Näin keräät ja käytät lokitietoja

Lokitus tarkoittaa lokitietojen tallennusta ja hyödyntämistä. Lokitietoa tarvitaan selvittämään, mitä, miksi ja milloin jotakin tapahtui. Internetiin kytketyt laitteet ja operaattorit keräävät lokitietoja. Tämä ohjeistus on tarkoitettu organisaatioille, joilla on omaa tietoturvaosaamista.

Loki tarkoittaa aikajärjestyksessä kirjattua tallennetta tapahtumista ja niiden aiheuttajista. Tapahtumat ja muutokset tietojärjestelmissä, sovelluksissa, tietoverkoissa ja tietosisällöissä kirjataan lokiin, eli lokitetaan.

Lokia syntyy koko ajan kaikkialla. Tietokoneesi kerää käyttölokia, langattoman verkon tukiasema ja lankaverkon reititin tallentavat tapahtumalokia, puhelimesi operaattori kirjaa viestintälokia, jokapäiväiset ohjelmistosi pääsynvalvontalokia, virhelokia ja niin edelleen.

Riittävän hyvän lokin ainekset

1: Aikaleima

Kirjaa lokiin tapahtuman ajankohta.

2: Tapahtuma ja toimija

Kirjaa lokiin, mitä tehtiin tai yritettiin tehdä ja tekijä.

3: Käyttöoikeus

Kirjaa lokiin, millä valtuuksilla tai oikeuksilla tapahtuma tehtiin.

4: Tapahtuman lähde

Kirjaa lokiin, mistä tapahtuma tehtiin ja mistä muutostieto on peräisin.

5: Tapahtuman tila

Kirjaa lokiin, onnistuiko tekijä aikeissaan. Jos teko ei onnistunut, kirjaa epäonnistumisen syy.

Huolehdi tietosuojasta

Loki voi sisältää myös henkilötietoja, jolloin niiden käsittelyssä on noudatettava EU:n tietosuoja-asetusta. Asetuksen tietojen minimointiperiaatteen mukaan henkilötietojen on oltava rajoitettuja siihen, mikä on tarpeellista suhteessa niihin käyttötarkoituksiin, joita varten niitä käsitellään. Järjestelmän sisältämistä henkilötiedoista on laadittava tietosuojaseloste.

Liian yksityiskohtainen tapahtumaseuranta yhdistettynä henkilöiden identiteetteihin saattaa rikkoa yksilön tietosuojaa.

Pääsääntöisesti älä tallenna lokiin näitä tietoja:

  • henkilötunnuksia
  • EU:n tietosuoja-asetuksen tarkoittamia erityisiä henkilötietoja (ns. arkaluonteiset tiedot)
  • luottokorttinumeroita
  • salasanoja (ei edes tiivistemuotoisia)
  • järjestelmien välisiä käyttöavaimia ja salaisuuksia
  • valtuutustietoja
  • henkilöiden välisen viestiliikenteen sisältöä.

 

Lokin räätälöinti

1: Paljonko on sopivasti?

Lokitietojen sopiva tallennusmäärä löytyy helpoiten kokeilemalla. Aloita varovasti ja lisää sitten tiedonkeruun yksityiskohtaisuutta tarpeen mukaan. Jos käyttöönotossa säätää lokituksen liian raskaaksi, se tukkii järjestelmän nopeasti ja hyödyllistä tietoa on vaikea seuloa kaiken massan alta. EU:n tietosuoja-asetuksen mukainen minimointiperiaate edellyttää henkilötietojen osalta niiden käsittelyn tarpeellisuutta.

2: Lokien säilytysaika

Lokien riittävä säilytysaika vaihtelee suojattavan kohteen mukaan yleensä kuuden ja 24 kuukauden välillä. Tietosuoja-asetuksessa ei ole määritelty tarkkoja henkilötietojen säilytysaikoja. Rekisterinpitäjän on arvioitava henkilötietojen säilytysaikaa ja tarpeellisuutta kysymyksessä olevaa käyttötarkoitusta vasten. Henkilötietoja saa säilyttää vain niin kauan, kun ne ovat tarpeen henkilötietojen käyttötarkoituksen kannalta. Rekisterinpitäjän on arvioitava ja pystyttävä perustelemaan säilytysajat. 

