Uutiset ja muutokset
Muutokset standardissa, uudet säädöslähteet ja mitä ostajat ja pankit käytännössä ovat alkaneet kysyä — ja mitä sille pitää tehdä.
Monivaiheinen todennus metalli- ja valmistusteollisuudessa: missä se on pakollista ja missä ei?
Turvallisuusvelvoitteessa ei mainita tiettyjä teknologioita nimeltä, mutta siinä kuitenkin kuvataan, missä vahva pääsynvalvonta odotetaan — ja miksi vanhoissa tuotantojärjestelmissä usein tarvitaan eri lähestymistapa.
Lue lisää →Varmuuskopiot ja palautus metalli- ja valmistuksessa: milloin viimeksi testasitte?
Varmuuskopion olemassaolo ei kerro mitään, jos kukaan ei ole yrittänyt palauttaa sitä. Tämä artikkeli selittää, miksi juuri metalli- ja valmistussektorissa palautustesti on painopiste, ei varmuuskopion tekeminen.
Lue lisää →Vaaratapahtumatarkastelu metalli- ja valmistusteollisuudessa: mitä dokumentoitte?
Mitä on dokumentoitava, kun kyberturvallisuuspoikkeama koskee tuotantoympäristöäsi, ja miksi verkkoon kytkettyjen koneiden kanssa tarvitaan eri lähestymistapa kuin toimistokantatietokoneella.
Lue lisää →Pääsynhallinta metalli- ja valmistusindustriassa: kuka saa käyttää mitä tuotantojärjestelmiä?
Käytännön opas pääsynhallintaan valmistusyrityksille: kuka saa käyttää mitä järjestelmiä, miten sen järjestät verkkoon kytketyille koneille ja ohjelmoitaville logiikoille, ja mitä ostajat siitä tarkalleen ottaen kysyvät.
Lue lisää →Mitä vaatimuksia tilaaja asettaa metalli- ja valmistausteollisuudelle NIS2:n jälkeen?
Tilaajat, jotka itse kuuluvat NIS2:n soveltamisalaan, muuntavat huoltopyynnöstään johtuvia velvollisuuksia sopimusvaatimuksiksi metalli- ja valmistausteollisuuden toimittajille — erityistä huomiota kiinnittäen koneisiin ja tuotantojärjestelmiin, jotka ovat yhteydessä verkkoon.
Lue lisää →Kuuluvatko metalli- ja valmistukseen liittyvät teollisuudet NIS2:n soveltamisalaan?
Metalliteollisuuden yrityksille ja koneenrakentajille NIS2:n mukainen velvoite riippuu samanaikaisesti kolmesta tekijästä: tarkasta toimialasta, yrityksen koosta ja roolista suuremman tilaajan toimittajaketjussa.
Lue lisää →Tietoturvakyselylomake metalli- ja valmistuksessa: mitkä kysymykset toistuvat?
Metalli- ja valmistusalan alihankkijat saavat usein samoja kysymyksiä tuotantoympäristöstään. Tämä artikkeli kokoaa toistuvat kategoriat, jossa tuotantoverkkoon kytketyt järjestelmät ovat keskiössä.
Lue lisää →Tietoisuus ja koulutus asennusalalla: mitä NIS2-huolellisuusvelvollisuus vaatii?
Huolellisuusvelvollisuus edellyttää, että asennusyrityksen työntekijät tiedostetaan säännöllisesti kyberriskeistä; johtajille on erillinen, henkilökohtainen koulutusvelvollisuus. Tässä artikkelissa selitetään ero.
Lue lisää →Mitä tietoturvakäytäntöön kuuluu asennusyrityksessä?
Yleiskatsaus siitä, mitä asennusalan tietoturvakäytäntöön kuuluu, erityisesti koska asentajat työskentelevät asiakkaiden tiloissa ja heillä on pääsy rakennuksiin ja järjestelmiin.
Lue lisää →Toimittajapolitiikka asennusyrityksille: kuinka arvioit, kuka saa tulla asiakkaasi tiloihin?
