docTietoturva – tietosuoja tietojärjestelmissä
download 
Report Transcription
Tietoturva – tietosuoja tietojärjestelmissä
Tietoturva – tietosuoja tietojärjestelmissä 3.3.2015 Pirkko Nykänen & Antto Seppälä 2.3.2015 1 TIETOSUOJA Henkilötietojen käsittely turvattava ja henkilötiedot suojattava asiattomalta käsittelyltä – tietojen valtuudettoman saannin ja käytön estäminen – tietojen luottamuksellisuuden säilyttäminen – yksityisyys ja oikeusturva TIETOTURVA Laitteistot, ohjelmistot, tietoliikenneyhteydet ja tiedot on suojattava fyysisesti, teknisesti ja toiminnallisesti – asiaintila, jossa uhat eivät aiheuta merkittävää riskiä – keinojen ja toimenpiteiden kokonaisuus, joilla varmistetaan turvallisuus sekä normaaleissa että poikkeustilanteissa Pirkko Nykänen & Antto Seppälä 2.3.2015 2 Tietoturvapolitiikka ja ohjeet • Yleiset periaatteet • eettiset periaatteet ja lait (kulttuurisidonnaisuus) •EU ja kansalliset periaatteet – EU direktiivit, lait ja normatiiviset ohjeet •Ohjeistukset - palvelujen ja teknologian toteutuksesta riippumattomia •Toimenpiteet - hallinnolliset ja tekniset toimenpiteet, käyttöönotto-ohjeet, teknologia- ja organisaatioriippuvuus Pirkko Nykänen & Antto Seppälä 2.3.2015 3 • • • • • • • • • • Valtionhallinnon tieto- ja kyberturvallisuuden johtoryhmä (VAHTI) Kehittää, yhteensovittaa ja ylläpitää valtionhallinnon tietoturvallisuuden tavoitteita, toiminta-, organisointi- ja resurssilinjauksia sekä normeja, ohjeita ja suosituksia Kehittää tietoturvallisuutta osana hallinnon kaikkea toimintaa ja edistää tietoturvallisuuden integrointia osaksi hallinnon prosesseja, tehtäviä, palveluita ja järjestelmiä Valmistelee ja yhteensovittaa valtioneuvoston ja valtiovarainministeriön linjauksia hallinnon tietoturvallisuudesta sekä seuraa ja edistää niiden toimeenpanoa Edistää hallinnon tietoturvakulttuuria ja henkilöstön tietoturvatietoisuutta Valmistelee ja käsittelee hallinnon organisaatioiden tietoturvallisuuden tavoitetasot ja edistää niiden toimeenpanoa ja auditointia Seuraa ja arvioi hallinnon tietoturvallisuutta, varautumista, kansallista ja kansainvälistä kehitystä sekä määrittelee tarvittavat linjaukset, normit ja toimenpiteet Käsittelee ja yhteensovittaa hallinnon kansainvälisen tietoturvayhteistyön linjauksia ja vaikuttamista kansainvälisessä tietoturvatyössä Ohjaa ja käsittelee valtion IT-strategian toimeenpanon tietoturvallisuutta ja varautumista sekä organisoi näiden alueiden kehittämisohjelman ohjauksen. http://www.vm.fi/vm/fi/16_ict_toiminta/009_Tietoturvallisuus/index.jsp http://www.vm.fi/vm/fi/16_ict_toiminta/009_Tietoturvallisuus/02_tietoturvaohjeet_ja_ma araykset/index.jsp Pirkko Nykänen & Antto Seppälä 2.3.2015 4 Tasapaino tietoturvan ja tietosuojan sekä käytännön tarpeiden välillä Asiakkaan Tieto – – – – saatavuus käytettävyys muuttumattomuus päätöksenteon tuki – – – – yksityisyys itsemääräämisoikeus informointi osallistuminen Kohde ja sen ominaisuudet määrittelevät tietoturvan tason Pirkko Nykänen & Antto Seppälä 2.3.2015 5 Tietoturva • Tietoturvallisuudella tarkoitetaan tiedoista, tietojärjestelmistä, tietoliikenteestä sekä henkilöistä aiheutuvien riskien hallintaa • Tietoturvallisuus on toiminnallinen kokonaisuus, jonka perustana ovat organisaation turvallisuuskulttuuri ja ihmisten toiminta • Tietoturvallisuus on laaja käsite, joka ei koske pelkästään teknisiä ratkaisuja, kuten laitteistoa ja sovelluksia, vaan siihen oleellisesti kuuluvat myös ihmisten toiminta ja turvatoiminnan yleiset järjestelyt • Organisaation tieto ja tietojärjestelmät ovat sen toiminnan ja toimintakyvyn kannalta olennainen osa ja tietoturvallisuuden lähtökohtana on turvata tiedon käytettävyys, eheys ja luottamuksellisuus Pirkko Nykänen & Antto Seppälä 2.3.2015 6 Tietoturva • Tietoturvallisuudella varmistetaan • • • Organisaation toimintaympäristö Arkaluontoiset tiedot ja liiketoimintatiedot Turvataan asiakkaiden / sidosryhmien / kansalaisten yksityisyys ja tietojen salassapito • Tietoturvallisuus edellyttää johdon sitoutumista ja riittäviä