Katakri 2020

Requirement description

Alueella voi säilyttää turvallisuusluokan IV tietoa. Tiedot tulee säilyttää soveltuvassa lukitussa toimistokalusteessa. Tietoja sisältävä päätelaite tulee säilyttää soveltuvassa lukitussa toimistokalusteessa, mikäli mahdollista.
2. Alueella voi säilyttää kansallista turvallisuusluokan III tietoa kyseisen turvallisuusluokan vaatimukset täyttävässä päätelaitteessa, mikäli päätelaitetta säilytetään: a) valvotussa tilassa tai b) soveltuvassa lukitussa toimistokalusteessa turvapussissa tai vastaavalla tavalla. Mahdollinen tilan valvonta tulee toteuttaa F-05.5-vaatimuksen mukaisesti. Poiketen kansallisen turvallisuusluokitellun tiedon säilyttämissäännöistä, kansainvälisen turvallisuusluokan III (CONFIDENTIAL) tietoa ei voi säilyttää hallinnollisella alueella.
3. Soveltuvien lukittujen toimistokalusteiden avaimet tai pääsykoodit ovat sellaisten henkilöiden hallussa, joilla on tiedonsaantitarve säilytysyksikössä säilytettävään tietoon. Kyseisten henkilöiden on osattava numeroyhdistelmät ulkoa. Turvallisuusluokiteltuja tietoja sisältävien säilytysyksiköiden numeroyhdistelmät on vaihdettava:
• uuden turvallisen säilytyspaikan vastaanoton yhteydessä
• aina, kun numeroyhdistelmän tuntevassa henkilöstössä tapahtuu muutos.
• aina, kun tiedot ovat vaarantuneet tai kun niiden epäillään vaarantuneen.
• kun jokin lukoista on huollettu tai korjattu.
4. Alueella voi käsitellä turvallisuusluokkien IV-II tietoa, jos pääsy tietoihin on suojattu sivullisilta. Päätelaitteessa olevan turvallisuusluokitellun tiedon käsittelyssä tulee lisäksi huolehtia, että päätelaite ja tietoliikennejärjestelyt täyttävät niihin kohdistuvat vaatimukset.

How to fill the requirement

F-05.8: TIEDON KÄSITTELY JA SÄILYTTÄMINEN

Task name

Priority

Status

Theme

Policy

Other requirements

Turva-alueen säilytysyksiköiden avaimet ja pääsykoodit (TL III)

Critical

High

Normal

Low

Fully done

Mostly done

Partly done

Not done

Physical security

Management of secure areas

requirements

Examples of other requirements this task affects

FYY-07.7: Turva-alue - säilytysyksiköiden avaimet ja pääsykoodit - TL III

Julkri

F-05.8: TIEDON KÄSITTELY JA SÄILYTTÄMINEN

Katakri 2020

F-06.10: TIEDON KÄSITTELY JA SÄILYTTÄMINEN

Katakri 2020

See all related requirements and other information from tasks own page.

Go to >

Turva-alueen säilytysyksiköiden avaimet ja pääsykoodit (TL III)

1. Task description

Säilytysyksiköiden avaimet tai pääsykoodit ovat sellaisten henkilöiden hallussa, joilla on tiedonsaantitarve säilytysyksikössä säilytettävään tietoon. Kyseisten henkilöiden on osattava numeroyhdistelmät ulkoa.

Turvallisuusluokiteltuja tietoja sisältävien säilytysyksiköiden numeroyhdistelmät on vaihdettava:

tehdaskoodit on vaihdettava uuden turvallisen säilytyspaikan vastaanoton yhteydessä
aina, kun numeroyhdistelmän tuntevassa henkilöstössä tapahtuu muutos.
aina, kun tiedot ovat vaarantuneet tai kun niiden epäillään vaarantuneen.
kun jokin lukoista on huollettu tai korjattu.

Turva-aluekohtaiset turvallisuusohjeet (TL III)

Critical

High

Normal

Low

Fully done

Mostly done

Partly done

Not done

Physical security

Management of secure areas

requirements

Examples of other requirements this task affects

FYY-07.5: Turva-alue - turvallisuusohjeet - TL III

Julkri

F-05.8: TIEDON KÄSITTELY JA SÄILYTTÄMINEN

Katakri 2020

F-06.5: TURVALLISUUSOHJEET

Katakri 2020

F-06.10: TIEDON KÄSITTELY JA SÄILYTTÄMINEN

Katakri 2020

See all related requirements and other information from tasks own page.

