Mikä on ISO 27001?

ISO 27001 on kansainvälinen standardi tietoturvan hallintaan. Se on kehitetty yhteistyössä Kansainvälisen standardisoimisjärjestön (ISO) ja Kansainvälisen sähköteknisen komission (IEC) kanssa. ISO 27001 tarjoaa organisaatioille systemaattisen lähestymistavan tietoturvan hallintaan.

ISO 27001 -standardi määrittää vaatimukset tietoturvallisuuden hallintajärjestelmälle (ISMS).

Tietoturvallisuuden hallintajärjestelmä (ISMS)?

ISMS (Information Security Management System) on järjestelmä, joka auttaa organisaatioita suojaamaan tietojaan ja hallitsemaan tietoturvariskejä. Se kattaa ihmiset, prosessit ja teknologian.

Mitkä ovat ISO 27001 vaatimukset?

ISO 27001 -standardin vaatimukset voidaan jaotella useisiin keskeisiin kategorioihin, jotka auttavat organisaatiota rakentamaan ja ylläpitämään tietoturvallisuuden hallintajärjestelmää.

Tässä ovat ISO 27001 vaatimukset jaoteltuina pääluokkiin:

01.Organisatoriset vaatimukset

• Johtajuus ja johdon sitoutuminen: Ylimmän johdon osallistuminen tietoturvan hallintaan.
• Toimintaympäristön määritys: ISMS laajuuden ja sidosryhmien vaatimusten määrittäminen.
• Tietoturvapolitiikka: Selkeän tietoturvapolitiikan laatiminen ja viestintä.
• Roolit ja vastuut: Tietoturvaroolien ja -vastuiden määrittely.

02.Riskienhallintaan liittyvät vaatimukset 

• Riskienhallinta: Tietoturvariskien tunnistaminen, arviointi ja hallinta.
• Soveltuvuuslausunto: Dokumentointi käytetyistä tietoturvakontrolleista.

03.Kontrollit ja toimenpiteet

• Tietoturvakontrollit: Teknologisten, hallinnollisten ja fyysisten kontrollien toteuttaminen.
• Suojattava omaisuus: Suojattavan omaisuuden määrittely ja vastuiden jakaminen.
• Häiriönhallinta: Valmiussuunnitelmien kehittäminen tietoturvaloukkauksia varten.

04.Seuranta ja arviointi 

• Sisäiset auditoinnit: Tietoturvallisuuden hallintajärjestelmän säännöllinen auditointi vaatimustenmukaisuuden varmistamiseksi.
• Johdon katselmukset: ISMS suorituskyvyn arviointi johdon katselmuksissa.
• Mittarit: Tietoturvamittareiden käyttö suorituskyvyn arviointiin.

05.Jatkuva parantaminen ja dokumentointi

• Jatkuva parantaminen: Poikkeamien käsittely ja tietoturvan jatkuva kehittäminen.
• Dokumentaatio: Tietoturvakäytäntöjen ja prosessien dokumentointi.
• Koulutus ja tietoisuuden lisääminen: Henkilöstön koulutus ja tietoturvatietoisuuden lisääminen.

06.Toiminnan jatkuvuuden hallinta 

• Toiminnan jatkuvuuden hallinta: Suunnitelmat ja prosessit liiketoiminnan jatkuvuuden varmistamiseksi häiriötilanteissa.

ISO 27001 -sertifikaatin hyödyt yritykselle

1. Parannettu tietoturva: Sertifikaatti auttaa suojaamaan organisaation tietoja tehokkaasti ja vähentämään tietoturvariskejä.
2. Sääntelyn noudattaminen: Varmistaa, että organisaatio täyttää lakisääteiset ja sääntelyvaatimukset.
3. Asiakkaiden luottamus: Lisää asiakkaiden ja sidosryhmien luottamusta organisaation tietoturvakäytäntöihin.
4. Kilpailuetu: Parantaa organisaation mainetta ja kilpailuasemaa markkinoilla.
5. Liiketoiminnan jatkuvuus: Parantaa liiketoiminnan jatkuvuutta ja palautumiskykyä tietoturvaloukkauksista.
6. Prosessien tehokkuus: Tehostaa tietoturvaprosesseja ja resurssien hallintaa.

Nämä hyödyt tekevät ISO 27001 -sertifikaatista arvokkaan investoinnin organisaatioille, jotka haluavat vahvistaa tietoturvaansa ja parantaa toimintaansa.

Kenelle ISO 27001 -standardin mukainen sertifiointi sopii?

ISO 27001 -standardin mukainen sertifiointi sopii monenlaisille organisaatioille, erityisesti niille, jotka käsittelevät arkaluonteista tietoa ja haluavat varmistaa tietojensa turvallisuuden. Sertifiointi on hyödyllinen erityisesti:

1. IT-yrityksille: Jotka käsittelevät suuria määriä dataa ja tarjoavat tietoturvaan liittyviä palveluja.
2. Finanssialan yrityksille: Jotka hallinnoivat asiakkaidensa taloudellisia tietoja.
3. Terveydenhuollon organisaatioille: Jotka käsittelevät potilastietoja ja muita luottamuksellisia tietoja.
4. Julkishallinnon organisaatioille: Jotka tarvitsevat tietoturvasertifioinnin osoittaakseen vaatimustenmukaisuuden.
5. Kaikille organisaatioille, jotka haluavat parantaa tietoturvakäytäntöjään ja luotettavuuttaan asiakkaidensa ja sidosryhmiensä silmissä.

Yleiskatsaus ISO 27001 sertifiointiprosessiin

Valmistautuminen sertifiointiin: Ensimmäiset askeleet kohti sertifiointia

1. Alkuarviointi: Tunnistetaan organisaation nykyinen tietoturvatilanne ja määritetään sertifiointiprosessin laajuus.
2. GAP-analyysi: Selvitetään, mitkä standardin vaatimukset eivät vielä täyty ja mitkä alueet tarvitsevat parannusta.
3. Projektisuunnitelma: Laaditaan yksityiskohtainen suunnitelma tarvittavista toimenpiteistä ja aikatauluista.

Sertifiointiauditointi: Ulkoinen auditointi ja sertifiointiprosessi

1. Vaihe 1: Dokumentaation tarkastus: Sertifiointielin tarkistaa ISMS-dokumentaation varmistaakseen, että se täyttää ISO 27001 -vaatimukset.
2. Vaihe 2: Paikan päällä suoritettava auditointi: Sertifiointielin arvioi ISMS käytännön toteutuksen organisaatiossa. Tämä sisältää haastattelut, prosessien tarkastelun ja todentamisen.

Sertifioinnin ylläpito: Jatkuva vaatimustenmukaisuuden ylläpitäminen

1. Jatkuva seuranta: Säännölliset sisäiset auditoinnit ja johdon katselmukset, joilla varmistetaan ISMS tehokkuus ja vaatimustenmukaisuus.
2. Uusinta-auditoinnit: Sertifiointielin suorittaa määräajoin uusinta-auditointeja (yleensä vuosittain) varmistaakseen jatkuvan vaatimustenmukaisuuden ja parantamisen.

Miten ISO 27001 ja NIS2 standardit eroavat toisistaan?

ISO 27001 on kansainvälinen tietoturvan hallintajärjestelmästandardi, joka auttaa organisaatioita suojaamaan tietojaan ja hallitsemaan tietoturvariskejä. NIS2 direktiivi (Network and Information Security Directive 2) on taas Euroopan unionin direktiivi, joka asettaa vaatimuksia verkko- ja tietojärjestelmien turvallisuudelle ja kestävyydelle jäsenvaltioissa.

Alla olevasta taulukosta löydät yhtäläisyyksiä ja eroavaisuuksia:

Usein kysyttyä

Kyberuhka (Cyber threat) määritelmä

“Kyberuhka viittaa mahdolliseen vaaraan tai haitalle, joka voi kohdistua tietojärjestelmiin tai tietoverkkoihin. Se voi olla peräisin ulkoisista tekijöistä, kuten hakkerit tai valtioiden erilliset toimijat, tai sisäisistä tekijöistä, kuten huolimattomat työntekijät tai viallinen ohjelmisto. Kyberuhka (Cyber threat) Kyberuhka on sellainen uhka, joka toteutuessaan vaarantaa yhteiskunnan elintärkeän toiminnon tai muun kybertoimintaympäristöstä riippuvaisen toiminnon.”

Kyberuhat vuonna 2023 – 11 yleisintä uhkaa yrityksille ja kansalaisille

1. Kiristysohjelmahyökkäykset

Kiristysohjelma toimivat niin että hakkerit ottavat tiedot hallintaansa ja vaativat lunnaita hallinnan palauttamiseksi. Tilastojen mukaan hyökkäykset ovat monimutkaistuneet ja lunnasvaatimukset ovat nousseet nykyään huimasti. Esimerkiksi vuonna 2019 suurin lunnasvaatimus oli 13 miljoonaa euroa, mutta vuonna 2021 se oli jo 62 miljoonaa. Globaalisti kiristysohjelmat aiheuttivat jo 18 miljardin euron menetykset yrityksille vuonna 2021, joka on lähes 57 kertainen vuoden 2015 tasosta. Kiristysohjelmahyökkäykset ovat yksi suurimpia kyberuhkia EU:ssa , ja niiden kautta varastetaan yli 10 teratavua dataa kuukausittain. Lähde ENISA raportti.

2. Haittaohjelmat

Haittaohjelmat, kuten virukset, madot, troijan hevoset ja vakoiluohjelmat, vahingoittavat yritysten tietojärjestelmiä. Vaikka niiden esiintyminen väheni maailmanlaajuisesti vuoden 2020 ja 2021 aikana (pandemian seurauksena). ne kuitenkin tekivät voimakkaan paluun vuoden 2021 loppupuolella, siirryttiin takaisin etätyöstä. Kryptokaappaukset, joissa uhrin tietokonetta käytetään salaa kryptovaluutan luomiseen, sekä esineiden internetin haittaohjelmat ovat myös lisänneet haittaohjelmien määrää. Nämä haittaohjelmat kohdistuvat erityisesti internetiin liitettyihin laitteisiin, kuten reitittimiin ja kameroihin.

3. Käyttäjän manipulointi ja tietojen kalastelu

Käyttäjän manipuloinnissa hyökkääjät huijaavat ihmisiä avaamaan vaarallisia tiedostoja, sähköposteja tai vierailemaan haitallisilla sivustoilla. Tavoitteena on saada pääsy järjestelmiin tai varastaa arkaluontoista tietoa. Erityisen yleistä on tietojen kalastelu sähköpostitse, jossa huijarit saattavat esiintyä esimerkiksi pankin tai teknologiayrityksen edustajina. ENISAn tutkimusten mukaan jopa 60% Euroopan, Lähi-idän ja Afrikan tietoturvaloukkauksista liittyy käyttäjän manipulointiin.

4. Dataan kohdistuvat uhat

Datan määrän ja merkityksen kasvu tekee siitä houkuttelevan kohteen kyberrikollisille. Datauhkat jakautuvat kahteen pääryhmään: tietoturvaloukkauksiin, joissa kyberrikolliset tavoitteellisesti hyökkäävät tietojärjestelmiin, ja tietovuotoihin, joissa tiedot vuotavat tahattomasti. Suurin osa näistä tehdään taloudellisen hyödyn tavoittelun toivossa ja niistä voidaan vain 10 % liittyä vakoiluun. Esimerkkinä Vastaamon tietovuoto.

5. Palvelunestohyökkäykset, jotka estävät tietojen tai palveluiden käytön

Palvelunestohyökkäykset pyrkivät ylikuormittamaan tietojärjestelmiä, tehden niistä käyttökelvottomia. Yhä useammin kohteena ovat mobiiliverkot ja niihin yhdistetyt laitteet. Näitä hyökkäyksiä on nähty valtavasti Venäjän ja Ukrainan välisessä kybersodassa. Myös koronapandemia ja rokotekeskustelut kasvattivat näiden määrää.

6. Internetin saatavuuteen kohdistuvat uhat

Näihin uhkiin kuuluvat internet infrastruktuurin fyysinen haltuunotto ja tuhoaminen sekä uutisten tai sosiaalisen median verkkosivustojen sensurointi.

Internetin saatavuuden uhat liittyvät verkon fyysiseen hallintaan ja tuhoamiseen, kuten on nähty konfliktitilanteissa, esimerkiksi Ukrainassa. Toinen merkittävä huolenaihe on tiedonvälityksen rajoittaminen sensuroimalla uutis- ja sosiaalisen median sivustoja. On tärkeää olla tietoinen myös näistä uhista ja suojautua niiltä, jotta voimme säilyttää tiedonvapauden ja internetin avoimuuden.

7. Harhaanjohtava tieto ja sen vaikutukset (mis- ja disinformaatio)

Sosiaalisen median ja digitaalisen median kasvu on avannut ovet disinformaatiolle, joka on tarkoituksellisesti vääristeltyä tietoa, sekä misinformaatiolle, joka on tahattomasti väärää tietoa. Nämä harhaanjohtavat tiedot levitetään usein aiheuttamaan pelkoa ja epävarmuutta yleisön keskuudessa. Teknologian kehittyessä on myös noussut esiin deepfake-teknologia, joka mahdollistaa vakuuttavien väärennettyjen ääni-, video- ja kuvatiedostojen luomisen. Lisäksi automatisoidut botit, jotka esiintyvät oikeina käyttäjinä, voivat häiritä verkkoyhteisöjä massiivisilla kommenttimäärillään.

8. Toimitusketjun haavoittuvuudet ja niiden vaikutukset

Toimitusketjuhyökkäykset kohdistuvat organisaatioiden ja niiden toimittajien välisiin suhteisiin, ja sekä toimittajat että yritysten asiakkaat voivat joutua niiden kohteeksi. Nykyaikaiset järjestelmät ovat kasvaneet monimutkaisemmiksi ja toimittajien määrä on lisääntynyt, mikä tekee niiden valvonnasta haastavaa. Tämä lisää organisaatioiden haavoittuvuutta ja korostaa tarvetta tiukemmalle toimitusketjun turvallisuudelle.

