Page 31

TIETOTURVALLISUUDEN KÄSIKIRJA Sivu 30 / 127 • • • • • • TIETOTURVALLISUUDEN KÄSIKIRJA • Osaamisen kehittämistä Fyysinen turvallisuus ja suojausmekanismit luovat perustan muille osa-alueille. Kun verkkojen ja laitteiden tietoturva on hallinnassa, voidaan keskittyä liiketoiminnan kannalta olennaisten järjestelmien turvaamiseen. Henkilöstö ja työntekijät ovat puolestaan vastuussa laitteistojen, ohjelmistojen ja tietoliikenneverkkojen turvallisesta käytöstä, joten henkilöstön osaaminen ja turvallisuus ovat olennainen osa kokonaisuudessa. Summaisin, että kaikkeen tietoturvaan liittyvän asioiden käsittelyn eri muodoissa pitää olla selkokieltä ja asiat ymmärrettävissä, vaikutus todennettavissa ja puutteet seurattavissa, jotta tietoturvasta on todellista hyötyä. Väittäisin, että tietoturva-asiat ovat ”kansankielellä” ymmärrettävissä ja esitettävissä muodossa, jossa kaikkien on mahdollisuus ymmärtää vaikutusmahdollisuudet omassa työnkuvassa. Ensisijaisesti pitää olla vastaanotto- ja kuuntelukykyä ja tähän palaankin myöhemmin erillisessä kappaleessa. Tietoturvaan liittyvän dokumentaatio ja ohjeistus on syytä nähdä myös houkutteena siihen, että kaikki työntekijät johdosta lattiatasolle pitävät tietoturvasta ja yrityksestä hyvää huolta. Samalla jokaisen työntekijän olisi hyvä oman edistävän toiminnan vaikutukset, että työpaikka olisi ”alla”, myös tulevaisuudessakin. Tietoturvalla tarkoitetaan hallinnollisia ja teknisiä toimia, joilla varmistetaan tiedon: • Luottamuksellisuus (engl. confidentiality): tietoa voivat käsitellä vain sellaiset henkilöt, joilla on siihen oikeus. Luottamuksellisuuden periaatteella tarkoitetaan sitä, että erilaiset tiedot (mm. salasanat) ja järjestelmät (mm. sähköposti) ovat vain sellaisten henkilöiden käytettävissä, joilla on oikeus niiden käyttöön. Luottamuksellisuus tarkoittaa, että sivullisille ei saa antaa mahdollisuutta muuttaa tai tuhota tietoja eikä muutoin käsitellä niitä. Luottamuksellisuus varmistetaan esimerkiksi käyttäjätunnuksilla, salasanoilla, salauksella ja käyttöoikeuksien hallinnalla. • Eheys (engl. integrity): tieto ei saa muuttua tahatta tai hyökkäyksessä, tai muutos pitää ainakin havaita; toisinaan eheys määritellään myös tietojen loogisuudeksi (ns. sisäinen eheys) ja paikkansapitävyydeksi (ns. ulkoinen eheys). Eheys tarkoittaa sitä, että tietojen ja järjestelmien tulee olla luotettavia, oikeita ja ajantasaisia, eivätkä ne muutu tai ole muutettavissa laitteisto- tai ohjelmistovikojen, luonnontapahtumien tai inhimillisen toiminnan seurauksena. Eheyteen voidaan vaikuttaa esim. tietojen päivittämisellä ja ajantasaisella varmuuskopioinnilla. Tieto ei saa muuttua luvattomasti tai tahattomasti. Eheyden varmistamiseksi käytetään esimerkiksi tarkistussumma- ja hajautusfunktioita sekä digitaalisia allekirjoituksia. • Saatavuus tai käytettävyys (engl. availability): Käytettävyys tarkoittaa, että tieto on saatavilla silloin, kun sitä tarvitaan. Tämä edellyttää, että tietojärjestelmät toimivat luotettavasti ja niiden suorituskyky on riittävä. Käytettävyyden varmistamiseksi huolehditaan esimerkiksi järjestelmien ylläpidosta, varmuuskopioinnista ja palautusvalmiudesta.