Tavoitteet

  • Tiedonhallintayksikön on seurattava toimintaympäristönsä tietoturvallisuuden tilaa ja varmistettava tietoaineistojen ja tietojärjestelmien tietoturvallisuus koko niiden elinkaaren ajan. Tiedonhallintayksikön on selvitettävä olennaiset tietojenkäsittelyyn kohdistuvat riskit ja mitoitettava tietoturvallisuustoimenpiteet riskiarvioinnin mukaisesti.

  • Organisaation prioriteetit, rajoitteet, riskinsietokyky ja olettamat on määritelty ja ne tukevat riskienhallintapäätöksiä.

  • Riskien arvioinnin tavoitteena on, että organisaatio ymmärtää toimintaansa vaikuttavat digitaalisen turvallisuuden uhat ja riskit ja niiden todennäköisyyden kattaen kaikkiin toimintoihinsa sekä maineeseen, omaisuuteen ja henkilöihin kohdistuvat riskit.

  • Riskejä tulee arvioida kattavasti digitaalisen turvallisuuden näkökulmasta ja riskienhallinnan tulisi olla säännönmukaista. Digitaalisen turvallisuuden arkkitehtuurissa riskienhallinta toimii eräänlaisena syötteenä valittavien suojausratkaisuden toteuttamiselle.


Toimenpiteet riskienhallintaan:



Huom!

 

TASO 1 > TASO 2

Toimenpiteet on jaoteltu kahdelle tasolle siten, että perustason toimenpiteet toimivat pohjana edistyneemmän tason toimenpiteille.

TASO 1: Perustason kyvykkyydet

TASO 2: Edistyneemmät kyvykkyydet




 

Riskienhallintaprosessi.




T14: Riskienhallinnan periaatteet on laadittu, hallinnoitu ja sovittu organisaation sidosryhmien kanssa TASO 1

1.

Tunnista riskienhallintaprosessiin ja riskienhallintatoimenpiteisiin liittyvät sidosryhmät ja sovi riskienhallintamenettelyistä heidän kanssaan.

2.

Varmista, että digitaalisen turvallisuuden riskienhallinnasta on sovittu kumppanisopimuksissa:

Lisätietoja

Linkit johtavat ulkoisille sivustoille.

Oletetut tuotokset

  • Riskienhallinnan periaatteet

  • Sidosryhmäluettelo

  • Riskienhallinnan vaatimukset kumppanisopimuksiin

ESIMERKKI

Esimerkki: Riskienhallinnan viitekehys. Jokainen organisaatio vastaa itse omista riskienkäsittelyä koskevista päätöksistään ja niiden perusteella tehtävistä toimenpiteistä

 

Lähde: VM 22/2017. Kuva perustuu standardiin SFS-ISO 31000

(lightbulb) VINKKI

     RISKIENHALLINTAPOLITIIKKA

  • Organisaation päättämät, kuvaamat ja dokumentoimat riskienhallintaan liittyvät periaatteet ja tavoitteet. Riskienhallintapolitiikka-dokumentista voidaan käyttää myös nimitystä riskienhallinnan periaatteet.










T15: Organisaation riskinsietokyky on määritetty ja tiedotettu TASO 1

1.

Organisaation johto määrittää organisaation riskiensietokyvyn pohjautuen organisaation rooliin kriittisessä infrastruktuurissa ja toimialalla.

2.

Määritä tunnistetuille riskeille hyväksyttävä riskinsietotaso.

3.

Tiedota organisaation riskinsietokyky tunnistettujen riskien osalta tarvittaville sisäisille ja ulkoisille sidosryhmille.

4.

Katso myös Tiedonhallintalautakunnan suositus tiettyjen tietoturvallisuussäännösten soveltamisesta (Kappale 6: Riskienhallinta).

Lisätietoja

Linkit johtavat ulkoisille sivustoille.

Oletetut tuotokset

  • Riskienhallintastrategia

  • Sidosryhmäluettelo

(lightbulb) VINKKI

     RISKINSIETOKYKY

  • Riskin suuruus, johon organisaatio on valmis sitoutumaan riskien määrittelyn jälkeen.

      RISKINOTTOHALU

  • Kyvykkyys, joka organisaatiolla on ja jonka se on valmis ottamaan tavoitteisiin pyrkiessään.

