III OSASTO KYBERTURVALLISUUDEN SERTIFIOINTIKEHYS

tallennetut, siirretyt tai muulla tavoin käsitellyt tiedot suojataan vahingossa tapahtuvalta tai luvattomalta tallentamiselta, käsittelyltä, käytöltä tai luovuttamiselta tieto- ja viestintätekniikan tuotteen, palvelun tai prosessin koko elinkaaren ajan;

tallennetut, siirretyt tai muulla tavoin käsitellyt tiedot suojataan vahingossa tapahtuvalta tai luvattomalta tuhoamiselta, katoamiselta tai muuttamiselta taikka puutteelliselta saatavuudelta tieto- ja viestintätekniikan tuotteen, palvelun tai prosessin koko elinkaaren ajan;

valtuutettujen henkilöiden, ohjelmien tai koneiden saatavilla on ainoastaan ne tiedot, palvelut tai toiminnot, joihin näillä on käyttöoikeudet;

tunnistetaan ja dokumentoidaan kaikki tunnetut riippuvuudet ja haavoittuvuudet;

järjestelmään tallentuu tieto siitä, mitä tietoja, palveluja tai toimintoja on käytetty, hyödynnetty tai muutoin käsitelty, sekä näiden toimien ajankohta ja tekijä;

on mahdollista tarkastaa, mitä tietoja, palveluja tai toimintoja on käytetty, hyödynnetty tai muutoin käsitelty, sekä näiden toimien ajankohta ja tekijä;

tarkistetaan, että tieto- ja viestintätekniikan tuotteet, palvelut ja prosessit eivät sisällä tunnettuja haavoittuvuuksia;

tietojen, palvelujen ja toimintojen saatavuus ja käytettävyys palautetaan mahdollisimman pian fyysisen tai teknisen poikkeaman sattuessa;

tarkistetaan, että tieto- ja viestintätekniikan tuotteiden, palvelujen ja prosessien suojaus on oletusarvoista ja sisäänrakennettua;

tieto- ja viestintätekniikan tuotteisiin, palveluihin ja prosesseihin sisältyy ajantasainen ohjelmisto ja laitteisto, jotka eivät sisällä julkisesti tiedossa olevia haavoittuvuuksia, ja mekanismit, joilla varmistetaan turvalliset päivitykset.

tietoturvapalveluiden tarjoajalla on vaadittava osaaminen, asiantuntemus ja kokemus, mukaan lukien se, että kyseisten palvelujen tarjoamiseen osallistuvalla henkilöstöllä on riittävä ja asianmukaisen tasoinen erikoisalan tekninen tietämys ja pätevyys, riittävä ja asianmukainen kokemus sekä mahdollisimman korkeatasoinen ammatillinen luotettavuus;

palveluntarjoajalla on käytössään asianmukaiset sisäiset menettelyt sen varmistamiseksi, että tarjottujen tietoturvapalvelujen laatu on kaikkina aikoina riittävällä ja asianmukaisella tasolla;

tietoturvapalvelujen tarjoamisen yhteydessä käytettävät, tallennettavat, siirrettävät tai muutoin käsiteltävät tiedot suojataan vahingossa tapahtuvalta tai luvattomalta käytöltä, tallentamiselta, luovuttamiselta, tuhoamiselta, muulta käsittelyltä, hävittämiseltä tai muuttamiselta taikka saatavuuden rajoittamiselta;

tietojen, palvelujen ja toimintojen saatavuus ja käytettävyys palautetaan mahdollisimman pian fyysisen tai teknisen poikkeaman sattuessa;

valtuutettujen henkilöiden, ohjelmien tai koneiden käytettävissä on ainoastaan ne tiedot, palvelut tai toiminnot, joihin näillä on käyttöoikeudet;

kirjataan, mitä tietoja, palveluja tai toimintoja on käytetty, hyödynnetty tai muutoin käsitelty, mihin aikaan ja kenen toimesta, ja mahdollistetaan näiden arvioiminen;

tietoturvapalveluiden tarjoamiseen käytettävät tieto- ja viestintätekniikan tuotteet, palvelut ja prosessit ovat sisäänrakennetusti ja oletusarvoisesti turvallisia ja niihin on tarvittaessa tehty uusimmat tietoturvapäivitykset eikä niissä ole julkisesti tiedossa olevia haavoittuvuuksia.