Kartoita järjestelmän arkkitehtuuri ja käyttötapaukset
- Tunnista potentiaaliset heikkoudet ja hyökkäyspinta-ala
- Tunnista niihin liittyvät riskit kaikki vaaratekijät huomioiden
Tietoturva Nyt!
Julkaistu
NIS 2 -direktiivi velvoittaa monia toimijoita riskienhallintaan omissa organisaatioissaan. Uhka-analyysin teko ja uhkamallinnuksen käyttöönotto ja ajan tasalla pitäminen tarjoavat järjestelmällisen menetelmän kyberturvallisuusriskien tunnistamiseen ja varautumiseen.
Uhka-analyysin ja uhkamallinnuksen avulla on mahdollista ennalta varautua kyberturvallisuusriskeihin, joita viestintäverkkojen ja tietojärjestelmien luottamuksellisuuteen, aitouteen, eheyteen ja saatavuuteen saattaa kohdistua.
Uhka-analyysi ja uhkamallinnus ovat ennen kaikkea varautumisen työkaluja. Niiden tavoitteena on parantaa järjestelmän tai tuotteen turvallisuutta ja varmistaa liiketoiminnan jatkuvuus poikkeaman sattuessa.
NIS 2 -direktiivissä viestintäverkkoihin ja tietojärjestelmiin sekä niiden fyysiseen ympäristöön kohdistuvat riskit tulisi tunnistaa kaikki vaaratekijät huomioiden. Samaa periaatetta kannattaa noudattaa myös uhka-analyysissä ja uhkamallinnuksessa. Uhkatekijöitä tunnistaessa kannattaa kyberuhkan lisäksi huomioida myös sisäpiirin uhka, ulkoinen uhka kuten sään ääri-ilmiöt tai yhteiskunnallinen tapahtuma sekä fyysinen uhka kuten murtovarkaus.
Uhka-analyysillä tunnistat ennalta toiminnan suurimmat riskit
Järjestelmällisellä uhka-analyysillä organisaatiot voivat ennalta tunnistaa ja määrittää, mitkä uhkat edustavat suurimpia riskejä toiminnalle. Uhka-analyysissä kuvaillaan mahdollisia hyökkäyksiä, uhkatoimijoita ja haavoittuvuuden hyödyntämiseen käytettyjä menetelmiä sekä onnistuneiden hyökkäysten seurauksia.
Osana uhka-analyysiä tunnistetaan viestintäverkkojen ja tietojärjestelmien haavoittuvuudet ja analysoidaan haavoittuvuuksien hyödyntämisen todennäköisyys. Analyysiin voi sisältyä myös haavoittuvuuden hyödyntämisestä aiheutuneiden kustannusten arviointi ja mahdollisten vastatoimenpiteiden kustannukset sekä analyysin tuloksena valittu oikeasuhtainen hallintakeino.
Uhka-analyysin toteuttaminen tarjoaa organisaatiolle valmiin suunnitelman toimenpiteistä riskin lieventämiseksi. Uhka-analyysi konkretisoi riskit ja auttaa sopivien ja kustannustehokkaiden hallintakeinojen valinnassa. Tiedetään ennalta miltä suojaudutaan ja miten suojaudutaan. Valmiiksi suunnitellut hallintakeinot on mietitty organisaation tarpeisiin ja ne voi ottaa nopeasti käyttöön.
Näin se tehdään:
- Listaa mahdolliset hyödynnettävät haavoittuvuudet
- Kuvaile uhkatekijät, arvioi kyvykkyys ja motiivi
- Listaa haavoittuvuuden hyödyntämiseen käytettävät menetelmät
- Arvioi onnistuneen hyökkäyksen seuraukset
- Arvioi hyökkäyksen aiheuttamat kustannukset
- Arvioi hallintakeinojen aiheuttamat kustannukset
- Suunnittele haavoittuvuuden hyödyntämisen torjuntaan tarvittavat hallintakeinot
Uhkamallinnus tietojärjestelmän haavoittuvuuksien tunnistamisessa
Uhka-analyysin avulla muodostettua yleiskuvaa voidaan täydentää ja tarkentaa uhkamallinnuksella. Sen avulla kartoitetaan järjestelmän tai ohjelmiston hyökkäysrajapinnat ja mallinnetaan järjestelmään kohdistuvat uhkat. Uhkamallinnus kannattaa tehdä yhdelle tietojärjestelmälle tai ohjelmistolle kerrallaan.
Uhkamallinnus on erityisen tehokasta uutta järjestelmää hankkiessa ja toteutettaessa. Jatkuva uhkamallinnus edistää kustannustehokkaiden ja turvallisten ratkaisujen toteuttamisen. Tällä tavalla turvallisuus on rakennettu sisälle tietojärjestelmään ja ohjelmistoon. Menetelmä auttaa toimijaa varmistumaan hankinnan, kehittämisen ja ylläpidon turvallisuudesta, joka on yksi NIS 2 -direktiivin riskienhallinnan toimenpiteistä.
Uhkamallinnusta kannattaa tehdä jatkuvasti järjestelmän tai ohjelmiston elinkaaren eri vaiheissa. Tuotekehityksen aikana luodun uhkamallinnuksen ajantasaisuutta on hyvä arvioida ylläpitovaiheessa, kun järjestelmään on tehty muutoksia ja uusia toiminnallisuuksia on otettu käyttöön. Uhkamallinnuksen voi tehdä jo käytössä olevalle järjestelmälle. Tämä auttaa myös arvioimaan järjestelmän turvallisuusominaisuuksien ajantasaisuutta ja päivitystarvetta.
Tietojärjestelmää ja ohjelmistoa suunnitellessa ja toteutettaessa on mietittävä mitä riskejä toiminnallisuuteen liittyy ja miten riskejä hallitaan.
Analysoi ja käsittele riskit
- Uhkan todennäköisyys ja vaikuttavuus
- Suojaavat hallintakeinot
Toteuta hallintakeinot
- Turvallinen toteutus hyökkäyspinnan pienentämiseksi
- Jäännösriski hyväksyttävällä tasolla
Uhkamallinnusta toteuttaessa voi pohtia myös seuraavia asioita:
- Minkä toiminnallisuuden sisällöstä emme voi olla täysin varmoja?
- Ovatko mahdolliset suunnittelu-, toteutus- tai käyttövirheet huomioitu?
- Mitä riskejä tunnistetaan?
- Mitkä tapahtumaketjut ovat realistisia?
- Millaisia suojauksia toiminnallisuudella jo on?
- Mitä suojauksia on aikaisemmin valittu onnistuneesti?
Uhkamallinnus on aina kuvaus sen hetkisestä tilanteessa ja mallinnusmenetelmät kehittyvä aikaa myöten. Tietojärjestelmien ja ohjelmiston riskeihin ja haavoittuvuuksiin sisältyy aina asioita, joita ei tiedetä eikä tunnisteta. Tällaiset seikat liittyvät tyypillisesti järjestelmien toimitusketjuun tai toimintaan erilaisissa häiriötilanteissa. Tietojärjestelmän tai ohjelmiston muuttuessa uhkapinta-ala elää tehtyjen muutosten mukana. Siksi uhkamallinnuksen toteuttaminen jatkuvana toimintona on tärkeää.
Lisää konkreettisia esimerkkejä uhkamallinnuksesta:
Kyberturvallisuuskeskuksen palvelut havainnointikyvyn tukena
Traficomin suositus riskienhallinnan tukena
Traficomin suositusluonnosta NIS-valvoville viranomaisille kyberturvallisuuden riskienhallinnan toimenpiteistä voi käyttää riskienhallinnan suunnittelussa ja luettelona vaihtoehtoisista hallintakeinoista. Suosituksen hallintatoimenpiteet noudattelevat yleisiä toimintatapoja ja ne soveltuvat myös pienempien organisaatioiden käyttöön.
Lue lisää
Seuraavat NIS2-direktiiviä käsittelevä TTN! uutisemme käsittelee poikkeaman havaitsemista. Lue edelliset uutiset perustason tietoturvakäytännöistä, kyberturvallisuuden riskienhallinnasta ja hankintojen ja toimitusketjujen turvallisuudesta.