Turvalisuskontrolli

Turvalisuskontrolli on toimenpiteiden kokonaisuus, jonka tarkoituksena on suojata organisaation arvoesineet, kuten tieto, tilat ja laitteet, rajoittamalla asianmukaisesti pääsyä, käyttöä ja muutoksia. Kontrollit kattavat sekä fyysisen ympäristön että tiedonhallinnan ja niitä toteuttavat hallinnolliset periaatteet, tekniset järjestelmät sekä fyysiset toimenpiteet. Turvalisuskontrolli perustuu riskinarvioon: uhat ja haavoittuvuudet tunnistetaan, ja keinoja asetetaan niiden torjumiseksi sekä haittojen minimoimiseksi.

Pääryhmät ovat hallinnolliset kontrollit, fyysiset kontrollit ja tekniset kontrollit. Hallinnolliset kontrollit sisältävät politiikat, ohjeistukset, koulutuksen, roolien ja valtuuksien hallinnan sekä incident- ja change-managementin. Fyysiset kontrollit kohdistuvat tiloihin ja laitteisiin—lukitukset, kulunvalvonta, biometria, porttivalvonta sekä valvontakamerat. Tekniset kontrollit puolestaan kattavat autentikoinnin ja pääsyoikeuksien hallinnan, monivaiheisen tunnistuksen, salauksen, verkon suojaamisen sekä tapahtumaloki- ja turvallisuusvalvontasovellukset (SIEM).

Kontrollit voidaan luokitella myös ennaltaehkäiseviin, havaitsemiin ja korjaaviin toimintoihin sekä ne kokonaisuutena tukevat riskien hallintaa, sääntelyvaatimusten noudattamista ja luottamuksen rakentamista. Standardit ja puitteet kuten ISO/IEC 27001, NIST SP 800-53 sekä alan määräykset ohjaavat valinnassa ja arvioinnissa. Lisäksi tietosuoja- ja yksityisyysvaatimukset, kuten GDPR, vaikuttavat kontrollien suunnitteluun ja henkilötietojen käsittelyyn. Yleensä turvalisuskontrollit integroidaan organisaation toimintaprosesseihin, ICT-ympäristöön sekä tilojen turvallisuuteen.

Haasteita ovat kustannusten ja käyttökokemuksen tasapainon löytäminen, jatkuva päivitystarve sekä sisäisten ja ulkoisten uhkien moninaisuus. Turvallisuustoimenpiteisiin liittyvät päätökset vaikuttavat usein liiketoiminnan sujuvuuteen, jolloin jatkuva arviointi ja parantaminen ovat oleellisia.