Ohjelmistoturvallisuus. 9.1 Toimittaja vastaa Palvelun osalta siitä, että: • sen toimittamiin tietojärjestelmäpalveluihin, ohjelmistokomponent- teihin tai medioihin ei sisälly haittaohjelmia tai muuta tahallista hai- tallista toiminnallisuutta, • se seuraa Palvelun tuottamiseen liittyviin ohjelmistoihin, kolmannen osapuolen komponentteihin ja sen osana oleviin valmisohjelmistoi- hin liittyviä tietoturvallisuustiedotteita, julkaistuja tietoturvapäivi- tyksiä ja haavoittuvuuksia, • se tiedottaa Tilaajaa viivytyksettä Palvelun tuottamiseen liittyvien, vastuullaan olevien Tilaajan ohjelmistojen tietoturvahaavoittuvuuk- sista sekä tietoturvapäivityksistä.
Ohjelmistoturvallisuus. 7.1. Toimittaja vastaa Palvelun osalta siitä, että:
Ohjelmistoturvallisuus. Kukin palvelun käyttäjä pääsee omilla käyttäjätunnuk- sillaan vain oman yrityksensä tietoihin. Asiakkaan työasemasta voi kytkeytyä järjestelmän tietokantaan vain Vinen sovellusrajapintojen kautta. Järjestelmä on suojattu palomuureilla ja muilla tietoturvamenettelyillä luvattoman käytön ja tietoturva- hyökkäysten estämiseksi. Vine huolehtii palvelimien käyttöjärjestelmä- ja sovellustason tietoturvapäivityksistä, konfiguroinneista ja muista vastaavista töistä. Vinellä on kattavat ohjelmistojen tuki- ja ylläpitosopimukset. Järjestelmä tallentaa erilaisiin lokitietoihin tiedot kaikista eri sovellusten sisäänkirjautumisista ja muista oleellisista tapahtumista.
Ohjelmistoturvallisuus. Tässä kappaleessa esitellyt tietoturvavaatimukset kohdistuvat asiakas- ja potilasjärjestelmän palvelin- ja väli- ja asiakasohjelmistojen sovellusarkkitehtuuriin, teknologioihin, protokolliin ja kehitysmenetelmiin. Vaatimuksilla pyritään mm. minimoimaan sellaiset sovellusten haavoittuvuudet ja tietoturva-aukot, jotka voivat vaarantaa asiakas- ja potilastiedon luottamuksellisuuden, eheyden ja saatavuuden. Ohjelmistoihin kohdistuvat tietoturvallisuusvaatimukset ovat erityisen keskeisiä 1) tietojärjestelmän teknisissä rajapinnoissa, joiden kautta järjestelmä integroituu muihin tietojärjestelmiin sekä 2) käyttöliittymäkerroksessa. Vaikka järjestelmä voidaan suojata esimerkiksi verkkohyökkäyksiltä palomuurein ja verkkoteknisin suojauksin, ohjelmistokerrokset tietoturvakontrollit tuovat lisäsuojaa, mikäli nämä suojaukset syystä tai toisesta pettävät. Tietoturvaan liittyvät vaatimukset tulee huomioida jo järjestelmän suunnitteluvaiheessa. Tietoturvan lisääminen järjestelmään jälkikäteen ei ole aina mahdollista tai siitä syntyvät kustannukset ovat korkeat. Tietoturva on sisäänrakennettu kaikkiin järjestelmäkehityksen vaiheisiin: ▪ Järjestelmän tietoturvavaatimukset tunnistetaan suunnitteluvaiheessa toteutettavan riskianalyysin yhteydessä. ▪ Kehitystyö tapahtuu ennalta laaditun kirjallisen kehitysprosessin mukaisesti, jossa jokaisessa vaiheessa on esitetty käytänteet tietoturvan todentamiselle. Kehitystyössä tulee noudattaa turvallisen ohjelmoinnin periaatteita, esimerkiksi OWASP- tai SANS-ohjeistuksia. ▪ Järjestelmässä käytetään ainoastaan hyväksyttyjä teknisiä tietoturvaratkaisuja esimerkiksi käyttäjä- tunnistuksen ja tiedon salaamisen osalta. ▪ Järjestelmän tietoturva testataan säännöllisesti kehitysprosessin eri vaiheissa sekä ennen tuotantoon käyttöönottoa yleisimpien tietoturvauhkien osalta. ▪ Kehitys-, testaus- ja tuotantoympäristöt on eriytetty toisistaan. Ei-tuotannollisissa ympäristöissä ei käsitellä todellista asiakas- tai potilastietoa. Sovelluskehityksestä vastuussa olevien henkilöiden riittävästä tietoturvaosaamisesta on varmistuttu sovellus- kehityksen tietoturvaan liittyvien koulutusten kautta. Lokitietojen avulla voidaan tunnistaa järjestelmän häiriötilanteet ja tietoturvapoikkeamat. Järjestelmän tulee tuottaa sellaista kiistatonta lokitietoa, jonka kautta saadaan riittävästi tietoa ympäristön ja verkon toiminnasta. Erityyppisiä lokeja kerätään, säilytetään ja käsitellään etukäteen sovittujen käytänteiden mukaisesti. Erityishuomiota tulee kiinnittää...
Ohjelmistoturvallisuus. Tässä luvussa asetetaan vähimmäisvaatimukset ohjelmistoturvallisuudelle. Vaatimukset täydentyvät usein hankinnan kohteelle asetettujen tietoturvavaatimusten myötä.