Mitä on fyysinen tietoturva?

Tässä artikkelissa tutustumme fyysisen tietoturvan merkitykseen, uhkiin ja niihin keinoihin, joilla tietoja voidaan suojata fyysisiltä riskeiltä. Käymme läpi niin tilojen suunnittelun, turvajärjestelmien käytön kuin henkilöstön roolin tärkeyden kokonaisvaltaisen tietoturvallisuuden toteutuksessa.

Artikkelin tavoitteena on auttaa ymmärtämään, miten fyysinen tietoturva on osa tuotantolaitoksen tietoturvakokonaisuutta, ja miten sitä voidaan parantaa tehokkaasti.

Fyysisen tietoturvan määritelmä

Fyysinen tietoturva pitää sisällään kaikki ne keinot, joilla organisaation tärkeitä tietoja suojataan fyysisiltä uhilta. Perustan muodostavat tiedon käsittely- ja säilytystiloja suojaavat, ympärillä olevat fyysiset rakenteet sekä esimerkiksi tarvittavat näkösuojat, äänieristykset ja kulunvalvonta.

Mitä on fyysinen tietoturva?

Fyysinen tietoturva on yksi tietoturvan kolmesta keskeisestä osa-alueesta hallinnollisen ja teknisen tietoturvan lisäksi. Tietoturvan yleisenä päätavoitteena on tietojen luottamuksellisuuden, saatavuuden ja eheyden varmistaminen. Fyysisen tietoturvan vastuulla on tuotanto- ja työtilojen sekä niissä sijaitsevien laitteiden, fyysisen dokumentaation ja tietojärjestelmien suojaaminen erityyppisiä fyysisiä uhkia vastaan.

Fyysisen tietoturvan riskit voivat olla esimerkiksi tulipaloja, sähkö- ja vesivahinkoja sekä varkauksia, väärinkäytöksiä ja ilkivaltatapauksia. Nätä torjutaan fyysisen tietoturvan keinoilla, jotka suunnitellaan estämään luvaton fyysinen pääsy tietoverkkoihin, laitteisiin ja muuhun fyysiseen materiaaliin, kuten työasemiin, palvelimiin, verkkokytkimiin ja tulostettuihin yrityksen dokumentteihin.

Tilojen tietoturvallisuuden suojatoimenpiteet ja niiden laajuus pohjautuvat hallinnollisen tietoturvan asettamiin tavoitteisiin, riskiarviointeihin, eri organisaatioiden välisiin sopimuksiin sekä lainsäädäntöön. Erityisen tärkeää tämä on, kun kyseessä on viranomaisen luokitteleman tiedon suojaaminen.

Fyysisen tietoturvan näkökulmasta on ensiarvoisen tärkeää laatia huolelliset riskiarvioinnit, sillä toimitilojen sijainnilla ja suunnittelulla on suuri merkitys siinä, miten suojaustoimet voidaan tai tulee järjestää. Esimerkiksi toimitilojen sijaintikerros, rakennuksen muut toimijat, muiden organisaatioiden mahdolliset poistumisreitit tilojen läpi sekä tilojen seinä-, lattia- ja kattorakenteet voivat vaikuttaa merkittävästi turvajärjestelyihin.

Mitä fyysinen tietoturva sisältää?

Fyysinen tietoturva sisältää toimenpiteitä, joiden avulla tärkeitä tietoja suojellaan erilaisilta fyysisiltä vaaroilta. Näitä suojaustoimenpiteitä ovat esimerkiksi tiedon käsittely- ja säilytystilojen fyysiset rakenteet, näkösuojaukset, äänieristys ja sähköiset turvajärjestelmät, kuten kameravalvonta, kulunvalvonta, hälytysjärjestelmät sekä lukitus- ja palonilmaisujärjestelmät. Lisäksi vartiointipalvelut voivat olla osa fyysistä tietoturvaa. On tärkeää, että näiden järjestelmien käyttö ja laajuus perustuvat riskiarviointiin, jotta voidaan varmistaa, että suojatoimenpiteet ovat asianmukaiset suhteessa tunnistettuihin riskeihin.

Tietoturvaratkaisut työasemiin

Tietoturvakriittisten työasemien fyysinen suojelu on välttämätöntä organisaation tietovarastojen ja ‑järjestelmien turvaamiseksi. Siihen on olemassa monia eri keinoja.

Fyysinen este

Työasemat voidaan sijoittaa lukittaviin kaappeihin tai häkkeihin, joilla estetään pääsy laitteisiin. Nämä rakenteet suunnitellaan siten, että ilmanvaihto ja jäähdytys toimivat, mutta laitteisiin käsiksi pääsemistä on vaikeutettu.

Porttien lukitus

USB-portit ja muut liitäntäpisteet voidaan mekaanisesti lukita tai suojata erityisillä estolaitteilla, jotka estävät ulkopuolisten laitteiden liittämisen.

BIOS-tason rajoitukset

Työasemien BIOS-asetuksissa voidaan asettaa rajoituksia sille, mitkä laitteet voivat käynnistyä. Kuitenkin jo USB-tikkujen tai muiden ulkoisten laitteiden käynnistämisen esto vähentää riskiä haittaohjelmien lataamisesta.

Tilavahdit ja kameravalvonta

Strategisesti sijoitetut valvontakamerat ja tilavahdit voivat pelottaa mahdollisia hyökkääjiä ja tarjota lisäsuojaa kriittisille alueille.

