Free ebook: NIS2 ready using ISO 27001 best practices
Download ebook

Learn more about the connected frameworks

6.2.2
ISO 27001

Etätyö

7.10
ISO 27001

Storage media

8.3.1
ISO 27001

Siirrettävien tietovälineiden hallinta

Other tasks from the same security theme

Defining the types of removable media used

Critical
High
Normal
Low

Removable media includes e.g. flash memories, SD memories, removable storage drives, USB sticks and DVDs.

The organization has defined which removable media is allowed to be used.

8.3.1: Management of removable media
ISO 27001
8.3.3: Physical media transfer
ISO 27001
13.2.1: Information transfer policies and procedures
ISO 27001
PR.DS-2: Data-in-transit
NIST CSF
PR.PT-2: Removable media
NIST CSF

Sähköisessä muodossa olevien tietojen tuhoaminen (TL I)

Critical
High
Normal
Low

Turvallisuusluokan I sähköisessä muodossa olevan tiedon tuhoamisessa voidaan hyödyntää "VM 2021:5 Suositus turvallisuusluokiteltavien asiakirjojen käsittelystä" koottuja turvallisuusluokan II silppukokoja, mikäli suojausta täydennetään viranomaisen hyväksymillä menettelyillä. Tällaisia menettelyihin sisältyvät tyypillisesti muun muassa silpun jatkokäsittely valvotusti polttamalla tai sulattamalla.

No items found.

Sähköisessä muodossa olevien tietojen tuhoamisen suorittaja (TL II)

Critical
High
Normal
Low

Tiedon tuhoamisen saa suorittaa vain henkilö, jonka viranomainen on tähän tehtävään määrännyt. Valmisteluvaiheen versiot voi tuhota ne laatinut henkilö.

No items found.

Sähköisessä muodossa olevien tietojen tuhoaminen (TL IV)

Critical
High
Normal
Low

Tuhoaminen ylikirjoittamalla

Tuhottaessa turvallisuusluokiteltua materiaalia ylikirjoittamalla, suositellaan noudatettavaksi Kyberturvallisuuskeskuksen ohjeen "Kiintolevyjen elinkaaren hallinta" mukaisia vaatimuksia ylikirjoitukselle sekä muistivälineiden uusiokäytölle.

Tuhoaminen silppuamalla

Tuhottaessa turvallisuusluokiteltua materiaalia silppuamalla, noudatetaan suosituksen "VM 2021:5 Suositus turvallisuusluokiteltavien asiakirjojen käsittelystä" mukaisia vaatimuksia kyseisen turvallisuusluokan aineiston silppukoolle.

No items found.

Tietojen fyysisen kuljettamisen turvallisuusvaatimukset (TL II)

Critical
High
Normal
Low

Turvallisuusluokan II tietoa kuljetettaessa tarvittava tietoturvataso voidaan saavuttaa toteuttamalla aiempien turvallisuusluokkien toimien lisäksi seuraavat toimenpiteet:

  • Tieto pakataan suljettavaan kaksinkertaiseen kirjekuoreen tai vastaavaan.
  • Pakkauksen ulkokuoressa ei saa olla merkintää turvallisuusluokasta eikä pakkaus saa ulkoisesti muuten paljastaa sen sisältävän turvallisuusluokiteltua tietoa (kirjekuorien tai vastaavien on oltava läpinäkymättömiä).
  • Sisäkuoren on oltava sinetöity.
  • Vastaanottaja on ohjeistettava tarkistamaan sinetöinnin eheys ja ilmoitettava välittömästi, mikäli eheyden vaarantumista epäillään
No items found.

Tietojen fyysisen kuljettamisen turvallisuusvaatimukset (TL III)

Critical
High
Normal
Low

Turvallisuusluokan II-III salaamaton tieto on kuljettamista varten pakattava asianmukaisesti sekä kuljetettava se jatkuvan valvonnan alaisuudessa vastaanottajalle. Mainitun tiedon saa kuljettaa vastaanottajalle myös muulla turvallisella tavalla, jolla tiedon luottamuksellisuus ja eheys varmistetaan kyseiselle turvallisuusluokalle riittävällä tavalla.

