Jokainen vakava kyberturvallisuuskehys alkaa samasta asiakirjasta: kirjallisesta, johdon hyväksymästä tietoturvapolitiikasta (ISSP). NIS2 mainitsee sen ensimmäisenä 21 artiklan riskienhallintatoimenpiteiden joukossa, ja ISO/IEC 27001 tekee siitä vaatimuksen kohdassa 5.2. Security Policy Express ohjaa eurooppalaisen pk-yrityksen opastetun verkkotyöpajan läpi ja luo yrityksen nimissä jäsennellyn ensimmäisen version: työluonnoksen, jonka neuvonantajasi tarkistavat. Se ei ole oikeudellista neuvontaa.
Minuutin vastaus toimitusjohtajalle, joka ei ole IT-asiantuntija.
Tietoturvapolitiikka (usein lyhennettynä ISSP, ranskaksi PSSI) on asiakirja, jossa johto ilmaisee kirjallisesti, miten yritys suojaa tietonsa ja tietojärjestelmänsä, kuka vastaa mistäkin ja mitä sääntöjä kaikkien on noudatettava. Ylätasolla se on lyhyt (johdon allekirjoittama periaatelausuma), ja sen alla on yksityiskohtaisemmat aihekohtaiset säännöt ja toimintamenettelyt. Se ei ole tekninen käsikirja vaan johdon päätös, joka on kirjattu paperille ja johon muu tietoturvatyö voi viitata.
ISO/IEC 27001 osoittaa politiikan vastuun ”ylimmälle johdolle”, ja NIS2:n 20 artikla edellyttää soveltamisalaan kuuluvien toimijoiden johtoelimiltä kyberturvallisuuden riskienhallintatoimenpiteiden hyväksymistä ja niiden täytäntöönpanon valvontaa. IT-toimittajasi voi auttaa kirjoittamisessa, mutta vain johto voi omistaa sen.
Lähteet: direktiivi (EU) 2022/2555, 20 art. · ISO/IEC 27001:2022, kohta 5Hyvä käytäntö erottaa kolme tasoa. Politiikka määrittää periaatteet ja vastuut. Aihekohtaiset politiikat (käyttöoikeuksien hallinta, varmuuskopiointi, salaus, toimittajat jne.) soveltavat niitä kullakin alueella. Menettelyt kuvaavat, kuka tekee mitä ja missä järjestyksessä, kun jotain tapahtuu. ISO/IEC 27001:n hallintatoimi 5.1 mainitsee nimenomaisesti sekä politiikan että aihekohtaiset politiikat.
Lähde: ISO/IEC 27001:2022, liite A, hallintatoimi 5.1Mikään eurooppalainen säädös ei pakota yhtä mallipohjaa. NIS2:n 21 artiklan 1 kohta edellyttää ”asianmukaisia ja oikeasuhteisia” toimenpiteitä, joissa otetaan huomioon toimijan altistuminen riskeille, sen koko sekä häiriöiden todennäköisyys ja vakavuus. 40 hengen valmistaja ja sairaala eivät kirjoita samanlaista politiikkaa, eikä niiden pidäkään.
Lähde: direktiivi (EU) 2022/2555, 21 art. 1 k.Kerran kirjoitettu ja arkistoon jätetty politiikka ei suojaa mitään. Kehykset edellyttävät, että se viestitään henkilöstölle, että henkilöstö vahvistaa sen ja että sitä tarkistetaan suunnitelluin väliajoin sekä merkittävien muutosten jälkeen. Siksi politiikkasi pitäisi sisältää alusta alkaen oma tarkistussykli, omistaja ja versiohistoria.
Lähde: ISO/IEC 27001:2022, kohta 5.2 ja hallintatoimi 5.1Useimmat pienet ja keskisuuret yritykset noudattavat jo joitakin turvallisuussääntöjä. Yleensä puuttuu kirjallinen, hyväksytty ja johdonmukainen versio, jonka viranomainen, tilintarkastaja, vakuutusyhtiö tai suuri asiakas todella voi lukea.
NIS2 laajentaa EU:n kyberturvallisuussääntöjä moniin keskisuuriin yrityksiin toimialoilla, kuten valmistuksessa, elintarvikealalla, jätehuollossa, liikenteessä ja digitaalisissa palveluissa. Soveltamisalaan kuuluville toimijoille ”riskianalyysiä ja tietojärjestelmien turvallisuutta koskevat politiikat” ovat 21 artiklan 2 kohdassa luetelluista toimenpiteistä ensimmäinen.
