Tietoturva – tietosuoja tietojärjestelmissä

Tietoturva – tietosuoja
tietojärjestelmissä
3.3.2015
Pirkko Nykänen & Antto Seppälä
2.3.2015
1
TIETOSUOJA
Henkilötietojen käsittely turvattava ja henkilötiedot
suojattava asiattomalta käsittelyltä
– tietojen valtuudettoman saannin ja käytön estäminen
– tietojen luottamuksellisuuden säilyttäminen
– yksityisyys ja oikeusturva
TIETOTURVA
Laitteistot, ohjelmistot, tietoliikenneyhteydet ja tiedot on
suojattava fyysisesti, teknisesti ja toiminnallisesti
– asiaintila, jossa uhat eivät aiheuta merkittävää riskiä
– keinojen ja toimenpiteiden kokonaisuus, joilla varmistetaan
turvallisuus sekä normaaleissa että poikkeustilanteissa
Pirkko Nykänen & Antto Seppälä
2.3.2015
2
Tietoturvapolitiikka ja ohjeet
•
Yleiset periaatteet
• eettiset periaatteet ja lait (kulttuurisidonnaisuus)
•EU ja kansalliset periaatteet – EU direktiivit, lait ja
normatiiviset ohjeet
•Ohjeistukset - palvelujen ja teknologian toteutuksesta
riippumattomia
•Toimenpiteet - hallinnolliset ja tekniset toimenpiteet,
käyttöönotto-ohjeet, teknologia- ja organisaatioriippuvuus
Pirkko Nykänen & Antto Seppälä
2.3.2015
3
•
•
•
•
•
•
•
•
•
•
Valtionhallinnon tieto- ja
kyberturvallisuuden johtoryhmä
(VAHTI)
Kehittää, yhteensovittaa ja ylläpitää valtionhallinnon tietoturvallisuuden tavoitteita,
toiminta-, organisointi- ja resurssilinjauksia sekä normeja, ohjeita ja suosituksia
Kehittää tietoturvallisuutta osana hallinnon kaikkea toimintaa ja edistää tietoturvallisuuden
integrointia osaksi hallinnon prosesseja, tehtäviä, palveluita ja järjestelmiä
Valmistelee ja yhteensovittaa valtioneuvoston ja valtiovarainministeriön linjauksia hallinnon
tietoturvallisuudesta sekä seuraa ja edistää niiden toimeenpanoa
Edistää hallinnon tietoturvakulttuuria ja henkilöstön tietoturvatietoisuutta
Valmistelee ja käsittelee hallinnon organisaatioiden tietoturvallisuuden tavoitetasot ja
edistää niiden toimeenpanoa ja auditointia
Seuraa ja arvioi hallinnon tietoturvallisuutta, varautumista, kansallista ja kansainvälistä
kehitystä sekä määrittelee tarvittavat linjaukset, normit ja toimenpiteet
Käsittelee ja yhteensovittaa hallinnon kansainvälisen tietoturvayhteistyön linjauksia ja
vaikuttamista kansainvälisessä tietoturvatyössä
Ohjaa ja käsittelee valtion IT-strategian toimeenpanon tietoturvallisuutta ja varautumista
sekä organisoi näiden alueiden kehittämisohjelman ohjauksen.
http://www.vm.fi/vm/fi/16_ict_toiminta/009_Tietoturvallisuus/index.jsp
http://www.vm.fi/vm/fi/16_ict_toiminta/009_Tietoturvallisuus/02_tietoturvaohjeet_ja_ma
araykset/index.jsp
Pirkko Nykänen & Antto Seppälä
2.3.2015
4
Tasapaino tietoturvan ja tietosuojan sekä
käytännön tarpeiden välillä
Asiakkaan
Tieto
–
–
–
–
saatavuus
käytettävyys
muuttumattomuus
päätöksenteon tuki
–
–
–
–
yksityisyys
itsemääräämisoikeus
informointi
osallistuminen
Kohde ja sen ominaisuudet
määrittelevät tietoturvan tason
Pirkko Nykänen & Antto Seppälä
2.3.2015
5
Tietoturva
• Tietoturvallisuudella tarkoitetaan tiedoista, tietojärjestelmistä,
tietoliikenteestä sekä henkilöistä aiheutuvien riskien hallintaa
• Tietoturvallisuus on toiminnallinen kokonaisuus, jonka perustana
ovat organisaation turvallisuuskulttuuri ja ihmisten toiminta
• Tietoturvallisuus on laaja käsite, joka ei koske pelkästään teknisiä
ratkaisuja, kuten laitteistoa ja sovelluksia, vaan siihen oleellisesti
kuuluvat myös ihmisten toiminta ja turvatoiminnan yleiset
järjestelyt
• Organisaation tieto ja tietojärjestelmät ovat sen toiminnan ja
toimintakyvyn kannalta olennainen osa ja tietoturvallisuuden
lähtökohtana on turvata tiedon käytettävyys, eheys ja
luottamuksellisuus
Pirkko Nykänen & Antto Seppälä
2.3.2015
6
Tietoturva
• Tietoturvallisuudella varmistetaan
•
•
•
Organisaation toimintaympäristö
Arkaluontoiset tiedot ja liiketoimintatiedot
Turvataan asiakkaiden / sidosryhmien / kansalaisten
yksityisyys ja tietojen salassapito
• Tietoturvallisuus edellyttää johdon sitoutumista ja
riittäviä resursseja
• Tietoturva käsittää tietoturvaorganisaation, tietojen
käsittelijöiden toimintatavat, tietojen turvaamisen
menetelmät, kontrollit, välineet ja toimenpiteet, sekä
eri välineistöjen, ohjelmistojen ja tilojen
tietoturvaominaisuudet.
