Current configurations of devices, data systems and networks are documented and a log is maintained of configuration changes.
Changes to configurations must be controlled and go through the change management procedure. Only authorized personnel are allowed to make changes to the configurations.
Configuration information may include e.g.:
Organization must be able to monitor that devices, data systems and networks are maintained in accordance with the defined configurations (including security features) both during the implementation phase and throughout their entire life cycle.
For this, the organization has defined standard templates for secure configurations of devices, data systems and networks. When specifying standard templates, the following are taken into account:
Standard templates should be checked regularly and updated when significant new threats or vulnerabilities need to be responded to or new software or hardware versions are released.
The following points should be taken into account when defining standard templates:
Kansallisten turvallisuusluokan III sähköisten tietojen etäkäyttö (käsittely) ja säilytys on mahdollista kyseisen turvallisuusluokan mukaisessa päätelaitteessa turva-alueiden ulkopuolella edellyttäen, että
Turvallisuusluokkien III ja II käsittely-ympäristöissä sekä muissa kriittisissä käsittely-ympäristöissä edellytetään käytön teknistä sitomista hyväksyttyyn etäkäyttölaitteistoon (esim. laitetunnistus).
Erityisesti korkeimpien turvallisuusluokkien ympäristöissä tarpeettomien komponenttien käytönesto on usein perusteltua toteuttaa fyysisesti kyseiset komponentit (esimerkiksi langattomat verkkokortit, kamerat, mikrofonit) laitteesta irrottaen. Tilanteissa, joissa kyseistä komponenttia ei voida fyysisesti irrottaa, korvaavana suojauksena voi joissain tapauksissa hyödyntää esimerkiksi kameroiden teippaamista sekä laitteiston ohjelmallista käytöstäpoistoa sekä käyttäjäasetus-, käyttöjärjestelmä- ja laiteohjelmistotasoilla. Joissain käyttöjärjestelmissä suojausta voidaan täydentää myös poistamalla kyseisen laitteen käyttöön liittyvät ohjelmisto-osiot (kernel module).
Turvallisuusluokkien III-II käsittely-ympäristöissä vaatimus tulee huomioida kovennusohjeiden mahdollisesti sisältämät tasot sekä useiden eri kovennusohjeiden, kuten esimerkiksi valmistajakohtaiset ohjeet, CIS Benchmark ja DISA STIG, hyödyntäminen kovennusten kattavuuden varmistamisessa
Lähtökohtaisesti turvallisuusluokan I tietojenkäsittely-ympäristöt suositellaan pidettäväksi fyysisesti eriytettyinä kaikista muista ympäristöistä. Tyypillisenä toteutustapana on fyysisellä turva-alueella, hajasäteilysuojatussa tilassa tapahtuva kaikista muista ympäristöistä fyysisesti eriytetty tietojenkäsittely tähän tarkoitukseen varatulla päätelaitteella. Toteutustapana voi olla myös vastaavasti turva-alueella hajasäteilysuojattuun tilaan fyysisesti sijoitettu ja muista ympäristöistä fyysisesti eriytetty päätelaitteista, niitä yhdistävästä paikallisesta verkosta ja tähän tarkoitukseen varatusta erillistulostimesta koostuva tietojenkäsittely-ympäristö.
Tiedonsiirto fyysisesti eriytettyihin ympäristöihin tulee toteuttaa siten, että riski turvallisuusluokan I tiedon kulkeutumiseen matalamman turvallisuusluokan ympäristöön saatetaan mahdollisimman pieneksi.
Turvallisuusluokan II käsittely-ympäristöt ovat lähtökohtaisesti fyysisesti eristettyjä kokonaisuuksia.
Turvallisuusluokan ylittävä liikennöinti voidaan sallia vain datadiodien tai v astaavien OSI-mallin fyysisellä kerroksella toimivien yksisuuntaisten yhdyskäytäväratkaisujen kautta.
Tietojenkäsittely-ympäristön kytkeminen muiden turvallisuusluokkien ympäristöihin edellyttää riittävän turvallisen yhdyskäytäväratkaisun käyttöä.
