miten tietoturvallisuus ja tietosuoja saadaan …...tietosuoja ja yksityisyyden suoja...

Miten tietoturvallisuus ja tietosuoja saadaan

palveluihin sisäänrakennetuksi?

Pyry Heikkinen

Taustaa

ICT-tietoturvapäällikkö Tullissa

OWASP Helsingin hallituksen jäsen

VAHTI-sihteeristön jäsen

LinkedIn: pyryheikkinen

Tietoturvan ja riskien hallinta

Tietosuoja ja yksityisyyden

suoja

Tietoturva-arkkitehtuuri

ISC2

CISSP

IAPP

CIPP/E

SABSA

SCF

ISACA

CISM

IAPP

CIPT

CSA

CCSK

ITIL v3 Foundation

PRINCE2 Foundation

TOGAF 9 Certified

3.10.2017 Pyry Heikkinen 2

Sisäänrakennettu tietoturva- ja tietosuoja

Sisään-rakennettu

TT/TS

Mukana alusta lähtien

Skaalautuva

Kattava ja osa prosesseja

Yksi suunnittelun lähtökohta

Järjestelmällinen

3.10.2017 Pyry Heikkinen 3

Rakennuspalikat

3.10.2017 Pyry Heikkinen 4

Tekniikka

Prosessit

Tietoturva ja

tietosuoja

Henkilöstö

Tietoturva-

ja

tietosuoja-

periaatteet

Riskien-

hallinta

Turvallisuuden

visio

Esimerkkejä rakennuspalikoista

Prosessit ja periaatteet

Hallintarakenteet, politiikat ja periaatteet

Prosessit, käytännöt ja

tehtävät

Arkkitehtuuri, toimintamallit ja

sopimukset

Teknologia

Käyttövaltuus- ja pääsynhallinta, vahva tunnistus,

turvalliset kirjastot

Salaus, anonymisointi ja

pseudonymisointi

Lokipalvelu, seuranta ja

valvonta (SOC)

Ihmiset

Koulutus ja ohjeistus sekä tietoisuus ja

kulttuuri

Roolit, vastuut ja työnkuvat

(dedikoidut ja OTO)

