Informaatioturva

Informaatioturva tarkoittaa järjestelmiin ja tietoihin kohdistuvien uhkien torjuntaa sekä luottamuksellisuuden, eheyden ja saatavuuden turvaamista. Sen tavoitteena on suojata tietoja ja niihin liittyviä prosesseja luvattomalta käytöltä, vahingoittumiselta ja menetykseltä sekä varmistaa liiketoiminnan jatkuvuus. Informaatioturva kattaa sekä tekniset ratkaisut että organisatoriset käytännöt.

Keskeisiä osa-alueita ovat sekä tekniset että organisatoriset keinot. Teknisesti huomioidaan pääsynhallinta, salaus, turvallinen ohjelmistokehitys, haavoittuvuuksien hallinta, varmuuskopiointi ja järjestelmien turvallinen konfigurointi. Organisatorisesti keskeisiä ovat tietoturvapolitiikat, riskienhallinta, koulutus sekä pelisäännöt ja vastuut. Kokonaisuuden hallintaa toteuttaa usein tietoturva- tai johtoryhmän alainen hallintajärjestelmä (ISMS), joka määrittelee tavoitteet, prosessit sekä jatkuvan parantamisen mekanismit.

Riskienhallinta tunnistaa, arvioi ja priorisoi uhat. Organisaatiot laativat toimenpiteitä riskejä vähentääkseen sekä varautumissuunnitelmia, kuten incident responsea, tiedon palauttamista ja liiketoiminnan jatkuvuutta. Uhkia voivat olla ulkopuoliset hyökkäykset, haittaohjelmat, sisäiset virheet sekä tekniset viat tai luonnonilmiöt, ja niiden vaikutukset voivat kohdata sekä taloudellisia menetyksiä että mainehaittoja.

Standardit ja sääntely ohjaavat informaatioturvaa. Kansainvälisesti käytettyjä ovat ISO/IEC 27001 ja 27002 sekä muita riskienhallintastandardeja; EU:n tietosuoja-asetus (GDPR) sekä kansallinen tietoturvalainsäädäntö vaikuttavat henkilötietojen käsittelyyn. Organisaatiot ovat velvollisia suorittamaan säännöllisiä arvioita, auditointeja ja sertifiointeja sekä säilyttämään muisti- ja tiedonpalautussuunnitelmat. Tietoturva on jatkuva prosessi, jossa henkilöstö ja teknologiakehitys kulkevat käsi kädessä.