9. Hyvin kohdennetut huijauskampanjat

Kyberturvallisuudessa yksi ihmisen virhe on suurin riski. Yritykset saattavat langeta huijauksiin, kuten vääriin laskuihin tai “teknisen tuen” puheluihin joissa puhelu tulee suomalaisesta numerosta ja pyytäen erilaisia toimia, joissa varkaalle annetaan pääsyn tietokoneellesi tai muihin tietoihisi. Tämän tyylisiin tilanteihin tarvitaan yrityksen sisällä tapahtuva tietoturvakoulutusta, joka varustaa työntekijät tunnistamaan uhat ja toimimaan oikein.

10. Pilvitallennuksen haasteet ja ratkaisut

Pilvitallennus on nykyaikaa, mutta mukana tulee riskejä. Monet eivät tiedosta, kuinka helppoa tietojen hakkerointi voi olla ilman kunnollista suojautumista verkossa. Teknisiä ongelmia voi syntyä molemmin puolin, joten nopea tekninen tuki on kultaakin kalliimpaa. Vaikka suuret toimijat kuten Microsoft ja Google ovat globaaleja, niiden tuki ei välttämättä ole saatavilla suomeksi. SafeCloud tarjoaa kotimaista pilvitallennusta ja nopeaa tukea suomeksi, mikä on erityisen tärkeää, jos datasi on arkaluontoista ja haluat sen pysyvän Suomessa.

11. Hutiloidut ratkaisut etätyössä

Aikoinaan kun pandemia pakotti yritykset siirtymään pikaisesti etätyöhön, tietoturva saattoi jäädä toissijaiseksi. Tämä nopea muutos toi mukanaan riskejä: WiFi-reitittimien asetukset saattoivat jäädä tarkistamatta, VPN-yhteyksiä ei välttämättä otettu käyttöön ja virustorjuntaohjelmat saattoivat olla päivittämättä. Lisäksi arkaluontoisen tiedon käsittely ja säilytys kotona saattoi olla hyvin puutteellista. Tämä korostaa tarvetta panostaa tietoturvakoulutukseen ja varautumiseen, jotta vastaavat tilanteet eivät yllätä tulevaisuudessa.

Tuotantoverkkojen kyberuhat

OT-verkot (Operational Technology) eli toiminnallisen teknologian verkot ovat erityisen kriittisiä monille teollisuudenaloille, kuten valmistavalle teollisuudelle, energiantuotannolle ja liikenteen hallinnalle.

OT-verkot ovat perinteisesti olleet eristettyjä IT-verkoista (Information Technology), mutta digitalisaation ja teollisen internetin (IIoT) myötä nämä kaksi verkkoa ovat yhä enemmän yhteydessä toisiinsa. Tämä yhdistyminen tuo mukanaan paljon uusia kyberturvallisuuden haasteita.

Tässä on joitakin yleisimpiä kyberuhkia, joita OT- tai tuotantoverkkoa käyttävät yritykset saattavat kohdata:

1. Laitteiden ja järjestelmien kaappaaminen: Hyökkääjät voivat ottaa haltuunsa teollisuusautomaation laitteita ja käyttää niitä haitallisiin tarkoituksiin.
2. Sabotaasi ja palvelunestohyökkäykset: Hyökkääjät voivat pyrkiä keskeyttämään tuotantoprosesseja tai aiheuttamaan fyysistä vahinkoa.
3. Väärän tiedon syöttäminen: Hyökkääjät voivat muuttaa sensorien tai muiden laitteiden tuottamaa tietoa, mikä voi johtaa vääriin päätöksiin tai vaarallisiin tilanteisiin.
4. Kiristyshaittaohjelmat: Teollisuuslaitokset voivat olla erityisen haavoittuvia kiristyshaittaohjelmille, koska tuotannon keskeytykset voivat olla erittäin kalliita.
5. Ei-päivitetyt laitteistot ja ohjelmistot: Monet OT-järjestelmät ovat vanhentuneita ja niissä on tunnettuja haavoittuvuuksia, jotka tekevät niistä helpon kohteen hyökkääjille.
6. Eristämättömät verkot: Vaikka OT-verkkojen pitäisi olla eristettyjä, käytännössä ne ovat usein yhdistettyjä IT-verkkoihin, mikä voi altistaa ne hyökkäyksille.
7. Käyttäjien virheet: Käyttäjien virheet, kuten heikkojen salasanojen käyttö tai haitallisten sähköpostiliitteiden avaaminen, voivat aiheuttaa tietoturvaloukkauksia.
8. Fyysinen pääsy: Koska OT-verkot ovat usein fyysisesti sijoitettuina teollisuuslaitoksiin, ne voivat olla alttiita fyysisille hyökkäyksille.
9. Väärinkäytökset sisäpiiriläisiltä: Työntekijät tai muut sisäpiiriläiset, joilla on pääsy OT-verkkoihin, voivat tahallisesti tai vahingossa aiheuttaa vahinkoa.
10. Kommunikointi ulkoisten laitteiden kanssa: OT-verkot voivat kommunikoida ulkoisten laitteiden, kuten mobiililaitteiden tai kannettavien tietokoneiden, kanssa, mikä voi tuoda mukanaan uhkia.

Haluatko parantaa laitteistosi ja tuotantoverkkosi turvallisuutta? Ota yhteyttä!

Osaamme auttaa kaikissa edellä mainituissa asioissa.

Laitteiston ja tuotantoverkon optimointi on keskeistä yrityksen tietoturvan kannalta. Meidän asiantuntijamme tarjoavat konsultointia ja neuvontaa näiden alueiden parhaista käytännöistä. 

Ota yhteyttä, niin keskustellaan siitä, miten voimme auttaa sinua rakentamaan vahvemman ja turvallisemman infrastruktuurin yrityksellesi.

Usein kysyttyä

Kybeturvallisuuden määritelmä Wikipediasta

“Kyberturvallisuus on turvallisuuden osa-alue, jolla pyritään sähköisen ja verkotetun yhteiskunnan turvallisuuteen. Kyberturvallisuudessa tunnistetaan, ehkäistään ja varaudutaan sähköisten ja verkotettujen järjestelmien häiriöiden vaikutuksiin yhteiskunnan kriittisiin toimintoihin. Kyberturvallisuusajattelussa yhdistyy tietoturvallisuuden, jatkuvuuden hallinnan ja yhteiskunnan kriisivarautumisen ajattelua.”  Lähde: Kyberturvallisuus Wikipidea

Miksi kyberturvallisuus on tärkeää 2023 ja eteenpäin?

Yksilön näkökulmasta:

Kyberturvallisuus on kuin jokaisen henkilökohtainen suojakilpi digitaalisessa maailmassa. Se pitää huolen, että arkaluonteiset tiedot, esimerkiksi pankkitiedot ja henkilökohtaiset yksityiskohdat, pysyvät turvassa. Kuvittele, että joku saisi käsiinsä henkilökohtaiset tietosi ja käyttäisi niitä väärin. Se ei olisi vain pelottavaa, vaan voisi johtaa myös taloudellisiin menetyksiin ja identiteettivarkauteen.

Entä yrityksen kannalta:

Yrityksille kyberturvallisuus on elintärkeää, koska se suojaa yrityksen tietoja, mainetta ja taloudellista asemaa. Kyberhyökkäykset voivat johtaa esimerkiksi tietovuotoihin, liikesalaisuuksien menetykseen tai taloudellisiin menetyksiin. Jos yritys ei kykene suojaamaan asiakkaidensa tietoja ja kokee tietovuotoja, sen maine kärsii vakavasti ja joka voi johtaa asiakkaiden luottamuksen menettämiseen.

Koko yhteiskunnan kannalta:

Kyberturvallisuus suojaa yhteiskuntamme kriittisiä infrastruktuureja, kuten esimerkiksi sähköverkkoja, vesihuoltoa ja liikennejärjestelmiä. Kuvittele, jos nämä järjestelmät kaatuisivat kyberhyökkäyksen vuoksi. Seuraukset olisivat katastrofaaliset ja vaikuttaisivat jokaiseen meistä. Täytyy aina muistaa että kyberturvallisuus ei ole vain tietoturvan asiantuntijoiden asia, vaan se koskettaa meitä kaikkia ja pitää yhteiskuntamme pyörät pyörimässä.

Miten kyberturvallisuus eroaa tietoturvasta?

Kyberturvallisuus ja tietoturva ovat termejä, joita usein käytetään ikään kuin toistensa synomyymeinä, mutta niillä on erilaiset painopisteet ja soveltamisalat.

Kyberturvallisuus keskittyy digitaalisten järjestelmien, kuten tietokoneiden, älypuhelinten ja sähköisten verkkojen, suojaamiseen. Kyberturvallisuuden avulla suojataan järjestelmiä, verkkoja ja dataa kyberhyökkäyksiltä, vakoilulta ja luvattomalta pääsyltä. Se keskittyy enemmän ulkoisiin uhkiin, kuten hakkerointiin ja haittaohjelmiin, mutta myös sisäisiin uhkiin.

Tietoturva puolestaan keskittyy tiedon suojaamiseen – olipa se digitaalisessa muodossa tai yrityksen toimitiloissa. Tietoturvan tavoitteena on suojata tiedot luvattomalta pääsyltä, käytöltä, paljastumiselta, häiriöiltä, muutoksilta tai tuhoamiselta. Se kattaa sekä fyysiset että digitaaliset turvatoimet.

Tiivistettynä: Kyberturvallisuus on tietoturvaa laajempi käsite. Tietoturva keskittyy ensisijaisesti tiedon suojaamiseen, kun taas kyberturvallisuus keskittyy laajemmin digitaalisten järjestelmien ja verkkojen suojaamiseen.

Kyberuhkat

Kyberuhkat ovat digitaalisia uhkia, jotka kohdistuvat tietojärjestelmiin, verkoihin ja niihin tallennettuihin tietoihin. Ne voivat olla peräisin yksittäisiltä hakkerilta, rikollisjärjestöiltä tai jopa valtiollisilta toimijoilta. Kyberuhkia voidaan luokitella hyvin monin eri tavoin, mutta yksi yleinen jaottelu on erottaa ne aktiivisiin ja passiivisiin uhkiin.

Aktiiviset uhkat:

Aktiiviset uhkat ovat proaktiivisia ja hyökkääviä toimia, jotka pyrkivät aktiivisesti vahingoittamaan, häiritsemään tai saamaan luvattoman pääsyn tietojärjestelmiin. Yleisimpiä aktiivisia uhkia ovat:

• Haittaohjelmien uhat: Kuten virukset, madot, troijalaiset ja kiristysohjelmat. Ne voivat varastaa tietoja, vahingoittaa järjestelmiä tai estää niiden toiminnan.
• Phishing-hyökkäykset: Sähköpostit tai viestit, jotka yrittävät huijata käyttäjiä antamaan henkilökohtaisia tietojaan tai salasanojaan.
• DDoS-hyökkäykset: Hyökkäykset, jotka pyrkivät kaatamaan verkkopalveluita ylikuormittamalla ne liikenteellä.
• Nollapäivähyökkäykset: Hyökkäykset, jotka hyödyntävät haavoittuvuuksia, joista valmistajat eivät ole vielä tietoisia tai joille ei ole vielä saatavilla korjausta.

Passiiviset uhkat

Toisin kuin aktiiviset uhkat, passiiviset uhkat eivät aktiivisesti yritä vahingoittaa järjestelmiä. Sen sijaan ne pyrkivät keräämään tietoja ilman, että kohde huomaa. Esimerkkejä passiivisista uhista ovat:

• Verkkoliikenteen kuuntelu: Hyökkääjät voivat “kuunnella” verkkoliikennettä yrittäen siepata tietoja, kuten salasanoja tai luottokorttitietoja.
• Man-in-the-middle -hyökkäykset: Hyökkääjä asettuu kahden osapuolen väliin ja sieppaa tai muokkaa viestintää niiden välillä.
• Evästeiden kaappaaminen: Hyökkääjät voivat siepata selaimen evästeitä yrittäen saada pääsyn käyttäjän online-tiliin.

Miten voit suojautua kyberuhilta?

Kyberuhkien torjuminen vaatii sekä teknistä että organisatorista suojautumista. Tässä on joitakin keinoja, joilla näiltä uhilta voidaan suojautua

Tekninen suojautuminen: Tekninen suojautuminen keskittyy ohjelmistoihin ja laitteistoihin, jotka suojaavat tietojärjestelmiä kyberuhkilta.

1. Virustorjuntaohjelmistot: Skannaa ja poistaa haitalliset ohjelmat tietokoneelta.
2. Palomuurit tai palomuuripalvelut: Estää ei-toivotut yhteydet ja hyökkäykset.
3. VPN-yhteydet: VPN-etäyhteys salaa verkkoliikenteen ja suojaa yksityisyyttä.
4. Päivitykset: Säännölliset ohjelmisto- ja laitepäivitykset korjaavat tunnetut tietoturva-aukot.
5. Monivaiheinen tunnistautuminen: Lisäkerros suojaa tilejäsi luvattomalta käytöltä.

Organisatorinen suojautuminen: Organisatorinen suojautuminen keskittyy hallinnollisiin toimenpiteisiin ja käytäntöihin, jotka suojaavat organisaatiota kyberuhkilta.

1. Koulutus: Henkilöstön kouluttaminen tunnistamaan ja välttämään kyberuhkia.
2. Tietoturvakäytännöt: Selkeät ohjeet ja protokollat tietoturvan ylläpitämiseksi.
3. Varmuuskopiot: Säännölliset varmuuskopiot tärkeistä tiedoista estävät tietojen menetyksen.
4. Pääsynhallinta: Varmistaa, että vain oikeutetut henkilöt pääsevät käsiksi tärkeisiin tietoihin.
5. Häiriötilanteiden hallintasuunnitelma: Valmistautuminen ja reagointi mahdollisiin tietoturvaloukkauksiin.

Yhdistämällä tekniset ja organisatoriset suojautumiskeinot voimme luoda vahvan puolustuksen kyberuhkia vastaan.

Kyberturvallisuuden haasteet

Kyberturvallisuuden kohtaamat haasteet juontuvat teknologian vauhdikkaasta kehityksestä ja jatkuvasti muuttuvista uhkista. Kyberrikolliset kehittävät uusia hyökkäystekniikoita, joten turvallisuusratkaisujen on pysyttävä ajan hermolla. Kuitenkin suurin haaste on usein inhimillinen tekijä: käyttäjien virheet ja tietämättömyys voivat avata ovia kyberhyökkäyksille.

