Turvallisuusmalli

Turvallisuusmalli on muodollinen kehys, jonka tarkoituksena on kuvata ja ohjata turvallisuuteen liittyviä päätöksiä ja toimintoja organisaation tietojärjestelmissä, prosesseissa ja toiminnassa. Se yhdistää tavoitteet, säännöt, tekniset ratkaisut sekä toimintatavat siten, että turvallisuus voidaan suunnitella ja arvioida johdonmukaisesti.

Käytännössä turvallisuusmalli määrittelee esimerkiksi suuret linjat siitä, mitä tietoja on suojattava, millaisia uhkia vastaan toimitaan, millaiset politiikat sovelletaan ja miten turvallisuus käytännössä toteutetaan. Siihen kuuluu usein myös vaatimukset riskienhallinnalle, valvonnalle sekä jatkuvalle parantamiselle. Malli toimii kommunikaatiopintana eri sidosryhmien välillä ja helpottaa auditointeja sekä vaatimusten täyttämistä.

Keskeisiä käsitteitä ovat luottamuksellisuus, eheyys ja käytettävyys sekä tilivellykseen perustuva seurattavuus. Turvallisuusmalli voi sisältää pääsynhallinnan malleja, todennus- ja valtuutusmekanismeja sekä tietojen liikkumisen ja tallennuksen turvaamista. Rakenne voi olla sekä looginen että matemaattinen, esimerkiksi pääsynhallintamatrices, verkostomallit tai tilasentojen määrittely.

Mallin tyypillisiä sovelluskohteita ovat ohjelmistojen ja järjestelmien suunnittelu, verkon turvallisuus sekä laajemmat organisaatiotasoiset riskienhallinta- ja compliance-verkostot. Kansainväliset standardit, kuten ISO/IEC 27001 ja NIST SP 800-53, sekä oikeudelliset ohjeet vaikuttavat ja tukevat käytäntöjen rakentamista sekä todentamista.

Haasteina ovat käytettävyyden ja turvallisuuden tasapainottaminen, uhkien monimutkaisuus sekä suurten järjestelmien hallinta, kustannukset ja suorituskyvyn huomiointi. Turvallisuusmallit ovat osa laajempaa turvallisuusarkkitehtuuria ja riskienhallintaa.