”Lisäys VIII

Tietoturvan hallintaa ja toiminnan jatkuvuuden hallintaa koskevat vaatimukset

Tietoturvan hallinta

Näitä vaatimuksia sovelletaan kuhunkin osallistujaan, paitsi jos osallistuja osoittaa, ettei siihen sovelleta tiettyä vaatimusta. Kun osallistuja määrittää vaatimusten soveltamisalaa infrastruktuurissaan, sen olisi tunnistettava maksutapahtumaketjun osatekijät. Maksutapahtumaketju alkaa saapumispisteestä (Point of Entry) eli tapahtumien luontiin osallistuvasta järjestelmästä (esimerkiksi työasemat, front office- ja back office -sovellukset ja väliohjelmistot). Maksutapahtumaketju päättyy järjestelmään, joka on vastuussa viestin lähettämisestä SWIFTiin (esimerkiksi SWIFT VPN Box) tai internetiin (kun viimeksi mainittua sovelletaan internetpohjaiseen liittymään).

Vaatimus 1.1: Tietoturvapolitiikka

Johdon on annettava selkeät ohjeet liiketoiminnan tavoitteiden mukaisesti ja osoitettava tukea ja sitoutumista tietoturvaan laatimalla, hyväksymällä ja pitämällä voimassa tietoturvapolitiikka, jonka tavoitteena on tietoturvan ja kyberresilienssin hallinta koko organisaatiossa tietoturvallisuuteen ja kyberresilienssiin liittyvien riskien tunnistamisen, arvioinnin ja käsittelyn osalta. Politiikan on sisällettävä ainakin seuraavat osiot: tavoitteet, soveltamisala (mukaan lukien organisaatio, henkilöstö, omaisuudenhoito jne.), periaatteet ja vastuunjako.

Vaatimus 1.2: Sisäinen organisaatio

Organisaation tietoturvapolitiikan täytäntöönpanoa varten on luotava tietoturvallisuuden viitekehys. Johdon on koordinoitava ja tarkasteltava tietoturvallisuuden viitekehyksen luomista sen varmistamiseksi, että (vaatimuksen 1.1 mukainen) tietoturvapolitiikka pannaan täytäntöön koko organisaatiossa, mukaan lukien riittävien resurssien osoittaminen ja turvallisuuteen liittyvien vastuiden osoittaminen tätä tarkoitusta varten.

Vaatimus 1.3: Ulkopuoliset tahot

Organisaation tiedon ja tietojenkäsittely-ympäristön tietoturva ei saisi heikentyä ulkopuolisten tahojen tai niiden tarjoamien tuotteiden tai palvelujen käyttämisen vuoksi tai sen johdosta, että organisaation toiminta on niistä riippuvainen. Ulkopuolisten tahojen pääsyä organisaation tietojenkäsittely-ympäröön on valvottava. Jos ulkopuolisten tahojen tai niiden tuotteiden/palvelujen edellytetään pääsevän organisaation tietojenkäsittely-ympäristöön, on suoritettava riskinarviointi tietoturvallisuuteen liittyvien vaikutusten ja kontrollien määrittämiseksi. Kontrolleista on sovittava ja ne on määriteltävä kunkin asianomaisen ulkopuolisen tahon kanssa tehtävässä sopimuksessa.

Vaatimus 1.4: Suojattavan omaisuuden hallinta

Kaikki maksutapahtumaketjun piiriin kuuluvat tietovarannot, liiketoimintaprosessit ja niiden perustana olevat tietojärjestelmät, kuten käyttöjärjestelmät, infrastruktuurit, liiketoimintasovellukset, käyttövalmiit tuotteet, palvelut ja käyttäjän kehittämät sovellukset, on otettava huomioon, ja niillä on oltava nimetty omistaja. Vastuut liiketoimintaprosessien ja IT-komponenttien asianmukaisten kontrollien ylläpitämisestä ja toiminnasta tietoaineistojen suojaamiseksi tulee määrittää. Huomautus: omistaja voi tarvittaessa delegoida tiettyjen kontrollien toteuttamisen, mutta vastuu suojattavasta kohteesta säilyy omistajalla.