Kyberturvallisuus Suomessa

Suomen kyberturvallisuusstrategia ja sen tavoitteet

Suomen kyberturvallisuusstrategia keskittyy vahvistamaan kansallista kyberturvallisuutta ja varmistamaan yhteiskunnan toimintakyvyn digitaalisissa häiriötilanteissa. Strategian tavoitteena on suojata kriittiset infrastruktuurit, edistää yksityisen ja julkisen sektorin yhteistyötä sekä lisätä kansalaisten tietoisuutta ja valmiuksia kyberturvallisuudessa.

Keskeiset toimijat ja organisaatiot Suomessa

Suomessa kyberturvallisuuden parissa toimii useita erilaisia organisaatioita. Keskeisiä toimijoita ovat muun muassa Traficomin Kyberturvallisuuskeskus, Huoltovarmuuskeskus ja Poliisin Kyberrikoskeskus. Puolustusvoimat kehittäää kyberturvallisuutta osana yhteiskunnan kokonaisturvallisuutta Lisäksi yksityiset yritykset ja tutkimuslaitokset osallistuvat aktiivisesti kyberturvallisuuden kehittämiseen ja tutkivat mahdollisuuksia parantaa turvallisuutta.

Suomen lainsäädäntö ja kyberturvallisuuteen liittyvät asiakirjat

Suomen lainsäädännössä kyberturvallisuuteen liittyvät erityisesti tietoyhteiskuntakaari, tietosuojalaki ja laki viranomaisten toiminnan julkisuudesta. Nämä lait määrittelevät, miten tietoturvaa ja tietosuojaa tulee käsitellä sekä miten viranomaisten on raportoitava kyberhyökkäyksistä.

Erityishaasteet ja saavutukset Suomen kyberturvallisuudessa

Vaikka Suomi on edelläkävijä monilla kyberturvallisuuden osa-alueilla, maamme kohtaa myös erityishaasteita, kuten nopeasti muuttuva kyberuhkaympäristö ja resurssien riittävyys. Kuitenkin Suomen saavutuksiin kuuluu muun muassa kansallisen kyberturvallisuuskeskuksen perustaminen ja aktiivinen rooli kansainvälisissä kyberturvallisuusyhteistyöverkostoissa.

Euroopan unionin rooli kyberturvallisuudessa

Kansainvälinen yhteistyö kyberturvallisuudessa

Euroopan unioni tekee tiivistä yhteistyötä jäsenmaiden sekä muiden kansainvälisten toimijoiden, kuten Naton, kanssa kyberturvallisuuden parantamiseksi. EU pyrkii edistämään yhteisiä standardeja, jakamaan parhaita käytäntöjä ja koordinoimaan jäsenmaiden toimia kyberuhkien torjumiseksi.

Kyberturvallisuusstrategia

EU:n kyberturvallisuusstrategia määrittelee unionin tavoitteet ja toimenpiteet kyberturvallisuuden vahvistamiseksi. Strategian tarkoituksena on suojata EU:n digitaalista sisämarkkinaa, edistää jäsenmaiden välistä yhteistyötä ja vahvistaa EU:n asemaa globaalina kyberturvallisuuden toimijana.

NIS-direktiivi ja kyberturvallisuusasetus

NIS-direktiivi on ensimmäinen EU:n lainsäädäntö, joka keskittyy kyberturvallisuuteen. Se määrittelee toimenpiteet kriittisten infrastruktuurien suojeluun kyberhyökkäyksiltä. NIS-direktiivi tuli voimaan EU:n tasolla vuonna 2016 ja kansallisella tasolla vuonna 2018.

Kyberturvallisuusasetus puolestaan oli lähtölaukaus EU:n kyberturvallisuusviraston ENISA:n perustamiseen ja määrittelee sertifiointijärjestelmät kyberturvallisuustuotteille ja -palveluille.

5G-verkkojen turvallisuus

EU on tunnistanut 5G-verkkojen merkityksen ja niihin liittyvät turvallisuusriskit. Unioni on laatinut suosituksia jäsenmaille 5G-verkkojen turvallisuuden varmistamiseksi ja pyrkii koordinoimaan jäsenmaiden toimia 5G-turvallisuuden parantamiseksi.

Kyberdiplomatia

EU käyttää diplomatiaa edistääkseen kyberturvallisuutta globaalisti. Unioni pyrkii vahvistamaan kansainvälisiä normeja ja sääntöjä kyberavaruudessa, edistämään kansainvälistä yhteistyötä verkossa ja torjumaan kyberrikollisuutta diplomatian keinoin.

Johtopäätös kyberturvallisuudesta

Kyberturvallisuus on noussut keskeiseksi teemaksi yritysmaailmassa digitaalisen transformaation ja internetin laajentumisen myötä. Yritykset eivät ole enää erillisiä saarekkeita, vaan osa laajempaa verkostoa, joka ulottuu yksilöistä kriittisiin yhteiskunnan infrastruktuureihin, kuten sähköverkkoihin, tietojärjestelmiin ja voimalaitoksiin. Tämä verkostoituminen on tuonut mukanaan monia etuja, mutta samalla se on avannut ovet monimutkaisille kyberuhille. Tieto kyberturvallisuudesta on elintärkeää, jotta voidaan tunnistaa ja torjua näitä uhkia.

Yritysten rooli kyberturvallisuuden varmistamisessa on kriittinen. Tietoturvaloukkaus ei ole enää vain yrityksen sisäinen ongelma; se voi vaikuttaa koko toimitusketjuun, asiakkaisiin ja jopa koko yhteiskunnan kriittisiin toimintoihin. Erityisesti kun otetaan huomioon, kuinka monet yritykset ovat mukana ylläpitämässä ja hallinnoimassa yhteiskuntamme elintärkeitä järjestelmiä, kuten tietojärjestelmiä ja laitteita, on selvää, että yritysten on otettava johtava rooli kyberturvallisuudessa. Tarvitaan proaktiivista toimintaa ja investointeja kyberturvallisuuteen paitsi suojellakseen omaa liiketoimintaansa myös varmistaakseen, että ne voivat toimia luotettavina toimijoina digitaalisessa yhteiskunnassamme. Tällä tavoin yritykset voivat rakentaa luottamusta asiakkaiden, kumppaneiden ja yhteiskunnan kanssa.

Mikä on VPN virtual private network?

VPN tulee sanoista Virtual Private Network, eli suomeksi virtuaalinen ja yksityinen verkko.VPN on teknologia, joka mahdollistaa turvallisen ja yksityisen yhteyden luomisen internetin kautta.

VPN toimii niin että se luo käyttäjälle salatun etäyhteyden palvelimen, palomuurin tai verkon kautta, mikä auttaa suojaamaan tietoliikennettä ulkopuolisilta ja varmistamaan yksityityytesi verkossa. Esimerkiksi VPN voidaan toteuttaa Save LAN:in toteuttaman palomuuripalvelun yhteydessä.

VPN piilottaa ip osoitteesi

Kun laite (kuten tietokone, älypuhelin tai tabletti) muodostaa yhteyden internetiin, sille annetaan yksilöllinen IP-osoite. Tämä osoite on kuin postiosoite internetissä – se kertoo, mistä laitteesta data tulee ja minne se on menossa. IP-osoitteen avulla internet-palveluntarjoajat (ISP) ja sivustot voivat tunnistaa käyttäjän sijainnin ja mahdollisesti muita tietoja.

VPN muuttaa tämän dynamiikan luomalla suojatun yhteyden käyttäjän laitteen ja VPN-palvelimen välille. Kun käyttäjä muodostaa yhteyden VPN:n kautta, kaikki internet-liikenne ohjataan ensin VPN-palvelimelle ennen kuin se saavuttaa lopullisen määränpäänsä internetissä. Tässä prosessissa käyttäjän todellinen IP-osoite piilotetaan, ja ulkopuoliset tahot näkevät ainoastaan VPN-palvelimen IP-osoitteen.

Tässä on yksinkertaistettu kuvaus siitä, miten IP-osoite ja VPN liittyvät toisiinsa ja toimivat yhdessä:

1. Yhteyden muodostaminen: Käyttäjä käynnistää VPN-sovelluksen ja muodostaa yhteyden valitsemalleen VPN-palvelimelle.
2. IP-osoitteen vaihto: Kun yhteys on muodostettu, VPN-palvelin antaa laitteelle uuden IP-osoitteen. Tämä IP-osoite voi sijaita missä tahansa maailmassa, riippuen siitä missä VPN palveluntarjoaja sijaitsee.
3. Salattu tunneli: VPN palvelut luo salatun yhteyden käyttäjän laitteen ja VPN-palvelimen välille. Tämä “tunneli” suojaa kaiken läpi kulkevan datan, joten ulkopuoliset eivät voi helposti vakoilla tai siepata tietoja.
4. Anonyymi selailu: Koska käyttäjän todellinen IP-osoite on piilotettu ja kaikki liikenne näyttää tulevan VPN-palvelimen IP-osoitteesta, käyttäjän toimintaa internetissä on vaikeampi jäljittää. Tämä parantaa yksityisyyttä ja turvallisuutta verkossa.

VPN yhteys yrityksissä

Yrityksissä kannattaa käyttää vpn:ää useisiin tarkoituksiin, jotka liittyvät tietoturvaan, etätyöhön ja liiketoiminnan tehostamiseen. Alla on tarkemmin selostettu useita syitä käyttää vpn:ää:

1. Työntekijöiden tietoturvallinen yhteys etätöissä
2. Yrityssalaisuuksien suojaaminen
3. Yritysverkon turvallisuus
4. Monipaikkainen toiminta
5. Liikematkailijoiden ja matkustajien käyttö
6. Sijainnin vaihtaminen

01.Työntekijöiden tietoturvallinen yhteys etätöissä

Yhä useammat yritykset mahdollistavat vpn etäyhteyden työssä. Salattu yhteys on tärkeä työkalu etätyöntekijöille. VPN yhteyden avulla etätyöntekijä voi ottaa yhteyttä yrityksen resursseihin ja verkkoon turvallisesti, sillä kaikki tiedonsiirto etäyhteyden kautta salataan aina. Tämä auttaa suojaamaan yrityksen tietoja ja estämään ulkopuolisia pääsemästä käsiksi kriittisiin tietoihin.

02.Yrityssalaisuuksien suojaaminen

Monilla yrityksillä on arkaluontoista tietoa ja liikesalaisuuksia, joita on tärkeää suojata. Virtuaalinen erillisverkko auttaa estämään luvattoman pääsyn yrityksen verkkoresursseihin ja tiedostoihin. Vain valtuutetut käyttäjät, joilla on oikeat tunnukset, voivat muodostaa VPN etäyhteyden yrityksen sisäiseen verkkoon.

03.Yritysverkon turvallisuus

VPN yhteys auttaa lisäämään yritysverkon kokonaisturvallisuutta estämällä ulkopuolisten pääsyn yrityksen sisäiseen verkkoarkkitehtuuriin. Salatun yhteyden kautta tietoja voi kulkea vain turvallisesti määritettyjen reittien kautta, mikä minimoi mahdollisten hyökkäysten ja tietovuotojen riskit.

04.Monipaikkainen toiminta

VPN etäyhteys auttaa monikansallisia yrityksiä ja organisaatiota yhdistämään toimistot (site-to-site VPN) ja työntekijät eri puolilla maailmaa yhteen verkkoon. Tämä mahdollistaa tehokkaan tiedonsiirron ja yhteistyön sijainnista riippumatta.

05.Liikematkailijoiden ja matkustajien käyttö

Yritysten työntekijät, jotka matkustavat paljon, voivat käyttää VPN-yhteyttä päästäkseen turvallisesti yrityksen verkkoon. Näin he voivat käyttää yrityksen resursseja ja tietoja turvallisesti vaikkapa hotellin tai lentokentän julkisesta Wi-Fi-verkosta, joka voi olla altis tietoturvariskeille.

06.Sijainnin vaihtaminen

VPN yhteys mahdollistaa myös sijainnin vaihtamisen. Työntekijän liikenne voidaan reitittää esimerkiksi toimipisteen kautta, jolla voidaan kiertää maarajoitteet.

Yhteenvetona VPN etäyhteys on tärkeä osa yritysten tietoturvastrategiaa ja etätyön mahdollistamista. Ne kaiken lisäksi auttavat suojaamaan yrityksen tietoja, estämään luvatonta pääsyä verkkoon ja parantamaan liiketoiminnan joustavuutta ja tehokkuutta.

Mitä tekniikoita VPN hyödyntää?

VPN hyödyntää useita tekniikoita mahdollistaakseen turvallisen ja yksityisen yhteyden internetin kautta. Tässä riippumatta on joitain keskeisiä tekniikoita, joita VPN käyttää:

Salaus (Encryption)

Salaus on yksi VPN:n keskeisimmistä tekniikoista. VPN salaa datan niin että se on lukukelvoton ilman oikeaa salausavainta. Salausta käytetään varmistamaan, että kaikki tiedot, jotka kulkevat VPN-yhteyden läpi, ovat turvallisia ja siten suojaattuja ulkopuolisilta tarkkailijoilta. Yleisesti käytössä olevia salaus protokollia ovat esimerkiksi IPsec ja SSL/TLS.

Tunnelointi (Tunneling)

VPN käyttää usein tunnelointia luodakseen ”tunnelin” käyttäjän ja palvelimen välille. Tämä tarkoittaa sitä, että VPN suojaa tunnelin kautta tietoliikenteen käyttäjän laitteelta palomuurille ja päinvastoin. Tämä estää ulkopuolisia näkemästä tai muuttamasta tietoja salatun yhteyden aikana.

Tiedon eheys (Integrity)

VPN käyttää erilaisia protokollia datan eheyden tarkistamiseen. Yksi tapa tiedon eheyden varmistukseen on SHA-tiiviste ja se on lyhenne sanoista Secure Hash Algorithm. Se on hash-algoritmi, jota käytetään tiedostojen ja viestien muuttumattomuuden varmistamiseen. SHA-tiivisteet ovat yksisuuntaisia, mikä tarkoittaa, että tiedostoa tai viestiä ei voi palauttaa alkuperäiseen muotoonsa vain sen hash-tiivisteen perusteella. SHA-tiivisteet käytetään usein tiedostojen ja viestien autentikoinnin, integriteetin ja eheyden varmistamiseen.