Tausta-tarkastukset ja

salassapito

3.10.2017 Pyry Heikkinen 5

ARKKITEHTUURINÄKÖKULMA

Pyry Heikkinen 6 3.10.2017

7

• Tietosuoja-asetus

• ePrivacy-asetus

• TYK, HeL

• LyT/TTL

Tieto-suoja regu-laatio

• Tiedon-hallintalaki

• Tietoturva-asetus

• VAHTI

• KATAKRI

Tieto-turva regu-laatio

3.10.2017 Lähde: Integrating Risk and Security within a

TOGAF® Enterprise Architecture: https://www2.opengroup.org/ogsys/catalog/G152

8

• EIDAS

• Arkistolaki

Muut lait ja

ulkoiset driverit

• Etä- ja liikkuvatyö

• Kehitys-hankkeet ja ulkoiset toimittajat

Sisäiset driverit

3.10.2017 Lähde: Integrating Risk and Security within a

TOGAF® Enterprise Architecture: https://www2.opengroup.org/ogsys/catalog/G152

Tietoturvaperiaatteita

Tieto Luottamuk-

sellisuus

Eheys

Saatavuus

Autenttisuus

Jäljitettävyys Kiistämättö-

myys

Tuhoutumat-tomuus

Tietosuoja

Työturvalli-suus

Suojattu petoksilta,

kavalluksilta ja

väärinkäytöksiltä

3.10.2017 Pyry Heikkinen 9

To

imin

na

n ja

tku

vu

us &

ris

kie

nh

alli

nta

To

imin

na

n v

aa

tim

uste

nm

uka

isu

us

Tie

totu

rvapolitiik

ka

Käyttövaltuushallinnan ja pääsynhallinnan

politiikka

KVH-soveltamisohje

Tunnistamisperiaatteet

Varmistuspolitiiikka

Sähköposti- ja internet-politiikka

Lokipolitiikka

Lokiohje

Lokilähdematriisi

Päätelaitepolitiikka

Pilvipalvelupolitiikka

Hankinnan tarkastuslista

Tietoturvasuunnitelma

Verkkopolitiikka

Verkkoarkkitehtuuri

Palomuuriperiaatteet

Etäkäyttöperiaatteet Sähköisten

allekirjoitusten periaatteet

Tiedon suojausperiaatteet

järjestelmissä

Valvontapolitiikka

ICT-varautumisen politiikka

Käyttöönottopolitiikka

Tietoturvapolitiikat ja

periaatteet

3.10.2017 Pyry Heikkinen 10

Esimerkki tietoarkkitehtuurin vaikutuksesta tietosuojaan

Master data

Sidos-järjestelmä

Sidos-järjestelmä

Sidos-järjestelmä

Sidos-järjestelmä

Asiakas-tiedot

Käyttäjä A.

Käyttäjä B.

Järjestelmä B.

Järjestelmä A.

Järjes

-telmä

A

Järjes

-telmä

B

Järjes

-telmä

C

Järjes

-telmä

D

Tieto-

varasto

X

Tiedon

oikeellisuus

varmistettu

Keskitetty

pääsyn ja

valtuuksien

hallinta

Keskitetty

lokien

hallinta

3.10.2017 Pyry Heikkinen 11

PROSESSINÄKÖKULMA

Pyry Heikkinen 12 3.10.2017

Tiedon elinkaari

Kerääminen Käsittely Luovutus Säilytys Tuhoaminen

Saako kerätä? Miten ja kuka

voi käsitellä?

Kelle voi

luovuttaa? Kauanko saa

säilyttää?

Pitääkö

arkistoida?

Informointi

Käsittelyn

selosteet ja

päätökset

Päätökset

luovutuksista THS ja Lokit

AMS ja

prosessit

3.10.2017 Pyry Heikkinen 13

Palvelun elinkaari

Hankinta Määrittely Suunnittelu Toteutus Testaus Käyttöönotto Ylläpito Käytöstä

poisto

Sopimus

Toimittajan

kyvykkyys

Riskit

Vaati-

mukset

Arkki-

tehtuuri

Suojaus

Laatu

Tietoturva

Testi-

aineisto

Tietosuoja

-testaus ja

auditointi

Käyttö-

oikeudet

Lokit

Ylläpito-

yhteydet

ja -data

Valvonta ja

Poikkea-

mien

hallinta

Arkistointi

Turval-

linen

hävitys

3.10.2017 Pyry Heikkinen 14

ICT-projektin tietoturvatehtävät (yleinen malli)

Esiselvitys Tuotanto Käyttöönotto (sis. määrittely, suunnittelu, toteutus, testaus, tuotantoonsiirto) Vaatimus-

määrittely

Tietoturva-arkkitehtuurin

ja –suojausten katselmointi

Hankinta: Turvallisuussopimus

Tietoriskiarvio

Tietoriskikartoitus Uhka-analyysi

(looginen)

Tietoturvavaatimukset

ja alustava tietoturva-

arkkitehtuuri

Sisältyvät vaatimus-

määrittely- ja arkki-

tehtuurityöhön

Looginen

uhkamalli

Vaatimus-

määrittely

Arkkitehtuuri-

kuvaus

(Solution Design)

Tuotantoonmenon

hyväksyntä tieto-

turvan näkökulmasta

Tuotantoonmenon

hyväksynnän

kokousmuistio

Tietoturva-

auditointi

Tietoturva-

auditoinnin tilaus

Tietoturva-

auditointiraportti

Tuotannon alku-

vaiheen seuranta

ja tuki

Katselmointi-

kommentit

Tietoturvavaatimukset

Tietojärjestelmä-

seloste

Rekisteri-

seloste

Tietoriskiesiarvio

Tietoturvareunaehdot

Yleiset tietoturva-

vaatimukset

Tietoturva-auditoinnin

pohjatiedot

3.10.2017 Pyry Heikkinen 15

Tietosuojariskiarvio

Tietosuojan

vaikutusarvio

Järjestelmäkehitysprojektin tietoturvatehtävät

Esiselvitys Toteutus Suunnittelu Testaus Käyttöönotto Määrittely Vaatimus-

määrittely

Tietoriskiarvio

Tietoriskikartoitus Uhka-analyysi

(looginen)

