1

JULKINEN ESITELMÄJULKINEN ESITELMÄPoliisin tietohallintokeskus 2.5.2003 Tietoturvallisuuden hallinta tietoverkoissa A.Hallikainen, CISSP

Tietoturvallisuuden hallintajärjestelmän rakentaminenTiedon turvaaminen kansainvälisissä tietoverkoissa

Aaro Hallikainen, CISSPTietoturvapäällikköPoliisin tietohallintokeskus

Tietoverkkojen turvallisuusHelsingin yliopisto2.5.2003

2

JULKINEN ESITELMÄJULKINEN ESITELMÄPoliisin tietohallintokeskus 2.5.2003 Tietoturvallisuuden hallinta tietoverkoissa A.Hallikainen, CISSP

Tapaus: Luvaton tiedostopalvelin

Organisaatio huomaa turvavyöhykkeensä sisällä toimivan luvattoman tiedostopalvelimen, joka jakaa kansainvälisen tekijänoikeuden suojaamaa sähköistä materiaalia internetiin.

Intranet-palvelimeen oli tunkeuduttu.Palvelinohjelmisto oli asennettu luvattomasti.Verkkoresursseja käytettiin luvattomasti.Tekijänoikeuksia oli loukattu.Julkisuuskuva on vaarassa tahraantua.Työaikaa kuluu selvitykseen ja korjaamiseen.

3

JULKINEN ESITELMÄJULKINEN ESITELMÄPoliisin tietohallintokeskus 2.5.2003 Tietoturvallisuuden hallinta tietoverkoissa A.Hallikainen, CISSP

Tapaus: Luvaton tiedostopalvelin

Intranet-palvelin

Luvaton tiedostopalvelin

Inter

net

Palo-ovi

Intranet

Tekijänoikeu-dellistasähköistäaineistoa

Järjestelmäarkkitehtuuri

4

JULKINEN ESITELMÄJULKINEN ESITELMÄPoliisin tietohallintokeskus 2.5.2003 Tietoturvallisuuden hallinta tietoverkoissa A.Hallikainen, CISSP

Tapaus: Luvaton tiedostopalvelin

SuojakeinojaKäytä testattuja intranet-ohjelmistojaVahvista suojaa haittaohjelmatorjuntaohjelmistolla taitunkeutumisen esto- tai havaitsemisohjelmistolla

Estä tarpeeton verkkoliikenneSalli vain tarpeelliset tietoliikenneyhteyskäytännöt

Seuraa säännöllisesti liikennelokeja japalvelinten käyttölokeja

Rakenna puolustukselle syvyyttä osastoimalla verkkouseisiin eri turvavyöhykkeisiin

5

JULKINEN ESITELMÄJULKINEN ESITELMÄPoliisin tietohallintokeskus 2.5.2003 Tietoturvallisuuden hallinta tietoverkoissa A.Hallikainen, CISSP

Uhkia kansainvälisessä verkkoympäristössä

Toimimattomat monitasoiset hajautetut ohjelmistotMonirakenteisen verkon tekniset viatMerkitysvirheet tietojen vääristyessä tietoliikenteessä

Tietovuo läpi useiden toimialueiden, työkulttuureiden ja paikallislakien vähentää tietoliikenteen hallittavuuttaPidentyvät vasteajat ja hajautettu vahinkojen hallinta viivästääkorjaustoimenpiteitä

Ulkopuoliset saavat tietoa luvattomasti käyttöönsä,asiallinen tietoliikenne tai järjestelmien käyttö estyy taitieto vääristyy matkalla.

6

JULKINEN ESITELMÄJULKINEN ESITELMÄPoliisin tietohallintokeskus 2.5.2003 Tietoturvallisuuden hallinta tietoverkoissa A.Hallikainen, CISSP

Tapaus: Epäeettinen tietojärjestelmän käyttö

Nuori työntekijä repostelee intiimejä asioitaan yrityksen sähköpostilla ystävilleen.

