BS7799 vs ISF Standard of Good Practices
Tero Kallio

Helsinki 18.4.2003
Tietoturvallisuus nykyaikaisessa liiketoimintaympäristössä –seminaari
HELSINGIN YLIOPISTO
Tietojenkäsittelytieteen laitos

BS7799 vs ISF Standard of Good Practices

Tero Kallio

Tietoturvallisuus nykyaikaisessa liiketoimintaympäristössä –seminaari
HELSINGIN YLIOPISTO
Tietojenkäsittelytieteen laitos
18.4.2003, 18 sivua

Tieto on nykyään yhä tärkeämpi voimavara mille tahansa yritykselle. Tästä syystä tiedon hukkuminen, vääriin käsiin joutuminen, vahingoittuminen tai muu vastaava vaara voi olla yrityksen liiketoiminnan kannalta kohtalokasta. Yritykseen kohdistuvia vaaroja on todella paljon ja suurin osa niistä on sellaisia, ettei niitä yksinkertaisesti tule edes mietittyä. Tätä varten on olemassa tietoturvastandardeja, joiden avulla yritykset voivat tarkistaa omien järjestelmiensä toimivuuden ja tehokkuuden. 

Tässä seminaarityössä vertaillaan kahta tällaista standardia eli British Standardin julkaisemaa BS7799:ää (tunnetaan myös nimellä ISO17799) sekä Information Security Forumin julkaisemaa The Forum’s Standard of Good Practicea.

Aineluokat (Computing Reviews 1998): H.1.0,K.6.4
Avainsanat: Tietoturvastandardi, British Standard 7799, Forum’s Standard of Good Practice

Sisältö
1	Johdanto	4
2	BS7799 historiaa	6
3	ISF Standard of Good Practices -historiaa	8
4	Taloudelliset ja arvostukselliset eroavaisuudet	10
5	Rakenteelliset eroavaisuudet	12
6	Sisällölliset eroavaisuudet	14
7	Käyttökelpoisuus eri tilanteissa	16
8	Yhteenveto	17
9	Lähteet	18

1	
Johdanto

Tieto on hyödyke, joka niin kuin kaikki muutkin liiketoiminnan kannalta tärkeät hyödykkeet, on sitä hallinnoivalle yritykselle erittäin tärkeä voimavara. Tästä syystä tieto pitää myös suojata ulkopuolisilta. Tietoturvan tärkein tehtävä on turvata yrityksen jatkuvuus, vähentää liiketoiminnan riskiä ongelmatilanteissa ja kasvattaa sijoitusten tuottoa. 

Tieto voi olla monenlaisessa eri muodossa. Tästä syystä myös tietoturvastrategioiden pitää olla hyvin monipuolisia ja kattavia. Tietoturvan kannalta oleellisia asioita ovat luottamuksellisuus, eheys ja saatavuus. Toisin sanoen kaikesta tiedosta, jonka saatavuudelle on asetettu rajoituksia, pitää olla varmuus, että sitä eivät ulkopuoliset pääse tutkimaan. Lisäksi tiedon pitää olla ajan tasalla ja samanlaista joka paikassa, missä sitä käytetään. Tarpeellisen tiedon pitää olla saatavilla silloin, kun sitä tarvitaan.

Yritykset kohtaavat nykyään enenevässä määrin erilaisia uhkia, koska tekninen kehitys on siirtänyt myös melkein kaiken tiedon tietoverkkojen kautta saatavaksi. Tietoverkoissa liikkuvan elektronisen informaation valvonta on huomattavasti hankalampaa kuin fyysisen tiedon. Elektronisesti talletettua tietoa voi joku päästä lukemaan kenenkään huomaamatta, jos esimerkiksi tiedonhallintajärjestelmässä on turva-aukkoja. Teknisten uhkien lisäksi ovat tietenkin edelleen olemassa fyysiset uhat, kuten sabotaasit, tulipalot, varkaudet ja tulvat. 

