What is information security? A guide to secure business!

Jokaisella yrityksellä on hallussaan tietoja, jotka ovat yritykselle tärkeitä ja turvaamista vaativia. Toimenpiteitä ja menettelyitä, joilla nämä asiat suojataan, kutsutaan yhteisellä nimellä tietoturvaksi.

There are many reasons to secure your data:

Esimerkiksi taloudellisesta näkökulmasta tärkeitä näkökohtia ovat liikesalaisuuksien suojaaminen ja toiminnan jatkuvuuden varmistaminen. Tietoturvalaeilla ja tietoturvasääntelyllä puolestaan määrätään erilaisten aineistojen, kuten henkilötietojen käsittelystä. Tässä artikkelissa määrittelemme tietoturvan ja tutustumme sen eri osa-alueisiin.

What is information security? [definition]

Tietoturvallisuus tarkoittaa toimenpiteitä ja menetelmiä, joita käytetään tietojen, tietojärjestelmien ja tietoverkkojen turvaamiseen. Tietoturvan toteuttamisen tavoitteena on varmistaa tiedon saatavuus, luottamuksellisuus ja eheys. Seuraavaksi tutustutaan näihin jokaiseen erikseen.

Availability (availability)

The usability of information security tarkoitetaan kyvykkyyttä tarjota käyttäjille jatkuva ja luotettava pääsy tietoihin ja tietojärjestelmiin. Tämä tarkoittaa, että järjestelmät toimivat suunnitellusti ja häiriöttömästi, ja että tiedot ovat saatavilla, kun käyttäjät niitä tarvitsevat.

Confidentiality (confidentiality)

The confidentiality principle of data security on menetelmä, jolla pyritään estämään luvaton pääsy organisaation tietoihin. Näin varmistetaan, että tiedot ovat vain niiden henkilöiden saatavilla, joilla on oikeus ja tarve hallita kyseisiä tietoja. Tällä tavoin tiedot suojataan väärinkäytöltä.

Integrity

Data integrity tarkoitetaan tietojen ja järjestelmien muuttumattomuuden, yhtenäisyyden ja täsmällisyyden varmistamista. Tiedot eivät saa muuttua vahingossa tai tahallisesti tapahtuvan manipuloinnin takia, eivätkä korruptoitua tai tuhoutua. Eheyden vaatimus koskee tietosisältöjen lisäksi myös niiden metatietoja ja rakenteita. On tärkeää huomata, että tietoturvatoimenpiteet kannattaa kohdistaa vain niihin tieto-osioihin, joita ne konkreettisesti koskevat.

These three areas can be complemented by the following:

• Indisputability: Indisputability on tietoturvan periaate, jolla varmistetaan, että digitaalisesta toiminnasta jää kiistaton ja muuttamaton todiste. Esimerkiksi sähköpostissa käytetty digitaalinen allekirjoitus takaa viestin kiistämättömyyden. Näin sillä vahvistetaan lähettäjän henkilöllisyys ja viestin eheys.
• Testimony: Tunnistus on prosessi, jolla henkilön, järjestelmän tai palvelun henkilöllisyys todennetaan esimerkiksi salasanan tai biometrisen tiedon perusteella. Esimerkiksi verkkopankissa käyttäjän tunnistaminen tapahtuu henkilökohtaisen salasanan ja/tai tunnuslukulistojen avulla.
• Verification: Todennus on prosessi, jolla vahvistetaan, että henkilön, järjestelmän tai palvelun väitetty henkilöllisyys on todellinen. Esimerkkinä toimii kaksivaiheinen todennus, jossa käyttäjän identiteetti vahvistetaan käyttäjätunnuksen ja salasanan lisäksi tekstiviestinä saapuvalla kertakäyttöisellä koodilla.

Information security threat

Mitä tietoturvauhalla tarkoitetaan? Tietoturvauhalla tarkoitetaan potentiaalisia riskejä ja uhkia, jotka saattavat heikentää tietoturvan edellä mainittuja periaatteita eli tiedon saatavuutta, luottamuksellisuutta ja eheyttä. Uhat voivat olla sekä sisäisiä että ulkoisia, ja niitä voivat aiheuttaa esimerkiksi haittaohjelmat, tietomurrot, hakkerointi, inhimilliset virheet tai tekniset vikatilanteet. Tietoturvauhkien ymmärtäminen ja hallinta ovat keskeisessä asemassa tietoturvan toteuttamisessa.

