Kattava tietoturvapolitiikka ja ohjeisto

Jokaisessa yrityksessä ja organisaatiossa tulisi olla tietoturva- ja tietosuojaohje, jossa linjataan periaatteet. Peruskäyttäjän kannalta tämä asiakirja on keskeinen tietoturvan käsikirja, jota kaikkien tulisi noudattaa.

Ohje on osa laajempaa tietoturvapolitiikka-dokumenttia. Näissä asiakirjoissa tulisi ottaa kantaa ainakin seuraaviin asioihin:

Yksityiskohdat piiloon

1. Vastuukysymykset organisaation tasolla
         a. Kuka vastaa tietoturvasta ja tietosuojasta?
         b. Miten vastuu organisatorisesti toteutetaan?
         c. Tietoturvapolitiikka, jatkuvuus- ja toipumissuunnitelmat

2. Sallitut palvelut
         a. Mitä palveluita ja toimintoja käyttäjien sallitaan käyttää internetin kautta?
         b. Kuka hyväksyy uudet palvelut listalle?
         c. Miten palomuurissa estetään muiden palveluiden käyttö?

3. Palomuurin valvonta
a. Kuka ylläpitää palomuurin säämmöstöä?
b. Kuka valvoo palomuurin tuottamia hälytyksiä ja lokeja?

4. Palveluiden käytettävyystaso
         a. Kuinka korkea yrityksen tietojärjestelmien käytettävyystason tulee olla?
         b. Miten kyseinen käytettävyystaso saavutetaan? Käytetäänkö ulkoistettuja palveluita vai
         resurssoidaanko omaa osaamista?

5. Tiedostojen tallentaminen, suojaaminen ja varmistaminen
         a. Minne käyttäjien tulee tallentaa tiedostot?
         b. Miten tiedostot varmistetaan?
         c. Miten tiedostot voidaan salakirjoittaa?
         d. Kuka vastaa varmuuskopionnista? Kuinka usein varmuuskopioiden toimivuus tarkistetaan?

6. Työasemien ja palvelimien fyysinen suojaaminen
         a. Mitkä työasemat lukitaan fyysisesti ja kuinka?
         b. Tehdäänkö laitteisiin turvamerkintöjä?
         c. Mitkä koneet varustetaan käynnistyssalasanalla?

7. Virustorjunta
         a. Työasemat (pöytäkoneet ja kannettavat)
         b. Palvelimet
         c. Saapuva ja lähtevä sähköposti
         d. Www-liikenne
         e. Kotikoneet
         f. Sallitut liitetiedostomuodot

8. Käyttäjähallinta
         a. Salasanakäytännöt: salasanan pituus, monimutkaisuus ja vaihtoaika, samojen salasanojen
         käyttöesto, väärien salasanojen lukitukset, lokimerkinnät
         b. Käyttäjätunnistus lähiverkossa ja lähiverkon ulkopuolelta

9. Sähköpostiin liittyvät seikat
         a. Työnantajan osoittaman sähköpostin käyttö yksityisiin tarkoituksiin
         b. Kuinka yksityisposti voidaan erottaa työpostista?
         c. Liitetiedostojen käsittely
         d. Luottamuksellisen sähköpostin suojaaminen internetin kautta lähetettäessä
         e. Sähköpostitosoitteistojen käyttöpolitiikka

10. Www:n käyttöpolitiikka
a. Mihin www-selainta saa käyttää työaikana tai sen ulkopuolella vapaa-ajalla?
b. Mitkä palvelut tai sivustot ovat ehdottomasti kiellettyjä

11. Asiakirjojen luokittelu ja hallinta
         a. Luokitusjärjestelmä: julkinen, luottamuksellinen, salainen, erittäin salainen
         b. Asiakirjojen käsittely, arkistointi, säilytys, hävitys
         c. Tiedostojen ja kiintolevyjen oikeaoppinen hävittäminen

12. Ohjelmistojen lataaminen ja asentaminen
a. Onko käyttäjillä mahdollisuus asentaa ohjelmia? Mitä ohjelmia ja miten?
b. Kuka valvoo ohjelmistolisenssejä ja millä tavoilla?

13. Tietojärjestelmät ja rekisteriselosteet
a. Kuka ylläpitää tietoja olemassa olevista tietojärjestelmistä ja niiden sisällöstä?
b. Kuka vastaa rekisteriselosteista ja missä niitä säilytetään?

14. Etäkäyttö
         a. Kenellä on oikeus etäkäyttöön ja etätyöskentelyyn?
         b. Mitä etäkäytön tai etätyöskentelyn kautta saa tehdä?
         c. Miten etäkäyttökoneet (joko pöytäkoneet kotona tai kannettavat) suojataan?
         d. Kuinka etäkäytössä toteutetaan käyttäjätunnistus?
         e. Kuinka tietoliikenne suojataan?

15. Tietoturvapäivitysten ajaminen
         a. Kuka vastaa työasemien, palvelimen ja muiden tietotekniikkalaitteiden päivityksestä?
         b. Kuinka usein päivitykset suoritetaan?
         c. Miten päivitykset automatisoidaan?
         d. Miten päivitystarve tarkistetaan?

16. Turvapolitiikka ja yhteistyötahot
a. Kuinka taataan riittävä tietoturvataso eri yhteistyötahojen kanssa?
b. Mitkä ovat käytettävät sovellukset ja muut turvallisuusperiaatteet?

17. Mobiililaitteiden tietoturva
a. Tarvitaanko erillinen mobiilistrategia?
b. Käytettävät suojaus- ja salausohjelmat

18. Tietoliikenteen salaaminen ja suojaaminen
         a. Sisäverkon suojaaminen
         b. Vpn-yhteydet etäkäyttäjiin ja extranet-kumppaneihin
         c. Mahdolliset langattomat wlan-yhteydet

19. Tietoturvaan liittyvä koulutus ja ohjeistus
a. Kuka vastaa koulutuksesta ja ohjeistuksesta?
b. Millaista koulutusta työntekijöille järjestetään?

20. Tietoturvaan liittyvä dokumentointi
         a. Kuka vastaa dokumentoinnista?
         b. Kuka määrittää, mitä dokumentoidaan?
         c. Mikä on dokumentoinnin vaatimustaso?
         d. Miten dokumentointi toteutetaan käytännössä?

21. Ulkopuolinen auditointi
         a. Valvotaanko järjestelmän toimintaa ulkopuolelta
         b. Kuka valvoo ja miten?
         c. Onko järjestelmiä mietitty sertifioitavaksi?

Paluu tietoturvasivulle >>