Acquisition and instructions for a VPN-service

Organisation's data can only be processed on a predefined, trusted network, or by using a VPN service defined by the organisation.

For example, a coffee shop's Wi-Fi network is often either completely unencrypted or the password is easily accessible to everyone. In this case, the information sent online is vulnerable to spyware. A VPN connection encrypts information regardless of network settings.

Remote workers have their own operating guidelines, which are monitored. In addition, regular training is provided to staff to identify threats to information security arising from the use of mobile devices and remote work, and to review the guidelines.

Turvallisuusluokiteltuja tietoja ei lueta tai muuten käsitellä matkalla tai julkisilla paikoilla.

Etäkäytöllä tarkoitetaan organisaation toimitilojen ulkopuolelta tapahtuvaa tietojärjestelmien käyttöä useimmiten kannettavalla tietokoneella. Turvallisuusluokitellun tiedon osalta etäkäyttö soveltuu vain turvallisuusluokan IV tiedoille.

Organisaatio varmistaa, että etäkäytössä käytetään vain käyttöympäristöön hyväksyttyjä ja tunnistettuja laitteita.

Etäkäytöllä tarkoitetaan organisaation toimitilojen ulkopuolelta tapahtuvaa tietojärjestelmien käyttöä useimmiten kannettavalla tietokoneella. Turvallisuusluokitellun tiedon osalta etäkäyttö soveltuu vain turvallisuusluokan IV tiedoille.

Organisaatio huolehtii, että etäkäytössä järjestelmien käyttäjät tunnistetaan käyttäen vahvaa, vähintään kahteen todennustekijään perustuvaa käyttäjätunnistusta.

Etäkäytöllä tarkoitetaan organisaation toimitilojen ulkopuolelta tapahtuvaa tietojärjestelmien käyttöä useimmiten kannettavalla tietokoneella. Turvallisuusluokitellun tiedon osalta etäkäyttö soveltuu vain turvallisuusluokan IV tiedoille.

Organisaatio on luonut toimintatavat seuraavien suojausten toteuttamiseen:

• Turvallisuusalueen ulkopuolella etäkäytössä käytettävät päätelaitteet, muistivälineet ja tietoliikenneyhteydet on suojattu käyttäen turvallisuusluokan huomioiden riittävän turvallisia salausratkaisuja.
• Tietojärjestelmien etäkäyttöä ei onnistu ilman turvallisuusluokan tietojen suojaamiseen riittävän turvallista liikenteen salausta.
• Siirrettävien tietovälineiden (kiintolevyt, USB-muistit ja vastaavat) osalta voidaan sallia salaamattomien laitteiden käyttö siinä tapauksessa, että tietovälineitä ei koskaan jätetä valvomatta hyväksyttyjen turva-alueiden ulkopuolella.

Etäkäytöllä tarkoitetaan organisaation toimitilojen ulkopuolelta tapahtuvaa tietojärjestelmien käyttöä esimerkiksi kannettavan tietokoneen kautta.

Suojastasojen III-II tietoja etäkäytettäessä:

• Tietoja käsitellään käyttäen vain käyttöympäristöön hyväksyttyjä yhteyksiä ja laitteita, jotka on teknisesti tunnistettu laitetunnistuksen avulla, sekä vahvaa, vähintään kahteen tekijään perustuvaa käyttäjätunnistusta.
• Henkilöstö on saanut ohjeistusta ja koulutusta turvalliseen etäkäyttöön.
• Liikenne on salattu viranomaisen ko. suojaustasolle hyväksymällä salausmenetelmällä.
• Tietovälineet (kiintolevyt, USB-muistit ja vastaavat) ovat koko ajan kuljettajansa hallussa, ellei niitä ole salattu viranomaisen ko. suojaustasolle hyväksymällä menetelmällä. Salassa pidettäviä tietoja ei avata matkalla eikä lueta julkisilla paikoilla.
• Järjestelmien etäkäyttö rajataan viranomaisen hyväksymälle fyysisesti suojatulle alueelle.

Etäkäytöllä tarkoitetaan organisaation toimitilojen ulkopuolelta tapahtuvaa tietojärjestelmien käyttöä esimerkiksi kannettavan tietokoneen kautta.

Suojastason IV tietoja etäkäytettäessä:

• Tietoja käsitellään käyttäen vain käyttöympäristöön hyväksyttyjä laitteita ja yhteyksiä sekä vahvaa, vähintään kahteen tekijään perustuvaa käyttäjätunnistusta.
• Henkilöstö on saanut ohjeistusta ja koulutusta turvalliseen etäkäyttöön.
• Tietovälineet (kiintolevyt, USB-muistit ja vastaavat) on joko salattu viranomaisen suojaustasolle hyväksymällä menetelmällä tai ne säilytetään vastaavantasoisesti suojaten tai ei jätetä valvomatta.
• Liikenne on salattu viranomaisen ko. suojaustasolle hyväksymällä salausmenetelmällä.

When working remotely, the employee must follow the following guidelines:

• remote work may only be performed in rooms where eavesdropping is not possible
• remote work must be agreed in advance (e.g. on a one-off basis or in an employment contract with flexible work arrangements) or remote work must be requested by the employer
• the employee must ensure the required security for remote work equipment (e.g. backup, malware protection, firewall, encryption, updates)

Definition of the classification of permitted work, working hours and information to be used and definition of the internal systems and services to which the teleworker is granted access.

Arranging suitable equipment and storage for teleworking if the use of personal equipment beyond the control of the organization is not permitted.

If personal devices are used organization should utilize separate profiles (e.g. using Apple® Configuration Profile or AndroidTM Work Profile) to separate work data and apps from personal data and apps.

The organisation should consider the following aspects regarding security when travelling:

• Consideration of procedures for travel, including the possibility of inspections by authorities.
• Special precautions for travel to countries deemed security-critical.
• Ensure that employees are aware of these travel-related security measures.