Näiden uhkien torjunnan organisointi on yritykselle erittäin tärkeä tehtävä ja tätä varten on kehitetty erilaisia tietoturvan hallinnan suunnitteluun tarkoitettuja standardeja. Tässä seminaarityössä keskitytään kahden tällaisen standardin vertailuun. Toinen käsiteltävistä standardeista on British Standard -komitean julkaisema BS7799–standardi, joka tunnetaan myös nimellä ISO17799, ja toinen standardi on Information Security Forumin (ISF) julkaisema The Forum’s Standard Of Good Practice. BS7799 on alunperin julkaistu vuonna 1995 ja sitä on laajennettu vuonna 1998.  Laajennusosassa määritellään tietoturvahallintajärjestelmä ja annetaan ohjeet sen toteuttamiselle ja dokumentoinnille. ISF:n standardi on julkaistu ensimmäisen kerran vuonna 1989 ja sitä päivitetään kahden vuoden välein. 

Itse standardit eivät ole samalla tavalla standardeja kuin esimerkiksi tietoliikenteen standardit. ISF:n standardille antama nimi Standard Of Good Practice kertookin hyvin, mistä näissä papereissa on kyse, eli hyvästä käytännöstä. Papereissa kerrotaan, mihin asioihin sitä käyttävän yrityksen kannattaa kiinnittää huomiota ja jokainen voi itse päättää sen, miten kyseinen osio konkreettisesti toteutetaan. Standardit toimivat enemminkin tarkistuslistoina, joista yritys voi käydä läpi onko heillä puutteita omissa järjestelmissään.

Tässä seminaarityössä vertailen kyseisiä standardeja niin taloudelliselta ja arvostukselliselta kuin rakentelliselta ja sisällölliseltä kannalta ja niiden mahdollisia puutteita. Lisäksi koetan antaa jonkinlaisia viitteitä siitä, miten yksinkertaista tai hankalaa kyseisten standardien käyttö tosielämässä voisi olla.
2	
BS7799-historiaa

British Standard Institution on Englannista alkunsa saanut standardointijärjestö, jolla on jo yli vuosisataiset perinteet. Järjestön tavoite on parantaa ja tukea kansainvälisen kaupan prosesseja. Järjestö on kehittänyt erilaisia standardeja, riskien hallinnan ohjeita ja harmonisointiohjelmia useille eri kaupan aloille.

British Standard 7799 (BS7799) on standardi, joka on kehitelty British Standard Instituutin (BSI) DISC-komitean valvonnan alaisuudessa ja sen ensimmäinen osa (BS7799-1) julkaistiin vuonna 1995. Ensimmäinen osa sisältää monipuolisen kontrollilistan, jolla saavutetaan tarpeellinen tietoturvan taso. Standardin tavoitteena on olla riittävän laaja, jotta sen avulla voidaan turvata kaikki mahdolliset eteen tulevat uhkatilanteet mahdollisimman erilaisissa ympäristöissä.

Standardin kehitystyössä on ollut mukana 24 yritystä ja yhteisöä. Mukana ovat olleet mm. British Computer Society, Britsh Telecommunications, Det Norske Verita Quality Assurance, KPMG, Marks and Spencer, Shell International Petrolium ja Unilever. Standardi on alusta alkaen suunnattu niin kaupallisten yritysten kuin voittoatavoittelemattomien yhdistysten tietoturvaratkaisujen suunnittelun apuvälineeksi. 

Vuonna 1999 standardia päivitettiin vastaamaan paremmin nykyhetkeä. Lisäosassa (BS7799-2) keskitytään erityisesti verkkojen ja tietoliikenteen turvallisuuteen. Lisäosassa painotetaan myös sitä, että tietoturva pitää ottaa huomioon koko liiketoiminnassa, ja että myös liiketoimintayksiköillä on vastuunsa tässä asiassa.

Kaikki standardin kohdat eivät sovellu käytettäväksi läheskään kaikissa mahdollisissa tilanteissa, vaan tarkoitus onkin poimia annettujen tehtävien joukosta kyseisen tilanteen kannalta oleelliset kohdat. BS7799 onkin enemmän ohjeistus tai suositus siitä mitä pitää ottaa huomioon, kun yrityksen tai organisaation tietoturvaa ollaan suunnittelemassa. 

