pptx - CSC

Report
Tietoturvallisuuden hallinta VIP:issä
Virtu-luottamusverkosto
Tommi Simula
Tietoturva-asiantuntija (CISSP, GSEC, MCSE)
Tietoturvapalvelut
Valtion IT-palvelukeskus
12.1.2012
Agenda
•
Tietoturvallisuuden hallinnan lähtökohdat VIP:in
palveluissa
•
VIP Tietoturvallisuus 1.0 Hankkeissa
•
VIP Tietoturvallisuus 1.0 Jatkuvissa Palveluissa
•
Liittyminen Virtu-luottamusverkostoon
7.12.2011 Palveluiden läpikäynti
Tietoturvallisuuden hallinnan
lähtökohdat
•
•
Sisäiset velvoitteet
-
Valtiokonttorin/VIPin tietoturvapolitiikka
-
ISO27001 –standardiin pohjautuva tietoturvallisuuden
hallintajärjestelmä
Ulkoiset velvoitteet
-
Valtioneuvoston asetus tietoturvallisuudesta
valtionhallinnossa 1.7.2010/681
-
VAHTI 02/2010 - Ohje tietoturvallisuudesta
valtionhallinnossa annetun asetuksen täytäntöönpanosta
-
Julkisuuslakiin 621/1999 liittyvät määräykset
-
Henkilötietolaki 22.4.1999/523
7.12.2011 Palveluiden läpikäynti
Miten tietoaineistot vaikuttavat
tietoturvatason valintaan
ST I
Erittäin
salainen
ST II
Salainen
ST III
Luottamuksellinen
ST IV
Käyttö rajoitettu
ERITYISTASO
KORKEA TASO
TURVATTAVAT
KOHTEET
TURVATTAVAT
KOHTEET
KOROTETTU TASO
TURVATTAVAT
KOHTEET
PERUSTASO
TURVATTAVAT
KOHTEET
Miten tietoturvallisuus toteutetaan?
•
Uusissa palveluissa osana hankkeen elinkaarenhallintaa,
keskeisessä roolissa kilpailutuksessa edellytettävät
tietoturvallisuutta koskevat vaatimusmääritykset
 VIP Tietoturvallisuus 1.0 hankkeissa -toimintamalli
•
Jatkuvien palveluiden osalta edellytetään
tietoturvatasojen ja muiden keskeisten palvelun
tuottamiseen liittyvien toimintamallien saavuttamista
 VIP Tietoturvallisuus 1.0 jatkuvissa palveluissa toimintamalli
7.12.2011 Palveluiden läpikäynti
Miten tietoturvallisuus toteutetaan?
Hankevaihe
• Tietoturvallisuus hankkeen
suunnittelussa, kilpailutuksessa
ja tuotantoon hyväksymisessä
Tuotantovaihe –
jatkuva palvelu
• Tietoturvallisuuden
vuosikello
7.12.2011 Palveluiden läpikäynti
Suunnittelun ja kilpailutuksen tietoturvavaatimukset
7.12.2011 Palveluiden läpikäynti
Tietoturvavaatimusten osa-alueet
1.
Tietoturvatasovaatimukset (TTA
681/2010, VAHTI 2/2010)
Perustaso
ST IV / III / II –tasojen
tietoaineiston käsittelykyky
Korotettu
taso
-
2. ICT-varautumisen vaatimukset
- VM-hanke, jolla vaatimukset
viimeistellään ja virallistetaan,
tässä käytetty luonnosversion
vaatimuksia
7.12.2011 Palveluiden läpikäynti
Korkea
taso
Vaatimusalueet
3. Tekniset vaatimukset
-
Palvelun tuottamiseen käytettävän palvelin- ja
tietoliikenneympäristön, sekä käyttöpalvelutoimittajaa
koskevat yleiset tietoturvavaatimukset
-
Perustuvat yleisiin best practice –malleihin
4. Sovelluskehityksen vaatimukset
-
Vaatimukset palvelussa tai palvelulle tuotettavalle
sovelluskoodille ja sovelluskehitysprosessille
-
Lähtökohtana ensivaiheessa SANS/CWE Top25 ja
OWASP Top Ten
7.12.2011 Palveluiden läpikäynti
Vaatimusalueet
5. Hankittavan kohteen erityisvaatimukset
-
Esim. riskianalyysin pohjalta tuotettavat, juuri tätä
hankintaa koskevat tietoturvavaatimukset
6. Jatkuvassa palvelussa edellytettävät asiat
-
Ennen hankkeen hyväksyntää edellytettävät jatkuvan
palvelun tietoturvaprosesseihin liittyvät vaatimukset
-
Perustuvat VIP Tietoturvallisuus Jatkuvissa Palveluissa
1.0 –toimintamallin mukaiseen tietoturvallisuuden
vuosikelloon
7.12.2011 Palveluiden läpikäynti
Jatkuvilta palveluilta edellytettävät tietoturva-asiat
•
Kun palvelu on toiminnassa ns. jatkuvana palveluna, siltä tulee
edellyttää tiettyjä vaatimuksia.
•
Palvelun tulee täyttää tietoturvatasojen mukaiset perustason
vaatimukset palvelun käyttöönoton yhteydessä ja korotetun ja
korkean tason osalta erikseen sovittavan aikataulun mukaisesti.
