6.1 Verkon turvallisuus
Verkot ovat tämän päivän työelämässä välttämättömiä. Useat organisaatiot ovatkin siirtyneet käyttämään hajautettuja asiakas-palvelin-arkkitehtuureja (client-server), joissa palvelimet ja työasemat kommunikoivat verkon välityksellä. Samaan aikaan organisaatiot yhdistävät verkkojaan Internetiin saadakseen näkyvyyttä asiakkaiden, kumppaneiden ja toimittajien suuntaan. Vaikka tietoverkot ovatkin mullistaneet liiketoiminnan tavan, niistä voi aiheutua yrityksille myös valtavia riskejä. Verkkoihin kohdistetut hyökkäykset voivat aiheuttaa rahallisia ja ajallisia, tuotteisiin, maineeseen ja luottamuksellisiin tietoihin kohdistuvia menetyksiä. Verkoista on tullut osa elävää elämää.
Paradoksaalista asiassa on se, että verkon käyttäjät usein haluavat, että tutut verkkopalvelut ovat aina käytettävissä ja olettavat, että tietohallinto-osasto huolehtii verkkojen turvallisuudesta. Näin ei kuitenkaan välttämättä ole, koska järjestelmien ja verkkojen ylläpitäjillä on liian vähän aikaa, tietämystä ja taitoja huolehtia kaikista vaatimuksista, joita nykyaikainen monimutkainen verkko edellyttää. Lisäksi alati kehittyvät hyökkäysmenetelmät ja ohjelmistojen turva-aukot synnyttävät päivittäin uusia turvauhkia.
Verkkojen tietoturva vaatii varautumista monentyyppisiin asioihin ja uhkiin. Huomioitavissa olevia asioita voidaan luokitella vaikkapa seuraavasti:
A. Resurssi (asset)
Näihin luetaan yleensä tiedot, laitteet, ohjelmistot ja ihmiset. Resurssien arvo määritellään sen mukaan, miten sen häviäminen vaikuttaa organisaatioon. Kriittisiä resursseja ovat ne resurssit, jotka ovat välttämättömiä yrityksen tehtävän ja liiketoiminnan kannalta.
B. Uhka (threat)
Uhkiin luetaan mikä tahansa mikä voi murtaa resurssin. Uhka voi olla henkilö, kuten työntekijä tai hakkeri, tai se voi olla kilpailija tai joku muu, jonka tarkoituksena on tahallaan murtaa resurssi. Uhkaksi katsotaan myös kaikki suunnittelemattomat uhkat kuten luonnonmullistukset. Uhkia ovat myös tiedon paljastuminen, muuttuminen, tuhoutuminen, häviäminen ja keskeytyminen jne.
C. Turvariskien analysointi- ja arviointimenetelmät (information security risk analysis and assessment)
Nämä auttavat yritystä tunnistamaan tärkeät resurssit, niihin kohdistuvat uhat, turvavaatimukset ja nykyisessä toimintamallissa olevat heikot kohdat ja turva-aukot.
D. Hyökkäys (attack)
Hyökkäys tarkoittaa hyökkääjän potentiaaliseen uhriin kohdistamaa toimintaa. Järjestelmän ylläpitäjän näkökulmasta hyökkys on joukko tapahtumia, joilla on tietoturvaan vaikuttavia seurauksia.
E. Tietoturvarike (incident)
Tietoturvarike on datakokoelma, joka edustaa yhtä tai useampaa yhteenkuuluvaa hyökkäystä. Hyökkääjät voivat liittyä toisiinsa hyökkääjän kautta, hyökkäystyypin kautta tai hyökkäyksen tavoitteiden, kohteena olevien toimipaikkojen tai ajoituksen kautta.
F. Tunkeutuminen (intrusion)
Tunkeutuminen merkitsee varsinaista laitonta tai ei-toivottua sisäänmenoa tietojärjestelmään. Tunkeutuminen sisältyy turvapolitiikan tai tietojärjestelmään kuuluvien laillisten suojausta loukkaus. Synonyyminä käytetään myös käsitettä murto (breach). Vaikka esim. DoS-hyökkäkseen ei varsinaisesti liity sisäänmenoa tai pääsyä, se kuitenkin murtaa kiellon kohteena olevan resurssin saatavuuden ja näin ollen sitä voidaan pitää tunkeutumisena.