Uhka-analyysi

(tekninen)

Tietoturvavaatimukset

ja alustava tietoturva-

arkkitehtuuri

Sisältyvät vaatimus-

määrittely- ja arkki-

tehtuurityöhön

Tietoturva-arkki-

tehtuuri ja –suojaukset

Sisältyy määrittely-

ja arkkitehtuurityöhön

Suunnitteluvaiheen

katselmoinnit

Koodi-

katselmoinnit Tietoturvatestaus Tuotantoonmenon

hyväksyntä tieto-

turvan näkökulmasta

Tuotannon alku-

vaiheen seuranta

ja tuki

Hankinta: Turvallisuussopimus

Tietoturva-

auditointi

Sisältyy testaus-

työhön

Looginen

uhkamalli

Vaatimus-

määrittely

Tekninen

uhkamalli

Tark. arkkitehtuuri-

kuvaus

(Solution Design)

Suunnitteluvaiheen

katselmointi-

kommentit

Järjestelmän

tekninen kuvaus

Tietojärjestelmä-

seloste

Rekisteri-

seloste

Koodikatselmointi-

pöytäkirja ja

-kommentit

Tietoturvatesti-

tapaukset

Tietoturvatesti-

tulokset

Tietoturva-

auditoinnin tilaus

Tuotantoonmenon

hyväksynnän

kokousmuistio

Tietoturva-

auditointiraportti

Arkkitehtuuri-

kuvaus

(Solution Design)

Tietoriskiesiarvio

Tietoturvareunaehdot

Yleiset tietoturva-

vaatimukset

Tietoturva-auditoinnin

pohjatiedot

3.10.2017 Pyry Heikkinen 16

Tietosuojariskiarvio

Tietosuojan

vaikutusarvio

SUUNNITTELUPERIAATE-

NÄKÖKULMA

Pyry Heikkinen 17 3.10.2017

Kerroksittaisen suojauksen periaate

Korjaavat kontrollit

Esim. varmistukset ja niiden palautus, tietoturvatapahtumien hallintaprosessi, toipumissuunnitelmat

Havaitsevat kontrollit

Esim. lokit ja niiden seuranta, tapahtumien seuranta, tietoturvatapahtumista ilmoittamisen käytäntö

Rajaavat kontrollit

Esim. verkon jakaminen vyöhykkeisiin, roolin mukaan rajatut käyttöoikeudet, tuotantolaitteiden eriytys

Estävät kontrollit

Esim. haittaohjelmantorjunta, pääsyn- ja käyttövaltuushallinta, palomuuri, tunnistusmekanismit, salaus

Ehkäisevät kontrollit

Esim. tietoturvatietoisuuskoulutus, julkistetut valvontamekanismit, internet-käytön rajoittaminen

18 Pyry Heikkinen 20.9.2017

Privacy by design -strategiat Strategia Toteutusvaihtoehtoja

Minimoi Kerää mahdollisimman vähän tietoja ja säilytä näitä vain niin kauan kuin tarvetta. Käsittele

anonyymia tietoa kun mahdollista.

Piilota Toteuta roolipohjainen käyttövaltuuksien hallinta ja tarpeen mukaan pääsyoikeudet

tietoon. Salaa se kun mahdollista. Vältä henkilötietojen näyttöä ilman syytä (esim. hetu).

Erota Säilytä ja käsittele rekisteröidyn eri henkilötietoja eri tietokannoissa, järjestelmissä tai

näkymissä. Hyödynnä tietojen pseudonymisointia kun mahdollista.

Ryhmittele Käsittele henkilötietoja korkeimmalla mahdollisella tasolla (esim. Tilastot). Käsittele

anonymisoitua tietoa kun mahdollista

Informoi Tiedota rekisteröityjä tietojen käsittelystä riittävällä tasolla. Ole läpinäkyvä.