•
Valtion IT-palvelukeskus on sitoutunut täyttämään korotetun
tietoturvatason vaatimukset kaikissa keskeisissä palveluissa
vuoden 2013 loppuun mennessä
7.12.2011 Palveluiden läpikäynti
Hyväksymiskriteeristö jatkuviin
palveluihin siirtoon
•
Projekti- tai hankepäällikkö vastaa jatkuviin palveluihin
siirrosta osana hyväksymistestausta
•
Palvelun auditointi hyväksymistestauksen yhteydessä
-
Auditointiin sisältyy minimissään määriteltyjen
tietoturvatasojen ja ICT-varautumisen vaatimusten, sekä
vaatimus-excelin välilehdellä 6 määritellyt ennen palvelun
käyttöönottoa vaadittavien kohtien tarkastus
-
Kaikki tekniset vakavat havainnot ja poikkeamat tulee olla
korjattu ennen käyttöönottoa tai siirtoa jatkuviin palveluihin
-
Muista merkittävistä havainnoista tulee olla aikataulutettu
korjaussuunnitelma
-
Asetetut vaatimukset lisätään palvelun
turvallisuussopimuksen liitteeksi
7.12.2011 Palveluiden läpikäynti
VIP Tietoturvallisuus Jatkuvissa
Palveluissa 1.0 -toimintamalli
1. Järjestelmän ja ympäristön perustiedot ja kuvaukset
-
Turvallisuuskuvaus, järjestelmäkuvaus, rekisteriselosteet
2. ICT-riskien arviointiprosessi
-
Arvioidaan vuosittain, kehitys- ja korjaustoimenpiteiden etenemisen
seuranta 2-4 kertaa vuodessa
3. Toipumissuunnitelma(t)
-
Palvelu- tai järjestelmäkohtainen yksityiskohtainen suunnitelma
teknisistä häiriöistä toipumiseen
-
Häiriöviestinnällä keskeinen rooli
7.12.2011 Palveluiden läpikäynti
VIP Tietoturvallisuus Jatkuvissa
Palveluissa 1.0 -toimintamalli
5. Palvelun auditointisuunnitelma sekä suoritettavat
säännönmukaiset auditoinnit
-
Säännölliset tietoturva-auditoinnit palvelun kriittisyyden ja
siinä käsiteltävien tietojen vaatimusten mukaan
-
Valtiokonttori osallistuu VM:n rahoittamaan
haavoittuvuusskannauspalvelu-hankkeeseen ja kaikki
keskeiset palvelut liitetään tähän palveluun
6. Sopimusten katselmointi tietoturvallisuuden osalta
-
Vuositasolla katselmoidaan sopimusten toteutuminen
7. Tietoturvallisuuden liittäminen toimittajayhteistyöhön
-
Säännöllisissä toimittajatapaamisessa tietoturva-asiat
ovat asialistalla (poikkeamat, raportit, kehitys)
7.12.2011 Palveluiden läpikäynti
VIP Tietoturvallisuus Jatkuvissa
Palveluissa 1.0 -toimintamalli
8. Tietoturvapoikkeamien hallinta ja raportointi
-
Häiriötilanteiden hallinta, eli vastuut, yhteyskanavat ja
eskalointi tietoturvapoikkeamien tai niiden epäilyjen
ilmetessä
9. Tietoturvallisuuden vastuunjakotaulukko
-
Kuvaus tietoturvallisuuden vastuista sidosryhmittäin ja
rooleittain
-
Suosituksena RACI-malli
10. Palvelun tietoturvallisuuden vuosikello
-
Miten edellä kuvatut toimenpiteet sidotaan organisoituun
ja säännölliseen toimintamalliin
7.12.2011 Palveluiden läpikäynti
Tietoturvallisuuden vuosikello esimerkki
7.12.2011 Palveluiden läpikäynti
Liittyminen Virtu-luottamusverkostoon
Palvelun omistaja (VIP) asettaa palveluun liittymisen edellytykset
tietoturvallisuuden osalta. Virtu IdP -palvelun osalta asiakkaan IdPpalveluympäristöltä edellytetään tietoturvatasojen korotettua tasoa.
Palveluun liittyvä organisaatio tilaa auditoinnin VIP:iltä. Auditointiin
sisältyy organisaation arviointi sekä IT-arviointi.
Jos poikkeamia löytyy, tehdään toimenpidesuunnitelma poikkeamien
korjaamiseksi. Virtun kannalta on tärkeätä, että organisaatiolla ei ole
kriittisiä poikkeamia, jotka vaarantaisivat sekä liittyvän organisaation,
Virtu-palvelun sekä mahdollisesti myös muiden palvelua käyttävien
asiakkaiden tietoturvallisuuden.
Kun kriittiset poikkeamat on korjattu ja muiden merkittävien
poikkeamien osalta on luotu aikataulutettu toimenpidesuunnitelma, voi organisaatio liittyä palveluun.
Kysymyksiä?
VIP Tietoturvapalvelut
•
Asiantuntija- ja konsultointipalvelut
•
Tietoturvapäällikköpalvelu
•
Koulutuspalvelut
•
Auditointi- ja tarkastuspalvelut
[email protected]
VIP Tietoturvallisuuden Työkalupakki
http://www.valtiokonttori.fi/Public/Default.aspx?nodeid=21701
Kysy tietoturvallisuudesta
http://valtiokonttori.fi/Public/default.aspx?nodeid=24747
7.12.2011 Palveluiden läpikäynti

similar documents