Go to >

Turva-aluekohtaiset turvallisuusohjeet (TL III)

1. Task description

Kullekin turva-alueelle on laadittava ohjeet noudatettavista turvallisuusmenettelyistä.

Kullekin turva-alueelle on laadittava turvallisuusmenettelyt, joissa on ohjeet seuraavista asioista:

Tiedon säilyttäminen ja käsitteleminen alueella: turvallisuusluokka tiedoille, joita alueella voidaan käsitellä ja säilyttää.
Sovellettavat valvonta- ja suojatoimenpiteet.
Pääsyoikeuksien myöntäminen alueelle: henkilöt, joilla on pääsy alueelle ilman saattajaa erityisen luvan ja luotettavuuden varmistamisen perusteella.
Vierailijat: tarvittaessa menettelyt saattajien käyttämiseksi tai turvallisuusluokiteltujen tietojen suojaamiseksi silloin, kun muille henkilöille myönnetään pääsy alueelle.
Muut asiaan kuuluvat toimenpiteet ja menettelyt.

Turvallisuusluokitellun tiedon turvallinen säilyttäminen (TL III)

Critical

High

Normal

Low

Fully done

Mostly done

Partly done

Not done

Physical security

Management of secure areas

requirements

Examples of other requirements this task affects

FYY-04.4: Tiedon säilytys - TL III

Julkri

F-05.8: TIEDON KÄSITTELY JA SÄILYTTÄMINEN

Katakri 2020

F-06.10: TIEDON KÄSITTELY JA SÄILYTTÄMINEN

Katakri 2020

I-17: TURVALLISUUSLUOKITELTUJEN SÄHKÖISESSÄ MUODOSSA OLEVIEN TIETOJEN KÄSITTELY FYYSISESTI SUOJATTUJEN ALUEIDEN SISÄLLÄ - FYYSINEN TURVALLISUUS

Katakri 2020

See all related requirements and other information from tasks own page.

Go to >

Turvallisuusluokitellun tiedon turvallinen säilyttäminen (TL III)

1. Task description

Organisaatio säilyttää paperiasiakirjat ja muut ei sähköisessä muodossa olevat tiedot turva-alueella soveltuvaksi arvioidussa säilytysratkaisussa.

Organisaatio säilyttää sähköisessä muodossa olevat tiedot

turva-alueella vaatimukset täyttävässä laitteessa tai sähköisessä tietovälineessä tai
turva-alueiden ulkopuolella vaatimukset täyttävässä päätelaitteessa valvotussa tilassa tai soveltuvassa lukitussa toimistokalusteessa turvapussissa tai vastaavalla tavalla.

Kansainvälisen turvallisuusluoka III (Confidental) tietoa ei voi säilyttää hallinnollisella alueella.

Turvallisuusluokitellun tiedon turvallinen säilyttäminen (TL IV)

Critical

High

Normal

Low

Fully done

Mostly done

Partly done

Not done

Physical security

Management of secure areas

requirements

Examples of other requirements this task affects

FYY-04.1: Tiedon säilytys

Julkri

F-05.8: TIEDON KÄSITTELY JA SÄILYTTÄMINEN

Katakri 2020

F-06.10: TIEDON KÄSITTELY JA SÄILYTTÄMINEN

Katakri 2020

I-17: TURVALLISUUSLUOKITELTUJEN SÄHKÖISESSÄ MUODOSSA OLEVIEN TIETOJEN KÄSITTELY FYYSISESTI SUOJATTUJEN ALUEIDEN SISÄLLÄ - FYYSINEN TURVALLISUUS

Katakri 2020

See all related requirements and other information from tasks own page.

Go to >

Turvallisuusluokitellun tiedon turvallinen säilyttäminen (TL IV)

1. Task description

Organisaatio säilyttää paperiasiakirjat ja muut ei sähköisessä muodossa olevat tiedot

turva-alueella tai hallinnollisella alueella soveltuvaksi arvioidussa toimistokalusteessa tai
tilapäisesti turvallisuusalueiden ulkopuolella jos tiedon käsittelijä on sitoutunut noudattamaan annetuissa turvallisuusohjeissa määrättyjä korvaavia toimenpiteitä.

