Suomessa kansallisena turvallisuusviranomaisena toimiva Ulkoministeriö julkaisi päivitetyn viranomaisten tietoturvallisuuden Katakri 2020 -auditointikriteeristön joulukuussa. Ohjelmistotalo Nixu Certification Oy:lle on myönnetty 8.7.2021 ensimmäisenä arviointilaitoksena akkreditointi uudelle pätevyysalueelle.
Nixu Certification saavutti Katakri 2020 -pätevyyden päivitettyään todennusmenetelmät vastaamaan uudistettuja vaatimuksia sekä suorittamalla näyttöauditoinnin, missä todennusmenetelmiä käytetään aidossa auditoinnissa. Yhtiöstä arvioidaan, että se tulee myöntämään ensimmäiset Katakri 2020 -todistukset syksyn 2021 aikana.
- Meillä on täysi kyvykkyys tarjota Katakri 2020 -arviointeja sitä mukaa kun asiakkaamme siirtyvät käyttämään uutta kriteeristöä. Näemme Katakri-päivityksen erittäin tervetulleena uudistuksena. Mistään mullistavasta ei toki ole kyse. Merkittävimmät parannukset liittyvät erityisesti riskilähtöisyyden lisäämiseen sekä tietoteknisen kehityksen huomiointiin päivityksessä, toteaa Nixun toimitusjohtaja Niki Klaus.
Arkaluontoisen datan suojaaminen nousi Suomessa keskiöön erityisesti Psykoterapiakeskus Vastaamon tietomurron myötä. Vastaamo käytti järjestelmää, jota ei tarvinnut auditoida. Katakri-vaatimusten neljäs versio pyrkii paitsi vastaamaan muuttuneeseen lainsäädäntöön ja parantamaan datan suojaamista entisestään, myös ennaltaehkäisemään Vastaamon kaltaisten katastrofien syntyä.
Katakri on jaettu kolmeen osa-alueeseen. Turvallisuusjohtamista koskevassa (T) osa-alueessa pyritään varmistumaan siitä, että organisaatiolla on toimiva tietoturvallisuuden hallintajärjestelmä sekä riittävät henkilöstöturvallisuuden menettelyt turvallisuusluokiteltujen tietojen suojaamiseen. Fyysistä turvallisuutta koskevassa (F) osa-alueessa kuvataan turvallisuusluokiteltujen tietojen fyysistä käyttöympäristöä koskevat turvallisuusvaatimukset. Teknistä tietoturvallisuutta koskevassa (I) osa-alueessa kuvataan puolestaan tekniselle tietojenkäsittely-ympäristölle asetetut turvallisuusvaatimukset. Vaatimukset on kuvattu siten, että ne mahdollistavat erilaisia toteutustapoja.
Katakri-kriteeristöä käytetään arvioitaessa organisaation kykyä suojata viranomaisten salassa pidettävää tietoa. Katakria käytetään tarkastustyökaluna myös yritysturvallisuusselvityksiä tehtäessä. Lisäksi yksityiset yritykset voivat arviointilaitoksen suorittaman arvioinnin avulla osoittaa, että ne kykenevät suojaamaan niille luovutettuja viranomaistietoja riittävällä tavalla.
Viranomaiset voivat käyttää tietojärjestelmiensä tietoturvallisuuden arvioinnissa ainoastaan liikenne- ja viestintävirasto Traficomin tai sen hyväksymän arviointilaitoksen, kuten Nixu Certification Oy:n arviointipalveluja.
Kuva: Unsplash
