Ilmoitusvelvollisuus tietoturvahäiriöistä

Verkkotunnusvälittäjän on ilmoitettava välitystoimintaan kohdistuvista tietoturvauhkista ja -loukkauksista.

Välittäjän on ilmoitettava viipymättä Viestintävirastolle, jos sen verkkotunnusten välitystoimintaan kohdistuu

  • merkittävä tietoturvaloukkaus
  • uhka merkittävästä tietoturvaloukkauksesta tai tapahtumasta, joka estää tai häiritsee toimintaa olennaisesti.

Samalla on myös ilmoitettava häiriön tai sen uhan

  • arvioitu kesto
  • vaikutukset
  • korjaustoimenpiteet
  • toimenpiteet, joilla häiriön toistuminen pyritään estämään.

Viestintävirastolle annettavassa merkittävää tietoturvahäiriötä koskevassa ilmoituksessa tulee mahdollisuuksien mukaan selvittää häiriön tai uhan syy ja kuvata, miten häiriö on aiheutunut.

Tietoturvahäiriöstä on ilmoitettava välittömästi

Häiriöilmoitus on tehtävä 24 tunnin kuluessa siitä, kun häiriötilanne on tullut välittäjän tietoon.

Esimerkiksi tilanteessa, jossa verkkotunnusvälittäjän järjestelmään on tunkeuduttu, on välttämätöntä, että valvova viranomainen saa asiasta viipymättä tiedon. Vaarana on, että tunkeutuja voi päästä vapaasti muuttamaan kyseisen välittäjän hallinnoimien verkkotunnusten tietoja, kuten esimerkiksi nimipalvelimia. Uhka voi koskea laajaakin asiakasmäärää riippuen välittäjän asiakaskunnasta.

Ilmoitus tehdään ensisijaisesti sähköpostitse osoitteeseen cert(at)ficora.fi. Jos tietoturvan häiriötilanne on vakava ja/tai verkkotunnusvälittäjä tarvitsee apua luvattomasti tehtyjen muutosten selvittämiseen, niin yhteydenotto on syytä tehdä myös välittäjille ilmoitettuun puhelinnumeroon.

Jos kaikkia ilmoituksessa esitettyjä tietoja ei ole saatavilla ja tilannetta on tutkittava tarkemmin, tehdään viimeistään 24 tunnin kuluessa ns. alustava ilmoitus, jota täydennetään mahdollisimman pian, viimeistään kuitenkin kolmen (3) päivän kuluttua alustavasta ilmoituksesta.

Jos tutkimuksista huolimatta verkkotunnusvälittäjä ei pysty antamaan kaikkia tietoja kolmen päivän kuluessa alustavasta ilmoituksesta, on ilmoitettava kyseisessä määräajassa käyttöön saadut tiedot ja perusteltava, miksi loput tiedot ilmoitetaan määräajan jälkeen.

Merkittävät tietoturvaloukkaukset

Asiasanat: Internet , Tietoturva , Haittaohjelma , Kyberturvallisuus , Palvelunestohyökkäys , Riskienhallinta , Tietomurto , Tietovuoto , Vaatimustenmukaisuus , Valvonta , Verkkotunnukset , Välittäjä , Määräykset , Ohjeet , Suositukset

LinkedIn Print