Suoraan sisältöön

Aaro Hallikainen

Diggaillaan dataa

Tietoturva-asiantuntija, kaupunginkanslia, #heltietoturva

 

Kaikki kirjoitukset

Kuinka tehdään turvallinen digipalvelu

Lähtökohtana on digipalvelua kehittävän tiimin monipuolinen osaaminen valitsemallaan omalla osaamisalueella. Käyttämällä tiimin valitsemia työkaluja ja kehitysympäristöjä monipuolisesti ja usein, niiden osaamisesta tulee varmaa. Kukin kehitysympäristö vaatii oman harjaantumisensa.

Erilaisten pilvipalveluympäristöjen ja ohjelmointiratkaisuiden tekniset erityispiirteet on helpompi oppia, kun osaa jo jonkun toisen työkalujoukon hyvin. Ohjelmointityökaluilla saa ja kannattaa leikkiä paljon. Osaaminen syntyy tekemällä.

Sisäänrakennettu digiturva

Jokaisen digipalveluita kehittävän tiimin on hyvä tietää yleiset digipalvelun tietoturvan kehittämisen periaatteet. Hyökkäyspinta-alan minimointi tarkoittaa, että palvelusta jätetään pois kaikki sellainen, mikä ei ole palvelun toteutuksessa tarpeen. Esimerkiksi tarpeettomat verkkoporttien avaukset tai palveluprosessit.

Digitiimi työn touhussa

Kaikilla järjestelmään liittyvillä asetuksilla tulee olla turvalliset oletusarvot. Esimerkiksi ensiasennuksessa salasana on asentajan keksittävä itse tai se voi olla jokaisessa asennuksessa yksilöllinen, eikä ole olemassa yleistä oletussalasanaa (”1234”, ”admin”, ”password” tai muu sellainen).

Palvelulle tulevat syötteet tulee tarkistaa, käyttöoikeudet minimoida ja virhetilanteissa tulee päätyä turvalliseen lopputilaan. Turvallinen virhetilanteen lopputila voi esimerkiksi olla se, että palvelu katkaisee tietoliikenneyhteydet. Vaikka virhetilanne johtaa palvelunestotilaan, niin se voi silti olla parempi kuin se, että virhetila johtaa avoimeen tilaan, jossa palvelua voi käyttää vahingollisiin tarkoituksiin.

Digiturvan periaatteita

Syvyyssuuntainen puolustus (defense in depth) tarkoittaa, että digipalvelu pyritään suojaamaan useilla eri tavoilla. Esimerkiksi palvelua suojataan verkkosovellusten palomuurilla (web application firewall, WAF), digipalvelun toteuttavia palvelintietokoneita palomuuripalvelimilla (next-generation firewall, NGFW) sekä haittaohjelmasuojauksella, digipalvelun tietokantoja käyttämällä salakirjoittavia tiedostopalvelimia (encrypting data at rest) sekä ottamalla varmuuskopioita, ja palvelun käyttöä suojataan käyttämällä eritasoisia käyttäjätunnuksia (pääkäyttäjälle, suunnittelijalle ja palvelunkäyttäjälle kullekin on erilaiset tunnukset).

Johtoajatuksena on, että vaikka jotkin turvamekanismit pettäisivät, niin toiset turvaratkaisut voivat vielä estää palvelun väärinkäyttöä ja vahingoittumista.

Myös epäluottamus ulkopuolisiin palveluihin (zero-trust principle) tukee digipalvelun tietoturvaa. Periaate tarkoittaa, että palvelu pakottaa ulkopuolisten palveluiden tarvitsemat käyttöoikeudet aina mahdollisimman rajatuiksi, tarkastaa aina kaikki saamansa tiedot ja syötteet, eikä koskaan oleta jotain ulkopuolista palvelua luotettavaksi. Esimerkiksi ulkopuolisen kumppanin tarjoama yleensä luotettava tukipalvelu voi olla kaapattu, ja silloin sieltä tuleva yhteydenotto onkin vaarallinen eikä yhteydenottoon voi itsestään selvästi luottaa.

Turvamekanismien yksityiskohtien salailu ei varmista digipalvelun turvallisuutta. Jos digipalvelun turvamekanismien periaatteet ovat yleisesti tiedossa, niin pahantahtoinen taho voi niitä tutkimalla pyrkiä keksimään, kuinka palvelua voi käyttää väärin. Mutta niin voi myös joku tietoturvasta kiinnostunut tutkija löytää keinon parantaa palvelun turvallisuutta. Tarkkoja yksityiskohtia kuten laitteiden osoitteita ei kuitenkaan ole syytä julkaista ajattelemattomasti. Kaiken ei tarvitse olla yleisessä tiedossa, mutta silti ei pidä luulla, että yksityiskohtien salaaminen riittäisi tietoturvan takaamiseen.

Helsinki loves developers

Kyberturvallisuuskeskuksen turvallisen tuotekehityksen ohjeessa on selkeästi kerrottu mitä kaikkea liittyy digipalvelun tekemiseen. Yhden ihmisen ei tarvitse osata kaikkea. Ne asiat, joita omassa tiimissä ei itse osata, kannattaa tehdä asian osaavan toisen tiimin kanssa yhdessä.

