Materiaaleja kriittisen infran turvaamiseen

Tälle sivulle on koottu yhteen eri hankkeissa toteutettuja julkisia työkaluja, dokumentteja sekä tarkastuslistoja, joita voi hyödyntää niin energia-alalla kuin muillakin kriittisen infran sektoreilla tietoturvan sekä -suojan parantamiseksi.

Hankkeet

Energia‐alan kyberturvallisuutta kehittävä KYBER‐ENE‐hanke toteutettiin useiden alan keskeisten yritysten (Ulkoinen linkki), Liikenne‐ ja viestintävirasto Traficomin Kyberturvallisuuskeskuksen, Huoltovarmuuskeskuksen (Ulkoinen linkki)ja VTT:n (Ulkoinen linkki)yhteistyönä. Tavoitteena oli tuottaa konkreettisia ja liiketoimintalähtöisiä ratkaisuja energia‐alan yritysten tarpeisiin. KYBER‐ENE oli osa Huoltovarmuuskeskuksen kyberturvallisuuden kehittämiseen tähtäävää Kyber2020‐ohjelmaa, ja osa vuosia jatkunutta elinkeinoelämän, hallinnon ja tutkimuksen yhteistyötä kriittisen infrastruktuurin kyberturvallisuuden parissa. Keskeistä KYBER‐ENE‐hankkeen onnistumiselle oli energia‐alan yritysten sitoutuminen. Hankkeen aktiivinen ohjaus ja erityisesti yritysten vertaistuki auttoi luomaan käytännöllisiä yrityksiä hyödyttäviä tuloksia.

Muissakin Huoltovarmuuskeskuksen, Tekesin ja/tai Business Finlandin rahoittamissa hankkeissa (kuten KYBER-VESI (Ulkoinen linkki), KYBER-TEO (Ulkoinen linkki), COREQ-VE, COREQ-ACT ja TITAN) on parannettu automaatiojärjestelmiä käyttävien huoltovarmuuskriittisten yritysten tietoturvaa. Esimerkiksi Huoltovarmuuskeskuksen rahoittamassa COREQ-VE-hankkeessa kehitettiin tietoturva- ja tietosuojavaatimusten lista käytettäväksi automaatiojärjestelmien hankinnoissa. Kyseisen listan käyttö vaatii hieman perehtymistä hankintaa tekevältä organisaatiolta eikä listaa ole tarkoitettu liitettäväksi sellaisenaan jokaiseen tarjouspyyntöön.

Kyberturvallisuuskeskuksen kehittämässä Kybermittari-hankkeessa kehitettiin työkalu auttamaan yritysjohtoa ja organisaatioita saamaan kyberriskit kattavammin hallintaan ja turvaamaan toimintansa jatkuvuuden. Kybermittarin työkalut sekä ohjeet löytyvät Kyberturvallisuuskeskuksen sivuilta https://www.kybermittari.fi (Ulkoinen linkki).

Suomen automaatioseuran "Automaation tietoturva - Verkottumisen riskit ja niiden hallinta (Ulkoinen linkki)" -julkaisu sisältää ohjeita kaikille automaatiojärjestelmiä käyttäville sektoreille. Kirja on saanut jatko-osan vuonna 2021. Tältä verkkosivulta löydät kirjaa täydentävää lisämateriaalia (Ulkoinen linkki), esimerkiksi päivittyviä, uusien teknologioiden arvioinnin ja soveltamisen kuvauksia. Liitteet ovat vapaasti ladattavissa.

Muita tällä sivulla jaettuja materiaaleja voi hyödyntää esimerkiksi organisaatioiden tietoturvan -ja suojan parantamisessa, hankintojen suunnittelussa sekä yhteistyökumppaneiden arvioinnissa ja valinnassa.

Hyviä käytäntöjä, muttei virallisia ohjeita

Tällä sivulla jaetut ohjeet sekä tietoturva- ja tietosuojavaatimusten listat ovat luonteeltaan kriittistä infrastruktuuria turvaavien kyberturvallisuuden ja tietosuojan asiantuntijoiden käsityksiä hyvistä käytännöistä, mutta ne eivät ole virallisia ohjeita tai suosituksia. Esimerkiksi KYBER-ENE-hankkeissa tehtiin huomattava työ sen eteen, että ohjeissa olisi esimerkkejä siitä, miten erityisesti energia-alan tietojärjestelmien ja laitteiden virallisesti vaadittuja tietoturva- ja tietosuojatavoitteita voitaisiin toteuttaa.

Versiot ja laitokset

Kyberturvallisuuskeskus pitää tällä verkkosivulla listaa julkisesti saatavilla olevista dokumenteista.

Mikäli toimit kriittisellä infrastruktuurissa energiasektorilla ja haluat tutustua Kyber-ENE:n dokumentteihin, jotka eivät ole saatavilla julkisesti, voit kysyä niitä Kyberturvallisuuskeskuksesta tai Huoltovarmuuskeskuksesta. Vastaavasti esimerkiksi KYBER-VESI-hankkeessa (Ulkoinen linkki) toteutetut oppaat ja työkalut (Ulkoinen linkki) ovat saatavilla Vesihuoltolaitosyhdistyksen varsinaisille jäsenille VVY:n extranetissä (Ulkoinen linkki)ja Huoltovarmuuskeskuksen kautta.