IP-osoitteen piilottaminen (IP Address Masking)

VPN voi piilottaa yrityksen käyttäjän todellisen IP-osoitteen ja korvaa sen VPN-palvelimen IP-osoitteella. Käyttäjä voi tällöin kiertää maarajoitteita eri palveluissa. Huomioi, ettei VPN piilota käyttäjää verkkosivujen seurannasta.

Turvalliset tunnistautumismenetelmät

Yrityksen voi hyödyntää vahvoja tunnistautumismenetelmiä, kuten käyttäjätunnistetta ja salasanaa, kaksivaiheista todennusta (2FA) tai julkisen ja yksityisen avaimen salausta (PKI), varmistaakseen, että vain valtuutetut käyttäjät voivat muodostaa yhteyden VPN-verkkoon.

Kaikki nämä tekniikat yhdessä auttavat luomaan turvallisen ja suojatun yhteyden VPN:n avulla, joka on erityisen tärkeää silloin, kun käyttäjät haluavat suojata tietoliikenteensä julkisissa Wi-Fi-verkoissa tai kun yritykset haluavat tarjota etätyöntekijöilleen turvallisen tavan päästä yritysverkkoon.

VPN-yhteydet OT-verkossa

OT-verkon VPN yhteyksiä hyödynnetään vastaavasti kuin IT puolella. Osalla toimijoista on erittäin maantieteellisesti hajautettu verkko. Tällöin salatut yhteydet ovat varteenotettava vaihtoehto yhdistettäessä helposti etänä olevia kohteita valvomoon.

Yleensä VPN terminoidaan OT-verkossa palveluun, joka sijaitsee valvomon tai SCADA:n välittömässä läheisyydessä. Kentällä olevat laitteistot muodostavat tällöin VPN yhteyden tietoturvallisesti valvomoon. Tiedonsiirto voi tapahtua myös langattomien verkkojen kautta, jolloin salatun ja suojatun yhteyden tärkeys korostuu tiedonsiirrossa.

OT-verkoissa käytetään usein päästä päähän toimivaa tunneloivaa VPN-yhteyttä. Tämä yksinkertaistaa verkon topologiaa piilottaen välillä olevien verkkojen rakenteen.

Kysy lisää OT-verkkojen tietoturvallisista toteutuksista.   

Mitä VPN yhteyttä minun kannattaa käyttää?

Kuten aiemmin mainittiin, VPN yhteys tehdään nykyään lähes täysin kahdella tekniikalla. Nämä ovat TLS ja IPsec. Vielä 2000-luvun alussa IPsec oli lähes ainoa tekniikka käytössä. Nykyään tosin myös TLS on saanut jalansijaa. Molemmat yhteystavat ovat erittäin tietoturvallisia. Käytetäänhän TLS yhteyksiä esimerkiksi internetin verkkopankkiyhteyksissä.

VPN yhteyden valinta keskittyy siihen mihin VPN yhteys halutaan päättää. Yleensä VPN yhteys päättyy yrityksen VPN palveluun. Tämä sijaitsee nykypäivänä yrityksen palomuurissa. Toisinsanoen palomuurin ominaisuudet määrittelevät mitä VPN yhteyttä voidaan käyttää ja mikä on valmistajan osalta suositeltu. Yhteyden käyttöönotto ja ohjelmointi kannattaa jättää asiantuntijoille, jotta yhteys olisi turvallinen.

VPN palvelun ja palomuurin avulla saatte suojatun ja turvallisen yhteyden yrityksen tietoihin. Työntekijöiden on aina suositeltavaa käyttää vain suojattua VPN yhteyttä julkisissa verkoissa. WiFi verkoissa suojaamaton yhteys tarkoittaa kuvainnnollisesti sitä, että yrityksesi tietoja huudetaan ääneen julkisessa tilassa.

Save LAN tarjoaa VPN yhteyksien käyttöönottoa ja ylläpitoa. Tuotamme palvelut aina tietoturvallisesti ja asiakkaalle helposti. Kysy lisää vaihtoehdoista.

Ota yhteyttä niin laitetaan etäyhteydet kuntoon!

Johtopäätös

Tietoturvalliset VPN yhteydet ovat valveutuneille yrityksille nykypäivää. Osalla vastaavasti yrityksen yhteyksien seuranta ja päivitykset eivät ole riittävällä tasolla. Tietoturvallisen verkon ylläpito kannattaa ulkoistaa, jos se ei ole ydinliiketoimintaa.

VPN yhteys helpottaa myös yrityksen työntekijöitä. Luotettavia ja helppokäyttöinen etäyhteys parantaa työn tehokkuutta sekä työntekijätyytyväisyyttä. Etätyöskentelyä voi pitää myös etuna, jota kannattaa mainostaa.

Euroopan Unioni on ajamassa uusia direktiivejä tietoturvan kasvattamiseen. Uusin tietoturvadirektiivi on tulossa voimaan tietyille aloille 2024. Sääntelyn voimakeinona on luotu lisäksi sakko, joka on 2% yhtiön vuotuisesta liikevaihdosta. Osaa yrityksiä koskee sääntely jo nyt ja osalle nämä tulevat lähitulevaisuudessa.

Save LAN tarjoaa yrityksille VPN turvaamispalvelun, joka mahdollistaa keskittymisen ydinliiketoimintaan maltillisilla kustannuksilla. Save LAN suosittelee myös tietoverkkojen auditointia ja kehittämistä uusien tietoturvaloukkausten estämiseksi. Ota yhteyttä!

Mikä on VPN-palvelu?

VPN palvelu, eli virtuaalinen erillisverkko luo salatun yhteyden laitteesi ja internetin välille, suojaten yrityksesi tietoja ulkopuolisilta tahoilta. Se on olennainen osa modernia tietoturvaa ja yksityisyyden suojelua verkossa.

Onko VPN välttämätön?

VPN on välttämätön silloin kun otetaan etäyhteys internetin kautta yrityksen tuotantoverkkoon. Jos käytät nettiä ilman VPN:ää, niin se vastaa tilannetta kun kävelisit kadulla kotiosoite paitaasi kirjoitettuna. VPN toimii tunnelina internetyhteydellesi. Kukaan ulkopuolinen ei voi nähdä mitä teet netissä, kun VPN on kytkettynä päälle.

OT verkon toiminta

OT verkot ovat erityisesti suunniteltuja teollisuuden tarpeisiin, ja niillä hallitaan ja automatisoidaan fyysisiä prosesseja, kuten energian tuotantoa, tehtaiden toimintaa, vesihuoltoa, kuljetusjärjestelmiä ja muita kriittisiä infrastruktuureja. OT-verkon laitteet toimivat siis yleensä itsenäisesti ilman ihmiskäyttäjää.

OT verkot on suunniteltu korkeaan reaaliaikaiseen tiedonsiirtoon. Verkkoon liittyy yleensä järjestelmä, joka valvoo ja kerää tietoa, kuten SCADA (Supervisory Control and Data Acquisition) sekä verkossa olevat anturit, pumput ja katkaisijat, jotka tuottavat tietoa ja joita voi ohjata. Muita laitteita, jotka tuottavat tietoa OT verkkoon ovat esimerkiksi RTU:t (Remote Terminal Unit) sähköverkoissa, joita kutsutaan myös ala-asemiksi sekä PLC:t (Programmable Logic Controllers) eli ohjelmoitavat logiikat teollisuudessa.

Operational technology suomeksi – määritelmä

OT on lyhenne sanoista Operational Technology, ja se viittaa teollisuuden ja infrastruktuurin valvontaan ja ohjaukseen tarkoitettuun verkkojärjestelmään, johon itsenäisesti muutoksen tai tapahtuman havainnut laite lähettää tiedon. Yksi suuri ero verkkojen välillä on, että OT verkossa suurin osa laitteista toimii itsenäisesti ilman ihmiskontaktia, kun taas IT (Information Technology) verkossa suurinta osaa laitteita käyttävät päivittäin käyttäjät.

Internet technology IT

Lyhenne “IT” tarkoittaa “Information Technology” eli suomeksi tietotekniikkaa. Tietotekniikka kattaa laajan kirjon teknologioita ja prosesseja, jotka liittyvät tietojen tallentamiseen, käsittelyyn, siirtoon ja käyttöön tietokoneiden ja muiden digitaalisten laitteiden avulla. Se sisältää muun muassa tietokoneiden käytön, ohjelmistojen kehittämisen, tietokantahallinnan, verkkotekniikat ja paljon muuta.

“Internet technology” puolestaan viittaa niihin teknologioihin ja ratkaisuihin, jotka liittyvät internetiin ja sen käyttöön. Internet on maailmanlaajuinen tietoverkko, joka yhdistää miljardeja laitteita ja palveluita ympäri maailmaa. Internetin teknologiat kattavat esimerkiksi verkkosivustojen ja sovellusten kehittämisen, tietoliikenteen protokollat, verkkoturvallisuuden ja paljon muuta.

Miten IT ja OT eroavat toisistaan?

On tärkeää huomata, että OT ja IT eivät ole aivan sama asia, ja niiden turvallisuusvaatimukset ja haasteet voivat poiketa toisistaan. OT-verkot ovat erikoistuneita teollisuuden palvelualakohtaisia järjestelmiä, kun taas IT-verkot ovat yleisiä yritysverkkoja, jotka käsittelevät tietotekniikkaan liittyviä toimintoja.

OT verkossa pyritään myös erittäin korkeaan saatavuuteen (availability) verrratuna IT verkon keskitasoon. Tämä vaikuttaa myös käytettyihin palveluihin. OT verkoissa ei ole vielä yleisesti otettu käyttöön esimerkiksi IPS järjestelmiä (Intrusion Protection System) eli hyökkäyksenestojärjestelmiä. IPS järjestelmä saattaa erehtyä verkon tapahtumasta, tämä voi sitten aiheuttaa, jopa kriittisiä tuotannon keskeytyksiä.

OT verkon laitteet

Perinteisessä IT verkossa laitteiden elinikä on yleensä 3-6 vuotta. OT verkon laitteet on suuniteltu yleensä kestämään aikaa. Osa laitevalmistajista suunnittelee laitteensa, niin että niiden laskennallinen kestoikä on kymmeniä vuosia. Näin ollen usein OT laitteet ovat käytössä jopa yli 20 vuotta.

OT verkon laitteistot ovat usein myös hankalia päivittää tai niihin ei julkaista tavanomaisen syklin mukaisia päivityksiä. Osa valmistajista julkaisee kerran tai kaksi kertaa vuodessa järjestelmäpäivityksiä laitteistoihin, yleensä korjaamaan tietoturvahaavoittuvuuksia. Näin ollen laitteissa saattaa usein olla monia kriittisiä päivityksiä tekemättä, vaikka kyseessä olisi asiakkaan tuotantoympäristö.

OT verkon protokollat

OT verkon laitteet ovat tukeneet aiemmin ja osaksi vielä nykypäivänä ns. suljettuja protokollia. Nämä protokollat ovat tiettyjen yrityksien käyttämiä protokollia, joihin ei ole saatavavilla kuvausta miten ne toimivat. Näin ollen järjestelmien välinen integraatio voi muodostua ongelmaksi.

Nykyään Suomessa ovat yleistyneet IEC-protokollaperheen toteutukset sähköverkkojen hallinnassa ja valvonnassa. Näistä käytetään nykyään IEC 60870-5-101 sarjaliikenneprotokollaa ja IEC 60870-5-104 TCP/IP pohjaista tiedonsiirtoprotokollaa. Nämä protokollat ovat helpottaneet järjestelmien välistä integraatiota sekä tuoneet uusia toimijoita asiakkaiden hyväksi. Teollisuuspuolen protokollissa ovat edelleen käytössä muun muassa OPC, Modbus sekä Profibus.

Teollisuusjärjestelmien kyberturvallisuus on osa teollisen internetin tietoturvaa

Teollisuusjärjestelmien kyberturvallisuus on äärimmäisen tärkeää, koska häiriöt tai hyökkäykset voivat aiheuttaa fyysistä vahinkoa, tuotannon keskeytymistä ja turvallisuusriskejä. Näiden riskien tunnistaminen, teollisuuden parissa toimiville yrityksille, tulisi olla erittäin korkealla prioriteetilla.

Teollisen internetin tietoturva on erittäin tärkeä osa yhtiöiden toimintaa, sillä niiden suojauksen on oltava kattavaa ja jatkuvasti päivittyvää. Tietoturva sisältää useita tekijöitä, kuten palomuurit, tunnistautumisjärjestelmät ja tietoliikenteen salauksen. OT-tuotantoverkon suojaaminen on erityisen tärkeää, sillä sen kautta ohjataan ja valvotaan usein kriittisiä prosesseja.

Nykyaikaiset palomuuriratkaisut tukevat tuotantoverkon kriittistä tietoturvan parantamista. Tutustu Save LAN:in palomuuripalveluun.

OT tietoturva

OT tietoturva on äärimmäisen tärkeää, koska nämä verkot hallitsevat ja valvovat teollisuusprosesseja sekä kriittistä infrastruktuuria. OT tietoturvaan liittyvät haasteet ovat erilaisia verrattuna yrityksen perinteisiin tietotekniikan (IT) verkkoihin, koska OT verkot käyttävät usein erikoistuneita järjestelmiä, vanhempia laitteistoja ja yrityskohtaisia erikoisprotokollia.

Hyvin suojattu OT-verkko takaa tuotannon luotettavuuden ja estää haitallisten tekijöiden pääsyn järjestelmään läpi. OT-verkko ja sen tietoturva ovat välttämättömiä yhtiöiden toiminnan kannalta. Ne tukevat prosessien hallintaa ja lisäävät asiakkaiden ja sidosryhmien luottamusta.

Verkon eristäminen ja segmentointi

OT-verkon eristäminen IT-verkoista ja muista ulkopuolista verkoista auttaa rajoittamaan hyökkäysten leviämistä ja samalla tavalla pienentää riskiä, etteivät OT-järjestelmiin kohdistuvat hyökkäykset vaikuta koko organisaatioon tai edes koko OT-verkkoon.