Katso, mitkä ovat yleisimmät tietoturvauhat

Tuotantoverkon tietoturvauhat

A production network, which is often a complex system of different IT components and software, can be subject to many different types of security threats:

• Malware: Virukset, madot, troijalaiset ja muut haittaohjelmat voivat tunkeutua tuotantoverkkoon ja aiheuttaa merkittävää vahinkoa. Esimerkkejä tästä ovat tietojen menetykset, vahingollinen toiminta tai jopa koko järjestelmän lamaantuminen.
• Hacking: Outside attackers may try to break into the network and gain access to its resources. This can lead to leakage of sensitive data, unauthorized access to the system or even denial of service attacks.
• Technical failures: Technical faults or incompatibility problems with hardware or software can cause interruptions or disruptions in the operation of the production network.
• Human error: Työntekijöiden tekemät virheet tai tietämättömyys voivat aiheuttaa tietoturvauhkia. Esimerkiksi heikot salasanakäytännöt tai huolimaton sähköpostin käsittely voivat avata oven haittaohjelmille tai hakkerointiyrityksille.
• Sisäiset uhat: Harvemmin mainittu, mutta yhtä lailla tärkeä on sisäisten uhkien riski. Tämä voi liittyä esimerkiksi tyytymättömiin työntekijöihin, jotka saattavat tahallisesti vahingoittaa järjestelmää, tai sisäisiin tietovuotoihin, joissa voi paljastua arkaluontoisia tietoja.

Jokainen näistä tietoturvauhista edellyttää omia erityisiä torjuntakeinojaan ja tietoturvallisuuden strategioita. Tästä syystä on tärkeää ymmärtää tietoturvauhkien laajuus ja monimuotoisuus tuotantoverkossa.

Tutustu tarkemmin OT-verkkoihin laajan oppaamme avulla: Mikä on OT-verkko – opas tuotantoverkkojen maailmaan!

The data to be protected by data security covers many different data formats

01. Security of digital recordings

Tietoturvan piiriin kuuluvat ennen kaikkea digitaaliset tallenteet. Ne voivat sisältää esimerkiksi asiakastietoja, yrityksen taloustietoja, sähköpostiviestejä ja ohjelmistoja. Digitaaliset tiedot saattavat olla erityisen alttiita tietoturvauhille, jos ne ovat saatavilla etäyhteyden kautta. Tällöin niitä voidaan yrittää käyttää tai muuttaa luvattomasti.

02. Security of physical recordings

Toiseksi myös fyysiset tallenteet tulee suojata. Vaikka monissa yrityksissä on siirrytty sähköisiin järjestelmiin, myös paperitallenteita käytetään edelleen jossain määrin. Fyysiset tallenteet voivat sisältää esimerkiksi paperidokumentteja, kirjallisia muistiinpanoja, tulosteita ja muita manuaalisesti tuotettuja tietolähteitä. Nämä fyysiset tallenteet tulee säilyttää turvallisesti lukituissa arkistokaapeissa tai muissa turvallisissa säilytystiloissa, ja niiden hävittämiseen on käytettävä tietoturvallisia menetelmiä, kuten silppuamista. Tähän kategoriaan sisältyvät myös käytöstä poistettavat tallennusvälineet, kuten kovalevyt ja muistitikut.

03. Protecting people's knowledge

Kolmanneksi tietoturva kattaa myös ihmisten tietämyksen. Tähän voivat sisältyä työntekijöiden tai muiden sidosryhmien tiedot yrityksen toiminnasta, tietojärjestelmistä tai salasanoista. Tämä tietämys voi olla erityisen arkaluonteista ja arvokasta, joten se tulee suojata asianmukaisesti. Työntekijöiden tietoturvakoulutus ja asianmukaiset käyttöoikeudet ovat avainasemassa tämän tyyppisen tiedon suojaamisessa.

04. Tietojen suojaaminen siirron aikana

Neljänneksi tietoturvan tulee kattaa myös tietojen suojaaminen niiden siirron aikana. Tietojen siirtoon liittyy usein tietoturvauhkia, sillä sen aikana tiedot ovat erityisen alttiita luvattomalle käytölle tai vahingoittumiselle. Tietoturvaa voidaan parantaa käyttämällä salausta tietojen lähettämiseen tai käyttämällä turvallisia tiedonsiirtomenetelmiä, kuten VPN-yhteyksiä. Lisäksi kannattaa varmistaa, että vain valtuutetuilla henkilöillä on siirrettävien tietojen käyttöoikeus.

Information security components

Information security is divided into three main categories, all of which are key to building a company's overall cybersecurity posture:

• administrative data security
• technical security
• physical security

What does administrative information security mean?

Hallinnollinen tietoturva tarkoittaa organisaation toimintatapoja, menettelyjä ja ohjeistuksia, joilla ohjataan tietojärjestelmän suojaamista käytännön tasolla. Tämä voi tarkoittaa esimerkiksi tietoturvapolitiikan laatimista, tietoturvakoulutuksen järjestämistä tai tietoturvaa koskevien vastuujärjestelyjen määrittämistä.

