Free ebook: NIS2 ready using ISO 27001 best practices
Download ebook

Learn more about the connected frameworks

I22

Etäkäyttö ja etähallinta

Other tasks from the same security theme

Acquisition and instructions for a VPN-service

Critical
High
Normal
Low

Organisation's data can only be processed on a predefined, trusted network, or by using a VPN service defined by the organisation.

For example, a coffee shop's Wi-Fi network is often either completely unencrypted or the password is easily accessible to everyone. In this case, the information sent online is vulnerable to spyware. A VPN connection encrypts information regardless of network settings.

9.1.2: Access to networks and network services
ISO 27001
6.2.2: Teleworking
ISO 27001
14.1.2: Securing application services on public networks
ISO 27001
6.7: Remote working
ISO 27001

Personnel guidelines for secure remote work

Critical
High
Normal
Low

Remote workers have their own operating guidelines, which are monitored. In addition, regular training is provided to staff to identify threats to information security arising from the use of mobile devices and remote work, and to review the guidelines.

7.2.2: Information security awareness, education and training
ISO 27001
6.2.2: Teleworking
ISO 27001
PR.AC-3: Remote access management
NIST CSF
6.7: Remote working
ISO 27001

Turvallisuusluokitellun tiedon käsittelyn kieltäminen julkisilla paikoilla (TL III)

Critical
High
Normal
Low

Turvallisuusluokiteltuja tietoja ei lueta tai muuten käsitellä matkalla tai julkisilla paikoilla.

No items found.

Hyväksytyt laitteet etäkäytössä (TL IV)

Critical
High
Normal
Low

Etäkäytöllä tarkoitetaan organisaation toimitilojen ulkopuolelta tapahtuvaa tietojärjestelmien käyttöä useimmiten kannettavalla tietokoneella. Turvallisuusluokitellun tiedon osalta etäkäyttö soveltuu vain turvallisuusluokan IV tiedoille.

Organisaatio varmistaa, että etäkäytössä käytetään vain käyttöympäristöön hyväksyttyjä ja tunnistettuja laitteita.

No items found.

Käyttäjien vahva tunnistaminen etäkäytössä (TL IV)

Critical
High
Normal
Low

Etäkäytöllä tarkoitetaan organisaation toimitilojen ulkopuolelta tapahtuvaa tietojärjestelmien käyttöä useimmiten kannettavalla tietokoneella. Turvallisuusluokitellun tiedon osalta etäkäyttö soveltuu vain turvallisuusluokan IV tiedoille.

Organisaatio huolehtii, että etäkäytössä järjestelmien käyttäjät tunnistetaan käyttäen vahvaa, vähintään kahteen todennustekijään perustuvaa käyttäjätunnistusta.

No items found.

Turvallisuusluokitettujen tietojen ja tietoliikenteen salaaminen etäkäytössä (TL IV)

Critical
High
Normal
Low

Etäkäytöllä tarkoitetaan organisaation toimitilojen ulkopuolelta tapahtuvaa tietojärjestelmien käyttöä useimmiten kannettavalla tietokoneella. Turvallisuusluokitellun tiedon osalta etäkäyttö soveltuu vain turvallisuusluokan IV tiedoille.

Organisaatio on luonut toimintatavat seuraavien suojausten toteuttamiseen:

  • Turvallisuusalueen ulkopuolella etäkäytössä käytettävät päätelaitteet, muistivälineet ja tietoliikenneyhteydet on suojattu käyttäen turvallisuusluokan huomioiden riittävän turvallisia salausratkaisuja.
  • Tietojärjestelmien etäkäyttöä ei onnistu ilman turvallisuusluokan tietojen suojaamiseen riittävän turvallista liikenteen salausta.
  • Siirrettävien tietovälineiden (kiintolevyt, USB-muistit ja vastaavat) osalta voidaan sallia salaamattomien laitteiden käyttö siinä tapauksessa, että tietovälineitä ei koskaan jätetä valvomatta hyväksyttyjen turva-alueiden ulkopuolella.
No items found.

