Free ebook: NIS2 ready using ISO 27001 best practices
Download ebook

Learn more about the connected frameworks

F-08.3
Katakri 2020

TURVALLISUUSLUOKITELTUJEN TIETOJEN KIRJAAMINEN

FYY-10
Julkri

Tietojen kirjaaminen - TL III

Other tasks from the same security theme

Defining the types of removable media used

Critical
High
Normal
Low

Removable media includes e.g. flash memories, SD memories, removable storage drives, USB sticks and DVDs.

The organization has defined which removable media is allowed to be used.

8.3.1: Management of removable media
ISO27 Full
8.3.3: Physical media transfer
ISO27 Full
13.2.1: Information transfer policies and procedures
ISO27 Full
PR.DS-2: Data-in-transit
NIST
PR.PT-2: Removable media
NIST

Sähköisessä muodossa olevien tietojen tuhoaminen (TL I)

Critical
High
Normal
Low

Turvallisuusluokan I sähköisessä muodossa olevan tiedon tuhoamisessa voidaan hyödyntää "VM 2021:5 Suositus turvallisuusluokiteltavien asiakirjojen käsittelystä" koottuja turvallisuusluokan II silppukokoja, mikäli suojausta täydennetään viranomaisen hyväksymillä menettelyillä. Tällaisia menettelyihin sisältyvät tyypillisesti muun muassa silpun jatkokäsittely valvotusti polttamalla tai sulattamalla.

TEK-21.6: Sähköisessä muodossa olevien tietojen tuhoaminen - TL I
Julkri
I-21: TIETOJENKÄSITTELY-YMPÄRISTÖN SUOJAUS KOKO ELINKAAREN AJAN – SÄHKÖISESSÄ MUODOSSA OLEVIEN TURVALLISUUSLUOKITELTUJEN TIETOJEN TUHOAMINEN
Katakri 2020

Sähköisessä muodossa olevien tietojen tuhoamisen suorittaja (TL II)

Critical
High
Normal
Low

Tiedon tuhoamisen saa suorittaa vain henkilö, jonka viranomainen on tähän tehtävään määrännyt. Valmisteluvaiheen versiot voi tuhota ne laatinut henkilö.

TEK-21.5: Sähköisessä muodossa olevien tietojen tuhoaminen - tuhoamisen suorittaja - TL II
Julkri
I-21: TIETOJENKÄSITTELY-YMPÄRISTÖN SUOJAUS KOKO ELINKAAREN AJAN – SÄHKÖISESSÄ MUODOSSA OLEVIEN TURVALLISUUSLUOKITELTUJEN TIETOJEN TUHOAMINEN
Katakri 2020

Sähköisessä muodossa olevien tietojen tuhoaminen (TL IV)

Critical
High
Normal
Low

Tuhoaminen ylikirjoittamalla

Tuhottaessa turvallisuusluokiteltua materiaalia ylikirjoittamalla, suositellaan noudatettavaksi Kyberturvallisuuskeskuksen ohjeen "Kiintolevyjen elinkaaren hallinta" mukaisia vaatimuksia ylikirjoitukselle sekä muistivälineiden uusiokäytölle.

Tuhoaminen silppuamalla

Tuhottaessa turvallisuusluokiteltua materiaalia silppuamalla, noudatetaan suosituksen "VM 2021:5 Suositus turvallisuusluokiteltavien asiakirjojen käsittelystä" mukaisia vaatimuksia kyseisen turvallisuusluokan aineiston silppukoolle.

TEK-21.3: Sähköisessä muodossa olevien tietojen tuhoaminen
Julkri
I-21: TIETOJENKÄSITTELY-YMPÄRISTÖN SUOJAUS KOKO ELINKAAREN AJAN – SÄHKÖISESSÄ MUODOSSA OLEVIEN TURVALLISUUSLUOKITELTUJEN TIETOJEN TUHOAMINEN
Katakri 2020

Tietojen fyysisen kuljettamisen turvallisuusvaatimukset (TL II)

Critical
High
Normal
Low

Turvallisuusluokan II tietoa kuljetettaessa tarvittava tietoturvataso voidaan saavuttaa toteuttamalla aiempien turvallisuusluokkien toimien lisäksi seuraavat toimenpiteet:

  • Tieto pakataan suljettavaan kaksinkertaiseen kirjekuoreen tai vastaavaan.
  • Pakkauksen ulkokuoressa ei saa olla merkintää turvallisuusluokasta eikä pakkaus saa ulkoisesti muuten paljastaa sen sisältävän turvallisuusluokiteltua tietoa (kirjekuorien tai vastaavien on oltava läpinäkymättömiä).
  • Sisäkuoren on oltava sinetöity.
  • Vastaanottaja on ohjeistettava tarkistamaan sinetöinnin eheys ja ilmoitettava välittömästi, mikäli eheyden vaarantumista epäillään
FYY-08.3: Tietojen kuljettaminen - TL II
Julkri

