Mitä tietoturvasuunnitelman tulisi sisältää?
Tietoturvasuunnitelma kokoaa yrityksen tietoturvaan liittyvät käytännöt, toimintatavat ja vastuut yhteen. Sen avulla yritys voi tunnistaa tietoturvariskejä, varautua poikkeustilanteisiin ja kehittää tietoturvaa suunnitelmallisesti.
Tietoa käsitellään päivittäin tietokoneilla, puhelimilla, sähköpostissa, pilvipalveluissa ja erilaisissa järjestelmissä. Siksi on tärkeää miettiä etukäteen, miten yrityksen tietoja, järjestelmiä ja laitteita suojataan.
Yrityksen tärkein omaisuus on tieto
Tieto on liiketoiminnan kannalta keskeinen voimavara. Sen pitää olla luotettavaa, oikeassa muodossa ja tarvittaessa nopeasti niiden henkilöiden käytettävissä, joilla on siihen oikeus.
Samalla yritystoimintaan liittyy aina riskejä. Olennaista on tunnistaa, millaisia riskejä yrityksen tietoihin ja tietojärjestelmiin kohdistuu, kuinka merkittäviä ne ovat ja miten niihin voidaan varautua.
Tietoturvasuunnitelma auttaa tekemään tästä työstä järjestelmällistä. Tarkoituksena ei ole vain reagoida ongelmiin niiden tapahtuessa, vaan tunnistaa riskejä ja sopia toimintatavoista jo etukäteen.
Mitä tietoturvalla tarkoitetaan?
Tietoturvan tavoitteena on suojata tietoa koko sen elinkaaren ajan. Tässä artikkelissa tietoturvaa tarkastellaan kuuden perusperiaatteen kautta: luottamuksellisuus, käytettävyys, eheys, todennus, kiistämättömyys ja pääsynvalvonta.
- Luottamuksellisuus: Tieto on vain niiden henkilöiden käytettävissä, joilla on siihen oikeus.
- Käytettävyys: Tarvittava tieto on saatavilla oikeassa muodossa ja riittävän nopeasti.
- Eheys: Tieto pysyy oikeana eikä sitä muuteta, poisteta tai lisätä luvattomasti.
- Todennus: Voidaan varmistaa, että käyttäjä tai toinen osapuoli on se, joka väittää olevansa.
- Kiistämättömyys: Tapahtuman osapuolet eivät voi jälkikäteen kiistää osallistumistaan tiedonvaihtoon.
- Pääsynvalvonta: Tietoihin ja järjestelmiin pääsyä rajoitetaan ja valvotaan.
Kun nämä perusasiat ovat kunnossa, yrityksen tietoa voidaan käsitellä hallitummin ja tietoturvariskeihin voidaan varautua suunnitelmallisesti.
Mitä tietoturvasuunnitelman tulisi sisältää?
Tietoturva voi tuntua suurelta kokonaisuudelta, eikä kaikkea tarvitse yrittää ratkaista kerralla. Tietoturva voidaan jakaa kahdeksaan osa-alueeseen.
- Hallinnollinen turvallisuus
- Fyysinen turvallisuus
- Henkilöturvallisuus
- Tietoaineistoturvallisuus
- Ohjelmistoturvallisuus
- Laitteistoturvallisuus
- Tietoliikenneturvallisuus
- Käyttöturvallisuus
Jaottelu helpottaa kokonaisuuden hahmottamista. Tietoturvasuunnitelmaa voidaan rakentaa osa-alue kerrallaan sen sijaan, että koko yrityksen tietoturva yritettäisiin ratkaista yhdellä kertaa.
Mistä tietoturvasuunnitelman tekeminen kannattaa aloittaa?
Aloita nykytilanteen kartoittamisesta. Kartoituksen voi aloittaa hyvin konkreettisista asioista. Tarkastele esimerkiksi yrityksen toimitiloja ja sitä, missä laitteita säilytetään. Havainnot ja mahdolliset puutteet kannattaa dokumentoida järjestelmällisesti.
Teknisten ratkaisujen lisäksi tarvitaan selkeät ja ymmärrettävät toimintaohjeet sekä henkilöstön säännöllistä koulutusta.
Tietoturvasuunnitelman tärkein tehtävä ei siis ole olla dokumentti, joka tehdään kerran ja unohdetaan. Sen kannattaa toimia käytännön työkaluna, jonka avulla tietoturvaa voidaan käsitellä järjestelmällisesti osana yrityksen normaalia toimintaa.
Askel kerrallaan kohti parempaa tietoturvaa
Tietoturvan kehittämisessä kaikkea ei tarvitse tehdä kerralla. Olennaista on tietää, missä yrityksen tietoturva on nyt, mitkä asiat vaativat eniten huomiota ja mitä kannattaa kehittää seuraavaksi.
Kun kokonaisuus pilkotaan pienempiin osiin, tietoturvan kehittämisestä tulee huomattavasti helpommin hallittavaa.
Tietoturvasuunnitelma ja sisältö -artikkelin yhteydessä on myös ladattava opas, jossa tietoturvasuunnitelman sisältöä käydään läpi tietoturvan eri osa-alueiden kautta.
Lataa opas tietoturvasuunnitelman sisältöön
Voit halutessasi ladata PDF-muodossa olevan oppaan, jossa käydään läpi tietoturvan eri osa-alueiden kautta, mitä tietoturvasuunnitelman tulisi sisältää.
Lataa opas ”Mitä tietoturvasuunnitelman tulisi sisältää”
Onko tietoturvasuunnitelman teko ajankohtaista?
Voimmeko olla avuksi? Ota meihin yhteyttä jo tänään.