Viesti edelleen lähetetään useille vastaanottajille.Viesti herättää närää liiketoimintapartnereissa.Työsuhde katkaistaan.

Työntekijä lataa internetistä arveluttavaa materiaalia työnantajan tietokoneelle.

Tietojen varmuuskopiointi epäonnistuu tietomäärän kasvun vuoksi.Materiaali saattaa olla lakien vastaista.Tutkimus tehdään paikallisia lakeja noudattaen jaseuraten yrityksen tietoturvaohjeistoa.Irtisanomisuhka.

7

JULKINEN ESITELMÄJULKINEN ESITELMÄPoliisin tietohallintokeskus 2.5.2003 Tietoturvallisuuden hallinta tietoverkoissa A.Hallikainen, CISSP

Tapaus: Epäeettinen tietojärjestelmän käyttö

Tapauksen opetus

Paikalliset tavat vaihtelevat kulttuurista toiseen.Lait vaihtelevat.

Organisaatio voi varautua tapauksiin julkituomalla omat eettisetarvonsa, toimintaperiaatteet ja tietoturvaohjeiston.

Paikallisen kulttuurin tai lainsäädännön huomioimatta jättämisestä voi olla dramaattisia henkilökohtaisia seuraamuksia.

8

JULKINEN ESITELMÄJULKINEN ESITELMÄPoliisin tietohallintokeskus 2.5.2003 Tietoturvallisuuden hallinta tietoverkoissa A.Hallikainen, CISSP

Hajautettujen tietojärjestelmien heikkouksia

Paikallisen lainsäädännön tuntemuksen puuteKäytä paikallisen lain tuntevaa lainopillista neuvoaKäytä kulttuuritulkkia

Tekninen vaativuusKokeneita ja osaavia erikoisammattilaisia on tarjolla niukastiuusimmat tekniikat ovat vielä kehityksensä alkuvaiheessaSuunnittele etukäteen asianmukainen testaus omassa ympäristössään

Tapahtumien ajoitusAikavyöhykkeiden tai järjestelmäkellojen aikaerotTietoliikenneprotokollien erityispiirteet pitkillä siirtoväleillä

Selväkielisanoma luottamattoman tietoverkon läpiVastuujaon epäselvyys

9

JULKINEN ESITELMÄJULKINEN ESITELMÄPoliisin tietohallintokeskus 2.5.2003 Tietoturvallisuuden hallinta tietoverkoissa A.Hallikainen, CISSP

Globaali tietoverkkoarkkitehtuuri

Alue

Alue

Intranet

Intranet

Palo-ovi

Palo-ovi

Internet

Tietoliikennetapahtuma

10

JULKINEN ESITELMÄJULKINEN ESITELMÄPoliisin tietohallintokeskus 2.5.2003 Tietoturvallisuuden hallinta tietoverkoissa A.Hallikainen, CISSP

Tapahtuma matkalla globaalin tietoverkon läpi

Alue

Alue

Intranet

Intranet

Palo-ovi

Palo-ovi

Reititin

Silta

PalvelinTietoliikenne-analysaattori

Tietoliikenteeseenliittyvälainsäädäntö

Internet

Paikallislait

Väliaikaisia tietovarantoja

11

JULKINEN ESITELMÄJULKINEN ESITELMÄPoliisin tietohallintokeskus 2.5.2003 Tietoturvallisuuden hallinta tietoverkoissa A.Hallikainen, CISSP

Vahvuuksia, joiden päälle voidaan rakentaa tietoturvallisuutta

Tietojen luokitteluEtukäteen tehdyt palvelusopimukset - myös varajärjestelmistäHarjoittelu, koekäyttö, rajoitettu käyttö erillisjärjestelmässä

Salakirjoitusmenetelmien soveltamienVaihtoehtoiset tietoliikennereititMonennetut laitteet, ohjelmistot ja järjestelmät