Pirkko Nykänen & Antto Seppälä
2.3.2015
7
Milloin tieto on turvassa?
• Onko tiedot turvassa jos henkilöstöllä on
vahvat salasanat?
• Onko tiedot turvassa jos järjestelmien
päivitykset ovat ajan tasalla?
• Onko tiedot turvassa jos meillä on palomuuri
käytössä?
• Paraneeko tietoturva ikinä?
Pirkko Nykänen & Antto Seppälä
2.3.2015
8
Tietoturvan tavoitteet
• Tietoturvan päätavoite on CIA
• Confidentiality of information
• Tiedon luottamuksellisuus
• Integrity of information
• Tiedon eheys
• Availability of resources
• Tietoresurssien käytettävyys / saatavuus
Pirkko Nykänen & Antto Seppälä
2.3.2015
9
Luottamuksellisuus
• Liittyy tietosuojan ja yksityisyyden käsitteisiin
• Luottamuksellisuudella tarkoitetaan kykyä suojata
tieto valtuudettomalta käytöltä, eli tiedot ovat vain
niihin oikeutettujen käytettävissä
• Uhkia tiedon käsittelyprosessin eri vaiheissa
• Tiedon luottamuksellisuudelle on uhkana esim.
kannettavan tietokoneen katoaminen, huolimaton
tiedon käyttö, väärä sähköpostiosoite, erilaiset
järjestelmähyökkäykset, henkilöstö
• Luottamuksellisuuden menettämisellä voi olla vakavat
seuraukset kaikille osapuolille
Pirkko Nykänen & Antto Seppälä
2.3.2015
10
Tiedon eheys
•
•
•
•
•
Tiedon täydellisyys ja muuttumattomuus syötön,
käsittelyn, arkistoinnin ja tiedonsiirron aikana
Tiedot eivät saa muuttua eivätkä hävitä virheiden /
luvattomien toimenpiteiden seurauksena koko tiedon
elinkaaren aikana
Eheyden takaamiseksi tietojen valtuudeton muuttaminen
on pystyttävä estämään, sekä muutoksista pitää pystyä
toipumaan, undo
Eri sovellukset voivat käsitellä samaa tietoa, joten eheyden
takaaminen on usein ongelmallista ja se vaatii laajaa
ymmärrystä organisaation tietovarannoista ja tietovirroista
Kriittinen ominaisuus mikäli tietoa pyritään käyttämään
päätöksenteon tukena
Pirkko Nykänen & Antto Seppälä
2.3.2015
11
Tiedon eheys
• Rikkomukset tiedon eheydelle ovat erityisen
hankalia havaita
• Kolme tiedon ominaisuutta: alkuperäisyys,
kiistämättömyys ja koskemattomuus
• Tiedon alkuperä pitää pystyä varmistamaan
• Kiistämättömyys, eli tiedon käsittelijä ei voi
kiistää tiedonkäsittelytapahtumaa
• Koskemattomuudella tarkoitetaan ettei tietoa
ole muokattu tai muutettu
Pirkko Nykänen & Antto Seppälä
2.3.2015
12
Tiedon käytettävyys / saatavuus
• Tieto pitää olla helposti ja viiveettä niiden
käytettävissä joilla on siihen oikeus
• Erilaiset katkokset haittaavat käytettävyyttä
• Sähkökatkot, järjestelmähäiriöt,
ylläpitotoimet, verkkokatkokset, laiteviat,
palvelunestohyökkäykset (DoS, denial of
service)
• Tietojen käytettävyys tulevaisuudessakin,
esim. arkistointi
Pirkko Nykänen & Antto Seppälä
2.3.2015
13
Tietoturvakäsitteitä
•
•
•
•
•
•
•
•
Tietoturvaloukkaus: oikeudeton puuttuminen tietoturvaan
Tietoturvauhka: potentiaalinen sisäinen tai ulkoinen vahingoittava
tapahtuma, yleensä ympäristöstä riippuvainen (vrt. Windows ja Linux)
Haavoittuvuus: tarkoitetaan yleensä heikkouksia turvallisuudessa joita
voidaan hyväksikäyttää
Tietoturvariski: uhan todennäköisyys ja mahdollisen vahingon
merkittävyys
Tietoturva-aukko: ohjelmistoon tai sen suojaukseen liittyvä
haavoittuvuus
Tietoturvahyökkäys: toimenpiteitä, joiden tarkoituksena on vahingoittaa
tai käyttää oikeudettomasti tietojärjestelmää tai –verkkoa
Tietomurto: suojattuun tietojärjestelmään tai –verkkoon tapahtuva
tunkeutuminen
Tietojen kalastelu (phishing): roskapostiin perustuvia huijausyrityksiä
Pirkko Nykänen & Antto Seppälä
2.3.2015
14
Haittaohjelma
• Usein puhutaan ns. malwaresta eli malicious software
• Erilaisia ohjelmia tai ohjelmien osia joiden
tarkoituksena aiheuttaa ei-toivottuja tapahtumia
• Virus, mato, vakoiluohjelma, nuuskija, troijalainen,
yms.
