4.9 Tietoliikenne ja palvelinympäristö on turvattu.

4.9.1 Tietoliikenteen suojaustarpeet on määritelty ja dokumentoitu.

Tietoturvasuunnitelma on laadittu. Myös tietoturvallisuusluokitusta voidaan käyttää. Internetin tietoturvallisuutta käsitellään VAHTIn ohjeessa Valtion tietohallinnon Internet-tietoturvallisuusohje. Tietoturvallisuutta käsitellään siinä muiden muassa tietoturvapolitiikan, tietoliikenneyhteyksien, tiedonsiirron ja viestintäsovellusten näkökulmista.

• Valtion tietohallinnon Internet-tietoturvallisuusohje, VAHTI 1/2003
  Verkkopalveluiden tietoturvallisen toteutuksen yleinen ohjeisto. Palvelun suunnittelu, toteutus, valvonta ja hankinnat tietoturvallisuuden kannalta.
  
  http://www.vm.fi/vm/fi/04_julkaisut_ja_asiakirjat/01_julkaisut/05_valtionhallinnon_tietoturvallisuus/39680/name.jsp
  Valtionhallinnon tietoturvallisuuden johtoryhmä VAHTI
• Tietoliikenteen ja palvelinympäristön turvaaminen
  Riskien kartoitus, suojaustarpeet ja toimenpiteet tietoliikenteen ja palvelinympäristön turvaamiseksi. Osa JHS 129 -suositusta.
  
  http://docs.jhs-suositukset.fi/jhs-suositukset/JHS129/JHS129.html#H68
  Julkisen hallinnon tietohallinnon neuvottelukunta JUHTA

4.9.2 Verkon, palvelinten ja verkkopalvelun valvonta on järjestetty.

Valvonta on järjestetty palomuurin avulla ja mahdollisesti myös tunkeutumisenestojärjestelmillä. Hyökkäyskestävyys ja vikasietoisuus on arvioitu. Palvelussa on huomioitu alttius systemaattiseen häirintään sekä hyökkäyksiin ja näihin on varauduttu. Roskapostisuodatuksesta on huolehdittu.

Ulkopuolisilta on estetty pääsy järjestelmään. Esimerkiksi sisällön hallinta sijoitetaan erilliselle palvelimelle. Pääsyä rajoitetaan palvelimen ja verkon käyttöoikeuksin.

Järjestelmän tietoturvapäivityksistä huolehditaan ja tietoturva testataan päivitysten jälkeen. Tietoturvatapahtumia seurataan ja kirjataan johdonmukaisesti. Tietoturva-asioissa hyödynnetään tiivistä yhteistyötä järjestelmätoimittajan kanssa.

• Tietoturva ja -suoja
  Tietoturva-asioiden käsitteistö, yleisohjeet ja erilaiset turvamenettelyt.
  
  http://www.ficora.fi/index/palvelut/palvelutaiheittain/tietoturva.html
  Viestintävirasto

4.9.3 Palomuuri on suojattu ja sen toimivuus on varmistettu.

Lokeihin kerättävä ja kirjattava aineisto on määritelty. Lokiselvitysprosessien käsittelyyn on varattu riittävä valmius. Yhteistyötä tehdään lokien ja palomuurimenettelyjen määrittelyssä organisaation ja sen katto-organisaation sisällä sekä toimittajan kanssa ulkoistettujen palveluiden osalta.

• Palomuuri
  Palomuurin määrittely, toimintaperiaate ja rajoitukset.
  
  http://www.ficora.fi/index/palvelut/palvelutaiheittain/tietoturva/palomuuri.html
  Viestintävirasto

4.9.4 Tietoliikenneyhteydet ja varayhteydet on varmistettu.

Toimivuutta seurataan raporteilla, kuukausittaisella seurannalla ja toimintapoikkeamien käsittelyllä vähemmän kriittisissä tapauksissa. Kriittiset virheet ja katkokset käsitellään mahdollisimman pian ja niistä tiedotetaan verkkopalvelun käyttäjille.

4.9.5 Haittaohjelmilta on suojauduttu.

Järjestelmässä on haittaohjelmasuojaus, jos siihen siirretään tai tallennetaan tiedostoja, joiden alkuperästä ei voida olla täysin varmoja. Tarkistus kohdistuu esimerkiksi käyttäjien lähettämiin tiedostoihin.

Verkkopalvelun ylläpitäjien työasemilla on haittaohjelmasuojaus, jotta mahdolliset haittaohjelmat eivät siirry ylläpitäjiltä palvelimelle. Sähköposteille tehdään virustarkistus. Haittaohjelmien leviäminen estetään.

• Haittaohjelmat
  Haittaohjelmien määritelmä, kuvaukset yleisimmistä haittaohjelmatyypeistä.
  
  http://www.ficora.fi/index/palvelut/palvelutaiheittain/tietoturva/haittaohjelmat.html
  Viestintävirasto

4.9.6 Tiedonsiirto on salattu aina, kun se tiedon luonteen vuoksi on tarpeellista.

Arkaluontoista tietoa välitettäessä käytetään HTTPS-protokollaa.

4.9.7 Henkilöstö on koulutettu tietoturvauhkien varalle.

Henkilöstö tietää, miten toimia tietoturvan ollessa uhattuna. Henkilöstö on koulutettu toimimaan esimerkiksi tilanteissa, joissa virus tarttuu omaan työasemaan tai järjestelmä joutuu hyökkäyksen kohteeksi.

 Tulostettava sivu    Tulosta koko kriteeristö
Verkkopalveluiden laatukriteeristö v2.0 Valtiovarainministeriö 2008