Kriittinen infrastruktuuri kameravalvonta audit trail lokitus FAQ

Kriittisen infrastruktuurin audit trail on NIS2-vaatimustenmukaisuuden kivijalka — ilman muokkaamatonta lokihistoriaa ei voida osoittaa, että turvallisuusvaatimukset on täytetty tai miten poikkeamaan reagoitiin.

SIEM + WORM-lokit = NIS2-vaatimustenmukaisuuden tekninen osoitus

Kahden tekijän yhdistelmä: reaaliaikainen poikkeamien havaitseminen (SIEM) ja muokkaamaton historiallinen näyttö (WORM). Yhdessä ne kattavat NIS2:n tekniset vaatimukset.

NIS2-rikkomuksen sakko on 10 M€ — lokituksen kustannus on promille siitä

Lokituksen laiminlyöminen ei ole kustannussäästö kriittisessä infrastruktuurissa. Se on riski, jonka realisoituminen on kalliimpi kuin itse järjestelmä.

Aiheeseen liittyvät

Usein kysytyt kysymykset

Mitä NIS2-direktiivi vaatii kriittisen infrastruktuurin kameravalvonnan lokitukselta?

NIS2-direktiivin lokitusvaatimukset kriittiselle infrastruktuurille: NIS2:n soveltamisala (direktiivi 2022/2555 — energiatuotanto, vesihuolto, liikenne, terveydenhuolto, digitaalinen infrastruktuuri; kameravalvontajärjestelmä on osa kyberturvallisuuden hallintajärjestelmää; lokitus on osa NIS2:n edellyttämää turvallisuusdokumentaatiota); mitä lokitetaan (kameravalvontajärjestelmän kirjautumiset: kuka, milloin, mistä; tallenteen katselutapahtumat: kuka, mitä tallenteen osia, milloin; järjestelmän muutokset: kameran lisäys, poisto, asetusmuutos; hälytykset ja niiden käsittely; kaikki tapahtumat aikaleimattuna); lokien suojaus (lokit eivät saa olla muokattavissa — write-once tai sähköinen allekirjoitus; erillinen loki-palvelin tai SIEM; NIS2: kyberturvallisuuden hallinta edellyttää eheyden varmistamista); säilytysaika (NIS2 ei anna eksplisiittistä minimiaikaa — mutta toimialakohtainen sääntely voi; käytäntö: 12–24 kk lokidata; tietosuojaselosteessa mainittava); viranomaistarkastus (Kyberturvallisuuskeskus voi pyytää lokeja — esitettävä nopeasti; lokien on oltava luettavassa muodossa).

Mikä on kameralokien todistusarvo viranomaistutkinnassa?

Kameralokien todistusarvo kriittisen infrastruktuurin tutkinnassa: mitä lokit todistavat (käyttöloki: kuka kirjautui, mitä katsoi, milloin; tallenteloki: kamera oli toiminnassa tiettynä aikana; hälytystapahtumat: milloin havaittiin, kuka reagoi; muutosloki: kuka muutti järjestelmää, milloin); autenttisuus (lokien eheys: kryptografinen hash; jos loki on muokkaamaton — korkea todistusarvo; muokattu loki: todistusarvo heikkenee merkittävästi; aikaleiman oikeellisuus: synkronoitu NTP-palvelimen kanssa); viranomaistutkinta (poliisi tai SUPO pyytää lokeja: toimitettava pyynnön mukaisessa muodossa; Kyberturvallisuuskeskus: tarkastaa NIS2-vaatimustenmukaisuuden lokien avulla; Tukes tai FIVA: toimialakohtainen tarkastus); rikosoikeudellinen (lokit voivat olla todisteita rikostutkinnassa — luvaton pääsy, sabotaasi; alkuperäiset lokit: säilytetään muokkaamattomina; forensinen kopia: tutkinnassa käytetään kopiota); GDPR (lokitkin ovat henkilötietoja — kuka kirjautui; tietosuojaselosteessa mainittava; säilytysaika perusteltava).

Miten kameralokien eheys varmistetaan kriittisessä infrastruktuurissa?