Asennusyritys tekee yhteistyötä myös aliurakoitsijoiden, itsenäisten ammatinharjoittajien ja toimittajien kanssa, joilla on pääsy asiakkaasi rakennuksiin ja järjestelmiin. Tämä artikkeli osoittaa, kuinka kartoitat ja arvioit omaa toimitusketjuasi.
Lue lisää →Monivaiheinen varmennus asennusalalla: missä se on pakollista ja missä ei?
Yleiskatsaus siihen, missä kaksivaiheinen varmennus asennusalalla odotetaan, ja miksi pääsy rakennuksiin ja asiakkaiden paikalla sijaitseviin järjestelmiin vaatii usein erillistä harkintaa.
Lue lisää →Varmuuskopiot ja palautus asennusalalla: milloin testasite sen viimeksi?
Varmuuskopio, jota ei ole koskaan palautettu, ei ole takuu vaan oletus. Tämä artikkeli selittää, mitä "testaus" käytännössä tarkoittaa asennusyritykselle, jolla on pääsy rakennuksiin ja asiakkaiden järjestelmiin.
Lue lisää →Poikkeamien kirjaus asennusalalla: mitä dokumentoitte, kun jotakin menee pieleen?
Häiriö, varastettu avain tai väärä käyttäjätili asiakkaalla: mitä asennusyritys dokumentoi, kun jotakin menee pieleen, ja miksi se on enemmän kuin virheilmoitus lipputjärjestelmässä.
Lue lisää →Pääsynvalvonta asennusalalla: kuka saa käyttää mitä järjestelmiä ja avaimia?
Pääsynvalvonta on toimenpide, josta turvallisuuskyselyn tekijät kyselevät useimmin. Asennusyrityksille se ei ole vain salasanoista, vaan myös avaimista, kulkukorteista ja asiakkailla paikan päällä käynnin pääsystä.
Lue lisää →Mitä vaatimuksia tilaaja asettaa asennusyrityksille NIS2:n jälkeen?
Tilaajat, joihin NIS2:n kyberturvallisuusvelvoite itseensä kohdistuu, kääntävät sen velvoitteen sopimuksellisiksi vaatimuksiksi asennusyrityksille — erityisesti rakennuksiin pääsyn, avainten ja rakennusjärjestelmien osalta. Tämä artikkeli selittää, mitä voit odottaa ja miksi.
Lue lisää →Onko asentajala-branche NIS2:n kohteena?
Asentajien osalta vastaus riippuu sektorista, yrityksen koosta ja siitä, miten he pääsevät käsiksi asiakkaiden rakennuksiin ja järjestelmiin, jotka itse kuuluvat NIS2:n soveltamisalaan.
Lue lisää →Turvallisuuskyselylomake asennusalalla: mitkä kysymykset toistuvat?
Asennusyritys, joka työskentelee asiakkaiden tiloissa ja hallinnoi järjestelmiä etänä, saa usein turvallisuuskyselylomakkeen, jossa on erityisiä kysymyksiä rakennuksiin ja järjestelmiin pääsystä. Tämä artikkeli luettelee alalla toistuvasti esille tulevat kysymykset.
Lue lisää →Turvallisuusosaamiseen liittyvä koulutus ohjelmistokehityksessä: mitä huolehtimistavoite edellyttää?
NIS2-huolehtimistavoite edellyttää ohjelmistokehittäjiltä, että ne kouluttavat työntekijöitä turvallisuustietoisuudessa, ja asettaa lisäksi erillisen, henkilökohtaisen koulutusvelvollisuuden johtajille. Tämä artikkeli selittää eron.
Lue lisää →Mitä tulee sisältyä ohjelmistokehityksen tietoturvapolitiikkaan?
Ohjelmistokehityksen tietoturvapolitiikka kuvaa sekä sitä, kuinka suojaat rakentamasi tuotteen että kuinka suojaat omaa kehitysympäristöäsi — tämä artikkeli selvittää, mitkä osat siihen kuuluvat.