Tietojen fyysisen kuljettamisen turvallisuusvaatimukset (TL III)

Critical
High
Normal
Low

Turvallisuusluokan II-III salaamaton tieto on kuljettamista varten pakattava asianmukaisesti sekä kuljetettava se jatkuvan valvonnan alaisuudessa vastaanottajalle. Mainitun tiedon saa kuljettaa vastaanottajalle myös muulla turvallisella tavalla, jolla tiedon luottamuksellisuus ja eheys varmistetaan kyseiselle turvallisuusluokalle riittävällä tavalla.

Turvallisuusluokan III tietoa kuljetettaessa tarvittava tietoturvataso voidaan saavuttaa toteuttamalla aiempien turvallisuusluokkien toimien lisäksi seuraavat toimenpiteet:

  • Tieto pakataan suljettavaan kaksinkertaiseen kirjekuoreen tai vastaavaan. Pakkauksen ulkokuoressa ei saa olla merkintää turvallisuusluokasta eikä pakkaus saa ulkoisesti muuten paljastaa sen sisältävän turvallisuusluokiteltua tietoa (kirjekuorien tai vastaavien on oltava läpinäkymättömiä).
  • Tieto toimitetaan ko. turvallisuusluokiteltuun tietoon oikeutetun organisaation henkilön toimesta jatkuvan valvonnan alaisuudessa vastaanottajalle. Vaihtoehtoisesti toimitus ko. turvallisuusluokalle hyväksytyn menettelyn mukaisesti.
  • Organisaation sisäiseen postin käsittelyketjuun kuuluu vain hyväksyttyä turvallisuusselvitettyä henkilöstöä.
FYY-08.2: Tietojen kuljettaminen - TL III
Julkri

Tietojen fyysisen kuljettamisen turvallisuusvaatimukset (TL IV)

Critical
High
Normal
Low

Turvallisuusluokan IV tietoa kuljetettaessa tarvittava tietoturvataso voidaan saavuttaa toteuttamalla seuraavat toimenpiteet:

  • Tieto pakataan suljettavaan kirjekuoreen tai vastaavaan. Pakkauksen ulkokuoressa ei saa olla merkintää turvallisuusluokasta eikä pakkaus saa ulkoisesti muuten paljastaa sen sisältävän turvallisuusluokiteltua tietoa (kirjekuoren tai vastaavan on oltava läpinäkymätön).
  • Tieto toimitetaan kotimaassa tavallisena postina, kirjattuna kirjeenä tai ko. turvallisuusluokalle hyväksytyn menettelyn mukaisesti. Ulkomaille toimitus postin välityksellä vain viranomaisen erillishyväksyntään pohjautuen.
  • Organisaation sisäiseen postin käsittelyketjuun kuuluu vain hyväksyttyä henkilöstöä.
  • Organisaatiossa on tunnistettu vaatimukset ja toteutettu menettelyt erityissuojattavien tietojen (esimerkiksi salausavaimet) välittämiseksi.
FYY-08.1: Tietojen kuljettaminen
Julkri

Prosessi ja ohjeistukset henkilöstölle salassapidettävän sähköisen tiedon turvallisesta tuhoamisesta

Critical
High
Normal
Low

Organisaation on huomioitava henkilöstön salassapidettävien tietojen turvallisen tuhoamisen prosesseissa. Organisaation tulee järjestää henkilöstölle yksikäsitteinen tapa tietojen tuhoamiseen ja ohjeistaa relevanttia henkilöstöä tämän tavan käyttämisessä.

TEK-21: Sähköisessä muodossa olevien tietojen tuhoaminen
Julkri
1.3.2: Classification of information assets
TISAX

Turvallisuusluokiteltujen tietojen siirtämisen kirjaaminen

Critical
High
Normal
Low

Turvallisuusluokan III tai sitä korkeamman luokan tiedon vastaanottaminen ja lähettäminen tulee kirjata.

Turvallisuusluokan III tietojen ja niitä korkeamman tason tietojen käsittely kirjataan sähköiseen lokiin, tietojärjestelmään, asianhallintajärjestelmään, asiarekisteriin tai tietoon (esimerkiksi dokumentin osaksi).