Kameralokien eheyden varmistaminen kriittisessä infrastruktuurissa: kryptografinen hash (jokainen lokitapahtuma: SHA-256 tai vastaava hash; muutokset paljastuvat hash-vertailulla; lohkoketjutyylinen ketjutus: jokainen rivi viittaa edelliseen — muokkaus rikkoisi koko ketjun); write-once-tallennus (WORM-media tai pilvipohjainen kirjoitussuojattu varasto; lokit kirjoitetaan kerran, ei voida poistaa tai muuttaa ilman järjestelmänvalvojan toimenpidettä; NIS2: turvallisuustoimenpiteenä eheyden varmistaminen); SIEM-integraatio (Security Information and Event Management — lokit syötetään SIEM:iin reaaliajassa; SIEM havaitsee poikkeamat lokitapahtumissa; korreloi kameraloki muihin järjestelmälokeihin); offline-varmuuskopio (lokien varmuuskopiointi: erilliselle palvelimelle tai offline-medialle; off-site-varmuuskopio: fyysinen katastrofisuoja; varmuuskopiointi: päivittäin tai reaaliajassa); säännöllinen tarkistus (turvallisuuspäällikkö tai CISO: kuukausittainen lokien integriteettitarkistus; automaattinen hälytys, jos lokiketju katkeaa).

Mitä käyttölokeja kriittisen infrastruktuurin kameravalvonnassa on oltava?

Käyttölokit kriittisen infrastruktuurin kameravalvonnassa: kirjautumislokit (kuka kirjautui, milloin, mistä IP-osoitteesta; onnistunut tai epäonnistunut; epäonnistuneet yritykset: turvallisuushälytys raja-arvon ylittyessä; VPN-yhteys vai suora); tallenteen katselulokit (kuka katsoi, mitä kameraa, minkä aikajakson tallenteen; poistumisaika; ei riitä pelkkä kirjautuminen — myös, mitä katseltu); hälytyslokit (jokainen hälytys: milloin, minkä kamera, minkä tyyppi; kuka kuittasi, milloin, mitä toimenpiteitä; kuittaamaton hälytys: ylimääräinen lokimerkintä); järjestelmälokit (kameran toimivuus: online vai offline; verkkoyhteyskatko: milloin, kuinka pitkä; kameran muutokset: kuka teki, milloin, mitä muuttui); hallinnolliset lokit (käyttäjätunnusten luonti ja poisto; oikeuksien muutokset; salasanan vaihto; GDPR: erityisesti nimetty henkilörekisterin käsittelijä).

Miten lokikirja integroidaan SOC:iin tai SIEM:iin?

Kameralokien integraatio SOC tai SIEM kriittisessä infrastruktuurissa: miksi integraatio (kameravalvontajärjestelmän lokit yksin: ei riitä kokonaiskuvaan; SIEM: yhdistää lokit eri järjestelmistä — kamera + kulunvalvonta + IT-verkko + tuotantojärjestelmä; korrelointi: luvaton pääsy kamerassa samaan aikaan kuin epäilyttävä IT-tapahtuma — selkeä signaali); tekninen integraatio (kamerajärjestelmä tukee syslog-protokollaa: helpoin integraatio SIEM:iin; API-integraatio: monipuolisempi; webhook: reaaliaikainen tapahtumailmoitus; toimittajan tekninen tuki: varmistettava integraatiovalmius ennen hankintaa); SOC (Security Operations Center — 24/7 analyytikko seuraa poikkeamia; kamera-hälytys + kulunvalvontahälytys samaan aikaan: SOC reagoi; kriittinen infrastruktuuri: oma SOC tai ulkoistettu MSSP); hälytyssäännöt (SIEM:ssä: kameravalvonnan poikkeama laukaisee automaattisesti tarkempaa tutkintaa; yöllinen kirjautuminen kamerajärjestelmään: korkean prioriteetin hälytys; useampi epäonnistunut kirjautumisyritys: brute force -tunnistus); raportit (SIEM tuottaa automaattiset raportit: turvallisuuspäällikölle, CISO:lle; NIS2-vaatimustenmukaisuusraportti; Kyberturvallisuuskeskukselle esitettäessä: selkeä dokumentaatio).