Segmentoinnilla eli verkon jakamisella pienempiin osiin voidaan eriyttää eri laitetyypit ja palvelut omiin OT-verkkoihinsa tai rajoittaa riskejä eri yhteyksien välillä. Esimerkiksi asiakas halusi eriyttää verkot, koska verkkoihin liittyi ulkopuolinen yhtiö. Verkon segmentoinnilla saatiin ulkopuoliselle yhtiölle oma verkko olemassa olevaan kytkinverkkoon. Tällä nostettiin asiakkaan tietoturvallisuutta korkeammalle tasolle.

Siirrettävän tiedon salaus ja muuttumattomuus

Järjestelmän ulkopuolisten yhteyksien tietoturvanturvaaminen voidaan tehdä VPN-etäyhteyksillä, jotka takaavat tiedon muuttumattomuuden ja estävät salakuuntelun. VPN-yhteydet luovat tietoturvallisen yhteyden OT-verkon protokollille, joissa ei yleensä ole sisäänrakennettua tietoturvaa.

VPN-yhteyksiä on käytetty esimerkiksi ala-aseman ja SCADA järjestelmän välisiin yhteyksiin. Nykypäivänä käytetään myös langattomia yhteyksiä, joissa VPN-yhteyksien käyttö on erittäin suositeltavaa. Osa prosessiverkoissa käytetyistä laitteista tukevat suoraan SSL-pohjaista VPN-yhteyttä. Näin verkon tietoturvaa voidaan nostaa ilman uusia laitteita.

Päivittäminen ja haavoittuvuuksien hallinta

Kaikki OT-verkon laitteet ja järjestelmät tulisi pitää ajan tasalla päivitysten ja turvallisuuspäivitysten suhteen. Vanhojen, ei-tuettujen laitteiden käyttö voi lisätä tietoturvariskejä. Havoittuvuuksien ja turvallisuus luokan arviointi on kriittistä tuotantoverkkojen haltijoille.

Haavoittuvuuksien seuranta voidaan toteuttaa helposti Traficom palvelun avulla. Tällöin pävittäinen kooste kertoo eri valmistajien haavoittuvuuden ja hyväksikäyttöuhkat. Tämän lisäksi laitteet ja ohjelmistot on syytä päivittää. Yleensä kiirellisyys määrittyy sillä, kuinka kriittisestä uhasta on kyse. Osa havoittuvuuksista julkaistaan hyväksikäyttömenetelmän kanssa, joilloin päivityksillä on korkeampi kiireellisyysluokka.

Käyttäjien tunnistaminen ja pääsynhallinta

OT-verkon käyttäjille tulisi olla selkeät tunnistautumismenettelyt ja käyttöoikeuksien hallinta. Vain tarpeellisilla käyttäjillä tulisi olla mahdollista pääsy arkaluontoisiin järjestelmiin ja toimintoihin.

OT-verkkojen käyttäjillä tulisi olla henkilökohtaiset tunnukset. Henkilökohtaiset tunnukset mahdollistavat tarkan seurannan yrityksen muutoksista sekä auditoinnin jälkikäteen. Laitteiden ja palveluiden pääkäyttäjätunnnuset tai yleiskäytössä olevat tunnukset olisi hyvä ottaa pois käytöstä. Tunnusten hallinnoinnnissa on huomioitava että tunnukset vanhenevat automaation avulla. Näin salasanan vaihtamisprosessi tulee rutiiniksi käyttäjille. Toinen hyvä puoli on käyttämättömien tunnuksien lukkiutuminen, joka nostaa tietoturvaa.

OT-verkon tietoturvaa voidaan edelleen kehittää kaksi vaiheisella tunnistuksella. Kriittisten järjestelmien korkeatasoinen tietoturva saavutetaan esimerkiksi syöttömällä käyttätunnus ja salasana sekä erillisestä ohjelmasta tai laitteesta tuleva tunnus.

Fyysinen turvallisuus

OT-laitteiden ja järjestelmien fyysinen turvallisuus on tärkeää, jotta estetään luvattomat pääsyt laitteisiin ja järjestelmiin. Laitteiden ja tilojen turvallisuus prosessin reunoilla on usein tärkeintä.

Fyysinen turvallisuus ei rajoitu ainoastaan huoneiden ja rakennusten turvallisuuteen vaan, myös palvelinten ja kenttälaitteiden fyysiseen tietoturvaan on panostettava. Tällä voidaan tarkoittaa esimerkiksi USB porttien poistamista käytöstä. Uuden laitteen käyttöönoton yhteydessä on syytä ottaa nämä seikat huomioon.

Turvallisuuskoulutus

OT-verkon käyttäjille tulisi järjestää säännöllistä tietoturvakoulutusta, jotta he kaikki ovat tietoisia mahdollisista uhkista ja osaavat toimia oikein poikkeustilanteissa. Käyttäjille tulisi erityisesti painottaa tuotantoverkkojen kriittisyyttä ja mahdollisia uhkia koulutuksen aikana.

Yleisesti haittaohjelmat voivat levitä esimerkiksi sähköpostin välityksellä. Käyttäjä saattaa epähuomiossa klikata viralliseselta näyttävää esimerkiksi kuljetusyhtiön sähköpostin linkkiä. Tämä saattaa johtaa sähköpostiohjelman kautta koko laitteen saastumiseen. Yhden laitteen saastuminen ei välttämättä ole ongelma, mutta jos haittaohjelma pääsee leviämään, voi tämä aiheuttaa koko tuotannon lamaantumisen.

Haittaohjelmien torjunta

OT-verkon laitteisiin ja järjestelmiin tulisi asentaa aina asianmukaiset haittaohjelmien torjuntaratkaisut, kuten virustorjuntaohjelmistoja työasemiin. Muita keinoja rajoittaa haittaohjelmia ovat esimerkiksi verkkojen segmentointi sekä hyökkäyksentunnistusjärjestelmät eli IDS järjestelmät. Palvelu voi siten kattaa ainoastaan tunnistamisen tai voi sisältää myös reagointia.

IDS-järjestelmää voidaan hyödyntää tunnistamaan esimerkiksi haitallisten ohjelmien leviämistä verkossa. Toisaalta siinä vaiheessa, jos IDS-havaitsee haittaohjelman leviämisen verkossa, voi olla jo liian myöhäistä pelastaa verkon laitteet. Haittaohjelmat saattavat levitä muutamissa sekunneissa tai minuuteissa koko verkkoon.

Seuranta ja lokitus

OT-verkon laitteiden ja järjestelmien tulisi tallentaa kattavasti tietoa eli lokeja muistiin. Tämä avustaa jälkeenpäin tehtävää tutkimusta ja vianselvitystä. Lokien säilytys voidaan toteuttaa paikalisesti, mutta nykyaikainen tapa on viedä nämä verkon yli tähän tarkoitettuun järjestelmään.

Varautuminen ja palautuminen

OT-verkkoon tulisi luoda suunnitelma mahdollisia häiriöitä ja hyökkäyksiä varten sekä varmistaa, että tietojen palauttaminen ja järjestelmien elvyttäminen on mahdollisimman nopeaa. Erityisen tärkeänä pidetään, että eri tilanteita harjoitellaan, eikä ainoastaan kirjata teoreettisesti.

Yhteenvetona OT-verkon tietoturva vaatii erityisiä toimenpiteitä ja huomioita, jotta varmistetaan kriittisten prosessien suojelu ja vältetään potentiaaliset riskit. Organisaatioiden on oltava hyvin tietoisia näistä erityisvaatimuksista ja investoitava riittävästi resursseja OT-verkon tietoturvan parantamiseen ja ylläpitoon.

OT tuotantoverkko

OT Tuotantoverkko (engl. production network) on termi, joka viittaa yrityksen tai organisaation tuotantoprosessin kokonaisuuteen, jossa eri toimijat ja resurssit ovat yhteydessä toisiinsa. Tämä verkosto voi käsittää useita tuotantolaitoksia, toimittajia, alihankkijoita ja jakeluverkostoja, jotka toimivat yhdessä valmistustuotteen tai palvelun tuottamiseksi ja toimittamiseksi loppukäyttäjille tai asiakkaille.

Tuotantoverkot voivat vaihdella suuresti eri teollisuudenaloilla ja yrityksissä riippuen tuotantoprosessin monimutkaisuudesta, tuotantomääristä, markkinoiden vaatimuksista ja logistisista tekijöistä. Esimerkiksi suuressa kansainvälisessä yrityksessä tuotantoverkko voi olla laaja, kattaen useita tehtaita eri maissa ja monia toimittajia eri puolilla maailmaa. Pienemmissä yrityksissä tuotantoverkko voi olla paikallisempi ja sen verkot yksinkertaisempi ratkaisu. Osassa tuotantolaitoksia koneiden ikä on sellainen, ettei dataa välttämättä saada vietyä, analysoiviin järjestelmiin.

Kyberturvallisuus tuotantoverkoissa ja järjestelmissä

Kyberturvallisuus tuotantoverkoissa on erittäin tärkeä aihe, sillä teollisuuden digitalisoituminen ja verkon käytön yleistyminen ovat tuoneet mukanaan myös uusia uhkia ja haasteita. Tuotantoverkkojen kriittiset toiminnot ja järjestelmät ovat alttiita erilaisille tietoturvahyökkäyksille, ja mahdolliset häiriöt tai hyökkäykset voivat aiheuttaa vakavia seurauksia, kuten tuotannon seisokkeja, laadun heikkenemistä tai jopa vaaratilanteita.

Verkkojen yhteenliittyminen sekä toimittajien etäyhteydet ovat kasvaneet nopeasti. Tämä tuo uusia uhkia, koska toimistoverkon kautta voi levitä uhkia myös tuotantoverkon puolelle. Tuotantoverkkojen dataa viedään lisäksi enemmän toimistoverkon puolelle tukemaan liiketoimintaa. Dataa tarvitaan prosessien kehittämiseen, seurantaan ja ERP-järjestelmien avuksi sekä nostamaan liiketoiminnan reaaliaikaista seurantaa. Tällaiset yhteydet tuovat täysin uusia uhkia tuotantoverkkojen ylläpitoon.

Mikä on SCADA-järjestelmä?

SCADA-järjestelmä, toiselta nimeltään käytönohjausjärjestelmä, koostuu järjestelmästä, johon liittyy valvomon näyttöpäätteet, palvelimet sekä tiedonkeruulaitteisto. Järjestelmästä puhutaan myös HMI-järjestelmänä, joka tulee englanninkielen sanoista Human Machine Interface eli käyttäjän ja koneen välinen käyttöliittymä.

Mutta mikä Scada valvomo oikeastaan on?

Usein Scada valvomo rakentuu käyttäjien työasemista, joilla voidaan valvoa ja ohjata prosessia. Työasemia tai järjestelmää voidaan käyttää myös etänä esimerkiksi remote desktop protokollan avulla. Nykyaikaiset SCADA-sovellukset tukevat myös selainpohjaista hallintaa.

Mitä valvomo tekee?

Työaseman tarkoitus on visualisoida prosessin tilanne käyttäjälle sekä mahdollistaa ohjaukset sen näytöltä. Järjestelmä esimerkiksi tuottaa työasemalle myös indikaatioita virhetilanteista, jotka vaativat lisää huomiota.

Tälläinen tilanne voi olla esimerkiksi sähkön katkeaminen tietyltä alueelta, johon järjestelmä voi reagoida automaattisesti tai se voi vaatia käyttäjän toimenpiteitä.

Työasema hakee tietonsa palvelimesta, jossa sijaitsee tietokanta esimerkiksi mittausdatalle. Palvelimet voivat olla myös kahdennetut. Kahdennus voidaan tehdä esimerkiksi niin, että järjestelmän palvelimet on hajautettu esimerkiksi eri palotiloihin käytettävyyden parantamiseksi.

Scada-järjestelmään voi liittyä lisäksi palvelimia, jotka muuttavat tietoa eri kommunikointi protokollista järjestelmän ymmärtämään muotoon. Järjestelmä voi ottaa, teollisuudensalasta riippuen, yhteyttä kenttälaitteisiin usean eri protokollan avulla. Kenttälaitteina ja tiedon tuottajina toimivat prosessin eri laitteistot esimerkiksi pumput, katkaisijat, RTU tai PLC laitteet.  

Scadan tietoturva ja palomuurit

Palomuuripalvelut ovat olennainen osa SCADA-järjestelmien tietoturvaa. Ne toimivat ensilinjan puolustuksena valvomalla ja rajoittamalla verkkoliikennettä, suojaten näin kriittisiä teollisuusprosesseja ja infrastruktuuria luvattomalta pääsyltä ja potentiaalisilta uhilta. Oikein konfiguroitu ja päivitetty palomuuri varmistaa, että SCADA-järjestelmät toimivat turvallisesti ja tehokkaasti, mikä on elintärkeää yhteiskunnan kannalta kriittisten palveluiden jatkuvuudelle. Tutustu Save LAN palomuuripalveluun.

Katso video aiheesta What is Scada (supervisory control and data acquisition)?

Helpotusta tuotannonohjaukseen ja tilausten hallintaan

Valvomo-ohjelmisto pystyy lukemaan tietoverkon avulla ohjelmoitavan logiikan muistia ja rekistereitä. Ohjausjärjestelmissä työnjako SCADA-ohjelman ja logiikkaohjelman välillä tehdään niin, että logiikkaohjaus pystyy hoitamaan koneen toiminnan ilman SCADA-ohjelmaa ainakin työsekvenssin loppuun. Tuotteen vaihtuessa voidaan valvomosta lähettää uusi ohjelma tai muuttaa asetuksia seuraavalle tuotantokappaleelle.

Valvomoissa on monipuoliset grafiikkatyökalut, joten sen avulla voidaan toteuttaa tehokkaita graafisia käyttöliittymiä (GUI). Valvomolla on mahdollisuus lukea mittausta logiikan kautta yhtä nopeasti kuin logiikka saa mittaustiedon. Nykyaikaiset tiedonsiirtoväylät ja käyttöjärjestelmät mahdollistavat lähes reaaliaikaisen valvonnan prosessille.

Tehtaan ohjausjärjestelmät

Tehtaan ohjausjärjestelmät jaetaan usein kolmeen tai neljään hierarkkiseen tasoon.

Taso 1: Ohjelmoitavat logiikat eli PLC laitteet

Alimpana ovat koneiden ohjauksesta vastaavat ohjelmoitavat logiikat eli PLC laitteet.

