Käyttäjän tietoturvakäsikirja

Kontiolahdenkunta
Tietoturvakäsikirja
27.1.2015
1(22)
KONTIOLAHDEN
KUNTA
Käyttäjän tietoturvakäsikirja
Kontiolahdenkunta
Tietoturvakäsikirja
27.1.2015
2(22)
Sisällysluettelo
Tietoturvanhuoneentaulu.............................................................................................................................................4
Käyttäjänkäsikirjaperustuukunnanhallituksenhyväksymääntietoturvapolitiikkaanja–
suunnitelmaan.....................................................................................................................................................................5
Järjestelmienjatietoliikenneverkonkäytönsäännöt.......................................................................................5
Tietosuojantoteuttaminenkunnassa..................................................................................................................5
Tietoaineistonluokittelu...........................................................................................................................................5
Tiedostojen,asiakirjojenjamuidentietovälineidensäilytys...................................................................5
Tietoaineistojenarkistointijasuojakopioidensäilytys.........................................................................6
Tarpeettomientietojenhävittäminenturvallisesti.................................................................................6
Tietojärjestelmienluokittelu...................................................................................................................................6
Ylläpitäjienhyvätkäytännöt:...................................................................................................................................7
Käyttäjänhyvätkäytännöt:......................................................................................................................................7
Väärinkäytöksetjaniidenseuraamukset..........................................................................................................7
Oikeusjärjestelmientietoihinjakäytöstäkerättäviintietoihin.............................................................7
Henkilöstöturvallisuus:..............................................................................................................................................8
OhjeInternetinjasähköpostinkäytöstä.................................................................................................................9
Internetinkäyttö............................................................................................................................................................9
Yleistä.............................................................................................................................................................................9
Kielletyttairajoitetutsovelluksetjapalvelutsekäsosiaalinenmedia..........................................9
Käyttösäännöt.........................................................................................................................................................10
Käyttöohjeet............................................................................................................................................................10
Sähköpostinkäyttöohjeistus.................................................................................................................................11
Loma-ajatjapidemmätpoissaolot................................................................................................................12
Liitetiedostot...........................................................................................................................................................12
Sähköpostintietoturva.......................................................................................................................................13
Roskaposti................................................................................................................................................................13
Toimenpiteettyösuhteenpäättyessä..........................................................................................................14
Etätyö....................................................................................................................................................................................15
Työhakemistot..................................................................................................................................................................16
Toimenpiteettyösuhteenpäättyessä...............................................................................................................16
Siirrettävättietovälineet..............................................................................................................................................17
Työpuhelin..........................................................................................................................................................................18
Sosiaalinenhakkerointi................................................................................................................................................19
Ulkoistettujentietojenkäsittelytoimintojenturvallisuus............................................................................19
Tietoturvahankintojenyhteydessä........................................................................................................................20
Virusepäily..........................................................................................................................................................................21
Kontiolahdenkunta
Tietoturvakäsikirja
27.1.2015
3(22)
Viruksiltasuojautuminen.......................................................................................................................................21
Tietoturvanseuranta.....................................................................................................................................................22
Kontiolahdenkunta
Tietoturvakäsikirja
27.1.2015
4(22)
Tietoturvanhuoneentaulu
ü Tueosaltasikunnankulunvalvontaa;käytäkunnantoimitiloissajaasiakkaidenluonakuvallista
henkilökorttiasi(mikälisinullasellainenon).
ü Jos tapaat tuntemattoman henkilön kunnan toimitiloissa, selvitä kohteliaasti (esim.
opastustatarjoamalla)milläasiallahenkilötiloissammeliikkuu.
ü Työasemankäyttäjänävastaatitsetyöasemasiturvallisuudesta.
ü Käytä työasemaa ja siihen liittyviä laitteita, ohjelmia ja tietoja vain työtehtäviesi
edellyttämiinjaesimiehesihyväksymiintarkoituksiin.
ü Äläluovutatyöasemasihallintaakenellekääntuntemattomallehenkilölle.
ü Käyttäjätunnuksesionhenkilökohtainen.Äläkerrosalasanaasikenellekään.
ü Salasanantuleetietoturvankannaltasisältäävähintään8merkkiä.Valitsesalasanaksi
sellainenjonkamuistat.
ü Vaihda salasanasi riittävän usein ja heti kun epäilet sen paljastuneen. Älä koskaan
kirjoita salasanaasi paperille. Mikäli joudut näin kuitenkin tekemään, älä säilytä
salasanaanäppäimistönallataityöpöytäsiylälaatikossa.
ü Älä käytä työpaikan käyttäjätunnusta ja salasanaa rekisteröityessäsi Internetin
palveluihin.
ü Poistuessasityöpisteeltälukitsetyöasemasi.
ü Muistakannettavientietokoneidenpoikkeuksellisenkorkeavarkausriski.Älätallenna
mitäänsalassapidettävääkannettavaasi!
ü Älä avaa tuntemattomista osoitteista/lähettäjiltä saapuneita sähköpostiviestejä, eikä
varsinkaannäidenliitetiedostoja.Äläavaamitäänexe-taibat–päätteisiäliitetiedostoja,
elletehdottomastitiedämitänesisältävät.
ü Käytä vain virustarkastusohjelmalla tarkastettuja ja salausohjelmalla salattuja USBtikkuja.
ü Käynnistätyöasemasisiten,ettäUSB-tikkueiolekiinnitettynäjaetteiCD-asemassaole
levyä.
ü Voit epäillä virustartuntaa, jos työasemassasi näytölle ilmestyy tunnistamattomia
viestejä, levytilan loppuu äkillisesti, tallentamasi tiedostot muuttuvat tai katoavat,
ohjelmistonkäyttöhidastuuoleellisestitaiestyykokonaan.
ü Jos epäilet virustartuntaa, tee seuraavaa: jos virustorjuntaohjelma tarjoaa
mahdollisuuden viruksen poistoon, suorita kyseinen toimenpide ja varmistu
toimenpiteentuloksista.Etenetorjuntaohjeidenmukaan.
ü Jos torjuntaohjelma ei kykene poistamaan virusta älä sammuta konetta vaan tee
seuraavaa: irrota työasemasi verkosta (eli ota atk-verkkokaapeli irti työasemasta),
tarkistajakirjaaylösmitätietojanäytöllekirjautuujaraportoitapahtumastaatk-tuelle
ja tietoturvavastaavalle. Jos epäilet tartuttaneesi viruksen toisten työasemiin tai
lähettäneesiviruksensisältävääpostia,varoitaheitäsiitä.
ü ServiceDesk0133390700/[email protected]
Kontiolahdenkunta
5(22)
Tietoturvakäsikirja
27.1.2015
Käyttäjänkäsikirjaperustuukunnanhallituksenhyväksymään
tietoturvapolitiikkaanja–suunnitelmaan
Tämäkäyttäjänkäsikirjapohjautuukunnanhallituksenhyväksymääntietoturvapolitiikkaanja
–suunnitelmaan. Tietoturvapolitiikka on julkinen asiakirja. Tietoturvasuunnitelma on
salainen asiakirja. Käyttäjän käsikirja käsitellään henkilöstöasiain työryhmässä ja
yhteistyötoimikunnassajasenhyväksyykunnanhallitus.
Järjestelmienjatietoliikenneverkonkäytönsäännöt
Hyvien työskentelyolojen takaamiseksi on tarpeen noudattaa seuraavia yhteisesti sovittuja
sääntöjä, joiden tarkoituksena on määritellä järjestelmien käyttäjille ja ylläpitäjille heidän
oikeutensajavelvollisuutensa.
Säännötperustuvatseuraaviinyleisperiaatteisiin:
ü Kaikillaonmahdollisuusasialliseenkäyttöön.
ü Muilleeisaaaiheuttaahaittaa.
ü Yksityisyydensuojaapitääkunnioittaa.