Vaatimus 1.5: Tietoaineistojen luokittelu

Tietoaineistojen luokittelussa otetaan huomioon niiden kriittisyys osallistujan hoitaman palvelun toimituksen häiriöttömyyden kannalta. Luokituksessa ilmoitetaan suojaamisen tarve, prioriteetit ja suojaustaso tietoaineistojen käsittelemiseksi asiaankuuluvissa liiketoimintaprosesseissa, ottaen huomioon myös perustana olevat tietotekniset komponentit. Johdon hyväksymää tietoaineistojen luokittelujärjestelmää käytetään asianmukaisten kontrollien määrittelyyn tietoaineistojen suojaamisessa koko tiedon elinkaaren ajan (mukaan lukien tietoaineistojen poistaminen ja tuhoaminen) ja erityisten käsittelytoimenpiteiden tarpeesta ilmoittamiseen.

Vaatimus 1.6: Henkilöstö ja turvallisuus

Turvallisuutta koskevat vastuut on otettava huomioon ennen työhönottoa asianmukaisissa toimenkuvauksissa sekä palvelussuhteen ehdoissa. Kaikkien työnhakijoiden, sopimuskumppanien ja kolmansien osapuolten käyttäjien osalta on tehtävä asianmukaiset selvitykset, etenkin kun kyse on arkaluonteisista tehtävistä. Tietojenkäsittely-ympäristöä käyttävien työntekijöiden, sopimuskumppanien ja kolmansien osapuolten käyttäjien on allekirjoitettava sopimus, joka koskee heidän turvallisuuteen liittyviä tehtäviään ja vastuitaan. Työntekijöiden, sopimuskumppanien ja kolmansien osapuolien osalta on varmistettava riittävä tietoisuus, ja heille on tarjottava koulutusta ja opastusta tietoturvatoimenpiteistä ja tietojenkäsittely-ympäristön käytöstä mahdollisten tietoturvariskien minimoimiseksi. Työntekijöitä varten on otettava käyttöön muodollinen kurinpitomenettely tietoturvarikkomusten käsittelyä varten. On määriteltävä vastuut sen varmistamiseksi, että työntekijän, sopimuskumppanin tai kolmannen osapuolen käyttäjän poistuminen organisaatiosta tai siirto organisaation sisällä tapahtuu hallitusti ja että kaikki laitteet palautetaan ja kaikki käyttöoikeudet poistetaan.

Vaatimus 1.7: Fyysinen turvallisuus ja ympäristön turvallisuus

Kriittiset tai arkaluonteiset tietojenkäsittely-ympäristöt on sijoitettava määritellyillä turvallisuusvyöhykkeillä suojatuille alueille, joissa on asianmukaiset turvallisuusesteet ja pääsynvalvonta. Ne on suojattava fyysisesti luvattomalta pääsyltä, vahingoittumiselta ja häiriöiltä. Pääsy on myönnettävä vain henkilöille, jotka kuuluvat vaatimuksen 1.6 soveltamisalaan. Tietoaineistoja sisältävien fyysisten tallennusvälineiden suojaamiseksi on otettava käyttöön kuljetuksen aikana noudatettavat toimintatavat ja standardit.

Laitteet on suojattava fyysisiltä ja ympäristöön liittyviltä uhkilta. Laitteiden (mukaan lukien muualla kuin paikan päällä käytettävät laitteet) suojaaminen ja omaisuuden poisvienniltä suojautuminen on tarpeen luvattoman tiedonsaannin riskin vähentämiseksi ja laitteiden tai tietojen suojaamiseksi katoamiselta tai vahingoittumiselta. Erityistoimenpiteitä voidaan tarvita fyysisiltä uhkilta suojautumiseksi ja tukitoimintojen, kuten sähkönsyöttö- ja kaapelointi-infrastruktuuri, turvaamiseksi.

Vaatimus 1.8: Operatiivinen johto

Tietojenkäsittelyjärjestelmien hallinnointia ja käyttöä varten on vahvistettava vastuut ja menettelyt siten, että ne kattavat kaikki maksutapahtumaketjuun kuuluvat järjestelmät päästä päähän.

Ylläpitokäytännöt, mukaan lukien tietoteknisten järjestelmien tekninen hallinnointi, on toteutettava siten, että tehtävät voidaan tarvittaessa erottaa toisistaan järjestelmän huolimattoman tai tahallisen väärinkäytön riskin pienentämiseksi. Jos tehtäviä ei voida erottaa toisistaan dokumentoitujen objektiivisten syiden vuoksi, korvaava valvonta on toteutettava formaalin riskianalyysin jälkeen. On otettava käyttöön kontrollit, joilla estetään ja havaitaan haitallisten koodien käyttöönotto maksutapahtumaketjussa. On otettava myös käyttöön kontrollit (mukaan lukien käyttäjien tietoisuuden lisääminen) haitallisten koodien torjumiseksi, havaitsemiseksi ja poistamiseksi. Mobiilikoodia saa käyttää ainoastaan luotettavista lähteistä (esim. allekirjoitetut Microsoftin COM-komponentit ja Java Applets). Selaimen konfigurointia (esim. laajennusten ja liitännäisten käyttöä) on valvottava tiukasti.

Johdon on pantava täytäntöön datan varmuuskopiointia ja tietojen palauttamista koskevat toimintaperiaatteet, joiden tulee sisältää suunnitelma palautusmenettelystä, joka testataan säännöllisesti, kuitenkin vähintään vuosittain.

Maksujen turvallisuuden kannalta kriittisiä järjestelmiä on seurattava ja tietoturvaan liittyvät tapahtumat tallennettava. Käyttäjälokia on käytettävä sen varmistamiseksi, että tietojärjestelmään liittyvät ongelmat havaitaan. Käyttäjäloki on tarkistettava säännöllisesti operaatioiden kriittisyyden perusteella otannan pohjalta. Järjestelmän valvontaa tulee käyttää maksujen turvallisuuden kannalta kriittisenä pidettävien kontrollien tehokkuuden tarkastamiseen ja pääsynvalvonnan toimintaperiaatteiden mallin noudattamisen tarkastamiseen.

Organisaatioiden välisen tietojenvaihdon on perustuttava muodolliseen tietojenvaihtopolitiikkaan, joka toteutetaan asianomaisten osapuolten välillä tiedonvaihdosta tehtyjen sopimusten mukaisesti ja jonka on oltava asiaankuuluvan lainsäädännön mukainen. Tietojenvaihdossa TARGET2-järjestelmän kanssa käytettävien kolmannen osapuolen ohjelmistokomponenttien (kuten ohjelmistot, jotka on saatu palvelukeskukselta TARGET2-itsearviointitodistusta koskevan asiakirjan soveltamisalaa koskevan osion skenaariossa 2 kuvatulla tavalla), käytön tulee perustua kolmannen osapuolen kanssa tehtyyn muodolliseen sopimukseen.

Vaatimus 1.9: Pääsynvalvonta

Pääsyn tietoaineistoihin on perustuttava liiketoiminnan vaatimuksiin (tiedonsaantitarve (1)) ja vakiintuneisiin toimintaperiaatteisiin (tietoturvapolitiikka mukaan lukien). Selkeät pääsynvalvontaa koskevat säännöt on määriteltävä suppeimpien oikeuksien (2) periaatteen pohjalta, jotta ne vastaisivat tarkoin asianomaisten liiketoiminta- ja IT-prosessien tarpeita. Loogisen pääsynvalvonnan tulisi soveltuvin osin (esim. varmuuskopioiden hallintaa varten) olla johdonmukainen fyysisen pääsynvalvonnan kanssa, ellei käytössä ole riittäviä kompensoivia kontrolleja (esim. salaus, henkilötietojen anonymisointi).

Käytössä on oltava muodolliset ja dokumentoidut menettelyt, joilla valvotaan käyttöoikeuksien myöntämistä maksutapahtumaketjun piiriin kuuluviin tietojärjestelmiin ja palveluihin. Menettelyjen on katettava kaikki pääsyhallinnan koko elinkaaren vaiheet uusien käyttäjien rekisteröinnistä niiden käyttäjien lopulliseen rekisteristä poistamiseen, jotka eivät enää tarvitse pääsyä.