Tietojenkäsittely-ympäristöjen oletetaan lähtökohtaisesti olevan toisilleen ei-luotettuja myös tilanteissa, joissa yhdistetään eri organisaatioiden hallinnoimia tietojenkäsittely-ympäristöjä toisiinsa. Saman turvallisuusluokan käsittely-ympäristöjä voidaan liittää toisiinsa ko. turvallisuusluokalle riittävän turvallisen salausratkaisun avulla (esimerkiksi organisaation eri toimipisteiden ko. turvallisuusluokan käsittely-ympäristöjen yhteenliittäminen julkisen verkon ylitse).
When, due to the accumulation effect, the security class of the target's central data store is interpreted as higher than the level of individual data, the security methods defined for the data store must be implemented in accordance with the requirements of the higher level.
Tietoliikenneverkon vyöhykkeistäminen ja suodatussäännöstöt on toteutettava vähimpien oikeuksien periaatteen mukaisesti ko. turvaluokan sisällä.
Turvallisuusluokkien IV-II käsittely-ympäristöissä vaatimus voidaan täyttää siten, että toteutetaan aiemmin mainittujen toimenpiteiden lisäksi:
4) Verkko-alueiden välistä liikennettä valvotaan ja rajoitetaan siten, että vain erikseen hyväksytty, toiminnalle välttämätön liikennöinti sallitaan (default-deny).
Turvallisuusluokittelemattoman salassa pidettävän tiedon sekä myös turvallisuusluokan IV tietojenkäsittely-ympäristön yhdistäminen eri turvallisuusluokan ympäristöihin voidaan toteuttaa palomuuriratkaisuilla ja rajaamalla riskialttiiden alemman turvallisuusluokan ympäristöä käyttävien palvelujen (web-selailu, Internetin kautta reitittyvä sähköposti, ja vastaavat) liikenne kulkemaan erillisten sisältöä suodattavien välityspalvelinten kautta.
Turvallisuusluokittelemattoman salassa pidettävän sekä myös turvallisuusluokan IV käsittely-ympäristöjä on mahdollista kytkeä Internetiin ja muihin ei-luotettuihin verkkoihin, edellyttäen että kytkennän tuomia riskejä pystytään muilla suojauksilla pienentämään riittävästi. Internet-kytkentäisyyden tuomien riskien pienentäminen turvallisuusluokittelemattomalle salassa pidettävälle tiedolle sekä turvallisuusluokalle IV edellyttää erityisesti ohjelmistopäivityksistä huolehtimista, vähimpien oikeuksien periaatteen mukaisia käyttöoikeuksia, järjestelmäkovennuksia sekä kykyä poikkeamien havainnointiin ja korjaaviin toimiin.
Tyypillinen käyttötapa turvallisuusluokittelemattoman salassa pidettävän tai/ja turvallisuusluokan IV käsittely-ympäristölle on organisaation rajattu tietojenkäsittely-ympäristön osa, joka voi muodostua esimerkiksi päätelaitepalveluista, sovelluspalveluista, tietoliikennepalveluista sekä niiden suojaamiseen liittyvistä järjestelyistä.
Tietojenkäsittely-ympäristön kytkeminen muiden turvallisuustasojen ympäristöihin edellyttää vähintään palomuuriratkaisun käyttöä.
The data processing environment is separated from public data networks and other environments with a lower security level in a sufficiently safe manner.
Separation of data systems is one of the most effective factors in protecting confidential information. The goal of separation is to delimit the processing environment of confidential information into a manageable entity, and in particular to be able to limit the processing of confidential information to sufficiently secure environments only. Separation of environments can be implemented, for example, with the help of a firewall solution.
Remote maintenance and repair of an organization's assets must be performed so that it is approved, logged, and performed in a manner that prevents unauthorized access. The person conducting the remote maintenance and repair must be required to perform multi-step authentication.