Kontrolloi Toteuta rekisteröidyille mahdollisuudet tietojensa hallitsemiseen.

Valvo Määrittele lain mukaiset tietosuojaperiaatteet ja kontrolloi sekä valvo näiden toteutumista

Demonstroi Todista periaatteiden toteutuminen: Dokumentoi, suunnittele, analysoi ja kerää lokeja.

https://www.enisa.europa.eu/publications

/big-data-protection

3.10.2017 Pyry Heikkinen 19

Tiedonsuojaustekniikoita

Salaus

14051979-111F

´Z’!pd3r.s6f)m§

Suojaa tietyn tiedon, siirron, tietokannan, alustan, jne.

Tärkeä ymmärtää salauksen kattavuus

Aina kun mahdollista

Pseudonymisointi

14051979-111F

984243-342R

Suojaa tietyn sensitiivisen

tiedon tai yksilöivät tiedot

Mahdollistaa (usein) paluun tietoon sekä

tiedon eheyden

Testaukseen, analytiikkaan, maksamiseen

Maskaus / poisto ”14051979-

xxxx”

Voi laskea henkilötiedon sensitiivisyyttä

Minimoi vaikutusta

yksityisyyteen ja riskiin

Roolipohjaisiin näkymiin tai

siirrettäessä eri palveluun

Anonymisointi ”Nainen 30-40 v. Suomesta”

Ei ole (yksilöivää)

henkilötietoa

Vaikea toteuttaa kunnolla

Tilastoihin ja tutkimukseen

3.10.2017 Pyry Heikkinen 20

ESIMERKKI: TIETOVARASTOINTI JA

TIETOSUOJAPROSESSI

Pyry Heikkinen 21 3.10.2017

Tavoite (miksi/mitä)

Raportoinnin tavoite,

raporttien sisältö,

suunnitellut

käyttäjäryhmät,

käyttövaltuudet sekä

raporttien jakelu

Tiedon omistaja

Lähdejärjestelmä

Kohdejärjestelmä

Tietovarasto ja

raportointi

Käyttäjät

Pääkäyttäjät ja

ylläpitäjät

Tekniset tiedot

Kuvaus vaadituista

teknisistä muutoksista:

yhteyksistä,

palomuuriavauksista ja

uusista käyttäjä- tai

järjestelmätileistä.

Riskiarviointi

Tiedon analysointi ja

tietoriskiarvio (BIA),

alustava riskiarviointi

tietosuojan

näkökulmasta (onko

tarvetta DPIA:lle?)

Kasautumisvaikutus

Tietojen yhdistämisen

arviointi (henkilön

tunnistaminen,

arkaluonteinen tieto,

jne.) ja tiedon suureen

määrään liittyvät riskit.

Tietosuojan

vaikutusarviointi

DPIA:n tekeminen

yhdessä

tietosuojavastaavan

kanssa (riskiarviointi

hallintatoimineen ja

riskin hyväksyntä)

Omistajan hyväksyntä

Tiedon omistaja

hyväksyy (kirjallisesti)

tiedon siirron ja käytön

tietovarastossa tämän

prosessin perusteella.

Lokit ja valvonta

Arviointi erityisten

lokitus-, valvonta-, ja

hälytystarpeiden osalta

(esim. arkaluonteiset

kyselyt).

Tietolähteet

Tietolähteiden kuvaus,

tiedon omistajat, tiedon

luokittelut sekä tiedon

käsittelyyn vaikuttavat

sopimukset ja

rajoitukset

Tietotyypit

Kuvaus käsiteltävistä

tietotyypeistä,

säilytysajoista,

piilotustarpeista ja

rekisteriselosteista.