NIS2:n 21 artiklan 2 kohdan d alakohta edellyttää soveltamisalaan kuuluvia toimijoita huolehtimaan toimitusketjun turvallisuudesta, myös suorien toimittajasuhteidensa turvallisuusnäkökohdista. Vaikka et kuuluisi soveltamisalaan, suuremmat asiakkaasi voivat pyytää näkemään kirjallisen tietoturvapolitiikan toimittajakyselyissään.
Politiikan kirjoittaminen tarkoittaa monien kysymysten samanaikaista ratkaisemista: mitkä ovat kriittiset omaisuuserät, kuka päättää, mitä teemme kiristyshaittaohjelmahyökkäyksen sattuessa, kuinka pitkään säilytämme varmuuskopiot? Ilman rakennetta harjoitus lykkääntyy helposti neljännes neljännekseltä.
Ladatut mallipohjat kuvaavat usein organisaatiota, jossa on tietoturvapäällikkö, valvontakeskus ja oma budjetti. Todellisuuden kanssa ristiriidassa oleva asiakirja on pahempi kuin ei mitään: sitä ei noudateta, ja tilintarkastaja huomaa kuilun paperin ja käytännön välillä.
Sama asiakirja vastaa useampaan säädökseen kerralla. Alla on, mitä kukin niistä todella sanoo. Jokainen viite johtaa viralliseen lähteeseen; kansalliset täytäntöönpanot voivat lisätä yksityiskohtia.
Keskeisten ja tärkeiden toimijoiden on toteutettava ”asianmukaiset ja oikeasuhteiset tekniset, operatiiviset ja organisatoriset toimenpiteet” kyberturvallisuusriskien hallitsemiseksi kaikki vaarat kattavan lähestymistavan pohjalta. Luettelo 21 artiklan 2 kohdassa alkaa kohdalla ”a) riskianalyysiä ja tietojärjestelmien turvallisuutta koskevat politiikat”. 20 artiklan mukaan johtoelimet hyväksyvät nämä toimenpiteet, valvovat niiden täytäntöönpanoa ja seuraavat koulutusta.
Kohdan 5.2 mukaan ylimmän johdon on vahvistettava tietoturvapolitiikka, joka sopii organisaation tarkoitukseen, tarjoaa kehyksen tietoturvatavoitteille ja sisältää sitoumukset täyttää sovellettavat vaatimukset sekä jatkuvasti parantaa toimintaa. Se on dokumentoitava, viestittävä organisaation sisällä ja asetettava tarvittaessa sidosryhmien saataville. Liitteen A hallintatoimi 5.1 laajentaa tämän aihekohtaisiin politiikkoihin, jotka hyväksytään, julkaistaan, joiden vastaanottaminen vahvistetaan ja joita tarkistetaan.
24 artiklan 2 kohdan mukaan rekisterinpitäjän toimenpiteisiin kuuluu, siltä osin kuin se on käsittelytoimiin nähden oikeasuhteista, ”asianmukaisten tietosuojapolitiikkojen täytäntöönpano”. 32 artikla edellyttää asianmukaisia teknisiä ja organisatorisia toimenpiteitä, jotka takaavat riskiin nähden sopivan turvallisuuden tason. Tietoturvapolitiikka on luonteva paikka dokumentoida nämä toimenpiteet.
Tietyille digitaalisille toimijoille (esimerkiksi pilvipalvelun, datakeskuksen ja hallittujen palvelujen tarjoajille) komissio hyväksyi yksityiskohtaiset tekniset ja menetelmälliset vaatimukset. Sen liite alkaa ”verkko- ja tietojärjestelmien turvallisuutta koskevalla politiikalla” ja kuvaa, miten se hyväksytään, dokumentoidaan ja tarkistetaan. Vaikka yrityksesi ei olisi jokin näistä toimijatyypeistä, liite on hyödyllinen julkinen viite politiikan rakentamiseen.