Tietosuojantoteuttaminenkunnassa
Dokumentti kuvaa ne menetelmät ja toimintatavat mitenkä tietojen käsittelyä Kontiolahden
kunnassavalvotaan,sekäseuraamuksetmahdollisistatietoturvarikkomuksista.
Tietoaineistonluokittelu
Tietoaineisto voidaan jakaa julkiseen tai salassa pidettävään tietoon. Salassa pidettävä tieto
onjokokokonaantaiosittainsalassapidettävää.
Tietoturvatoimien oikean kohdistamisen vuoksi Kontiolahden kunnassa käsiteltävät tiedot
käydäänläpijaluokitellaantiedonohjaussuunnittelunyhteydessä.
Kunnaneriyksiköidenkäsittelemientietojenluovutuksestapäättävätne,joilleonmääritelty
asiakirjan tai tietojen antamista koskeva päätösvalta. Luovutuksessa on otettava huomioon
tietojen luokitus sekä julkisuuslain, henkilötietolain, potilaslain, asiakaslain ja muidenkin
tietojenluovuttamiseenvaikuttaviensäädöstenjamääräystenasettamatehdot.
Tiedostojen,asiakirjojenjamuidentietovälineidensäilytys
Normaaleihin työasioihin liittyvät tai niiden yhteydessä muodostuvat asiakirjat ja tiedostot
tallennetaan verkkolevylle tai asianhallintajärjestelmään mahdollisuuksien mukaan
päivittäin.Paperidokumentitskannataansähköiseenmuotoonjatallennetaanasianhallintaan,
minkäjälkeenpaperiversiottarvittaessaarkistoidaan.
Tietoaineistojen asianhallintaan viemisen yhteydessä tehdään aineiston luokitus ja tämän
luokituksenperusteellavoidaanmääritelläko.aineistonkäsittely-jasäilytystavat.
Kontiolahdenkunta
Tietoturvakäsikirja
27.1.2015
6(22)
MuuttietovälineetkutenCD/DVD:t,videokasetit,jne.luetteloidaanjaluokitellaanennenkuin
nelaitetaansopivaansäilytyspaikkaan.
Kontiolahdenkunnanhenkilökunnan omientiedostojentallennuspaikkanatoimivatjokaisen
työntekijän henkilökohtaiset työhakemistot, jotka sijaitsevat tähän käyttöön tarkoitetulla
verkkolevyllä.Työhakemistoihinliittyvätkäytännötonohjeistettutarkemmintässäohjeessa.
Tietoaineistojenarkistointijasuojakopioidensäilytys
Kunnan
toiminnan
yhteydessä
muodostuvat
tiedonohjaussuunnitelmienmukaisesti.
tietoaineistot
arkistoidaan
Tarpeettomientietojenhävittäminenturvallisesti
Tietoaineistojenluokittelunyhteydessämääritetäänko.aineistonsäilytysaika,jonkajälkeen
aineistonjasiihenliittyvänmuuntiedonvoipoistaakunnantietojärjestelmistä.
Tuhottavatpaperidokumentitlaitetaanniilleerikseenvarattuihinlukittuihinsäiliöihin,joiden
täyttyessä palvelua tarjoava turvayhtiö huolehtii säiliöiden noutamisesta ja dokumenttien
tuhoamisesta.
Kunnankäytöstäpoistuville/uuteenkäyttöönmenevientyöasemien,kiintolevyjenjamuiden
talletusmedioidentietojenhävittämiselleonluotuPTTKOy:npuolestakäytäntö,jotakunnassa
myös noudatetaan kautta linjan. Poistuvat tai uuteen käyttöön menevät työasemat sekä
kiintolevytkäsitelläänPTTKOy:ntoimestakäyttäenem.käytäntöjä.
Tietojärjestelmienluokittelu
Kontiolahden kunnassa käytettävät tietojärjestelmät luetteloidaan ja luokitellaan kunnan
toiminnankannaltatärkeysjärjestykseenriskianalyysinavulla.Järjestelmientärkeysluokkaan
vaikuttavia tekijöitä ovat muun muassa niiden sisältämän tiedon tärkeysluokitus ja kunkin
järjestelmänkäytettävyysvaatimukset.
Kontiolahdenkunta
Tietoturvakäsikirja
27.1.2015
7(22)
Ylläpitäjienhyvätkäytännöt:
Käyttöoikeuksien määrittely ja oikeellisuus on esimiehen vastuulla. Nimetyt vastuuhenkilöt
huolehtivat järjestelmien ylläpidosta. Ylläpitäjät tiedottavat järjestelmiin tehtävistä
muutoksistajaniidenvaikutuksistasekäantavattarvittaessaopastusta.Ylläpitäjilläonoikeus
rajoittaajasäädelläjärjestelmienkäyttöävelvollisuuksiensahoitamiseksi.
Käyttäjänhyvätkäytännöt:
ü Käyttäjäntuleeainakäyttääomaanimeäänjaomaakäyttäjätunnustaan.Kukinkäyttäjä
vastaakaikestatunnuksellaantapahtuvastakäytöstä.
ü Työasioihin liittyvät ja niiden yhteydessä muodostuvat asiakirjat ja tiedostot
tallennetaanverkkolevylletaiasianhallintajärjestelmään.
ü Muutjärjestelmänkäyttäjätonotettavahuomioon.
ü Kaikillakäyttäjilläonvastuujärjestelmänkokonaisturvallisuudesta.
ü Järjestelmään pyrkiminen väärällä käyttäjätunnuksella sekä oman tunnuksen
valtuuksienylittäminentaiylityksenyrittäminenonkiellettyä.
ü Laitteiston ja systeemiohjelmiston muuttaminen on kiellettyä. Tämä koskee myös
yhteisessäkäytössäoleviayhdenkäyttäjänjärjestelmiä.
ü Kiintiöidenjamuidenkäyttörajoitustenkiertäminenonkiellettyä.
ü Tunnettujenja/taiuusienturvallisuusaukkojenetsiminenjakäyttäminenonkiellettyä.
ü Ohjelmien,ohjelmistojentaitiedostojenkopiointiluvattaonkiellettyä.
Väärinkäytöksetjaniidenseuraamukset
ü Käyttäjien tulee ottaa huomioon voimassa oleva lainsäädäntö. Mm.
henkilörekisterilaissa, rikoslaissa ja tekijänoikeuslaissa on atk:n käyttöä säänteleviä
määräyksiä.
ü Väärinkäytöksen laadusta riippuen käyttäjälle voidaan antaa varoitus, käyttöön
liittyviärajoituksiataimääräaikainenkäyttökielto.
ü Mikäliväärinkäytösonvakavajatekomuodostaarikoksen,asiavoidaanantaapoliisin
tutkittavaksi.
Oikeusjärjestelmientietoihinjakäytöstäkerättäviintietoihin
ü Kunta on järjestänyt tietojärjestelmät henkilöstön käyttöön kunnan toimintaan
kuuluvaatiedonvälitystävarten.NäinollenKontiolahdenkunnallaonoikeusmäärätä
henkilöilleannettujen,järjestelmienkäyttöönoikeuttavientunnustenkäytöstä.
ü Tietojärjestelmien tietoturvan valvonnan, tietojen varmistamisen ja toiminnan
kehittämisen sekä tietojärjestelmien hallinnan tarpeisiin niiden käytöstä voidaan
kerätä tietoja, jotka on kuvattu kyseisestä tietojärjestelmästä tehdyn selosteen
yhteydessä.
ü Tietojärjestelmien ja niiden sisällön turvallisuuden varmistamista sekä järjestelmien
toiminnanylläpitämistävartenniidenvastuuhenkilöilläonoikeusvalvoajärjestelmien
käyttöä ja tarvittaessa päästä käsiksi järjestelmien sisältämiin viesteihin ja muihin
tietoihinsekälukea,kopioida,siirtääjatuhotaniitä.