Mm. KYBER-ENE2-projektissa tuotetut IoT-hankintaohjeet sekä COREQ-VE:n dokumentit ovat erityisen hyödyllisiä vaatimusten läpikäyntiin ja valitsemiseen hankintojen asiantuntijoiden kanssa. Käyttöehtojen vain salliessa, eri ohjeita voi myös jatkojalostaa omaan organisaatioonne tai omalle sektorille sopivammiksi. Esimerkiksi Huoltovarmuuskeskuksen COREQ-VE teollisuusautomaation tietoturvahankkeen tuloksia hyödynnettiin sosiaali- ja terveydenhuoltosektorilla Kyber-Terveys-hankkeessa .

Hankittavan tuotteen myyjälle voi olla järkevää lähettää englanninkielisestä versiosta poimitut vaatimukset, sillä useita tuotteita myyvät kansainväliset yritykset, joille suomenkielisten tarjouspyyntöjen käsittely on vaikeaa ja virhealtista. Tältä sivulta löytyy KYBER-ENE2-projektissa toteutetut suomen- ja englanninkieliset tarkastuslistat IoT-hankintoihin.

Käytä vapaasti - parilla ehdolla

Epävarmoissa tilanteissa varmista dokumenttien lisenssit ja käyttöehdot suoraan niiden julkaisijoilta!

Kyber-ENE-hankkeen julkiset dokumentit on tarkoitettu vapaasti jaettavaksi ja muokattavaksi. Niitä voivat hyödyntää myös kaupalliset toimijat tai viranomaiset. Seuraavat ehdot pätevät:

Nimeä - Sinun on mainittava lähde asianmukaisesti.
Käyttöoikeus: Creative Commons - Nimeä 4.0/ CC BY 4.0. (Ulkoinen linkki)

Kybermittari on tarkoitettu vapaasti yritysten, järjestöjen ja julkisten toimijoiden käyttöön. Lisäksi sitä voivat hyödyntää kaupalliset toimijat tai viranomaiset. Seuraavat ehdot pätevät:

Nimeä - Sinun on mainittava lähde asianmukaisesti.
Kybermittarin käyttöehdot. (Ulkoinen linkki)

Suomen Automaatioseuran "Teollisuusautomaation tietoturva - verkottumisen riskit ja niiden hallinta" -julkaisun (Ulkoinen linkki) verkkoversio vuodelta 2010 sisältää seuraavan ehdon:

Ota yhteyttä: kyberturvallisuuskeskus@traficom.fi

Alla olevat dokumentit ovat TLP:CLEAR -jakelurajoitteella (rajoittamaton). Jakelurajoitteista ja liikennevaloluokittelusta löytyy lisätietoja sivuiltamme .

TLP:CLEAR - Kysymyslista tuotannon kyberturvallisuuskyvykkyyden yleiskartoituksen suunnittelua varten.

TLP:CLEAR - Start-up työpajan suunnittelun tarkastuslista suunnittelun avuksi, jotta voidaan herättää henkilöstö kyberturvallisuuden tärkeyteen ja aloittaa yhteinen työskentely kyberturvallisuuden kehityskohteiden parissa.

TLP:CLEAR - SOC-palvelun käyttöönoton tarkastuslista.

TLP:CLEAR - Omaisuuden hallinnan tarkastuslistat. Automaatio-omaisuuden hallinta kyberturvallisuuden näkökulmasta perustuu siihen, että tunnetaan tärkeimmät automaatioon kuuluvat osat sekä ymmärretään niiden ominaisuudet.

TLP:CLEAR - Cyber security for lean IoT procurement who companies who need to negotiate and contract the cyber security with their potential IoT service or solution providers.

TLP:CLEAR - Kysymyslista kyberturvallisuuden itsearvioinnin suunnittelua varten.

TLP:CLEAR - IoT-toimittajien ja ratkaisujen arvioinnin tarkastuslistat helpottamaan IoT-palveluntarjoajien luotettavuuden ja kyberturvallisuuteen liittyvien kyvykkyyksien arviointia.

TLP:CLEAR - Kysymyslista KYBER-ENE-projektissa kehitetyn tuotannon kyberturvan hallintamallin soveltamiseen sekä auttamaan hallintamallin soveltamiseen liittyvien kysymysten ja tehtävien konkretisointia.

TLP:CLEAR - Kysymyslista auditointikumppanin arviointiin ja valintaan.

Huoltovarmuuskeskus - Teollinen internet ja huoltovarmuus (2016) (Ulkoinen linkki)

Huoltovarmuuskeskus - Tietoturvaa huoltovarmuuskriittisille yrityksille - Kooste automaatiota hyödyntävälle teollisuudelle suunnattujen tietoturvaprojektien tuloksista (2013) (Ulkoinen linkki)

VTT Technology 353 - KYBER-ENE Energia-alan kyberturvaaminen 1-2 - Julkisten tulosten kooste (2019) (Ulkoinen linkki)