ISO/IEC vaatimustenmukaisuus maksajavirastotehtävissä

Esitys aiheesta: "ISO/IEC vaatimustenmukaisuus maksajavirastotehtävissä"— Esityksen transkriptio:

1 ISO/IEC 27001 vaatimustenmukaisuus maksajavirastotehtävissä
#217976 ISO/IEC vaatimustenmukaisuus maksajavirastotehtävissä

2 Tavoitteet Tietoisuuden varmistaminen maksajaviraston keskeisistä ISO/IEC vaatimuksista ISO/IEC soveltamistapalausunnon ja tietoturvatyökirjan tarkoituksenmukainen käyttäminen tietoturvan hallintajärjestelmän vaatimustenmukaisuuden osoittamiseen Uuden tietoturvatyökirja version esittely

3 Maksajaviraston delegoitujen tahojen tietoturva on tärkeä osa maksajaviraston tietoturvallisuutta!
Maksajavirastotoimijoiden ISO/IEC vaatimustenmukaisuus on edennyt hyvin Hallintajärjestelmämalli on vakiintunut. Tarvittava työpanostus on siirtymässä yhä enemmän hyvän tason säilyttämiseen ja ylläpidon sekä jatkuvan parantamisen tehtäviin

4 Maksajaviraston tietoturvavaatimukset
ISO/IEC hallintajärjestelmän toteuttaminen Delegoidun tahon ISO/IEC soveltamistapalausunto ISO/IEC vaatimuksen soveltaminen maksajavirastotehtäviin Tietoturvatyökirja, soveltamisen todentaminen Hallintajärjestelmän ylläpitäminen ja parantaminen Riskienhallinnan vaikuttava toteuttaminen Sisäiset auditoinnit, suunnittelu ja toteuttaminen Johdon katselmus (maksajavirastovakuutus) Maksajaviraston delegoitujen tahojen on luotava ja toteutettava maksajavirastotehtävien tietoturvallisuuden hallintaa koskevat menettelyt ja käytännön toimenpiteet sekä ylläpidettävä ja parannettava niitä jatkuvasti Maaseutuviraston esittämien vaatimusten ja ohjeiden mukaisesti

5 Hallintajärjestelmän toteuttaminen
Maksajaviraston ISO/IEC vaatimuksen soveltamistapa Maksajavirastotoimijan soveltamistapalausunnossa kuvaus vaatimuksen soveltamisesta ei vaatimuksen tilasta Soveltamistapa voi olla viittaus esim. tietoturvakäytännöt dokumenttiin, josta soveltaminen helposti todennettavissa Tietoturvatyökirjassa dokumentoitu tieto soveltamisesta Soveltamistavan mukaisen toiminnan todentaminen Työkirjan välilehdet tulee olla kaikki käytössä. Linkitys työkirjassa on ok, mikäli tieto on kirjattuna muualle Tietoturvatyökirjassa: Organisointi, Vuosikello, Suojattavat kohteet, Tavoiteasetanta, Riskienhallinta, Jatkuvuuden hallinta, Häiriöt, Sisäinen auditointi, Itseauditointi, Johdon katselmus ja Toimintasuunnitelma

6 Hallintajärjestelmän parantaminen
Riskien ja mahdollisuuksien käsittelyn avulla Varmistetaan, että halutut tulokset voi saavuttaa Estetään tai vähennetään ei-toivottuja vaikutuksia Sisäisten ja ulkoisten auditointien toteutuksen avulla Varmistetaan, hallintajärjestelmä on vaatimusten mukainen Toteutetaan ja ylläpidetään auditointisuunnitelmia Johdon katselmuksen avulla Varmistetaan, että hallintajärjestelmä on soveltuva, asianmukainen ja vaikuttava Otetaan huomioon jatkuvan parantamisen mahdollisuudet

7 Riskienhallinnan vaatimukset
Riskienarvioinnin arviointiprosessin on tuotettava Yhdenmukaisia, päteviä ja verrattavia olevia tuloksia Luottamuksellisuuteen, eheyteen ja saatavuuteen liittyvät riskit tulee arvioida ja käsitellä Määrittely riskin tasosta (todennäköisyys ja seuraukset) Tunnistetta riskin omistaja Riskienkäsittelyn tulee tuottaa suunnitelma Riskeihin ja mahdollisuuksiin kohdistuvista toimenpiteistä Toimenpiteiden vastuuttamisesta ja aikatauluttamisesta

8 Auditointien vaatimukset
Sisäisiä auditointeja on tehtävä suunnitelluin aikavälein Auditointitulosten perusteella on voitava määrittää onko hallintajärjestelmä omien vaatimusten ja ISO standardin vaatimusten mukainen Auditoinnin voi suorittaa omavalvontana/itsearviointina Varmistettava auditointien tulosten raportointi Säilytettävä tiedot auditointisuunnitelmasta ja tuloksista

9 Johdon katselmuksen vaatimukset
Johdon katselmuksessa on otettava huomioon Johdon katselmuksissa käynnistettyjen toimenpiteiden tilanne Hallintajärjestelmän kannalta oleelliset sisäiset ja ulkoiset muutokset Tietoturvan tasoa koskeva palaute poikkeamat ja korjaavat toimenpiteet seurannan ja mittauksen tulokset auditointien tulokset tietoturvatavoitteiden täyttyminen Sidosryhmien antama palaute Riskien arvioinnin tulokset sekä riskinkäsittelysuunnitelman tilanne Jatkuvan parantamisen mahdollisuudet. Työkirjan välilehteä apuna käyttäen ko. vaatimukset täyttyvät

10 Tietoturvatyökirja Uutena sisältönä Jatkuvuuden hallinta välilehden sarakkeet Uhkaskenaario: Mitä toiminnan jatkuvuutta uhkaavaa voisi tapahtua? Altistavat puutteet ja heikkoudet: Miksi tämä voisi tapahtua? Vaikutusanalyysi: Mitä vaikutuksia tapahtumalla voisi olla? Ennaltaehkäisevät järjestelyt: Mitä voidaan tehdä, että uhka ei toteutuisi tai sen vaikutukset jäisivät mahdollisimman vähäiseksi? Toipumismenettelyt: Mitä keinoja voidaan käyttää uhan toteutuessa? Status: Etukäteisjärjestelyjen tilanne = valmius Lisätietoja Tietoturvatyökirjan tavoitteena on tarjota Mahdollisimman kattava ja selkeä kokonaisuus, joka sisältää keskeiset ISO/IEC standardin maksajavirastotehtäviin asettamat dokumentoidun tiedon vaatimukset Jatkuvan parantamien ja johdon katselmuksen väline, jonka avulla voidaan muodostaa kokonaiskäsitys hallintajärjestelmän soveltuvuudesta, vaikuttavuudesta ja parantamisen mahdollisuuksista.