Rahoitusalan toimijoiden on DORA-asetuksen mukaan laadittava ja dokumentoitava tietoturvapolitiikka, joka määrittelee säännöt tietojen, tietoaineistojen ja ICT-omaisuuserien saatavuuden, aitouden, eheyden ja luottamuksellisuuden suojaamiseksi. Jos olet ICT-toimittaja pankille tai vakuutusyhtiölle, odota asiakkaasi kysyvän, miten oma politiikkasi vertautuu siihen.
Kansalliset kyberturvallisuusvirastot julkaisevat maksuttomia ohjeita, joihin politiikka voi nojata. Ranskassa ANSSI:n tietotekniikkahygienian opas esittää 42 keskeistä toimenpidettä organisaation tietojärjestelmän turvallisuudesta vastaaville. ENISA, EU:n kyberturvallisuusvirasto, julkaisee ohjeita, jotka tukevat NIS2:n täytäntöönpanoa koko unionissa.
NIS2:n 21 artiklan 2 kohta luettelee kymmenen vähimmäistoimenpidettä. Kohta a on itse politiikka, mutta hyvin laadittu politiikka on myös se paikka, jossa muut yhdeksän saavat omistajansa, sääntönsä ja menettelynsä. Sen mukaan luotavan asiakirjan rakenne muodostuu.
Periaatelausuma, soveltamisala, roolit ja menetelmä, jolla tunnistat ja arvioit riskit. Tämä on asiakirjan selkäranka.
Häiriönhallintamenettely: havaitseminen, luokittelu, eskalointi, rajaaminen, ilmoittaminen ja opitut asiat.
Varmuuskopioinnin hallinta, katastrofipalautus ja kriisinhallinta direktiivin sanamuodon mukaisesti: kuka päättää, mikä käynnistetään ensin, kuinka usein varmuuskopiot testataan.
Säännöt IT-toimittajien ja palveluntarjoajien valintaan, sopimiseen ja seurantaan, mukaan lukien turvallisuuslausekkeet, joita niiltä odotat.
Miten uudet järjestelmät valitaan ja määritetään, miten päivitykset asennetaan sekä miten haavoittuvuuksia käsitellään ja julkistetaan.
Politiikat ja menettelyt, joilla tarkistetaan, että toimenpiteet toimivat: mittarit, sisäiset tarkastukset, harjoitukset ja johdon katselmointi.
Arjen säännöt (salasanat, päivitykset, tietojenkalastelun tunnistaminen) sekä koulutussuunnitelma, johon kuuluu johdon koulutus, kuten 20 artiklan 2 kohta johtoelimille edellyttää.
Milloin tiedot on salattava (kannettavat, varmuuskopiot, siirrot), mitkä protokollat ovat hyväksyttäviä ja kuka hallinnoi avaimia.
Tulevat, siirtyvät ja lähtevät työntekijät; kuka saa minkäkin käyttöoikeuden ja kuka sen hyväksyy; omaisuuserien luettelo omistajineen.
Missä monivaiheinen tai jatkuva todentaminen vaaditaan sekä miten puhe-, video-, teksti- ja hätäviestinnän suojaus toteutetaan.
ISO/IEC 27001 -viitteet ovat suuntaa-antavia vastaavuuksia, jotka olemme laatineet suunnistamisen avuksi. Ne eivät ole ISO:n tai Euroopan komission julkaisema virallinen vastaavuustaulukko. Kymmenen toimenpiteen lähde: direktiivi (EU) 2022/2555, 21 art. 2 k..
Luotu asiakirja noudattaa rakennetta, jonka tilintarkastaja, vakuutusyhtiö tai asiakas tunnistaa. Jokainen osio täytetään työpajassa antamiesi vastausten pohjalta, jotta se kuvaa yritystäsi eikä kuvitteellista yritystä.
Johdon sitoumus muutamassa kappaleessa, allekirjoitettuna ja päivättynä.
Kuka päättää, kuka toteuttaa, kuka tarkistaa, myös silloin kun IT on ulkoistettu.
Yksinkertainen ja toistettava tapa tunnistaa, arvioida ja käsitellä riskejä.
Tiedä, mitä suojelet, ennen kuin päätät miten.
Kuka pääsee mihin ja miten se todennetaan.
Tekninen perusta selkeällä kielellä.
Missä salaus vaaditaan ja miten sitä hallinnoidaan.
Turvallisuus suhteissasi IT-toimittajiin ja pilvipalveluihin.
