Page 36

TIETOTURVALLISUUDEN KÄSIKIRJA Sivu 35 / 127 • • • • • • TIETOTURVALLISUUDEN KÄSIKIRJA Lisäksi tarvitaan hyvin harjoitellut poikkeamien käsittelypelikirjat (incident response playbooks) ja jatkuva henkilöstön koulutus, kuten kalastelutestit (phishing tests). Organisaation tulee mitata ja priorisoida suojauksia riskiperusteisesti (risk-based prioritization), säilyttää todisteet tutkintaa varten (evidence preservation) ja noudattaa raportointivelvoitteita (reporting obligations) - sillä massahyökkäyksissä pienikin parannus konversio-%:ssa tai vasteajassa voi estää laajat vahingot ja tehdä hyökkäyksestä kannattamattoman. Yhtenäisen suojauksen periaate Yhtenäisen suojauksen periaate koskee mitä tahansa ICT-maailmassa käytettäviä laitteita. ISO27001 mukaan kaikki laitteet, tietovarastot ja järjestelmät suojataan yhdenmukaisesti riippumatta niiden sijainnista tai käyttötarkoituksesta. Myös tiedon palautus ja varmuuskopiointi huomioidaan tasapuolisesti kaikille tallennuspaikoille. Se onkin eri juttu, voidaanko kaikkia laitteita suojata. Muutamana esimerkkinä, pidetään päivityksen ajan tasalla (päivitetään kun on päivitettävää), tämä tietoturvan perusperiaate koskee kaikkia laitteita, kaikkien laitteiden ohjelmistoja ja käyttöjärjestelmiä, joilla on vaikutus tietoturvaan. Toisena esimerkkinä annan päätelaitteet eli laitteet, joilla palveluja ja ohjelmistoja käytetään; kuten tietokoneet ja mobiililaitteet. Nämä kaksi jälkimmäistä kumpikin pitää olla suojattu tasa-arvoisesti, toisin sanoen varauduttu samoihin uhkiin ja skenaarioihin, kuten katoamisja varkaustilanteisiin varautuminen. Lisäksi on tärkeää muistaa, että tasa-arvoinen suojaaminen ei tarkoita identtisiä ratkaisuja, vaan sitä, että jokaiselle laitteelle on määritelty sen käyttöön, riskeihin ja tietoturvavaatimuksiin sopiva suojaustaso. Tietokoneen, mobiililaitteen tai muun päätelaitteen suojaaminen perustuu samoihin perusperiaatteisiin: ajantasaiset päivitykset, vahva tunnistautuminen ja salaus. Yhtenäisen suojauksen periaate voi koskea myös tietojen palautettavuutta. Ihan sama tallentaako tietoa pilveen tai paikallisesti, toiminnan jatkuvuuden kannalta kriittisten tietojen varmuuskopioinnista pitää huolehtia. Laitteiden suojaus on osa laajempaa kokonaisuutta, jossa huomioidaan myös käyttöympäristö ja käyttäjän toiminta. Esimerkiksi mobiililaitteen tietoturva ei perustu pelkästään teknisiin ratkaisuihin, vaan myös siihen, ettei laitetta jätetä valvomatta julkisissa tiloissa ja että sitä käytetään vain turvallisissa verkoissa. Tasa-arvoinen tietoturva tarkoittaa lopulta sitä, että kaikkia käytettäviä laitteita kohdellaan osana samaa tietoturvaketjua – yhden lenkin heikkous voi vaarantaa koko järjestelmän. Siksi jokaisen laitteen suojaaminen on tärkeää riippumatta sen koosta, hinnasta tai käyttötarkoituksesta.