3.10.2017 Pyry Heikkinen 22

ESIMERKKI: TESTIAINEISTON SUOJAUS

TESTIAINEISTOPALVELUSSA

Pyry Heikkinen 23 3.10.2017

Tuotantotesti

Rajattu otos oikeaa

mutta vanhaa

tuotantotietoa

Kehittäjä

Ei pääsyä

Tietokannan

salaus

Tuotanto

Tuotanto Integraatiotesti

Kehittäjä

Pääsy

henkilökohtaisilla

tunnuksilla Henkilötiedon

pseudonymisointi

Järjestelmätesti Kehittäjä Vapaa pääsy

Testiaineiston

generointipalvelu

Keksittyä,

anonyymia, tietoa

3.10.2017 Pyry Heikkinen 24

HANKENÄKÖKULMA

Pyry Heikkinen 25 3.10.2017

Turvallisuus-sopimus,

sopimus ja hankinta

Toimittajan auditointi

Henkilöstön alustava

on-boarding

Toimitus-ympäristön turvallinen pystytys

Turvallisen toimituskyvykkyyden luonti

• Turvallisuussopimus

• Tietosuojasopimus

• Toiminnalliset

vaatimukset

• Ei-toiminnalliset

vaatimukset

• Hankinnan

luottamuksellisuus

• Salassapito-

sitoumukset

• Toimittajan

turvallisuus

• Toimitusprosessin

turvallisuus

• Toimitus-

menetelmien

turvallisuus

• Turvallisuus-

selvitykset

• Henkilöiden

hyväksyntä

• Turvallisuus-

koulutus ja ohjeet

• Käyttöoikeudet

• Kehitysympäristöt

• Etäyhteydet

• Päätelaitteet

• Työvälineet- ja

palvelut

3.10.2017 Pyry Heikkinen 26

Ohjelmiston tuotanto,

räätälöinti, konfigurointi

Tuotanto-ympäristön

toteutus

Integrointi muihin

palveluihin

Ratkaisun tietoturva-auditointi

Toimituksen aikaiset

tietoturvatoimet

• Tietoturvatestaus

• Koodikatselmointi

• Lähdekoodin eheys

• Ohjelmistopakettien

toimitus

• Testidatan käsittely

• Escrow-menettelyt

• Turvallinen

arkkitehtuuri

• Ympäristöjen

kovennukset ja

konfiguroinnit

• Ylläpitoprosessit

• Käyttöoikeudet

• Integraatioiden

suojaus

• Tunnistaminen ja

valtuutus

• Verkkoavaukset ja

filtteröinnit

• Tiedon käsittely ja

tallennus

• Palvelun 3.

osapuolen auditointi

ja korjaukset

• Ympäristön 3.

osapuolen auditointi

ja korjaukset

Henkilöstön

On- ja off

boardaus

Turvallinen

viestintä ja

tiedonvaihto

3.10.2017 Pyry Heikkinen 27

Yhteyksien ja ympäristöjen

alasajo

Vastuun ja osaamisen

siirto ylläpitoon

Henkilöstön off-

boarding

Tuotantoon siirto

Toimituskyvykkyyden alasajo (jatkuvaan palveluun)

• Tarpeettomien

ympäristöjen poisto

• Tarpeettomien

yhteyksien katkaisu

• Tiedon kerääminen,

tallennus ja poisto

• Osaamisen siirto

• Vastuun siirto

• Prosessien kuvaus

• Tekniset edellytykset

• Tiedon siirto

• Materiaalin keräys

• Pääsyoikeuksien

poisto

• Päätelaitteiden ja

tiedon keräys

• Riskien hyväksyntä

• Prossien riittävyys

• Tuki- ja

häiriönhallinta

• Toipuminen- ja

jatkuvuus

• Ylläpitoprossit

3.10.2017 Pyry Heikkinen 28

Jatkuva palvelu

Palvelun hallinta

Haavoittu-vuudet ja

päivitykset

Henkilöstön on/off-

boardaus

Tietoturva-poikkeamien

hallinta

Uudet ohjelmisto-

versiot

Tuki +

Häiriöiden ja jatkuvuuden

hallinta

3.10.2017 Pyry Heikkinen 29

Pyry Heikkinen 30

Kiitos!

Ikonit: Open Security Architecture

http://www.opensecurityarchitecture.org

Kuvat: Tulli

3.10.2017