158 lines
7.1 KiB
Markdown
158 lines
7.1 KiB
Markdown
|
# Tietoturva
|
||
|
|
|
||
|
|
Verkkotunnusvälittäjän on huolehdittava toimintansa tietoturvasta.
|
||
|
|
|
||
|
|
Tietoturvasta huolehtiminen on välittäjän lakisääteinen velvollisuus, josta
|
||
|
|
säädetään sähköisen viestinnän palveluista annetun lain 170.1 §:n kohdassa 6
|
||
|
|
sekä GDPR artiklassa 32.
|
||
|
|
|
||
|
|
Tietoturvalla tarkoitetaan sähköisen viestinnän palveluista annetun lain 3.1
|
||
|
|
§:n 28 kohdan mukaan hallinnollisia ja teknisiä toimia tietojen
|
||
|
|
luottamuksellisuuden, eheyden ja saatavuuden turvaamiseksi.
|
||
|
|
|
||
|
|
Verkkotunnusmääräyksen 68 luvussa neljä kuvataan vähimmäisvaatimukset
|
||
|
|
tietoturvan hallinnoinnille, jotka verkkotunnusvälittäjän tulee toteuttaa
|
||
|
|
toiminnassaan.
|
||
|
|
|
||
|
|
Verkkotunnusmääräyksen perustelut ja soveltaminen tarkentaa konkreettisemmin,
|
||
|
|
miten tietoturvavaatimuksia tulee soveltaa käytännössä.
|
||
|
|
|
||
|
|
## Välittäjän ilmoitusvelvollisuus tietoturvahäiriöistä
|
||
|
|
|
||
|
|
Verkkotunnusvälittäjän on ilmoitettava välitystoimintaan kohdistuvista
|
||
|
|
tietoturvauhkista ja -loukkauksista.
|
||
|
|
|
||
|
|
Tietoturvaloukkauksista ilmoitetaan Traficomin asiointilomakkeella, joka löytyy
|
||
|
|
sisäänkirjautuneen välittäjän www-käyttöliittymässä vasemmasta navigaatiosta.
|
||
|
|
|
||
|
|
Välittäjän on ilmoitettava viipymättä Traficomille, jos sen verkkotunnusten
|
||
|
|
välitystoimintaan kohdistuu
|
||
|
|
|
||
|
|
- merkittävä tietoturvaloukkaus
|
||
|
|
- uhka merkittävästä tietoturvaloukkauksesta tai tapahtumasta, joka estää tai
|
||
|
|
häiritsee toimintaa olennaisesti.
|
||
|
|
|
||
|
|
Samalla on myös ilmoitettava häiriön tai sen uhan
|
||
|
|
|
||
|
|
- arvioitu kesto
|
||
|
|
- vaikutukset
|
||
|
|
- korjaustoimenpiteet
|
||
|
|
- toimenpiteet, joilla häiriön toistuminen pyritään estämään.
|
||
|
|
|
||
|
|
Traficomille annettavassa merkittävää tietoturvahäiriötä koskevassa
|
||
|
|
ilmoituksessa tulee mahdollisuuksien mukaan selvittää häiriön tai uhan syy ja
|
||
|
|
kuvata, miten häiriö on aiheutunut.
|
||
|
|
|
||
|
|
**Tietoturvahäiriöstä on ilmoitettava välittömästi**
|
||
|
|
|
||
|
|
Häiriöilmoitus on tehtävä 24 tunnin kuluessa siitä, kun häiriötilanne on tullut
|
||
|
|
välittäjän tietoon.
|
||
|
|
|
||
|
|
Esimerkiksi tilanteessa, jossa verkkotunnusvälittäjän järjestelmään on
|
||
|
|
tunkeuduttu, on välttämätöntä, että valvova viranomainen saa asiasta viipymättä
|
||
|
|
tiedon. Vaarana on, että tunkeutuja voi päästä vapaasti muuttamaan kyseisen
|
||
|
|
välittäjän hallinnoimien verkkotunnusten tietoja, kuten esimerkiksi
|
||
|
|
nimipalvelimia. Uhka voi koskea laajaakin asiakasmäärää riippuen välittäjän
|
||
|
|
asiakaskunnasta.
