tietoturvatason

Tietoturvatason on organisaation tai tietojärjestelmän turvatoimien kattavuuden ja vaikuttavuuden kuvaus. Tason tarkoituksena on osoittaa, kuinka hyvin tietoturva sekä luottamuksellisuus, eheys ja käytettävyys (CIA-kolmikko) on huomioitu käytännön toimissa. Taso voi esiintyä sekä laadullisena luokituksena (esimerkiksi matala, keskitaso, korkea) että numeerisena pistemittana, ja se voi koskea sekä koko järjestelmää että sen osia.

Tason määrittämisessä korostuvat riskinarviointi, liiketoiminnan vaatimukset sekä sidosryhmien odotukset. Keskeisiä tekijöitä ovat hallinnolliset toimenpiteet (politiikat, vastuut, koulutus), tekniset kontrollit (käyttöoikeuksien hallinta, salaus, pääsynhallinta, lokit), fyysinen turvallisuus sekä kyberhäiriöihin varautuminen ja toipuminen. Pelisäännöt ja vaatimukset voivat muuttua toimintaympäristön mukaan, joten tietoturvatason määrittäminen on usein jatkuva, elinkaariin perustuva prosessi.

Useat kansainväliset ja kansalliset viitekehykset antavat malleja tason määrittämiseen ja kontrollien valintaan, kuten ISO/IEC 27001-ISMS, ISO/IEC 27005 riskienhallinta, NIST Cybersecurity Framework sekä CIS Controls. Organisaatiot voivat käyttää näitä viitekehyksiä sertifiointien, auditointien tai omien sisäisten arvioiden tukena. Tason määrittäminen auttaa hallitsemaan riskejä, osoittamaan luottamusta asiakkaille ja viranomaisille sekä ohjaamaan parannuksia.

Käytäntöön tason kuvaaminen voi edellyttää säännöllistä seurantaa ja raportointia sekä resurssien ohjaamista tietoturvan kehittämiseen. Samalla se voi tuoda kustannuksia ja vaatia jatkuvaa ylläpitoa sekä muutostenhallintaa organisaation kontekstin mukaan.