Tietoturva osa3

1. Tietoturva osa3 Henkilöstöturvallisuus Fyysinen turvallisuus

2. Henkilöstöturvallisuus Henkilötietojen tietosuoja Luotettavuusselvitys rekrytoitaessa Matkustusturvallisuus Vierailujen turvajärjestelyt Henkilöstö- turvallisuus Salassapitosopimukset karanteeniehdot Kulunvalvonta Toimet työsuhteen päättyessä Avainhenkilöiden varamiesjärjestelmä Henkilöstön valvonta Henkilöstön hyvinvointi

3. Yrityksen turva-asioita järjestettäessä on keskeisenä osana selvitettävä omaan henkilöstöön , asiakkaisiin ja ulkopuolisiin kohdistuvat uhat. • Selvitettävinä asioina ovat myös matkustusturvallisuus koti- ja ulkomaan matkoilla. • Avainhenkilöiden mahdolliset turvallisuusjärjestelyt on joissain tapauksissa järjestettävä, jotta saadaan turvattua yrityksen toiminta. • Syytä on myös muistaa henkilösuojauksen tarve erikoistapauksissa ( korkea-arvoiset vieraat ).

4. Käytännön ohjeita: • Pidä tärkeät dokumentit levykkeillä. Jos salkkumikro varastetaan, eivät dokumentit häviä • Liikeneuvotteluja ei kannattaisi käydä ravintolassa (voidaan kuunnella) • Yritysvieraita päästetään useimmin vain neuvottelutiloihin, heiltä edellytetään useasti vaitiolositoumuksia • On hyvä, jos avainhenkilöitä ollaan vastassa lentokentällä

5. Henkilöstöturvallisuusasioiden oikeanlainen järjestely takaa henkilöstölle ja asiakkaille turvallisen toimintaympäristön, joka vaikuttaa positiivisesti yrityksen tulokseen ja imagoon. • Henkilöstöturvallisuus on henkilöstöön liittyvien tietoturvariskien hallintaa muun muassa toimenkuvien, käyttöoikeuksien ja koulutuksen avulla • Henkilöstöturvallisuus on eritäin tärkeä osa yrityksen turvallisuutta, koska henkilöstö on yrityksen tärkein voimavara mutta myös suurin riskitekijä.

6. Valvonta työpaikalla • Henkilöstöturvallisuuteen kuuluvat sekä oman henkilöstön että vierailijoiden tarkkailu ja valvonta • Valvontaa voidaan toteuttaa tehokkaasti toimitiloissa kulunvalvontajärjestelmällä , sekä tietojärjestelmissä lokitiedostoilla

7. Henkilöstöturvallisuuden eräänä tarkoituksena on estää inhimillisestä toiminnasta aiheutuvat tietoturvavahingot. • Suurin osa henkilöstön aiheuttamista vahingoista on tahattomia, mutta tahallisia tehdään kuitenkin yllättävän paljon

8. Vahinkojen määrän rajoittamiseksi yritys voi käyttää hyväkseen Parkerin (Donn B./ Computer Security Management) määrittämiä riskien hallinta- toimenpiteitä: • Välttäminen • Estäminen • Havaitseminen • Toipuminen

9. Välttäminen • Pyritään henkilöstön sijoittelulla ja muilla toimenpiteillä tilanteeseen, jossa vahingon tapahtumisen todennäköisyys on pieni • Estäminen • Muodostetaan erilaisia henkilöstön kulunrajoituksia tai muita väärinkäyttämisen estäviä rajoituksia • Rajoituksia ovat mm. käyttäjäroolit ja niiden mukainen tietojen saatavuus. • Kulunvalvonnalla voidaan estää vapaa liikkuminen.

10. Havaitseminen • Havaitsemisella pyritään paljastamaan ja tarvittaessa myös eristämään ja poistamaan henkilöstön tietojen väärinkäytön yritys. • Esimerkkinä murtohälyttimet, lokitiedostot jne. • Toipuminen • Toipumisella tarkoitetaan keinoja, joilla pyritään toipumaan vahingosta. • Vahinko voi olla henkilövahinko (tärkeän henkilön kuolema) tai taloudellinen vahinko.

11. Oma henkilöstö ja siitä riippuvat tietoturvatekijät ovat monella tavalla • tietojen eheyden, • luottamuksellisuuden ja • käytettävyyden uhkana. • Yleensä uhkana pidetään pelkästään henkilöstön aiheuttamia vahinkoja, joko tahattomia tai tahallisia mutta hyvin suuri osa henkilöstön aiheuttamista uhkatekijöistä riippuu yrityksen organisaatiorakenteesta ja siitä miten tietotekniikkaan on yrityksessä panostettu.