Inhimillinen puoli rekrytoinnista lähtöön asti.
Tilat, palvelinhuoneet ja toimiston ulkopuoliset laitteet.
Periaatteet, joita täsmennetään alla olevissa menettelyissä.
Miten politiikka pysyy elävänä ja ajantasaisena.
Politiikka kertoo, mitä on tapahduttava; menettely kertoo, kuka tekee sen, missä järjestyksessä ja mihin kirjaukseen. Nämä neljä ovat ne, joita asiakkaat ja tilintarkastajat useimmin pyytävät nähtäväksi, ja ne, jotka ratkaisevat eniten silloin kun jotain menee pieleen.
Ensimmäisestä hälytyksestä loppuraporttiin: miten henkilöstö ilmoittaa epäilyttävästä tapahtumasta, kuka sen luokittelee, kuka eristää vaikutetut järjestelmät, kuka ottaa yhteyttä IT-toimittajaasi, vakuutusyhtiöösi ja viranomaisiin sekä miten todisteet säilytetään.
Miten tili pyydetään, hyväksytään, luodaan, muokataan ja poistetaan. Menettely kattaa tulevat työntekijät, tehtävänvaihdot ja lähtijät, järjestelmänvalvojatilit, yhteiskäyttöiset ja palvelutilit sekä säännöllisen katselmoinnin, jossa esimies vahvistaa, että jokainen tarvitsee yhä nykyiset käyttöoikeutensa.
Miten tuotantojärjestelmän muutos (uusi sovellus, palomuurisääntö, suuri päivitys) kuvataan, arvioidaan riskin osalta, hyväksytään, testataan, toteutetaan ja tarvittaessa perutaan. Pienessä yrityksessä tämä voi olla kevyttä: lyhyt lomake ja loki riittävät, kunhan ne ovat olemassa ja niitä käytetään.
Mitä varmuuskopioidaan, kuinka usein, minne, kuinka pitkäksi aikaa ja ennen kaikkea miten palautus testataan. Menettely liittää varmuuskopiot kunkin kriittisen toiminnon palautustavoitteisiin ja kuvaa kriisiorganisaation: kuka päättää, kuka viestii, mitkä järjestelmät käynnistyvät ensin.
Politiikka on kirjoitettu johdolle ja IT:lle. Hyväksyttävän käytön politiikka (AUP) on kirjoitettu kaikille muille: lyhyt, helppolukuinen sääntökokonaisuus, jonka jokainen työntekijä, määräaikainen työntekijä tai alihankkija hyväksyy ennen yrityksen IT:n käyttöä.
Tilien ja salasanojen käyttö, sähköposti ja viestintä, internetyhteys, sallittu tai kielletty henkilökohtainen käyttö, mobiililaitteet ja etätyö, siirrettävät tallennusvälineet, pilvipalvelut ja generatiiviset tekoälytyökalut, luottamuksellisuus, häiriöistä ilmoittaminen sekä se, mitä yritys voi valvoa ja miksi.
ISO/IEC 27001:n hallintatoimi 5.10 edellyttää, että tiedon ja muun siihen liittyvän omaisuuden hyväksyttävän käytön säännöt tunnistetaan, dokumentoidaan ja otetaan käyttöön. Kun säännöt ovat erillisessä liitteessä, niitä on helpompi lukea, allekirjoittaa, päivittää ja liittää työsopimusasiakirjoihin.
Kun AUP mainitsee henkilöstön toiminnan lokituksen tai valvonnan, tietosuojalainsäädäntöä on noudatettava: työntekijöille on kerrottava siitä (GDPR 13 art.), ja jäsenvaltiot voivat antaa työsuhteisiin tarkempia sääntöjä (GDPR 88 art.). Tietosuojaviranomaiset, kuten CNIL, julkaisevat ohjeita siitä, mikä on hyväksyttävää.
AUP:n sitovuus työntekijöille voi edellyttää kansallisia muodollisuuksia. Esimerkiksi Ranskassa (asia on vahvistettava neuvonantajasi kanssa työlainsäädännön perusteella) tämänkaltaiset säännöt liitetään yleensä työpaikan sisäisiin sääntöihin (règlement intérieur), joita koskee työlainsäädännön määrittämä menettely, mukaan lukien henkilöstön edustajien kuuleminen. Tarkista oman maasi säännöt neuvonantajasi kanssa.
