Page 32

TIETOTURVALLISUUDEN KÄSIKIRJA Sivu 31 / 127 • • • • • • TIETOTURVALLISUUDEN KÄSIKIRJA Näitä kolmea voivat määritelmää voidaan lisäksi täydentää seuraavilla: • Kiistämättömyys: Henkilö ei voi menestyksellisesti kiistää tekoa, jonka hän on tehnyt. Kiistämättömyys riippuu viime kädessä siitä, mitä oikeudessa hyväksytään näytöksi. • Tunnistus: Henkilö (tietojärjestelmän käyttäjä) voidaan tarvittaessa liittää käyttäjätunnukseen (joka voi olla anonyymi). • Todennus: Henkilö (tietojärjestelmän käyttäjä) voidaan luottavasti tunnistaa luonnolliseksi tai oikeushenkilöksi. Tietoturvatarkastuksessa arvioidaan henkilöstö- ja fyysisen turvallisuuden osa-alueita. Henkilöstöturvallisuuden osalta tarkastellaan luotettavuusriskien hallintaa, taustojen tarkistuksia sekä sijaisuuksiin liittyviä järjestelyjä, kuten käyttöoikeuksia, osaamista ja tehtäväkiertoa. Lisäksi arvioidaan roolien ja käyttöoikeuksien määrittelyä sekä käytön valvontaa. Fyysisen turvallisuuden osalta varmistetaan, että tilat, laitteet ja ihmiset on suojattu asianmukaisesti, ja että varastointi, arkistointi sekä materiaalien käsittely ovat turvallisia. Tietoliikenneturvallisuuden arvioinnissa kiinnitetään huomiota luottamuksellisuuteen, jolloin tiedot ovat vain oikeutettujen henkilöiden ja ryhmien saatavilla eivätkä paljastu sivullisille. Lisäksi tarkastellaan eheyttä, joka tarkoittaa, ettei tieto muutu laitteisto- tai ohjelmistovirheiden, luonnontapahtumien tai oikeudettoman inhimillisen toiminnan seurauksena. Saatavuuden osalta varmistetaan, että tieto on oikeutettujen henkilöiden hyödynnettävissä hyväksyttävällä vasteajalla. Kiistämättömyyden varmistaminen tarkoittaa sitä, ettei vastaanottaja voi kieltää tiedon vastaanottamista. Myös verkkoturvallisuuteen liittyvät vastuut, palomuurit, protokollat, pääsyt, liittymät ja tiedonsiirto arvioidaan osana tarkastusta. Laite- ja ohjelmistoturvallisuus on keskeinen osa tarkastusta. Laiteturvallisuudessa arvioidaan pääsyvalvontaa ja saatavuuden turvaavia toimenpiteitä, mukaan lukien alihankkijoiden toiminta, kahdennukset ja kuormanjako. Lisäksi tarkastellaan sovellus- ja ohjelmistoturvallisuutta, käyttäjien tunnistamista, pääsyvalvontaa ja käyttöoikeuksien hallintaa. Vaarallisten työyhdistelmien ehkäisy, administrator-tason käyttäjien toimien valvonta sekä liiketapahtumien suojaaminen tuotannossa ovat myös arvioinnin kohteina. Lokitus, tarkkailu, päivitykset, virustorjunta sekä kontrollien toimivuus varmistetaan, ja samalla huomioidaan lisenssit, tekijänoikeudet ja sopimusten hallinta. Prosessien osalta tarkastetaan konfiguraatio- ja muutoshallinta, automaattinen valvonta ja inventointi, testaukset, katselmoinnit, tuotantoon siirrot, versionhallinta sekä tuotanto-, kehitys- ja testausympäristöjen hallinta. Tiedon ja datan turvallisuuden arvioinnissa tarkastellaan pääsyn- ja suojauksen hallintaa, kuten salakirjoituksen käyttöä tiedon säilytyksessä ja siirrossa. Lisäksi varmistetaan tiedon saatavuus, käytettävyys, oikeellisuus ja luottamuksellisuus sekä sen salassapito ja turvallinen käsittely. Arvioidaan myös talletusmuodot ja -mediat, tiedon elinkaaren hallinta,