12. Avainhenkilöistä huolehtiminen ja sijaisjärjestelyt • Organisaatiorakenteesta johtuvia henkilöturvallisuuden uhkia ovat: • tiedon ja taidon keskittyminen harvoille henkilöille. • Näiden henkilöiden sijaisjärjestelyt ja seuraajasuunnittelut ovat erittäin tärkeitä toiminnan jatkumisen kannalta. • Toimintatavat, joissa joillekin henkilöille kasaantuu suuria työmääriä

13. Kriittiset työtehtävät • Henkilö saattaa pienessäkin virhetilanteessa tai epätavallisessa tilanteessa toimia paniikinomaisesti aivan toisin kun hän normaalisti toimii. • Pieni virhe ->paniikki -> nopea korjausyritys -> isompi virhe ja vahinko. • Koulutuksen vaikutus: • Riittävä koulutus poikkeustilanteita varten auttaa ehkäisemään virheellisistä ja hätäisistä toimenpiteistä aiheutuvia vahinkoja. • Koulutuksella voidaan vähentää henkilöstön toiminnan ailahtele- vaisuutta ja estää huolimattomuudesta ja välinpitämättömyydestä johtuvia virheitä. • Sellaisissa työpisteissä joissa ei ole varaa inhimillisiin erehdyksiin, on huolehdittava erikoistilanteiden hallinnan koulutuksesta. Mitä työpisteitä em. voisivat olla?

14. Luotettavuusselvitykset • Palkkausvaiheessa tarkistetaan henkilön luotettavuus. • Mikäli tehtävä on ”tärkeä” ja henkilö suostuu, voidaan poliisilta (suopo) pyytää luotettavuuslausunto. • Ellei henkilö anna suostumustaan luotettavuuslausunnon pyytämistä varten ... • Lausunnon pyytäminen on hyvin yleistä. • Myös psykologisia testejä käytetään henkilöiden henkisten ominaisuuksien mittaamiseen. • Luotettavuuslausunto ei aina kerro koko totuutta eikä myöskään psykologinen testi • Myös ulkoistettujen palvelujen henkilöstön luotettavuus varmistettava

15. Erottamien tai eroaminen • kun henkilö siirtyy esim. toiseen yritykseen, siirtyy hänen mukanaan aina jonkin verran tietoa. • Jos siirto kilpailijalle - tietovuoto on varma. • Ehto työsopimuksessa voi kieltää toimimisen 3-5 vuoteen samalla toimialalla • jos henkilö erotetaan - ”väärin perustein” - > kostomieli -> rikos tms. • Riskien minimoimiseksi voi erottamispäätöksestä kertoa mahdollisimman myöhään ja sitten tyhjennyttää työpiste toisen valvonnassa ->kerätään kulkuluvat, avaimet, poistetaan käyttäjätunnukset ja ohjataan ulos.

16. Kostomielialaa voi vähentää reilulla ”kultaisella kädenpuristuksella” • Riippumatta tavasta jolla henkilö lähtee on aina muistettava kerätä kaikki kulkuluvat, luottokortit, käyttäjätunnukset tms. ja niiden voimassaolo lopetetaan. • Myös tilapäisten työntekijöiden osalta on oltava huolellinen • Hyvä palkkaus , edut ja joustot työsuhteen aikana edistävät työssä viihtymistä ja lojaalisuutta työnantajalle

17. Henkilötietojen tietosuoja: Henkilöstöturvallisuuden eräs alue on huolehtiminen siitä, että työntekijän henkilötiedot sisältävät tiedostot ovat suojatut ( niihin ei pääse käsiksi kuin nimetyt henkilöt ja ne on kryptattu siten, että niitä ei voi hakkeroida ). Sähköpostilla ei myöskään saa lähettää salaamatta postia, jossa on esim. työntekijän nimiä ja henkilötunnuksia.

18. Henkilöstöturvallisuus on tärkeä osa tietoturvallisuutta ja sen parantamiseksi on luotava sekä organisaation rakenne että henkilöstön koulutustaso turvallisuusvaatimusten mukaiseksi • Henkilöstöturvallisuuden toimenpiteet alkava henkilön palkkauksesta ja päättyvät hänen työsuhteensa päättymisen jälkeen.