BS7799 on nykyään International Organization for Standardizationin (ISO) käyttämä standardi, jos yritys haluaa hakea sertifikointia oman tietoturvallisuutensa tasosta. ISO standardi tunnetaan nimellä ISO17799 [BSIWWW,BSI98,BSI99]. 
3	
ISF Standard of Good Practices -historiaa

Information Security Forum (ISF) on kansainvälinen järjestö, jolla on jäseniä yhteensä yli 250 ympäri maailmaa. Yritykset rahoittavat ja avustavat järjestön toiminnan eli tietoturvallisuuteen liittyvät tutkimusprojektit. 

Järjestö on saanut saanut alkunsa 80-luvun lopulla, kun Cooper & Lybrand tekivät Euroopan Komission tilauksesta arvioinnin tietoverkkojen turvallisuudesta. Tutkimukseen ottivat osaa useat valtionhallinnot ja kansainväliset yritykset ympäri Eurooppaa. Tutkimuksessa saatiin selville, että käytännölliselle ja kustannustehokkaalle ratkaisulle tietoturvan parantamiseksi on tilausta. 

Tämän seurauksena Cooper & Lybrand perustivat European  Security Forumin vuonna 1989 ja kutsuivat kaikki arvioinnissa mukana olleet tahot mukaan jäseniksi. Vuonna 1992 ESF muutettiin itsenäiseksi ja voittoatavoittelemattomaksi organisaatioksi, jonka omistavat ja jota johtavat sen jäsenet. Hallinnoinnista vastaa kuitenkin edelleen Cooper & Lybrand, joka nykyisin tunnetaan nimellä PriceWaterhouseCoopers. Lopulta vuonna 1998 järjestön nimi muutettiin Information Security Forumiksi, jotta nimi kuvaisi paremmin järjestön kansainvälistä toimintaperiaatetta.

Viimeisen 13 vuoden aikana ISF on panostanut erilaisiin tutkimusprojekteihin yhteensä yli 40 miljoonaa dollaria tiedonkäsittelyprosessien riskien hallinnan helpottamiseksi. Tärkeimpänä paperina pidetään The Forum’s Standard of Good Practicea.

Standard of Good Practice -raportti sisältää käytännöllisen ja businesspainotteisen standardin yrityksen tai yhteisön tietoturvallisuusratkaisujen kehittämiseksi. Lisäksi jäsenille on tarjolla standardin katselmointiin tarkoitettu lomake. Standardin pohjana ovat useat tutkimusprojektit sekä Forumin jäsenien kautta saatu laaja ja käytännönläheinen kokemus. Standardia päivitetään joka toinen vuosi lisäämällä uusista tutkimuksista saadut tulokset ja uusien standardien mukanaan tuomat aiheet, jotta se vastaisi paremmin kansainvälisten organisaatioiden vaatimuksia alati muuttuvissa ympäristöissä [ISFWWW,ISF00].
4	
Taloudelliset ja arvostukselliset eroavaisuudet

Information Security Management osat 1 ja 2 (BS7799) sekä Information Security Forumin Standard of Good Practice ovat kumpikin periaatteessa maksullisia dokumentteja. Kummatkin ovat voittoatavoittelemattomien organisaatioiden julkaisemia standardeja, joiden tarkoituksena on saattaa jäsenyritysten ja –yhteisöjensä saataville ohjeistus, jolla nämä voivat saattaa järjestelmänsä tietoturvallisuuden riittävän turvatulle tasolle. 

British Stardard (BS7799) on kuitenkin enemmän suljettu standardi kuin ISF:n vastaava julkaisu. British Standardia ei ole julkisesti saatavilla, vaan se pitää tilata British Standard Institutionista. Tämän hetkinen (7.4.2003) hinta on standardin ensimmäisellä osalla 90£ ja kakkososalla 52£. Tilaus onnistuu helposti Internetin kautta British Standards Online:n kautta (http://bsonline.techindex.co.uk/). Standardin voi lisäksi sertifioida, jolloin yritys voi markkinoinnissaan käyttää tuota sertifikaattia ja todistaa mahdollisille ja olemassaoleville asiakkailleen tietoturvallisuutensa tason. Tämä mahdollisuus lisää samalla BS7799:n arvostusta liikemaailmassa.