Kontiolahdenkunta
Tietoturvakäsikirja
27.1.2015
8(22)
ü Kunnalla on tekijänoikeus kaikkiin palvelusuhteessa tai siihen verrattavissa olevan
henkilöstönlaatimiin,tietojärjestelmissäoleviin,kunnantoimintaanliittyviintietoihin
javiesteihin.
ü Tietojärjestelmientietojenjaviestienkäyttö,kopiointijasiirtoonsallittuvainkunnan
toimintaanliittyvientehtävienhoitamiseksi.
ü Tietoliikennelaitteiden käytöstä ja palomuurin kautta kulkeneesta liikenteestä
kirjautuulokitietoja,joitakäytetäänainoastaantietoturvapoikkeamienselvityksessäja
niiden ennaltaehkäisevien toimenpiteiden suunnittelun apuna. Jos poikkeamien
selvityksen yhteydessä havaitaan kunnan tietoturvapolitiikkaa vastaan olevia
tapahtumia,niistäraportoidaankunnantietoturvavastaavalle(talousjohtaja).
Henkilöstöturvallisuus:
ü Henkilöstöturvallisuuden perustana on osaava ja sitoutunut henkilöstö, jolle
tietoturvavastuutja–tehtävätonselkeästikuvattutoimenkuvissa
ü Työyksiköissä tulee olla riittävällä tasolla määritellyt prosessit, joissa kuvataan
työtehtävätniintarkasti,ettäavainhenkilöriskiensyntyminenvältetään.
ü Tehtävien vaativuudesta tai luottamuksellisuudesta riippuen rekrytoitavan henkilön
tausta,sopivuusjaosaaminenonselvitettäväennentyöhönottoa.
ü Työhönoton yhteydessä henkilö allekirjoittaa työsopimuksen, johon sisältyy myös
vaitiolositoumus,viranhaltijanosaltaasiahuomioidaanvirkamääräystäannettaessa.
ü Perehdytyksen yhteydessä tulee käydä läpi kunnan tietoturvapolitiikka
ohjeistuksineen.
ü Henkilökunnan tietoturvaosaaminen varmistetaan sähköisen koulutusympäristön
avulla(Granite)
Kontiolahdenkunta
Tietoturvakäsikirja
27.1.2015
9(22)
OhjeInternetinjasähköpostinkäytöstä
Internetinkäyttö
Yleistä
Internet-verkko on laaja “virtuaaliympäristö”, jossa pätevät lähtökohtaisesti normaalit
yhteiskunnan ja työympäristön säännöt. Työnantajalla ei ole velvollisuutta eikä
mahdollisuutta Internet-yhteyden avaamisen yhteydessä edeltä käsin tyhjentävästi joko
kieltää tai sallia kaikkia kyseenalaisia tai väärinkäytösmahdollisuuden sisältäviä sovelluksia
tai käyttötapoja. Tästä syystä käyttäjällä itsellään on vastuu noudattaa organisaation
tietoturvaohjeistusta, jotta Internetissä käytettävien palveluiden käyttö ei aiheuta
tietojenkäsittelylle
ja
kunnan
toiminnalle
ylimääräisiä
tietoturvariskejä.
Työnantaja tarkkailee jatkuvasti ulkopuolisia yhteyksiä palomuuriohjelmistolla sekä
erilaisilla virus- ja turvaohjelmistoilla, etteivät luvattomat tunkeilijat pääsisi sisään
järjestelmään. Kaikista ulkopuolisista yhteyksistä jää lokiin tiedot mahdollisia myöhempiä
selvityksiävarten.ValvonnassanoudatetaanSähköisenviestinnäntietosuojalakia(516/2004,
125/2009)jalakiayksityisyydensuojastatyöelämässä(759/2004).
Internet-yhteysontarkoitettutyötehtävienhoitamiseen.
Sallitutkäyttötarkoituksetovat:
ü informaationhankkiminentyötehtäviensuorittamiseksi
ü ammatillisensivistyksenkehittäminen
ü ammattiyhdistystoiminta
Sallittuayksityiskäyttöäovat:
ü henkilökohtainenpankkiasiointityötehtäviähaittaamatta
ü satunnainenviestintä,ilmoituksettms.jotkaovatesim.kiireellisiäjatyöläitähoitaa
muullatavoin
Verkon palveluiden ja sovellusten käyttäminen ei saa olla ristiriidassa organisaation
viestinnän,toiminnantarkoituksentaitietoturvallisuudenkanssa.
Kielletyttairajoitetutsovelluksetjapalvelutsekäsosiaalinenmedia
Seuraavien sovellusten käyttö ei ole sallittua niiden sisältämien erityisen korkeiden
tietoturvariskientaimuunhaitanvuoksi:
ü Musiikki-javideotiedostojenlataamiseentarkoitetutsovellukset
ü Vertaisverkkopalvelut(Kazaa,eDonkeysekävastaavat)
ü Automaattiset näytönsäästäjät, jotka kuluttavat työaseman resursseja omaan
toimintaansaesim.SETI@home(SearchfoExtraTerrestialIntelligence)
ü KeskusteluryhmätkutenIRCjaerilaisetchat-ryhmät
ü Uutisryhmä-palveluihin (News Groups) saavat osallistua ainoastaan erikseen
nimetythenkilöt.
Kontiolahdenkunta
Tietoturvakäsikirja
27.1.2015
10(22)
ü Kaikki käyttötarkoitukseltaan haitalliset, hyvän tavan vastaiset tai työtehtävien
kanssaristiriidassaolevatpalvelut(esim.salauksenpurkujolainnojalla)
Sosiaaliseenmediaanliittyenkunnassaonlaadittusosiaalisenmediankäyttöpolitiikka,jonka
hyväksyykunnanjohtoryhmä.
Käyttösäännöt
Tekijänoikeussäännöt on huomioitava myös Internetistä peräisin olevan aineiston suhteen.
Samoinonsuhtauduttavavarauksinkaikenlaisenaineistonluotettavuuteenjaoikeellisuuteen.
Internetissä kuka tahansa voi julkaista mitä tahansa. Kuten muuallakin, kannattaa
lähtökohtaisestipitääluotettavanavainennestääntunnettujalähteitä.
Internetiä käytettäessä on toimittava niin, että haittaohjelmien pääsy sisäiseen verkkoon
estetään mahdollisimman pitkälle ennalta. Tunnetut ja luotettavat verkkopalvelut eivät
pääsääntöisesti sisällä haittaohjelmia. Epämääräisiä ja käyttötarkoitukseltaan työtehtävien
suorittamiseenliittymättömiäsivustojapitäämm.haittaohjelmavaarantakiavälttääjavaroa.
SeuraavillatoimenpiteillävoidaanInternet-uhkiahallitaperuskäyttäjätasolla:
ü Sisäisten tietojärjestelmien ja -verkkojen käyttöön tarkoitettua henkilökohtaista
käyttäjätunnusta ja salasanaa ei saa käyttää Internetissä oleviin palveluihin
rekisteröitymiseenkoskasevoitätäkauttapaljastuaulkopuoliselle.
ü Myös työnantajan sähköpostiosoitteen luovuttamisessa esim. Internet-palveluihin
rekisteröidyttäessä tulee olla varovainen. Osoite voi tätä kautta kulkeutua ns. eitoivottuunkaupalliseenviestintäänkäytetyille(spam)postituslistoille.
ü Työnantajan sähköpostiosoitteen saa luovuttaa vain sellaiseen Internet-palveluun
rekisteröidyttäessä,jollaonselkeäyhteystyötehtäviin.(vrt.SOME)
ü Internet-selaimentietoturva-asetuksiaeisaaheikentääilmantietohallinnonlupaa.
ü Ohjelmien lataaminen ja asentaminen Internetistä muun kuin tietohallinnon
toimestaonkielletty.
