BS7799 vs ISF Standard of Good Practices

Tero Kallio
Tietoturvallisuus nykyaikaisessa liiketoimintaympäristössä –seminaari
3.3.2003
Laajennettu tiivistelmä

Johdanto

Tieto on hyödyke, joka on sitä hallinnoivalle yritykselle erittäin tärkeä voimavara. Tästä syystä tieto pitää myös suojata sellaisilta osapuolilta, joilla ei ole oikeutta kyseisen tiedon käsittelyyn. Tietoturvan tärkein tehtävä on turvata yrityksen jatkuvuus, vähentää liiketoiminnan riskiä ongelmatilanteissa ja kasvattaa sijoitusten tuottoa. 

Tieto voi olla monenlaisessa eri muodossa. Tästä syystä myös tietoturvastrategioiden pitää olla hyvin monipuolisia ja kattavia. Tietoturvan kannalta oleellisia asioita ovat luottamuksellisuus, eheys ja saattavuus. Toisin sanoen kaikesta tiedosta, jonka saatavuudelle on asetettu rajoituksia, pitää olla varmuus, että sitä ei ulkopuoliset pääse tutkimaan. Lisäksi tiedon pitää olla ajantasalla ja samanlaista joka paikassa, missä sitä käytetään ja tarpeellisen tiedon pitää olla saatavilla silloin kun sitä tarvitaan.

Yritykset kohtaavat nykyään enenevässä määrin erilaisia uhkia, koska tekninen kehitys on siirtänyt myös melkein kaiken tiedon tietoverkkojen kautta saatavaksi. Tietoverkkoissa liikkuvan elektronisen informaation valvonta on huomattavasti hankalampaa kuin fyysisen tiedon. Elektronisesti talletettua tietoa voi joku päästä lukemaan kenenkään huomaamatta, jos esimerkiksi tiedonhallintajärjestelmässä on turva-aukkoja. Teknisten uhkien lisäksi ovat tietenkin edelleen olemassa fyysiset uhat, kuten sabotaasit, tulipalot, varkaudet ja tulvat. 

Yritystä uhkaavat vaarat voidaan kartoittaa erinäisillä arviointimenetelmillä, joilla eri uhkien vaarallisuus ja tapahtumistodennäköisyys saadaan selville. Tämän jälkeen vaarallisimpiin ja todennäköisimpiin uhkiin voidaan panostaa eniten voimavaroja. Yrityksen uhkien kartoitus voidaan jakaa kolmeen eri osa-alueeseen. Ensimmäisenä ovat juuri nämä arvioinnin kautta saadut uhat. Toiseksi tulevat mm. laissa määritellyt ja sopimuksissa sovitut velvollisuudet, joiden täyttämättä jättäminen voi aiheuttaa yritykselle vakaviakin seurauksia. Kolmas osa on yrityksen itsensä määrittelemien tiedon käsittelyyn suunnitellut prosessit. Kaikkien näiden alueiden tunteminen ja tutkiminen on tietoturvan lopputuloksen kannalta olleellisia eikä yhtäkään voida jättää tutkimatta.

Tietoturvallisuuden toteuttaminen on kallista, mutta kuluja voidaan vähentää ottamalla tietoturvan suunnittelu mukaan aina projektien alusta lähtien. Yrityksellä tuleekin tätä varten olla olemassa valmiit ohjeistukset, joilla riittävä tietoturvan taso saavutetaan. Ottamalla tietoturva huomioon heti alusta alkaen, saavutetaan myös parempi tietoturvan taso, koska osajärjestelmiä ei silloin voida toteuttaa turvattomiksi.

Näiden uhkien torjunnan organisointi on yritykselle erittäin tärkeä tehtävä ja tätä varten on kehitetty erilaisia tietoturvan hallinnan suunnitteluun tarkoitettuja standardeja. Tässä seminaarityössä keskitytään kahden tällaisen standardin vertailuun. Toinen käsiteltävistä standardeista on British Standard komitean julkaisema BS 7799 –standardi, joka tunnetaan myös nimellä ISO 17799 ja toinen standardi on Information Security Forumin (ISF) julkaisema The Forum’s Standard Of Good Practice. BS 7799 on alunperin julkaistu vuonna 1995 ja sitä on laajennettu vuonna 1998.  Laajennusosassa on määritellään tietoturvahallintajärjestelmä ja annetaan ohjeet sen toteuttamiselle ja dokumentoinille. ISF:n standardi on julkaistu ensimmäisen kerran vuonna 1989 ja sitä päivitetään kahden vuoden välein. 

Itse standardit eivät ole samalla tavalla standardeja kuin esimerkiksi tietoliikenteen standardit. ISF:n standardille antama nimi Standard Of Good Practice kertookin hyvin mistä näissä papereissa on kyse eli hyvästä käytännöstä. Papereissa kerrotaan mihin asioihin sitä käyttävän yrityksen kannattaa kiinnittää huomiota ja jokainen voi itse päättää sen miten kyseinen osio konkreettisesti toteutetaan. Standardit toimivat enemminkin tarkistuslistoina, joista yritys voi käydä läpi onko heillä puutteita omissa järjestelmissään.

Tässä seminaaripaperissa tulen vertailemaan näitä kahta standardia niin rakenteelliselta, sisällölliseltä kuin eroavaisuuksien kannalta. 

Lähteet:

BSI/DISC Committee BDD/2, Information security management,
BS 7799 - Part 1: Code of practice for information security management,
1998

BSI/DISC Committee BDD/2, Information security management,
BS 7799 - Part 2: Specification for information security management systems
1999

Information Security Forum (ISF),
The Forum’s Standars of Good Practice – The Standard for Information Security,
2000