|
||
|
|
|
||
|
|
Jos kaikkia ilmoituksessa esitettyjä tietoja ei ole saatavilla ja tilannetta on
|
||
|
|
tutkittava tarkemmin, tehdään viimeistään 24 tunnin kuluessa ns. alustava
|
||
|
|
ilmoitus, jota täydennetään mahdollisimman pian, viimeistään kuitenkin kolmen
|
||
|
|
(3) päivän kuluttua alustavasta ilmoituksesta.
|
||
|
|
|
||
|
|
Jos tutkimuksista huolimatta verkkotunnusvälittäjä ei pysty antamaan kaikkia
|
||
|
|
tietoja kolmen päivän kuluessa alustavasta ilmoituksesta, on ilmoitettava
|
||
|
|
kyseisessä määräajassa käyttöön saadut tiedot ja perusteltava, miksi loput
|
||
|
|
tiedot ilmoitetaan määräajan jälkeen.
|
||
|
|
|
||
|
|
## Merkittävät tietoturvaloukkaukset
|
||
|
|
|
||
|
|
Merkittävistä välittäjätoimintaan kohdistuvista tietoturvaloukkauksista on
|
||
|
|
ilmoitettava Traficomille.
|
||
|
|
|
||
|
|
Tietoturvaloukkausten vaikutukset voivat kohdistua tietojen tai
|
||
|
|
tietojärjestelmien luottamuksellisuuteen, eheyteen tai saatavuuteen.
|
||
|
|
|
||
|
|
Luottamuksellisuus: Tiedot ja käyttäjätunnuksiin liittyvät todentamistiedot
|
||
|
|
ovat vain niihin oikeutettujen tahojen tiedossa.
|
||
|
|
|
||
|
|
Eheys: Tietoja ei ole mahdollista muuttaa oikeudettomasti. Sivullisten ei ole
|
||
|
|
mahdollista vaikuttaa tietojärjestelmien toimintaan.
|
||
|
|
|
||
|
|
Saatavuus: Palvelu ja sen sisältämät tiedot ovat siihen oikeutettujen tahojen
|
||
|
|
saatavissa.
|
||
|
|
|
||
|
|
## Tietoturvaloukkausten merkittävyyden arviointi
|
||
|
|
|
||
|
|
Tietoturvaloukkauksen tai muun tapahtuman merkittävyyttä arvioitaessa on
|
||
|
|
kiinnitettävä huomiota tapauksen haitallisiin vaikutuksiin tai tietoturvauhan
|
||
|
|
vakavuuteen. Merkittävänä voidaan pitää aina sitä, että tietoturvahäiriö
|
||
|
|
kohdistuu johonkin seuraavista suojattavista kohteista:
|
||
|
|
|
||
|
|
- verkkotunnusvälittäjän omiin palveluihin ja palvelujen tuotantoon käytettäviin
|
||
|
|
tieto- ja viestintäjärjestelmiin
|
||
|
|
- verkkotunnusvälittäjän asiakkaiden tietoturvaan, henkilötietojen suojaan tai
|
||
|
|
yrityssalaisuuksien suojaan
|
||
|
|
- Traficomin hallinnoimaan Suomen fi-juureen (joko suoraan tai välillisesti
|
||
|
|
verkkotunnusvälittäjään kohdistuneen tietoturvaloukkauksen seurauksena).
|
||
|
|
|
||
|
|
Merkittävänä voidaan myös pitää usein toistuvaa, poikkeuksellisen pitkäkestoista
|
||
|
|
tai tahalliselta vaikuttavaa toimintaa, jolla on negatiivisia vaikutuksia
|
||
|
|
verkkotunnusvälittäjän kykyyn huolehtia välitystoimintansa tietoturvasta.
|
||
|
|
Lisäksi merkittävänä voidaan pitää sitä, että häiriötä ei ole mahdollista
|
||
|
|
poistaa pelkillä verkkotunnusvälittäjän omilla toimenpiteillä.