Read more hallinnollisesta tietoturvasta

What does technical information security mean?

Tekninen tietoturva tarkoittaa tietotekniikan ja tietoverkkojen suojauksen menetelmiä ja välineitä. Tässä voidaan käyttää esimerkiksi palomuuria tai firewall service, anti-malware software, encryption or access control systems.

Read more teknisestä tietoturvasta

What is physical data security?

Fyysinen tietoturva tarkoittaa toimenpiteitä, joilla suojataan fyysiset laitteet, kuten tietokoneet, palvelimet ja verkkolaitteet, sekä tilat, joissa nämä laitteet sijaitsevat. Fyysiseen tietoturvaan voivat kuulua esimerkiksi lukitusjärjestelmät, kameravalvonta tai vanhentuneiden laitteiden ja tallenteiden tietoturvallinen hävitys.

Read more fyysisestä tietoturvasta

What is data protection?

Tietosuoja on olennainen osa yksilön oikeutta yksityisyyteen. Sillä viitataan erityisesti henkilötietojen suojeluun: kyse on tiedoista, joilla voidaan tunnistaa henkilö. Näitä ovat esimerkiksi nimi, osoite tai henkilötunnus. Tietosuoja koskee sekä yksilöiden että yritysten toimintaa, ja sen tarkoituksena on estää henkilötietojen väärinkäyttö ja turvata yksilön oikeudet.

Data protection and data security are closely linked

Information security on joukko toimenpiteitä, joilla pyritään suojaamaan tiedot turmeltumiselta, luvattomalta pääsyltä tai väärinkäytöltä.

Data protection puolestaan keskittyy siihen, miten henkilötietoja kerätään, säilytetään, käsitellään ja tuhotaan. Toisin sanoen tietoturva on väline, jonka avulla tietosuojaa voidaan toteuttaa käytännössä.

Implementing data protection in your company

Yritykset käyttävät monia palveluita ja toimintoja, joilla käsitellään henkilötietoja. Niissä kaikissa on tärkeää varmistaa tietosuoja. Esimerkkejä kyseisistä palveluista ja toiminnoista ovat:

• customer records
• online shops
• marketing systems
• human resources management systems

Companies must take various measures to protect personal data. These can take the form of technical solutions, such as encryption or firewalls, and organisational measures, such as privacy policies and training. These safeguards are designed to ensure that personal data is processed lawfully, securely and transparently.

Another important part of data protection is respecting the rights of users, i.e. the people who provide personal data. This means, among other things, the right to be informed about what data is collected, how it is used and who has access to it. Users also have the right to request the correction, deletion or transfer of inaccurate data.

Link to the Data Protection Act

Summary

Tietoturva on nykyisessä turvallisuusympäristössä olennainen osa yrityksen ydintoimintaa ja sen merkitystä ei voida korostaa liikaa. Kuten tässä johdannossa on kuvattu, se ei ole pelkästään tekninen kysymys, vaan se vaatii laaja-alaista ymmärrystä yrityksen toiminnoista, riskeistä ja toimenpiteistä, joilla näitä riskejä hallitaan.

Meiltä tiedustellaan usein nimenomaan tekniseen tietoturvaan liittyviä toimenpiteitä huomioimatta, että tietoturva kokonaisuutena kattaa niin hallinnollisen, teknisen kuin fyysisenkin turvallisuuden. Suojaamisen vaatimat toimenpiteet vaihtelevat laite- ja ohjelmistotason ratkaisuista aina koko organisaation tietoturvapolitiikkaan ja ‑kulttuuriin saakka. Turvallisuus ei ole vain jokin toiminto, joka laitetaan kerran päälle, vaan sen ylläpitäminen vaatii jatkuvaa yrityksen sisäistä tarkkailua, oppimista ja parantamista.

Yhteenvetona voidaan todeta, että jokaisen yrityksen on syytä ottaa tietoturva vakavasti. Yrityksen tulee suojata tarkasti ne digitaaliset palvelut, joita se asiakkailleen tarjoaa. Näin suojataan paitsi yritystiedot, myös asiakkaiden arkaluonteinen data. Tietoturvan eteen tehty työ ei ole koskaan hukkaan heitettyä. Kun tietoturva on kunnossa, yritys on valmiimpi kohtaamaan digitaalisen aikakauden haasteet ja mahdollisuudet. Tästä syystä yritysten on syytä panostaa tietoturvaan nyt enemmän kuin koskaan.

Frequently asked questions about information security