What is physical data security?

Tässä artikkelissa tutustumme fyysisen tietoturvan merkitykseen, uhkiin ja niihin keinoihin, joilla tietoja voidaan suojata fyysisiltä riskeiltä. Käymme läpi niin tilojen suunnittelun, turvajärjestelmien käytön kuin henkilöstön roolin tärkeyden comprehensive information security implementation.

Artikkelin tavoitteena on auttaa ymmärtämään, miten fyysinen tietoturva on osa tuotantolaitoksen tietoturvakokonaisuutta, ja miten sitä voidaan parantaa tehokkaasti.

Fyysisen tietoturvan määritelmä

Fyysinen tietoturva pitää sisällään kaikki ne keinot, joilla organisaation tärkeitä tietoja suojataan fyysisiltä uhilta. Perustan muodostavat tiedon käsittely- ja säilytystiloja suojaavat, ympärillä olevat fyysiset rakenteet sekä esimerkiksi tarvittavat näkösuojat, äänieristykset ja kulunvalvonta.

What is physical data security?

Fyysinen tietoturva on yksi tietoturvan kolmesta keskeisestä osa-alueesta hallinnollisen ja technical security lisäksi. Tietoturvan yleisenä päätavoitteena on tietojen luottamuksellisuuden, saatavuuden ja eheyden varmistaminen. Fyysisen tietoturvan vastuulla on tuotanto- ja työtilojen sekä niissä sijaitsevien laitteiden, fyysisen dokumentaation ja tietojärjestelmien suojaaminen erityyppisiä fyysisiä uhkia vastaan.

Fyysisen tietoturvan riskit voivat olla esimerkiksi tulipaloja, sähkö- ja vesivahinkoja sekä varkauksia, väärinkäytöksiä ja ilkivaltatapauksia. Nätä torjutaan fyysisen tietoturvan keinoilla, jotka suunnitellaan estämään luvaton fyysinen pääsy tietoverkkoihin, laitteisiin ja muuhun fyysiseen materiaaliin, kuten työasemiin, palvelimiin, verkkokytkimiin ja tulostettuihin yrityksen dokumentteihin.

The security measures and the extent of the security measures for premises are based on hallinnollisen tietoturvan objectives, risk assessments, inter-organizational agreements and legislation. This is particularly important when it comes to protecting information classified by public authorities.

Fyysisen tietoturvan näkökulmasta on ensiarvoisen tärkeää laatia huolelliset riskiarvioinnit, sillä toimitilojen sijainnilla ja suunnittelulla on suuri merkitys siinä, miten suojaustoimet voidaan tai tulee järjestää. Esimerkiksi toimitilojen sijaintikerros, rakennuksen muut toimijat, muiden organisaatioiden mahdolliset poistumisreitit tilojen läpi sekä tilojen seinä-, lattia- ja kattorakenteet voivat vaikuttaa merkittävästi turvajärjestelyihin.

Mitä fyysinen tietoturva sisältää?

Fyysinen tietoturva sisältää toimenpiteitä, joiden avulla tärkeitä tietoja suojellaan erilaisilta fyysisiltä vaaroilta. Näitä suojaustoimenpiteitä ovat esimerkiksi tiedon käsittely- ja säilytystilojen fyysiset rakenteet, näkösuojaukset, äänieristys ja sähköiset turvajärjestelmät, kuten kameravalvonta, kulunvalvonta, hälytysjärjestelmät sekä lukitus- ja palonilmaisujärjestelmät. Lisäksi vartiointipalvelut voivat olla osa fyysistä tietoturvaa. On tärkeää, että näiden järjestelmien käyttö ja laajuus perustuvat riskiarviointiin, jotta voidaan varmistaa, että suojatoimenpiteet ovat asianmukaiset suhteessa tunnistettuihin riskeihin.

Security solutions for workstations

Tietoturvakriittisten työasemien fyysinen suojelu on välttämätöntä organisaation tietovarastojen ja ‑järjestelmien turvaamiseksi. Siihen on olemassa monia eri keinoja.

Physical barrier

Työasemat voidaan sijoittaa lukittaviin kaappeihin tai häkkeihin, joilla estetään pääsy laitteisiin. Nämä rakenteet suunnitellaan siten, että ilmanvaihto ja jäähdytys toimivat, mutta laitteisiin käsiksi pääsemistä on vaikeutettu.

Locking of gates

USB ports and other connection points can be mechanically locked or protected by special blocking devices that prevent the connection of external devices.

BIOS level restrictions

The BIOS settings for workstations can set restrictions on which devices can boot. However, even preventing USB sticks or other external devices from booting reduces the risk of malware downloads.

Tilavahdit ja kameravalvonta

Strategisesti sijoitetut valvontakamerat ja tilavahdit voivat pelottaa mahdollisia hyökkääjiä ja tarjota lisäsuojaa kriittisille alueille.

