Turvaprofiili

Turvaprofiili on järjestelmän, palvelun tai käyttäjän turva-asetusten ja kontrollien kokoelma, jonka tarkoituksena on määrittää ja toteuttaa turvallisuustaso. Profiili pohjautuu organisaation turvallisuuspolitiikkaan, säädöksiin sekä riskinarvioinnin tuloksiin, ja sitä käytetään yhdenmukaistamaan konfiguraatioita sekä helpottamaan vaatimustenmukaisuutta. Turvaprofiilia voidaan soveltaa sekä yksittäisiin teknisiin ympäristöihin että käyttäjä- tai ryhmäkohtaisesti.

Tyypillisiä sisältöjä ovat muun muassa vahva todennus ja pääsynhallinta, tiedon salaus sekä avainhallinta, laitteiden ja sovellusten turvatoimenpiteet, verkkoturvallisuus kuten palomuuriasetukset ja etäyhteydet, ohjelmistopäivitykset sekä haavoittuvuuksien hallinta, lokitus ja monitorointi sekä varmuuskopiointi ja palautussuunnitelmat. Profiili voi sisältää myös ohjeita turvallisesta kehityksestä, ylläpidosta ja reagoinnista tietoturvatapahtumiin.

Turvaprofiileja ylläpidetään ja versionoidaan hallintamenettelyin, ja niitä käytetään konfiguraatioiden perustana eri omaisuuksille sekä palveluille. Ne voidaan toteuttaa organisaation hallintatyökaluilla kuten identiteetin ja käyttöoikeuksien hallinnalla, laite- ja mobiililaitteiden hallinnalla sekä pilvipalveluiden turvallisuuslaitteilla. Profiilien avulla voidaan tukea riskinarviointia, auditointeja sekä säädösten noudattamista. Ne ovat yleisiä viitekehyksissä kuten ISO 27001, NIST SP 800-53 ja CIS Controls, ja niiden tarkoituksena on ylläpitää luottamuksellisuutta, integriteettiä ja saatavuutta.