Taso 2: Valvomo-ohjelmisto

Seuraavalla tasolla ovat valvomo-ohjelmisto, jotka siirtävät tiedot ylimmällä tasolla ohjaushierarkiassa olevista toiminnanohjausjärjestelmästä (Enterprise Resource Planning ERP) tuotannonohjaukseen liittyvää tietoa resepteinä ja asetusarvoina logiikoille ja raportteina toiseen suuntaan.

Taso 3: MES

ERP-ohjelmistojen ja valvomojen välissä voi olla MES (Manufacturing Execution System) eli tuotannonohjausohjelmistojen taso, joilla tietoa muokataan paremmin ERP-järjestelmiin sopiviksi.

Taso 4: ERP

ERP toiminnanohjausjärjestelmä, jolla ohjataan tuotantoa.

Valvomo-ohjelmistot keräävät myös toteutumatiedon ja laadunvalvontaan tarvittavat tiedot. Näitä siirretään tarvittavissa määrin ylös MES- ja ERP-tasolle. Laajemmat laaturaportit voivat jäädä vain valvomo- tai MES-tasoille.

Keskitä eri järjestelmät yhteen näkymään

SCADA-järjestelmän avulla voidaan tuoda usean eri järjestelmän tietoja yhteen keskitettyyn näkymään. Tämä helpottaa järjestelmän ylläpitoa, koska kaikki tieto saatavilla yhden keskitetyn järjestelmän kautta.

Tietoa kerätään järjestelmään myös esim. RTU laitteen avulla. Tämän tarkoitus on kerätä ja summata tietoa IED-laitteilta, jotka sähköasemaympäristössä ovat suurimmaksi osaksi suojareleitä. Yhden RTU:n alla voi olla IED-laitteita aina muutamasta jopa 30 kappaleeseen.

SCADA-järjestelmiä käytetään prosessien tehokkuuden parantamiseen, laitteiden turvallisuuden parantamiseen ja kustannusten säästöön. Ne voivat myös auttaa yrityksiä noudattamaan sääntöjä ja määräyksiä.

SCADA vs DCS – mikä niitä erottaa?

SCADA (Supervisory Control and Data Acquisition) ja DCS (Distributed Control System) ovat kaksi erilaista automaatiojärjestelmää, joita käytetään teollisuusprosesseissa ja infrastruktuurin valvonnassa. Vaikka molemmat ohjelmisto järjestelmät liittyvät valvontaan ja ohjaukseen, niiden toiminnot, sovellusalueet ja ominaisuudet ovat erilaisia. Tässä on vertailu SCADA:n ja DCS:n välillä:

Määritelmä

SCADA: SCADA on järjestelmä, joka koostuu valvomosta (tai valvontakeskuksesta) ja etäpisteistä, joissa prosessin valvonta ja ohjaus tapahtuvat. Se kerää, näyttää ja analysoi reaaliaikaista tietoa laajasta valvottavasta alueesta.

DCS: DCS on järjestelmä, joka keskittyy teollisen prosessin valvontaan ja ohjaukseen. Se koostuu hajautetuista ohjausyksiköistä, jotka toimivat yhdessä tehdas- tai prosessilaitoksen valvontakeskuksen kanssa.

Arkkitehtuuri

SCADA: SCADA-järjestelmä on yleensä hierarkinen ja keskitetty. Valvontakeskus vastaa datan keräämisestä, käsittelystä ja näyttämisestä, kun taas etäpisteet välittävät tietoa laitoksen kenttälaitteista valvontakeskukselle.

DCS: DCS-järjestelmä on hajautettu. Prosessin ohjausyksiköt ovat hajautettuja, ja ne ovat vastuussa paikallisesta valvonnasta ja ohjauksesta. DCS:n valvontakeskus koordinoi ja yhdistää nämä hajautetut yksiköt.

Sovellusalueet

SCADA: SCADA-järjestelmiä käytetään yleensä laajempien infrastruktuurien valvontaan, kuten voimalaitokset, vesihuolto, öljy- ja kaasuteollisuus sekä liikennevalvonta.

DCS: DCS-järjestelmiä käytetään prosessilaitoksissa, kuten kemian teollisuudessa, öljynjalostamoissa, voimalaitoksissa ja muissa teollisuusprosesseissa.

Tiedonsiirto

SCADA: SCADA-järjestelmä käyttää yleensä standardoituja tiedonsiirtoprotokollia, kuten IEC-104 tai DNP3, tiedon keräämiseen ja siirtämiseen etäpisteiden ja valvontakeskuksen välillä.

DCS: DCS-järjestelmissä käytetään usein valmistajan omia tiedonsiirtoprotokollia, jotka on optimoitu nopeaan ja luotettavaan viestintään hajautettujen ohjausyksiköiden ja valvontakeskuksen välillä.

Käyttöympäristö

SCADA: SCADA-järjestelmiä käytetään yleensä valvomoissa, joissa operaattorit tarkkailevat prosessien tilaa ja voivat tehdä manuaalisia toimenpiteitä tarvittaessa.

DCS: DCS-järjestelmiä käytetään prosessin automatisoimiseen ja valvontaan sekä automaattisen ohjauksen toteuttamiseen ilman jatkuvaa ihmisen valvontaa.

Vertailun lopputuloksena voidaan todeta, että SCADA ja DCS ovat molemmat tärkeitä teollisuuden valvonta- ja ohjausjärjestelmiä, mutta niitä käytetään erilaisissa sovellusalueissa ja niiden arkkitehtuuri ja laaja toiminnallisuus poikkeavat toisistaan. SCADA-järjestelmät ovat yleensä sopivia laajoille ja hajautetuille järjestelmille, kun taas DCS-järjestelmät ovat tehokkaita tietyn prosessin automatisointiin ja hallintaan teollisuuslaitoksissa.

Tässä artikkelissa pureudumme tietojen eheyden määritelmään ja siihen, miten tämän periaatteen tulisi näkyä tuotantoyrityksen OT-verkossa.

Eheys tietoturva – määritelmä

Tietojen eheys viittaa tiedon tai datan luotettavuuteen ja yhtenäisyyteen. Sen perimmäisenä tavoitteena on varmistaa, että tieto pysyy muuttumattomana sen siirron, tallennuksen ja haun aikana. Tietojen eheyden perusperiaatteena on, että tiedot ovat aina täsmälliset, kattavat ja saumattomat, minkä varmistamiseksi käytetään useita eri tietoturvatyökaluja ja -protokollia.

Käytännössä eheys voidaan jakaa fyysiseen ja loogiseen eheyteen.

• Fyysinen eheys varmistaa, että datan rakenteellinen eheys säilyy kaikissa olosuhteissa, esimerkiksi laitevika- tai sähkökatkotilanteissa.
• Looginen eheys puolestaan keskittyy datan sisältöön, ja sen avulla varmistetaan, että tiedot ovat ristiriidattomia ja niitä hallitaan kattavasti.

Miten tietojen eheys -periaatetta tulee noudattaa tuotantoyrityksen OT-verkossa?

Tuotantoyrityksen OT-verkossa datan eheyden suojaaminen on erityisen kriittistä, sillä siinä käsitellään aina arkaluonteisia tietoja, kuten tuotantotietoja ja muuta tärkeää dataa.

Datan korruptoituminen tai muu vaurioituminen voi johtaa vakaviin seurauksiin, kuten tuotannon keskeytymiseen, asiakastietojen menetykseen tai jopa liiketoiminnan maineen heikentymiseen. Katsotaan seuraavaksi miten näitä ongelmia voidaan taklata tuotanto- ja tietoliikenneverkoissa..

Tiedon säilytyksen johdonmukaisuus tulee huomioida OT-verkossa monella tasolla

Ensinnäkin, data siirto- ja tallennusjärjestelmien on oltava luotettavia ja niissä on oltava asianmukaiset suojaukset datan vahingoittumisen, hukkaantumisen tai luvattoman muuttamisen estämiseksi.

Toiseksi, järjestelmien on pystyttävä tunnistamaan ja korjaamaan mahdolliset tiedon eheyden rikkomukset, kuten virheelliset tai väärennetyt tiedot. Kolmanneksi, henkilöstön on oltava koulutettu ymmärtämään tietojen eheyden merkitys ja osattava noudattaa parhaita käytäntöjä sen varmistamiseksi.

SHA-tiivisteet

Yksi tapa tiedon eheyden varmistukseen on SHA-tiiviste ja se on lyhenne sanoista Secure Hash Algorithm. Se on hash-algoritmi, jota käytetään tiedostojen ja viestien muuttumattomuuden varmistamiseen. SHA-tiivisteet ovat yksisuuntaisia, mikä tarkoittaa, että tiedostoa tai viestiä ei voi palauttaa alkuperäiseen muotoonsa vain sen hash-tiivisteen perusteella. SHA-tiivisteet käytetään usein tiedostojen ja viestien autentikoinnin, integriteetin ja eheyden varmistamiseen.

SHA-tiivisteitä on useita erilaisia, joista yleisimmät ovat generaatioon SHA1, SHA2 ja SHA3 tiivisteitä. SHA1:tä ei enää pidetä turvallisena, ja sen käyttöä ei suositella. SHA2-256 ja SHA2-512 sekä SHA3 ovat kaikki turvallisia tiivisteitä, joita voidaan käyttää monenlaisissa sovelluksissa. Luku 256 sanassa SHA2-256 tarkoittaa, että tiiviste tuottaa aina luvun mukaisen bittimäärän, riippumatta lähdemateriaalin pituudesta.

SHA-tiivisteet luodaan ottamalla tiedosto tai viesti ja muuntamalla se sarjaksi numeroita. Nämä numerot ovat tiedoston tai viestin hash-tiivistettä. SHA-tiivistettä voidaan käyttää tiedoston tai viestin autentikoinnin, integriteetin ja eheyden varmistamiseen vertaamalla tiedoston tai viestin hash-tiivistettä sen todelliseen hash-tiivisteeseen. Jos hash-tiivisteet ovat erilaiset, tiedostoa tai viestiä on muutettu.

Tietoturva-auditointi tietojen eheyden takeena

Tietojen eheyden varmistamiseksi, on ensiarvoisen tärkeää, että yrityksen toiminnassa otetaan käyttöön kattava tietoturva-auditointi. Tällä tarkoitetaan prosessia, jossa asiantuntijat tarkastelevat ja arvioivat organisaation tietoturvajärjestelmiä sekä niitä ylläpitäviä prosesseja. Tarkastelun kohteena ovat kaikkien järjestelmien tiedot ja niiden käsittely, jotta voidaan varmistaa tiedon koskemattomuus ja johdonmukaisuus.

Auditoinnin keskeisenä tavoitteena on tunnistaa mahdolliset heikkoudet, jotka saattavat vaarantaa tiedon eheyden tai muuttaa sen tilaa. Tämä voi tarkoittaa esimerkiksi järjestelmävirheitä, puutteellista tietojen käsittelyä tai turvallisuusaukkoja. Tietoturvan asiantuntijat myös analysoivat, miten yritys reagoi mahdollisiin tietoturvaongelmiin, jotta voidaan varmistaa tehokas reagointi mahdollisiin tuleviin uhkiin.

Auditoinnin tulosten perusteella yritys ei ainoastaan voi tunnistaa ja korjata mahdolliset heikkoudet, vaan se voi myös kehittää tietoturvapolitiikkaansa ja prosessejaan. Tämä tarkoittaa esimerkiksi uusien tietoturvaratkaisujen käyttöönottoa, henkilöstön koulutuksen parantamista tai tietoturvan hallintaa koskevien prosessien tehostamista.

On kuitenkin tärkeää ymmärtää, että tietoturva-auditointi on vain osa laajempaa tietoturvan hallintaprosessia. Auditoinnin lisäksi yrityksen tulee myös jatkuvasti seurata ja arvioida tietojärjestelmiensä turvallisuutta, jotta tiedot pysyvät eheinä kaikissa olosuhteissa.

Yhteenveto

Tietojen eheys on keskeinen osa yrityksen tietoturvaa. Sen varmistaminen edellyttää sekä teknisiä ratkaisuja että henkilöstön kouluttamista. Tuotantoyrityksen OT-verkossa datan pysyminen koskemattomana on erityisen tärkeää, koska siellä käsitellään usein liiketoiminnan kannalta kriittisiä tietoja. Panostaminen tietoturvaan on siis investointi, joka tukee yrityksen liiketoiminnan jatkuvuutta ja auttaa välttämään vakavat tietoturvaongelmat.

Usein kysyttyä

Mitkä ovat tietoturvan osa-alueet

Tietoturvan osa-alueet yleisellä tasolla ovat saatavuus, luottamuksellisuus ja eheys. Täydentäviä osa-alueita ovat kiistämättömyys, tunnistus ja todennus. Yleisellä tietoturvalla tarkoitetaan tiedon suojaamista häviämiseltä, varastamiselta, korruptoitumiselta tai muulta ei-tarkoituksenmukaiselta muuttumiselta.

Tietoturvaa voidaan lähestyä eri näkökulmista tai osa-alueista, joista kukin kattaa oman osuutensa tietoturvan yleisestä kokonaisuudesta:

1. Hallinnollinen tietoturva – Tämä kattaa tietoturvan strategisen ja operatiivisen johtamisen, kuten tietoturvakontrollit, menettelyt ja ohjeistukset.
2. Fyysinen turvallisuus – Tämä viittaa fyysisiin turvatoimenpiteisiin, jotka suojaavat tietotekniikkalaitteita ja toimipaikkoja, esimerkiksi lukitut ovet, valvontakamerat ja palosuojaus.
3. Laiteturvallisuus – Tähän kuuluu tietokoneiden, palvelinten, verkkolaitteiden ja muiden laitteiden tietoturvallisuuden ylläpitäminen.
4. Sovellusturvallisuus – Tämä tarkoittaa tietoturvallisuuden varmistamista ohjelmistoissa, mukaan lukien sovellusten kehittäminen tietoturva huomioiden ja päivitysten hallinta.
5. Dokumenttiturvallisuus – Tämä käsittää sähköisten ja paperisten tietoaineistojen turvallisen hallinnoinnin, varastoinnin ja käsittelyn.
6. Verkkoturvallisuus – Tähän kuuluu tiedonsiirron turvaaminen, esimerkiksi verkkoliikenteen salaus ja palomuuripalvelu (esimerkiksi Save LAN:in ylläpitämä)
7. Henkilöstön tietoturva – Tämä osa-alue kattaa roolien, vastuiden ja tietoturvaohjeistuksen noudattamisen henkilöstön keskuudessa.
8. Käyttäjäturvallisuus – Tämä tietoturva-alue liittyy käyttäjien tunnistautumiseen ja salasanapolitiikoihin, ja se on usein yhdistetty osaksi ohjelmistoturvallisuutta.

