäistä, havaita, torjua ja toipua kyberuhista (esim. NIST CSF - funktiot; suomalaisessa sääntelyssä painotus viestintäverkkoihin ja tietojärjestelmiin).