Normal network traffic is described and the description maintained to detect anomalies. The description should be updated:
The organization shall ensure that the monitoring and management of remote connections is automated, that remote connections are encrypted to ensure their integrity and reliability, and that remote connections pass only through approved and managed Network Access Control (NAC).
The organization must also make possible for the remote connections to be closed within a specified time.
Network segregation is used to divide networks into smaller parts (called subnetworks or segments). The main purpose is to achieve least privilege principles by limiting the access e.g. a user or any particular device can have.
When offering cloud services, the organisation should implement network access segregation to:
Organisation should be able to help the customer to verify the segregation implementation.
The organisation must have the following firewall rules configured and documented:
The organisation must change the default password, which is used to login into firewall management interface, to something not easily guessed. Alternatively, organisation can block remote access to the management interface.
The organisation must not allow remote access if it is not properly and clearly documented and needed for business operations. In this case the system must be protected with multi factor authentication or with whitelisting only the necessary IP-addresses.
Palomuuri on ohjelmisto, joka hallinnoi yhteyksiä verkkojen (sisäiten tai ulkoisten) tai verkkosovellusten välillä. Palomuuri voidaan asettaa hyväksymään, estämään tai suodattamaan yhteksiä tiettyjen kriteerien perusteella.
Organisaation käyttämät tietojärjestelmät, niiden käyttöympäristöt sekä ulkoiset liityntäpisteet on suojattu joko tilallisella palomuurilla tai sovelluspalomuurilla.
Hallintapääsy tapahtuu rajattujen, hallittujen ja valvottujen pisteiden kautta.
Hallintayhteyksien suojauksessa huomioidaan, miltä osin hallintayhteyden kautta pystytään vaarantamaan salassa pidettävät tiedot. Useimmat hallintayhteystavat mahdollistavat pääsyn salassa pidettävään tietoon joko suoraan (esim. tietokantaylläpito pääsee yleensä tarvittaessa tietokannan sisältöön) tai epäsuoraan (esim. verkkolaiteylläpito pystyy yleensä muuttamaan tietojärjestelmää suojaavia palomuurisääntöjä), mikä tekee näistä erityisen houkuttelevan kohteen myös pahantahtoisille toimijoille.
Kun hallintayhteys mahdollistaa suoran tai epäsuoran pääsyn salassa pidettävään tietoon, tulisi hallintayhteys ja siihen käytettävät päätelaitteet rajata lähtökohtaisesti samalle suojaustasolle kuin tietojenkäsittely-ympäristökin. Laitteilla tarkoitetaan tässä järjestelmiä, joihin pitäisi olla hallintaoikeudet vain ylläpitäjillä tai vastaavilla. Tällaisia ovat tyypillisesti esimerkiksi palomuurit, reitittimet, kytkimet, langattomat tukiasemat, palvelimet, työasemat, ILO-hallintaliittymät ja Blade-runkojen hallintaliittymät.
Examples of traffic filtering and monitoring systems are firewalls, routers, intrusion detection or prevention systems (IDS / IPS) and network devices / servers / applications with similar functionalities.
To ensure the functionality of filtering and monitoring:
Tietoliikenneverkon vyöhykkeistäminen ja suodatussäännöstöt on toteutettava monitasoisen suojaamisen periaatteen mukaisesti.
Tietoliikenneverkon jakaminen ko. turvallisuusluokan sisällä erillisille verkkoalueille (vyöhykkeet ja segmentit) voi tarkoittaa esimerkiksi tietojen suojaamisen näkökulmasta tarkoituksenmukaista työasema- ja palvelinerottelua, kattaen myös mahdolliset hankekohtaiset erottelutarpeet.
Vaatimus voidaan täyttää alla mainituilla toimenpiteillä:
Käsiteltäessä viranomaisen suojaustason III tai II salassapidettävää tietoa, toteutetaan tietojenkäsittely-ympäristön verkolle seuraavat toimenpiteet:
Käsiteltäessä viranomaisen suojaustason IV salassapidettävää tietoa, toteutetaan tietojenkäsittely-ympäristön verkolle seuraavat toimenpiteet:
Systems here mean servers, workstations, active network devices (firewalls, routers, switches, wireless base stations, etc.) and the like. Hardening, on the other hand, means changing the system's settings in such a way that the system's vulnerability area can be reduced.