Mitä tarkoittaa kiistämättömyys?

Tietoturvan kiistämättömyys viittaa siihen, että digitaalisessa ympäristössä tehdyn toiminnon tai lähetetyn viestin alkuperää ei voi jälkikäteen kiistää. Kiistämättömyys perustuu vahvaan käyttäjäautentikointiin, salaukseen ja digitaalisiin allekirjoituksiin, ja se on keskeinen osa tietoturvan oikeudellista suojaa ja vastuullista käyttöä.

Mitä tarkoitetaan tiedon luottamuksellisuudesta, eheydestä, käytettävyydestä ja todentamisesta tietoturvan yhteydessä?

Tietoturvan yhteydessä tiedon luottamuksellisuus tarkoittaa, että tietoa pääsevät käyttämään vain ne henkilöt, joilla on siihen oikeus. Eheydellä puolestaan tarkoitetaan, että tiedot pysyvät muuttumattomina ja niiden alkuperäisyys voidaan varmistaa. Tietoturvan käytettävyys viittaa siihen, että tietoja voidaan käyttää tarvittaessa, ja ne ovat saavutettavissa silloin kun niitä tarvitaan. Todentaminen tarkoittaa käyttäjän tai laitteen identiteetin varmistamista, esimerkiksi salasanalla tai biometrisellä tiedolla, ennen kuin pääsy tietoihin sallitaan.

Tämä artikkeli selittää tietoturvan käytettävyyden merkityksen ja antaa ohjeita siitä, kuinka periaatetta tulisi noudattaa tuotantoyrityksen OT-verkossa.

Tietoturva käytettävyys määritelmä

Tietoturvan käytettävyyden perusajatuksena on varmistaa, että tietojärjestelmien käyttäjillä on jatkuva ja luotettava pääsy tietoihin. Käytettävyys on yksi tietoturvan kolmesta perusperiaatteesta, joita kutsutaan yhdessä CIA-malliksi (Confidentiality , Integrity, Availability). Käytettävyyden osalta keskitymme erityisesti järjestelmien toimintaan ja tietovarastojen saatavuuteen.

Käytettävyyden kannalta merkittäviä uhkia ovat esimerkiksi laitteiston viat, ohjelmistovirheet, tietoliikennekatkot sekä tarkoitukselliset hyökkäykset, kuten palvelunestohyökkäykset (DDoS). Näiden uhkien hallintaan tarvitaan monipuolista ja jatkuvaa riskienhallintaa.

Miten käytettävyys-periaatetta voidaan noudattaa tuotantoyrityksen OT-verkossa?

Tuotantoverkkojen käytettävyys täytyy olla niin lähellä 100% kuin vain mahdollista, sillä ne valvovat tai suorittavat fyysisiä prosesseja, jolloin katko verkon käytettävyydessä voi johtaa vakaviin tuotantohäiriöihin tai jopa turvallisuusriskeihin.

Varautuminen ja jatkuvuudenhallinta

Tärkein ensiaskel on varautuminen mahdollisiin häiriöihin. Jatkuvuudenhallinnan tulisi olla keskiössä kaikessa tietoturvatyössä. Suunnitelma tulisi olla valmiina niin luonnonmullistuksille, teknisille vioille kuin kyberhyökkäyksillekin. Tämä sisältää yksityiskohtaiset suunnitelmat kriittisten järjestelmien palauttamisesta vian tai hyökkäyksen jälkeen. Myös varmuuskopioinnin tulisi olla osa normaalia toimintaa – ei vain kriittisissä järjestelmissä, vaan myös vähemmän kriittisissä, sillä datan palauttaminen voi olla elintärkeää järjestelmien toiminnan palauttamisessa. Redundanttien järjestelmien, kuten varajärjestelmien ja peilauspalvelimien, käyttö auttaa myös varmistamaan jatkuvan pääsyn palveluihin myös kriittisissä tilanteissa.

Kapasiteetin hallinta

OT-verkon on pystyttävä käsittelemään datan määrä, joka kulkee sen läpi. Järjestelmä tulee suunnitella ja rakentaa siten, että se kykenee käsittelemään normaalin työkuorman lisäksi myös odottamattomat kuormapiikit. Tätä varten on tarpeen tehdä säännöllisiä suorituskykytestejä, jotta voidaan varmistua järjestelmän kyvystä vastata kasvavaan datan määrään. Tämän lisäksi järjestelmän tulee olla suunniteltu skaalautuvaksi – sen tulee pystyä mukautumaan kasvavaan kuormitukseen laajentamalla resurssejaan tarvittaessa.

Suojaus hyökkäyksiltä

OT-verkot ovat houkutteleva kohde kyberhyökkäyksille, sillä niiden kautta voidaan saada kontrolli merkittäviin tuotantoprosesseihin. Yrityksen on siksi toteutettava asianmukaiset suojatoimenpiteet.

Nämä voivat sisältää:

• palomuurin tai esimerkiksi ylläpidetyn palomuuripalvelun käyttöä
• tunkeutumisen havaitsemisjärjestelmiä (IDS)
• säännöllisiä tietoturva-auditointeja, jotka paljastavat mahdolliset haavoittuvuudet ennen kuin ne ehtivät aiheuttaa ongelmia. 

OT-verkko kattaa tietyillä yrityksillä hyvin laajan maantieteellisen alueen, tällöin suojauksen suunniteluun täytyy kiinnittää erityistä huomiota. Fyysien suojauksen lisäksi, korostuu erityisesti tilojen etävalvonta. Valvonnan avulla voidaan saada luvattomat vierailijat kiinni, jo ennenkuin he aiheuttavat lisähaittoja.

Järjestelmien päivitys ja ylläpito

Vanhentunut ohjelmisto voi aiheuttaa vakavia turvallisuusriskejä ja häiritä käytettävyyttä. Järjestelmän päivitysten tulisi olla säännöllisiä ja niitä tulisi hallinnoida keskitetysti. Myös ohjelmistonvalmistajien tietoturvaohjeita on seurattava ja noudatettava tarkasti. Yrityksen tulee myös ymmärtää ja hallita järjestelmänsä riippuvuudet ja niiden mahdolliset yhteensopivuusongelmat.

Henkilöstön koulutus

Vaikka teknologia on tärkeässä roolissa tietoturvan ylläpidossa, loppujen lopuksi ihmiset ovat usein heikoin lenkki tietoturvaketjussa. Henkilöstön säännöllinen koulutus on avainasemassa sen varmistamisessa, että he ymmärtävät ja noudattavat tietoturvakäytäntöjä. Koulutuksen tulisi kattaa perustiedot tietoturvasta, yleiset uhkakuvat, yrityksen tietoturvapolitiikat ja -prosessit sekä käytännön ohjeet tietoturvalliseen toimintaan. Koulutuksen ja sen sisältämien ohjeiden tulisi olla ymmärrettäviä ja selkeitä, jotta ne ymmärrettäisiin ja otettaisiin osaksi päivittäistä työntekoa.

Yhteenveto

Tietoturvan käytettävyys ei ole vain tekninen vaatimus, vaan se on liiketoiminnan jatkuvuuden, lainsäädännöllisten vaatimusten ja asiakasluottamuksen ylläpitämisen kannalta välttämätöntä. OT-verkoissa tämä on erityisen tärkeää, sillä niiden käytettävyys vaikuttaa suoraan tuotantoprosesseihin ja yrityksen kykyyn tuottaa tuotteita tai palveluita. Käytettävyysperiaatteen noudattaminen tietoturvassa vaatii jatkuvaa työtä, mutta se on välttämätöntä yrityksen toiminnan turvaamiseksi.

Usein kysytyt kysymykset

Mikä on tietoturvarikos?

Tietoturvarikos on toiminta, joka rikkoo tietosuojaa tai tietoturvallisuuden periaatteita. Tämä voi tarkoittaa esimerkiksi luvatonta pääsyä tietoihin, niiden manipulointia tai tuhoamista. Tietoturvarikos voi tapahtua, kun käyttäjän henkilökohtaisia tietoja kerätään, käytetään tai paljastetaan ilman käyttäjän suostumusta tai kun yrityksen tietojärjestelmiä vastaan hyökätään haittaohjelman, huijauksen tai kyberhyökkäyksen avulla. Tietoturvarikokset voivat aiheuttaa merkittävää haittaa yksityishenkilöille ja organisaatioille.

Mitä tietoturvaan kuuluu?

Tietoturva kattaa toimenpiteet, joilla suojataan tiedot vahingoilta, luvattomalta käytöltä ja tietovuodoilta. Tietoturvan kolme peruspilaria ovat luottamuksellisuus, eheys ja saatavuus. Luottamuksellisuus tarkoittaa, että vain oikeutetut henkilöt pääsevät käsiksi tietoihin. Eheys varmistaa, että tiedon oikeellisuus säilyy muuttumattomana sen koko elinkaaren ajan. Tietosuojan kannalta on olennaista, että nämä periaatteet ymmärretään ja noudatetaan kaikessa tietojen käsittelyssä. Jokainen tietoa käsittelevä osapuoli on vastuussa sen turvallisuudesta ja luottamuksellisuuden säilyttämisestä.

Tässä artikkelissa käsittelemme, mitä tietoturvan kiistämättömyys tarkoittaa, kuinka se liittyy yrityksen toimintaan ja miten sitä tulee noudattaa tuotantoyrityksen OT-verkossa.

Kiistämättömyys tietoturva määritelmä

Kiistämättömyys on yksi tietoturvan tärkeimmistä periaatteista. Se viittaa siihen, että tietyn toiminnon suorittamisesta tai tietyn viestin lähettämisestä jää todiste, jota ei voi kiistää. Yleisimmin se liittyy digitaaliseen viestintään ja tiedonsiirtoon, kuten sähköpostiviestintään, verkkotransaktioihin tai lokitietojen keräämiseen. Näissä tapauksissa kiistämättömyys tarkoittaa, että toiminnasta jää jälki, jota ei voida poistaa tai muuttaa jälkikäteen ilman selvää merkkiä tästä muutoksesta. Esimerkiksi sähköpostiviestinnässä käytettävä digitaalinen allekirjoitus takaa viestin kiistämättömyyden. Se on kuin digitaalinen sinetti, joka vahvistaa viestin lähettäjän henkilöllisyyden ja viestin alkuperäisyyden.

Miten kiistämättömyys-periaatetta tulee noudattaa tuotantoyrityksen OT-verkossa?

Erilaisten OT -verkkojen, kuten tuotantolaitosten tai energiantuotannon, tietoturva on erityisen tärkeässä asemassa meille kaikille, koska niiden häiriöillä voi olla merkittäviä seurauksia koko yhteiskunnalle.

Kiistämättömyyden periaatteen noudattaminen OT-verkoissa edellyttää useita toimenpiteitä

Ensinnäkin, kaikista järjestelmän tapahtumista tulee pitää kirjaa. Lokitiedot tulisi tallentaa turvallisesti niin, että ne ovat saatavilla tarvittaessa, mutta niitä ei voi muuttaa tai poistaa jälkikäteen. Lokitiedot tulee myös säilyä kriittisissä ympäristöissä esimerkiksi 1-2 vuoden ajan.

Toiseksi, OT-verkkojen tulisi käyttää vahvaa autentikointia ja kryptografiaa, jotta varmistetaan käyttäjien henkilöllisyys ja toimintojen oikeellisuus. Esimerkiksi digitaaliset sertifikaatit tai monitasoinen autentikointi voivat auttaa varmistamaan, että vain valtuutetut henkilöt pääsevät järjestelmään ja voivat suorittaa tiettyjä toimintoja.

Kolmanneksi, yrityksen tulisi varmistaa, että kaikilla työntekijöillä on asianmukainen koulutus tietoturvasta ja kiistämättömyyden periaatteen merkityksestä. Tämä varmistaa, että kaikki ymmärtävät, kuinka heidän toimintansa järjestelmässä tallennetaan ja että he ymmärtävät vastuunsa tietoturvasta.

Lopuksi, kiistämättömyyden periaatteen noudattaminen vaatii myös jatkuvaa valvontaa ja päivityksiä. Tietoturva on jatkuvasti muuttuva kenttä, jossa uusia uhkia ja haasteita ilmenee säännöllisesti. Järjestelmän ja sen tietoturvakäytäntöjen tulee olla joustavia ja mukautuvia näihin muutoksiin.

Tiedon kiistämättömyyteen liittyvät muut osa alueet ja läheiset käsitteet

Tietoturvan kiistämättömyys on osa laajempaa tietoturvakäsitteiden joukkoa. Näitä läheisesti liittyviä käsitteitä ovat muun muassa:

1. Eheys (Integrity): Eheys tarkoittaa tietojen tai järjestelmien alkuperäisyyden ja oikeellisuuden varmistamista. Se tarkoittaa, että tiedot ovat muuttumattomia kuljetuksen aikana ja että ne säilyttävät alkuperäisen tilansa. Eheys ja kiistämättömyys liittyvät toisiinsa, sillä molemmat pyrkivät estämään tietojen väärentämisen tai luvattoman muuttamisen.
2. Luottamuksellisuus (Confidentiality): Luottamuksellisuus tarkoittaa tietojen suojelua niin, että vain oikeutetut tahot pääsevät niihin käsiksi. Luottamuksellisuus ja kiistämättömyys ovat tärkeitä yhdessä, sillä kiistämättömyys varmistaa, että vain oikeat tahot voivat käyttää tietoja, ja luottamuksellisuus pitää nämä tiedot suojattuina.
3. Saatavuus (Availability): Saatavuus tarkoittaa sitä, että järjestelmät ja tiedot ovat saatavilla silloin, kun niitä tarvitaan. Kiistämättömyys tukee saatavuutta auttamalla ehkäisemään tietojen tai järjestelmien luvattoman muokkaamisen tai poistamisen, mikä voisi estää niiden saatavuuden.
4. Vastuu (Accountability): Vastuu tarkoittaa kykyä pitää yksilöt tai työntekijät vastuullisina teoistaan tai päätöksistään. Kiistämättömyys tukee vastuuta, sillä se tarjoaa kiistattoman todisteen toimista tai päätöksistä, mikä mahdollistaa vastuun kantamisen.
5. Tunnistaminen ja todentaminen (Authentication): Tunnistaminen ja todentaminen tarkoittavat käyttäjän henkilöllisyyden tarkistamista ennen pääsyn antamista tietoihin tai järjestelmiin. Kiistämättömyys tukee tunnistamista ja todentamista, sillä se varmistaa, että toiminnot voidaan liittää tiettyyn käyttäjään.
6. Salatut yhteydet (Encryption): Salatut yhteydet viittaavat tekniikoihin, jotka suojaa siirrettäviä tietoja väärentämiseltä tai luvattomalta lukemiselta. Kiistämättömyys ja salaus kulkevat usein käsi kädessä, koska molemmat tekniikat tarjoavat suojaa tietojen väärentämistä vastaan.

