Hankinnan kuvaus
Keva on kilpailuttamassa ympärivuorokautiset Cyber Security Operation Center (CSOC) - palvelun tarjoajan. Kevan tavoitteena on saada laadukasta ja kattavaa palvelua siten, että CSOC-palvelun tarjoaja hyödyntää Kevan olemassaolevia tietoturvaratkaisuja. Keva on vahvasti sitoutunut Microsoft-tietoturvaratkaisuihin ja on hankkinut mm. E5 Security - lisenssin kaikkien kevalaisten käyttöön. Kevalla ei tällä hetkellä ole Microsoft Sentinell - ratkaisua tuotantokäytössä, vaan sitä evaluoidaan ja sinne viedään M365 -ympäristön lokitietoja. Keva edellytää Microsoft Sentinellin käyttöä Kevan CSOC-palveluissa.
Keva hakee CSOC-toimittajalta valvonnan ja havainnoinnin lisäksi kykyä selvittää ja ratkaista itsenäisesti tietoturvahavainnot niin pitkälle kuin mahdollista. Tällä kyvykkyydellä tarkoitetaan sitä, että toimittaja voi estää kevalaisen käyttäjän pääsyn julkiverkkoon tai sulkea hyökkäyksen kohteena olevan palvelun. Toimittajalta edellytetään myös kykyä eskaloida havaintoselvitystä myös muille Kevan kumppaneille, kuten työasemapalveluista, tietoliikenteestä ja palvelinympäristöstä vastaaville tahoille sekä tehdä yhteistyötä heidän kanssaan havainnon ratkaisemiseksi tai esimerkiksi hyökkäyksen estämiseksi.
Tulevalta CSOC-toimittajalta edellytetään aktiivista otetta Kevan tietoturvan ja sen havainnointikyvyn kehittämiseen. Aktiivisella otteella tarkoitetaan säännöllistä yhteydenpitoa asiakkaaseen esimerkiksi palvelupäällikön toimesta sekä ehdotuksia ratkaisuista tai konfiguraatiomuutoksista paremman havainnointikyvyn saamiseksi.
Keva edellyttää tulevalta toimittajalta tietoturvan tilan raportointia, jonka toimittaja voi toteuttaa haluamallaan tavalla. Raportoinnin tavoitteena on saada mitattavia elementtejä tietoturvasta, joita Keva voi raportoida myös sisäisesti riskienhallinnalle.
Tulevalta toimittajalta edellytetään Traficomin kyberturvakeskuksen valtuutusta Havaro 2 - havaintojen käsittelyyn. Kevalla on jo vuosia ollut käytössä Havaro-ympäristö, ja sen ylläpito on vastuutettu Kyberturvakeskuksen suosittelemalle toimittajalle. Kevan Havaro-ympäristö on päivitetty Havaro 2 -tasolle.
Toimittajalta edellytetään myös kykyä tehdä selvitystyötä mahdollisen vakavan tietoturvatapahtuman juurisyiden ja laajuuden selvittämiseksi (DFIR). Tehtyä selvitystyötä ja raporttia tullaan hyödyntämään muiden viranomaisten kanssa mm. mahdollisen rikosilmoituksen osana.
Arvioimme, että lokitamme tällä hetkellä max 50 Gb / päivä. Osa lokeista on sovellustemme tuottamaa ja on tallessa lähinnä GDPR:n takia eikä suoraan liity tietoturvahavaintoihin. Nämä ns. audit-lokit haluttaisiin mukaan erilliseksi palveluksi. Tarkoitamme sitä, että palvelun piiriin pitää kuulua nämä lokit, mutta niiden ei tarvitse olla osa muita tietoturvalokien hallintaa/valvontaa. Audit-lokeihin tarvitaan pääsyä harvoin (n. kaksi (2) krt / vuodessa), ja siksi ne voivat sijaita sellaisessa palvelussa, josta ne ovat saatavilla pidemmälläkin viiveellä.