      RISKIENHALLINNAN VIESTINNÄSTÄ

Riskienhallinnan viestinnässä

Viestinnän tuloksena
  • Varmistetaan jokaisessa vaiheessa olennaisten osapuolten kesken tarvittavasta tiedonvälityksestä
  • Tieto riskeistä tavoittaa tahot, joiden tulee olla niistä tietoisia
  • On mahdollista jakaa riskenhallinnassa ja riskienkäsittelyssä tarvittavaa tietoa toimenpiteistä ja valvonnasta vastuullisten kesken










T16: Hallinnointi- ja riskienhallintaprosesseissa käsitellään myös digitaalisen turvallisuuden riskejä TASO 1

1.

Määrittele tietoturva- ja tietosuojariskienhallinta osaksi organisaation yleisiä riskienhallintaprosesseja.

2.

Varmista, että digitaalisen turvallisuuden riskejä arvioidaan ja käsitellään riskienhallinnan vuosikellon mukaisesti.

3.

Tutustu myös oheisiin suosituksiin:

Lisätietoja

Linkit johtavat ulkoisille sivustoille.

Oletetut tuotokset

  • Riskirekisteri digitaalisen turvallisuuden riskeistä

ESIMERKKI

Esimerkki: Riskienhallinnan vuosikellosta

Riskienhallinnan vuosikellosta kuvan löydät linkistä liitteestä 4

 

Riskienhallinnan vuosittaiset toimenpiteet tulisi kuvata vuosikelloon ja riskienhallinnassa tulisi käsitellä myös digitaalisen turvallisuuden riskejä. Vuosikello voi olla organisaation toiminnan ja talouden suunnittelun vuosikello tai erillinen riskienhallinnan (kuten oheisessa kuvassa) tai digitaalisen turvallisuuden vuosikello. Lisää esimerkkejä riskienhallinnan vuosikellosta VAHTI 22/2017 riskienhallintaohjeen liitteestä 4.

Julkisen hallinnon digitaalisen turvallisuuden riskejä kartoitettiin Digi- ja väestötietoviraston riskikyselyssä.

Alla olevassa taulukossa on lueteltu muutamia yleisimpiä riskiväitteitä.

Riskiväite​

Riskiluku

(keskiarvo A)​

Todennäköisyys

(keskiarvo G)​

Viranomaisten toimintaan ja palveluihin kohdistuu tahallisia vakavia tietoturvahyökkäyksiä.​

5,3​

2,2​

Kriittiseen fyysiseen infrastruktuuriin ja tietoverkkoihin kohdistuu vakavia väärinkäytöksiä, haitantekoa, sabotaaseja tai tietoturvahyökkäyksiä.​

5,2​

2,0​

Tiedonhallintayksikön toimialat ylittävistä prosesseista, ICT-toimittajista, alihankkijoista ja tuotantoympäristöistä koostuvan kompleksisen kokonaisuuden hallinta epäonnistuu, mikä aiheuttaa häiriöitä ja palvelukatkoja.​

4,8​

2,2​

Tietovarantojen tietoturva vaarantuu merkittävästi, johtuen keskeisesti kiireestä ja resursointivajeesta.​

4,7​

2,0​

Säädösten, määräysten ja ohjeiden ylimitoitus, ajantasaisuuden puute, virheellisyys, muutosten nopeus tai muut sääntelyn laatuun liittyvät ominaisuudet aiheuttavat kohtuuttomia velvoitteita.​

4,6​

2,3​

Pilvipalvelujen riskejä ei tunneta riittävästi, jolloin niiden hallintatoimet - joko sopimuksilla tai muilla keinoilla - ovat epäselviä ja tilannekuva puutteellinen.​

4,6​

2,1​

Digitaaliseen turvallisuuteen ei ole kohdennettu riittävästi taloudellisia resursseja.​

4,5​

2,2​

Digitaalisen turvallisuuden osaamista ei ole käytettävissä riittävästi.​

4,5​

2,2​

Häiriötilanteiden jälkeen ei kyetä palauttamaan tietoja käyttöön eli menetetään tietoa, immateriaalioikeuksia tai ohjelmistoja.​

4,3​

1,7​

Digitaalista turvallisuutta ei ymmärretä, arvosteta tai huomioida toiminnan suunnittelussa.​

4,2​

2,0​











T17: Tietojärjestelmien, komponenttien ja palvelujen toimittajat ja kolmannet osapuolet on tunnistettu, priorisoitu ja arvioitu toimitusketjun digitaalisen turvallisuuden riskienhallintaprosessin avulla TASO 1

1.