Käyttöohjeet
1. Internetinkäytöstäjääainajäljet.Kunsivuhaetaanselaimeen,siitäjäämerkintäwwwpalvelimen lokitiedostoon. Samoin merkintä käynnistäsi jää myös niille sivustoille,
joillakävit.KäytäInternetiätyöpaikallasivaintyöhösitarvittavantiedonhakemiseen.
2. Älä anna Internetissä nimeäsi, yhteystietojasi tai sähköpostiosoitettasi
ilmoitustauluille, keskusteluryhmiin tms. Henkilötiedot voivat päätyä ulkopuolisten
käyttöön ja niitä voidaan käyttää muihin tarkoituksiin kuin mihin olet ne antanut.
Ulkopuoliset voivat ottaa selvää verkossa liikkumisestasi ja luoda tämän perusteella
sinustaprofiileja,jonkajälkeenalatsaadasähköpostiisimainoksiajaroskapostia.
3. ÄläkoskaankäytätaiasennaInternetistäperäisinoleviatiedostojajaohjelmia.
4. Poistuainaverkkopalvelustasenomallauloskirjautumiskomennolla.
5. Sivuhistoria muistaa kaikkien niiden sivujen osoitteet, joilla käyttäjä on vieraillut.
Käytettäessä yhteis- tai julkisessa käytössä olevaa tietokonetta, sivuhistoria täytyy
tyhjentääaina.
6. SelaimenvälimuistinopeuttaaInternet-surffausta.Seviekuitenkinrunsaastilevytilaa
ja siksi se kannattaa aika ajoin tyhjentää. Käytettäessä yhteis- tai julkisessa käytössä
olevaatietokonetta,välimuistitäytyytyhjentääaina.
Kontiolahdenkunta
Tietoturvakäsikirja
27.1.2015
11(22)
7. Jos olet kirjautumassa palveluun, jossa kysytään salasanaa, selain ehdottaa usein
salasanan tallentamista. Tätä ei kuitenkaan koskaan pidä tehdä, sillä toiset käyttäjät
pääsevätsilloinsinuntunnuksellasipalveluun.
8. Eväste, on tekstitiedosto, jonka sivuston omistaja tallentaa koneesi kiintolevylle
käydessäsihänenweb-sivustollaan.Evästeetovatpääsääntöisestiharmittomia,mutta
niitävoidaankäyttääväärin.Lukemallaevästetiedostonsisältö,voidaanselvittää,millä
sivuilla käyttäjä on käynyt. Evästeeseen voi myös tallentua sivustolle vaadittavat
käyttäjätunnus- ja salasanatiedot. Evästeitä on kahdentyyppisiä; istuntokohtaisia ja
pysyviä. Istuntokohtaiset evästeet säilyvät selaimen muistissa niin kauan kuin selain
on auki ja häviävät sittenitsestään.Pysyvätevästeettallentuvattyöasemanlevylle ja
säilyvätsielläelleiniitäpoistetamanuaalisesti.
9. Sosiaalinen media ei sinänsä tuo uusia tietoturvahaasteita, mutta sosiaalisen median
käyttötavat eroavat merkittävästi perinteisen median käyttötavoista ja perinteisistä
Internet-palveluista,jonkatakiatietoturvauhatilmeneväteritavalla.Tämäjohtuusiitä,
ettäsosiaalisessamediassakäyttäjäntoimenpiteetovatnormaaliapalveluidenkäyttöä
keskeisemmässä asemassa. Tahaton hölmöily saattaa johtaa ikäviin seurauksiin,
esimerkiksi organisaation tietojen vuotamiseen, henkilökohtaisen mielipiteen
esittämiseenorganisaationvirallisenakannanottona,haittaohjelmanleviämiseentms.
Henkilöstön ohjeistamiseksi ja selkeiden linjausten tekemiseksi on kuntaan laadittu
sosiaalisenmediankäyttöpolitiikka.
10. Tietoliikennelaitteiden käytöstä ja palomuurin kautta kulkeneesta liikenteestä
kirjautuulokitietoja,joitakäytetäänainoastaantietoturvapoikkeamienselvityksessäja
niiden ennaltaehkäisevien toimenpiteiden suunnittelun apuna. Jos poikkeamien
selvityksen yhteydessä havaitaan kunnan tietoturvapolitiikkaa vastaan olevia
tapahtumia,niistäraportoidaankunnantietoturvavastaavalle.
Sähköpostinkäyttöohjeistus
Kontiolahden kunnalla on käytössään Microsoft Outlook sekä Outlook Web Access –
sähköpostiohjelmat.WebAccessonOutlookinInternet-selainpohjainenkäyttöliittymä.
Työnantajan sähköposti on tarkoitettu pääasiallisesti työasioiden hoitamiseen. Sähköpostia
on lupa käyttää myös yksityisviestintään, mutta yksityisviestit on pidettävä erillään
työviesteistä. Työnantajan sähköpostin käyttö ei ole kuitenkaan sallittua henkilökohtaisten
tarjouspyyntöjen tai tarjousten tekemiseen sekä kaupankäyntiin tai muiden sellaisten
oikeustoimientekemiseen,joidenyhteydessävastaanottajanonvaikeaatulkitaonkokyseessä
henkilökohtainenvaityöasia.
Työntekijöille suositellaan yksityisasioiden hoitamista varten erillisen henkilökohtaisen
sähköpostiosoitteenhankkimista.
Työntekijä vastaa sähköpostin käytöstä, sähköpostilaatikon sisällöstä ja sisällön ylläpidosta.
Tällöintyöntekijäntuleeottaahuomioonseuraavatseikat:
ü Työsähköpostia on käytettävä kuin mitä tahansa työvälinettä työtehtävien
hoitamiseen.
ü Sähköpostiviesti on dokumentti, josta voi olla kopioita monessa paikassa
(mm. varmuuskopiot, sähköpostipalvelimet, työasemat) jota voidaan riittävän
perusteenilmetessäkäyttääyhtenätodistusaineistona.
Kontiolahdenkunta
Tietoturvakäsikirja
27.1.2015
12(22)
ü Sähköpostia suojaa viestintäsalaisuus, mutta se ei sellaisenaan takaa tietojen
salassapitoa. Salassa pidettävien tietojen lähettäminen salaamattomassa Internetsähköpostissaonkielletty.
ü Sähköpostiviestien automaattinen edelleen lähetys sisäisestä ja/tai suojatusta
sähköpostiympäristöstä suojattomaan (Internet) on kielletty. Tapauskohtainen
edelleenlähetysonsallittuvaintilannekohtaisenharkinnanperusteella.
ü Sähköpostin liitetiedostot ovat yleisimpiä virusten ja muiden haittaohjelmistojen
leviämistapoja.
ü Tuntemattomaltalähettäjältäsaadun,epätavallisestiotsikoiduntaimuutenoudon
sähköpostiviestin liitetiedostoa avattaessa tulee noudattaa varovaisuutta. Ota
tarvittaessayhteyttätekniseentukeenennenepäilyttävänliitetiedostonavaamista.
ü Roskapostiviesteihineli”spamiin”eipidävastata.
ü Ketjukirjeiden lähettäminen työnantajan laitteista sähköpostitse on kielletty.
Ketjukirjeet ovat haittaohjelmien levittäjiä ja kuormittavat turhaan
tietotekniikkaresursseja.
ü Sähköpostitse kiertävät vitsit, adressit tms. sisältävät vaaran sähköpostiosoitteen
joutumisesta ns. spam-listalle, koska ihmiseltä toiselle siirtyvien viestien mukana
kulkeesuurimääräsähköpostiosoitteita.
Sähköpostitse saapuneet viranomaisen asiakirjat on kirjattava. Jos viesti sisältää asian, jota
todennäköisesti tullaan käsittelemään myöhemmin eri hallintoelimissä, toimita viesti
organisaatiossasihenkilölle,jokahoitaaasiankirjaamisendiaariin.
