ISO 27001:n liite A: saa 93 hallintakeinoa toimimaan käytännössä

Liite A tarjoaa tietoturvatiimeille hyödyllisen viitekokoelman. Sen operatiivinen arvo syntyy siitä, että pystytte osoittamaan, miksi hallintakeino soveltuu, miten se on toteutettu ja mikä näyttö tukee sitä omassa ympäristössänne. Rekisteri, jossa on 93 vihreää tilamerkintää, ei riitä, jos kukaan ei pysty selittämään, mitä järjestelmiä merkinnät koskevat.

Teknologiajohtajalle (CTO) käytännön haaste on muuntaa hallintakeinojen tarkoitus teknisiksi ja operatiivisiksi tehtäviksi ilman, että tietoturvallisuuden hallintajärjestelmästä tulee rinnakkainen byrokratia. Käyttöoikeuskatselmointien tulee perustua todellisiin käyttöoikeustietoihin. Palautumissuunnitelmien tulee heijastaa palvelujen riippuvuuksia. Toimittaja-arviointien tulee koskea niitä palveluja, joita liiketoiminta todella käyttää.

Tämä opas selittää, miten hallintakeinot valitaan, omistajuus jaetaan, toteutukset määritellään ja niistä tehdyt väitteet testataan. Alla esitetyt katselmointitiheydet ja toteutusesimerkit ovat käytännön suosituksia, eivät standardin määräämiä yleisiä aikavälejä.

Ymmärrä, mitä liite A tekee ja mitä se ei tee

ISO/IEC 27001:2022 sisältää liitteessä A 93 hallintakeinoa neljässä teemassa. Kohdat 4–10 sisältävät hallintajärjestelmää koskevat vaatimukset: organisaation toimintaympäristö, johtajuus, suunnittelu, tuki, toiminta, suorituskyvyn arviointi ja parantaminen. Liite A tukee hallintakeinojen valintaa; se ei korvaa näitä vaatimuksia eikä riskiarviointianne.

Ero on tärkeä toteutuksen aikana. Varmuuskopioinnin konfiguraatio voi tukea valittua hallintakeinoa, mutta se ei osoita, että olette määritelleet ISMS:n soveltamisalan, arvioineet riskit, tehneet sisäisen auditoinnin tai johdon katselmoinnin. Ne ovat erillisiä toimintoja, joilla on oma näyttönsä.

Hallintakeinojen valinta perustuu riskeihin. Määrittäkää riskien käsittelyyn tarvittavat hallintakeinot ja verratkaa niitä sitten liitteeseen A varmistaaksenne, ettei tarpeellisia hallintakeinoja ole jäänyt pois. Liitteen A ulkopuolisia lisähallintakeinoja voidaan tarvita. Toisaalta perusteltu poisjättäminen on mahdollista; mikään sääntö ei edellytä, että jokaisen organisaation on jätettävä jotain pois tai toteutettava täsmälleen sama valikoima.

ISO/IEC 27002:2022 antaa hallintakeinojen toteutusohjeet. Sen attribuuttien avulla hallintakeinot voidaan järjestää hallintakeinon tyypin, tietoturvaominaisuuden, kyberturvallisuuden käsitteen, operatiivisen kyvykkyyden ja turvallisuusalueen mukaan. Ne ovat hyödyllisiä suodatusapuja, eivät sertifioinnin lisätarkistuslistoja. Tarkistakaa velvoittava sanamuoto lisensoiduista standardeista.

Löydä oikeat omistajat neljän teeman avulla

Teemat tarjoavat navigointirakenteen, eivät neljää itsenäistä työvirtaa. Esimerkiksi lähtijäprosessi yhdistää työsuhteeseen liittyvät vastuut, identiteettien hallinnan, laitteiden palauttamisen ja sovellusten käyttöoikeudet.

Organisatoriset hallintakeinot: yhdistä hallinto operatiivisiin päätöksiin

Nämä hallintakeinot kattavat politiikat, vastuut, tehtävien eriyttämisen, omaisuuden, tietojen luokittelun ja käsittelyn, käyttöoikeuksien hallinnan, toimittajat, poikkeamat, jatkuvuuden, lakisääteiset velvoitteet ja katselmointitoiminnot.

Aloita tunnistamalla, missä päätökset tehdään. Kuka hyväksyy uuden pilvipalvelun? Kuka määrittää tiedon luokituksen? Kuka päättää, onko ilmoitettu tapahtuma poikkeama? Politiikan tulee tehdä näistä päätöksistä toistettavia ja osoittaa päätösvalta sen sijaan, että se vain ilmaisisi tukea tietoturvalle.

Toimittajien tietoturva edellyttää palvelukohtaista näyttöketjua: palvelun liiketoiminnallinen tarkoitus, sen käsittelemät tiedot, arvioidut riskit, sopimukselliset vastuut ja jatkuva katselmointi. Toimittajan varmennusraportti voi tukea arviointia, mutta sen kattavuuden, ajanjakson ja asiakkaan vastuiden on vastattava teidän käyttöänne.

Myös poikkeamien hallinta vaatii muutakin kuin hätäyhteystietoluettelon. Määritelkää ilmoitusreitit, arviointikriteerit, toimintavaltuudet, näytön käsittely ja oppimistoiminnot. Kirjatkaa harjoitukset tai todelliset toimet, jatkotoimenpiteet ja niiden omistajat mukaan lukien.