resursseja • Tietoturva käsittää tietoturvaorganisaation, tietojen käsittelijöiden toimintatavat, tietojen turvaamisen menetelmät, kontrollit, välineet ja toimenpiteet, sekä eri välineistöjen, ohjelmistojen ja tilojen tietoturvaominaisuudet. Pirkko Nykänen & Antto Seppälä 2.3.2015 7 Milloin tieto on turvassa? • Onko tiedot turvassa jos henkilöstöllä on vahvat salasanat? • Onko tiedot turvassa jos järjestelmien päivitykset ovat ajan tasalla? • Onko tiedot turvassa jos meillä on palomuuri käytössä? • Paraneeko tietoturva ikinä? Pirkko Nykänen & Antto Seppälä 2.3.2015 8 Tietoturvan tavoitteet • Tietoturvan päätavoite on CIA • Confidentiality of information • Tiedon luottamuksellisuus • Integrity of information • Tiedon eheys • Availability of resources • Tietoresurssien käytettävyys / saatavuus Pirkko Nykänen & Antto Seppälä 2.3.2015 9 Luottamuksellisuus • Liittyy tietosuojan ja yksityisyyden käsitteisiin • Luottamuksellisuudella tarkoitetaan kykyä suojata tieto valtuudettomalta käytöltä, eli tiedot ovat vain niihin oikeutettujen käytettävissä • Uhkia tiedon käsittelyprosessin eri vaiheissa • Tiedon luottamuksellisuudelle on uhkana esim. kannettavan tietokoneen katoaminen, huolimaton tiedon käyttö, väärä sähköpostiosoite, erilaiset järjestelmähyökkäykset, henkilöstö • Luottamuksellisuuden menettämisellä voi olla vakavat seuraukset kaikille osapuolille Pirkko Nykänen & Antto Seppälä 2.3.2015 10 Tiedon eheys • • • • • Tiedon täydellisyys ja muuttumattomuus syötön, käsittelyn, arkistoinnin ja tiedonsiirron aikana Tiedot eivät saa muuttua eivätkä hävitä virheiden / luvattomien toimenpiteiden seurauksena koko tiedon elinkaaren aikana Eheyden takaamiseksi tietojen valtuudeton muuttaminen on pystyttävä estämään, sekä muutoksista pitää pystyä toipumaan, undo Eri sovellukset voivat käsitellä samaa tietoa, joten eheyden takaaminen on usein ongelmallista ja se vaatii laajaa ymmärrystä organisaation tietovarannoista ja tietovirroista Kriittinen ominaisuus mikäli tietoa pyritään käyttämään päätöksenteon tukena Pirkko Nykänen & Antto Seppälä 2.3.2015 11 Tiedon eheys • Rikkomukset tiedon eheydelle ovat erityisen hankalia havaita • Kolme tiedon ominaisuutta: alkuperäisyys, kiistämättömyys ja koskemattomuus • Tiedon alkuperä pitää pystyä varmistamaan • Kiistämättömyys, eli tiedon käsittelijä ei voi kiistää tiedonkäsittelytapahtumaa • Koskemattomuudella tarkoitetaan ettei tietoa ole muokattu tai muutettu Pirkko Nykänen & Antto Seppälä 2.3.2015 12 Tiedon käytettävyys / saatavuus • Tieto pitää olla helposti ja viiveettä niiden käytettävissä joilla on siihen oikeus • Erilaiset katkokset haittaavat käytettävyyttä • Sähkökatkot, järjestelmähäiriöt, ylläpitotoimet, verkkokatkokset, laiteviat, palvelunestohyökkäykset (DoS, denial of service) • Tietojen käytettävyys tulevaisuudessakin, esim. arkistointi Pirkko Nykänen & Antto Seppälä 2.3.2015 13 Tietoturvakäsitteitä • • • • • • • • Tietoturvaloukkaus: oikeudeton puuttuminen tietoturvaan Tietoturvauhka: potentiaalinen sisäinen tai ulkoinen vahingoittava tapahtuma, yleensä ympäristöstä riippuvainen (vrt. Windows ja Linux) Haavoittuvuus: tarkoitetaan yleensä heikkouksia turvallisuudessa joita voidaan hyväksikäyttää Tietoturvariski: uhan todennäköisyys ja mahdollisen vahingon merkittävyys Tietoturva-aukko: ohjelmistoon tai sen suojaukseen liittyvä haavoittuvuus Tietoturvahyökkäys: toimenpiteitä, joiden tarkoituksena on vahingoittaa tai käyttää oikeudettomasti tietojärjestelmää tai –verkkoa Tietomurto: suojattuun tietojärjestelmään tai –verkkoon tapahtuva tunkeutuminen Tietojen kalastelu (phishing): roskapostiin perustuvia huijausyrityksiä Pirkko Nykänen & Antto Seppälä 2.3.2015 14 Haittaohjelma • Usein puhutaan ns. malwaresta eli malicious software • Erilaisia ohjelmia tai ohjelmien osia joiden tarkoituksena aiheuttaa ei-toivottuja tapahtumia • Virus, mato, vakoiluohjelma, nuuskija, troijalainen, yms. • Spyware, adware, rootkit • Saastuneet nettisivut, muistitikut, sähköposti, haavoittuvuudet… • Uhkia koko CIA-kolmikolle • Tietokoneen kaappaus Pirkko Nykänen & Antto Seppälä 2.3.2015 15 Uhat, hyökkäykset • • Yleinen jako neljään kategoriaan Kaappaus (Interception) • • Häirintä, keskeytys (Interruption) • • Tiedon tuhoaminen tai tiedon, palvelun tai järjestelmän muu käytön esto Muuttaminen (Modification) • • Hyökkäys luotettavuutta kohtaan, valtuudeton pääsy tietoon tai järjestelmään Tiedon, palvelun tai järjestelmän valtuudeton muuttaminen Väärentäminen (Fabrication) • Tiedon valtuudeton syöttäminen järjestelmään Pirkko Nykänen & Antto Seppälä 2.3.2015 16 Kontrollit • Riskien minimoimiseksi on olemassa keinoja, kontrolleja miten varautua erilaisiin uhkiin Fyysiset kontrollit • Keskittyvät suojaamaan fyysistä ympäristöä • • • • ´ Missä järjestelmät, tieto ja toiminta Kulunvalvonta, lukot, portit, kamerat, vartijat… Lämmitys, ilmastointi, palohälyttimet, varavirtajärjestelmät… Kriittinen tietoturvan takaamiseksi Pirkko Nykänen & Antto Seppälä 2.3.2015 17 Kontrollit Loogiset kontrollit • Ns. tekniset kontrollit • Keskittyvät suojaamaan järjestelmiä, verkkoja ja tiedon käsittelyä ja ympäristöjä • Salasanat, salaus, pääsynhallinta, palomuurit, tunkeilijoiden havaitsemisjärjestelmät Hallinnolliset kontrollit: • Perustuvat sääntöihin, asetuksiin, lakeihin, käytäntöihin, ohjeistuksiin… • Säännöt ja ohjeistukset jotka määrittelevät miten organisaatiossa toimitaan ja käyttäydytään liittyen tietoturvaan Pirkko Nykänen & Antto Seppälä 2.3.2015 18 Fyysinen turvallisuus • Fyysinen turvallisuus • • • • • • • Henkilöstö Tiedot Laitteistot Asiattomat henkilöt: kulunvalvonta, lukot, portit, kamerat, vartijat… Luonnonkatastrofit ja ympäristö: lämmitys, ilmastointi, palohälyttimet, varavirtajärjestelmät… Tietojen ja laitteistojen fyysinen suojaus: fyysinen media ja koko elinkaari Tilojen luokittelu: Perustasosta täyssuojaukseen, esim. Vahti 1/2002 Pirkko Nykänen & Antto Seppälä 2.3.2015 19 Tietoliikenne • Palomuuri hallinnoi verkkoliikennettä Sisäverkko <-> julkinen verkko Sijoitetaan suojaamaan eri luottamustason verkkoja • • • Pääsyoikeudet voidaan määritellä monella tavalla: Protokolla Portit Pakettien perusteella (esim. alkuperä/kohde ip) • • • • • • • Proxy-palvelin tietyn liikenteen filtteröintiin ja käytön seurantaan Tunkeilijoiden havaitsemisjärjestelmät Langattoman verkon salaaminen (WEP, WPA, WPA2) Salattu tiedonsiirtoprotokolla Palvelinvarmenne + salaus (esim. SSL-/TLS) • • • Järjestelmäallekirjoitusvarmenne (esim. siirrettävä potilasasiakirja) Määriteltävä käytettävät tiedonsiirto- ja suojausmenetelmät, teknologiat ja tekniset standardit, sanomavälitys ja jäljitettävyys, omistus ja valtuudet sekä vastuut Pirkko Nykänen & Antto Seppälä 2.3.2015 20 Yritysverkon sisäiset työasemat Sovellus palvelin WWWpalvelin Tietoturvapalvelin Bull CP8 DES salausmoduli Palomuuri Internet Reititin X.500 Hakemisto Yrityksen verkkoon ulkopuolelta tulevat työasemayhteydet 2.3.2015 Pirkko Nykänen & Antto Seppälä 21 Tietoliikenneturvallisuus • • • Nykyiset tietojenkäsittely-ympäristöt ovat hyvin riippuvaisia tietoliikenneyhteyksistä Tietoliikenneturvallisuuden tavoitteena on turvata organisaation tietoliikenne ja varmistaa välitettävien tietojen luottamuksellisuus, eheys ja käytettävyys Kaikki tietoliikenteeseen liittyvät asiat, kuten verkkojen rakentaminen ja suunnittelu • • • • • Protokollat Salausmenetelmät Verkkotypologiat Tietoturvatuotteet (esim. reitittimet, palomuurit) Tarkoituksena on varmistaa: – sanomien alkuperäisyys, koskemattomuus ja luottamuksellisuus – lähettäjä ja vastaanottaja sekä todentaa heidät – tietoliikennelaitteiden fyysinen turvallisuus Pirkko Nykänen & Antto Seppälä 2.3.2015 22 Tietoliikenneturvallisuus • Tietoliikennelaitteiston: • • • • • • • • • • Kokoonpano Luettelointi Ylläpito Muutosten valvonta Ongelmatilanteiden kirjaus Käytön valvonta Verkon hallinta Viestinnän salaus ja varmistaminen Tietoturvapoikkeamien tarkkailu, kirjaus ja selvittäminen Tietoliikenneohjelmien testaus ja hyväksyttäminen Lähde: Andreasson & Koivisto, 2013 Pirkko Nykänen & Antto Seppälä 2.3.2015 23 Laitteistoturvallisuus • Turvata organisaation tietojenkäsittely- ja tietoliikennelaitteiden käytettävyys, toimivuus, ylläpito ja saatavuus • Tarkoituksena on suojata laitteistot siten, että mahdollisuudet niiden varastamiseen, väärinkäyttöön ja vahingoittumiseen on estetty • Asennukset, takuut ja palvelu- ja ylläpitosopimukset • Tukipalvelut ja hävitys • Eri laitteiden turvallisuuden suunnittelu, esim. palvelimet, tietokoneet, puhelimet Pirkko Nykänen & Antto Seppälä 2.3.2015 24 Ohjelmistoturvallisuus • • Ohjelmistoturvallisuuden tavoitteena on turvata tietojenkäsittelypalveluiden eheys, luottamuksellisuus sekä sovelluksissa käsiteltävien tietojen saatavuus Käyttöjärjestelmien ja ohjelmistojen turvallisuus ja ajantasaisuus • • • • • • • • Käyttöjärjestelmien ja ohjelmistojen haavoittuvuudet on yksi suurimmista heikkouksista hyökkäyksiä vastaan Jokainen ohjelmisto on riski Haittaohjelmat Käyttöjärjestelmät, tietoliikenneohjelmistot, tietoturvaohjelmistot ja ohjelmistot Ohjelmistojen hankinnat, kehitystyöt, käyttöönotot, ylläpitotoimet ja alasajot tulee olla huolella suunniteltuja tietoturvallisia prosesseja Dokumentointi ja järjestelmäluokittelu Pääsynhallinta, käyttäjänhallinta sekä käyttäjien todentaminen Voidaan määritellä luotettavasti, kuka saa ja pääsee käyttämään tietoja sekä sovelluksia Pirkko Nykänen & Antto Seppälä 2.3.2015 25 Tietoaineistoturvallisuus • • • • • • Tarkoituksena turvata asiakirjojen, tiedostojen ja muiden tietoaineistojen käytettävyys, eheys ja luottamuksellisuus Organisaatioiden kaikki tieto, joka on toiminnan kannalta merkittävää, on suojattava sekä dokumentoitava Organisaation tiedot ja tietojärjestelmät on suojattava siten, että työntekijöillä on pääsy vain niihin tietoihin, jotka ovat välttämättömiä heidän työtehtäviensä kannalta Tietojen ja tietojärjestelmien luokittelu, käsittelysäännöt ja omistajuus Käyttöoikeusprosessit, salassapitosopimukset Eri tietoaineistojen koko elinkaaren kestävät suunnitellut prosessit Pirkko Nykänen & Antto Seppälä 2.3.2015 26 Käyttöturvallisuus • Tavoitteena on parantaa tietotekniikan käytön, käyttöympäristön, tietojenkäsittelyn ja ylläpidon turvallisuutta • Jatkuvuus- ja toipumissuunnitelmat • Tietojärjestelmien operointi- ja hallintatoimet • Valmiussuunnitelmat • Palvelutasosopimukset • Käytön valvonta • Etäkäyttöpolitiikka Pirkko Nykänen & Antto Seppälä 2.3.2015 27 Loogiset kontrollit • Ns. tekniset kontrollit • Keskittyvät suojaamaan järjestelmiä, verkkoja ja tiedon käsittelyä ja ympäristöjä • Salasanat, salaus, palomuurit, tunkeilijoiden havaitsemisjärjestelmät • Tunnistaminen • Väite mitä tai kuka jokin on • Todentamien • Väitteen totuuden määrittely • Käyttövaltuudet ja pääsynhallinta • Erilaiset tekniset ratkaisut Pirkko Nykänen & Antto Seppälä 2.3.2015 28 Tunnistaminen (identification) • • • • Yksinkertaisesti vain väite henkilöllisyydestä Järjestelmä verkossa, sähköposti, käyttäjä Tunnistaminen ei takaa vielä mitään Luotettava tunnistaminen? • Henkilöllisyyden vahvistus: passi, henkilöllisyystodistus • Tunnistautumisen väärentäminen on mahdollista • Henkilöllisyyden asettaminen käyttäjälle, järjestelmälle, prosessille.., Pirkko Nykänen & Antto Seppälä 2.3.2015 29 Todennus (authentication) • Todennus varmistaa henkilöllisyyden • • • • Todennus ei ota kantaa käyttöoikeuksiin tai valtuuksiin Todennukseen on monia eri keinoja, rakentuvat yleensä: • • • • • • • Ihminen, käyttäjä Palvelin, järjestelmä Jotain mitä henkilö tietää (esim. salasana, pin-koodi) Jotain mitä olet (esim. biometriikka: kasvot, silmän iriis, sormenjälki…) Jotain mitä sinulla on (esim. fyysinen hallinta, toimikortti, matkapuhelin) Jotain mitä sinä teet (esim. käsiala, salasanan näppäilyrytmi) Kevyt ja vahva tunnistaminen (näkee myös kevyt ja vahva todentaminen) Mu a tunnistaminen todennus Ks. Laki vahvasta sähköisestä tunnistamisesta kahteen todennuskeinoon Pirkko Nykänen & Antto Seppälä 2.3.2015 30 Käyttövaltuudet • • Tunnistaminen + todentaminen -> käyttövaltuudet Käyttövaltuuksien avulla määritellään mitä käyttäjä (tai järjestelmä) saa tehdä • • • Tietojen / järjestelmän omistaja päättää ja valvoo, että ketkä ja millä oikeuksilla pääsevät tietoihin tai järjestelmiin • • • Käyttövaltuuksia yleensä hallitaan käytönvalvonnalla (tai pääsynhallinta) (access control) Työkalut seurata ja valvoa tietojärjestelmien käyttöä Luettelo käyttäjistä ja käyttöoikeuksista Käyttövaltuuksien hallinnointiprosessi Monia erilaisia tapoja määritellä käyttövaltuuksia, nykyään usein rooliperustainen Pirkko Nykänen & Antto Seppälä 2.3.2015 31 Käyttövaltuuksien hallinnointi Määriteltävä ja seurattava ketkä pääsevät ja millä oikeuksilla Käyttäjien, ylläpitäjien ja esimiehien on ymmärrettävä vastuut, miten tulee toimia (esim. salasanat) • Tietojen käyttö vain tehtävien laajuuden mukaan • Tärkeä keino lainmukaisuuden toteuttamiseksi • Määriteltävä yksikkö joka on vastuussa käyttövaltuuksien hallinnoinnista -> Jokainen toimintayksikkö ja omistaja on vastuussa • Tietojen ajantasaisuudesta, oikeellisuudesta, käytettävyydestä, eheydestä ja tietoihin liittyvien käyttövaltuuksien määrittelystä • Rekisterinpitäjä vastaa rekisteritoimintojen lainmukaisuudesta ja henkilötietojen käsittelyn lainmukaisuudesta • • Pirkko Nykänen & Antto Seppälä 2.3.2015 32 Käyttövaltuuksien hallinnointi • • • • • Erilaiset säännöt, sopimukset ja ohjeistus • Määriteltävä miten organisaatiossa käyttöoikeuksia hallinnoidaan • Käyttöoikeuksien koko elinkaari ja eri prosessit Työntekijöille käyttö- ja salassapitosäännöt • Selkeä ohjeistus ja koulutus Käytön valvonta ja lokitiedot Seuraamuksien määrittely tietoturva- ja tietosuojaloukkauksista • Henkilökunnan tiedossa Käyttöoikeusprosessi • Hyväksytty ja valtuutettu • Dokumentoitu prosessi, käyttäjien valtuudet ja niiden omistajat Pirkko Nykänen & Antto Seppälä 2.3.2015 33 Rooliperustaiset käyttövaltuudet • Pyritään määrittelemään käyttäjäryhmiä, eli rooleja ja niille asetetaan oikeuksia työtehtävien perusteella • Perinteisesti järjestelmissä on rooleja, joille on määritelty erilaisia valtuuksia, eli ns. käyttäjärooleja ja sijoitettu yksittäiset käyttäjät niihin • Kankea ja työläs, jos tulee muutoksia • Erotetaan käyttäjien työroolit ja käyttäjäroolit • • Kytketään työroolit käyttäjärooleihin Henkilöllä voi olla useita työrooleja • Mahdollisesti vielä rakenteellinen rooli ja toiminnallinen rooli Pirkko Nykänen & Antto Seppälä 2.3.2015 34 Käyttäjänhallinta, käyttöoikeus ja käytön valvonta Tunnistaminen Todentaminen Kuka olet Mitä olet Roolit Tehtävään liittyvät oikeudet/valtuudet Valtuuksien hallinta Käytön valvonta Access control Suostumus Käyttötarkoitus IS Tietorakenteet Sensitiivisyys P. Ruotsalainen, Kansallinen terveysprojekti: Usean toimintayksikön yhteinen käyttäjänhallinta Suojaukset -periaatteet ja suositukset, 31.01.2006 Pirkko Nykänen & Antto Seppälä 2.3.2015 35 PKI (public key infrastructure) • Yhdistelmä teknologisia ratkaisuja, menettelyjä ja hallinnollisia toimia, jolla mahdollistetaan arkaluonteisen tiedon vaihto turvattomassa ympäristössä • • • • • Mahdollistaa todentamisen, tiedon salauksen ja digitaalisen allekirjoituksen Yksityinen avain ja julkinen avain (liittyvät toisiinsa tietyllä kaavalla), eli avainpari, yksityisellä avaimella allekirjoitettu tieto voidaan todentaa vain ja ainoastaan julkisella avaimella ja päinvastoin Yksityinen avain, käyttäjällä / palvelimella Julkinen avain on usein luotetun kolmannen osapuolen hallussa, tallennettu varmenteeseen Varmentaja (Certification Authority) antaa varmenteen ja vastaa varmenteesta omalla digitaalisella allekirjoituksellaan Pirkko Nykänen & Antto Seppälä 2.3.2015 36 Varmenne • Varmenteella tarkoitetaan elektronista dokumenttia, jonka varmentajaorganisaatio myöntää, ja jonka avulla voidaan todistaa varmenteen sisällön kuuluminen asianomaiselle käyttäjälle • Julkisen avaimen lisäksi varmenne sisältää myös muita tietoja, kuten henkilön tai organisaation nimen, varmenteen myöntämispäivän, viimeisen voimassaolopäivän, yksilöllisen sarjanumeron, etc. • Varmenne sitoo julkisen avaimen identiteettiin • • • Henkilö-, rooli-, laatu-, järjestelmä-, palvelinvarmenne Varmenteet tallennetaan erityiseen hakemistoon Terveydenhuollon varmennepalvelusta vastaa Väestörekisterikeskus • Valvira vastaa ammattihenkilöiden ammattioikeuksien ja ammattiaseman tietopalveluista Pirkko Nykänen & Antto Seppälä 2.3.2015 37 Varmennusorganisaation peruselementit P alo m uu ri K orttiva lm ista ja V arm entaja R ek isteröijä 2.3.2015 Pirkko Nykänen & Antto Seppälä H a ke m is to Asiakas 38 39 Digitaalinen allekirjoitus • varmentaja allekirjoittaa digitaalisen dokumentin/ varmenteen omalla yksityisellä avaimellaan • allekirjoittaja laskee allekirjoitettavasta viestistä yksisuuntaisen funktion avulla tiivisteen, jonka hän salaa yksityisellä avaimellaan • vastaanottaja laskee saamastaan viestistä myös tiivisteen ja vertaa sitä allekirjoittajan julkisella avaimella avaamaansa salattuun tiivisteeseen • jos samat = viesti on tullut ehyenä ja sen on allekirjoittanut juuri se henkilö, jonka varmenteen julkista avainta salatun tiivisteen avaamiseen on käytetty OK Sanoman lähetys 10100011... 10100011... Selväkielinen sanoma 160-bittinen tiiviste Tiivisteen salaus lähettäjän salaisella avaimella Tiivisteen avaus lähettäjän julkisella avaimella Pirkko Nykänen Tiivisteen vertaaminen alkuperäiseen sanomaan 02/03/2015 Varmenne • • • Yleensä 2048 tai 4096 bittisiä RSA-avaimia Henkilövarmenteet (esim. terveydenhuollon varmennekortti) Palvelinvarmenne • • • Järjestelmäallekirjoitusvarmenne • • palvelimen tunnistaminen (server authentication) asiakkaan tunnistaminen (client authentication) Esim. joidenkin asiakirjojen sähköinen allekirjoitus Laki väestötietojärjestelmästä ja Väestörekisterikeskuksen varmennepalveluista (661/2009) sekä laki vahvasta sähköisestä tunnistamisesta ja sähköisistä allekirjoituksista (617/2009) muodostavat varmennepolitiikan lainsäädännöllisen perustan Pirkko Nykänen & Antto Seppälä 2.3.2015 40 Tunnistaminen ja varmenteet • VETUMA-palvelu, kansalaisen tunnistaminen ja verkkomaksaminen tunnistus.suomi.fi • Tupas-palvelu on Finanssialan Keskusliiton tapa tunnistaa käyttäjä verkkopalveluissa • Mobiilivarmenne operaattorien kautta www.mobiilivarmenne.fi • Sähköpostivarmenne, http://fineid.fi • tarkoitettu organisaatioiden käytössä olevien, usean henkilön toimesta seurattavien, yksittäisten sähköpostiosoitteiden käyttöä varten • Väestörekisterikeskus älykortti, terveydenhuollon ammattilaisvarmenteet, henkilökohtainen toimikortti Pirkko Nykänen & Antto Seppälä 2.3.2015 41 Sovelluskehityksen tietoturvahaasteet • Tietojärjestelmän kehittämisprosessissa tietoturvallisuuden huomioiminen koetaan hidastavana • Kehittäjät ei aina ole tietoturvatietoisia • Tietoturvallisuuden huomioonottamista ei opeteta • Tietojärjestelmä voi koostua monesta komponentista, kokonaisuuden tietoturvallisuustaso muodostuu osien tietoturvallisuudesta Pirkko Nykänen & Antto Seppälä 2.3.2015 42 • Kehittämisessä kiire – laatu ja tietoturvallisuus unohdetaan • Tietojärjestelmäympäristöt monimutkaistuneet – ulkoistaminen, pilvipalvelut, verkottuminen, uudet kielet ja ohjelmointitekniikat • Ohjelmoinnissa ei varauduta mahdollisiin hyökkäyksiin (defensiivinen ohjelmointi) – virustorjunta, palomuurit, verkkohyökkäysten havainnointiohjelmat • Riskianalyysit puutteellisia tai niitä ei tehdä lainkaan Pirkko Nykänen & Antto Seppälä 2.3.2015 43 • • • Yhtä tärkeää kuin järjestelmän tietoturva on sovelluskehitystiimin tietoisuus ja osaaminen sovellustietoturvan alueilla Huomioitavia asioita ovat mm. tietoturvan huomioon ottaminen kehitysprosessissa (oli se Scrum, vesiputous tai jokin muu), tietoturvan dokumentoinnin ja katselmoinnin käytännöt, uusien uhkien tunnistaminen, turvalliset suunnittelumallit sekä sovelluksen ja arkkitehtuurikehyksen välinen vastuunjako tietoturvasuojauksissa Tätä tukee usein yrityksen sovelluskehitys-tietoturvaryhmä tai -asiantuntija, joka myös ohjeistaa, linjaa ja neuvoo projekteja tietoturva-asioissa Pirkko Nykänen & Antto Seppälä 2.3.2015 44 Tietojärjestelmät • • • Tietojärjestelmät ja ohjelmistot tulisi luokitella tietoturvatasoihin • Pääsyhallinta ja turva-asetuksien tarkistus Vastuut ja oikeudet • Kuka omistaa järjestelmän, määrittelee vastuut, oikeudet yms. Määritellä järjestelmien tärkeys, tarkoitus, tiedot ja käyttäjät • • • Kriittiset tietojärjestelmät Tietojärjestelmien asianmukainen käyttö tulisi määritellä ja ohjeistaa henkilökunnalle Seuraamukset • Eri tietoturvaloukkausten vakavuuden määrittely • Millaiset seuraamukset rikkomuksesta Pirkko Nykänen & Antto Seppälä 2.3.2015 45 Perinteinen sovelluskehitysmalli – Vesiputousmalli – tietoturvallisuus otetaan huomioon jokaisessa elinkaaren vaiheessa – Suunnitellaan – toteutetaan – testataan – Jokaiselle vaiheelle määritellään tietoturvallisuustehtävät – Vaiheesta toiseen siirryttäessä määritellään exit criteria – joiden tulee täyttyä – Projektin ohjausryhmä seuraa tietoturvallisuuden toteutumista Pirkko Nykänen & Antto Seppälä 2.3.2015 46 Ketterät menetelmät • tietoturvallisuus sisältyy jokaisen inkrementin, sprintin toteutukseen – Tällöin taataan lopullisen tuotteen tietoturvallisuus uhka-analyysi – tunnistetaan kaikki riskit ja uhat tietoturvakertomukset – security story – tavoitteet tietoturvan osalta • Väärinkäyttötapaukset – abuse casekäyttötapaukset hyökkääjän näkökulmasta • • Pirkko Nykänen & Antto Seppälä 2.3.2015 47 Pilvipalvelut - tietoturvallisuus • Infrastruktuuri palveluna – IaaS- Infrastructure as a Service • Sovellusalusta palveluna – PaaS- Platform as a Service • Sovellus palveluna – SaaS – Software as a Service • Pilvipalvelulla tarkoitetaan verkon kautta käytettäviä palveluita • Pilvipalvelu on toimintamalli jolla yhdistetään uusia ja vanhoja palveluita • Tuotantoympäristö – pilvipalvelun tuotantomalli jonka mukaan ympäristöä ylläpidetään Pirkko Nykänen & Antto Seppälä 2.3.2015 48 • Mistä tasosta alkaen sovelluksen käyttäjällä on kontrolli sovellukseen – Sovellus omalla palvelimella – täysi kontrolli – Sovellus toimittajan palvelimella – kontrollista osa on toimittajalla • Millaiset riskit eri tilanteisiin liittyvät • Toimittajat tarjoavat asiakkaiden haluamia ominaisuuksia halvalla ja nopeasti • Toimittajat eivät itsekään lupaa että asiakkaiden tiedot ovat riittävästi suojatut Pirkko Nykänen & Antto Seppälä 2.3.2015 49 Pirkko Nykänen & Antto Seppälä 2.3.2015 50 Pilvipalveluiden tietoturvaongelmia • Tiedon häviäminen, tai tietovuoto • Tunnusten kaappaaminen • Pilviteknologiasta aiheutuva haavoittuvuus, esim rajapinnat • Tiedon fyysinen sijainti • Omien tietoturvakäytäntöjen ulottuminen ulkopuoliseen palveluun (esim pääsynhallinta) • Jaettu alusta, tiedon eristäminen tai salaaminen • Pilven rikollinen, häriötä aiheuttava käyttö • Uusi konsepti, tuntemattomat uhat Pirkko Nykänen & Antto Seppälä 2.3.2015 51 Langattoman tietoliikenteen tietoturva • • • Langaton tiedonsiirto vanhempaa kuin langallinen • savumerkit, varoitustulet = vainovalkeat, langaton lennätin, radiolähetykset Langaton tiedonsiirto turvattomampaa – langatonta yhteyttä voidaan helposti salakuunnella – mobiilit päätelaitteet anonyymejä: voivat joutua vääriin käsiin, liikkuvat --> tarvitaan käyttäjän tunnistus! Langattoman tietoliikenteen tietoturvaa hankaloittaa • Heikko laskentateho: turvaprotokollien laskentatarve • Rajoitettu muistikapasiteetti, rajoittaa käytettäviä salausmenetelmiä • Tehonkulutuksen säästötarve: Akut ja paristot • Käytettävyysrajoitukset • Tunkeutuminen mobiilipalveluihin: naamioituminen validiksi käyttäjäksi Pirkko Nykänen & Antto Seppälä 2.3.2015 52 Langattoman tietoturvan vaatimukset • Olemassaolevien tietoturvaratkaisujen sovittaminen langattomaan ympäristöön • Eri laitteiden yhteistoiminnallisuuden parantaminen • Laitteiden luotettavuuden parantaminen • Korkeatasoisen turvajärjestelmän kehittäminen niin, ettei laitteiden käytettävyys kärsi • Hyökkäysten estäminen: Tietojen kaappaus, tietojen muuttaminen • kryptografinen hyökkäys: murretaan viesti tai käyttäjätietojen salaus • Hyökkäjät: Hakkerit, vakoojat, terroristit, yrityshyökkääjät, rikolliset, vandaalit • Virusten yms torjunta Pirkko Nykänen & Antto Seppälä 2.3.2015 53 Keinoja tietoturvan toteuttamiseksi Tietoturvapolitiikka, jolla suojataan tietoverkot • Organisaatioiden henkilöstön tietoturvaohjeet ja koulutus • Fyysinen, tekninen ja toiminnallinen tietoturva Tietoturvauhkien ja riskien analysointi Vastatoimien suunnittelu: • • • • • Avainten ja salasanojen paljastumisen estäminen SIM-kortin joutuminen vieraisiin käsiin estettävä Operaattorin verkon suojaus Salasanojen, avainten yms koodien tallennus tietokannassa Virheet ja toimintahäiriöt verkoissa Pirkko Nykänen & Antto Seppälä 2.3.2015 54 Yksityisen käyttäjän suojautuminen • Hyvä salasana • Käytä vain koneelta jossa ohjelmat on päivitetty, erityisesti selain ja sen lisäosat • Älä avaa liitteitä jos et ole varma lähettäjästä /sisällöstä • Noudata varovaisuutta palvelujen käytössä • Palveluissa on helppo esiintyä toisena henkilönä, varmista oikea henkilöllisyys • Työminä vs. nettiminä • Harkitse mitä kirjoitat, missä, mitä tietoja itsestäsi annat, älä levitä sosiaaliturvatunnustasi – yksityisyys! Pirkko Nykänen & Antto Seppälä 2.3.2015 55 Yhteenveto – tietoturva suunnittelussa • Arkkitehtuuriratkaisuissa huomioidaan eri ratkaisujen yhteensopivuus – suositaan standardeja • Sovelluksen omistaja hyväksyy kuinka vahvaa tunnistautumista ja luotettavaa identiteettiä sovelluksen käyttöön tarvitaan • jos kirjaudutaan käyttäjätunnus/salasanaparilla, salasanan laatuvaatimusten tulee olla konfiguroitavissa: • alasanan pituus, ei-aakkosmerkkien lukumäärä, lukkiutuminen määräajaksi virheellisten yritysten jälkeen • Käyttäjille vain tarvittavat oikeudet järjestelmiin • Käyttö- ja ylläpitotunnusten tulee olla henkilö- ja roolikohtaisia • Käyttäjänhallintamenettelyjen tulee varmistaa että tietoturva-asetusten muokkaus on estetty peruskäyttäjiltä Pirkko Nykänen & Antto Seppälä 2.3.2015 56 • Kaikki ulkopuolelta tullut syöte on tarkastettava ennen käyttöä • Sovellusistunto on varmistettava ettei voida kaapata, väärentää, luvattomasti nauhoittaa tai toistaa – joutilas istunto on aikakatkaistava • Käyttäjätiedot on hallittava ajantasaisesti ja keskitetysti – hallintaprosessit ja työnkulut on dokumentoitava • Järjestelmästä tulee olla ajantasainen ja kattava dokumentaatio • vaatimukset, ,määrittelyt, suunnitelmat, testisuunnitelmat ja – raportit, turvakuvaukset jne • Salausratkaisujen on oltava kansallisen / kansainvälisen tietoturvaviranomaisen hyväksymiä • Tietoliikenne tulee salata käyttäjän laitteesta palvelimelle – Tunnistautumiseen käytettävät arkaluonteiset tiedot kuten salasanat eivät saa kulkea verkon yli salaamattomina Pirkko Nykänen & Antto Seppälä 2.3.2015 57 • • • • • Organisaation tietojen suojaamisessa on varauduttava sekä sisäisiin että ulkoisiin uhkatekijöihin Tietoturvan on oltava suunniteltua, dokumentoitua ja organisaation johdon hyväksymä Tiedot ja tietojärjestelmät on luokiteltava ja niiden suojaamisen taso on määriteltävä Käyttäjät, käyttäjien valtuudet ja käytön seuranta on määriteltävä, dokumentoiva ja valvottava Tietoturva on hallinnollisten toimien, prosessien ja ohjeiden, teknisten järjestelmien ja fyysisten kontrollien moniulotteinen kokonaisuus • • • Jatkuva prosessi Koko organisaation vastuulla Koko tiedon ja tietojärjestelmien elinkaari, suunnittelu – hankinta – käyttöönotto – kehitys / ylläpito – hävitys / käytönpäättäminen Pirkko Nykänen & Antto Seppälä 2.3.2015 58 Lähteitä, materiaalia, linkkejä • Andress J, 2011. The Basics of Information Security. Elsevier, 2011. • Andreasson ja Koivisto, 2013. Tietoturva käytännössä. Tietosanoma • Vahti, kattava määrä ohjeistuksia, suosituksia liittyen tietoturvaan http://www.vm.fi/vm/fi/04_julkaisut_ja_asiakirjat/01 _julkaisut/05_valtionhallinnon_tietoturvallisuus/index .jsp • Kuntasektorin käyttövaltuushallinnan viitearkkitehtuuri, Kuntaliitto 2013 Pirkko Nykänen & Antto Seppälä 2.3.2015 59 Kiitos Pirkko Nykänen & Antto Seppälä 2.3.2015 60