FYY-10: Tietojen kirjaaminen - TL III
Julkri
F-08.3: TURVALLISUUSLUOKITELTUJEN TIETOJEN KIRJAAMINEN
Katakri 2020

Tietojen fyysisen kuljettamisen turvallisuusvaatimukset

Critical
High
Normal
Low
  • Tiedot tulee kuljettaa tietojen riittävän suojaamisen huomioivia, organisaation ohjeita noudattaen.
  • Tiedot on pakattava niin, että ne on suojattu luvattomalta ilmitulolta.
  • Tietoja saa kuljettaa turvallisuusalueiden ulkopuolelle suojaamalla sähköiset tietovälineet riittävän turvallisella salauksella.
  • Salaamattomia tietoja voidaan kuljettaa postipalvelujen välityksellä.
FYY-08: Tietojen kuljettaminen
Julkri

Prohibition of unencrypted portable storage devices

Critical
High
Normal
Low

Portable storage devices may include e.g. optical disks, DVDs/Blurays, flash cards, USB sticks / thumb drives, SSDs and other external hard drives.

Portable storage devices and physical media that do not allow encryption of data should not be used unless it is unavoidable.

Any use of unencrypted storage media and devices should be clearly documented.

A.11.5: Use of unencrypted portable storage media and devices
ISO 27018
3.1.4: Management of IT and mobile data storage devices
TISAX

Process for secure disposal of removable media containing confidential information

Critical
High
Normal
Low

Unnecessary media should be disposed of in a safe, industry-accepted manner (such as by incineration, shredding or wiping) in accordance with formal procedures. Media that requires safe disposal must be clearly marked.

Data destroyed in accordance with the process should not be recoverable, even by forensic means.

8.3.2: Disposal of media
ISO27 Full
11.2.7: Secure disposal or re-use of equipment
ISO27 Full
PR.DS-3: Asset management
NIST
PR.IP-6: Data destruction
NIST
A.11.7: Secure disposal of hardcopy materials
ISO 27018

Locked cabinets for storing devices including confidential data

Critical
High
Normal
Low

Removable media must be stored in a safe, other locker or other secure furniture. They must not be stored around the office without careful thought.

6.2.2: Teleworking
ISO27 Full
8.3.1: Management of removable media
ISO27 Full
FYY-04: Tiedon säilytys
Julkri
7.10: Storage media
ISO27k1 Full

Kansainvälisen turvallisuusluokitellun sähköisen tiedon tuhoaminen

Critical
High
Normal
Low

TL III

  • Kansainvälisten turvallisuusluokan III (CONFIDENTIAL) tietojen osalta, kirjaajan on allekirjoitettava tuhoamistodistus, joka tallennetaan kirjaamoon/rekisteröintipisteeseen. Kirjaustiedot on päivitettävä vastaavasti. Kirjaamon/rekisteröintipisteen on säilytettävä tuhoamistodistukset vähintään viiden vuoden ajan.

TL II

  • Kansainvälisten turvallisuusluokan II (SECRET) tietojen tuhoaminen on suoritettava todistajan läsnä ollessa. Todistajalla on oltava vähintään tuhottavan tiedon turvallisuusluokkaa vastaava turvallisuusselvitys.


I-21: TIETOJENKÄSITTELY-YMPÄRISTÖN SUOJAUS KOKO ELINKAAREN AJAN – SÄHKÖISESSÄ MUODOSSA OLEVIEN TURVALLISUUSLUOKITELTUJEN TIETOJEN TUHOAMINEN
Katakri 2020

Detailed rules for the management of removable media

Critical
High
Normal
Low

When removable media is an important part of an organisation's operations, more specific rules have been defined for securing removable media and the information they contain.

  • when a removable media is transferred outside the organization, it is impossible to restore its contents if the content is no longer needed;
  • the transfer of media from the organization required a permiossion and all transfers will be logged
  • removable media are protected by encryption when the confidentiality and integrity of the information is important
  • information on removable media is regularly passed on to unused media so that the media does not deteriorate and the data becomes unreadable before that time;
  • multiple copies of valuable data are stored on different media to reduce the risk of simultaneous data damage or loss
8.3.1: Management of removable media
ISO27 Full
8.3.3: Physical media transfer
ISO27 Full
13.2.1: Information transfer policies and procedures
ISO27 Full
PR.DS-3: Asset management
NIST
PR.PT-2: Removable media
NIST

Securing the physical transport of data, devices and media

Critical
High
Normal
Low

When information is sent, for example, by postal, courier or transport services, paper documents or data media may be exposed to unauthorized use, misuse or distortion during transport.

To ensure safe transportation, the organization has defined procedures for:

  • selection and documentation of reliable transport services
  • verifying the identity of transport staff
  • ensuring safe packaging
  • documentation of made transports
8.3.3: Physical media transfer
ISO27 Full
7.10: Storage media
ISO27k1 Full
CC6.7: Restriction and protection of information in transmission, movement or removal
SOC 2