Miten GDPR koskee kameralokeja kriittisessä infrastruktuurissa?

GDPR ja kameravalvontalokit kriittisessä infrastruktuurissa: lokit ovat henkilötietoja (käyttöloki: kuka kirjautui — henkilötieto; tallenteen katseluloki: kuka katsoi, mitä — henkilötieto; hälytyksen kuittausloki: kuka kuittasi — henkilötieto; kaikki käsiteltävä GDPR:n mukaisesti); oikeusperuste (oikeutettu intressi: turvallisuuden varmistaminen, NIS2-vaatimustenmukaisuus; lakisääteinen velvoite: NIS2 edellyttää turvallisuuslokeja — lakisääteinen peruste); tietosuojaseloste (lokitieto mainittava: mitä kerätään, miksi, kauanko; käsittelijä: turvallisuuspäällikkö tai CISO; ei luovuteta kolmansille ilman perustetta); säilytysaika (NIS2 ei anna minimitasoa, mutta kyberturvallisuuden hallinta edellyttää riittävää historiaa; käytäntö: 12–24 kk; pidempään perustellussa tutkinnassa; tietosuojaselosteessa mainittava); henkilöstön oikeudet (henkilö voi pyytää: mitä lokeja on minusta; vastataan 30 päivässä; poistamisoikeus: rajoitettu, koska NIS2-velvoite; DPIA: suositeltavaa laajamittaiselle lokitukselle).

Miten lokikirja osoittaa NIS2-vaatimustenmukaisuuden?

Lokikirja NIS2-vaatimustenmukaisuuden osoittamisessa: NIS2 Artikla 21 (turvallisuustoimenpiteet: riskienhallinta, poikkeamien seuranta, toipuminen; lokikirja on tekninen osoitus toimenpiteistä); auditointituki (Kyberturvallisuuskeskus tai ulkopuolinen auditoija pyytää lokeja; lokit osoittavat: milloin poikkeamia havaittiin, miten reagoitiin, mitä korjattiin; ilman lokeja: ei näyttöä aktiivisesta turvallisuudenhallinasta); poikkeamailmoitus (NIS2: vakava poikkeama ilmoitettava Kyberturvallisuuskeskukselle 24 tunnin kuluessa; lokikirja on ilmoituksen perusta; alkuperäinen poikkeama-aika, kesto, vaikutus — kaikki lokista); vaatimustenmukaisuusraportti (turvallisuuspäällikkö tai CISO tuottaa kvartaaliittain: lokien avulla; kamerahälytysmäärät, reagointiaika, ratkaisuaika; johtoryhmälle ja Kyberturvallisuuskeskukselle pyydettäessä); kirjallinen politiikka (lokituspolitiikka: kirjallinen dokumentti — mitä lokitetaan, miten suojataan, kauanko säilytetään; NIS2-vaatimustenmukaisuuden osoitus alkaa politiikasta).

Miten lokidata analysoidaan kriittisessä infrastruktuurissa?

Lokidatan analyysi kriittisessä infrastruktuurissa: manuaalinen tarkistus (turvallisuuspäällikkö tai CISO: viikoittainen lokitarkistus — poikkeamat; epäilyttävät kirjautumiset; kuittaamattomat hälytykset; historiallinen trendi); automaattinen analyysi (SIEM: reaaliaikainen poikkeamatunnistus; epätavalliset kellonajat kirjautumisille; monta epäonnistunutta kirjautumista: brute force; pitkä istunto poikkeukselliseen aikaan: insider threat -signaali); threat hunting (SOC-analyytikko: aktiivinen uhkien etsintä lokista; ei odoteta hälytystä — etsitään piilossa olevia uhkia; korrelointi eri lokien välillä); trendianalyysi (hälytysmäärät kuukausittain: onko turvallisuus parantunut vai heikentynyt?; reagointiaika: nopeampi vai hitaampi?; turvallisuuden KPI-mittarit johtoryhmälle); forensinen analyysi (epäilyttävä tapahtuma — forensinen tutkija analysoi lokeja; timeline-rekonstruktio; poikkeaman laajuus selvitetään lokista; poliisille tai SUPO:lle raporttina).

