sarja 5 45318d, 45356d 1. Keskeiset käsitteet ====================== a. käytettävyys (availability) Käytettävyys takaa sen että käyttöoikeuden omaavat käyttäjät pääsevät tarpeen tullen haluamiinsa tietoihin käsiksi. b. oikeellisuus, aitous (autheticity) Oikeellisuus tarkoittaa sitä että tieto on todellakin peräisin sieltä mistä se väittää olevansa ja sisältää autenttista, oikeaa tietoa. Resurssien kohdalla aitous tarkoittaa sitä että resurssi tekee sitä mitä sen pitäisikin tehdä, eikä pelkästään näytä siltä. c. eheys (integrity) Eheys on tiedon suojaamista tahallisilta tai tahattomilta muutoksilta tahoilta joilla ei ole siihen oikeuksia. d. luottamuksellisuus (confidentiality, jotkut sanovat privacy tai security) Luottamuksellisuus on tiedon tai resurssin suojaamista luvattomalta käytöltä, julkistamiselta ja katselulta. 2. TKK:n tietoturvapolitiikka ============================= Lähde "Six Steps to Better Security" sivuutettiin, koska se listaa käytännön toimia, eikä sääntöjä. RFC:ssä ja ja "Computer Security Policy":ssa selitetään pitkälti samoja asioita kuin Lehtisen tekstissä, muttei niin lyhyesti ja selkeästi. TKK:n tietoturvapolitiikka täyttää kaikki lähteessä Pentti Lehtinen: Extranet Connections: 4. Security Policy asetetus kohdat. TKK:n tietoliikennesäännöt alkavat kappaleella, jossa kerrotaan, minkä takia sääntöjen noudattaminen on tärkeää. Tällöin lukijat saadaan motivoitua sääntöjen noudattamiseen. Säännöissä on lisäksi määritelty käyttäjien omat vastuut käyttämättä liian teknistä kieltä. Näin voidaan varmistua siitä, että lukija taustastaan riippumatta ymmärtää lukemansa ja omat vastuunsa. Sääntöjen loppuosassa määritellään vielä ylin päätäntävalta, joka päättää väärinkäytösten tutkinnasta ja seuraamuksista. Tällä tavalla säännöt saavat uskottavuutta. Ainoa mikä TKK:n tietoliikennesäännöistä puuttuu, on pykälä sääntöjen säännöllisestä tarkistamisesta. Säännöllinen tarkistaminen olisi kuitenkin tärkeää, koska tietotekniikka on nopeasti muuttuva ala. 3. Yrityksen tietoturvapolitiikka ================================= 1. Informaatioinventaario: - Asiakkaiden tietoja: o Asiakkaiden ongelmia, joihin he tarvitsevat meidän yritykseltämme apua. Hyvin arvokasta tietoa asiakkaalle, sillä heidän kilpailijansa voisivat helposti käyttää väärin niitä tietoja. Tieto tulee asiakkailta, menee niille ihmisille jotka ovat mukana asiakkaalle tehtävässä työssä. Tietoa säilytetään meidän yrityksemme tiloissa, eikä yleensä edes keskitetysti. o Muuta luottamuksellista tietoa. Asiakasprojektissa saadaan yleensä tietoa asiakkaan tietojärjestelmistä, tietoturvan tasosta, liikesalaisuuksista yms. Hyvin arvokasta tietoa asiakkaalle, sillä heidän kilpailijansa voisivat helposti käyttää väärin niitä tietoja. Tieto tulee asiakkailta, menee niille ihmisille jotka ovat mukana asiakkaalle tehtävässä työssä. Tietoa säilytetään meidän yrityksemme tiloissa, eikä yleensä edes keskitetysti. - Yrityksemme sisäistä tietoa: o Omia tuotteita ja tutkimustuloksia. Hyvin arvokasta tietoa meille, sillä yrityksemme tuotto riippuu niistä ja kilpailijat voisivat helposti käyttää hyväkseen näitä tietoja. Tieto tulee yrityksen sisältä, yrityksen työntekijöiltä ja sitä säilytetään yrityksen sisällä kunnes se mahdollisesti myydään asiakkaalle. o Työntekijöiden vero- ja henkilötietoja, yrityksemme asiakkaiden nimiä. Arvokkaita tietoja, koska työntekijät eivät pitäisi siitä että heidän vero- tai henkilötietojaan leviää ympäriinsä, eivätkä asiakkaat välttämättä halua kertoa käyttävänsä alihankkijoita. Tieto tulee yrityksen sisältä, yrityksen työntekijöiltä ja yrityksen ulkopuolelta asiakkailta. Sitä säilytetään yrityksen tiloissa, eikä sen pitäisi lähteä sieltä mihinkään. 