• Spyware, adware, rootkit
• Saastuneet nettisivut, muistitikut, sähköposti,
haavoittuvuudet…
• Uhkia koko CIA-kolmikolle
• Tietokoneen kaappaus
Pirkko Nykänen & Antto Seppälä
2.3.2015
15
Uhat, hyökkäykset
•
•
Yleinen jako neljään kategoriaan
Kaappaus (Interception)
•
•
Häirintä, keskeytys (Interruption)
•
•
Tiedon tuhoaminen tai tiedon, palvelun tai järjestelmän
muu käytön esto
Muuttaminen (Modification)
•
•
Hyökkäys luotettavuutta kohtaan, valtuudeton pääsy
tietoon tai järjestelmään
Tiedon, palvelun tai järjestelmän valtuudeton muuttaminen
Väärentäminen (Fabrication)
•
Tiedon valtuudeton syöttäminen järjestelmään
Pirkko Nykänen & Antto Seppälä
2.3.2015
16
Kontrollit
• Riskien minimoimiseksi on olemassa keinoja,
kontrolleja miten varautua erilaisiin uhkiin
Fyysiset kontrollit
• Keskittyvät suojaamaan fyysistä ympäristöä
•
•
•
•
´
Missä järjestelmät, tieto ja toiminta
Kulunvalvonta, lukot, portit, kamerat, vartijat…
Lämmitys, ilmastointi, palohälyttimet,
varavirtajärjestelmät…
Kriittinen tietoturvan takaamiseksi
Pirkko Nykänen & Antto Seppälä
2.3.2015
17
Kontrollit
Loogiset kontrollit
• Ns. tekniset kontrollit
• Keskittyvät suojaamaan järjestelmiä, verkkoja ja tiedon
käsittelyä ja ympäristöjä
• Salasanat, salaus, pääsynhallinta, palomuurit,
tunkeilijoiden havaitsemisjärjestelmät
Hallinnolliset kontrollit:
• Perustuvat sääntöihin, asetuksiin, lakeihin, käytäntöihin,
ohjeistuksiin…
• Säännöt ja ohjeistukset jotka määrittelevät miten
organisaatiossa toimitaan ja käyttäydytään liittyen
tietoturvaan
Pirkko Nykänen & Antto Seppälä
2.3.2015
18
Fyysinen turvallisuus
•
Fyysinen turvallisuus
•
•
•
•
•
•
•
Henkilöstö
Tiedot
Laitteistot
Asiattomat henkilöt: kulunvalvonta, lukot, portit, kamerat,
vartijat…
Luonnonkatastrofit ja ympäristö: lämmitys, ilmastointi,
palohälyttimet, varavirtajärjestelmät…
Tietojen ja laitteistojen fyysinen suojaus: fyysinen media ja
koko elinkaari
Tilojen luokittelu: Perustasosta täyssuojaukseen, esim.
Vahti 1/2002
Pirkko Nykänen & Antto Seppälä
2.3.2015
19
Tietoliikenne
•
Palomuuri hallinnoi verkkoliikennettä
Sisäverkko <-> julkinen verkko
Sijoitetaan suojaamaan eri luottamustason verkkoja
•
•
•
Pääsyoikeudet voidaan määritellä monella tavalla:
Protokolla
Portit
Pakettien perusteella (esim. alkuperä/kohde ip)
•
•
•
•
•
•
•
Proxy-palvelin tietyn liikenteen filtteröintiin ja käytön seurantaan
Tunkeilijoiden havaitsemisjärjestelmät
Langattoman verkon salaaminen (WEP, WPA, WPA2)
Salattu tiedonsiirtoprotokolla
Palvelinvarmenne + salaus (esim. SSL-/TLS)
•
•
•
Järjestelmäallekirjoitusvarmenne (esim. siirrettävä potilasasiakirja)
Määriteltävä käytettävät tiedonsiirto- ja suojausmenetelmät, teknologiat ja
tekniset standardit, sanomavälitys ja jäljitettävyys, omistus ja valtuudet sekä
vastuut
Pirkko Nykänen & Antto Seppälä
2.3.2015
20
Yritysverkon
sisäiset
työasemat
Sovellus
palvelin
WWWpalvelin
Tietoturvapalvelin
Bull CP8
DES
salausmoduli
Palomuuri
Internet
Reititin
X.500
Hakemisto
Yrityksen
verkkoon
ulkopuolelta
tulevat
työasemayhteydet
2.3.2015
Pirkko Nykänen & Antto Seppälä
21
Tietoliikenneturvallisuus
•
•
•
Nykyiset tietojenkäsittely-ympäristöt ovat hyvin riippuvaisia
tietoliikenneyhteyksistä
Tietoliikenneturvallisuuden tavoitteena on turvata organisaation
tietoliikenne ja varmistaa välitettävien tietojen luottamuksellisuus, eheys
ja käytettävyys
Kaikki tietoliikenteeseen liittyvät asiat, kuten verkkojen rakentaminen ja
suunnittelu
•
•
•
•
•
Protokollat
Salausmenetelmät
Verkkotypologiat
Tietoturvatuotteet (esim. reitittimet, palomuurit)
Tarkoituksena on varmistaa:
– sanomien alkuperäisyys, koskemattomuus ja luottamuksellisuus
– lähettäjä ja vastaanottaja sekä todentaa heidät
– tietoliikennelaitteiden fyysinen turvallisuus
Pirkko Nykänen & Antto Seppälä
2.3.2015
22
Tietoliikenneturvallisuus
•
Tietoliikennelaitteiston:
•
•
•
•
•
•
•
•
•
•
Kokoonpano
Luettelointi
Ylläpito
Muutosten valvonta
Ongelmatilanteiden kirjaus
Käytön valvonta
Verkon hallinta
Viestinnän salaus ja varmistaminen
Tietoturvapoikkeamien tarkkailu, kirjaus ja selvittäminen
Tietoliikenneohjelmien testaus ja hyväksyttäminen
Lähde: Andreasson & Koivisto, 2013
Pirkko Nykänen & Antto Seppälä
2.3.2015
23
Laitteistoturvallisuus
• Turvata organisaation tietojenkäsittely- ja
tietoliikennelaitteiden käytettävyys, toimivuus,
ylläpito ja saatavuus
• Tarkoituksena on suojata laitteistot siten, että
mahdollisuudet niiden varastamiseen, väärinkäyttöön
ja vahingoittumiseen on estetty
• Asennukset, takuut ja palvelu- ja ylläpitosopimukset
• Tukipalvelut ja hävitys
• Eri laitteiden turvallisuuden suunnittelu, esim.