Loma-ajatjapidemmätpoissaolot
Työtehtävien katkottoman hoitamisen vuoksi työntekijällä on velvollisuus käyttää
sähköpostijärjestelmän automaattista vastaustoimintoa ilmoittaakseen poissaolostaan, sen
kestostajasiitäkukahoitaahänentehtäviäänpoissaolonaikana.
Liitetiedostot
Vältä liitetiedostojen käyttöä jos se on mahdollista. Usein pelkkää tekstiä sisältävän
liitetiedostonsisällönvoikopioidasähköpostinviestiosaan.JosWordillatehtyliitetiedostoei
sisälläkuvia,lähetätiedostovastaanottajallertf–muodossa.Tällöinsinuneitarvitsevälittää
siitä,mikätekstinkäsittelyohjelmavastaanottajallaon.Tiedostontallentaminenrtf–muotoon:
1. ValitseWordissaTiedosto–Tallennanimellä
2. ValitseTallennusmuoto–kohdassa’Word-asiakirja’–tekstinpaikalleRTF
3. Annatiedostollenimijatallennanormaalisti
Toinen tapa dokumenttien lähettämiseen on PDF-muoto. PDF-muotoon voidaan tallentaa
tekstidokumentteja(Word-asiakirjoja),esityksiä(PowerPoint)taitaulukoita(Excel).
Useimmissa postijärjestelmissä on määritelty välitettävien sähköpostien maksimikoko.
Vastaanottajalta kannattaa tarkistaa, minkä suuruisia liitetiedostoja heidän
postijärjestelmänsä voi ottaa vastaan. Tiedoston koon voi tarkistaa esimerkiksi
resurssienhallinnassa. Mikäli on tarve lähettää/vastaanottaa sähköisessä muodossa
suurempiakokonaisuuksia,kannattaaharkitavaihtoehtoina:
Kontiolahdenkunta
Tietoturvakäsikirja
27.1.2015
13(22)
1. Tiedostojen pakkaaminen esim. WinZip:llä ja pienentää näin lähetettävän viestin
kokoa.
2. TiedostojenpolttaminenCD-ROMillejalähettäminentavallisenapostina.
3. Tiedostojensiirtäminenftp:llä.
4. Viestin paloitteleminen useampaan viestiin, jolloin yksittäisen viestin koko pienenee.
Sähköpostintietoturva
Sähköpostin lähettäminen kunnan henkilöstön sisäisesti on suhteellisen turvallista, koska
sähköpostijärjestelmämme salaa automaattisesti kaikki sanomat. Sen sijaan ulkoisiin
osoitteisiin lähetettävä posti on selväkielistä, jolloin tietoturvan säilyminen edellyttäisi
viestien salaamista ja digitaalista allekirjoitusta. Tätä mahdollisuutta meillä ei vielä ole
käytössä.
Tavallisen, suojaamattoman sähköpostin käyttö on rajattava vain niiden viestien
välittämiseen, jotka soveltuvat sen käyttöön. Koska suojaamattoman sähköpostin tietoturva
on tavallisen postikortin luokkaa, mitään salassa pidettävää tietoa ei saa lähettää
suojaamattomansähköpostinvälityksellä.
Kunkäytössäonsuojattusähköpostijasähköinenallekirjoitus,voidaansitäkäyttäävirallisten
asiapapereidenvälitykseen.Potilasasiakirjojensiirtoajayksiköidenvälistäkonsultointia
varten on olemassa oma tietoturvallinen ohjelmisto, potilastietojärjestelmän
viestinvälitys.
Sähköpostin tietoturvaohjeita
Ø Varmista lähettäjän aitous, jos vähänkin epäilet sitä. Sähköpostin lähettäjätieto on
helppoväärentää,jolloinlähettäjästäeivoiollatäysinvarma.Vastaavastikukatahansa
voilähettääviestinnimissäsi.
Ø Älä koskaan avaa tuntemattomalta lähettäjältä tullutta liitetiedostoa tai viestissä
olevaawww-linkkiä.
Ø Älälähetäketjukirjeitäeteenpäin.
Ø Pyydätärkeistäviesteistäkuittausvastaanottajalta.
Roskaposti
Roskapostilla tarkoitetaan sähköpostiin tulevia mainoksia, joita vastaanottaja ei ole tilannut
eikä niiden lähettämiseenolekysytty lupaa.Mainostettavattuotteetjapalvelutovatyleensä
epämääräisiätailaittomia.Roskapostionhaitallista,koskasetuhlaaaikaajalevytilaa.
PTTK Oy:llä on käytössä roskapostien suodatusjärjestelmä, joka poistaa automaattisesti
suurimmanosanroskaposteista.Jossaatsuodatuksestahuolimattaroskapostia,poistaviestit
välittömästi. Älä koskaan vastaa roskapostiviestiin, vaikka siinä olisi linkki, johon
ilmoittamalla pääset pois jakelulistalta. Outlook- ja Outlook Web Access –
sähköpostiohjelmissaonroskapostinkäsittelyynjoitakintoimintoja,joillavoitmääritellämitä
roskapostiksitulkituilleviesteilletehdään.
Jos epäillään, että jokin viesti on jäänyt saamatta, kannattaa siitä laittaa palvelupyyntö
ServiceDeskiin ja sisällyttää siihen milloin(pvm+klo) ja mistä(lähettäjänspostiosoite)
kyseisenviestinolisipitänyttulla.
Kontiolahdenkunta
Tietoturvakäsikirja
27.1.2015
14(22)
Työnantajanoikeuslukeatyöntekijänsähköpostia
Perustuslain10.2§:nmukaankirjeen,puhelunjamuunluottamuksellisenviestinsalaisuuson
loukkaamaton. Työnantajan tarjoamaan sähköpostiosoitteeseen voi kuitenkin tulla sekä
luottamuksellisia viestejä että julkisuuslain 5.2 §:ssä määriteltyjä viranomaisen asiakirjoja,
jotkaovatpääsääntöisestijulkisia.
Viestintäsalaisuus koskee myös sähköpostiviestejä. Työnantajalla ei ole oikeutta lukea
työntekijän sähköpostia, jos työnantaja ja työntekijä eivät ole yhteisesti asiasta sopineet.
Työntekijävoiantaasuostumuksensasiihen,ettätyöntekijänpoissaollessatämänvalitsema
ja työnantajan tehtäväänhyväksymä toinenhenkilövoiottaavastaantyöntekijällelähetetyt
viestit sen selvittämiseksi, onko työntekijälle lähetetty sellainen viesti, joka on selvästi
tarkoitettu työnantajalle työtehtävien hoitamiseksi ja josta työnantajan on toimintansa tai
työtehtävienasianmukaisenjärjestämisenvuoksivälttämätöntäsaadatieto.
Jos työnantaja tai hänen tähän tehtävään osoittama henkilö tällaisessa tilanteessa saa
tietoonsamyösmuitakuintyöasioihinliittyviäluottamuksellisiaviestejä,eihänsaailmaista
tai käyttää hyväksi tietoa viestin sisällöstä tai sen olemassaolosta, eikä käsitellä työntekijän
henkilötietoja yksityisyyttä vaarantavasti. Työnantajan oikeudesta lukea työntekijälle
tulleitasähköpostejasovitaanainaerilliselläsopimuksella.