G. Luottamuksellisuus
Tiedot ovat vain niihin oikeutettujen käytettävissä. Tietojen ja dokumenttien turvaluokitus määrittelee, kenellä on oikeus tietoihin sekä niiden säilytykseen ja tuhoamiseen. Luottamuksellisuus suojaa yksityisyyttä ja tiedon omistus-oikeutta. Yksilön tietosuoja (privacy) määrittelee yksityistä ihmistä koskevien tietojen käsittelystä.
H. Eheys (integrity eli oikeellisuus)
Eheys tarkoittaa tiedon muuttumattomuutta syötön, käsittelyn ja tiedonsiirron aikana. Lisäksi vaaditaan etteivät tiedot muutu eivätkä häviä aineisto-, ohjelmisto- ja tiedonsiirtovirheiden eikä minkään luvattoman toimenpiteen seurauksena. Tiedon eheyden varmistamiseen liittyy aina lähettäjän todennus (authentication). Eheys ja todennus yhdessä varmistavat, että lähetty tieto on vastaanottajan saavuttaessaan juuri siinä muodossa, missä se lähetettiin
I. Kiistämättömyys (non-repudiation)
Kiistämättömyydellä tarkoitetaan, ettei tiedon lähettäjä voi kiistää lähettäneensä tietoa ja olleensa jossakin tapahtumassa osapuolena.
J. Pääsynvalvonta (access control)
Pääsynvalvonta huolehtii siitä, että käyttäjien pääsyä järjestelmässä olevaan tietoon rajoitetaan ja valvotaan.
K. Saatavuus
Tieto pitää olla helposti saatavilla ja viiveettä niiden käytössä, joille tieto kuuluu
L. Tarkastettavuus
Tietojenkäsittely ja sen tuloksena saatu tieto on kyettävä tarkastamaan ja osoittamaan sen oikeellisuus. Tietoturvaongelman ilmettyä pitää olla mahdollista tarkistaa ja jäljittää syy ja aiheutuneet vahingot. Tarkastaminen on tehtävä mahdolliseksi tietojärjestelmän tekijän ja ATK-asiantuntijoiden lisäksi myös toiminnan tarkastajille.
M. Tietokoneen turvaaminen
Suurin osa tietoturvaongelmista on vältettävissä mikäli tietokoneet (työasemat ja palvelimet) konfiguroidaan oikein ja sitä mukaa kun ongelmia ja heikkoja kohtia havaitaan.
Tietokoneiden turvaaminen vaatii seuraavien toimenpiteiden tekemistä:
N. Tietoturvapolitiikka
Tänä päivänä on tultu tilanteeseen, että jokainen verkon käyttäjä joutuu ainakin jossain määrin itse huolehtimaan tietoturvasta. Tämä voi tapahtua työntekijöitä kouluttamalla tai siten, että työntekijä sitoutetaan yrityksen tai organisaation luomaan tietoturvasääntöihin.
Tällaisia organisaation tai yrityksen yhteisesti sovittua tietoturvasääntöjä kutsutaan tietoturvapolitiikaksi (mikä siis pitää sisällään tietoturvaohjeet ja kaikenlaiset muut tietoturvakäytännöt). Oleellista tietoturvapolitiikalle on se, että se koskee koko yritystä/organisaatiota. Tämän vuoksi tietoturvapolitiikka on myös aina dokumentoitu.
Tehtävä 17.15 pistettä
Kirjoita seuraavaan tehtävään vapaamuotoinen vastaus.
Tehtävänäsi on tutustua Nettitytöt Oy:n tietoturvapolitiikkaan tästä linkistä. Lue politiikka läpi. Tutustumisen jälkeen käy läpi alla oleva linkistö ja poimi sieltä sellaisia asioita (aiheita, vinkkejä, käytäntöjä), joita Nettitytöt Oy eivät ole vielä ottaneet huomioon omassa tietoturvapolitiikassaan. Kirjaa lisättävät asiat esimerkiksi muotoon:
|
DEMO - DEMO -DEMO Ohjelmistojen kotikäyttöä koskevat säännöt: - Työntekijä ei saa asentaa yrityksen
ohjelmistoja kotiin eikä asentaa yrityksen koneille kotoa tuotuja
ohjelmistoja |
Täysiin pisteisiin edellytetään vähintään 8 uutta asiakokonaisuutta ja niiden alle luettelomaisesti asiakokonaisuutta kuvaavia käytäntöjä (vrt yllä). Dokumentoinnin voit tehdä esimerkiksi Wordillä. Ideana on siis se, että
Läpikäytävät linkit:
Tietoturvapolitiikka
Yleistä asiaa tietoturvasta
Tietoturvasanasto
Näiden tehtävien
viimeinen palautusajankohta on 15.3. 2003!