Organisaatio säilyttää sähköisessä muodossa olevat tiedot

turva-alueella tai hallinnollisella alueella vaatimukset täyttävässä laitteessa tai sähköisessä tietovälineessä tai
turvallisuusalueiden ulkopuolella vaatimukset täyttävässä päätelaitteessa tai sähköisessä tietovälineessä valvotussa tilassa tai soveltuvassa lukitussa toimistokalusteessa turvapussissa tai vastaavalla tavalla.

Mikäli alueella ei ole tiedon säilytykseen riittäväksi arvioitua säilytysratkaisua, tulisi alueen seinien, lattian, katon, ikkunoiden ja ovien täytettävä vähintään standardin SFS-EN-1627 luokkaa RC3 vastaava suoja.

Mikäli turvallisuusluokitellun tiedon säilytysyksikkönä käytetään lukittua toimistokalustetta, on varmistuttava siitä, että tunkeutumisesta jää murtojälki.

Tasks included in the policy

Task name

Priority

Status

Theme

Policy

Other requirements

No items found.

1.1 (MIL2): Manage IT and OT Asset Inventory

C2M2: MIL1

1.1 (MIL3): Manage IT and OT Asset Inventory

C2M2: MIL1

1.1.1: Availability of information security policies

TISAX

1.1.1: Identify the organisation’s strategy and priorities

NSM ICT-SP

1.1.2: Identify the organisation’s structures and processes for security management

NSM ICT-SP

1.1.3: Identify the organisation’s processes for ICT risk management

NSM ICT-SP

1.1.4: Identify the organisation’s tolerances for ICT risk

NSM ICT-SP

1.1.5: Identify the organisation’s deliverables, information systems and supporting ICT functions

NSM ICT-SP

1.1.6: Identify information processing and data flow

NSM ICT-SP

1.2 (MIL2): Manage Information Asset Inventory

C2M2: MIL1

1.2 (MIL3): Manage Information Asset Inventory

C2M2: MIL1

1.2.1: Establish a process to identify devices and software in use at the organisation

