CERT-FI palvelukuvaus

VIESTINTÄVIRASTON CERT-FI-YKSIKÖN PALVELUKUVAUS

Tämä dokumentti kuvaa CERT-FI:n toimintaa ja tarjoamia palveluita. Dokumentti pohjautuu IETF:n (Internet Engineering Task Force) tietoturvaloukkauksia käsittelevien organisaatioille asettamiin vaatimuksiin (RFC 2350).

1. Yleistä

CERT-FI (Computer Emergency Response Team FICORA) on Viestintävirastossa toimiva kansallinen tietoturvaloukkauksia käsittelevä viranomainen.

1.1 Tehtävät

CERT-FI:n lakisääteisenä tehtävänä on

• kerätä tietoa verkkopalveluihin, viestintäpalveluihin ja lisäarvopalveluihin kohdistuvista tietoturvaloukkauksista ja niiden uhkista sekä näiden palvelujen merkittävistä vika- ja häiriötilanteista
• selvittää verkkopalveluihin, viestintäpalveluihin ja lisäarvopalveluihin kohdistuvia tietoturvaloukkauksia ja niiden uhkia sekä merkittäviä näiden palvelujen vika- ja häiriötilanteita
• tiedottaa tietoturva-asioista

Lisäksi CERT-FI valvoo viestintäviranomaisena osaltaan yksityisyyden suojaa televiestinnässä ja teletoiminnan tietoturvaa.

Toiminta tähtää ensisijaisesti yleisten viestintäverkkojen ja viestintäpalveluiden turvallisen ja häiriöttömän toiminnan varmistamiseen sekä yhteiskunnan elintärkeiden toimintojen turvaamiseen.

1.2 Asiakaskunta

CERT-FI:n asiakkaita ovat kaikki suomalaiset tahot yksityisistä henkilöistä yrityksiin ja hallinnon toimijoihin. Asiakkaita ovat myös organisaatiot, joilla on merkittäviä Suomeen sijoittuneita viestintäverkkoja tai viestintäpalveluja.

Erityisasemassa ovat viestintämarkkinalain (393/2003) tarkoittamat teleyritykset, joille Viestintävirasto on toimintaa valvova ja ohjaava viranomainen.

Tämän lisäksi Viestintävirasto ja Huoltovarmuuskeskus ovat sopineet huoltovarmuuden turvaamisesta annetun lain (1390/1992) nojalla tietoturvapalvelujen tuottamisesta Suomeen sijoittuneiden energiayritysten, teollisuuden, pankki- ja vakuutusyhtiöiden, valtakunnallisten kauppaketjujen sekä muiden yhteiskunnan elintärkeiden toimintojen kannalta keskeisten toimijoiden eduksi.

1.3 Mandaatti

Viranomaisena CERT-FI:n toimivalta tulee laeista ja asetuksista.

CERT-FI toimii Viestintävirastossa omana hallinnollisena tulosyksikkönään. Viestintävirasto on liikenne- ja viestintäministeriön alainen virasto, jonka tehtäviin kuuluu viestintämarkkinalain ja sähköisen viestinnän tietosuojalain (516/2004) sekä viestintähallinnosta annetun asetuksen mukaisesti tietoliikenneturvallisuudesta huolehtiminen sekä tietoturvauhkien ja -loukkausten ennaltaehkäisy, havainnointi ja ratkaiseminen.

Sähköisen viestinnän tietosuojalain nojalla teleyritykset ovat velvollisia huolehtimaan palveluidensa tietoturvasta. Lain nojalla teleyritysten on ilmoitettava Viestintävirastolle verkkopalvelun ja viestintäpalvelun merkittävistä tietoturvaloukkauksista ja sellaisista niihin kohdistuvista tietoturvauhkista, joista teleyritys on tietoinen. Lisäksi teleyrityksen on ilmoitettava Viestintävirastolle palvelujen merkittävistä vikatilanteista ja häiriötilanteista. CERT-FI vastaanottaa ja käsittelee teleyrityksiltä tulevat tietoturvaloukkauksia ja niiden uhkia koskevat ilmoitukset.

Huoltovarmuuskeskus on kauppa- ja teollisuusministeriön hallinnonalan laitos, jonka tehtävänä on maan huoltovarmuuden ylläpitämiseen ja kehittämiseen liittyvä suunnittelu ja operatiivinen toiminta. Huoltovarmuuden turvaamisesta annetun lain tarkoituksena on turvata väestön toimeentulon, maan talouselämän ja maanpuolustuksen kannalta välttämättömät taloudelliset toiminnot poikkeusolojen varalta.