Toisten kehittäjien kanssa voi verkostoitua digikehittäjien tapahtumissa. Tietoa erilaisista digipalveluiden kehittäjien tapahtumista löydät pääkaupunkiseudun avoimen datan palvelun sivuilta ja Forum Virium Helsingin sivuilta

Yhdessä tehden hyvä tulee!

[]

Liikenne- ja viestintävirasto Traficom, Kyberturvallisuuskeskus, Ajankohtaista > Tietoturvaohjeet, Turvallinen tuotekehitys -opas

Pääkaupunkiseudun avoimen datan palvelun sivut, Helsinki loves developers

Forum Virium Helsinki, tapahtumat




JAA

Uusimmat kirjoitukset

Aaro Hallikainen
09.12.2019 10:16 -  Diggaillaan dataa
Helsingin kaupungin johtava ICT-asiantuntija Ilkka Kautto käy läpi tietoturvalle syntyviä vaatimuksia, kun kunnan palveluita toteutetaan digipalveluina. Esitelmässä kerrotaan kuinka tietoturva on mahdollista rakentaa osaksi palveluita. Helsingin kaupungilla on satoja pa...
Aaro Hallikainen
27.11.2019 10:56 -  Diggaillaan dataa
Tuula Seppo Kuntaliitosta luennoi tiedonhallintalain vaikutuksista kunnan tietoturvatoimintaan Helsingin kaupungin tietoturvapäivässä. Tiedonhallintalaki ohjaa huomioimaan tietoturvan kaikessa toiminnassa ja koko tietojenkäsittelyn elinkaaren ajan. Kunnalla tulee olla m...
Aaro Hallikainen
26.11.2019 12:24 -  Diggaillaan dataa
Kaupungin palvelut tukeutuvat tieto- ja viestintäjärjestelmiin. Palvelutoiminnan varmistamista kannattaa harjoitella. Erilaisten häiriötilanteiden vaikutusta palvelutoimintaan voi harjoitella monella tavalla. Väestörekisterikeskuksen organisoimassa TAISTO19-harjoitukses...
Aaro Hallikainen
05.11.2019 09:54 -  Diggaillaan dataa
Tanja Stormbom Valtiovarainministeriöstä kertoi tiedonhallintalain tavoitteista ja velvoitteista Helsingin kaupungin tietoturvapäivässä. Uuden tiedonhallintalain tavoitteena on edistää tietoturvaa, tietosuojaa ja tietoaineistojen vastuullista hyödyntämistä sekä julkisuu...
Aaro Hallikainen
24.09.2019 12:01 -  Diggaillaan dataa
Tunti tietoturvan perusasioista löytyy Helsinki-kanavan tietoturva työpisteellä -sarjasta. Luentoon liittyvät esityskuvat ovat tässä. Tämä luennon ja esityskuvien kokonaisuus sopii tietoturvan peruspaketiksi kaikille tietoturvasta kiinnostuneille, työntekijöille, e...
Aaro Hallikainen
31.07.2019 08:08 -  Diggaillaan dataa
— Nyt minä innostun tekemään uuden digipalvelun! — Tuleeko hieno? — Tulee! — Tuleeko turvallinen? — Ja varmasti! Me tehdään sitä turvallisen sovelluskehityksen ohjeiden mukaan ihan viimeisen päälle. Digipalvelu tehdään ohjelmoimalla sovellus. Ohjelmoitava sov...
Aaro Hallikainen
17.07.2019 07:00 -  Diggaillaan dataa
Lähtökohtana on digipalvelua kehittävän tiimin monipuolinen osaaminen valitsemallaan omalla osaamisalueella. Käyttämällä tiimin valitsemia työkaluja ja kehitysympäristöjä monipuolisesti ja usein, niiden osaamisesta tulee varmaa. Kukin kehitysympäristö vaatii oman harjaa...
Aaro Hallikainen
01.07.2019 14:54 -  Diggaillaan dataa
- Tuleeko siellä kesäuusintana niitä pitkiä salasanoja?- Tulee, ja taas sanotaan, että vain omilla tunnuksilla saa käyttää tietokonetta.- Entäs eri palveluiden salasanoista?- Juu – eri palveluihin eri sala-ananakset. Video. Tietoturva työpisteellä: Salsa-ananas, He...
Aaro Hallikainen
31.05.2019 16:10 -  Diggaillaan dataa
Kaupungin tulee suhtautua pilvipalveluihin kuten muihinkin tieto- ja viestintätekniikkaan perustuviin hankintoihin (ICT-hankintoihin). Jos pilvipalvelu on paras ympäristö digipalvelun toteuttamiseen, tulee se ensisijaisesti valita. Erityisesti on hyvä muistaa, että julk...
Aaro Hallikainen
08.04.2019 10:59 -  Diggaillaan dataa
— Haloo haloo robotti, täällä vauva! — Moi vauva, mikä hätänä? — Vielä ei ole varsinaista hätää, mutta missä kissa on? — Oletko katsonut pöydän alta tai sohvalta? — Siellä kissa on! Kiitos avusta! Neuvolan verkkosivun asiakaspalvelussa keskustelun voi aloittaa ...
<<  <  1  2  3  4  5  >  >>