NSM ICT-SP

1.2.1: Scope of Information Security management

TISAX

1.2.2: Establish organisational guidelines for approved devices and software

NSM ICT-SP

1.2.2: Information Security Responsibilities

TISAX

1.2.3: Identify devices in use at the organisation

NSM ICT-SP

1.2.3: Information Security requirements in projects

TISAX

1.2.4: Definition of responsibilities with service providers

TISAX

1.2.4: Identify the software in use at the organisation

NSM ICT-SP

1.2: Manage Information Asset Inventory

C2M2: MIL1

1.3 (MIL2): Manage IT and OT Asset Configuration

C2M2: MIL1

1.3 (MIL3): Manage IT and OT Asset Configuration

C2M2: MIL1

1.3.1: Identification of information assets

TISAX

1.3.1: Identify the users of the information systems

NSM ICT-SP

1.3.2: Classification of information assets

TISAX

1.3.2: Identify and define the different user categories

NSM ICT-SP

1.3.3: Identify roles and responsibilities linked especially to ICT security

NSM ICT-SP

1.3.3: Use of approved external IT services

TISAX

1.3.4: Use of approved software

TISAX

1.3: Manage IT and OT Asset Configuration

C2M2: MIL1

1.4 (MIL2): Manage Changes to IT and OT Assets

C2M2: MIL1

1.4 (MIL3): Manage Changes to IT and OT Assets

C2M2: MIL1

1.4.1: Management of Information Security Risks

TISAX

1.4: Manage Changes to IT and OT Assets

C2M2: MIL1

1.5 (MIL1): Management Activities for the ASSET domain

C2M2: MIL1

1.5 (MIL2): Management Activities for the ASSET domain

C2M2: MIL1

1.5 (MIL3): Management Activities for the ASSET domain

C2M2: MIL1

1.5.1: Assessment of policies and requirements

TISAX

1.5.2: External review of ISMS

TISAX

1.5: Management Activities for the ASSET domain

C2M2: MIL1

1.6.1: Reporting of security events

TISAX

1.6.2: Management of reported events

TISAX

1.6.3: Crisis preparedness

TISAX

10 §: Johdon vastuu

KyberTL

10. Processing of personal data relating to criminal convictions and offences

GDPR

10.1 (MIL2): Establish Cybersecurity Program Strategy

C2M2: MIL1

10.1 (MIL3): Establish Cybersecurity Program Strategy

C2M2: MIL1

10.1.1: Policy on the use of cryptographic controls

ISO27 Full

10.1.2: Key management

ISO27 Full

10.1.2: Key management

ISO 27017

10.1: Continuous improvement

ISO27k1 Full

10.1: Cryptographic controls

ISO27 Full

10.1: Cryptographic controls

ISO 27017

10.1: Establish Cybersecurity Program Strategy

C2M2: MIL1

10.2 (MIL2): Establish and Maintain Cybersecurity Program

C2M2: MIL1

10.2 (MIL3): Establish and Maintain Cybersecurity Program

C2M2: MIL1

10.2: Establish and Maintain Cybersecurity Program

C2M2: MIL1

10.2: Non-conformity and corrective action

ISO27k1 Full

10.3 (MIL1): Management Activities for the PROGRAM domain

C2M2: MIL1

10.3 (MIL2): Management Activities for the PROGRAM domain

C2M2: MIL1

10.3 (MIL3): Management Activities for the PROGRAM domain

C2M2: MIL1

10.3: Management Activities for the PROGRAM domain

C2M2: MIL1

10: Cryptography

ISO27 Full

10: Cryptography

ISO 27017

10: Cybersecurity Program Management (PROGRAM)

C2M2: MIL1

10: Prosessi väärinkäytöksiin reagoimiseksi

Sec overview

11 §: Poikkeamailmoitukset viranomaiselle

KyberTL

11. Processing which does not require identification

GDPR

11.1.1: Physical security perimeter

ISO27 Full

11.1.2: Physical entry controls

ISO27 Full

11.1.3: Securing offices, rooms and facilities

ISO27 Full

11.1.4: Protecting against external and environmental threats

ISO27 Full

11.1.5: Working in secure areas

ISO27 Full

11.1.6: Delivery and loading areas

ISO27 Full

11.1: Secure areas

ISO27 Full

11.2.1: Equipment siting and protection

ISO27 Full

11.2.2: Supporting utilities

ISO27 Full

11.2.3: Cabling security

ISO27 Full

11.2.4: Equipment maintenance

ISO27 Full

11.2.5: Removal of assets

ISO27 Full

11.2.6: Security of equipment and assets off-premises

ISO27 Full

11.2.7: Secure disposal or re-use of equipment

ISO27 Full

11.2.7: Secure disposal or re-use of equipment

ISO 27017

11.2.8: Unattended user equipment

ISO27 Full

11.2.9: Clear desk and clear screen policy

ISO27 Full

11.2: Equipment

ISO27 Full

11.2: Equipment

ISO 27017

11: Digiturvan mittarien määrittäminen

Sec overview

11: Physical and environmental security

ISO27 Full

11: Physical and environmental security

ISO 27017

12 §: Luotettavuutta edellyttävien tehtävien tunnistaminen ja luotettavuudesta varmistuminen

TiHL

12 §: Poikkeamaa koskeva väliraportti

KyberTL

12. Transparent information, communication and modalities for the exercise of the rights of the data subject

GDPR

12.1.1: Documented operating procedures

ISO27 Full

12.1.2: Change management

ISO27 Full

12.1.3: Capacity management

ISO27 Full

12.1.4: Separation of development, testing and operational environments

ISO27 Full

12.1: Operational procedures and responsibilities

ISO27 Full

12.2.1: Controls against malware

ISO27 Full

12.2: Protection from malware

ISO27 Full

Requirement description

How to fill the requirement

Katakri 2020

F-05.8: TIEDON KÄSITTELY JA SÄILYTTÄMINEN

Examples of other requirements this task affects

Examples of other requirements this task affects

Examples of other requirements this task affects

Examples of other requirements this task affects

Tasks included in the policy

Universal cyber compliance language model: Comply with confidence and least effort

Subscribe to Academy today

Webinars

Videos

Helps

Blogs

Content library