Arvioi kriittisten tietojärjestelmien, komponenttien ja palveluiden toimittajat ja muut kriittiset sidosryhmät riskienhallintaprosessin avulla.

2.

Tutustu myös Tiedonhallintalautakunnan suositukseen turvallisuusluokiteltavien asiakirjojen käsittelystä pilvipalvelussa (Kappale 4: Turvallisuusluokiteltavien asiakirjojen käsittelyssä käytettävien pilvipalveluiden ja niiden tarjoajien luotettavuuden arvioinnista).

Lisätietoja

Linkit johtavat ulkoisille sivustoille.

Oletetut tuotokset

  • Riskirekisteri

  • Sidosryhmäluettelo

(lightbulb) VINKKI

  • Toimittajien ja kolmansien osapuolten arviointi helpottuu, kun käytettävissä on ajantasainen palveluntarjoajien luettelo, jossa palveluntarjoajat on myös luokiteltu heidän kriittisyyden mukaisesti.

Kuva Riskienhallintaprosessista jossa riskien tunnistaminen laatikko on ympyröity

Lähde: VM 22/2017. Kuva perustuu standardiin SFS-ISO 31000










T18: Suojattavan omaisuuden haavoittuvuudet on tunnistettu ja dokumentoitu TASO 1

1.

Määrittele menettely, kuinka sekä sisäisistä että ulkoisista lähteistä (esim. haavoittuvuusskannaus) saadaan ajanmukaista tietoa tietojenkäsittely-ympäristön haavoittuvuuksista haavoittuvuuksien- ja poikkeamanhallintaprosessien käsiteltäväksi.

2.

Kerää tietoa keskitetysti suojattaviin kohteisiin ja omaisuuteen liittyvistä haavoittuvuuksista ja luokittele tunnistetut haavoittuvuudet niiden toiminnalle kohdistuvan uhan perusteella.

3.

Määrittele prosessi kriittisten järjestelmien haavoittuvuuksien tarkastukseen tietojenkäsittely-ympäristön muutosten yhteydessä.

4.

Yksilöi havaittuihin haavoittuvuuksiin liittyvät riskit ja määrittele riskin mukaiset toimenpiteet.

5.

Hyödynnä haavoittuvuusskannaukseen tarkoitettuja työkaluja.

6.

Määrittele menettely, jolla vastataan tilanteeseen, jossa tunnistettuun haavoittuvuuteen ei ole soveltuvaa korjausta (esim. jäännösriskin hyväksyminen riskienhallintaprosessissa).

7.

Luo kanava havaittujen tietoturvaheikkouksien raportointiin.

8.

Seuraa Kyberturvallisuuskeskuksen sekä kansainvälisiä haavoittuvuustiedotteita, kuten esimerkiksi:

Lisätietoja

Linkit johtavat ulkoisille sivustoille.

Oletetut tuotokset

  • Haavoittuvuustietolähteet

  • Haavoittuvuusraportit

  • Ohjeet haavoittuvuuksien hallintaan

  • Riskirekisteri

ESIMERKKI

Esimerkki: Haavoittuvuuksien eskaloitumisesta erityyppisiksi riskeiksi

Haavoittuvuuksiin liittyvät tekniset riskit voivat aiheuttaa tietovuodon ja ne voivat eskaloitua uusiksi muun tyyppisiksi riskeiksi, jotka pahimmillaan voivat uhata jopa organisaation toimintaa. Tarkastellaan asiaa esimerkin avulla. Teknisiä riskejä ovat esimerkiksi:

  • Viallinen valtuutus, jolloin esimerkiksi palvelun käyttämää URL-osoitetta manipuloidaan hakemaan joku muu tieto-objekti kuin mikä olin alunperin tarkoitus ja lopputuloksena saadaan luvaton pääsy tietoon tai tietojärjestelmään.
  • Viallinen tunnistautuminen, jolloin tunnistustiedot joko päätellään, kaapataan tai tunnistustietojen validointi kyetään ohittamaan ja lopputuloksena saada luvaton pääsy tietoon tai tietojärjestelmiin.
  • Injektioriski, jolloin palveluun saadaan syötettyä luvatonta ohjelmakoodia, tietokantakyselyjä tai komentoja ja lopputuloksena saadaan luvaton pääsy tieto tai tietojärjestelmään.