Erityishuomiota on tarvittaessa kiinnitettävä sellaisten käyttöoikeuksien myöntämiseen, jotka ovat niin kriittisiä, että niiden väärinkäyttö voi aiheuttaa vakavia haittavaikutuksia osallistujan toiminnalle (esim. pääsyoikeudet, jotka mahdollistavat järjestelmänhallinnan, järjestelmän rajoitusten ohittamisen tai suoran pääsyn liiketoimintatietoihin).

Asianmukaiset kontrollit käyttäjien tunnistamiseksi, todentamiseksi ja valtuuttamiseksi on otettava käyttöön tietyissä organisaation tietoverkon kohdissa, esimerkiksi maksutapahtumaketjuun kuuluvien järjestelmien paikallisen käytön ja etäkäytön osalta. Vastuuvelvollisuuden varmistamiseksi henkilökohtaisia tilejä ei saa jakaa.

Salasanoja koskevat säännöt on laadittava ja niitä on valvottava erityisillä kontrolleilla sen varmistamiseksi, ettei salasanoja voida helposti arvata, esimerkiksi monimutkaisuutta koskevat säännöt ja määräaikaiset voimassaoloajat. On laadittava turvallinen salasanan palautus- ja/tai nollauskäytäntö.

Kryptografisten kontrollien käytöstä on laadittava ja pantava täytäntöön toimintaperiaatteet tietojen luottamuksellisuuden, aitouden ja eheyden suojaamiseksi. Avaintenhallinnan periaatteet on laadittava tukemaan kryptografisia kontrolleja.

Luottamuksellisten tietojen katseluun näytöllä tai tulostettuina on sovellettava toimintaperiaatteita (esim. puhtaan näytön ja puhtaan pöydän politiikka), jotta voidaan vähentää riskiä luvattomastan pääsystä tietoon.

Etätyön yhteydessä on otettava huomioon riskit, joita aiheutuu työskentelystä suojaamattomassa ympäristössä, ja asianmukaisia teknisiä ja organisatorisia kontrolleja on sovellettava.

Vaatimus 1.10: Tietojärjestelmien hankinta, kehittäminen ja ylläpito

Tietoturvavaatimukset on yksilöitävä ja niistä on sovittava ennen tietojärjestelmien kehittämistä ja/tai käyttöönottoa.

Sovelluksiin (mukaan lukien käyttäjien kehittämät sovellukset) tulee rakentaa asianmukaiset kontrollit oikean toiminnan varmistamiseksi. Näihin kontrolleihin on sisällyttävä syöttötietojen (input), sisäisen käsittelyn ja tulostettavien (output) tietojen tarkistus. Lisäkontrolleja voidaan tarvita järjestelmissä, jotka käsittelevät arkaluonteisia, arvokkaita tai kriittisiä tietoja tai vaikuttavat niihin. Tällaiset kontrollit on määritettävä tietoturvavaatimusten ja riskinarviointien perusteella toimintaperiaatteiden mukaisesti (esim. tietoturvapolitiikka, kryptografiset periaatteet).

Uusien järjestelmien toiminnalliset vaatimukset on laadittava, dokumentoitava ja testattava ennen niiden hyväksymistä ja käyttöä. Verkkojen tietoturvallisuuden osalta olisi toteutettava asianmukaiset kontrollit, mukaan lukien segmentointi ja tietoturvallinen hallinnointi, jotka perustuvat tietovirtojen kriittisyyteen ja verkkovyöhykkeiden riskitasoon organisaatiossa. Julkisten verkkojen kautta kulkevan arkaluonteisen tiedon suojaamiseksi on toteutettava erityisiä kontrolleja.

Pääsyä järjestelmätiedostoihin ja ohjelman lähdekoodiin on rajoitettava ja IT-projektit ja tukitoimet on toteutettava turvallisesti. On huolehdittava siitä, etteivät arkaluonteiset tiedot paljastu testiympäristöissä. Projekti- ja tukiympäristöjä on valvottava tiukasti. Tuotantoon tehtyjen muutosten käyttöönottoa on valvottava tarkasti. Tuotantoon toteutettavista merkittävistä muutoksista on tehtävä riskinarviointi.