Information Security Forum suhtautuu standardiinsa julkisemmin. Standardi on ladattavissa organisaation kotisivuilta (http://www.securityforum.org/) kokonaisuudessaan. Yhteisön tavoite onkin saattaa riittävä tietoturvatietous kaikkien halukkaiden saataville ilmaiseksi ja promota näin myös omaa standardiaan. Lisäksi julkisuus auttaa itse Forumia pitämään standardin ajan tasalla ja kohdistettuna oikeisiin asioihin. ISF:n jäseneksi on myös mahdollista liittyä, jolloin pääsee käsiksi useaan muuhun Forumin tuottamaan raporttiin. Standard Of Good Practicea koskeva hyöty liittymisestä on pääseminen käsiksi Information Security Status Survey –dokumenttiin, jolla voidaan mitata standardin käytön tehokkuus ja verrata sitä muiden jäsenyritysten ja –yhteisöjen saamiin tuloksiin. Kotimaisista yrityksistä Forumin jäseniä ovat mm. finanssipuolelta OKO ja Nordea, elektroniikkapuolelta Nokia ja Stora Enso sekä telepuolelta Posti ja TeliaSonera.

Kaiken kaikkiaan Forumin lähestymistapa tuntuu muutenkin järkevämmältä. Tekemällä standardistaan julkisen se saavuttaa kieltämättä kilpailuetua muihin nähden. British Standard on nykyisellään varmasti tunnetumpi, koska se on saanut kylkeensä International Organization for Standardizationin ISO17799-leiman. ISO-standardit ovat maailmalla erittäin tunnettuja ja niiden markkina-arvo onkin huomattava verrattuna muihin. Suurin syy tähän on kyllä se, että ISO-sertifikaattien saaminen on usein kovan työn takana ja ne ovat siksi myös erittäin arvostettuja. ISF:n kannattaisi ehkä harkita jonkinlaista sertifikointia omalle standardilleen. Tällöin myös sen arvostus varmasti nousisi.
5	
Rakenteelliset eroavaisuudet

Standardit ovat rakenteellisesti jonkin verran erilaisia. Forumin Standard of Good Practice pohjautuu BS7799:een, joten samankaltaisuuksilta ei paikoitellen voi välttyä. Ongelma-alue on jaettu standardeissa kuitenkin hieman eri tavalla. 

British Standardissa lähestytään ongelmia yksittäisten ongelmien luonteen kautta ja pääosa-alueina ovat esimerkiksi henkilökunnan aiheuttamat uhat, fyysiset ja ympäristön aiheuttamat uhat ja pääsynvalvonnan aiheuttamat uhat. Pääosa-alueet on sitten jaettu osasta riippuen useampiin aliosioihin, joissa uhkien laatua tarkennetaan. Rakenteesta saadaan näin hyvin suoraviivainen ja listamainen.

Forum puolestaan jakaa ongelma-alueet viiteen eri osaan ja ryhmittelyn perusteena käytetään uhkien sijaintia. Kaavio 1 näyttää miten eri osa-alueet on ryhmitelty.

Alueiden sisällä on määritelty tämän lisäksi kaksitasoinen hierarkia hieman samaan tyyliin kuin British Standardissa. Tämä yhden tason lisääminen aiheuttaa sen, että luonteeltaan samanlaiset ongelmat on hajautettu useampaan osaan riippuen siitä, missä ne sijaitsevat.

Forumin standardin ymmärtäminen on toisaalta paljon helpompaa, juuri sen intuitiivisuuden takia. Dokumentti on erittäin helppotajuinen ja siitä on helppo löytää tarvitsemansa asiat. Rakenteen ryhmittely on  sen verran yksinkertainen, että käsillä olevaa ongelma-aluetta koskevat ohjeistukset on erittäin helppo löytää. Juuri yksinkertaisuus on varmasti ollut dokumentin tekijöiden tavoitteenakin. Verrattuna British Standardin dokumenttiin, joka on hyvin tieteellisen tekstin formaattiin kirjoitettu, on Forumin dokumentti ehkä hieman liiankin populääristi kirjoitettu ja ladottu. Monivärisillä sivuilla saadaan kyllä “näyttävyyttä”, mutta usein se myös syö teoksen uskottavuutta. 