Virkasähköpostia voi olla mahdotonta erottaa henkilökohtaisesta viestinnästä. Jotta
yksityisviestitsäilyisivätyksityisinä,suositellaanviestinnässäkäytettäväksiseuraaviaohjeita:
1. Tee sähköpostiisi oma kansio henkilökohtaisille viesteille ja nimeä se selvästi esim.
’Henkilökohtainen’tai’Omatviestit’
2. Poista yksityiset viestit heti lukemisen jälkeen tai siirrä säilytettävät viestit omaan
selvästinimettyynkansioon
3. Lisäälähetettävänyksityisenviestinotsikkoonteksti”HENKILÖKOHTAINEN”
Toimenpiteettyösuhteenpäättyessä
Sähköpostin käyttöoikeus päättyy työsuhteen päättyessä ja sähköpostitili suljetaan. Ennen
työsuhteen päättymistä työntekijän tulee poistaa kaikki henkilökohtaiset viestinsä ja sopia
esimiehensäkanssavaltakirjantekemisestäjäljellejääneidentyönantajallekuuluvienviestien
hakemisestajaavaamisestatarvittaessa.
Jostyöntekijälopettaatyönteonennentyösuhteenpäättymistä(esim.lomanvuoksi),täytyy
hänen
lisäksi
laittaa
sähköpostitililleen
automaattivastaus
ilmoittaakseen
viestintäkumppaneilleen, ettei sähköpostiosoite ole enää voimassa työsuhteen
päättymispäivämääränjälkeen.
Työnantajalla on tämän jälkeen oikeus päättää tuhotaanko suljetun sähköpostitilin sisältö
kokonaanvaihaetaankosisällöstäjoitaintyöantajantoiminnalletärkeitäviestejätyöntekijän
antaman valtakirjan ja lain yksityisyyden suojasta työelämässä 13.8.2004/759 (759/2004)
luvun6määrittelemienkäytäntöjenmukaan.
Kontiolahdenkunta
Tietoturvakäsikirja
27.1.2015
15(22)
Etätyö
Etätyöskentelystä on aina sovittava työnantajan kanssa erillisellä kirjallisella
etätyösopimuksella. Kun työnantaja ja työtehtäväsi antavat sinulle mahdollisuuden
työskennelläkotona(taimuuallakuinnormaalissatoimipisteessä),huomioiseuraavatasiat:
ü Älä missään tilanteessa luovuta tunnistautumistietojasi kenenkään muun käyttöön,
äläkäjätäniitämuidensaataville.
ü Käytä vain työnantajan tarkoitusta varten osoittamaa laitteistoa. Oman laitteiston
käytöstäonainasovittavaerikseen.
ü Käytä etätyössä ainoastaan sovittuja tietoliikennetapoja ja varmista, että sovitut
salaus-jasuojausmenettelytovatkäytössä.
ü Varmista,ettämuuteivätpääsekäyttämäänpäätelaitteitasi.
ü Huolehdi etteivät muut perheenjäsenet tai vieraasi pääse salassa pidettäviin asioihin
käsiksitaikuule luottamuksellisiakeskustelujapuhelimessa.Varmistu,että sivulliset,
kutenperheenjäsenesi,eivätsaaotetuksiyhteyttätietojärjestelmiin.
ü Käsittele etätyössä ainoastaan sellaista tietoaineistoa, jonka salaisuusaste vastaa
käyttämääsi työskentely-ympäristöä, tarvittaessa käytä tiedostojen salausta. Älä
tallennatyöasemankovalevyllemitäänsalassapidettäväätietoa.
ü Huolehdityöasemasi (tai muunpäätelaitteen)tietoturvasta.Laitteistoaeisaakäyttää
siten, että sen turvallisuus vaarantuu esimerkiksi pelien, ohjelmien lataamisen tai
epäluotettavien Internet – sivujen selaamisen vuoksi. Opettele tietoturvan kannalta
tärkeidenohjelmienpäivittäminenjakäyttö.
ü Älämuutataipoistakäytöstäsuojausohjelmia.
ü Huolehdi, että tiedät miten toimit erilaisissa ongelmatilanteissa. Todennäköisiä
tilanteita ovat tietoliikenneyhteyden ongelmat sekä laitteiden ja tietoaineiston
varastaminentaikatoaminen.
ü Huolehdi,ettätyövälineesijatietosiovatturvassamyöskuljetuksenaikana.
ü Huolehdi työnteossa käyttämiesi puhelinten ja mobiililaitteiden turvallisuudesta. Älä
säilytäniissäylimääräistätietoajakäytätiedonsalausta.
ü Vie toimistotilojen ulkopuolelle vain työn suorittamisen kannalta välttämätöntä
materiaalia(asiakirjat,tallenteet,laitteet)japalautanemahdollisimmanpian.
ü Huolehditietoaineistosivarmuuskopioinnistajavirustarkastuksista.
ü Vältä salassa pidettävien tietojen tulostamista paperille ja tallentamista siirrettäville
muistivälineille.
ü Jostulostatjatallennat,huolehditiedonasianmukaisestakäsittelystäjahävittämisestä.
Tuosalassapidettävämateriaalihävitettäväksiomaantyöyksikkösiarkistovastaavalle.
ü Asiakirjojaeisaakäsitellä,säilyttääeikähävittääniin,ettänevoivatjoutuasivullisten
käsiin.
ü Lukitseaineistojensäilytyspaikkaniinettätiedoteivätoleasiattomienkäytössä.
ü Mikäli etätyöntekijä epäilee luottamuksellisen tai salaiseksi luokitellun tiedon tai
siihenpääsyynoikeuttavientunnistetietojenjoutuneentaipaljastuneenulkopuolisille,
tulee etätyöntekijän ilmoittaa tästä välittömästi lähimmälle esimiehelleen. Tätä
menettelyänoudatetaanmyös,mikälitietoja,laitteitataiohjelmistojaonvarastettutai
niitäonkadonnut.
Kontiolahdenkunta
Tietoturvakäsikirja
27.1.2015
16(22)
Työhakemistot
Jokaisella kunnan työntekijällä on oma työhakemisto, jonka saa käyttöönsä MADympäristössä. Tällä tarkoitetaan verkossa olevaa nimettyä kansiota, johon yhteys aukeaa
automaattisestikirjauduttaessaverkkoonomallakäyttäjätunnuksellajasalasanalla.
Kansioontarkoitettutyössätarvittavientietojentallennukseen.Kansiooneikuitenkaanpidä
tallentaamitäänsuuriatiedostoja(useampiGt),koskakansionkäyttötilaonrajoitettu.
Verkossa olevat kansiot varmuuskopioidaan tietyin väliajoin, millä varmistetaan tiedon
pysyvyys ja käytettävyys. Esimerkiksi työpöydälle tallennetut tiedostot voivat muuttua
käyttökelvottomiksitietokoneenkiintolevynrikkoutuessa.
Älä tallenna työasemasi tai kannettavasi kiintolevyille mitään sellaista tietoa, jonka
joutuminen ulkopuolisten käsiin on vahingollista tai jonka häviäminen aiheuttaa vahinkoa.
Verkkokansioon tallennettu tieto ei joudu ulkopuolisten käsiin, mikäli esim. kannettava
tietokonevarastetaan.
Verkkolevyvarmistaamyösautomaattisestisinnetallennetuntiedonvirustenvaralta.
Toimenpiteettyösuhteenpäättyessä
Käyttöoikeuden päättyminen
Käyttöoikeustietojärjestelmäänpäättyykun,
ü henkilöeienääkuuluorganisaatioon,
ü määräaikaiseksimyönnettykäyttöoikeusvanheneetai
ü henkilön rooli muuttuu siten, ettei tietojärjestelmän käyttöoikeudelle enää ole
perustetta.
Käyttäjätunnussuljetaan,kun
ü käyttöoikeus,johonliittyenseonannettu,loppuu
ü silleeienääoletarvetta
ü onperusteltuepäilysenväärinkäytöstätaitietoturvallisuudenvaarantumisesta
Tietojenkäsittelykäyttöoikeudenpäätyessä:
ü Työntekijän tulee siirtää, tarvittavissa määrin työtehtävien jatkamiksi, työhön
liittyneetviestitjatiedostotesimiehenkanssasovitullehenkilölle.
ü Henkilön tulee poistaa henkilökohtaiset sähköpostinsa ja tiedostonsa ennen
tietojärjestelmänkäyttöoikeudenloppumista.
