Organisaation Tietoturva: Mitä on käyttö- ja tietoliikenneturva

Eirik Manne & Emma Karttunen

Käyttöturvallisuus: 

Käyttöturvallisuudella tarkoitetaan yleisesti yrityksen päivittäisten toimintojen ja rutiinien turvaamista ja sisältää alaisuudessaan kaikki manuaalisen ja automaattisen tietojenkäsittelyn suojatoimenpiteet. Näihin kuuluu esimerkiksi järjestelmien valvonta, sekä tietotekniikan käyttöön, käyttöympäristöön ja tuki-, ylläpito-, kehittämis- ja huoltotoimiin liittyvät keinot joilla parannetaan tietoturvaa. 

Tietoliikenneturvallisuus: 

Tietoliikenneturvallisuudella tarkoitetaan laitteita ja keinoja, joiden avulla suojataan dataverkossa liikkuvan tiedon eheys, luottamuksellisuus ja saatavuus. Keinot jaetaan siitä vielä kahteen tyyppiin, fyysisiin ja teknisiin keinoihin. Esimerkkejä keinoista on mm. palomuurit ja salakirjoitus (encrypting), tai fyysisissä laitteissa esimerkiksi ”authenticator” (autentikaattori), jolla pystyy varmistamaan että oikea henkilö on käyttämässä tiettyä verkkoa. 

Käyttö- ja tietoliikenneturvallisuudesta voidaan erotella 11 eri vaihetta: 

1: Menettelyohjeet ja –velvollisuudet, työnkierto, ositus ja käyttäjäroolit. -> Työnjako -> Ensimmäinen ongelma: ”Ei oo miun probleema…” eli oletetaan että joku toinen tekee. -> Toinen ongelma: useampi luulee yhden asian kuuluvan heille, joten tekevät turhaa työtä. -> Hyvä olla varajärjestelmä, tarkoittaa että useampi tietää mitä toinen tekee. Täten hommat ei kaadu jos joku on poissa.  

2: Ulkopuolisten palvelujen hallinta -> Palvelujentarjoajien tietoturvan tarkistaminen, kannattaa/pitää tehdä. -> Pitää tunnistaa miten palveluntarjoaja hoitaa tietoturvansa, ja onko se kunnossa/onko siinä selviä ongelmia.  

3: Järjestelmien suunnittelu ja muutosten hallinta -> Suunnitellaan niin että ongelmien tapahtuessa tiedetään miten toimia. -> Jos ei ole hallinnassa niin pahimmillaan raha ja maine voi mennä. -> Kuka, mikä, mitä, missä.  

4: Suojaus haittaohjelmia ja liikkuvia ohjelmia vastaan -> Tietoturvavastaavan vastuulla pitää huoli, ei se kuuluisa ’joku’. -> Yksityiskoneissa käyttäjällä itsellä vastuu. -> BYOD (bring your own device) ynnä muut vastaavat tarkoittavat että käyttäjällä yhä suurempi vastuu pitää huoli omista järjestelmistä.  

5: Varmuuskopiointi -> Tarpeeksi laaja kopio, ja säilytetään turvallisesti. -> Hyvänä tapana säilyttää varmuuskopio fyysisesti muualla kuin paikallisessa laitteessa, jotta kopio ei katoa jos laite katoaa/hajoaa. -> Varmuuskopionnille määriteltävä henkilö joka sen hoitaa, ja joka hoitaa tarpeeksi laajan, mutta ei ota turhia mukaan. -> Windows muunmuuassa käyttää palautuspisteitä joihin voi palauttaa tarvittaessa. -> Oma kone = oma vastuu  

6: Verkkoturvallisuus -> Verkon pääsyvalvonta, lokitiedostojen käyttö, protokollien käyttö, vaatimus VPN-salauksesta sekä langattoman verkon turvallisuus esimerkiksi salauksella. -> !!! Important !!!  

7: Tietovälineiden käsittely -> Käsitelkää organisaation tietovälineitä kuin omaanne. -> Turvallisiksi todistettuja ohjelmistoja käytettävä ohjeiden mukaan ja päivitettynä. -> Muun muuassa lisenssiavaimia käytetään ohjelmistoissa taistelemaan piratismia vastaan ja pitämään ohjelmat turvallisina.  

8: Tietojenvaihtoperiaatteet -> Organisaatioiden tietojenvaihto pidettävänä tietoturvallisena, muun muuassa enkryptayksen avulla. -> Pitää olla sopimus kuka käyttää, miten käyttää, missä käyttää ja miksi käyttää.  

9: Verkkoasiointipalvelut -> Verkon kautta tapahtuvien palveluiden suojaukset ynnä muut tietoturvaan liittyvät asiat ovat kunnossa. -> On esimerkiksi että minne tieto menee organisaatiosta. -> Tietoturvallinen käyttäytyminen, esimerkiksi tupla/triplatarkastaminen verkkopankeissa.  

10: Tarkkailu ja lokit -> Järjestelmää tulisi valvoa, ja lokitiedoissa tulisi näkyä mm käyttäjät ja mitä he tekevät. -> Nimetty henkilö joka tietää missä tiedot on ja joka on vastuussa niistä.  

11: Tietokoneiden matkakäyttö ja etätyö -> Arkatietoiset tiedostot pidetään piilossa näkyviltä, ja koneita pidetään silmällä. -> Jos ei olla koneen läheisyydessä, niin voi lukita esimerkiksi salasanan taakse. -> Pitää pitää huoli että ei käytä suojattomia/Turvattomia verkkoja laitteilla. -> Hallinnollinen, fyysinen ja tekninen tietoturva tärkeitä.  

Uutinen: 

http://www.iltasanomat.fi/digi/art-1447174869448.html