|
||
|
|
|
||
|
|
## Ilmoitusvelvollisuuteen kuuluvia tietoturvaloukkaustyyppejä
|
||
|
|
|
||
|
|
Alla oleva luettelo ilmoitettavista tietoturvaloukkaustyypeistä ei ole
|
||
|
|
tyhjentävä, vaan sen on tarkoitus kuvata ilmoituskynnyksen vakavuustasoa.
|
||
|
|
Harkinnan mukaan myös vähäisemmistä tietoturvaloukkauksista ja niiden uhkista
|
||
|
|
kannattaa ilmoittaa Traficomille.
|
||
|
|
|
||
|
|
Traficomille ilmoitettavia merkittäviä tietoturvahäiriöitä ovat esimerkiksi:
|
||
|
|
|
||
|
|
- tietomurrot verkkotunnusvälittäjän tietojärjestelmiin
|
||
|
|
- oikeudeton pääsy verkkotunnusvälittäjän järjestelmään
|
||
|
|
- verkkotunnusvälittäjän järjestelmässä oleva tietoturvaa vaarantava
|
||
|
|
haavoittuvuus tai konfiguraatiovirhe.
|
||
|
|
- sisäänkirjautumistunnusten päätyminen kolmannen osapuolen tietoon
|
||
|
|
- Traficomin järjestelmiin käytettävien sisäänkirjautumistunnusten päätyminen
|
||
|
|
ulkopuolisille.
|
||
|
|
|
||
|
|
Oikeudettomat muutokset
|
||
|
|
|
||
|
|
- mahdollisuus oikeudettomasti muuttaa verkkotunnusvälittäjän hallinnoimien
|
||
|
|
verkkotunnusten tietoja
|
||
|
|
- verkkotunnusvälittäjän oman henkilöstön oikeudettomasti suorittamat muutokset
|
||
|
|
Traficomin verkkotunnusrekisteriin
|
||
|
|
- oikeudeton pääsy verkkotunnusvälittäjän asiakkailleen tarjoamaan
|
||
|
|
itsepalveluportaaliin, jonka avulla asiakkaat voivat itse ylläpitää
|
||
|
|
verkkotunnustensa tietoja.
|
||
|
|
|
||
|
|
Palvelunestohyökkäykset
|
||
|
|
|
||
|
|
- jos verkkotunnusvälittäjän järjestelmä lamaantuu ja/tai asiakkaiden pääsy
|
||
|
|
järjestelmään estyy tai
|
||
|
|
- järjestelmän häiriö vaikuttaa Traficomin järjestelmän toimintaan.
|
||
|
|
|
||
|
|
## Suositus vapaaehtoisista ilmoituksista
|
||
|
|
|
||
|
|
Traficom suosittelee, että verkkotunnusvälittäjät ilmoittavat harkintansa mukaan
|
||
|
|
Traficomille myös merkittävää vähäisemmistä tietoturvaloukkauksista ja niiden
|
||
|
|
uhkista. Näillä tiedoilla voi olla merkitystä Traficomin muiden
|
||
|
|
tietoturvatehtävien hoitamisen kannalta.
|
||
|
|
|
||
|
|
Traficomilla on oikeus ryhtyä välttämättömiin toimiin fi-verkkotunnuksia
|
||
|
|
hyödyntämällä toteutettavien yleisiin viestintäverkkoihin tai -palveluihin
|
||
|
|
taikka niiden käyttäjiin kohdistuvien merkittävien tietoturvaloukkausten
|
||
|
|
havaitsemiseksi, estämiseksi, selvittämiseksi ja esitutkintaan saattamiseksi.
|
||
|
|
Traficom voi ryhtyä näihin toimiin verkkotunnuksen käyttäjää kuulematta.
|
||
|
|
|
||
|
|
Traficomin suorittamat välttämättömät toimet voidaan kohdistaa fi-juuren
|
||
|
|
nimipalvelintietoihin ja ne voivat käsittää:
|
||
|
|
|
||
|
|
- verkkotunnukseen suuntautuvan liikenteen estämisen tai rajoittamisen
|
||
|
|
- verkkotunnukseen suuntautuvan liikenteen ohjaamisen toiseen
|
||
|
|
verkko-osoitteeseen
|
||
|
|
- muut näihin rinnastettavat tekniset toimenpiteet.
|