Organization has defined operating processes through which:
Päätelaitteet tunnistetaan teknisesti (laitetunnistus, 802.1X, tai vastaava menettely) ennen pääsyn sallimista verkkoon tai palveluun, ellei verkkoon kytkeytymistä ole fyysisen turvallisuuden menetelmin rajattu suppeaksi (esim. palvelimen sijoittaminen lukittuun laitekaappiin teknisesti suojatun viranomaisen ko. suojaustasolle hyväksymän turva-alueen sisällä).
Owners have been assigned to various network devices, who are responsible for ensuring that the information processed on the networks and related services are protected from unauthorized access. Where appropriate, liability for network equipment must be separated from other related responsibilities.
The use of the wireless network is secured with sufficient keys and the connection traffic to the network router is encrypted. The wireless network for guest use is isolated from the company's own internal network.
An appropriate log is generated from the use of the network to enable the detection of actions relevant to cyber security.
The normal state of network traffic (traffic volumes, protocols, and connections) is known. In order to detect anomalies, there is a procedure for detecting events that are different from the normal state of network traffic (for example, anomalous connections or their attempts).
An owner is defined for an organization's networks. The owner is responsible for planning the structure of the network and documenting it.
Separate network areas are used in network design as needed. Domain areas can be defined by e.g.:
Separation can be implemented either with physically separate networks or with logically separate networks.
The organization deploys authenticated proxy servers to manage and secure communication traffic between the organization’s critical systems and external networks. Review existing network architecture, identify communication channels that connect critical systems to external entities, and implement proxy servers where feasible. Secure authentication protocols should be used to secure the traffic.
The organization should Implement measures to secure the organization’s critical systems from Denial-of-Service (DoS) attacks, or at least limit their impact. These could include:
Create a plan for deploying IoT devices to include security aspects with risk assesments. This includes, for example, assessment of the cloud the device connects to.
Isolate the IoT devices in separate network zones and consider their location with regard to unauthorised physical access to the devices.
The organization must decide which parts of the ICT system it needs to monitor. These could include, for example:
Ideally, organizations security-related monitoring should cover as much of the ICT system as possible. That makes it easier to identify unauthorized actions, security breaches and security threats as early as possible.
Protect particularly critical services with their own data flow. Consider which services are particularly critical, e.g., backup services and those critical services should have their own rules for data flow.
Control the data flow of especially exposed services. Exposed services, e.g., web and email with external content for users should be subject to strict controls.
Block all direct traffic between clients. Applications requiring peer-to-peer should instead use a server service. Alternatively, reduce direct traffic between clients to an absolute minimum based on what is needed for work purposes.
Ensure that maintenance of configurations, installations and operations are done securely. This includes the following:
The most critical subnets must be physically isolated. Also, it should be considered whether to physically isolate particularly sensitive subnets.
The organization must ensure that the hosting systems it uses are secure, maintained and comply with the required security standards. The organization should either self-host systems or use certified data centers/hosting services to ensure that security can be effectively verified and monitored.
The security requirements for used data centers and hosting services must be equivalent to those for the organization's own infrastructure. For example, server configurations must be hardened, connections must be encrypted, traffic should be monitored and the hardware used must be up to date.
The organization employs a passive discovery tool that continuously monitors network traffic and logs real-time data on connected devices, with weekly reviews of the data to update the asset inventory, integration with the asset management system for seamless updates, and alerting mechanisms to notify of new or unauthorized devices for prompt security action.
To secure network infrastructure, the organization implements a process involving:
To implement and manage server firewalls, the organization deploys virtual firewalls in virtualized and cloud environments with centralized management consoles for consistent security.
Organization enables operating system-based firewalls for network traffic filtering and audits rules regularly.
The organization implements several measures:
The organization utilizes category-based and reputation-based filtering to identify and block access to undesirable websites, leveraging both known malicious sites and content categories to enforce browsing policies.
