kyberturvallisuusperiaatteita

Kyberturvallisuusperiaatteet ovat joukko ohjeellisia periaatteita, joiden tarkoituksena on ohjata organisaatioiden toimintaa tietoturvan parantamiseksi. Ne kattavat sekä tekniset että organisatoriset toimenpiteet ja tähtäävät suojamaan tietoja sekä varmistamaan järjestelmien luotettavuuden, eheyden ja käytettävyyden.

Keskeisiä periaatteita ovat CIA-triadi eli tiedon salassapito, eheyden ja käytettävyyden turvaaminen; minimivallan periaate, jossa käyttäjille ja prosesseille annetaan vain tarvittavat oikeudet; puolustus syvyydellä (defense in depth) eli useita monitasoisia turvatoimia; riskiperusteinen lähestymistapa sekä turvallisuus suunnittelussa ja oletuksissa (security by design ja security by default); yksityisyyden suojan huomiointi ja tietojen minimointi; sekä vastuullisuus, läpinäkyvyys ja auditointi. Tärkeää ovat myös haavoittuvuuksien hallinta, ohjelmistopäivitykset sekä varmuuskopiointi ja vahva toipuminen häiriöistä; kryptografia, todennus ja valtuutus sekä tehokas henkilöstö- ja käyttäjäkoulutus.

Toteutuksessa korostetaan tietojen elinkaaren hallintaa koko kehitys- ja käyttöönottojakson ajan, mukaan lukien suunnittelu, kehitys, käyttöönotto, ylläpito ja lopettaminen. Keskeisiä käytäntöjä ovat riskinarviointi, uhkamallinnus, turvallisuustestaus, haavoittuvuuksien hallinta sekä jatkuva valvonta ja lokitus. Käyttäjä- ja organisaatiotason koulutus sekä selkeät ohjeet reagointiin ja palautumiseen ovat oleellisia.

Sääntely- ja standardikehykset ohjaavat käytäntöjä. Kansainvälisesti tunnettuja ovat ISO/IEC 27001 -sertifiointi ja NIST Cybersecurity Framework, sekä alakohtaiset standardit. Kyberturvallisuusperiaatteita sovelletaan kaikenkokoisissa organisaatioissa riskiperusteisesti ja jatkuvassa parantamisen hengessä. Haasteita muodostavat nopea teknologinen muutos, toimittajaketjun riskit, kustannukset sekä tasapaino turvallisuuden ja käytettävyyden välillä.