Lähteet: ISO/IEC 27001:2022, A.5.10 · asetus (EU) 2016/679, 13 ja 88 art. · CNIL · Légifrance, Ranskan työlainsäädäntö (Code du travail), L1321-4 ja L1321-5 art..
Politiikka kuvaa yritystä, joka muuttuu: uutta henkilöstöä, uutta ohjelmistoa, uusia toimittajia, uusia uhkia. Viittaamamme kehykset edellyttävät yleensä, että se pidetään ajan tasalla. Luotu asiakirja sisältää oman katselmointikalenterin, omistajan ja versiotaulukon.
Johto hyväksyy ensimmäisen version, joka päivätään ja versioidaan. NIS2:n 20 art. 1 k. mukaan soveltamisalaan kuuluvien toimijoiden johtoelimet hyväksyvät kyberturvallisuuden riskienhallintatoimenpiteet; ISO/IEC 27001:n kohdan 5.2 mukaan ylin johto vahvistaa politiikan.
Politiikka julkaistaan organisaation sisällä; hyväksyttävän käytön politiikan vahvistaa jokainen käyttäjä. ISO/IEC 27001:n hallintatoimi 5.1 edellyttää, että politiikat viestitään asianomaiselle henkilöstölle ja sidosryhmille ja että nämä vahvistavat ne.
ISO/IEC 27001:n hallintatoimi 5.1 edellyttää katselmointia suunnitelluin väliajoin ja merkittävien muutosten yhteydessä. Vuosittainen katselmointi on järkevä oletus pk-yritykselle; täytäntöönpanoasetus (EU) 2024/2690 koskee politiikan katselmointia myös kattamiensa digitaalisten toimijatyyppien osalta.
Vakava häiriö, fuusio, uusi toimipaikka, siirtyminen pilveen tai uusi sääntely ovat kaikki syitä avata asiakirja uudelleen odottamatta vuosipäivää. Häiriöistä opitut asiat syöttävät seuraavan version.
Versiotaulukko, hyväksymiskirjaus, muutosluettelo, vahvistukset. Sinä päivänä, kun tilintarkastaja, vakuutusyhtiö tai asiakas kysyy, tämä historia osoittaa, että politiikkaa todella sovelletaan eikä sitä vain ole kirjoitettu. ISO/IEC 27001:n kohta 7.5 säätelee tätä dokumentoitua tietoa.
Security Policy Express on suunniteltu itsepalvelutyökaluksi. Pidät sisällön hallinnassasi; työkalu tarjoaa rakenteen, kysymykset ja viitteet.
Lyhyt testi kysyy toimialaasi, kokoasi, toimintaasi ja asiakkaitasi ja kertoo, koskeeko NIS2 todennäköisesti sinua, mitkä muut säädökset voivat olla olennaisia ja mitkä politiikan osat ovat tilanteessasi tärkeimpiä. Lopullisen vastauksen saat kansallisen viranomaisesi virallisista työkaluista, joihin testi ohjaa.
Vastaat omin sanoin sarjaan ohjattuja kysymyksiä osio kerrallaan: organisaatiosi, kriittiset toimintasi, IT-toimittajasi, varmuuskopiosi, miten käsittelet työntekijöiden lähtöjä ja mitä tekisit kiristyshaittaohjelmatapauksessa. Jokaisessa kysymyksessä kerrotaan, miksi se esitetään ja mihin artiklaan tai hallintatoimeen se liittyy. Voit keskeyttää ja jatkaa milloin tahansa.
Työkalu luo vastauksiesi pohjalta politiikan, neljä menettelyä ja hyväksyttävän käytön liitteen yrityksesi nimissä. Jos vastaus puuttuu, asiakirja sanoo sen suoraan sen sijaan, että aukko täytettäisiin yleisellä tekstillä. Tulos on työluonnos, jonka omat neuvonantajasi (lakimies, IT-toimittaja, tietosuojavastaava) tarkistavat ja vahvistavat ennen johdon hyväksyntää.
Jos haluat apua vastaustesi kriittiseen tarkasteluun, asiakirjan mukauttamiseen tiettyyn tilanteeseen tai tilintarkastukseen valmistautumiseen, voit pyytää tukea kumppanikonsultilta. Tämä vaihe on valinnainen: itsepalvelupolku on täydellinen ilman sitä.