Itse ohjeiden rakenteessa on myös pienoisia eroja, muttei kuitenkaan mitään perustavaa laatua olevia. British Standardissa kerrotaan toimenpiteiden tarkoitus hieman korkeammalla tasolla verrattuna Forumin standardiin. Eli British Standardissa kerrotaan tavoite, jonka saavuttamiseksi annetaan useampia eri toimenpiteitä. Forum standardissa jokaiselle toimenpiteelle on annettu oma tavoite, jonka se täyttää. 

Turvallisuuden hallinta

Järjestelmän kehitys

Liiketoiminnan kannalta kriittiset sovellukset

IT ympäristö

Kaavio 1: Forumin Standard of Good Practicen rakenne.

6	
Sisällölliset eroavaisuudet

Sisällön kannalta eroavaisuuksien etsiminen onkin huomattavasti hankalampaa juuri rakenteellisten eroavaisuuksien takia. Suuria linjaeroja ei dokumenteilla ole, mutta painotukset ovat hieman erilaiset. 

British Standardissa ei mielestäni tarpeeksi painoteta tietoturvahallinnon ja ihmisten koulutuksen tärkeyttä. Ainakaan tälle asialle ei mitenkään erityisesti pistetä painoa, vaikka se sellaisen kaipaisi. Forumin standardin puolella taas on tälle osalle varattu kokonaan oma kappaleensa, jossa asiaa katsastellaan hyvinkin monelta kannalta. Juuri ihmisethän tekevät ne suurimmat virheet ja ovat yleensä järjestelmän heikoin lenkki. Tässä kohtaa Forum on ottanut paremman suunnan. Kun ulkopuolisen pääsyn valvontaan kohdistetaan erityishuomiota lisäksi Liiketoiminnan kannalta kriittisten sovellusten –osassa, niin tämä puoli on Forum standardissa paljon paremmin hallussa.

British Standardin vuonna 1999 lisätty toinen osa tuo tähän osaan hieman parannusta. Kakkososassa annetaan ohjeita tietoturvahallintasysteemin rakentamiseksi. Toimivan organisaation rakentamisen tärkeys on näin saatu hieman suurempaan rooliin, muttei se silti tunnu kovin luontevalta lisältä, koska alkuperäinen dokumentti on rakennettu ilman tätä. Parempaan suuntaan on tässä joka tapauksessa menty. 

British Standars on myös tietoverkkojen turvallisuuden ohjeistuksen kanssa heikommissa kantimissa kuin Forum. Tämä on todennäköisesti seurausta siitä, että British Standard on alunperin julkaistu jo viime vuosikymmenen puolessa välissä, jolloin tietoverkkojen merkitys ei ollut vielä läheskään yhtä suuri kuin nykyisessä liiketoimintaympäristössä. Päivityskin standardiin tehtiin jo vuonna 1998. Mm. elektronisen kaupan vaarat puuttuvat British Standardista kokonaan. Forumin joka toinen vuosi suoritettavat päivitykset standardiin pitävät sen paremmin ajan hermolla, mistä syystä tietoverkkojen turvallisuuteen on panostettu heidän mallissaan myös paljon enemmän. Tietoverkot ovatkin sellainen osa-alue, jossa British Standard tarvitsisi jonkinlaista päivitystä. Varsinkin etäkäyttö on osa-alue, johon kaivattaisiin lisää huomiota.

Muuten sisältö on hyvin samanlaista. Kummassakin dokumentissa ovat mukana niin systeemien suunnitteluun, tietojen käsittelyyn kuin pääsynvalvontaan liittyvien uhkien paikallistamista helpottavia ohjeita. Liiketoiminnan kannalta kriittisten osien turvaamisen tärkeys nyt on itsestään selvä painopiste ja siinä kumpikin dokumentti onnistuu hyvin.