Soveltuvan lain tuntemus jakansainvälisten menettelytapojen tunteminenMahdollisuus sovittaa järjestelmän asetuksia kulloinkin tarvittavan palvelutason ja tietoturvavaatimuksen mukaan

12

JULKINEN ESITELMÄJULKINEN ESITELMÄPoliisin tietohallintokeskus 2.5.2003 Tietoturvallisuuden hallinta tietoverkoissa A.Hallikainen, CISSP

Tapaus: Verkon häirintä

Hämmentävät viestitVäärennetyin lähettäjä-vastaanottaja tiedoin lähetetyt viestitHämmentää vastaanottajia ja levittää epäluottamustaJohtaa lisätyöhön - suodatinten säätö, selittäminen, lisävalvonta

Verkkopalveluiden koputteluVoi ennakoida tulevaa tietojärjestelmään kohdistuvaa hyökkäystä

HaittapostiSatoja turhia viestejä vastaanottajalle

Aggressiiviset palveluja tuhoavat haittaohjelmatMuutamassa päivässä leviäminen yli sataan maahan

Etävalvonta/kauko-ohjaus/salakuuntelu –ohjelman asentaminenHämmentää liikennettä

Nimipalveluasetusten vääristäminenTarpeetonta liikennettä tai vääriä johtopäätelmiä

13

JULKINEN ESITELMÄJULKINEN ESITELMÄPoliisin tietohallintokeskus 2.5.2003 Tietoturvallisuuden hallinta tietoverkoissa A.Hallikainen, CISSP

Tapaus: Verkon häirintä

Tuholais-ohjelmantuottaja

Käyttäjän uteliaisuuttahyväksikäytetään

liitteen avaamiseen.Luotetulta taholta

tuleva postiavataan harkitsematta.

Mato käyttää teknisiäheikkouksia levitäkseen

itsenäisesti.

Virus lähettää väärennettyjä

viestejä käyttäjänhuomaamatta.

Tuholaisohjelma-pandemia

14

JULKINEN ESITELMÄJULKINEN ESITELMÄPoliisin tietohallintokeskus 2.5.2003 Tietoturvallisuuden hallinta tietoverkoissa A.Hallikainen, CISSP

Tapaus: Verkon häirintä

Mikä tuholaisohjelma-pandemiassa maksaaHaittaohjelman siirtäminen vie tiedonsiirtokaistaa. Haittaohjelman suorittaminen vie laskentakapasiteettia. Hukattua työaikaa tutkintaan ja korjaamiseen.Maineen menetys tietovuodon vuoksi.Ajattelutyön haaskaaminen pandemian jäljittämiseen.Haittaohjelmatorjunnasta johtuvat taloudelliset lisäsijoitukset

Laskennallinen esimerkki haittaohjelman hinnasta2000 virusta kuukaudessa internetistä organisaatioonTietoturvapolitiikan mukaan saastuneet työasemat asennetaan uudelleen.Asennus vie 2 työtuntia per koneTyötunti maksaa 20 R (Rahayksikköä)2000 x 2 x 20 = 80 000 R per kuu potentiaalisesti uhattunaTyöasemat käyttämättöminä 4000 työtuntia (yli 20 viikkoa)Todelliset luvut vaativat paikallisia ja yksityiskohtaisia tutkimuksia.

15

JULKINEN ESITELMÄJULKINEN ESITELMÄPoliisin tietohallintokeskus 2.5.2003 Tietoturvallisuuden hallinta tietoverkoissa A.Hallikainen, CISSP

Mahdollisuuksia - kun tietojen turvaaminen onnistuu

Nopeat tapahtumatVälittömät vastauksetAjantasainen rekisteritieto taitaloudellinen tai muu tulosjohtamisen seurantatieto

Viestijöiden välinen keskinäinen luottamus säilyyTehokkaat globaalit toiminnot

16

JULKINEN ESITELMÄJULKINEN ESITELMÄPoliisin tietohallintokeskus 2.5.2003 Tietoturvallisuuden hallinta tietoverkoissa A.Hallikainen, CISSP

Tapaus: Tietovuoto

Yrityksen A taloustietoja vuotaa internetiinYrityksen B tulevaisuuden suunnitelmat on tallennettu sisäverkkoon, mutta ne päätyvät löytymään lehdistöstäEpäluottamusta asianosaisten ja kumppanien kesken

Liiketoimintaedellytysten mahdollinen menetysKilpailuaseman heikkeneminen

Esimerkkejä: Yhtyeen levy tietoverkossa ennen julkaisua, metroasemien rakennepiirustuksia verkossa, teleoperaattorin laskutustietoja tiedostojakelupalvelussa

YleistysTunkeutuja saa haltuunsa liiketoimintatietoa

Uhka kontrolloimattomasta tietovuostaUhka päätöksentekotietojen vääristymisestäUhka järjestelmien käytettävyydelle

Uhka joutua kiristyksen uhriksi edellisten uhkien kautta

17

JULKINEN ESITELMÄJULKINEN ESITELMÄPoliisin tietohallintokeskus 2.5.2003 Tietoturvallisuuden hallinta tietoverkoissa A.Hallikainen, CISSP

Tapaus: Tietovuoto

Mitä on tehtävissä

Tutkimus paikallisen lain mukaan Vastuu vahingoista vaihtelee eri kulttuuriympäristöissä

Suojaa järjestelmät lisävahingoiltaVoi johtaa palvelutason tilapäiseen laskuun

Säästä näyttöPyydä etukäteen toimintaohjeita asianomaisilta tahoilta

Hallitse liiketoimintaviestintäsiValmistaudu jakamaan aloitteellisesti oikeaa, ajantasaista tietoa tapahtumasta asianomaisten kanssa - mukaan lukien tiedotusvälineiden edustajat

18

JULKINEN ESITELMÄJULKINEN ESITELMÄPoliisin tietohallintokeskus 2.5.2003 Tietoturvallisuuden hallinta tietoverkoissa A.Hallikainen, CISSP

Menetelmiä tietoturvallisuuden menestykselliseen toteuttamiseen

Riskien hallintaan perustuva turvallisuuden johtaminen

Asianmukainen tietoturvallisuuden hallintajärjestelmä Järjestelmien rakentaminen alun perin tietoturvallisuus huomioidenTurvallisuuskoulutusTurvallisuustarkastukset

Ohjelmien ja laitteiden laatuominaisuudet määräävät turvatason

19

JULKINEN ESITELMÄJULKINEN ESITELMÄPoliisin tietohallintokeskus 2.5.2003 Tietoturvallisuuden hallinta tietoverkoissa A.Hallikainen, CISSP

Seurauksia riskien hallintaan perustuvasta tietoturvallisuuden hallinnasta

Tietovarantojen kirjanpito on ajantasainenRiskit on arvioitu parhaan mahdollisen päätöksen teon mukaisestiTieto voidaan turvaluokitella toiminnallisten tarpeiden mukaan

Turvallisuusohjeisto ja omat turvastandardit on ajantasaiset jane kuvaavat toiminnan kannalta merkityksellisiä asioita

Sijoituspäätökset tietoturvallisuuteen voidaan tehdä riittävään tietoon perustuen Tietoturvallisuuden tilannekuvaa ylläpidetään ja se voidaan tiedottaa asianosaisille

LOPPUTULEMA: Suurin panostus arvokkaimpien tietojen turvaamiseen.

20

JULKINEN ESITELMÄJULKINEN ESITELMÄPoliisin tietohallintokeskus 2.5.2003 Tietoturvallisuuden hallinta tietoverkoissa A.Hallikainen, CISSP

Johtopäätöksiä: Teknisiä tietoturvallisuuden menestystekijöitä

Porrastettu haittaohjelmasuojaus Tunkeutumisen torjunta- ja havaitsemisjärjestelmäPalo-ovijärjestelmät, suojatut verkkotoimialueet Liikennerajoitukset, salli vain tarvittava tietoliikenne Järjestelmäpalveluita tarpeen mukaan - kaikki ei saa aina kaikkeaStandardiasennukset, työasemat, ohjelmistot - aina ei saa juuri sitäKäyttäjien vahva tunnistaminen, rooliperustaiset käyttöoikeudetSalakirjoitusmenetelmien soveltaminen, myös tietoliikenteessä

21

JULKINEN ESITELMÄJULKINEN ESITELMÄPoliisin tietohallintokeskus 2.5.2003 Tietoturvallisuuden hallinta tietoverkoissa A.Hallikainen, CISSP

Johtopäätöksiä: Tärkein menestystekijä

Osaava ja kykenevä henkilöstö

Tiedä toiminnallinen vastuusi Taidokas päivittäisiin toimenpiteisiin Tarvittava turvallisuuskoulutus, myös tietoturvallisuudesta

Kuinka omaan työhön liittyvät tiedot turvaluokitellaan ja kuinka turvaluokiteltua tietoa käsitellään omassa työpisteessä? Mikä on avointa tietoa oman organisaation toiminnasta?Minne ilmoitetaan havaittu tietovahinko tai tietoturvauhka?

Tietoturvakoulutus osana muuta koulutusta.Tietoturvavalistus organisaatioon soveltuvin keinoin.Tietoturvallisuuden tilannekuvan jakaminen ennakoivalla tiedottamisella.

22

JULKINEN ESITELMÄJULKINEN ESITELMÄPoliisin tietohallintokeskus 2.5.2003 Tietoturvallisuuden hallinta tietoverkoissa A.Hallikainen, CISSP

Johtopäätöksiä: Tietoturvallisuus verkottuneessa tietoliikenneympäristössä

Huomioonotettavalainsäädäntö

Paikallislait jaturvaohjeisto

Osaava jakykeneväkäyttäjä

Salatuttietovarastot

Palo-ovet

Salatuttietoliikenneyhteydet

Rajoittavat reitittimet

Tunkeutumisen torjuntaja havaitseminen

Haittaohjelmasuojapalvelimissa jatyöasemissa

Vahvatunnistaminen

Palvelu- ja liikenne-rajoitukset

Laadukas ohjelmisto

Luotettava laitekanta

23

JULKINEN ESITELMÄJULKINEN ESITELMÄPoliisin tietohallintokeskus 2.5.2003 Tietoturvallisuuden hallinta tietoverkoissa A.Hallikainen, CISSP

Verkkosivuja

Poliisin verkkosivutwww.poliisi.fi / english, också på svenska

Valtiovarainministeriön tietoturvallisuusohjeistowww.vm.fi / tietoturvallisuus

BS 7799 / ISO 17799 www.bsi-global.com / Business+Solutions/ Infosec/ index.xalter

Information Security Forum’s Standard for Information Securitywww.isfsecuritystandard.com

Systems Security Engineering - Capability Maturity Modelwww.sse-cmm.org

24

JULKINEN ESITELMÄJULKINEN ESITELMÄPoliisin tietohallintokeskus 2.5.2003 Tietoturvallisuuden hallinta tietoverkoissa A.Hallikainen, CISSP

Kirjallisuutta

Managing Information Security Risks – The OCTAVE ApproachC.Alberts, A.Dorofee, 471 sivuaAddison-Wesley, 2002

”Hack Attacks Revealed” ja "Hack Attacks Denied" J.Chirillo, 914 sivua ja 689 sivuaWiley, 2002

Security Architecture – Design, Deployment & Operations,C.M.King, C.E.Dalton, T.E.Osmanoglu, 481 sivua,Osborne/McGraw-Hill, 2001

Information Security – Protecting the Global Enterprise,D.L.Pipkin, 364 sivua, Hewlett-Packard Company/Prentice Hall, 2000