19. Ennalta arvaamaton käyttäytyminen tulisi minimoida luomalla toimenkuvat ja koulutustaso sellaisiksi ettei turvallisuutta vaarantavia tapahtumia pääsisi tapahtumaan • Henkilöstöturvallisuus painottuu ennen kaikkea ennakkoon tapahtuvaan riskien välttämiseen ja niiden synnyn estämiseen.

20. Fyysinen eli toimitilaturvallisuus turvallisuusnäkökohdat rakennusten suunnittelussa Hajasäteilyyn perustuvalta vakoilulta suojautuminen fyysinen turvallisuus Vartiointi, kulunvalvonta, tekninen valvonta EMP -suojaus Tilojen suojausluokka- määrittelyt

21. Fyysinen turvallisuus on: laitteisto-, käyttö-, varasto- ja arkistotilojen fyysistä suojaamista ja sen tarkoituksena on saada ajallinen estevaikutus mahdollisimman suureksi • Se kattaa • rakenne, rakennus, ja ympäristön suunnittelun • Siihen kuuluvat myös: • Kulunvalvonta, tekninen valvonta, vartiointi sekä palo-, vesi-, sähkö-, ilmastointi-, murto- yms. vahinkojen torjunta ja vahinkojen estäminen

22. Fyysinen turvallisuus on hyvin lähellä laitteistoturvallisuutta ja niiden välinen ero on joskus epäselvä. • Jakona voidaan pitää, että fyysinen turvallisuus suojaa tiloissa olevia laitteita fyysisesti tapahtuvilta uhkatekijöiltä ja laitteistoturvallisuus muilta uhilta. • Fyysisiä uhkatekijöitä on hyvin monia: esim. • Palo- ja vesivahingot • Lämpövauriot • Valvomaton liikkuminen • Laitteiden-, ohjelmien- tai tietojen anastaminen

23. Edellä mainittujen uhkatekijöiden lisäksi tulee suojautua: • tärinän aiheuttamilta vahingoilta • energiakatkoksilta ja jännitevaihteluilta • pöly- ja kaasuvahingoilta • vahingonteoilta • Fyysinen turvallisuus pyrkii ajallisen estevaikutuksen lisäämiseen. • Mitä pidempi ajallinen estevaikutus, sen parempi fyysinen turvallisuus on.

24. TILOJEN SUUNNITTELU • Tilojen turvallisuudessa on huomioitava • paloturvallisuus • palvelinkoneet ovat mielellään ikkunattomassa huoneessa • sisäjohtoverkko ja talojakamo on rakennettu määräysten mukaan • Tilojen suojauksia määritettäessä käytetään apuna suojausluokkia. • Valtion toimitilojen suojausluokitus määräytyy säilytettävän tietoaineiston turvallisuusnäkökohtien mukaan.

25. Suojausluokitus • Perussuojaus: • fyysisen suojauksen perustarpeet on toteutettu mm. asianmukaiset säilytystilat sekä lukittavat kalusteet. • Tehostettu perussuojaus • * perussuojaus, jota on täydennetty mm. kulunvalvonnalla ja rikosilmoituslaitteilla • 3. Erityissuojaus: • * perussuojauksen lisäksi palo- ja murtosuojalaiteet • 4. Täyssuojaus: • * erityissuojaus, jossa parannetut kulunvalvonta- ja rikosilmoituslaitteet sekä suojaukset vakavia uhkia vastaan

26. Fyysinen suojaus on laaja-alaista ja vaikeasti hallittavaa. • Fyysisen turvallisuuden perusta luodaan rakennus vaiheessa. • Jälkikäteen turvallisuuden parantaminen on kallista koska se vaatii rakenteiden uusimista tai sähkö-, vesi- ja ilmastointijärjestelmien uusimista.

27. Kulunvalvonta • Mikäli pyritään korkeaan fyysiseen turvallisuuteen, valvomaton liikkuminen on estettävä mahdollisimman hyvin. • Kuten tietoaineistot, jaetaan myös rakennukset ja rakennusten osat sopiviin turvaluokkiin. • Rakennukset ja rakennusten osat eristetään toisistaan riittävän korkeatasoisella kulunvalvonnalla. • Mitä arkaluontoisempia tietoja käsitellään, sitä paremmin on kulunvalvonta hoidettava.

28. Ilman asianmukaista fyysistä suojausta ei muillakaan tietoturvatoimenpiteillä ole merkitystä. • Fyysinen turvallisuus muodostaa perustan muille turvallisuustoimenpiteille.