Paljonko audit trail -lokitus lisää kustannuksia kriittisessä infrastruktuurissa?

Audit trail -lokituksen kustannukset kriittisessä infrastruktuurissa: peruslokitus (kirjautumis-, katselu- ja hälytyslokit): sisältyy useimpiin moderneihin kamerajärjestelmiin; SIEM-integraatio (projektikulut): 5 000–15 000 € kertaluonteisesti + 200–500 €/kk; WORM-tallennus tai suojattu loki-palvelin: 100–300 €/kk pilvipohjaisena; SOC tai MSSP (ulkoistettu turvallisuuden valvonta): 1 000–5 000 €/kk; NIS2-auditointi (ulkopuolinen): 5 000–20 000 € per auditointi; tietosuoja-asiantuntija (DPIA, tietosuojaseloste, politiikat): 2 000–10 000 € projektikulut; kokonaiskustannus (kriittinen infrastruktuurilaitos, täysi NIS2-vaatimustenmukaisuus, SIEM, MSSP): 3 000–8 000 €/kk; ilman vaatimustenmukaisuutta (NIS2-rikkomuksen sakko: 10 M€ tai 2 % liikevaihdosta — ei kannata säästää lokituksesta).

Miten lokit säilytetään pitkäaikaisessa arkistossa kriittisessä infrastruktuurissa?

Lokien pitkäaikaisarkistointi kriittisessä infrastruktuurissa: miksi pitkäaikainen arkistointi (tutkinta voi alkaa kuukausia tapahtuman jälkeen; oikeudenkäynti: vuosia; NIS2-vaatimustenmukaisuuden historiallisuus; toimialakohtainen sääntely — energia, vesi: mahdolliset pidemmät vaatimukset); arkistointiratkaisut (immutable cloud storage (AWS S3 Glacier, Azure Immutable Blob): kirjoitussuojattu, pitkäaikainen, kustannustehokas; WORM-tape: fyysinen media, erittäin pitkäaikainen; on-site NAS + off-site varmuuskopio: redundanssi); hakemistointi (arkistoidut lokit: hakemistoitu päivämäärällä, järjestelmällä, tyypillä; nopea haku forensisessa tutkinnassa; ei satoja gigatavuja käymällä läpi — structured query); kustannus (cold storage: 1–5 €/GB/vuosi; 2 vuoden kameraloki + käyttöloki: tyypillisesti 500 GB–5 TB; 50–250 €/kk pitkäaikaisarkisto); poistaminen (GDPR minimointiperiaate: ei pidetä pidempään kuin tarpeellista; NIS2 voi luoda tarpeen — ennen poistoa: turvallisuuspäällikön tai DPO:n hyväksyntä).

Kriittisen infrastruktuurin kameravalvonta – audit trail ja lokitus FAQ

SIEM + WORM-lokit = NIS2-vaatimustenmukaisuuden tekninen osoitus

NIS2-rikkomuksen sakko on 10 M€ — lokituksen kustannus on promille siitä

Aiheeseen liittyvät

Rakenna NIS2-yhteensopiva audit trail infrastruktuurillesi

Mitä asiakkaamme kertovat

Usein kysytyt kysymykset

Lähteet

Nopein kanava — yhteydenottolomake

Kriittisen infrastruktuurin kameravalvonta – audit trail ja lokitus FAQ

SIEM + WORM-lokit = NIS2-vaatimustenmukaisuuden tekninen osoitus

NIS2-rikkomuksen sakko on 10 M€ — lokituksen kustannus on promille siitä

Aiheeseen liittyvät

Rakenna NIS2-yhteensopiva audit trail infrastruktuurillesi

Mitä asiakkaamme kertovat

Usein kysytyt kysymykset

Lähteet

Nopein kanava — yhteydenotto­lomake

Evästeet ja yksityisyys

Nopein kanava — yhteydenottolomake