Page 33

TIETOTURVALLISUUDEN KÄSIKIRJA Sivu 32 / 127 • • • • • • TIETOTURVALLISUUDEN KÄSIKIRJA epäselvyyksien selvittäminen ja dokumentointi, muutosten jäljittäminen ja palauttaminen sekä omistajuudet, vastuut ja roolit, jotka on määriteltävä myös kirjallisesti. Tiedon käsittelyssä noudatetaan yhdenmukaisia prosessiperiaatteita. Pääkäyttäjien osalta tarkastellaan admin-pääsyjen hallintaa ja jäljitettävyyttä sekä raakadataan ja tietokantoihin kohdistuvia suojaustoimia. Lisäksi arvioidaan varmuuskopioiden hallinta, johon sisältyy säilytysaikojen ja -paikkojen määrittely, palautettavuuden varmistaminen sekä palautustestien suorittaminen ja niiden nopeuden arviointi. Varmuuskopioinnista tulee olla kirjallinen suunnitelma ja ylläpidetty varmistuspäiväkirja. Vastuu ulkopuolisella ICT-palveluntarjoajalla? Kun organisaatio ulkoistaa tietotekniikkaan liittyviä toimintoja tai palveluita, osa tietoturvasta ja sen hallinnasta siirtyy ulkopuoliselle ICT-palveluntarjoajalle. Vastuu ei kuitenkaan siirry kokonaan – lopullinen vastuu tietojen suojaamisesta säilyy aina palvelun tilaajalla, eli organisaatiolla itsellään. Vastuunjako palveluntarjoajan ja tilaajan välillä määritellään palvelutasosopimuksessa (SLA, Service Level Agreement eli palvelutasokuvaus) sekä muissa sopimusasiakirjoissa. SLA määrittää, mitä palveluita tuotetaan, millä tasolla, ja kuka vastaa mistäkin osa-alueesta – esimerkiksi tietoturvapäivityksistä, varmuuskopioinnista, käytettävyydestä ja tietovuotojen ilmoittamisesta. Sopimusta on hyvä täydentää esimerkiksi sovellusten vastuunjakotaulukolla, mikäli sovelluksia eli ohjelmia on käytössä runsas määrä. Palveluntarjoaja vastaa sopimuksessa määriteltyjen teknisten ja operatiivisten velvoitteiden täyttämisestä sekä siitä, että sen oma toiminta noudattaa sovittuja tietoturvavaatimuksia. Tilaaja puolestaan vastaa siitä, että sopimuksessa asetetut vaatimukset vastaavat organisaation omia riskejä, lainsäädäntöä ja toimialan sääntelyä. Mm. selkeät vastuurajaukset ja dokumentoidut menettelyt ovat välttämättömiä, jotta mahdolliset tietoturvapoikkeamat, palvelukatkokset tai virheet voidaan käsitellä nopeasti ja oikeudenmukaisesti. Vastausajat (aika, jonka sisällä HelpDeskin tulee vastata puheluun tai tiketöintiin, esim. 90 % puheluista vastataan 20 sekunnissa), vasteajat (kuinka nopeasti palveluntarjoaja reagoi ja ottaa tiketin tai yhteydenoton käsittelyyn), ratkaisuajat (kuinka nopeasti ongelma tulee ratkaista) sekä kriittisyysaste ovat syytä määrittää SLA:ssa. Hyvin laadittu SLA toimii siis keskeisenä ohjausvälineenä vastuiden hallinnassa ja tietoturvan ylläpitämisessä yhteistyön aikana. Uhka, haavoittuvuus, riski. Muutamia selventäviä termejä. Käydään seuraavaksi läpi tiivistetysti muutamia tietoturvaan liittyviä termejä. Uhka. Uhka saattaa vahingoittaa suojattavia kohteita. Uhkat voivat olla luonnollisia tai ihmisen aiheuttamia, tahattomia tai tahallisia. Ne voivat ilmetä organisaation sisällä tai sen