Lue lisää →Toimittajapolitiikka ohjelmistokehityksessä: kuinka arvioitte omia toimittajianne?
Ohjelmistoyritykset saavat itse tietoturvakyselylomakkeita, mutta ne täytyy myös arvioida omia toimittajiaan. Tässä artikkelissa näytetään, kuinka sen rakennatte, kehitysputken ja tuotteesanne olevan koodin kahdella erillisellä huomiopistolla.
Lue lisää →Monivaiheisen todentamisen soveltaminen ohjelmistokehityksessä: missä se on ja missä ei ole tarkoituksenmukaista?
Katsaus tilanteisiin, joissa kaksivaiheinen todentaminen on järkevä ratkaisu ohjelmistokehityksessä, ja tilanteisiin, joissa se on vähemmän itsestään selvä.
Lue lisää →Varmuuskopiot ja palautus ohjelmistokehityksessä: milloin testasitte viimeksi?
Varmuuskopio, jota ette ole koskaan palauttaneet, on oletus, ei toimenpide — varsinkaan lähdekoodille, kehitysputkelle ja niiden takana olevalle salaisuuksille.
Lue lisää →Poikkeamien kirjaaminen ohjelmistokehityksessä: mitä dokumentoitte, kun jotakin menee pieleen?
Yhteenveto siitä, mitä ohjelmistoyritys kirjaa poikkeaman sattuessa: ero haavoittuvuuden välillä koodissa, jonka toimittavat, ja ongelman välillä omalla kehitysketjulla, sekä se, mitä asiakas haluaa nähdä.
Lue lisää →Pääsynhallinta ohjelmistokehityksessä: kuka saa päästä lähdekoodiin ja kehitysputkeen?
Selitys siitä, mitä pääsynhallinta tarkoittaa kehitystiimille: kuka saa päästä lähdekoodiin, rakennusputkeen ja tuotantoympäristöön, ja mitä dokumentoitte siitä kyberturvallisuuskansiossanne.
Lue lisää →Mitkä vaatimukset sisältyvät ohjelmistojen kehittämisen sopimukseen NIS2:n jälkeen?
Tilaaja, jolle NIS2:n huolenpitovelvoite on voimassa, muuntaa tämän velvoitteen sopimuksellisiksi vaatimuksiksi sinun kehittämälleen ohjelmistolle ja sen kehittämistavalle. Tämä artikkeli käsittelee, mitkä vaatimukset ne yleensä ovat.
Lue lisää →Onko ohjelmistokehitys NIS2:n soveltamisala?
Ohjelmistokehitys ei ole erillinen sektori NIS2:n liitteissä, mutta pilvi- tai ICT-palvelun tarjoamisen, yrityksesi koon ja toimittajana olemisen kautta voit silti joutua direktiivin soveltamisalan piiriin.
Lue lisää →Mitä kysymyksiä ohjelmistoyritys saa NIS2-kyselylomakkeessa?
Yleiskatsaus kysymyksiin, jotka tulevat säännöllisesti esille ohjelmistokehittäjien turvallisuuskyselylomakkeissa: koodista, jonka rakennatte, ja kehitysputkesta, jossa sen teette.
Lue lisää →Onko tietoturvatietoisuuden koulutus pakollista ICT-palveluntarjoajille NIS2:n mukaisesti?
NIS2 mainitsee tietoisuuden ja koulutuksen yhtenä kymmenestä riskienhallintamitasta erillään hallinnon erillisestä koulutusvelvoitteesta. Tämä artikkeli selittää eron ja mitä se tarkoittaa ICT-palveluntarjoajalle.
Lue lisää →Mitä ICT-palveluntarjoajan tietoturvakaavion tulee sisältää?
ICT-palveluntarjoajan tietoturvakaavio kuvaa, kuinka käsittelette etähallinnan, pääsyä asiakkaiden järjestelmiin ja alihankkijoihin — tämä artikkeli osoittaa, mitkä osat kuuluvat siihen.
Lue lisää →ICT-palveluntarjoajien toimittajakäytännön muodostaminen: mistä aloitat?
ICT-palveluntarjoajat saavat asiakkailta omia kyselylomakkeita, mutta heidän tulee myös arvioida omat toimittajansa: alihankkijat, etähallinnan työkalut ja kaikki, joilla on pääsy asiakkaiden järjestelmiin.
Lue lisää →Monivaiheinen todentaminen ICT-palvelun tarjoamisessa: missä pakollista ja missä ei?
Monivaiheinen todentaminen esiintyy lähes jokaisessa NIS2-vastuvelvoitteessa ja jokaisessa tietoturvakysymysluettelossa, mutta vaatimus vaihtelee pääsyrän mukaan. Tämä artikkeli osoittaa, missä MFA-todentamista odotetaan rakenteellisesti ja missä keskustelu on vielä avoinna.
Lue lisää →Varmuuskopiot ja palautus ICT-palveluissa: milloin testasitte viimeksi?
Varmuuskopio, joka on olemassa mutta jota ei ole koskaan palautettu, ei täytä vastuullisuusvelvoitteen arviointia. Mitä tämä käytännössä tarkoittaa etähallinnolle, asiakkaiden järjestelmien käytölle ja alihankkijoille.
Lue lisää →Tietoriskitapahtumien kirjaus ICT-palveluissa: mitä dokumentoitte?
ICT-palveluntarjoajana työskentelette usein etänä asiakkaiden järjestelmissä, joskus alihankkijan kanssa. Tämä artikkeli kuvaa, mitä dokumentoitte, kun jokin menee pieleen, jotta voitte osoittaa sen myöhemmin.
Lue lisää →Pääsynhallinta ICT-palveluissa: kuka pääsee mihin?
Selitys siitä, mitä pääsynhallinta NIS2-huolelentovelvollisuuden yhteydessä tarkoittaa, ja miksi kyselyistä saadaan erityisen terävät vastaukset etähallinnan, asiakaspääsyn ja alihankkijoiden hallinnasta.
Lue lisää →Mitä tilaaja vaatii ICT-palvelun tarjoajalta NIS2:n jälkeen
Tilaajat, jotka itse kuuluvat NIS2:n huolellisen toiminnan velvoitteen piiriin, muuttavat tämän velvoitteen sopimuksellisiksi vaatimuksiksi heidän ICT-palveluntarjoajalleen — järjestelmiin pääsystä, etähallinnoinnista ja alihankkijoista.
Lue lisää →Kuuluuko ICT-palvelun tarjoaminen NIS2:n soveltamisalaan?
ICT-palvelun tarjoajille vastaus on kaksitahoinen: osa kuuluu itse NIS2:n sektoriluetteloon, ja paljon suurempi osa joutuu huomioon otetuksi, koska asiakkaat joutuvat arvioimaan heidät toimittajiksi, joilla on pääsy järjestelmiin.
Lue lisää →Tietoturvakyselylomake ICT-palvelujen tarjoamisessa: mitkä kysymykset toistuvat?
ICT-palvelun tarjoajat saavat asiakkaiden järjestelmiin pääsyn vuoksi usein yksityiskohtaisimmat tietoturvakyselylomakkeet. Tämä artikkeli esittelee toistuvat aiheet: etähallinta, pääsy asiakkaiden järjestelmiin ja alihankkijat.
Lue lisää →Turvallisuuskyselyn uudelleenkäyttö: miksi toinen kerta vie vain minuutteja
Asiakkaan ensimmäinen turvallisuuskyselylomake vie paljon aikaa tietojen etsimiseen ja muotoiluun. Kun vastaukset kirjataan asiakirjaan, huomataan, että toinen ja kolmas kyselylomake vaativat vain tarkistuksen ja muutamia muutoksia.
Lue lisää →NIS2-vaatimukset MKB-yritykselle: kuinka rakentaa asiakirja-aineisto ilman vuoden mittaista projektia?