Edellä mainitut tekniset riskit voivat aiheuttaa tietovuodon ja tiedon luokittelun sekä kriittisyyden mukaisesti tietovuoto voi eskaloitua muiksi riskeiksi, esimerkiksi:

  • Vahinkoriskiksi:
    • Tietovuoto voi sisältää turvallisuusluokiteltua tietoa aiheuttaen vahinkoa organisaatiolle. 
    • Tietovuoto voi sisältää arkaluontoista henkilötietoa aiheuttaen vahinkoa henkilölle.

    • Tietovuoto voi sisältää tietoa, jolla voidaan tehdä fyysistä vahinkoa esimerkiksi teollisuuden ohjauslaitteiden luvattoman käytön kautta.

  • Taloudelliseksi riskiksi:

    • Tietovuoto voi aiheuttaa organisaatiolle vahingonkorvausvelvollisuuden tai sillä voi olla vaikutus organisaation rahoitukseen.

    • Tietovuoto voi aiheuttaa myös välillisiä taloudellisia riskejä, esimerkiksi palkanmaksujärjestelmään liittyvä tietovuoto voi pahimmillaan estää palkanmaksun ja aiheuttaa taloudellisia ongelmia työntekijöille.

  • Toimintariskiksi:

    • Tietovuodolla voi olla negatiivinen vaikutus organisaation tai sen toimintayksikköjen toimintaan.

    • Tietovuoto voi esimerkiksi estää kriittisen tietojärjestelmän toiminnan ja sitä kautta estää organisaation tai sen jonkun toimintayksikön toiminnan.

    • Tietovuoto voi myös vaikuttaa organisaation toimintaan aiheuttamansa mainehaitan kautta.

  • Strategiseksi riskiksi

    • Tietovuoto voi aiheuttaa myös strategisen tason riskin, mikä voi pahimmillään estää koko organisaation toiminnan tai strategisten tavoitteiden saavuttamisen.


(lightbulb) VINKKI

  • Suojattavaan omaisuuteen kohdistuvia haavoittuvuuksia voidaan tunnistaa säännöllisillä automaattisilla haavoittuvuusskannauksilla. Säännöllisillä sovelluspäivityksillä voidaan pienentää haavoittuvuuksista toiminnalle aiheutuvia riskejä.

Kuva Riskienhallintaprosessista jossa riskien tunnistaminen laatikko on ympyröity

Lähde: VM 22/2017. Kuva perustuu standardiin SFS-ISO 31000










T19: Mahdolliset vaikutukset toimintaan on tunnistettu ja niiden todennäköisyys on arvioitu TASO 1

1.

Tunnista ja dokumentoi sisäisten ja ulkoisten uhkien vaikutukset toimintaan.

2.

Arvioi ja dokumentoi uhkien todennäköisyys.

3.

Tutustu myös oheisiin suosituksiin:

Lisätietoja

Linkit johtavat ulkoisille sivustoille.

Oletetut tuotokset

  • Riskirekisteri digitaalisen turvallisuuden riskeistä

ESIMERKKI

Esimerkki: Riskimatriisista (VM 22/2017, Liite 5, sivu 6)

(lightbulb)VINKKI

     RISKIANALYYSI

Lisätietoa kuvasta Riskianalyysi löytyy seuraavasta kappaleesta

Lähde: VM 22/2017. Kuva perustuu standardiin SFS-ISO 31000

  • Riskejä voidaan luokitella niiden todennäköisyyden ja vaikutuksen perusteella, esimerkiksi (organisaatio itse päättää käyttämästään riskien arviointitaulukosta ja tasojen määrästä):
TodennäköisyysVaikutus

1 Epätodenäköinen

1 Vähäinen
2 Mahdollinen2 Kohtalainen
3 Todennäköinen3 Merkittävä
4 Lähes varma4 Kriittinen










T20: Uhka-, haavoittuvuus-, todennäköisyys- ja vaikuttavuustietoa käytetään riskin merkityksen arviointiin TASO 1

1.