2 CERT-FI:n palvelut

Keskeisimmät CERT-FI:n tuottamat palvelut ovat

• tietoturvaloukkausten käsittely
• kansallinen tietoturvallisuuden tilannekuva
• haavoittuvuuskoordinointi.

2.1 Tietoturvaloukkausten käsittely

CERT-FI ottaa vastaan ilmoituksia tietoturvaloukkauksista tai niiden uhasta sekä avustaa asiakkaitaan suojautumaan tietoturvaongelmien haitallisia vaikutuksia vastaan. Ilmoituksia vastaanotetaan ja käsitellään pääsääntöisesti virka-aikana. Keskeisille asiakasorganisaatioille kuten ilmoitusvelvollisille teleyrityksille sekä valikoiduille yhteistyökumppaneille tarjotaan myös ympärivuorokautista päivystyspalvelua.

CERT-FI avustaa ja neuvoo erityisesti seuraavien tapausten käsittelyyn liittyvissä kysymyksissä:

• tietoturvaloukkausepäilyn tai tietoturvauhan todentaminen
• tietoturvaongelman laajuuden ja vakavuuden selvittäminen
• tapahtuman alkuperäisen syyn tai mahdollistajan selvittäminen
• yhteydenotto muihin tapahtumaan osallisiin
• yhteydenotto muihin tapauksen selvittämisessä välttämättömiin tahoihin
• avustaminen muiden viranomaisten kanssa asioinnissa
• asianmukaisten tiedotteiden laatiminen
• tietoturvaongelman vaikutuksen rajaamiseen tähtäävien toimenpiteiden ohjaaminen
• tietojärjestelmän turvaaminen tunnetuilta tietoturvauhilta
• jatkotoimenpidesuunnitelman laatiminen.

CERT-FI kerää tilastollista aineistoa tapausten selvittämisen yhteydessä saatujen tietojen pohjalta. Tietoja käytetään myös soveltuvin osin kansallisen tietoturvallisuuden tilannekuvan tuottamiseen.

2.2 Kansallinen tietoturvallisuuden tilannekuva

CERT-FI ylläpitää kansallista tietoturvallisuuden tilannekuvaa. Jatkuvasti ylläpidettävä julkinen tilannekuvapalvelu tuotetaan vain suomeksi. Tämän lisäksi tuotetaan neljännesvuosikatsauksia, jotka ovat saatavilla myös ruotsiksi ja englanniksi.

Tilannekuvan tuottamiseksi CERT-FI vastaanottaa ja kerää tietoa tietoturvatilanteeseen vaikuttavista tapahtumista ja ilmiöistä. Tietojen pohjalta synnytetään arvio Suomeen ja suomalaisiin kohdistuvasta uhkasta. Mikäli aihetta ilmenee, tietoa jaetaan julkisina tiedotteina ja varoituksina tai kohdennetusti niille, joita asia koskee. Jakelun laajuuteen vaikuttaa paitsi vaatimukset tietojen salassapidolle myös arvio jakelun vaikuttavuudesta.

Tilannekuvan jakelu www-sivuston ja postituslistojen kautta

CERT-FI ylläpitää www-sivustoa osoitteessa www.cert.fi. Sivusto on varoitus- ja ohjetiedotuksen pääasiallinen jakelukanava.

Operatiivinen tiedotemateriaali jaetaan kolmeen eri osa-alueeseen:

1. CERT-FI varoitus -kategoriassa julkaistaan tiedote, kun muuttunut tilanne edellyttää konkreettisia toimia tieto- ja viestintäjärjestelmien suojaamiseksi tietoturvallisuutta vaarantavaa uhkaa vastaan. Varoitus voidaan julkaista tapahtumista ja ilmiöistä, jotka voivat merkittävästi vaikuttaa yritysten, yhteisöjen tai kansalaisten tietoturvallisuuteen. Varoituksen aiheena voi myös olla sellaisen tapahtuman uhka, jolla toteutuessaan on suuri merkitys yksittäisille tahoille tai joka koskee huomattavan monia tietotekniikan käyttäjiä.

Varoitukset ovat luettavissa osoitteesta

http://www.cert.fi/varoitukset.html

2. Tietoturva nyt! -verkkopäiväkirjassa CERT-FI-yksikön päivystäjät tarkastelevat ajankohtaisia tietoturvakysymyksiä. Kysymykseen voivat tulla esimerkiksi taustoittavat tai täydentävät havainnot ajankohtaista haavoittuvuuksista tai tietoverkoissa havaituista ilmiöistä.

Tietoturva nyt! on luettavissa osoitteesta

http://www.cert.fi/tietoturvanyt.html

3. Haavoittuvuudet -kategoriassa julkaistaan tiedotteita CERT-FI:n tietoon tulleista merkittävistä virheistä, jotka voivat vaikuttaa tietoteknisen järjestelmän eheyteen, saatavuuteen tai järjestelmän sisältävän tiedon luotettavuuteen.