Salassa pidettävien tietojen etäkäyttö ja etähallinta (ST III-II)

Critical
High
Normal
Low

Etäkäytöllä tarkoitetaan organisaation toimitilojen ulkopuolelta tapahtuvaa tietojärjestelmien käyttöä esimerkiksi kannettavan tietokoneen kautta.

Suojastasojen III-II tietoja etäkäytettäessä:

  • Tietoja käsitellään käyttäen vain käyttöympäristöön hyväksyttyjä yhteyksiä ja laitteita, jotka on teknisesti tunnistettu laitetunnistuksen avulla, sekä vahvaa, vähintään kahteen tekijään perustuvaa käyttäjätunnistusta.
  • Henkilöstö on saanut ohjeistusta ja koulutusta turvalliseen etäkäyttöön.
  • Liikenne on salattu viranomaisen ko. suojaustasolle hyväksymällä salausmenetelmällä.
  • Tietovälineet (kiintolevyt, USB-muistit ja vastaavat) ovat koko ajan kuljettajansa hallussa, ellei niitä ole salattu viranomaisen ko. suojaustasolle hyväksymällä menetelmällä. Salassa pidettäviä tietoja ei avata matkalla eikä lueta julkisilla paikoilla.
  • Järjestelmien etäkäyttö rajataan viranomaisen hyväksymälle fyysisesti suojatulle alueelle.
I22: Etäkäyttö ja etähallinta

Salassa pidettävien tietojen etäkäyttö ja etähallinta (ST IV)

Critical
High
Normal
Low

Etäkäytöllä tarkoitetaan organisaation toimitilojen ulkopuolelta tapahtuvaa tietojärjestelmien käyttöä esimerkiksi kannettavan tietokoneen kautta.

Suojastason IV tietoja etäkäytettäessä:

  • Tietoja käsitellään käyttäen vain käyttöympäristöön hyväksyttyjä laitteita ja yhteyksiä sekä vahvaa, vähintään kahteen tekijään perustuvaa käyttäjätunnistusta.
  • Henkilöstö on saanut ohjeistusta ja koulutusta turvalliseen etäkäyttöön.
  • Tietovälineet (kiintolevyt, USB-muistit ja vastaavat) on joko salattu viranomaisen suojaustasolle hyväksymällä menetelmällä tai ne säilytetään vastaavantasoisesti suojaten tai ei jätetä valvomatta.
  • Liikenne on salattu viranomaisen ko. suojaustasolle hyväksymällä salausmenetelmällä.
I22: Etäkäyttö ja etähallinta

Defining suitable locations and needed protections for remote work

Critical
High
Normal
Low

When working remotely, the employee must follow the following guidelines:

  • remote work may only be performed in rooms where eavesdropping is not possible
  • remote work must be agreed in advance (e.g. on a one-off basis or in an employment contract with flexible work arrangements) or remote work must be requested by the employer
  • the employee must ensure the required security for remote work equipment (e.g. backup, malware protection, firewall, encryption, updates)
6.2.2: Teleworking
ISO 27001
PR.AC-3: Remote access management
NIST CSF
6.7: Remote working
ISO 27001

Definition of measures permitted in remote work

Critical
High
Normal
Low

Definition of the classification of permitted work, working hours and information to be used and definition of the internal systems and services to which the teleworker is granted access.

I22: Etäkäyttö ja etähallinta
6.2.2: Teleworking
ISO 27001
6.7: Remote working
ISO 27001

Arranging suitable equipment and storage equipment for teleworking

Critical
High
Normal
Low

Arranging suitable equipment and storage for teleworking if the use of personal equipment beyond the control of the organization is not permitted.

11.2.6: Security of equipment and assets off-premises
ISO 27001
6.2.2: Teleworking
ISO 27001
6.7: Remote working
ISO 27001
7.9: Security of assets off-premises
ISO 27001

Specific employee security measures and guidelines for security when travelling

Critical
High
Normal
Low

The organisation should consider the following aspects regarding security when travelling:

  • Consideration of procedures for travel, including the possibility of inspections by authorities.
  • Special precautions for travel to countries deemed security-critical.
  • Ensure that employees are aware of these travel-related security measures.
No items found.