29. Kulunvalvonta perustuu kolmen erilaisen varmistusmenetelmän käyttöön: • Valtuutus (authorization) • Tunnistus (identification) • Kulun- ja yhteydenvalvonta(access control)

30. Valtuutus (authorization) • määrää kenellä on oikeus käyttää tiloja tai järjestelmää • Tunnistus (identification) • on toimintaa, jossa tarkistetaan kontrollikohteen identiteetti • Kulun- ja yhteydenvalvonta(access control) • on toimintaa, jossa varmistetaan, että ainoastaan valtuutetut henkilöt pääsevät kontrolloidulle alueelle.

31. Kulunvalvonnan tehtävät • Tärkein tehtävä on taata, että henkilöt, joilla on oikeus päästä kohteeseen, voivat sinne mennä, mutta asiaankuulumattomat eivät sinne pääse. • Kulunvalvonnalla voi olla myös muita tehtäviä, kuten vyöhykelaskenta. • Vyöhykelaskennalla määritellään kuinka paljon ihmisiä on jossain tietyssä rakennuksessa tai rakennuksen osassa. (tulipalo tms.)

32. Jos halutaan rajata vain tietyille henkilöille pääsy rakennuksen osaan niin henkilöt tulee tunnistaa. • Ilman varmaa tunnistusta ei kulunvalvontaa voida toteuttaa. • Tunnistus perustuu yleensä käyttäjän hallussa, tiedossa tai omistuksessa olevaan asiaan. • Johonkin mitä käyttäjä tietää esim. • salasanat, numerokoodit tai muut muistettavat tunnisteet

33. Johonkin mitä käyttäjä omistaa esim. • avaimet, kulkukortit, tai muu vastaava tunnistemateriaali • Johonkin mitä käyttäjä tekee esim. • tapa käyttää näppäimistöä • Käyttäjän sijaintiin • Käyttäjän ominaisuuksiin

34. Tunnistaminen • Tunnistamismenetelmän vaatimukset: • Käytettävän tunnistuspiirteen on oltava ainutlaatuinen • Käytettävän tunnistuspiirteen muuttaminen on oltava mahdotonta • Käytettävän piirteen on oltava vakaa • Käytettävän piirteen on oltava mitattavissa ja verrattavissa • Tunnistusmenetelmän on oltava sosiaalisesti hyväksyttävä • Relevantti tieto on kyettävä digitoimaan ja tallentamaan Harvat tunnistusmenetelmät täyttävät kaikki vaatimukset

35. Biometriset tunnistusmenetelmät täyttävät vaatimukset melko tarkasti, toimikortit ja avaimet vain osittain. • Avainten ja toimikorttien heikkoutena on, ettei niitä voida varmuudella yhdistää tiettyyn henkilöön. • Kuvalliset toimikortit parempia • Kulunvalvonnan tasoa voidaan nostaa yhdistämällä eri tunnistusmenetelmiä esim. • yrityksen työntekijän suorittama henkilökohtainen tunnistus yhdistettynä toimikorttiin tai avaimiin.

36. Mikäli kulunvalvonta halutaan yhdistää tietoturvaan on kulunvalvontaan luotava samankaltaiset tasot kuin on asiakirjojen tietoturvaluokitukseenkin. • Julkisia asiakirjoja voidaan käsitellä toimipisteessä yleisesti päästävällä alueella. • Salaisten ja erittäin salaisten asiakirjojen käsittelyä tulisi suorittaa vain sellaisella alueella jonne on pääsy ko. turvaluokan käsittelyoikeudet omaavilla. • Fyysisen turvaluokan nosto tulee tehdä portaittain, jolloin fyysiset turvallisuustoimenpiteet luovat kehän, jossa turvaluokka nousee kehän sisään päin mentäessä.

37. Fyysiseen turvallisuuteen kuuluu olennaisesti avainten hallinta. • Pienessä organisaatiossa ei ole ongelmia mutta suuressa organisaatiossa avaintenhallinta saattaa olla vaikeampaa. • Sähköiset lukot -> hallinta helpottuu esim. katoamistapauksissa ja muutoksissa.