CERT-FI:n tuottamat haavoittuvuustiedotteet on luettavissa osoitteessa

http://www.cert.fi/haavoittuvuudet.html

CERT-FI varoitus -tiedotejakelu on tilattavissa sähköpostijakeluna. Ohjeet postituslistalle liittymisestä on luettavissa osoitteesta

http://www.cert.fi/palvelut/postituslistat.html

CERT-FI varoitus -tiedotejakelu on tilattavissa maksullisena tekstiviestipalveluna. Ohjeet palveluun liittymisestä on luettavissa osoitteesta

http://www.cert.fi/palvelut/tekstiviestit.html

CERT-FI-tiedotejakelut ovat myös tilattavissa RSS-syötteinä.

Erityisesti peruskäyttäjien kannalta merkittävistä tiedotteista laaditaan lyhennetty versio Yleisradion Teksti-TV:n sivulle 848.

CERT-FI ei vastaa sivuilleen tai tiedotteisiinsa linkittämiensä kolmansien osapuolten tuottamien palvelujen sisällöstä tai turvallisuudesta. CERT-FI ei myöskään vastaa sivuillaan julkaistun tiedon soveltamisesta.

Kausiraportointi

CERT-FI julkaisee neljännesvuosittain tietoturvallisuuden tilannekatsauksen, jossa käsitellään merkittävimmät kansalliseen ja kansainväliseen tietoturvallisuuteen vaikuttavista tapahtumat ja arvioidaan lähitulevaisuuden näkymiä. Katsaukset tuotetaan suomen lisäksi ruotsiksi ja englanniksi.

Tilannekatsausten tavoitteena on omalta osaltaan tarjota yrityksille, yhteisöille ja yksityisille henkilöille paremmat edellytykset arvioida heihin kohdistuvia tietoturvariskejä. Vuoden viimeinen neljännesvuosikatsaus sisältää yhteenvedon kuluneen vuoden tapahtumista.

Katsauksista laaditaan erillinen laajennettu versio valtiojohdon käyttöön.

Tilastot

CERT-FI ylläpitää tilastoja, jotka pohjautuvat yksikön tapahtumahallintajärjestelmän sekä automaattisen tietoturvaloukkaustapausten käsittelyjärjestelmän tietoihin. Tilastoja julkistetaan kausiraportoinnin yhteydessä.

CERT-FI tilastoi käsitellyt tapahtumat käyttäen seuraavaa luokittelua:

• Mediayhteydenotot
• Haavoittuvuusilmoitukset
• Haittaohjelmatapaukset
• Yleinen ohjaus ja neuvonta
• Tietoturvaongelmat
• Verkkoskannaustapaukset
• Tietomurtotapaukset
• Palvelunestohyökkäykset
• Roskapostitus
• Social Engineering

Luennot ja seminaarit

CERT-FI:n työntekijät ovat käytettävissä resurssitilanteen salliessa luennoitsijoina alan seminaareissa ja tapahtumissa. Tyypillinen luennon aihe on tietoverkkojen tietoturvatilanteen ajankohtaiskatsaus.

CERT-FI järjestää vuosittain sidosryhmäkohtaisia seminaareja sekä neuvottelutilaisuuksia. Tilaisuuksista tiedotetaan suoraan sidosryhmille.

2.3 Haavoittuvuuskoordinointi

CERT-FI on ensisijainen suomalainen haavoittuvuuskoordinoija. CERT-FI:n haavoittuvuuskoordinointityön tarkoituksena on ratkaista haavoittuvuuksia ennaltaehkäisevästi. Tähän CERT-FI pyrkii yhteistyössä tärkeimpien suomalaisten haavoittuvuustestaajatahojen, suomalaisten valmistajien sekä ulkomaisten koordinaattoritahojen kanssa.

Koordinoijana CERT-FI toimii haavoittuvuuden löytäjän, haavoittuvan tuotteen valmistajan sekä tuotteiden käyttäjäkunnan välimaastossa. Koordinoinnin tarkoituksena on helpottaen tiedon välittämistä ja korjausprosessin sulavaa etenemistä. Tyypillisesti haavoittuvuuden löytäjällä ei ole resursseja käydä pitkällistä kirjeenvaihtoa valmistajan kanssa löytämistään ongelmista, eivätkä haavoittuvuudelle alttiit käyttäjät halua tulla ilmi. Haavoittuvuuskoordinoija poistaa nämä ongelmat prosessista hoitamalla haavoittuvuudesta kommunikoinnin sekä toimimalla käyttäjien puolesta puhuvana luotettuna tahona. Samalla koordinoija varmistaa, että prosessi etenee kaikkia osapuolia tyydyttävällä tavalla.