ü Henkilön tulee poistaa organisaation kotikäyttöön tarjoamat ohjelmistot
palvelussuhteenpäättyessä,elleiohjelmistonlisenssiehdoissatoisinmainita.
ü Kolmannen osapuolen (esim. toimittajan edustajan) tulee siirtää tai tuhotahankkeen
toteuttamiseksi annettuun käyttäjätunnukseen liittyvät tiedot hankkeesta solmitun
sopimuksenmukaisesti.
ü Henkilöntiedostotjapostilaatikkopoistetaankolmenkuukaudenkuluttuatunnuksen
käytön/käyttöoikeudenloppumisesta.
Kontiolahdenkunta
Tietoturvakäsikirja
27.1.2015
17(22)
Siirrettävättietovälineet
Yleisenä periaatteena on, ettei työtiedostoja ja -asiakirjoja viedä työpaikan ulkopuolelle.
Kuitenkinontilanteita,jolloinmm.sähköisessämuodossaoleviatyötiedostojatarvitaanesim.
koulutus-, esittely- tai kokoustilanteissa työpaikan ulkopuolella. Tällöin noudatetaan
seuraaviaperiaatteita:
ü CD/DVD –levyjä tai USB-muistitikkuja käytettäessä varmistutaan, ettei tietoväline tai
sensisältämätietojouduulkopuolistentahojenhaltuun.
ü Lisäksi USB-muistia käytettäessä tikulla oleva tieto salataan käyttämällä joko tikun
omaasalaustataierillistäsalausohjelmaa.
ü JosUSB-tikunmukanaeitulesalausominaisuutta,saaerillisensalausohjelmanjasiihen
liittyvänkäyttökoulutuksenpyydettäessäPTTKOy:nServiceDeskistä.
ü Jokainenkunnantyöntekijävastaakäyttämiensämedioidentietoturvasta.
ü Jos löydät kunnan tiloista (tai mistä vain) USB-muistitikun tai CD/DVD-levyn, jonka
käyttäjää tai alkuperää et tiedä, älä liitä sitä kunnan työasemaan (haittaohjelmien
riski).Alkuperältääntuntematontietovälinekannattaaviedätuhottaviensäiliöön.
CD/DVD-levyjen ja levykkeiden hävitys
Kontiolahden kunnalla on paperimuotoisen aineiston turvallista hävittämistä koskevan
sopimuksen lisäksi myös CD/DVD:itä ja levykkeitä koskeva sopimus. Hävitettäväksi
tarkoitetutCD:t,DVD:tjalevykkeettoimitetaanasianhallintasihteerille.
USB-muistitikkujen hävitys
SalatutUSB-tikutvoidaanhävittääpoistamallaniistäensintiedotformatoimalla(alustamalla)
tikkunormaalistiPTTKOy:ntoimesta.
Jos käytössä on salaamattomia USB-tikkuja, jotka halutaan poistaa käytöstä, ne ensin
formatoidaan ja toimitetaan sen jälkeen asianhallintasihteerille. Samoin toimitaan
rikkoutuneidenUSB-tikkujenkanssa.
Kontiolahdenkunta
Tietoturvakäsikirja
27.1.2015
18(22)
Työpuhelin
Puhelinkäyttäytyminen
ü Älä puhu luottamuksellisista/salassa pidettävistä asioista asiaankuulumattomien
kuullen,esim.kerrosalasanojalinja-autossamatkallatöihin.
ü Puheluasi voidaan aina kuunnella, oli kyseessä sitten lankapuhelin tai matkapuhelin.
Luottamuksellisiaasioitaeikannatapuhuapuhelimessa.
ü Puhelintavoidaankuunnellanykytekniikallajopailmansim-korttia.
ü Tekstiviestin suojaus on heikko, siinä ei kannata lähettää luottamuksellista tietoa.
Tekstiviestiä lähettäessäsi varmistu vastaanottajan numerosta, ettei tieto mene
väärälleihmiselle.
ü Puhelimetontarkoitettutyötehtävienhoitamiseen.
ü Ostostentekomatkapuhelimellaonkielletty.
ü Numerotiedusteluaeisaakäyttääpuhelujenyhdistämiseen.
ü Puhelimen katoamis- tai varkaustapauksessa välittömästi soitto Elisan
asiakaspalveluun liittymän tilapäistä sulkua varten. Tämän jälkeen mahdollinen
rikosilmoitus. Rikosilmoitukseen ja puhelimen verkosta sulkemista varten tarvitaan
puhelimen IMEI-koodi. Koodi löytyy puhelimen akun alta, myyntipakkauksesta tai
näppäilemälläpuhelimeen*#06#.
Puhelimen tietoturva
Älypuhelimiin voidaan nykyisin tallentaa merkittävät määrät tietoja, mikä merkitsee esim.
puhelimenkadotessatodellistatietoturvauhkaa.
ü Työtiedostojen ja salasanojen tallentaminen salaamatta puhelimeen tai siinä olevaan
erilliseenmuistikorttiineiolesallittu.
ü Suojaa puhelin suojakoodilla. Jos mahdollista, käytä automaattista lukitusta, kun olet
käyttämättäpuhelintatietynaikaa.
ü Suojaapuhelimessaolevamuistikorttisalasanalla.
ü Puhelimesi on kytketty etähallintajärjestelmään, jolla voidaan lukita tai tyhjentää
puhelintarvittaessaetänä(eikoskeperuspuhelimia).
ü Jos puhelimesi katoaa tai varastetaan, ota välittömästi yhteyttä puhelinasioista
vastaaviinhenkilöihinpuhelimentietojentyhjentämiseksi.
PTTKOy:npuhelinasioistavastaavienyhteystiedot:
MiikaReijonen
LassiTurunen
HenriSainio
[email protected] [email protected]
[email protected]
0133390107
0133390133
0133390689
Kontiolahdenkunta
Tietoturvakäsikirja
27.1.2015
19(22)
Sosiaalinenhakkerointi
Tietojenuteleminenonyleinentiedustelutapa.Henkilösaattaaesittääpuhelimitsejoukon
merkityksettömiltätuntuviakysymyksiä.Kunnäitäkysymyksiätehdäänriittävänusealle
henkilölleorganisaatiossa,välittyykysyjälleyleiskuvaorganisaationtoiminnasta,jasen
heikoistakohdista.
Joskunnanhenkilöstöönkuuluvaltatyöntekijältäkysytäänhänentyötavoistaantaikunnan
turvallisuusasioista,kyseisentyöntekijänonpyydettäväkyselijäälähettämäänkysymykset
kirjallisenayhteystietojenkanssajailmoitettavatapahtuneestavälittömästilähimmälle
esimiehellejakunnantietoturvastavastaavallehenkilölle,jotkatekevätpäätökset
jatkotoimenpiteistä.
Näintoimitaanetenkin,jos:
-kysyjääeitunnetataihänenhenkilöllisyydestääneivoidaollavarmoja
-työntekijäeivoivakuuttuahänelleesitettyjenkysymystentarkoitusperästä.
Ulkoistettujentietojenkäsittelytoimintojenturvallisuus
Ulkoistamisenedellytyksenäonkunnantietoturvavaatimuksistajohdettujenmenettelyjen
ulottaminenulkoistettujenpalvelujentoimittajaan.Vaatimuksetjatavoitteetonsovittava
ulkoistamisprosessinalussajaneonkirjattavatehtäväänpalvelusopimukseen.
Toimintojenjapalvelujenulkoistaminenedellyttääorganisaationjatoimittajanvälisten
velvoitteidenjakoa,tehtävämäärittelyäjasuunnitelmaa,jottahaluttutietoturvallisuudentaso
voidaansaavuttaajasäilyttääkokoulkoistamisprosessinajan.