Turvallisuusluokan III tietoa kuljetettaessa tarvittava tietoturvataso voidaan saavuttaa toteuttamalla aiempien turvallisuusluokkien toimien lisäksi seuraavat toimenpiteet:

  • Tieto pakataan suljettavaan kaksinkertaiseen kirjekuoreen tai vastaavaan. Pakkauksen ulkokuoressa ei saa olla merkintää turvallisuusluokasta eikä pakkaus saa ulkoisesti muuten paljastaa sen sisältävän turvallisuusluokiteltua tietoa (kirjekuorien tai vastaavien on oltava läpinäkymättömiä).
  • Tieto toimitetaan ko. turvallisuusluokiteltuun tietoon oikeutetun organisaation henkilön toimesta jatkuvan valvonnan alaisuudessa vastaanottajalle. Vaihtoehtoisesti toimitus ko. turvallisuusluokalle hyväksytyn menettelyn mukaisesti.
  • Organisaation sisäiseen postin käsittelyketjuun kuuluu vain hyväksyttyä turvallisuusselvitettyä henkilöstöä.
No items found.

Tietojen fyysisen kuljettamisen turvallisuusvaatimukset (TL IV)

Critical
High
Normal
Low

Turvallisuusluokan IV tietoa kuljetettaessa tarvittava tietoturvataso voidaan saavuttaa toteuttamalla seuraavat toimenpiteet:

  • Tieto pakataan suljettavaan kirjekuoreen tai vastaavaan. Pakkauksen ulkokuoressa ei saa olla merkintää turvallisuusluokasta eikä pakkaus saa ulkoisesti muuten paljastaa sen sisältävän turvallisuusluokiteltua tietoa (kirjekuoren tai vastaavan on oltava läpinäkymätön).
  • Tieto toimitetaan kotimaassa tavallisena postina, kirjattuna kirjeenä tai ko. turvallisuusluokalle hyväksytyn menettelyn mukaisesti. Ulkomaille toimitus postin välityksellä vain viranomaisen erillishyväksyntään pohjautuen.
  • Organisaation sisäiseen postin käsittelyketjuun kuuluu vain hyväksyttyä henkilöstöä.
  • Organisaatiossa on tunnistettu vaatimukset ja toteutettu menettelyt erityissuojattavien tietojen (esimerkiksi salausavaimet) välittämiseksi.
No items found.

Prosessi ja ohjeistukset henkilöstölle salassapidettävän sähköisen tiedon turvallisesta tuhoamisesta

Critical
High
Normal
Low

Organisaation on huomioitava henkilöstön salassapidettävien tietojen turvallisen tuhoamisen prosesseissa. Organisaation tulee järjestää henkilöstölle yksikäsitteinen tapa tietojen tuhoamiseen ja ohjeistaa relevanttia henkilöstöä tämän tavan käyttämisessä.

No items found.

Turvallisuusluokiteltujen tietojen siirtämisen kirjaaminen

Critical
High
Normal
Low

Turvallisuusluokan III tai sitä korkeamman luokan tiedon vastaanottaminen ja lähettäminen tulee kirjata.

Turvallisuusluokan III tietojen ja niitä korkeamman tason tietojen käsittely kirjataan sähköiseen lokiin, tietojärjestelmään, asianhallintajärjestelmään, asiarekisteriin tai tietoon (esimerkiksi dokumentin osaksi).

No items found.

Tietojen fyysisen kuljettamisen turvallisuusvaatimukset

Critical
High
Normal
Low
  • Tiedot tulee kuljettaa tietojen riittävän suojaamisen huomioivia, organisaation ohjeita noudattaen.
  • Tiedot on pakattava niin, että ne on suojattu luvattomalta ilmitulolta.
  • Tietoja saa kuljettaa turvallisuusalueiden ulkopuolelle suojaamalla sähköiset tietovälineet riittävän turvallisella salauksella.
  • Salaamattomia tietoja voidaan kuljettaa postipalvelujen välityksellä.
No items found.

Prohibition of unencrypted portable storage devices

Critical
High
Normal
Low

Portable storage devices may include e.g. optical disks, DVDs/Blurays, flash cards, USB sticks / thumb drives, SSDs and other external hard drives.

Portable storage devices and physical media that do not allow encryption of data should not be used unless it is unavoidable.

Any use of unencrypted storage media and devices should be clearly documented.

A.11.5: Use of unencrypted portable storage media and devices
ISO 27018

Process for secure disposal of removable media containing confidential information

Critical
High
Normal
Low

Unnecessary media should be disposed of in a safe, industry-accepted manner (such as by incineration, shredding or wiping) in accordance with formal procedures. Media that requires safe disposal must be clearly marked.

Data destroyed in accordance with the process should not be recoverable, even by forensic means.

8.3.2: Disposal of media
ISO 27001
11.2.7: Secure disposal or re-use of equipment
ISO 27001
PR.DS-3: Asset management
NIST CSF
PR.IP-6: Data destruction
NIST CSF
A.11.7: Secure disposal of hardcopy materials
ISO 27018

Locked cabinets for storing devices including confidential data

Critical
High
Normal
Low

Removable media must be stored in a safe, other locker or other secure furniture. They must not be stored around the office without careful thought.

6.2.2: Teleworking
ISO 27001
8.3.1: Management of removable media
ISO 27001
7.10: Storage media
ISO 27001

Kansainvälisen turvallisuusluokitellun sähköisen tiedon tuhoaminen

Critical
High
Normal
Low

TL III

  • Kansainvälisten turvallisuusluokan III (CONFIDENTIAL) tietojen osalta, kirjaajan on allekirjoitettava tuhoamistodistus, joka tallennetaan kirjaamoon/rekisteröintipisteeseen. Kirjaustiedot on päivitettävä vastaavasti. Kirjaamon/rekisteröintipisteen on säilytettävä tuhoamistodistukset vähintään viiden vuoden ajan.

TL II

  • Kansainvälisten turvallisuusluokan II (SECRET) tietojen tuhoaminen on suoritettava todistajan läsnä ollessa. Todistajalla on oltava vähintään tuhottavan tiedon turvallisuusluokkaa vastaava turvallisuusselvitys.


No items found.

Detailed rules for the management of removable media

Critical
High
Normal
Low

When removable media is an important part of an organisation's operations, more specific rules have been defined for securing removable media and the information they contain.

  • when a removable media is transferred outside the organization, it is impossible to restore its contents if the content is no longer needed;
  • the transfer of media from the organization required a permiossion and all transfers will be logged
  • removable media are protected by encryption when the confidentiality and integrity of the information is important
  • information on removable media is regularly passed on to unused media so that the media does not deteriorate and the data becomes unreadable before that time;
  • multiple copies of valuable data are stored on different media to reduce the risk of simultaneous data damage or loss
8.3.1: Management of removable media
ISO 27001
8.3.3: Physical media transfer
ISO 27001
13.2.1: Information transfer policies and procedures
ISO 27001
PR.DS-3: Asset management
NIST CSF
PR.PT-2: Removable media
NIST CSF

Securing the physical transport of data, devices and media

Critical
High
Normal
Low

When information is sent, for example, by postal, courier or transport services, paper documents or data media may be exposed to unauthorized use, misuse or distortion during transport.

To ensure safe transportation, the organization has defined procedures for:

  • selection and documentation of reliable transport services
  • verifying the identity of transport staff
  • ensuring safe packaging
  • documentation of made transports
8.3.3: Physical media transfer
ISO 27001
7.10: Storage media
ISO 27001