Skip to main content

​
Defensive Design

Kohderyhmä: ohjelmistosuunnittelijat, IT
Vaikeustaso: perustaso
Aika: 8 moduulia, kukin 3–5 minuuttia + 5 kysymystä moduulia kohden
Saatavuus: Saatavilla Koulutus-osiossa yksittäisinä moduuleina. Niitä ei tarvitse määrittää tai katsoa yhdessä, vaan ne on suunniteltu toimimaan itsenäisesti.
Moduulit:
  • Defensive Design: Application Portfolio Management
  • Defensive Design: GRC (Governance, Risk, and Compliance) for Technical Employees
  • Defensive Design: Open Source Code
  • Defensive Design: OWASP
  • Defensive Design: Phishing for Technical Employees
  • Defensive Design: Social Engineering for Technical Employees
  • Defensive Design: Threat Modeling
  • Defensive Design: User Permissions & Access Management
Esittelyvideo: Katso esittelyvideo
Markkinointimateriaalit: Defensive Design -markkinointipaketti
Keskeiset oppimissisällöt:
  • Defensive Design: Application Portfolio Management
    • Sovellussalkun hallinnan merkitys kyberturvallisuudessa
    • Inventoidun sovellussalkun hyödyt
    • Sovellussalkkujen sisältö sekä liiketoiminnan että teknisestä näkökulmasta
    • Rooli katastrofipalautumisen suunnittelussa
    • Jatkuva tuki organisaation hyvinvoinnille
  • Defensive Design: GRC (Governance, Risk, and Compliance) for Technical Employees
    • GRC:n määritelmä
    • Vaatimustenmukaisuuden merkitys
    • Selkeiden toimintaperiaatteiden rooli
    • Ennakoiva riskienhallinta
    • Säännölliset riskiarvioinnit ja -analyysit
    • GRC-ohjelman ymmärtäminen ja noudattaminen
  • Defensive Design: Open Source Code
    • Avoimen lähdekoodin yleisyys ja hyödyt
    • Avoimeen lähdekoodiin liittyvät tietoturvariskit
    • Turvallisen avoimen lähdekoodin valintakriteerit
    • Riittämättömistä tietoturvakäytännöistä johtuvat uhat
    • Avoimen lähdekoodin komponenttien säännöllisen päivittämisen merkitys
    • Ohjelmistokomponenttiluettelon (Software Bill of Materials, SBOM) ylläpito
    • Avoimen lähdekoodin vastuullinen käyttö
  • Defensive Design: OWASP
    • OWASPin yleiskatsaus ja merkitys
    • OWASPin työkalujen yleiskatsaus
  • Defensive Design: Phishing for Technical Employees
    • Kalastelu- eli tietojenkalasteluhyökkäysten kohdennettu luonne
    • Yritysviestipetokset (Business Email Compromise, BEC)
    • Rekrytointitekosyyt – tietojenkalastelu työtarjousten avulla
    • Yhteisöpohjaiset hyökkäykset – keskustelufoorumit, ryhmät ja muut
    • Valppauden merkitys
    • Viestinnän varmentaminen ja varovaisuus
    • Varoitusmerkit: kiireen tuntu ym.
  • Defensive Design: Social Engineering for Technical Employees
    • Kohdennetut sosiaalisen manipuloinnin hyökkäykset
    • Salasanojen turvallisuus
    • Avoimista lähteistä kerättävän tiedustelutiedon (Open Source Intelligence, OSINT) riskit
    • Fyysiset turvallisuusuhat alan tapahtumissa
    • Organisaation toimintaperiaatteiden noudattaminen
    • Valppaat ja ennakoivat tietoturvakäytännöt
  • Defensive Design: Threat Modeling
    • Uhkamallinnuksen merkitys riskien vähentämisessä
    • Uhkamallinnuksen keskeiset osat
      • Sovellusten dokumentointi
      • Mahdollisten uhkien tunnistaminen ja priorisointi
      • Vastatoimien määrittäminen ja toteuttaminen
    • Integrointi kehityksen elinkaareen
    • Jatkuva parantaminen ja koulutus
  • Defensive Design: User Permissions & Access Management
    • Käyttäjäoikeuksien hallinnan merkitys
    • Organisaatioiden menetelmät käyttäjäoikeuksien hallintaan
    • Oikeuksien laajenemisen estäminen
    • Vähimpien oikeuksien periaate ja etuoikeutettu käyttöoikeus
    • Näkyvyyden ja hallinnan ylläpito
    • Vaatimustenmukaisuus, säädökset ja säännöllinen auditointi
    • Tehokkaan käyttöoikeuksien hallinnan vaikutus