Safety zones

On suositeltavaa määritellä suojattaville tiloille erilliset turva-alueet tai -vyöhykkeet, jotka auttavat toteuttamaan tehokkaan suojauksen. Tällaisen kehämäisen suojauksen ytimessä on yleensä kaikkein tärkein suojattava alue, esimerkiksi palvelinkeskus tai tila, jossa säilytetään turvaluokiteltuja tietoja.

The boundaries of secure areas should be protected not only by fixed barriers, such as walls, but also, for example, by access control or locking systems. This will ensure that only those individuals with a genuine need for access can enter the premises. Not only does this help prevent vandalism, damage and misuse, but the existence of boundaries also makes it easier to detect possible anomalies, crime or abuse.

Access management

Avainten ja kulkutunnisteiden hallinta on erittäin tärkeää kulun- ja pääsynhallinnassa, sillä vaikka ovi olisi kuinka vahva tahansa, se avautuu helposti oikealla avaimella. Tämän vuoksi kriittisiin tiloihin pääsyyn saatetaan vaatia koodin syöttäminen avaimen tai kulkutunnisteen lisäksi.

On mahdollista, että tuotanto- ja toimitiloille on määritettävä tiettyjä vierailukäytäntöjä riskiarviointien perusteella. Vierailijoiden hallinta on olennainen osa fyysistä tietoturvaa ja sen avulla voidaan vähentää tietomurtojen ja ilkivallan todennäköisyyttä. Vierailijakäytäntöihin voivat kuulua esimerkiksi vierailijoiden vastaanotto tietyssä tilassa, saattaminen tiloissa, vierailijakortit ja vierailijoiden kirjaaminen.

Protection from the elements

Fyysinen tietoturva sisältää myös suojautumisen erilaisilta olosuhteilta, kuten tulipaloilta, vesivahingoilta ja sähkövaurioilta. Tämä voidaan toteuttaa esimerkiksi riittävän ilmanvaihdon, palokuorman vähentämisen, palonilmaisu- ja sammutusjärjestelmien sekä katkottoman sähkönsyötön avulla. Tärkeää on valita kuhunkin tilaan ja tarkoitukseen sopivat ratkaisut. Rakennusautomaatiojärjestelmillä, kuten lämpötilan ja kosteuden säätelyllä, on myös merkittävä rooli palvelintilojen fyysisen tietoturvan ylläpitämisessä.

Watch the video Physical Security Part 1: Intro and Site Barriers

How is physical security implemented in the OT network of a manufacturing company?

Tuotantoyrityksen OT-verkon fyysinen tietoturva on erityisen tärkeää. Näissä verkoissa hallitaan kriittisiä prosesseja, jotka vaikuttavat tuotantolaitoksen turvallisuuteen ja tuotantotehokkuuteen.

Implementing physical security in an OT network requires several steps:

1. Risk assessment: Ensimmäinen askel on tunnistaa potentiaaliset fyysiset uhat ja arvioida niiden vaikutus yrityksen toimintaan.
2. Physical security design: Tähän sisältyy tunnistettuihin riskeihin varautuminen turvajärjestelmien ja ‑prosessien suunnittelulla.
3. Implementation: This phase includes the installation and deployment of the selected security solutions.
4. Maintenance and control: Turvajärjestelmiä ja -prosesseja tulee valvoa ja ylläpitää, jotta varmistetaan niiden tehokkuus pitkällä aikavälillä.
5. Continuous improvement: Physical security must be continuously assessed and improved according to new threats and changing circumstances.

Lisäksi on tärkeä ymmärtää, että fyysinen tietoturva on osa kokonaisvaltaista tietoturvaratkaisua, joka sisältää myös teknisen ja hallinnollisen tietoturvan. Niiden kaikkien tulee toimia yhdessä, jotta yrityksen tietoturva olisi mahdollisimman kattava ja tehokas.

Summary

Fyysinen tietoturva on olennainen osa organisaation tietoturvakokonaisuutta. Se toteutuu osaltaan yrityksen arkipäiväisissä toimissa, jotka auttavat suojaamaan organisaation tietoja. Fyysisen tietoturvan ylläpitämisessä ovat tärkeitä pienet teot, kuten työaseman lukitseminen työpisteeltä poistuttaessa, ”puhdas pöytä” -periaatteen noudattaminen, kannettavan tietokoneen turvallinen säilyttäminen kotona, matkoilla ja työpaikalla sekä asiakirjojen oikeaoppinen käsittely ja säilytys.

Henkilöstön sitouttaminen fyysisen tietoturvan periaatteisiin on avainasemassa. Ohjeiden tärkeys on ymmärrettävä, jotta niitä ollaan valmiita noudattamaan. Sen vuoksi olennaista on käytännönläheinen ja yksinkertainen ohjeistus, joka on helposti toteutettavissa ja sisäistettävissä.

Kokonaisuudessaan fyysisellä tietoturvalla on keskeinen rooli sen varmistamisessa, etteivät luvattomat tahot pääse käyttämään tai käsittelemään organisaation tietoja. Päivittäiset toimet ja käytännöt muodostavat merkittävän suojan tietovuotoja ja muita tietoturvauhkia vastaan. Näin suojataan organisaation tietovarastoja ja toiminnan jatkuvuutta.