Kiistämättömyyden toteuttamiseen liittyviä teknologioita

Kiistämättömyyden toteuttamisessa hyödynnetään useita teknologioita. Tässä on joitakin yleisimpiä:

Digitaaliset allekirjoitukset

Digitaaliset allekirjoitukset ovat yksi yleisimmin käytetty tapa varmistaa kiistämättömyys. Ne toimivat digitaalisena sinettinä, joka vahvistaa sekä lähettäjän henkilöllisyyden että viestin eheyden. Digitaaliset allekirjoitukset perustuvat julkisen avaimen salaukseen ja ne tarjoavat vahvan todisteen viestin lähettäjän identiteetistä ja viestin koskemattomuudesta lähetyksen aikana.

SHA-tiivisteet

SHA-tiivisteet, tai Secure Hash Algorithms, ovat digitaalisen tiedon tiivistämiseen käytettyjä algoritmeja, jotka ovat olennainen osa kiistämättömyyden toteuttamista. Kun tiiviste on luotu tietylle tiedolle, pienikin muutos tiedossa tuottaa täysin erilaisen tiivisteen. Tämä tekee tiivisteiden avulla lähetettyjen viestien kiistämisestä erittäin vaikeaa, koska tiiviste todistaa viestin alkuperäisyyden ja muuttumattomuuden.

SIEM-järjestelmät

SIEM-järjestelmät (Security Information and Event Management) keräävät ja analysoivat organisaation tietoturvatapahtumia ja lokitietoja reaaliajassa. Ne mahdollistavat tapahtumien ja tietoliikenteen seurannan ja dokumentoinnin, joka voi auttaa kiistämättömyyden todentamisessa. Jos tietoturvaloukkaus tai epäilyttävä toiminta havaitaan, SIEM-järjestelmän tuottamat tiedot voivat auttaa todistamaan, kuka toiminnan suoritti ja milloin, vähentäen siten mahdollisuutta kiistää tapahtunut toiminta.

Aikaleimat

Aikaleimaus on prosessi, jossa digitaaliseen tietoon liitetään tieto siitä, milloin tieto on luotu tai muokattu. Aikaleimat voivat auttaa varmistamaan kiistämättömyyden, koska ne antavat todisteita siitä, milloin tietty toiminto on tapahtunut.

Lokit

Lokijärjestelmät, kuten tapahtuma- tai turvalokit, tallentavat järjestelmän toimintoja ja tapahtumia. Nämä lokitiedot voivat toimia kiistämättömänä todisteena siitä, mitä järjestelmässä on tapahtunut ja milloin.

Sähköpostiprotokollat

Sähköpostiprotokollat, kuten DomainKeys Identified Mail (DKIM) ja Sender Policy Framework (SPF), auttavat varmistamaan sähköpostiviestien kiistämättömyyden. Ne auttavat vahvistamaan viestin lähettäjän ja estämään viestin sisällön väärentämisen.

Kaikkia näitä teknologioita voidaan käyttää yhdessä tai erikseen riippuen tarpeista ja ympäristöstä, jossa ne toteutetaan.

Johtopäätös

Kiistämättömyyden käsite on keskeinen osa tietoturvallisuuden maailmaa, ja siihen tulee pyrkiä kaikissa digitaalisissa ympäristöissä. Digitaalisessa kontekstissa kiistämättömyyden tarkoitus on vahvistaa, että lähettäjä ei voi kieltää lähettäneensä tiettyä viestiä, ja vastaanottaja ei voi kieltää vastaanottaneensa sitä. Tämän ymmärtäminen on kriittistä, koska se tarjoaa perustan digitaalisen datan integriteetin ylläpitämiseen ja suojaamiseen.

Teknologiat, kuten digitaaliset allekirjoitukset, salaus ja SHA-tiivisteet, ovat keskeisiä elementtejä kiistämättömyyden toteuttamisessa. Ne varmistavat, että data on peräisin väitetyltä lähettäjältä ja että se ei ole muuttunut matkan varrella. Tällaisten teknologioiden jatkuva kehitys ja tuominen tuotantoympäristöihin ovat välttämättömiä tuotantoverkkojen tietoturvallisuuden ylläpitämiseksi.

Meille tietoturvasta päivittäin huolehtiville kiistämättömyyden ylläpitäminen organisaatioissa on jatkuva prosessi. Se vaatii meiltä jatkuvaa lisäopiskelua, valppautta ja reagointia erilaisiin uusiin tietoturvauhkiin, jotta voimme pysyä askeleen edellä niitä ja varmistaa digitaalisen datan turvallisuuden nyt ja tulevaisuudessa. 

Osataanko yrityksessäsi huolehtia tietoturvan kiistämättömyydestä?

Jos vastaus on epävarma, niin varaa maksuton tuotantoverkon tietoturvakartoitus, jossa 30 minuutin palaverissa pystymme selvittämään missä teidän työpaikalla mennään tuotantoverkon tietoturvassa! Varaa aika!

Tässä artikkelissa keskitymme tarkastelemaan yhtä tietoturvan tärkeimmistä osatekijöistä, luottamuksellisuutta, ja miten sitä tulee noudattaa erityisesti tuotantoyrityksen OT-verkossa.

Luottamuksellisuus tietoturva määritelmä

Tietoturvan luottamuksellisuus tarkoittaa tietojen suojaamista luvattomalta pääsyltä tai paljastamiselta. Se on yksi tietoturvan kolmesta peruspilarista, joihin kuuluvat luottamuksellisuuden (Confidentiality) lisäksi eheys (Integrity) ja saatavuus (Availability) – yhdessä tunnettu CIA-mallina. Luottamuksellisuus takaa, että vain oikeutetut henkilöt pääsevät käsiksi arkaluonteisiin tietoihin.

Tietoturvan luottamuksellisuuden keskeinen tavoite on suojata arkaluonteinen ja arvokas tieto – esimerkiksi henkilökohtaiset tiedot, yrityssalaisuudet, liikesuunnitelmat tai asiakastiedot – joutumasta vääriin käsiin. Tämä saavutetaan käyttämällä erilaisia suojamekanismeja, kuten salausmenetelmiä, käyttöoikeuksien hallintaa ja tunnistautumisprosesseja.

Miten luottamuksellisuus periaatetta tulee noudattaa tuotantoyrityksen OT-verkossa?

Tuotantoverkoissa tietoturvan luottamuksellisuuden periaatteen noudattaminen on ehdottoman keskeistä. Nämä verkot ovat tuotantoyritysten päivittäisessä toiminnassa välttämättömiä, koska ne mahdollistavat kriittisten teollisten prosessien hallinnan ja valvonnan. Näissä verkoissa liikkuu usein strategisesti tärkeitä tietoja, jotka voivat liittyä esimerkiksi tuotannon laatuun, tehokkuuteen tai turvallisuuteen. Tämän tyyppisten tietojen luvaton paljastaminen tai häirintä voisi aiheuttaa vakavia vahinkoja yritykselle, mukaan lukien tuotantokatkoksia, taloudellisia tappioita tai mainehaittaa.

Käyttäjän tunnistautuminen ja oikeuksienhallinta

Luottamuksellisuuden varmistaminen OT-verkoissa vaatii erityisen tarkkaa huomiota käyttäjän tunnistautumiseen ja oikeuksienhallintaan. On tärkeää, että jokaisella käyttäjällä on yksilölliset tunnistetiedot, ja pääsy tietoihin tulisi rajoittaa vain niille, joilla on tarve tietää kyseinen tieto. Tämä tarkoittaa, että käyttöoikeudet tulee räätälöidä käyttäjäkohtaisesti ja minimoida yleiset tai jaetut käyttöoikeudet. Käyttöoikeuksien valvonta ja seuranta ovat myös tärkeitä toimenpiteitä, jotta voidaan tunnistaa mahdolliset luvattomat käyttöyritykset tai väärinkäytökset.

Tehokas salaus eli kryptausprotokolla

OT-verkkojen tiedon suojauksessa on tärkeää käyttää tehokkaita salaustekniikoita, erityisesti silloin, kun tieto liikkuu julkisen verkon yli. Salausmenetelmät, tai kryptausprotokollat, muuntavat tiedon lukukelvottomaksi, ellei käytössä ole oikeaa avainta. Tämä tarkoittaa, että vaikka tieto päätyisi vääriin käsiin, se olisi käsittämätöntä ilman oikeaa salausavainta. Salaus on erityisen tärkeää langattomissa yhteyksissä, jotka ovat usein haavoittuvaisempia hyökkäyksille.

Tiedon salaus tehdään yleensä VPN-protokollan avulla. Tällöin tieto pakataan putkeen tai tunneliin, jossa on vahva tunnistus, salaus ja autentikointi.

Verkon segmentointi

Verkon segmentointi on tehokas tapa vahvistaa OT-verkkojen luottamuksellisuutta. Segmentoinnilla tarkoitetaan verkon jakamista erillisiin osiin tai segmentteihin, joilla jokaisella on omat turvallisuusparametrinsa ja pääsynvalvontansa. Tämä tarkoittaa käytännössä sitä, että jos hyökkääjä pääsee läpi yhdestä pisteestä, hän ei pääse automaattisesti kaikkiin verkon osiin. Verkon segmentointi auttaa siis rajoittamaan mahdollisten tietoturvaloukkausten laajuutta ja vaikutusta.

Säännöllinen tietoturva-auditointi

Lopuksi, tietoturvan luottamuksellisuuden ylläpitäminen OT-verkoissa vaatii säännöllistä tietoturvan auditointia ja valvontaa. Järjestelmän ja verkon jatkuva seuranta auttaa havaitsemaan mahdolliset epätavalliset tai luvattomat toimet ajoissa. Lisäksi on suositeltavaa suorittaa rutiininomaisia tietoturvatarkastuksia, jotka varmistavat, että kaikki järjestelmät ovat ajan tasalla ja että parhaita tietoturvakäytäntöjä noudatetaan jatkuvasti. Tämä voi sisältää myös tietoturvakoulutuksen järjestämistä henkilöstölle, jotta he ymmärtävät tietoturvariskit ja toimivat asianmukaisesti tietoturvaperiaatteiden mukaisesti.

Yhteenveto

Yhteenvetona, tietoturvan luottamuksellisuus on elintärkeä osa yrityksen tietoturvastrategiaa. Tämä periaate vaatii jatkuvaa huomiota ja aktiivista ylläpitoa, jotta yrityksen arvokkaimmat tiedot pysyvät turvassa. OT-verkoissa tietoturvan luottamuksellisuuden periaatteen noudattaminen auttaa suojautumaan monilta mahdollisilta uhilta, ja se on välttämätön osa tuotantoyrityksen tietoturvakäytäntöjä.

Usein kysyttyä

Mitä tarkoittaa henkilötietojen käsittelyssä luottamuksellisuus?

Luottamuksellisuus henkilötietojen käsittelyssä tarkoittaa, että tietoa käsitellään turvallisesti ja yksityisesti. Se on sitoumus pitää kerätty tieto salassa ja käyttää sitä ainoastaan sovittuun tarkoitukseen. Järjestelmien ja prosessien tulee olla suunniteltu niin, että tietoa pääsevät käsiksi vain ne henkilöt, joilla on oikeus ja tarve tietää tieto. Luottamuksellisuus kuitenkin ulottuu tätä pidemmälle, sisältäen myös tietojen suojauksen vahingossa tapahtuvalta paljastumiselta tai väärintulkinnoilta.

Mikä on tietosuojan ja tietoturvan ero?

Tietosuoja ja tietoturvaa käsittelevät molemmat tärkeitä aspekteja tiedon käsittelyssä, mutta ne viittaavat eri seikkoihin ja niillä on eri painotukset. Ymmärtämällä tietosuojan ja tietoturvan eroavaisuudet, voit paremmin suojata organisaatiosi tietoja ja varmistaa, että noudatat asianmukaisia lakeja ja säädöksiä.

Tietosuoja

Tietosuoja viittaa yksilöiden oikeuksiin ja vaatimuksiin liittyen heidän henkilökohtaisen tietonsa käsittelyyn. Tietosuojan keskeisenä tavoitteena on suojata yksilöiden yksityisyyttä, erityisesti silloin, kun heidän henkilötietojaan kerätään, tallennetaan, käsitellään tai jaetaan. Tietosuoja pitää sisällään myös velvoitteita siitä, kuinka organisaatiot ja järjestelmät keräävät, tallentavat ja käsittelevät henkilötietoja. Tietosuojalait, kuten Euroopan unionin yleinen tietosuoja-asetus (GDPR), asettavat tiukat vaatimukset henkilötietojen käsittelylle.

Tietoturvaa

Toisaalta, tietoturvaa käsittelee toimenpiteitä ja protokollia, jotka suojaavat tietoja kaikentyyppisiltä uhilta. Tietoturvaa pyrkii varmistamaan tiedon saatavuuden, eheyden ja luottamuksellisuuden. Tietoturvamekanismit voivat kohdistua sekä fyysisiin järjestelmiin että digitaalisiin järjestelmiin ja ne pyrkivät suojaamaan niitä vahingolta, väärinkäytöltä ja luvattomalta pääsyltä. Tietoturvaa sisältää toimenpiteitä, kuten palomuuri tai palomuuripalvelu, salaus, virustorjuntaohjelmistot ja pääsynhallinta.