Hyökkäykset ja torjunta

Haittaohjelma (engl. malicious software) on arkikielellä virus, joka on tarttunut tietokoneeseen tai tietotekniseen laitteeseen. Haittaohjelmat pyrkivät usein leviämään kopioitumalla laajasti eri laitteisiin. Haittaohjelmia on lukuisia erityyppisiä. Kiristysohjelmalla (engl. ransomware) lukitaan tietokone, matkapuhelin tai muu laite, tai estetään laitteen käyttäminen. Käyttäjältä vaaditaan korvauksia laitteen avaamiseksi. Troijalainen (engl. trojan) on hyödylliseksi naamioitu ohjelma, johon on piilotettu haittaohjelma. Haittaohjelma voi piiloutua hyvinkin pitkäksi ajaksi, tai se voi aloittaa toiminnan nopeasti riippuen sen käyttötarkoituksesta. Usein troijalaisella pyritään ottamaan saastunut laite ulkopuoliseen ohjaukseen. Mato (engl. worm) on haittaohjelma, joka leviää itsenäisenä ohjelmana laitteesta toiseen.

Hyökkäyksiä ja vahinkoa voi aiheuttaa myös laitteen tai järjestelmän ulkopuolelta. Yksi tyypillisimmistä on palvelunestohyökkäys (engl. DDOS, Distributed Denial of Service), joka hyödyntää useita laitteita hyökkäykseen samanaikaisesti. Nämä ovat usein tavallisten käyttäjien troijalaisella haltuun otettuja tietokoneita. Ulkoapäin toteutettuihin hyökkäyksiin liittyy usein myös käyttäjän manipulointi (engl. social engineering). Sen tavoitteena on saada käyttäjä paljastamaan tai antamaan pääsy salattuihin tietoihin. Manipulointi toteutetaan usein tekeytymällä joksikin henkilöksi, kuten esimieheksi tai asiakaspalvelijaksi.

Turvallisuuden hallinta

Termi Avattuna EN Selitys
ASIM Automated Security Incident Measurement Verkkoliikenteen seurannan ja tietomurtohälytyksen järjestelmä
BCM Business Continuity Management Toiminnan jatkuvuuden hallinta
BIA Business Impact Analysis Mahdollisten haitallisten tapahtumien vaikutusanalyysi on osa liiketoiminnan jatkuvuussuunnittelua
BRP Business Recovery Plan Toipumissuunnitelma
CMM Capability Maturity Model Arvioi organisaation kykyä toteuttaa prosesseja
CSIRT Cyber Security Incident Response Team Meneillään olevan tietoturvaloukkauksen hallintaryhmä
CSO Chief Security Officer Tietoturvapäällikkö
ERM Enterprise Risk Management Kokonaisvaltainen riskienhallinnan kartoitus, joka antaa yritysjohdolle selkeän kuvan liiketoiminnan suurimmista riskeistä.
ERP Enterprise Resource Planning Yrityksen toiminnanohjausjärjestelmä, joka integroi eri toimintoja
forensics Tapahtuneen tietoturvaloukkauksen tutkiminen ja viranomaisten avustaminen
information security audit Tarkastus organisaation tietoturvan tasosta. Usein tarkastukset voidaan luokitella teknisiin, fyysisiin ja hallinnollisiin kategorioihin.
IRP Incident Response Plan Ennalta määrätyt toimintamallit, joita noudatetaan  häiriöiden tai kybertapahtumien sattuessa.
ISMS Information Security Management System Tietoturvallisuuden johtamis- ja hallintajärjestelmä
MSSP Managed Security Service Provider Tietoturvan hallintapalvelujen tarjoaja
NOC Network Operations Center Verkkoliikenteen valvontakeskus
onnettomuuksien ehkäisy accident prevention Toiminta, jolla pyritään  ennalta ehkäisemään onnetomuudet ja minimoimaan vahingot
riski risk Todennäköisyys, että uhka toteutuu
riskienhallinta risk management Toimenpiteet riskien rajoittamiseksi,
riskien arviointi risk assessment Järjestelmällinen riskien arviointi
SIEM Security Incident and Event Management Turvatietojen ja – tapahtumien hallinta
SOC Security Operations Center Tietoturvaoperaatioiden valvontakeskus
tilannekuva situation awareness Kuvaus vallitsevista olosuhteista, tai tilanteen taustatiedoista sekä eri toimijoiden toimintavalmiuksista. Tarpeellinen päätöksenteon tueksi.
toimintakortti emergency action plan Ohjeistus, joka kuvaa organisaation toimenpiteitä onnettomuuden tai häiriötilanteen ilmetessä
turvallisuussuunnitelma security plan Organisaatioissa laadittava suunnitelma, jolla pyritään edistämään kohteen tai toiminnan turvallisuutta
uhka threat Mahdollisesti toteutuva haitallinen tapahtuma
uhkakartoitus threat analysis Turvattavaa kohdetta vaarantavien uhkien tunnistaminen ja niistä aiheutuvien riskien analyysi
valmius readiness Tila, jolloin pystytään vastaamaan tiettyihin uhkiin
valmiussuunnittelu contingency planning Normaalioloissa tapahtuva varautumisen suunnittelu

Standardit ja sertifiointi

Termi Avattuna EN Selitys
BS 7799 Oli kansainvälisesti tunnettu brittiläinen tietoturvastandardi, joka muodosti lähtökohdan ISO 27000:lle
ISO/IEC 27000 Joukko tietoturvallisuuden hallinnan parhaita käytäntöjä kuvaavia standardeja
ISO/IEC 27001 Kansainvälinen tietoturvastandardi, jonka pohjalta tietoturvallisuuden hallintajärjestelmät sertifioidaan. Standardi kattaa kaikentyyppiset organisaatiot.
ISO 17799 Standardi, jossa esitetään toteutusohjeita eri turvamekanismien suunnitteluun ja käyttöönottoon.
ISO 9000 Laadunhallintaa koskeva standardiperhe
KATAKRI Kansallinen turvallisuusauditointikriteeristö.  Viranomaisten luokittelemaa tietoa käsittelevien yrityksien tietoturvallisuuden todentamiseen.
PCI DSS Payment Card Industry Data Security Standard Korttimaksamisen tietoturvastandardi
VAHTI The Government Information Security Management Board Valtionhallinnon tietoturvallisuuden johtoryhmä. Käsittelee valtionhallinnon tietoturvallisuutta koskevat säädökset ja ohjeet

Fyysinen turvallisuus

Termi Avattuna EN Selitys
biometriikka biometrics Ihmisten biologiset ominaisuudet, joita käytetään turvatoimien apuna
fyysinen turvallisuus physical security Tarkoitus on turvata organisaatioiden häiriötön toiminta kaikissa olosuhteissa niiden erityistarpeet ja riskit huomioon ottaen
kulunvalvonta Toimenpiteet, joiden avulla voidaan varmistaa että kukaan ei saavu tai poistu rekisteröitymättä.
PUF Physical Unclonable Functions Kloonaamiskelvoton fyysinen toiminto. jonka rakenne on vaikea ennustaa. PUF-laitetta on miltein mahdotonta kopioida.
RAID Redundant Array of Independent Disks tekniikka, jolla tietokoneiden vikasietoisuutta kasvatetaan käyttämällä erillisiä kiintolevyjä, jotka yhdistetään yhdeksi loogiseksi levyksi.
UPS Uninterrupted Power Supply Katkoton sähkösyöttö tai sen tarjoava järjestelmä
varmuuskopiointi backup Keskeinen tietoturvamenetelmä, kopio tulee pitää eri tilassa tai pilvipalvelussa