Henkilöstöön liittyvät hallintakeinot: tee työsuhdetapahtumista luotettavia laukaisijoita

Kahdeksan henkilöstöön liittyvää hallintakeinoa koskevat taustatarkistuksia, työsuhteen ehtoja, tietoisuutta ja koulutusta, kurinpitoprosesseja, vastuita työsuhteen muuttuessa, salassapitoa, etätyötä ja tapahtumista ilmoittamista.

Rakenna nämä olemassa oleviin työsuhdeprosesseihin. Uusi työntekijä tarvitsee asianmukaiset velvoitteet, käyttöoikeudet ja ohjeistuksen. Tehtävää vaihtava tarvitsee käyttöoikeuksiensa uudelleenarvioinnin, ei pelkkiä lisäoikeuksia. Lähtijä tarvitsee käyttöoikeuksien poistamisen, omaisuuden palauttamisen ja selkeyden jatkuvista salassapitovelvollisuuksista.

Omistajuus ulottuu usein useaan tiimiin. Henkilöstöhallinto voi käynnistää lähtöprosessin, identiteettien ylläpitäjät poistavat keskitetyn tilin käytöstä, sovellusten omistajat poistavat paikallisesti hallinnoidut käyttöoikeudet ja esihenkilö vahvistaa toimien valmistumisen. Koko prosessin osoittaminen tietoturvalle kätkee nämä riippuvuudet.

Hyödyllistä näyttöä ovat hyväksytyt prosessikirjaukset, koulutusten suorittaminen ja myöhässä olevien seuranta, kuitatut ehdot sekä otannalla tarkastetut työsuhdemuutokset. Rajatkaa pääsy arkaluonteiseen henkilöstöhallinnon näyttöön; hallintakeinon tarkastaja ei automaattisesti tarvitse täydellisiä henkilöstökansioita.

Fyysiset hallintakeinot: dokumentoi oma rajanne ja toimittajan raja

Fyysiset hallintakeinot koskevat toimitiloja, kulunvalvontaa, valvontaa, ympäristöuhkia, turva-alueita, työpöytiä ja näyttöjä, laitteita, tallennusvälineitä, tukipalveluita, kaapelointia, huoltoa ja hävittämistä.

Myös pilvipainotteisen organisaation on otettava fyysinen turvallisuus huomioon. Osa toteutuksesta voi tulla pilvipalvelujen toimittajalta, kun taas toimiston kulunvalvonta ja työntekijöiden laitteet ovat organisaation omalla vastuulla. Kirjatkaa tämä jako sen sijaan, että jättäisitte koko teeman automaattisesti pois.

Omissa toimipisteissänne yksilöikää, kuka pääsee sisään, miten kulkuoikeudet muuttuvat, missä arkaluonteiset laitteet sijaitsevat ja miten vierailijoita käsitellään. Etäkäytössä olevien laitteiden osalta määritelkää niiden riskeihin sopivat säilytys-, kuljetus-, korjaus- ja hävitysjärjestelyt.

Näyttönä voivat olla kulkuoikeuksien hyväksyntäkirjaukset, vierailijamenettelyt, laiteluettelot ja hävityskirjaukset. Toimittajan näytön tulee selittää, mitä tiloja ja palveluja se koskee; sitä ei pidä käsitellä todisteena toimistonne tai kannettavien tietokoneidenne hallintakeinoista.

Teknologiset hallintakeinot: määritä kattavuus ennen työkalujen valintaa

Teknologinen teema kattaa päätelaitteet, etuoikeutetut käyttöoikeudet, todentamisen, lähdekoodin käytön, kapasiteetin, haittaohjelmat, haavoittuvuudet, konfiguraatiot, tietojen käsittelyn, varmuuskopiot, häiriönsietokyvyn, lokit, valvonnan, verkot, kryptografian, kehittämisen ja muutostenhallinnan.

Aloittakaa järjestelmien kattavuudesta. Identiteettipolitiikka on puutteellinen, jos tuotantoympäristön käyttöoikeudet, palvelutilit tai erikseen hallinnoitu sovellus jäävät sen toteutuksen ulkopuolelle. Lokialusta on puutteellinen, jos kriittiset tapahtumat eivät koskaan päädy sinne tai kukaan ei reagoi hälytyksiin.

Ohjelmistokehityksessä yhdistäkää vaatimukset ja suunnittelupäätökset koodikatselmointiin, tietoturvatestaukseen, ympäristöjen erottamiseen, testidatan käsittelyyn ja julkaisun hyväksyntään. Uhkamallinnus voi auttaa tunnistamaan tietoturvavaatimukset ennen toteutusta. Testauksen syvyyden tulee määräytyä riskien ja velvoitteiden mukaan; ISO 27001 ei määrää yleistä tunkeutumistestausaikataulua.

Kryptografian osalta erottakaa tallennetut tiedot siirrettävistä tiedoista ja dokumentoikaa avainten omistajuus, käyttöoikeudet, palautus, vaihtaminen ja mitätöinti. ”Salaus käytössä” jättää tärkeitä toteutuskysymyksiä vastaamatta.

Mikä muuttui vuonna 2022 ja mistä puutteita kannattaa etsiä

Vuoden 2013 versiossa oli 114 hallintakeinoa 14 alueella. