Tässä kirjoituksessa kerromme lyhyesti tietohallinnon viitekehyksen (kuten ISO 27001 tai CSF 2.0) käytöstä ja niiden hyödyistä.
Tietoturvan viitekehykset, kuten ISO 27001 ja CSF 2.0, tarjoavat selkeät ohjeet ja parhaat käytännöt tietoturvan kokonaisvaltaiseen hallintaan. Näiden viitekehysten avulla organisaatiot voivat rakentaa kattavan ja tehokkaan tietoturvakokonaisuuden, joka suojaa liiketoiminnan kriittisiä tietoja ja varmistaa toiminnan jatkuvuuden.
Perinteisesti tietoturvaa on rakennettu pistemäisesti. Lähtökohtana on ollut tunnistaa potentiaalisimpia uhkakuvia ja pyrkiä ehkäisemään niitä. Käytännössä tämä on tarkoittanut esimerkiksi päätelaitteiden antivirusohjelmistoja, varmuuskopiointia ym. ratkaisujen käyttöönottoa silloin kun tarve on tunnistettu.
Kun järjestelmien lukumäärä on kasvanut, pistemäisestä lähestymisestä on tullut hankalaa:
Ongelma koskettaa käytännössä jokaista organisaatiota.
Ratkaisuksi ongelmaan Yhdysvaltojen National institute of standards and technology on kehittänyt standardin mallin tietoturvan viitekehykseksi (Cyber security framework CSF). Sen ensimmäinen versio julkaistiin jo yli 10 vuotta sitten. Malli on yleistynyt globaalisti tunnistetuksi ja se on tunnistettu erittäin toimivaksi.
Ajatus on siis ollut luoda yhteinen viitekehys, jonka mukaisesti tietoturva voidaan hoitaa ammattimaisesti riippumatta organisaation koosta tai siitä mitä organisaatio itseasiassa tekee.
’Viitekehyksen kautta usein korjataan jopa satoja pienempiä tietoturva ja -suoja -ongelmia. Yksittäisen asian korjaamisen vaikutus ei ole suuri, kokonaisvaltaisesti vaikutus on merkittävä.
-Ville Soikkola, CEO, Jalo IT Oy
Kyse ei siis ole siitä että suojattaisiin pistemäisesti yksittäistä järjestelmää tai otettaisiin käyttöön jotakin uutta teknologiaa. Tietoturvan viitekehyksen käytössä on kysymys erittäin kokonaisvaltaisesta lähestymisestä:
Traficom suosittelee Suomalaisia organisaatioita suojaamaan tietojaan näiden viitekehysten mukaisesti. Traficomin suositusten noudattaminen ei ole pelkästään järkevää liiketoiminnan kannalta, vaan se auttaa myös täyttämään lakisääteiset vaatimukset ja parantamaan organisaation tietoturvan tasoa.
Traficom vastaa liikenteen ja viestinnän palveluista ja turvallisuudesta. Se perustettiin vuonna 2019, kun entinen Viestintäministeriö yhdistettiin Liikenteen turvallisuusvirasto Trafin ja Viestintäviraston kanssa.
-Verkkosivustot
Traficom hallinnoi Kyberturvallisuuskeskusta, joka vastaa Suomen kyberturvallisuuden kehittämisestä ja ylläpidosta.
Kyberturvallisuuskeskus tarjoaa tietoa ja ohjeita kyberturvallisuudesta sekä tukee organisaatioita ja kansalaisia tietoturvaan liittyvissä kysymyksissä.
Nykyajan liiketoiminta nojaa vahvasti erilaisiin järjestelmiin, ja tietoturvan perimmäinen tehtävä on varmistaa liiketoiminnan jatkuvuus. Hyvin suunniteltu ja toteutettu tietoturva vähentää riskejä ja varmistaa, että liiketoiminta voi jatkua häiriöittä myös poikkeustilanteissa.
Yksi tapa arvioida tietoturvallisuuden tilaa on ajatuskokeella:
Tietohallinnon tehtävänä on myös mahdollistaa tehokas liiketoiminta ja hyödyntää teknologiaa parhaalla mahdollisella tavalla varsinaisen liiketoiminnan tekemiseen. Viitekehysten käyttäminen saattaa aluksi vaikuttaa kustannuksia lisäävältä toimelta, kokemuksemme mukaan viitekehyksen noudattaminen kuitenkin tehostaa tietohallinnon toimintaa merkittävästi. Kun ad-hoc tekeminen vähenee ja toiminta on suunniteltua, kokonaiskustannukset usein itse asiassa pienentyvät.
Yritykset haluavat noudattaa lakeja ja asetuksia, ja yhä useammin ne joutuvat osoittamaan tämän myös sopimuksissaan. Kansainvälisesti tunnetun standardin viitekehyksen noudattaminen on suoraviivainen tapa kertoa, kuinka tietosuoja, tietoturva ja tietohallinto on hoidettu yrityksessänne.
Usein myös ne kaikista tärkeimmät asiakkaat ja sidosryhmät vaativat sopimuksilleen tietoa, kuinka tietosuoja toteutuu heidän suuntaansa. Viitekehyksen noudattaminen lisää luottamusta ja antaa hyvän kuvan siitä kuinka asiat hoidetaan. Euromääräistä arviota tämän vaikutuksesta on hankala sanoa, negatiivinen asia tämä ei kuitenkaan ole.
Myös lainsäädännön kehitys näyttää menevän yhä enemmän siihen suuntaan, että viitekehyksen noudattaminen on tulevaisuudessa jopa pakollista. Kansainvälisten viitekehysten avulla organisaatiot voivat osoittaa vaatimustenmukaisuutensa ja varmistaa, että ne täyttävät sekä nykyiset että tulevat lakisääteiset vaatimukset.
Sertifiointien hankkiminen ja auditoinnit voivat toki olla työläitä ja kalliita hankkeita. Esimerkiksi ISO 27001 -viitekehyksen noudattaminen ei sinällään kuitenkaan vaadi ulkopuolista sertifiointia. Halutessaan yritys voi siis noudattaa ISO 27001 -vaatimuksia ja hankkia virallisen auditoinnin vasta kun syntyy varsinainen tarve osoittaa valmius virallisen sertifioinnin kautta.
Mikäli haluat hoitaa tietohallintonne ammattimaisesti, viitekehyksen käyttäminen on siis erinomainen idea! Me Jalo IT:llä olemme erikoistuneet palvelemaan PK-sektorin organisaatioita ja kerromme mielellämme lisää siitä mistä voisimme kanssanne aloittaa. Yksi mahdollisuus on käyttää viitekehystä raamina, jonka mukaan kaikki mahdollinen ulkoistetaan Jalo IT:n ammattilaisten tehtäväksi.
Kirjoittaja:
Toimitusjohtaja
Ville on kokenut tietotyön tehostaja ja Microsoft-tuottavuustyökalujen osaaja.