2. Riskianalyysi: - Tietomurto o Fyysinen. Toimitiloihimme murtaudutaan ja tärkeitä papereita ja kovalevyjä, magneettinauhoja tms. varastetaan, muutetaan, kopioidaan tai tuhotaan. o Verkosta. Krakkeri murtautuu yrityksemme järjestelmään ja kopioi, tuhoaa tai muuttaa tietokoneiltamme löytyviä tiedostoja. - Työntekijöiden kautta kulkeutuu luottamuksellista tietoa sivullisille. (Työntekijä vaihtaa työpaikkaa, työntekijä lahjotaan, muuten vaan lavertelee) - Omat alihankkijat kertovat luottamukselliseksi tarkoitettuja tietoja sivullisille. 3. Yleisperiaatteet: - Kaikki tieto luokitellaan jollain asteikolla salaisesta julkiseen. Tällöin työntekijät tietävät mitkä asiat ovat salaisia ja mitkä julkisia, eivätkä tietämättömyyttään paljasta salaisuuksia. - Osasto on mahdollisimman hyvin suojattu fyysisiä ja verkon kautta tapahtuvia murtautumisia vastaan. Tämä pienentää murtautumisriskiä. - Osastolla on selkeä tietoturvapolitiikka ja työntekijät tuntevat oman vastuunsa siinä. Tietoturva perustuu siihen että työntekijät tietävät ja ottavat vastuunsa tietoturva-asioissa. - Alihankkijoilta vaaditaan myös osaston tietoturvapolitiikan noudattamista. Alihankkijoilta pitää vaatia samaa tietoturvapolitiikkaa kuin osaston työntekijöiltäkin, jotta tietoturva säilyisi. - Tietoa levitetään vain sen verran kun on pakko. Tällä tavoin pienennetään tietovuotojen riskiä. 4. Teema: Uuden työntekijän perehdytys: - Osaston tietoturvasäännöt - Turvallisten kommunikointitapojen opetus. - Omat vastuualueet - Rangaistukset tietoturvan rikkomisesta - Keneltä voi kysyä apua tietoturva-asioissa - Tietoturvan teoriaa. Kaikki paitsi tietoturvan teoria olisi hyvä ujuttaa työntekijälle mahdollisimman alussa. Kertaus vuosittain, aluksi ehkä useamminkin. 5. Systeemi: Sähköpostipalvelin: - Palvelimen pitää olla dedikoitu postinvälitykseen, sen ei pidä hoitaa muita asioita. - Palvelimeen ei saa päästä loggaamaan sisään ulkoverkon kautta, vain paikallisessta verkosta, sieltäkin ssh:lla. - Palvelimen logit tulee kirjoittaa write-only medialle, jottei mahdollinen murtautuja voi tuhota tai muuttaa niitä. - Palvelimessa tulee ajaa mahdollisiman vakaata ja turvallista käyttöjärjestelmää ja postinvälitysohjelmistoa. Jos tietoturva- aukko paljastuu, pitää se tukkia välittömästi tai sulkea järjestelmä korjausten ajaksi. - Hätätapauksia varten pitää olla ylläpidon iskujoukko, joka vaihtaa koneen puhtaaseen (tällainen olisi hyvä olla varalla koko ajan, esim. jos primäärinen palvelin menee rikki) ja jäljittää murtautujat. - Koneen pitää olla lukkojen takana, huoneessa olisi hyvä olla lisäksi nauhoittava videovalvonta. - Järjestelmää pitää auditoida sopivin väliajoin. - Käyttäjille pitää kertoa, ettei postinvälitys ole turvallista ellei posteja salata, esimerkiksi pgp:llä.