Block lists, derived from deny lists in malware protection software, are employed to actively prevent connections to specific harmful domains.
Regular updates and management of filtering and monitoring systems are conducted to ensure that URL filters remain current.
Email and download scanning protocols are configured to employ malware detection software, scanning all email attachments and downloads for threats while also blocking specific file types deemed unnecessary or risky.
Filtering and monitoring systems, such as firewalls and intrusion detection systems, are utilized to filter specific file types at the email gateway, preventing their transmission.
Measures aimed at blocking the download of confidential information on external networks can be adapted to stop certain file types from being received via email.
To establish and maintain architecture diagrams and network system documentation, the organization undertakes tasks such as maintaining a comprehensive listing of data systems.
The organization assigns owners who are responsible for completing associated documentation and security measures, ensuring it is regularly reviewed and updated.
Documentation of interfaces and connections between data systems is meticulously maintained and reviewed to integrate any changes.
To centralize network Authentication, Authorization, and Accounting (AAA), the organization implements centralized authentication accounts using platforms like Google or Microsoft 365 to streamline access management and enhance security.
A centralized record of user access rights for data systems and services is maintained to facilitate efficient management and auditing processes.
The organization defines procedures for managing identification and access methods throughout their lifecycle, ensuring consistent, secure handling of authentication credentials to support centralized AAA management.
The organization protects wireless connections by securing the network with strong encryption keys and using protocols like WPA2 Enterprise to ensure encrypted traffic to network routers.
For secure access control, technical identification of end devices using 802.1X is required before network access, preventing unauthorized connections unless physically restricted.
Standard templates for secure configurations are defined, maintaining security features such as access controls throughout the device and network lifecycle, thereby supporting the implementation of secure protocols like 802.1X and WPA2 Enterprise.
The organization enhances network security by evaluating and selecting a suitable Network Intrusion Detection System (NIDS) or equivalent cloud solutions, strategically placing sensors, configuring monitoring and alerting systems, and ensuring regular updates and maintenance. For cloud environments, the organization leverages CSP-provided security services with NIDS functionality.
The organization strengthens network security by deploying firewalls between segments, configuring access control lists (ACLs) to regulate traffic, and adopting segmentation best practices to isolate sensitive systems. Intrusion prevention systems (IPS) are used to block malicious traffic in real time.
The organization enhances network security by implementing 802.1X network access control to authenticate devices via a RADIUS server, using certificates for robust authentication and integrating with user directories for consistent access policies. It provides network segmentation for guests and IoT devices, monitors access attempts to detect unauthorized access.
The organization enhances network security by implementing 802.1X network access control to authenticate devices via a RADIUS server, using certificates for robust authentication and integrating with user directories for consistent access policies. It provides network segmentation for guests and IoT devices, and ensures NAC policies and software are regularly updated.
Configurations should be monitored with comprehensive system management tools (e.g. maintenance utilities, remote support, enterprise management tools, backup and recovery software) and reviewed regularly to assess settings, password strengths, and operations performed. Actual configurations can be compared to defined target models. Any discrepancies must be dealt with either automatically or by manual processing.
Any unauthorized changes must be corrected and cause investigated and reported.
Järjestelmissä otetaan käyttöön vain toimintavaatimusten täyttämiseksi ja turvallisuuden varmistamiseksi välttämättömät komponentit, palvelut sekä käyttäjien ja prosessien oikeudet.
The organisation should develop and document clear procedures for the management and control of networks, ensuring consistency across all network operations.
Organisation should consider the following aspects during network segmentation:
The organisation should ensure its networds has sufficient redundancy. The following aspects should be considered:
Isolate vulnerable and low-trust equipment, e.g., outdated applications, old servers with unsupported OS and printers with poor security configuration and a lack of security updates.
In Cyberday, all frameworks’ requirements are mapped into universal tasks, so you achieve multi-framework compliance effortlessly.
.png)
Elevate Your Knowledge with Exclusive Access to Weekly Webinars, Video Courses, Help Articles, and Blogs.