• Haavoittuvuuskoordinointiprosessin vaiheisiin kuuluvat:
• Haavoittuvuuden vakavuuden arviointi.
• Tarvittaessa haavoittuvuuden toistaminen ja varmistaminen.
• Haavoittuvuuden todellisen vaikutusalueen selvittäminen. Usein yhdestä ohjelmistosta löydetyt haavoittuvuudet esiintyvät myös muissa ohjelmistoissa.
• Tärkeiden haavoittuvuudelle alttiiden suomalaisten ja ulkomaisten toimijoiden identifiointi.
• Kommunikaatiokanavan luominen haavoittuvien tuotteiden valmistajiin. Jatkuva vuoropuhelu asiakaskunnan, valmistajien ja testaajien välillä.
• Ennakkotiedotteet korjauksesta aiemmin identifioiduille toimijoille.
• Julkiset tiedotteet ja varoitukset.

3. Asiakirjojen julkisuus

CERT-FI noudattaa viranomaisena Suomessa voimassaolevia lakeja.

Julkisuuslain (621/1999) mukaan viranomaisen asiakirjat ovat julkisia, jollei asiakirjan julkisuudesta ole erikseen muuta säädöstä. Esimerkiksi lain 24.1 § 7 kohdan mukaan henkilöiden, rakennusten, laitosten, rakennelmien sekä tieto- ja viestintäjärjestelmien turvajärjestelyjä koskevat ja niiden toteuttamiseen vaikuttavat asiakirjat ovat salassa pidettäviä, jollei ole ilmeistä, että tiedon antaminen niistä ei vaaranna turvajärjestelyjen tarkoituksen toteutumista.

Soveltuva lainsäädäntö:

Laki viranomaisen toiminnan julkisuudesta 621/1999
Linkki ajantasaversioon: http://www.finlex.fi/fi/laki/ajantasa/1999/19990621

Sähköisen viestinnän tietosuojalaki 516/2004
Linkki ajantasaversioon: http://www.finlex.fi/fi/laki/ajantasa/2004/20040516

Viestintämarkkinalaki 393/2003
Linkki ajantasaversioon: http://www.finlex.fi/fi/laki/ajantasa/2003/20030393

Henkilötietolaki 523/1999
Linkki ajantasaversioon: http://www.finlex.fi/fi/laki/ajantasa/1999/19990523

4. Suojattu viestintä CERT-FI:n kanssa

Mikäli on tarvetta lähettää CERT-FI:lle tietoa turvallisesti sähköpostitse, viesti on syytä suojata asianmukaisella salausmenetelmällä. Salaukseen on käytössä PGP-ohjelmisto. CERT-FI:n työntekijöillä on käytössään X.509 virkavarmenteet, jotka mahdollistavat S/MIME -salatun viestinnän. PGP on ensisijaisesti suositeltava salausmenetelmä sähköpostiviestien salaukseen.

5. Yhteystiedot

CERT-FI noudattaa Viestintäviraston virastoaikaa, joka on arkisin kello 8.00 – 16.15 (UTC+2)

CERT-FI-päivystäjä on kohdassa 1.2 mainittujen erityisasiakkaiden tavoitettavissa 24h/vrk. Päivystäjä suorittaa tilannekuvaseurantaa myös virka-ajan ulkopuolella.

Sähköposti: cert@ficora.fi
Puhelin: (09) 6966 510
Fax: (09) 6966 515

WWW-sivut: http://www.cert.fi/

Postiosoite:

Viestintävirasto
CERT-FI
PL 313
00181 HELSINKI

Käyntiosoite:

Itämerenkatu 3 A, 5. krs., Helsinki

Rooliavaimet:

http://www.cert.fi/palvelut/yhteystiedot/rooliavaimet.html

Henkilökohtaiset PGP-avaimet ja X.509 virkavarmenteet:

http://www.cert.fi/palvelut/yhteystiedot/henkilokohtaiset_avaimet.html

CERT-FI-tiedotejakelujen RSS-syötteet:

CERT-FI varoitukset:

http://www.cert.fi/rss/varoitukset.xml

CERT-FI Tietoturva nyt!

http://www.cert.fi/rss/tietoturvanyt.xml

CERT-FI haavoittuvuustiedotteet

http://www.cert.fi/rss/haavoittuvuudet.xml

CERT-FI-yksikön puhelinluettelo:

http://www.ficora.fi/index/yhteystiedot/Puhelinluettelo/verkotjaturvallisuus/certfi.htm