Kokonaisvastuutoiminnoistasäilyyorganisaatiolla,vaikkapalveluntoimittajavastaa
organisaatiolletuottamistaanpalveluista.Palvelujenyhteydessäonsiisniidensisällöstä
riippuentarkistettavatietoturvatarpeetjalaadittavatarvittaessasalassapito-tai
turvallisuussopimus.Samakoskeelaite-jajärjestelmähankintoja.
Kontiolahdenkunta
Tietoturvahankintojenyhteydessä
Tietoturvakäsikirja
27.1.2015
20(22)
Hankintojenyhteydessävoiollatarvettasolmiaerillinenturvallisuussopimus.Siinä
määritetäänmm.sopimusosapuolienkeskenjaettavientietojensuojausperiaatteetja
salassapitoajat.Sopimuksillapyritäänestämääntietovuotojaja-varkauksiatoimitusten
yhteydessätainiidenjälkeensekävarmistamaan,ettätoimitusvastaakunnan
tietoturvapolitiikkaa.Toimittajastatehdäänturvallisuusselvitysriippuenhankkeentai
palvelunkriittisyydestä.
Palvelukokonaisuuden,tietoteknisenlaitteentaitietojärjestelmänhankintaanliittyytuotteen
tietoturvavaatimustenmäärittelyjatietoturvaominaisuuksienarviointi.Keskeiset
vaatimuksetmääritelläänjaesitetäänselkeästijotarjouspyyntövaiheessajatietoturvatekijät
sisällytetääntarjouksenvertailu-javalintaperusteisiin.Tietoturvavaatimustentoteutuminen
voiollahankinnanehdotonedellytys.
Hankintojenyhteydessätarkasteltaviatekijöitäovat:
· turvallisuusvaatimuksetpalveluille
· järjestelmähallinta,
ohjelmistojen
tarjoamat
turvallisuusominaisuudet
ja
valvontamenettelyt, eheys, luottamuksellisuus, käytettävyys, todennus ja
kiistämättömyys
· riittävän yhtenäisen, korvaavan laitekannan ja käyttöjärjestelmien yhteensopivuuden
luominen
· palvelu-,huolto-,laite-jaohjelmistotoimittajienosaaminenjavoimavarat
· nopeanhuollonjavaraosapalvelujenvarmistaminen
· varalaitteidensaatavuudenvarmistaminensopimuksissa.
· Merkittävien järjestelmähankintojen yhteydessä varmistetaan laite-, ohjelmisto- ja
tukipalveluyrityksenmahdollisuudettoimituksiinmyöspoikkeusoloissa.
Tietojärjestelmähankkeiden yhteydessä varmistetaan tietoturvan sisällyttäminen
hankkeeseen ja uuteen tietojärjestelmään. Tietoturva liittyy tietojärjestelmän muutoksiin ja
kehittymiseen tietojärjestelmän koko elinkaaren ajan. Myös järjestelmän teknisten ja
hallinnollistenrajapintojenturvallisuusvarmistetaan.
Hankkeen alussa tehtävällä riskien arvioinnilla suunnataan tietoturvatoimenpiteet
kehitystyön kohteena olevan järjestelmän luonteen mukaisesti. Tietojärjestelmän
esitutkimusvaiheessamääritellääntärkeysluokitus,turvallisuustarpeetja-tasosekäasetetaan
tietoturvavaatimukset.
Tietojärjestelmän testaus suunnitellaan sekä hallinnolliselta että tekniseltä kannalta. Testit
voivat kohdistua joko kertaluonteisesti osaan tai koko järjestelmään tai säännöllisesti
tuotantoympäristöön, jolloin voidaan testata vähitellen järjestelmässä tapahtuvia pieniäkin
muutoksia. Hallinnollisia tietoturvatarkastuksia ovat erilaiset vaatimusmäärittely- ja
suunnitelmakatselmoinnit sekä ratkaisujen varmentamiset tietoturva-asiantuntijoita
käyttäen. Teknisiä tarkastuksia ovat katselmoinnit erityisesti ohjelmistojen tai järjestelmien
kriittisiintoimintoihinliittyen.
Kontiolahdenkunta
Tietoturvakäsikirja
27.1.2015
21(22)
Virusepäily
Kunnalla on käytössä Microsoft System Center Endpoint Protection tietoturvaohjelmisto.
Ohjelma asennetaan työasemille siten, että se päivittää uusimmat viruskuvaukset verkosta
automaattisesti.Ohjelmaaeisaaottaapoiskäytöstä.
Onsyytäepäillävirusta,jostyöasemassasi:
1.esiintyyylimääräisiäääniefektejä
2.näytölleilmestyytunnistamattomiaviestejä
3.levytilaloppuuäkkiä
4.ohjelmienkäyttöhidastuuoleellisestitaiestyykokonaan
5.tallennetuttiedostotmuuttuvattaikatoavat
6.asiakirjamuuttuukäytönaikana
Jostorjuntaohjelmahavaitseetyöasemassasiviruksen,toimiseuraavasti:
1.Tarkistamitätietoanäyttööntulee:
ü Jostorjuntaohjelmailmoittaalöytyneestäviruksestajatarjoaamahdollisuudenpoistaa
virus,toiminäytölläolevienohjeidenmukaan.Tarkistatoimenpiteenjälkeentulevasta
raportista, onko virus todellakin poistunut. Jos torjuntaohjelma poisti viruksen, voit
sulkearaportinjajatkaatyötäsi.
ü Jos torjuntaohjelma ilmoittaa löytäneensä viruksen, mutta ei pysty sitä poistamaan,
irrota työ-asemasi verkosta muttaäläsuljetyöasemaa.Työasemairrotetaanverkosta
ottamallaverkko-kaapeliirtijokoverkkokortistakeskusyksikössätaiseinärasiasta.
2.Kirjaaylöshavaintosijaongelmaaedeltäneettoimenpiteet
3.IlmoitaasiastaServiceDeskiinpuh.0133390700/[email protected]
4.Ilmoitakaikille,jotkaovatvoineetsaadaviruksensinulta
Viruksiltasuojautuminen
Käytätyöasemassasivainluotettavistalähteistähankittujaohjelmia.
Vältäsähköpostissaliitetiedostojenkäyttöä,josseonmahdollista.
Käytäliitetiedostoissartfjatxt–tallennusmuotoja.
Äläasennaverkostailmaiseksisaatavianäytönsäästäjiätaiapuohjelmia.
Älä liitä kunnan työasemaan löytämääsi USB-muistia tai muuta tietovälinettä, jonka
käyttäjäätaialkuperääettiedä(virus-jahaittaohjelmienriski).
ü Vältäsurffailuaepämääräisilläwww-sivuilla.
ü
ü
ü
ü
ü
Kontiolahdenkunta
Tietoturvakäsikirja
27.1.2015
22(22)
Tietoturvanseuranta
Kunnan tietoturvavastaavan (talousjohtaja) tehtävänä on tarvittaessa vuosittain koostaa
tiedot toteutuneista tietoturvatoimista ja tietoturvan muutoksista sekä niiden perusteella
esitellä kunnan johdolle kuvaus tietoturvan tilasta. Seurannalla pyritään selvittämään ja
mittaamaan,missämäärintietoturvatoimillasaavutetaanhaluttuvaikutus.
Tietoturvaongelmista (esimerkiksi hyökkäysepäilyt) tulee ilmoittaa välittömästi esimiehelle
ja kunnan tietoturvavastaavalle. Merkittävistä tietoturvarikkomuksista ja niiden epäilyistä
tuleetietoturvavastaavanraportoidaylimmällejohdolle.
Havaittaessa vakava tietoturvaongelma, siitä laitetaan välittömästi tieto kunnan ICTtyöryhmälle, johdolle sekä tietoturvavastaavalle. Näiden kaltaisiin tapahtumiin varaudutaan
varautumissuunnitelmassa,jossaonkuvattumm.käynnistettävätvastatoimenpiteet.