Tunnista digitaalisen turvallisuuden riskit ja arvioi niiden merkitys organisaation toiminnalle tunnistettujen haavoittuvuuksien ja uhkien sekä niiden todennäköisyys- ja vaikuttavuustietojen perusteella.

2.

Katso myös Tiedonhallintalautakunnan suositus tiettyjen tietoturvallisuussäännösten soveltamisesta (Kappale 6: Riskienhallinta).

Lisätietoja

Linkit johtavat ulkoisille sivustoille.

Oletetut tuotokset

  • Riskirekisteri digitaalisen turvallisuuden riskeistä

(lightbulb) VINKKI

      RISKIN MERKITYKSEN ARVIOINTI

Lisätietoa kuvasta Riskin merkityksen arvointi löytyy seuraavasta

Lähde: VM 22/2017. Kuva perustuu standardiin SFS-ISO 31000

Riskien merkitystä arvioitaessaMerkityksen arvioinnin tuloksena
  • Päätetään, mitä riskien suhteen tehdään
  • Arvioidaan toimenpiteiden tärkeyttä ja kiireellisyyttä
  • Käytettävissä on työlista tehtävien vastuuttamista ja tavoiteaikataulujen asettamista varten










T21: Riskienhallintakeinot on tunnistettu ja priorisoitu TASO 1

1.

Määritä tunnistetuille riskeille on riskienhallintatoimenpiteet, priorisoi riskilista, vastuuta riskienhallintatoimenpiteet ja seuraa niitä.

2.

Katso myös Tiedonhallintalautakunnan suositus tiettyjen tietoturvallisuussäännösten soveltamisesta (Kappale 6: Riskienhallinta).

Lisätietoja

Linkit johtavat ulkoisille sivustoille.

Oletetut tuotokset

  • Riskirekisteri digitaalisen turvallisuuden riskeistä ja niiden hallintakeinoista

ESIMERKKI

Esimerkki: Riskirekisteristä

VAHTI 22/2017 -ohjeen liitteissä on Excel-pohjaisista riskienhallintatyökaluista perus- ja laajempi versio. Vaikka etenkin suurempien organisaatioiden suositellaan käyttävän riskirekisterin laadintaan ja ylläpitoon erillisistä riskienhallintajärjestelmään, on Excel-pohjaisissa riskienhallintatyökaluissa riskirekisterin vaatimat tiedot:

  • Riskien tunnistaminen
    • Riskin tunniste
    • Riskiluokka
    • Riskin nimi
    • Syyt ja tekijät riskin taustalla, miksi riski voi toteutua
    • Seurauksia riskin toteutumisesta, mitä voi tapahtua?
  • Riskianalyysi
    • Todennäköisyys
    • Vaikutus
  • Riskin merkityksen arviointi
    • Riskin suuruus
    • Toimenpidetarpeet riskin käsittelylle (vakavuus/sietokyky)
  • Riskin käsittely
    • Toimenpide-ehdotukset riskin käsittelylle
    • Toimenpiteiden vapaamuotoinen kuvaus
    • Vastuuhenkilö
    • Tavoiteaikataulu, mihin mennessä toimenpiteitä
    • Lisätietoja

(lightbulb) VINKKI

      RISKIEN KÄSITTELY

Lisätietoa kuvasta Riskien käsittely löytyy seuraavasta kappaleesta

Lähde: VM 22/2017. Kuva perustuu standardiin SFS-ISO 31000

Riskien käsittelyssä päätetäänRiskien käsittelyvaiheen tuloksena
  • Riskien omistajat
  • Riskienhallintatoimenpiteet
  • Toteutusaikataulut
  • Valvontavastuut
  • Kokonaisnäkemys riskeistä, niiden tasosta, käsittelytoimenpiteistä, vastuista ja aikatauluista





  • No labels

Voit antaa sivustoon liittyvää palautetta lähettämällä sähköpostia osoitteeseen digiturva@dvv.fi.