7	
Käyttökelpoisuus eri tilanteissa

Forumin dokumentti on paljon helpompilukuista kuin British Standardin vastaava. Tieteellisen tekstin formaatti, jollaiseen British Standard on kirjoitettu,  ei ole kaikista yksinkertaisin ja helpoin tapa ilmaista asia. Tällaisessa muodossa oleellinen voi päästä lipsahtamaan ohi. Ainakin, jos standardin käytetään vain jonkinlaisena ohjenuorana tai tarkistuslistana oman järjestelmän tarkistuksessa.

Yleisesti British Standard on huomattavasti moniselitteisempi ja ylimalkaisempi kuin Forumin standardi. Forumin standardi keskittyy hyvinkin pieniin osa-alueisiin ja antaa hieman konkreettisempia ratkaisumalleja. British Standard taas pyrkii luomaan mahdollisimman monipuolisesti sovellettavia malleja. British Standard soveltuukin varmasti useampaan tilanteeseen yleisellä tasolla, mutta Forumin malli on paljon yksinkertaisempi käyttää jokapäiväisissä toiminnoissa. Forumin standardi antaa paremmat työkalut ongelmien ratkaisemiseksi.

Kumpikin standardeista toimii kuitenkin hyvin tarkistuslistana, jonka läpikäymällä pystyy suurimman osan aukoista paikallistamaan. Ongelmakohtien turvaaminen onkin sitten kokonaan toinen asia. Standardit eivät ota kantaa minkäänlaisiin tekniikoihin, vaan listaavat vain vaatimukset, jotka pitää ottaa huomioon. Forumin jäsenilleen tarjoama Information Security Status Survey –dokumentti (johon en ikävä kyllä päässyt tutustumaan) tarjoaa yrityksille lisäksi erillisen tietoturvatason katselmointia helpottavan tavan tarkistaa, missä kohdin puutteita ilmenee.

British Standardin käytön suurin hyöty on siinä, että sen voi sertifioida. Näin yrityksellä on esittää asiakkailleen riippumattoman tahon suorittaman tarkistuksen tulos. Tällainen laatusertifiointi on nykyisin jo monessa muussa paikassa käytännössä pakollinen, jotta yritykset edes suostuvat toimimaan yhteistyössä. Varmaankaan ei pitkää aikaa enää kulu siihen, kun myös tietoturvasertifikaatit ovat itsestäänselvä vaatimus yritysten välisten sopimusten ehtona.
8	
Yhteenveto

Standardien käyttö yrityksessä ei loppujen lopuksi ole kovin hankalaa. Rahaa todennäköisesti saa kulumaan melkoisia summia, mutta ison vahingon tapahtuessa ne maksavat itsensä takaisin korkojen kera. Tietoturva-organisaation tehtävä on kehittää ja tarjota työntekijöille tarvittavat työkalut, jotta nämä voivat turvallisesti suorittaa tarvittavat. Tärkein tehtävä organisaatiolla on kuitenkin valvonta. Hyvin suunnitelluista toimintaperiaatteista ei ole mitään hyötyä, jos niitä ei noudateta. 

Silmälläpidettäviä kohteita on todella paljon, eikä täysin pitävää järjestelmää pysty mitenkään rakentamaan. Tärkein asia, mikä standardeilla on tarjottavana on kuitenkin juuri listaukset niistä,  mitä pitää ottaa huomioon. Itse tietoturvatoteutukset ovat sitten jokaisen omalla vastuulla. Se, mitä standardia käytetään, ei ole loppujen lopuksi merkittävä (ellei olla hakemassa sertifikaattia), vaan kummallakin esitellyistä standardeista pystyy oman yrityksen tietoturvan tason kohottamaan sellaiselle tasolle, että vahingon sattuessa liiketoiminta ei lopu.

9	
Lähteet

BS98		BSI/DISC Committee BDD/2, Information security management,
BS 7799 - Part 1: Code of practice for information security management,
1998

BS99		BSI/DISC Committee BDD/2, Information security management,
BS 7799 - Part 2: Specification for information security management systems,
1999

ISF00		Information Security Forum (ISF),
The Forum’s Standars of Good Practice – The Standard for Information Security, 
2000

ISFWWW	http://www.securityforum.org/

BSIWWW	http://www.bsi-global.com/