turvanõuete

Turvanõuded ehk turvalisuse nõuded on süsteemi, toote või protsessi turvalisuse tagamiseks kehtestatud reeglid ja kriteeriumid. Need tulenevad riskide hindamisest, õigus- ja regulatiivsetest kohustustest ning huvigruppide vajadustest. Turvanõuded käsitlevad teabe konfidentsiaalsust, terviklikkust, kättesaadavust ja jälgitavust ning võivad hõlmata korralduslikke ja tehnilisi nõudeid.

Turvanõuded jaotuvad peamiselt funktsionaalseteks ja mittefunktsionaalseteks. Funktsionaalsed nõuded kirjeldavad turvalist käitumist, nagu autentimine, autoriseerimine, auditeerimine ja andmete kaitse. Mittefunktsionaalsed nõuded hõlmavad omadusi nagu jõudlus, usaldusväärsus, hooldatavus ja kasutatavus.

Elutsükkel: nõuete tuvastamine, kirjeldamine ja dokumenteerimine, jälgitavuse tagamine, valideerimine ja testimise kavandamine. Turvanõuded tuleb seostada riskidega ning nende sobivust hinnata testimise ja kontrollide abil.

Näited: autentimine ja autoriseerimine (nt mitmekordne faktoriidentimine); krüptimine nii andmete puhkusel kui edastamisel; turva võtmete haldamine; audit- ja logisüsteemid; haavatavuste haldamine; varundamine ja taasteprotseduurid; insidentide reageerimine ja taastumine.

Seadus- ja standardid: rahvusvahelised ja kohalikud standardid nagu ISO/IEC 27001 ja 27002, NIST SP 800-53, PCI DSS ning andmekaitse üldmäärus GDPR. Turvanõuded tuleb kooskõlla nende nõuetega ning rakendada riskipõhise prioriteerimise alusel.