NIS2-asiakirja-aineisto ei tarvitse pitkäkestoista projektia: aloita siitä, mitä yrityksellänne jo on, ja lisää kukin toimenpide kerrallaan tilansa, vastuuhenkilönsä ja todistuksensa kera.
Lue lisää →NIS2 vai DORA: mikä säännös koskee organisaatiotani?
Rahoituslaitokset kuuluvat DORan piiriin, eivät NIS2:n piiriin. Tämä artikkeli selittää, kuinka näet toimialasi perusteella, mikä säännös koskee organisaatiotasi.
Lue lisää →Kuinka korkea on NIS2-sakko, ja kuka sen varsinaisesti voi saada?
Direktiivi mainitsee korkeat enimmäismaksut, mutta ne koskevat vain organisaatioita, jotka ovat itse direktiivin 2022/2555 soveltamisalaan kuuluvia. Paljon suuremmalle toimittajaryhmälle riski ei ole sakko vaan sopimus, joka häviää aikaisemmin.
Lue lisää →Ovatko johtajat henkilökohtaisesti vastuussa NIS2:n mukaan?
NIS2 asettaa osan velvoitteista suoraan johdolle: hyväksyä, valvoa ja kouluttaa. Tämä artikla selittää, mitä tämä käytännössä tarkoittaa ja miksi sitä ei voi siirtää toimittajalle.
Lue lisää →Onko NIS2-sertifikaattia olemassa?
Ei — virallista NIS2-sertifikaattia ei ole olemassa, eikä mitään elintä, joka sen myöntäisi. Tämä artikla selittää, mitä direktiivi vaatii ja miten voit osoittaa sen uskottavasti.
Lue lisää →NIS2 ja ISO 27001: mitä eroa niillä on?
ISO 27001 -sertifikaatti kattaa suuren osan siitä, mitä direktiivin (EU) 2022/2555 riskienhallintajärjestelmää koskevat velvoitteet edellyttävät, mutta se ei kata ilmoitusvelvollisuutta eikä ilmoitusvelvollisuutta valvontaviranomaiselle.
Lue lisää →NIS2-rekisteröinti valvontaviranomaisen luona: miten se toimii?
Kriittiset ja tärkeät yhteisöt on rekisteröitävä kansalliselle valvontaviranomaiselle — tässä artikkelissa selvitetään, mitä tietoja siihen tarvitaan ja miksi kukaan ei muistuta teitä asiasta.
Lue lisää →NIS2-ilmoitusvelvollisuus: mitä 24 tuntia, 72 tuntia ja yksi kuukausi tarkalleen tarkoittavat?
NIS2-direktiivi edellyttää kolmea ilmoitusajankohtaa merkittävän vaaratapahtuman jälkeen. Se, mitä kunkin ajankohdalla odotetaan, eroaa siitä, mitä yleensä väitetään.
Lue lisää →Mitkä kymmenen toimenpidettä NIS2-huolelennovelvoite odottaa organisaatioltasi?
NIS2-direktiivin huolelennovelvoite luettelee kymmenen turvatoimenpidettä. Tämä artikkeli selittää tavallisella kielellä, mitä kukin toimenpide tarkoittaa ja miten näet sen olevan järjestetty.
Lue lisää →Asiakkaan turvallisuuskysely: mitä sillä tehdään?
Asiakas lähettää pitkän kyselyn tietoturvastanne ja viittaa NIS2:een. Mitä kysely tarkoittaa, miksi se tulee ja kuinka vastaat siihen käyttökelpoisesti.
Lue lisää →Kuuluuko yritykseni NIS2:n piiriin?
Kaksi kysymystä määrittävät, soveltuuko NIS2-direktiivi suoraan yrityksellenne: toimiala, jolla olette aktiivisia, ja organisaationne koko. Jos ette kuulu direktiivin piiriin, saatatte kuitenkin joutua siihen kosketuksiin asiakkaanne tai toimittajanne kautta.
Lue lisää →