3: Arkistointi ja poisto

Arkistoimalla lokitietoja varmistetaan mahdollisuus palata vanhempiinkin havaintoihin, joita ei esimerkiksi tilankäyttösyistä ole mahdollista pitää aktiivisessa käytössä olevassa lokissa.

Tiedot pitää lähtökohtaisesti poistaa tai anonymisoida kun ei enää ole tarvetta niiden käsittelylle. Lokitiedoilla on yleensä elinkaari, jonka lopussa tiedoille ei enää ole käyttöä eikä niiden säilyttäminen ole tarpeen. Lokitietojen poistamiselle tulisi myös olla menettely.

4: Vastuut lokien käsittelyssä

Lokien käsittelystä vastaavat ensisijaisesti tehtävään nimetyt pääkäyttäjät. Seurattavuuden varmistamiseksi yksittäisillä pääkäyttäjillä ei tulisi olla muokkausoikeuksia keskitettyyn lokienhallintajärjestelmään.

Lokiseloste määrää, mihin tarkoitukseen lokitietoa kerätään ja mihin lokitietoa saa käyttää. Jokaiselle kerättävälle lokitiedolle on oltava peruste. Lokien turvallisuutta ja asianmukaisuutta on auditoitava säännöllisesti. Ylläpitäjät seuraavat heille tarpeellisia lokeja, tietoturvavastaavat seuraavat tietoturvallisuuteen liittyviä lokeja ja viime kädessä lokitiedosta vastaa organisaation ylin johto.

5: Väärälle paikalle kirjattu salasana jää näkyviin

Kirjautumislokiin tallennetaan yleensä sekä onnistuneet että epäonnistuneet kirjautumisyritykset. Kirjautumisen tunnistetietoina tallennetaan esimerkiksi käyttäjätunnus, ajankohta ja osoite, josta kirjautumisyritys tehtiin. Myös vääristä kirjautumisyrityksistä jää merkintä, jonka voi lukea lokista. Kuinka usein olet vahingossa kirjoittanut käyttäjätunnuksen paikalle salasanasi ja painanut enteriä? Se on nyt tallessa lokissa, jonka ylläpitäjä voi lukea selväkielisenä. Kannattaa aina vaihtaa salasana, jonka on lipsauttanut näkyvälle paikalle.

6: Huolehdi tietosuojasta

Loki voi sisältää myös henkilötietoja, jolloin niiden käsittelyssä on noudatettava EU:n tietosuoja-asetusta. Asetuksen tietojen minimointiperiaatteen mukaan henkilötietojen on oltava rajoitettuja siihen, mikä on tarpeellista suhteessa niihin käyttötarkoituksiin, joita varten niitä käsitellään. Järjestelmän sisältämistä henkilötiedoista on laadittava tietosuojaseloste.  

Liian yksityiskohtainen tapahtumaseuranta yhdistettynä henkilöiden identiteetteihin saattaa rikkoa yksilön tietosuojaa.

7: Pääsynvalvonta

Lokien käsittely edellyttää tarkoin harkittua pääsynvalvontaa. Lokit ja niiden kirjauspalvelut voi suojata asiattomalta käytöltä parhaiten muusta tuotantoympäristöstä erillisellä lokiympäristöllä, jonka eheys eli muuttumattomuus on varmistettu.

Erityisesti tulee huolehtia järjestelmän erottelusta muusta ympäristöstä siten, että mahdollinen tietoturvaloukkaus ei pääse vaikuttamaan lokitapahtumien eheyteen. Myös lokitiedot on syytä varmuuskopioida ja niiden käsittelystä kirjata lokimerkintöjä sekä asiattomista muokkausyrityksistä säätää hälytykset.

Lue lisää lokituksesta

"Logging made easy" (Ulkoinen linkki)on Iso-Britannian kyberturvallisuuskeskuksen ylläpitämä avoimen lähdekoodin projekti, joka on julkisesti jaossa Github-palvelussa. Projekti esittelee käytännöllisen tavan luoda perustason kattava seuranta ja lokitus Windows-ympäristöön. Projekti ei ole täydellinen, eikä se ole tarkoitettu ammattikäyttöön, vaan se tarjoaa perustason toiminnallisuudet. Tilanne ei ole täydellinen, mutta perustason seuranta ja lokitus on parempi kuin ei seurantaa tai lokitusta lainkaan.