Turva-alueet

On suositeltavaa määritellä suojattaville tiloille erilliset turva-alueet tai -vyöhykkeet, jotka auttavat toteuttamaan tehokkaan suojauksen. Tällaisen kehämäisen suojauksen ytimessä on yleensä kaikkein tärkein suojattava alue, esimerkiksi palvelinkeskus tai tila, jossa säilytetään turvaluokiteltuja tietoja.

Turva-alueiden rajat tulisi suojata paitsi kiinteillä esteillä, kuten seinillä, myös esimerkiksi kulunvalvonta- tai lukitusjärjestelmien avulla. Näin voidaan varmistaa, että tiloihin pääsevät vain ne henkilöt, joilla on todellinen tarve pääsyyn. Tämä auttaa estämään ilkivallan, vahingot ja väärinkäytökset, ja lisäksi rajojen olemassaolo helpottaa mahdollisten poikkeamien, rikosten tai väärinkäytösten selvittämistä.

Kulunhallinta

Avainten ja kulkutunnisteiden hallinta on erittäin tärkeää kulun- ja pääsynhallinnassa, sillä vaikka ovi olisi kuinka vahva tahansa, se avautuu helposti oikealla avaimella. Tämän vuoksi kriittisiin tiloihin pääsyyn saatetaan vaatia koodin syöttäminen avaimen tai kulkutunnisteen lisäksi.

On mahdollista, että tuotanto- ja toimitiloille on määritettävä tiettyjä vierailukäytäntöjä riskiarviointien perusteella. Vierailijoiden hallinta on olennainen osa fyysistä tietoturvaa ja sen avulla voidaan vähentää tietomurtojen ja ilkivallan todennäköisyyttä. Vierailijakäytäntöihin voivat kuulua esimerkiksi vierailijoiden vastaanotto tietyssä tilassa, saattaminen tiloissa, vierailijakortit ja vierailijoiden kirjaaminen.

Suojautuminen olosuhteilta

Fyysinen tietoturva sisältää myös suojautumisen erilaisilta olosuhteilta, kuten tulipaloilta, vesivahingoilta ja sähkövaurioilta. Tämä voidaan toteuttaa esimerkiksi riittävän ilmanvaihdon, palokuorman vähentämisen, palonilmaisu- ja sammutusjärjestelmien sekä katkottoman sähkönsyötön avulla. Tärkeää on valita kuhunkin tilaan ja tarkoitukseen sopivat ratkaisut. Rakennusautomaatiojärjestelmillä, kuten lämpötilan ja kosteuden säätelyllä, on myös merkittävä rooli palvelintilojen fyysisen tietoturvan ylläpitämisessä.

Katso video: Physical Security Part 1: Intro and Site Barriers

Miten fyysinen tietoturva toteutetaan tuotantoyrityksen OT-verkossa?

Tuotantoyrityksen OT-verkon fyysinen tietoturva on erityisen tärkeää. Näissä verkoissa hallitaan kriittisiä prosesseja, jotka vaikuttavat tuotantolaitoksen turvallisuuteen ja tuotantotehokkuuteen.

Fyysisen tietoturvan toteuttaminen OT-verkossa edellyttää useita vaiheita:

1. Riskiarviointi: Ensimmäinen askel on tunnistaa potentiaaliset fyysiset uhat ja arvioida niiden vaikutus yrityksen toimintaan.
2. Fyysisen tietoturvan suunnittelu: Tähän sisältyy tunnistettuihin riskeihin varautuminen turvajärjestelmien ja ‑prosessien suunnittelulla.
3. Toteutus: Tämä vaihe sisältää valittujen turvaratkaisujen asentamisen ja käyttöönoton.
4. Ylläpito ja valvonta: Turvajärjestelmiä ja -prosesseja tulee valvoa ja ylläpitää, jotta varmistetaan niiden tehokkuus pitkällä aikavälillä.
5. Jatkuva parantaminen: Fyysistä tietoturvaa on arvioitava ja parannettava jatkuvasti uusien uhkien ja muuttuvien olosuhteiden mukaan.

Lisäksi on tärkeä ymmärtää, että fyysinen tietoturva on osa kokonaisvaltaista tietoturvaratkaisua, joka sisältää myös teknisen ja hallinnollisen tietoturvan. Niiden kaikkien tulee toimia yhdessä, jotta yrityksen tietoturva olisi mahdollisimman kattava ja tehokas.

Yhteenveto

Fyysinen tietoturva on olennainen osa organisaation tietoturvakokonaisuutta. Se toteutuu osaltaan yrityksen arkipäiväisissä toimissa, jotka auttavat suojaamaan organisaation tietoja. Fyysisen tietoturvan ylläpitämisessä ovat tärkeitä pienet teot, kuten työaseman lukitseminen työpisteeltä poistuttaessa, “puhdas pöytä” -periaatteen noudattaminen, kannettavan tietokoneen turvallinen säilyttäminen kotona, matkoilla ja työpaikalla sekä asiakirjojen oikeaoppinen käsittely ja säilytys.

Henkilöstön sitouttaminen fyysisen tietoturvan periaatteisiin on avainasemassa. Ohjeiden tärkeys on ymmärrettävä, jotta niitä ollaan valmiita noudattamaan. Sen vuoksi olennaista on käytännönläheinen ja yksinkertainen ohjeistus, joka on helposti toteutettavissa ja sisäistettävissä.

Kokonaisuudessaan fyysisellä tietoturvalla on keskeinen rooli sen varmistamisessa, etteivät luvattomat tahot pääse käyttämään tai käsittelemään organisaation tietoja. Päivittäiset toimet ja käytännöt muodostavat merkittävän suojan tietovuotoja ja muita tietoturvauhkia vastaan. Näin suojataan organisaation tietovarastoja ja toiminnan jatkuvuutta.