Osa-alue Tarkastuskohdat (1) Säännökset Todisteet

Organisatorinen ja fyysinen turvallisuus A.6 Tietoturvallisuuden organisointi — A.6.1 Sisäinen organisaatio — A.6.2 Mobiililaitteet ja etätyö A.7 Henkilöstöturvallisuus — A7.1 Ennen työsuhdetta — A7.2 Työsuhteen aikana — A7.3 Työsuhteen päättyessä ja tehtävien muuttuessa A.11 Fyysinen ja ympäristön turvallisuus — A.11.1 Turva-alueet — A.11.2 Laitteet Kohdat A.6 and A.11: Tietovaraston on sijaittava fyysisesti EU:n alueella. Tietoja ei saa tallentaa kolmanteen maahan eikä siirtää kolmanteen maahan. (Direktiivin 2014/40/EU 15 artiklan 8 kohta) Tietovarastoa on valvottava turvallisuusmenettelyillä ja -järjestelmillä, joilla varmistetaan, että pääsy tietovarastoon on ainoastaan jäsenvaltioiden toimivaltaisilla viranomaisilla, komissiolla ja ulkoisilla tarkastajilla. Kohta A.7: Tietovaraston tarjoajan ja sen mahdollisten alihankkijoiden on oltava riippumattomia ja hoidettava tehtävänsä puolueettomasti. Sovellettavat vaatimukset koskevat oikeudellista riippumattomuutta, taloudellista riippumattomuutta ja eturistiriidattomuutta. (Täytäntöönpanoasetuksen (EU) 2018/574 35 artikla) Käytössä oleva organisaation organisaatiokaavio, avainhenkilöstön allekirjoittamat toimenkuvaukset, suoritettu kulloisiinkin tehtäviin liittyvä koulutus. Luettelo nimityksistä (keskustietojärjestelmien tietoturvavastaava, tietosuojavastaava jne.) ja kuvaus turvallisuustehtäviin liittyvistä vastuista ja tehtävistä. Todisteet henkilöstön osallistumisesta koulutukseen (esim. hyväksytty kutsu, koulutuksen päivämäärä ja ohjelma, allekirjoitettu osallistumisluettelo tietoisuuskoulutuksen aikana jne.). Henkilöstöturvallisuuden periaatteiden/menettelyjen tarkistaminen ja päivittäminen säännöllisesti (menettelykirjanpito). Fyysisten turvatoimien ja ympäristön valvonnan perustason toteutus, kuten ovien ja kaappien lukot, murtohälytys, palohälyttimet, palonsammuttimet, kameravalvonta jne. Luettelo henkilöstöstä, jolla on pääsytunnukset ja valtuutukset. Dokumentoidut toimintaperiaatteet fyysisiä turvatoimia ja ympäristön valvontaa varten, mukaan lukien kuvaus kyseeseen tulevista tiloista ja järjestelmistä. Yksityiskohtainen luettelo hallinnollisissa tarkoituksissa käytetyistä laitteistoresursseista.

Käyttövarmuus A.12 Käyttövarmuus — A.12.1 Toimintamenetelmät ja -vastuut — A.12.3 Varmistusmekanismit — A.12.4 Kirjautuminen ja valvonta — A.12.5 Käyttöohjelmistojen valvonta — A.12.6 Teknisen haavoittuvuuden hallinta Kohta A.12.3: Kaikille tietovaraston osille ja palveluille on oltava riittävät varmistusmekanismit. (Täytäntöönpanoasetuksen (EU) 2018/574 25 artiklan 1 kohdan i alakohta) Kohta A.12.4: Tietovaraston on ylläpidettävä täydellistä kirjausketjua kaikista tallennettuja tietoja koskevista toiminnoista, toimintoja suorittavista käyttäjistä ja toimintojen luonteesta, mukaan lukien käyttöpäiväkirja. (Täytäntöönpanoasetuksen (EU) 2018/574 25 artiklan 1 kohdan m alakohta) Tapahtumien ja kirjautumisten todisteet: — sisään- ja uloskirjausyritykset (sekä onnistuneet että epäonnistuneet yritykset) — tietokantapalvelimen uudelleenkäynnistyminen — käyttäjien antamat komennot, jotka on annettu järjestelmän hallinnoijan oikeuksin — eheyden loukkauksen yritykset (joissa muutetut tai syötetyt tiedot eivät vastaa viiterajoitetta, erilaisuusvaatimusta tai tarkistusrajoitetta) — valinta-, syöttö-, päivitys- ja poistotoiminnot — tallennetut menettelyt — epäonnistuneet yritykset päästä (käyttövaltuutuksin) tietokantaan tai taulukkoon — muutokset systeemitaulustoon Turvallisuuden varmistamismenettely, joka on asianmukaisesti dokumentoitu ja jonka ylin johto on hyväksynyt. Selkeästi määritelty vähimmäistason turvallisuuden varmistamismenettely. Luettelo kaikista kolmansien osapuolten kanssa tehdyistä sopimuksista (2). IT-tuotteita, IT-palveluja, ulkoistettuja liiketoimintaprosesseja, tukipalveluja jne. tarjoavien kolmansien osapuolten kanssa tehtyihin sopimuksiin sisältyvät nimenomaiset turvallisuusvaatimukset. Dokumentoidut turvallisuusperiaatteet kolmansien osapuolten kanssa tehtäviä sopimuksia varten. Turvallisuusperiaatteiden dokumentoidut tarkistukset tai muutoslokit. Käytössä pidettävät myyjiin sovellettavat riskinarviointi- ja riskinhallintaperiaatteet ja/tai -menettelyt. Kolmansien osapuolten kanssa solmittujen suhteiden dokumentoidut muutokset tai päättäminen. Raportit asiaa koskevista tietoisuus- ja koulutustilaisuuksista. Järjestelmät, välineet ja menettelyt poikkeamien havaitsemiseksi ja analysoimiseksi. Dokumentoidut toimintaperiaatteet poikkeamien havaitsemista ja analysointia varten, mukaan lukien tarkoitus, soveltamisala, tehtävät ja vastuut sekä koordinointi kaikkien asiaan liittyvien tahojen välillä, mukaan lukien asiakkaat. Aiempien tietoturvapoikkeamien havaitsemiseen ja eskaloitumiseen liittyvät raportit. Ajan tasalla oleva dokumentaatio poikkeamien havaitsemiseen sovellettavista periaatteista ja tähän liittyvistä menettelyistä ja järjestelmistä. Luettelo merkittävistä aiemmin havaituista ja eskaloituneista poikkeamista ja kaikki niihin liittyvät tiedot (syy, vaikutus, toteutettujen toimien järjestys). Todisteet aiemmin suoritetuista kyberharjoituksista, mukaan lukien niiden suorittamispäivät.

Pääsynvalvonta (käyttäjät ja sovellukset) A.9 Pääsynvalvonta — A.9.1 Pääsynvalvontaan sovellettavat liiketoiminnalliset vaatimukset — A.9.2 Käyttäjäoikeuksien hallinta — A.9.3 Käyttäjän velvollisuudet — A.9.4 Järjestelmien ja sovellusten pääsynvalvonta A.14 Järjestelmän hankinta, kehittäminen ja ylläpito — A.14.2 Turvallisuus kehitys- ja tukiprosesseissa Kohta A.9: Pääsy tietojärjestelmiin ja niihin tallennettuihin tietoihin saa olla vain jäsenvaltioilla, Euroopan komissiolla ja hyväksytyillä ulkoisilla tarkastajilla. (Direktiivin 2014/40/EU 15 artiklan 8 kohta; täytäntöönpanoasetuksen (EU) 2018/574 25 artiklan 1 kohdan j alakohta) Pääsynvalvonnan periaatteet, mukaan lukien kuvaus tehtävistä, ryhmistä, käyttöoikeuksista sekä tietojärjestelmiin pääsyä koskevan oikeuden myöntämis- ja peruuttamismenettelyistä. Sovellettavan säännön määrittely käyttämättömien tilien poistamiseksi lyhyen ajan kuluttua. Pääsynvalvontaan liittyvät matriisit (esim. valvontamatriisi tehtävien erillään pitämiseen, etäkäytön valvontaan jne.). Pääsynvalvonnan periaatteisiin/menettelyihin sisällytetty käyttöoikeuksia koskeva osio. Pääsynvalvonnan periaatteisiin sisältyy kyseeseen tulevien resurssien ja/tai prosessien käyttöoikeuksien kartoitusrekisteri. Asianomaiselle henkilöstölle myönnetyt räätälöidyt ja dokumentoidut hallinnoijan tilit erityisine käyttöoikeuksineen. Hallinnoijan tilien dokumentoitu hallinnointi. Hallinnoijan tilien lokitiedot saatavilla. Hallinnon tietojärjestelmät erotettu erilleen muusta infrastruktuurista häiriönsietokyvyn parantamiseksi. Virallisesti dokumentoidut ohjelmistovaatimukset yhteensopivuuden varmistamiseksi.

Tietoliikenneturvallisuus A.10 Salaus — A.10.1 Salaustekniikkaa hyödyntävä valvonta A.13 Tietoliikenneturvallisuus — A.13.1 Verkkoturvallisuuden hallinta — A.13.2 Tiedonsiirto Kohta A.13: Ensisijaisten tietovarastojen ja toissijaisen tietovaraston ja reitittimen välisen tiedonvaihdon on tapahduttava toissijaista tietovarastoa operoivan tarjoajan ilmoittamien teknisten eritelmien mukaisesti. (Täytäntöönpanoasetuksen (EU) 2018/574 28 artiklan 1 kohta) Kaikki sähköinen viestintä on toteutettava käyttäen suojattuja välineitä. Sovellettavien turvakäytäntöjen ja liitettävyyttä koskevien sääntöjen on perustuttava ei-omisteisiin avoimiin standardeihin. (Täytäntöönpanoasetuksen (EU) 2018/574 36 artiklan 1 kohta) Asianmukaiset salausmenetelmät ovat käytössä. Suojatoimet salaisen (yksityisen) avaimen tai avainten suojaamiseksi ovat käytössä. Järjestelmän konfiguraatiota koskevat periaatteet ja/tai menettelyt ovat käytössä ja niitä ylläpidetään. Järjestelmän konfiguraatiotaulukot. Järjestelmän konfiguraation tarkistusjaksojen aikataulu ja suunnitelma. Dokumentoidut aiemmat kriittisten tietojärjestelmien harjoitukset/testit. Turvallisuuskonfiguroinnin tarkistusten aikataulu ja suunnitelma. Dokumentaatio siitä, miten verkon ja järjestelmän sekä tietojen erillään pitäminen on toteutettu. Kriittisten verkko- ja tietojärjestelmien seurantaraportit. Dokumentoidut seurantamenettelyjä koskevat periaatteet, mukaan lukien seurannan vähimmäisvaatimukset. Todisteet olemassa olevista seurantajärjestelmien välineistä.

Toiminnan jatkuvuus A.16 Tietoturvapoikkeamien hallinta — A.16.1 Tietoturvapoikkeamien hallinta ja parannukset A.17 Jatkuvuudenhallinnan tietoturvanäkökohdat — A.17 Jatkuvuudenhallinnan tietoturvanäkökohdat — A.17.1 Tietoturvan jatkuvuus — A.17.2 Varajärjestelmät A.18 Vaatimustenmukaisuus — A.18.1 Lainsäädännön ja sopimusten vaatimusten noudattaminen Kohta A.17: Kaikkien tietovaraston osien ja palvelujen kuukausittaisen toiminta-ajan on oltava vähintään 99,5 prosenttia. (Täytäntöönpanoasetuksen (EU) 2018/574 25 artiklan 1 kohdan i alakohta) Tietojen siirrettävyys on turvattava sovellettavan yhteisen tietohakemiston mukaisesti. (Täytäntöönpanoasetuksen (EU) 2018/574 36 artiklan 2 kohta) Tarjoajalla on oltava sovellettava jatkuvuussuunnitelma. (Täytäntöönpanoasetuksen (EU) 2018/573 19 artikla) Kohta A.18.1: Tietojenkäsittelytoimissa on noudatettava asetusta (EU) 2016/679 (yleinen tietosuoja-asetus) ja ensisijaisen tietovaraston tarjoajan ja toissijaisen tietovaraston tarjoajan välillä tehtyä tietojenkäsittelysopimusta (Data Processing Agreement, DPA). Virallisesti dokumentoitu palvelun jatkuvuutta koskeva strategia, mukaan lukien keskeisten palvelujen ja prosessien palautusaikatavoitteet. Kriittisiä järjestelmiä koskevat jatkuvuussuunnitelmat, mukaan lukien selkeät vaiheet ja menettelyt yhteisiä uhkia varten, aktivoinnin käynnistävät tekijät, vaiheet ja palautusaikatavoitteet. Tiedot yksittäisistä koulutustoimista sekä tilaisuuksista laaditut raportit. Käytössä olevat toimenpiteet onnettomuuksien (esim. maanjäristyksien, tulvien ja tulipalojen) varalta, kuten muille alueille sijoitetut varajärjestelmät ja kriittisten tietojen varmuuskopiointi maantieteellisesti erillään datakeskuksen tiedonkeruusta ja -käsittelystä ja riittävän etäällä pääpaikassa tapahtuvasta onnettomuudesta vahinkojen välttämiseksi jne. Virallisesti dokumentoidut periaatteet/menettelyt palautumisvalmiuksien käyttöönottoa varten, myös luettelo palveluihin mahdollisesti vaikuttavista luonnonkatastrofeista ja/tai suuronnettomuuksista ja luettelo (joko sisäisesti saatavilla olevista tai kolmansien osapuolten tarjoamista) palautumisvalmiuksista. Tiedot palautumisoperaatioihin osallistuvan henkilöstön yksittäisistä koulutustoimista.