palvelimet, tietokoneet, puhelimet
Pirkko Nykänen & Antto Seppälä
2.3.2015
24
Ohjelmistoturvallisuus
•
•
Ohjelmistoturvallisuuden tavoitteena on turvata
tietojenkäsittelypalveluiden eheys, luottamuksellisuus sekä sovelluksissa
käsiteltävien tietojen saatavuus
Käyttöjärjestelmien ja ohjelmistojen turvallisuus ja ajantasaisuus
•
•
•
•
•
•
•
•
Käyttöjärjestelmien ja ohjelmistojen haavoittuvuudet on yksi suurimmista
heikkouksista hyökkäyksiä vastaan
Jokainen ohjelmisto on riski
Haittaohjelmat
Käyttöjärjestelmät, tietoliikenneohjelmistot, tietoturvaohjelmistot ja
ohjelmistot
Ohjelmistojen hankinnat, kehitystyöt, käyttöönotot, ylläpitotoimet ja
alasajot tulee olla huolella suunniteltuja tietoturvallisia prosesseja
Dokumentointi ja järjestelmäluokittelu
Pääsynhallinta, käyttäjänhallinta sekä käyttäjien todentaminen
Voidaan määritellä luotettavasti, kuka saa ja pääsee käyttämään tietoja
sekä sovelluksia
Pirkko Nykänen & Antto Seppälä
2.3.2015
25
Tietoaineistoturvallisuus
•
•
•
•
•
•
Tarkoituksena turvata asiakirjojen, tiedostojen ja muiden
tietoaineistojen käytettävyys, eheys ja luottamuksellisuus
Organisaatioiden kaikki tieto, joka on toiminnan kannalta
merkittävää, on suojattava sekä dokumentoitava
Organisaation tiedot ja tietojärjestelmät on suojattava
siten, että työntekijöillä on pääsy vain niihin tietoihin,
jotka ovat välttämättömiä heidän työtehtäviensä kannalta
Tietojen ja tietojärjestelmien luokittelu, käsittelysäännöt
ja omistajuus
Käyttöoikeusprosessit, salassapitosopimukset
Eri tietoaineistojen koko elinkaaren kestävät suunnitellut
prosessit
Pirkko Nykänen & Antto Seppälä
2.3.2015
26
Käyttöturvallisuus
• Tavoitteena on parantaa tietotekniikan käytön,
käyttöympäristön, tietojenkäsittelyn ja ylläpidon
turvallisuutta
• Jatkuvuus- ja toipumissuunnitelmat
• Tietojärjestelmien operointi- ja hallintatoimet
• Valmiussuunnitelmat
• Palvelutasosopimukset
• Käytön valvonta
• Etäkäyttöpolitiikka
Pirkko Nykänen & Antto Seppälä
2.3.2015
27
Loogiset kontrollit
• Ns. tekniset kontrollit
• Keskittyvät suojaamaan järjestelmiä, verkkoja ja
tiedon käsittelyä ja ympäristöjä
• Salasanat, salaus, palomuurit, tunkeilijoiden
havaitsemisjärjestelmät
• Tunnistaminen
•
Väite mitä tai kuka jokin on
• Todentamien
•
Väitteen totuuden määrittely
• Käyttövaltuudet ja pääsynhallinta
• Erilaiset tekniset ratkaisut
Pirkko Nykänen & Antto Seppälä
2.3.2015
28
Tunnistaminen (identification)
•
•
•
•
Yksinkertaisesti vain väite henkilöllisyydestä
Järjestelmä verkossa, sähköposti, käyttäjä
Tunnistaminen ei takaa vielä mitään
Luotettava tunnistaminen?