38. Hajasäteily • Hajasäteilyn avulla on mahdollista siepata tietoliikenneverkossa tai näytöllä olevaa informaatiota. • Tähän tarvitaan kalliita erikoislaitteita. • Eetterissä paljon signaaleja -> heikon hajasäteilyn sieppaaminen melko vaikeaa. • Nykyisten laitteiden säteilemä energia ja siirtoteiden energiatasot ovat huomattavasti pienempiä kuin ennen, joten hajasäteilyä ei synny läheskään niin paljon kuin ennen. • Hajasäteilyn avulla tapahtuva salakuuntelu on ammattilaisten ja varsinkin kansallisten vakoiluorganisaatioiden puuhaa. • Yksityisillä harvoin mahdollisuuksia hankkia tarvittavia laitteita.

39. Mikäli käytössä on todella hyvät laitteet ja riittävästi aikaa mittauksen suorittamiseen, pystytään tavallisennäyttöpäätteen sisältö lukemaan sadan metrin etäisyydeltä. • Suojaamattoman RS 232 -kaapelin signaalit pystytään mittaamaan useiden kymmenien metrien päästä.Viestimies 4/1995 Hajasäteily • Hajasäteilyä voidaan estää monella tavalla: • laitesuunnittelu, laitteiden rakenne ja käytettävät materiaalit • suojakotelot • käyttöympäristön eristäminen Faradayn häkkiin • lisätään hajasäteilyä jolloin oikean säteilyn tunnistaminen vaikeutuu mm. sijoittamalla useita näyttöpääteitä vierekkäin. • Näytönjuovat pyyhkäistään satunnaisen sekvenssin mukaan • estetään pääsy niin ettei hajasäteilymittausta pysty tekemään

40. Suuremman turvaluokan tietojen käsittelyyn vaaditaan laitteelta hyvää suojausta hajasäteilyä vastaan. • Suojauduttaessa hajasäteilyn aiheuttamilta tietoturvariskeiltä tulee laitteen säteilytehot olla tiedossa. • Julkisen tiedon käsittelyyn kelpaa mikä tahansa laite. • Hajasäteilyn mukaan laitteet voidaan jakaa eri turvallisuusluokkiin. • alle 5 m säteilevät -> turvallisia • korkeintaan 20 m -> salaista jos ympäristö on valvottu • yli 20 m säteilevät laitteet sopivat julkisen aineiston käsittelyyn. • Lähes kaikki ennen 90-luvun puoliväliä valmistettujen mikrojennäyttölaitteet säteilivät 50…200 m • nykyiset näytöt <50 m ja osalla<20 m -> hajasäteily ei enää suuri riski

41. EMP - suojaus • EMP (electromagnetic pulse) on erittäin voimakas sähkömagneettinen pulssi, joka syntyy esimerkiksi ydinräjähdyksen yhteydessä. • Pienempiä pulsseja voi syntyä esim. salamaniskusta. • Nykyinen elektroniikka ja varsinkin mikropiiritekniikka on hyvin herkkä sähkömagneettisille pulsseille. • Suojaamattomat laitteet tuhoutuvat voimakkaassa pulssissa lähes täysin. • Sähkömagneettisilta pulsseilta voidaan suojautua monin eri tavoin. • Tietoverkot voidaan suojata asentamalla ylijännitesuoja, joka vaimentaa esim. salamaniskusta syntynyttä pulssia. • Laitteistot voidaan suojata asentamalla ne suojattuun tilaan.

42. Pieniä sähkömagneettisia häiriöitä vastaan suojaudutaan yleensä sijoittamalla laitteet Faradayn häkkiin. • Käytännössä laitteet on sijoitettu teräksestä valmistettuun huoneeseen tai kaappiin. Suojattu tila eristetty sopivilla aaltoputkilla tai muilla sähkömagneettista säteilyä vaimentavilla laitteilla • Mikäli laitteistot suojataan voimakasta EMP:ia vastaan, on menettely lähes sama kuin Faradayn häkissä mutta suojauksen tulee pystyä vaimentamaan hyvin suuren taajuusalueen pulssia. • Lisäksi muun fyysisen suojauksen tulee olla erittäin hyvä, ettei esim. tärinä vahingoita laitteita. • Yleensä EMP suojausta vaativat laitteet sijoitetaan kalliorakennelmiin, joissa laitteet on sijoitettu vahvaan Faradayn häkkiin

43. EMP:lta suojautuminen on erittäin kallista eikä siltä suojata yleensä kuin valtion kannalta tärkeät järjestelmät. • Ydinräjähdyksen tuhovaikutus on niin suuri, ettei pelkällä EMP -suojauksella ole merkitystä. • Pienemmiltä pulsseilta kannattaa suojautua (salamat)