Tärkeää: luotu asiakirja on työpohja. Se ei ole oikeudellista neuvontaa, eikä se yksin tee yrityksestäsi vaatimustenmukaista NIS2:n, ISO/IEC 27001:n, GDPR:n tai minkään kansallisen lain suhteen. Vaatimustenmukaisuus riippuu siitä, mitä todella toteutat, ja se on edelleen sinun vastuullasi.
Kolme osakokonaisuutta, jotka luodaan yhdessä samasta työpajasta. Saatavuudesta ja ehdoista ilmoitetaan julkaisun yhteydessä.
Ydinasiakirja, johdon allekirjoittama.
Se, mikä tekee politiikasta toimivan.
Jotta löydät tiesi säädöksissä.
Kahta tilannetta ei saa sekoittaa: lakisääntöinen velvoite NIS2:n (tai DORA:n) soveltamisalaan kuuluville yrityksille ja vahvasti suositeltu hyvä käytäntö kaikille muille.
NIS2 koskee yleisesti julkisia tai yksityisiä toimijoita, jotka kuuluvat sen liitteessä I tai II lueteltuun tyyppiin ja jotka vähintään täyttävät komission suosituksen 2003/361/EY mukaisen keskisuuren yrityksen rajat tai ylittävät ne (2 art. 1 k.). Tietyt toimijatyypit kuuluvat soveltamisalaan koosta riippumatta (2 art. 2 k.). Toimijat luokitellaan sitten ”keskeisiksi” tai ”tärkeiksi” (3 art.), mikä vaikuttaa valvontaan ja seuraamuksiin, mutta molempien on sovellettava 21 artiklaa.
Liite I (erittäin kriittiset toimialat): energia, liikenne, pankkitoiminta, finanssimarkkinoiden infrastruktuurit, terveydenhuolto, juomavesi, jätevesi, digitaalinen infrastruktuuri, ICT-palvelunhallinta (yritysten välinen toiminta), julkinen hallinto ja avaruus. Liite II (muut kriittiset toimialat): posti- ja pikakuljetuspalvelut, jätehuolto, kemikaalit, elintarvikkeet, valmistus (mukaan lukien lääkinnälliset laitteet, elektroniikka, sähkölaitteet, koneet ja ajoneuvot), digitaaliset palveluntarjoajat ja tutkimus.
NIS2 on direktiivi: jäsenvaltioiden oli saatettava se osaksi kansallista lainsäädäntöään 17. lokakuuta 2024 mennessä ja sovellettava toimenpiteitä 18. lokakuuta 2024 alkaen (41 art.). Täytäntöönpanon tila ja yksityiskohdat vaihtelevat maittain, ja kansallinen laki voi täsmentää toimenpiteiden sisältöä. Tarkista aina oman maasi laki ja viralliset soveltamisalatyökalut.
Näiden soveltamisalojen ulkopuolella mikään yleinen eurooppalainen laki ei edellytä pk-yritykseltä ”tietoturvapolitiikka”-nimisen asiakirjan laatimista. GDPR koskee kuitenkin lähes jokaista yritystä, asiakkaat kysyvät yhä useammin toimittajiltaan tietoturvasta, ja kirjallinen politiikka on jokaisen tunnustetun kehyksen ensimmäinen askel. Kyse on varovaisuuden valinnasta, ei laillisesta seuraamuksesta.
Lähteet: direktiivi (EU) 2022/2555, 2, 3 ja 41 art. sekä liitteet I ja II · komission suositus 2003/361/EY · Euroopan komissio, NIS2-direktiivin sivu · Ranska: ANSSI, NIS 2 -sivu (MesServicesCyber).
Jokainen yllä oleva sääntelyä tai normeja koskeva väite viittaa johonkin näistä lähteistä. Linkit johtavat virallisen julkaisijan sivuille.
Tämä sivu on tarkoitettu tiedoksi. Se ei ole oikeudellista neuvontaa. Säädöksiin viitataan niiden EUR-Lexissä julkaistussa versiossa; kansalliset täytäntöönpanot ja viranomaisten ohjeet voivat lisätä vaatimuksia.
Itsepalvelutyöpaja on valmisteilla. Kysymykset sillä välin: contact@syaga.eu.