Tuotannossa olevien järjestelmien säännölliset tietoturvatestit on myös suoritettava ennalta määritellyn riskinarvioinnin tuloksiin perustuvan suunnitelman mukaisesti, ja tietoturvatestien tulee sisältää ainakin haavoittuvuuksien kartoitus. Kaikki tietoturvatestien aikana esiin tuodut puutteet on arvioitava, ja havaittujen puutteiden korjaamiseksi on laadittava toimintasuunnitelmat ja jatkotoimenpiteet toteutettava viipymättä.

Vaatimus 1.11: Tietoturva suhteissa toimittajiin (3)

Osallistujan sisäisten tietojärjestelmien, joihin toimittajilla on pääsy, suojaaminen on varmistettava siten, että tietoturvavaatimukset toimittajan pääsyyn liittyvien riskien vähentämiseksi dokumentoidaan ja niistä sovitaan muodollisesti toimittajan kanssa.

Vaatimus 1.12: Tietoturvapoikkeamien hallinta ja parannukset

Johdonmukaisen ja tehokkaan lähestymistavan varmistamiseksi Tietoturvapoikkeamien hallintaan (mukaan lukien tietoturvatapaukset ja heikkoudet) sovellettava johdonmukainen ja tehokas lähestymistapa on varmistettava siten, että määritellään ja testataan roolit, vastuut ja toimintatavat liiketoiminnan tasolla ja teknisellä tasolla, jotta varmistetaan nopea, tehokas, hallittu ja turvallinen toipuminen tietoturvapoikkeamasta, mukaan lukien kyberturvallisuuteen liittyvät skenaariot (esim. ulkoisen hyökkääjän tai sisäpiirin toteuttama petos). Näihin menettelyihin osallistuva henkilöstö on koulutettava asianmukaisesti.

Vaatimus 1.13: Teknisen vaatimuksenmukaisuuden arviointi

Osallistujan sisäisten tietojärjestelmien (esim. back office -järjestelmät, sisäverkot ja ulkoiset verkkoyhteydet) noudattamista arvioidaan säännöllisesti organisaation vakiintuneiden toimintaperiaatteiden mukaisesti (esim. tietoturvapolitiikka, kryptografiset periaatteet).

Vaatimus 1.14: Virtualisointi

Vierailevien virtuaalikoneiden on noudatettava kaikkia fyysisille laitteille ja järjestelmille (esim. kovennus, lokimerkinnät) asetettuja tietoturvakontrolleja. Virtualisointialustoihin liittyvien kontrollien on pidettävä sisällään virtualisointialustan ja isännöintikäyttöjärjestelmän kovennukset, säännölliset päivitykset ja eri ympäristöjen tiukan erottamisen toisistaan (esim. tuotanto ja kehitys). Keskitetty hallinnointi, lokiinkirjaus ja valvonta sekä käyttöoikeuksien hallinnointi, erityisesti kun on kyse etuoikeutetuista tileistä, toteutetaan riskinarvioinnin perusteella. Saman virtualisointialustan hallinnoimilla vierailevilla virtuaalikoneilla on oltava samankaltainen riskiprofiili.

Vaatimus 1.15: Pilvipalvelut

Julkisten ja/tai hybridipilvipalveluratkaisujen käytön maksutapahtumaketjussa on perustuttava formaaliin riskinarviointiin, jossa otetaan huomioon pilvipalveluratkaisuun liittyvä tekniset kontrollit ja sopimuslausekkeet.

Jos käytetään hybridipilvipalveluratkaisuja, koko järjestelmän kriittisyystaso on se, joka on yhdistettyjen järjestelmien keskuudessa korkein. Kaikki toimitiloissa (On-Premise) olevat hybridipilvipalvelun komponentit on erotettava toimitiloissa olevista muista järjestelmistä.

Liiketoiminnan jatkuvuuden hallinta (koskee vain kriittisiä osallistujia)

Seuraavat vaatimukset (2.1–2.6) liittyvät liiketoiminnan jatkuvuuden hallintaan. Jokaisella TARGET2-osallistujalla, jonka eurojärjestelmä on luokitellut kriittiseksi TARGET2-järjestelmän moitteettoman toiminnan kannalta, on oltava käytössä liiketoiminnan jatkuvuutta koskeva strategia, joka sisältää seuraavat osatekijät: