Lokipolitiikka - SecMeter

Sisältöön

Lokipolitiikka

Yritysturvallisuus > Tietoturvallisuus
Yrityksen lokipolitiikka on tietoturvapolitiikan liite, joka määrittelee vaatimukset tietojärjestelmien käytöstä syntyvien lokien käsittelylle. Politiikassa otetaan kantaa lokien suunnitteluun, kuvaamiseen, säilytystapaan ja -aikaan, lokien käsittelyyn liittyviin rooleihin sekä vastuisiin.

Eri järjestelmissä voi olla käytössä erilaisia prosesseja ja menettelyitä lokitietojen keräämiseksi, mutta kaikkien järjestelmien käytöstä tulee syntyä lokitiedot.

Tietoturvallisuuden ja tietosuojan kannalta lokitietojen käytettävyydellä on keskeinen merkitys. Tämän johdosta lokitietojen tallentamisen ja käsittelyn tulee olla suunnitelmallista.

Lainsäädäntö asettaa vaatimuksia lokitietojen käsittelylle mm. henkilötietolaki, julkisuuslaki, laki yksityisyyden suojasta työelämässä, sähköisen viestinnän tietosuojalaki sekä rikoslaki.

Lokipolitiikan tavoitteet
Lokipolitiikan tavoitteena on varmistaa tietojärjestelmien valvonta. Lokit ovat välttämättömiä tietojärjestelmän eheyden ja luottamuksellisuuden varmistamiseksi, poikkeamien havaitsemiseksi ja niiden korjaamiseksi sekä luotettavan tapahtumaketjun muodostamiseksi.

Lokitietojen määritelmä
Lokitiedoilla tarkoitetaan suojattavan tietojärjestelmän käsittelystä kerättäviä käyttäjäkohtaisia merkintöjä. Lokimerkintä kuvaa jonkin tapahtuman toteutumista kyseisellä hetkellä. Lokitiedot mahdollistavat aukottoman tapahtumaketjun kirjaamisen ja tapahtumien todentamisen.

Lokitietojen tehtävät

  • Toteuttaa käyttäjän oikeusturvan varmistamalla niiden henkilöiden oikeusturva, joiden tietoja käsitellään tietojärjestelmissä.
  • Tuottaa sähköistä todistusaineistoa mahdollisen rikosprosessin tueksi.
  • Edesauttaa tietoturvapoikkeamien selvittämistä.
  • Mahdollistaa teknisten virhetilanteiden selvittelyn.
  • Mahdollistaa tietojärjestelmien suorituskykyyn ja käytettävyyteen liittyvien tilastojen tuottamisen.

Lokien suunnittelu
Lokien suunnittelu on osa tietojärjestelmien suunnittelua. Suunnittelu toteutetaan riittävän aikaisin osana tietojärjestelmien määrittelyvaihetta tai osana ohjelmiston hankintaa. Lokitietojen käsittelyn on oltava tarpeeseen perustuvaa sekä ennalta määrätyllä tavalla toteutettua.

Lokien suunnitteluvaatimukset

  • Jokaisen muodostettavan lokin tavoite ja tarkoitus on määriteltävä ennakolta.
  • Lokitiedostojen ja -asetusten suunnittelussa on huomioitava lokitietojen keräys- ja analysointitarve.
  • Sovelluksen tuottaman lokitiedoston sisältö on määriteltävä ja kuvattava.
  • Lokien omistajuus on määriteltävä.
  • Lokien eheys on varmistettava
  • Lokien säilytysaika ja -tapa sekä lokien hävittämismenettely on määriteltävä.
  • Lokitietoihin oikeutetut käyttäjät on yksilöitävä ja tunnistettava.
  • Lokeille on määriteltävä käyttövaltuudet ja luvaton käyttö estettävä.
  • Lokitietojen käsittelyä on seurattava ja valvottava.
  • Lokitietojen käsittelystä tulee kirjautua asianmukaiset merkinnät lokijärjestelmän lokiin.

Lokitietojen käsittelyn periaatteet

  • Lokitietojen käsittely kattaa kaikki lokitiedoston elinkaareen liittyvät toimenpiteet.
  • Yrityksen tulee noudattaa tietojenkäsittelyssä hyvää tiedonhallintatapaa. Hyvä tiedonhallintatapa edellyttää, että yrityksen tietojärjestelmät tuottavat lokeja järjestelmien tapahtumista.
  • Yrityksen tulee tallentaa lokitietoja valvonta- ja selvitystarkoituksia varten. Valvontatarkoituksessa lokitietoja on seurattava säännönmukaisesti.
  • Havaintoihin reagoimiseksi on määritettävä tarpeelliset prosessit sekä tekniset valmiudet.

Lokien käsittely
Lokitiedot, joista ilmenee ainoastaan tietojärjestelmän teknisiä virhetilanne- tai muita yksinomaan järjestelmän tilaa kuvaavia tietoja ja jotka ovat yrityksen omia järjestelmiä voi käsitellä vapaasti yrityksen omien työnjohdollisten ohjeiden mukaisesti.

Käyttäjätietoja sisältävistä lokitiedoista muodostuu henkilörekisteri, jos lokitiedot sisältävät yksilöitävissä olevia henkilöitä koskevia merkintöjä. Näitä lokitietoja on käsiteltävä henkilötietolain edellyttämällä tavalla.

Tunnistamistietoja (esimerkiksi sähköposti- ja palomuurijärjestelmä) sisältävien lokitietojen käsittely on sallittua vain sähköisen viestinnän tietosuojalain edellyttämällä tavalla.

Oikeus lokitietojen käsittelyyn tulee perustua henkilön toimenkuvaan ja tehtävärooliin, jonka perusteella henkilölle annetaan asianmukainen perehdytys ja käyttövaltuus lokitietojen käsittelemiseksi.

Lokitietoja saa käsitellä vain

  • Järjestelmien teknisten vikojen ja häiriötilanteiden selvittämiseen.
  • Tietojen eheyttä ja luottamuksellisuutta vaarantavien väärinkäytösepäilyjen selvittämiseen.
  • Henkilörekisterien laillisen käyttötarkoituksen varmistamiseen.
  • Järjestelmän suorituskykyyn ja käytettävyyteen liittyvien tilastojen tuottamiseen.

Lokitietojen luovutus asiakkaalle
Asiakkaan pyytäessä viranomaiselta henkilörekisterisovelluksen lokitietoja, on tiedonsaantia koskeva pyyntö ratkaistava julkisuuslain (621/1999) 11 §:ssä säädetyllä tavalla. Jos lokituloste luovutetaan asiakkaalle, on lokitulosteeseen tehtävä julkisuuslain 25 §:ssä tarkoitettu salassapitomerkintä (salassa pidettävä).

Hakijalla, valittajalla sekä muulla, jonka oikeutta, etua tai velvollisuutta asia koskee (asianosainen), on oikeus saada asiaa käsittelevältä tai käsitelleeltä viranomaiselta tieto muunkin kuin julkisen asiakirjan sisällöstä, joka voi tai on voinut vaikuttaa hänen asiansa käsittelyyn.

Henkilötietolain mukainen käyttäjälokien tarkastusoikeus ei koske asiakkaita, koska tarkastusoikeus koskee vain niitä henkilöitä, joita koskevia tietoja tallentuu käyttäjälokiin. Julkisuuslain tiedonsaantioikeuden nojalla asiakkaalla on kuitenkin oikeus saada tietoonsa, kuka häntä koskevia tietoja on käsitellyt.

Jos asiakkaalla on perusteltu syy epäillä henkilörekisteririkkomusta tai rikosta itseään koskevien tietojen käsittelyssä on asiakkaalle luovutettava asiaa koskevat tarpeelliset lokitiedot. Jos yrityksen asiakas on jättänyt poliisille tutkintapyynnön, vastataan tietopyyntöön lokitietojen osalta siten kun poliisin tiedonsaantisäännökset edellyttävät.

Lokitietojen luovutus tietojärjestelmän käyttäjälle
Lokitietojen käsittelijän on luovutettava käyttäjälle henkilötietolain tarkastusoikeuden puitteissa käyttäjälokista henkilöä itseään koskevia lokitietoja. Lokitietojen käsittelijät eivät saa käsitellä tai luovuttaa käyttäjälokeista luottamuksellisia välitystietoja, ellei siihen ole erikseen laissa määriteltyä perustetta [Pakkokeinolaki 30.4.1987 N:o 450/1987].

Käyttäjälokien säilytysaika
Henkilötietolain 34 §:n mukaan henkilötiedot tulee hävittää sen jälkeen kun tiedot eivät ole rekisterinpitäjän kannalta tarpeellisia. Rekisterinpitäjän intressi lokirekisteritietojen säilyttämiseen kestää niin kauan kuin asiakkaalla on mahdollisuus esittää oikeudellisia vaatimuksia luvattomasta henkilötietojen käsittelystä.

Toimijoiden roolit ja vastuut
Lokien tarkoituksenmukainen ja tietoturvallinen hallinta edellyttää eri toimijoiden välistä yhteistoimintaa ja selkeää työnjakoa. Organisaatio määrittelee mitä lokeja seurataan, kuka seuraa ja miten seurataan. Lokitietojen käsittelijöiden on toimenpiteissään aina huomioitava rekisteröityjen, tietojärjestelmän käyttäjien sekä ylläpitäjien tietosuoja ja oikeusturva.

Johdon rooli ja vastuu
Asianmukaisten lokien olemassaolosta vastaa yrityksen johto. Johto vastaa siitä, että hankkeissa huomioidaan toiminnan tai järjestelmien lokitietovaatimukset. Johto varmistaa ohjauskäytännöillään, että lokit ja niiden sisältämät tiedot suojataan tietoihin kohdistuvien vaatimusten ja käyttäjien sekä rekisteröityjen oikeusturvan edellyttämällä tavalla.

Tietohallinnon rooli ja vastuu
Tietohallinnon esimiehen nimeämä henkilö hyväksyy lokitietojen käyttövaltuudet ja vastaa lokitietojen käytönvalvonnasta sekä poikkeamien raportoinnista.

  • Tietohallinto-osasto vastaa siitä, että lokitiedot tallennetaan.
  • Tietohallinto-osasto vastaa, että ylläpitäjät varmistavat lokien syntymisen suunnitellusti ja että niille on varattu riittävästi tallennustilaa.
  • Tietohallinto-osasto vastaa tietojärjestelmälokien eheydestä ja suojaamisesta myös ylläpitäjien tekemiltä muutoksilta.
  • Tietohallinto-osasto vastaa lokitietojen käsittelyyn liittyvästä käyttövaltuuksien hallinnasta.

Tietoturvasta vastaavien henkilöiden rooli ja vastuu
Yrityksen tietoturvasta vastaavien henkilöiden vastuulla on seurata lokitietoja tietojärjestelmien eheyden ja luottamuksellisuuden todentamiseksi sekä tietoturvaloukkausten selvittämiseksi. Tietoturvasta vastaavat henkilöt tekevät tai teettävät ulkopuolisella yhteistyökumppanilla tarvittavat auditoinnit lokitietojen asianmukaisen toteutuksen varmentamiseksi.

Yhteistyökumppaneiden rooli ja vastuut
Yhteistyökumppanit vastaavat siitä, että tekniset ja organisatoriset toimenpiteet tietojen suojaamiseksi asiattomien pääsyltä tietoihin ja vahingossa tai laittomasti tapahtuvalta tietojen hävittämiseltä, muuttamiselta, luovuttamiselta, siirtämiseltä tai muulta luvattomalta käsittelyltä toteutetaan.

Ulkoistetuissa palveluissa lokeihin liittyvät vastuut on kuvattava osapuolten välisissä sopimusasiakirjoissa. Ulkoistuksessa on huolehdittava teknisistä ja hallinnollisista vaatimuksista sekä lokitietojen luovutusoikeuksista.

Yhteistyökumppanien tulee vastata palveluiden käytettävyydestä palvelutasosopimuksen (SLA) mukaisesti. Tästä suoriutuakseen yhteistyökumppanin on seurattava ajantasaisesti teknisiä lokeja ja saatava niistä kriittisissä tilanteissa hälytyksiä. Ajantasaisen seurannan tulee kohdistua ensisijaisesti käyttö- ja virhelokeihin.

Tietohallinto-osaston on määriteltävä ulkoistustilanteissa tapauskohtaisesti lokitietojen muodostamiseen liittyvät yksityiskohtaiset vaatimukset ja ne tiedot, jotka tallennetaan lokitiedostoon.

Uusien järjestelmien sovelluskehityksen yhteydessä on suunniteltava, toteutettava ja dokumentoitava rakennettavan tai muutettavan tietojärjestelmän lokitietojen kerääminen, tallettaminen ja käyttö.

Sääntö nro 2
Valvontaa ei voi korvata luottamuksella.

Sääntö nro 3
Riittävän isolla vasaralla voi rikkoa mitä tahansa.

Sääntö nro 4
Jonkun pitää aina johtaa.


Sääntö nro 5
Delegoimalla ei voi välttää vastuuta.

Sääntö nro 1
Yritysturvallisuuden on palveltava toimintojen tavoitteita.
Takaisin sisältöön