•
Henkilöllisyyden vahvistus: passi,
henkilöllisyystodistus
• Tunnistautumisen väärentäminen on mahdollista
• Henkilöllisyyden asettaminen käyttäjälle,
järjestelmälle, prosessille..,
Pirkko Nykänen & Antto Seppälä
2.3.2015
29
Todennus (authentication)
•
Todennus varmistaa henkilöllisyyden
•
•
•
•
Todennus ei ota kantaa käyttöoikeuksiin tai valtuuksiin
Todennukseen on monia eri keinoja, rakentuvat yleensä:
•
•
•
•
•
•
•
Ihminen, käyttäjä
Palvelin, järjestelmä
Jotain mitä henkilö tietää (esim. salasana, pin-koodi)
Jotain mitä olet (esim. biometriikka: kasvot, silmän iriis, sormenjälki…)
Jotain mitä sinulla on (esim. fyysinen hallinta, toimikortti, matkapuhelin)
Jotain mitä sinä teet (esim. käsiala, salasanan näppäilyrytmi)
Kevyt ja vahva tunnistaminen (näkee myös kevyt ja vahva todentaminen)
Mu a tunnistaminen todennus
Ks. Laki vahvasta sähköisestä tunnistamisesta kahteen todennuskeinoon
Pirkko Nykänen & Antto Seppälä
2.3.2015
30
Käyttövaltuudet
•
•
Tunnistaminen + todentaminen -> käyttövaltuudet
Käyttövaltuuksien avulla määritellään mitä käyttäjä (tai
järjestelmä) saa tehdä
•
•
•
Tietojen / järjestelmän omistaja päättää ja valvoo, että
ketkä ja millä oikeuksilla pääsevät tietoihin tai järjestelmiin
•
•
•
Käyttövaltuuksia yleensä hallitaan käytönvalvonnalla (tai
pääsynhallinta) (access control)
Työkalut seurata ja valvoa tietojärjestelmien käyttöä
Luettelo käyttäjistä ja käyttöoikeuksista
Käyttövaltuuksien hallinnointiprosessi
Monia erilaisia tapoja määritellä käyttövaltuuksia, nykyään
usein rooliperustainen
Pirkko Nykänen & Antto Seppälä
2.3.2015
31
Käyttövaltuuksien hallinnointi
Määriteltävä ja seurattava ketkä pääsevät ja millä oikeuksilla
Käyttäjien, ylläpitäjien ja esimiehien on ymmärrettävä vastuut, miten
tulee toimia (esim. salasanat)
• Tietojen käyttö vain tehtävien laajuuden mukaan
• Tärkeä keino lainmukaisuuden toteuttamiseksi
• Määriteltävä yksikkö joka on vastuussa käyttövaltuuksien
hallinnoinnista
-> Jokainen toimintayksikkö ja omistaja on vastuussa
• Tietojen ajantasaisuudesta, oikeellisuudesta, käytettävyydestä,
eheydestä ja tietoihin liittyvien käyttövaltuuksien määrittelystä
• Rekisterinpitäjä vastaa rekisteritoimintojen lainmukaisuudesta ja
henkilötietojen käsittelyn lainmukaisuudesta
•
•
Pirkko Nykänen & Antto Seppälä
2.3.2015
32
Käyttövaltuuksien hallinnointi
•
•
•
•
•
Erilaiset säännöt, sopimukset ja ohjeistus
• Määriteltävä miten organisaatiossa käyttöoikeuksia hallinnoidaan
• Käyttöoikeuksien koko elinkaari ja eri prosessit
Työntekijöille käyttö- ja salassapitosäännöt
• Selkeä ohjeistus ja koulutus
Käytön valvonta ja lokitiedot
Seuraamuksien määrittely tietoturva- ja tietosuojaloukkauksista
• Henkilökunnan tiedossa
Käyttöoikeusprosessi
• Hyväksytty ja valtuutettu
• Dokumentoitu prosessi, käyttäjien valtuudet ja niiden omistajat
Pirkko Nykänen & Antto Seppälä
2.3.2015
33
Rooliperustaiset käyttövaltuudet
• Pyritään määrittelemään käyttäjäryhmiä, eli rooleja ja
niille asetetaan oikeuksia työtehtävien perusteella
• Perinteisesti järjestelmissä on rooleja, joille on
määritelty erilaisia valtuuksia, eli ns. käyttäjärooleja ja
sijoitettu yksittäiset käyttäjät niihin
•
Kankea ja työläs, jos tulee muutoksia
• Erotetaan käyttäjien työroolit ja käyttäjäroolit
•
•
Kytketään työroolit käyttäjärooleihin
Henkilöllä voi olla useita työrooleja
• Mahdollisesti vielä rakenteellinen rooli ja
toiminnallinen rooli
Pirkko Nykänen & Antto Seppälä
2.3.2015
34
Käyttäjänhallinta, käyttöoikeus ja käytön valvonta
Tunnistaminen
Todentaminen
Kuka olet
Mitä olet
Roolit
Tehtävään liittyvät oikeudet/valtuudet
Valtuuksien hallinta
Käytön valvonta
Access
control
Suostumus
Käyttötarkoitus
IS
Tietorakenteet
Sensitiivisyys P. Ruotsalainen, Kansallinen terveysprojekti:
Usean toimintayksikön yhteinen käyttäjänhallinta
Suojaukset
-periaatteet ja suositukset, 31.01.2006
Pirkko Nykänen & Antto Seppälä
2.3.2015
35
PKI (public key infrastructure)
•
Yhdistelmä teknologisia ratkaisuja, menettelyjä ja hallinnollisia
toimia, jolla mahdollistetaan arkaluonteisen tiedon vaihto
turvattomassa ympäristössä
•
•
•
•
•
Mahdollistaa todentamisen, tiedon salauksen ja digitaalisen
allekirjoituksen
Yksityinen avain ja julkinen avain (liittyvät toisiinsa tietyllä
kaavalla), eli avainpari, yksityisellä avaimella allekirjoitettu tieto
voidaan todentaa vain ja ainoastaan julkisella avaimella ja
päinvastoin
Yksityinen avain, käyttäjällä / palvelimella
Julkinen avain on usein luotetun kolmannen osapuolen hallussa,
tallennettu varmenteeseen
Varmentaja (Certification Authority) antaa varmenteen ja vastaa
varmenteesta omalla digitaalisella allekirjoituksellaan
Pirkko Nykänen & Antto Seppälä
2.3.2015
36
Varmenne
• Varmenteella tarkoitetaan elektronista dokumenttia, jonka
varmentajaorganisaatio myöntää, ja jonka avulla voidaan todistaa
varmenteen sisällön kuuluminen asianomaiselle käyttäjälle
• Julkisen avaimen lisäksi varmenne sisältää myös muita tietoja,
kuten henkilön tai organisaation nimen, varmenteen
myöntämispäivän, viimeisen voimassaolopäivän, yksilöllisen
sarjanumeron, etc.
• Varmenne sitoo julkisen avaimen identiteettiin
•
•
•
Henkilö-, rooli-, laatu-, järjestelmä-, palvelinvarmenne
Varmenteet tallennetaan erityiseen hakemistoon
Terveydenhuollon varmennepalvelusta vastaa
Väestörekisterikeskus
•
Valvira vastaa ammattihenkilöiden ammattioikeuksien ja
ammattiaseman tietopalveluista
Pirkko Nykänen & Antto Seppälä
2.3.2015
37
Varmennusorganisaation peruselementit
P alo m uu ri
K orttiva lm ista ja
V arm entaja
R ek isteröijä
2.3.2015
Pirkko Nykänen & Antto Seppälä
H a ke m is to
Asiakas
38
39
Digitaalinen allekirjoitus
•
varmentaja allekirjoittaa digitaalisen dokumentin/ varmenteen omalla
yksityisellä avaimellaan
• allekirjoittaja laskee allekirjoitettavasta viestistä yksisuuntaisen
funktion avulla tiivisteen, jonka hän salaa yksityisellä avaimellaan
• vastaanottaja laskee saamastaan viestistä myös tiivisteen ja vertaa
sitä allekirjoittajan julkisella avaimella avaamaansa salattuun
tiivisteeseen
• jos samat = viesti on tullut ehyenä ja sen on allekirjoittanut juuri se
henkilö, jonka varmenteen julkista avainta salatun tiivisteen
avaamiseen on käytetty
OK
Sanoman lähetys
10100011...
10100011...
Selväkielinen
sanoma
160-bittinen
tiiviste
Tiivisteen salaus
lähettäjän salaisella
avaimella
Tiivisteen avaus
lähettäjän julkisella
avaimella
Pirkko Nykänen
Tiivisteen
vertaaminen
alkuperäiseen
sanomaan
02/03/2015
Varmenne
•
•
•
Yleensä 2048 tai 4096 bittisiä RSA-avaimia
Henkilövarmenteet (esim. terveydenhuollon varmennekortti)
Palvelinvarmenne
•
•
•
Järjestelmäallekirjoitusvarmenne
•
•
palvelimen tunnistaminen (server authentication)
asiakkaan tunnistaminen (client authentication)
Esim. joidenkin asiakirjojen sähköinen allekirjoitus
Laki väestötietojärjestelmästä ja Väestörekisterikeskuksen
varmennepalveluista (661/2009) sekä laki vahvasta
sähköisestä tunnistamisesta ja
sähköisistä allekirjoituksista (617/2009) muodostavat
varmennepolitiikan lainsäädännöllisen perustan
Pirkko Nykänen & Antto Seppälä
2.3.2015
40
Tunnistaminen ja varmenteet
• VETUMA-palvelu, kansalaisen tunnistaminen ja
verkkomaksaminen tunnistus.suomi.fi
• Tupas-palvelu on Finanssialan Keskusliiton tapa
tunnistaa käyttäjä verkkopalveluissa
• Mobiilivarmenne operaattorien kautta
www.mobiilivarmenne.fi
• Sähköpostivarmenne, http://fineid.fi
•
tarkoitettu organisaatioiden käytössä olevien, usean
henkilön toimesta seurattavien, yksittäisten
sähköpostiosoitteiden käyttöä varten
• Väestörekisterikeskus älykortti, terveydenhuollon
ammattilaisvarmenteet, henkilökohtainen toimikortti
Pirkko Nykänen & Antto Seppälä
2.3.2015
41
Sovelluskehityksen tietoturvahaasteet
• Tietojärjestelmän kehittämisprosessissa
tietoturvallisuuden huomioiminen koetaan
hidastavana
• Kehittäjät ei aina ole tietoturvatietoisia
• Tietoturvallisuuden huomioonottamista ei
opeteta
• Tietojärjestelmä voi koostua monesta
komponentista, kokonaisuuden
tietoturvallisuustaso muodostuu osien
tietoturvallisuudesta
Pirkko Nykänen & Antto Seppälä
2.3.2015
42
• Kehittämisessä kiire – laatu ja tietoturvallisuus
unohdetaan
• Tietojärjestelmäympäristöt monimutkaistuneet
– ulkoistaminen, pilvipalvelut, verkottuminen,
uudet kielet ja ohjelmointitekniikat
• Ohjelmoinnissa ei varauduta mahdollisiin
hyökkäyksiin (defensiivinen ohjelmointi)
– virustorjunta, palomuurit, verkkohyökkäysten
havainnointiohjelmat
•
Riskianalyysit puutteellisia tai niitä ei tehdä
lainkaan
Pirkko Nykänen & Antto Seppälä
2.3.2015
43
•
•
•
Yhtä tärkeää kuin järjestelmän tietoturva on
sovelluskehitystiimin tietoisuus ja osaaminen
sovellustietoturvan alueilla
Huomioitavia asioita ovat mm. tietoturvan huomioon
ottaminen kehitysprosessissa (oli se Scrum, vesiputous tai
jokin muu), tietoturvan dokumentoinnin ja katselmoinnin
käytännöt, uusien uhkien tunnistaminen, turvalliset
suunnittelumallit sekä sovelluksen ja
arkkitehtuurikehyksen välinen vastuunjako
tietoturvasuojauksissa
Tätä tukee usein yrityksen sovelluskehitys-tietoturvaryhmä
tai -asiantuntija, joka myös ohjeistaa, linjaa ja neuvoo
projekteja tietoturva-asioissa
Pirkko Nykänen & Antto Seppälä
2.3.2015
44
Tietojärjestelmät
•
•
•
Tietojärjestelmät ja ohjelmistot tulisi luokitella tietoturvatasoihin
• Pääsyhallinta ja turva-asetuksien tarkistus
Vastuut ja oikeudet
• Kuka omistaa järjestelmän, määrittelee vastuut, oikeudet
yms.
Määritellä järjestelmien tärkeys, tarkoitus, tiedot ja käyttäjät
•
•
•
Kriittiset tietojärjestelmät
Tietojärjestelmien asianmukainen käyttö tulisi määritellä ja
ohjeistaa henkilökunnalle
Seuraamukset
• Eri tietoturvaloukkausten vakavuuden määrittely
• Millaiset seuraamukset rikkomuksesta
Pirkko Nykänen & Antto Seppälä
2.3.2015
45
Perinteinen sovelluskehitysmalli
– Vesiputousmalli – tietoturvallisuus otetaan
huomioon jokaisessa elinkaaren vaiheessa
– Suunnitellaan – toteutetaan – testataan
– Jokaiselle vaiheelle määritellään
tietoturvallisuustehtävät
– Vaiheesta toiseen siirryttäessä määritellään exit
criteria – joiden tulee täyttyä
– Projektin ohjausryhmä seuraa tietoturvallisuuden
toteutumista
Pirkko Nykänen & Antto Seppälä
2.3.2015
46
Ketterät menetelmät
• tietoturvallisuus sisältyy jokaisen inkrementin,
sprintin toteutukseen
– Tällöin taataan lopullisen tuotteen tietoturvallisuus
uhka-analyysi – tunnistetaan kaikki riskit ja uhat
tietoturvakertomukset – security story –
tavoitteet tietoturvan osalta
• Väärinkäyttötapaukset – abuse casekäyttötapaukset hyökkääjän näkökulmasta
•
•
Pirkko Nykänen & Antto Seppälä
2.3.2015
47
Pilvipalvelut - tietoturvallisuus
• Infrastruktuuri palveluna – IaaS- Infrastructure as a Service
• Sovellusalusta palveluna – PaaS- Platform as a Service
• Sovellus palveluna – SaaS – Software as a Service
• Pilvipalvelulla tarkoitetaan verkon kautta käytettäviä
palveluita
• Pilvipalvelu on toimintamalli jolla yhdistetään uusia ja
vanhoja palveluita
• Tuotantoympäristö – pilvipalvelun tuotantomalli jonka
mukaan ympäristöä ylläpidetään
Pirkko Nykänen & Antto Seppälä
2.3.2015
48
• Mistä tasosta alkaen sovelluksen
käyttäjällä on kontrolli sovellukseen
– Sovellus omalla palvelimella – täysi kontrolli
– Sovellus toimittajan palvelimella – kontrollista
osa on toimittajalla
• Millaiset riskit eri tilanteisiin liittyvät
• Toimittajat tarjoavat asiakkaiden haluamia
ominaisuuksia halvalla ja nopeasti
• Toimittajat eivät itsekään lupaa että
asiakkaiden tiedot ovat riittävästi suojatut
Pirkko Nykänen & Antto Seppälä
2.3.2015
49
Pirkko Nykänen & Antto Seppälä
2.3.2015
50
Pilvipalveluiden tietoturvaongelmia
• Tiedon häviäminen, tai tietovuoto
• Tunnusten kaappaaminen
• Pilviteknologiasta aiheutuva haavoittuvuus,
esim rajapinnat
• Tiedon fyysinen sijainti
• Omien tietoturvakäytäntöjen ulottuminen
ulkopuoliseen palveluun (esim pääsynhallinta)
• Jaettu alusta, tiedon eristäminen tai
salaaminen
• Pilven rikollinen, häriötä aiheuttava käyttö
• Uusi konsepti, tuntemattomat uhat
Pirkko Nykänen & Antto Seppälä
2.3.2015
51
Langattoman tietoliikenteen tietoturva
•
•
•
Langaton tiedonsiirto vanhempaa kuin langallinen
• savumerkit, varoitustulet = vainovalkeat, langaton
lennätin, radiolähetykset
Langaton tiedonsiirto turvattomampaa
– langatonta yhteyttä voidaan helposti salakuunnella
– mobiilit päätelaitteet anonyymejä: voivat joutua vääriin
käsiin, liikkuvat --> tarvitaan käyttäjän tunnistus!
Langattoman tietoliikenteen tietoturvaa hankaloittaa
• Heikko laskentateho: turvaprotokollien laskentatarve
• Rajoitettu muistikapasiteetti, rajoittaa käytettäviä
salausmenetelmiä
• Tehonkulutuksen säästötarve: Akut ja paristot
• Käytettävyysrajoitukset
• Tunkeutuminen mobiilipalveluihin: naamioituminen validiksi
käyttäjäksi
Pirkko Nykänen & Antto Seppälä
2.3.2015
52
Langattoman tietoturvan vaatimukset
• Olemassaolevien tietoturvaratkaisujen sovittaminen
langattomaan ympäristöön
• Eri laitteiden yhteistoiminnallisuuden parantaminen
• Laitteiden luotettavuuden parantaminen
• Korkeatasoisen turvajärjestelmän kehittäminen niin, ettei
laitteiden käytettävyys kärsi
• Hyökkäysten estäminen: Tietojen kaappaus, tietojen
muuttaminen
• kryptografinen hyökkäys: murretaan viesti tai
käyttäjätietojen salaus
• Hyökkäjät: Hakkerit, vakoojat, terroristit,
yrityshyökkääjät, rikolliset, vandaalit
• Virusten yms torjunta
Pirkko Nykänen & Antto Seppälä
2.3.2015
53
Keinoja tietoturvan toteuttamiseksi
Tietoturvapolitiikka, jolla suojataan tietoverkot
• Organisaatioiden henkilöstön tietoturvaohjeet ja koulutus
• Fyysinen, tekninen ja toiminnallinen tietoturva
Tietoturvauhkien ja riskien analysointi
Vastatoimien suunnittelu:
•
•
•
•
•
Avainten ja salasanojen paljastumisen estäminen
SIM-kortin joutuminen vieraisiin käsiin estettävä
Operaattorin verkon suojaus
Salasanojen, avainten yms koodien tallennus tietokannassa
Virheet ja toimintahäiriöt verkoissa
Pirkko Nykänen & Antto Seppälä
2.3.2015
54
Yksityisen käyttäjän suojautuminen
• Hyvä salasana
• Käytä vain koneelta jossa ohjelmat on päivitetty,
erityisesti selain ja sen lisäosat
• Älä avaa liitteitä jos et ole varma lähettäjästä
/sisällöstä
• Noudata varovaisuutta palvelujen käytössä
• Palveluissa on helppo esiintyä toisena henkilönä,
varmista oikea henkilöllisyys
• Työminä vs. nettiminä
• Harkitse mitä kirjoitat, missä, mitä tietoja itsestäsi
annat, älä levitä sosiaaliturvatunnustasi – yksityisyys!
Pirkko Nykänen & Antto Seppälä
2.3.2015
55
Yhteenveto – tietoturva suunnittelussa
• Arkkitehtuuriratkaisuissa huomioidaan eri ratkaisujen
yhteensopivuus – suositaan standardeja
• Sovelluksen omistaja hyväksyy kuinka vahvaa
tunnistautumista ja luotettavaa identiteettiä sovelluksen
käyttöön tarvitaan
• jos kirjaudutaan käyttäjätunnus/salasanaparilla, salasanan
laatuvaatimusten tulee olla konfiguroitavissa:
• alasanan pituus, ei-aakkosmerkkien lukumäärä, lukkiutuminen
määräajaksi virheellisten yritysten jälkeen
• Käyttäjille vain tarvittavat oikeudet järjestelmiin
• Käyttö- ja ylläpitotunnusten tulee olla henkilö- ja
roolikohtaisia
• Käyttäjänhallintamenettelyjen tulee varmistaa että
tietoturva-asetusten muokkaus on estetty peruskäyttäjiltä
Pirkko Nykänen & Antto Seppälä
2.3.2015
56
• Kaikki ulkopuolelta tullut syöte on tarkastettava ennen
käyttöä
• Sovellusistunto on varmistettava ettei voida kaapata,
väärentää, luvattomasti nauhoittaa tai toistaa
– joutilas istunto on aikakatkaistava
• Käyttäjätiedot on hallittava ajantasaisesti ja keskitetysti
– hallintaprosessit ja työnkulut on dokumentoitava
• Järjestelmästä tulee olla ajantasainen ja kattava
dokumentaatio
• vaatimukset, ,määrittelyt, suunnitelmat, testisuunnitelmat ja –
raportit, turvakuvaukset jne
• Salausratkaisujen on oltava kansallisen / kansainvälisen
tietoturvaviranomaisen hyväksymiä
• Tietoliikenne tulee salata käyttäjän laitteesta palvelimelle
– Tunnistautumiseen käytettävät arkaluonteiset tiedot
kuten salasanat eivät saa kulkea verkon yli
salaamattomina
Pirkko Nykänen & Antto Seppälä
2.3.2015
57
•
•
•
•
•
Organisaation tietojen suojaamisessa on varauduttava
sekä sisäisiin että ulkoisiin uhkatekijöihin
Tietoturvan on oltava suunniteltua, dokumentoitua ja
organisaation johdon hyväksymä
Tiedot ja tietojärjestelmät on luokiteltava ja niiden
suojaamisen taso on määriteltävä
Käyttäjät, käyttäjien valtuudet ja käytön seuranta on
määriteltävä, dokumentoiva ja valvottava
Tietoturva on hallinnollisten toimien, prosessien ja
ohjeiden, teknisten järjestelmien ja fyysisten kontrollien
moniulotteinen kokonaisuus
•
•
•
Jatkuva prosessi
Koko organisaation vastuulla
Koko tiedon ja tietojärjestelmien elinkaari, suunnittelu –
hankinta – käyttöönotto – kehitys / ylläpito – hävitys /
käytönpäättäminen
Pirkko Nykänen & Antto Seppälä
2.3.2015
58
Lähteitä, materiaalia, linkkejä
• Andress J, 2011. The Basics of Information Security.
Elsevier, 2011.
• Andreasson ja Koivisto, 2013. Tietoturva käytännössä.
Tietosanoma
• Vahti, kattava määrä ohjeistuksia, suosituksia liittyen
tietoturvaan
http://www.vm.fi/vm/fi/04_julkaisut_ja_asiakirjat/01
_julkaisut/05_valtionhallinnon_tietoturvallisuus/index
.jsp
• Kuntasektorin käyttövaltuushallinnan
viitearkkitehtuuri, Kuntaliitto 2013
Pirkko Nykänen & Antto Seppälä
2.3.2015
59
Kiitos
Pirkko Nykänen & Antto Seppälä
2.3.2015
60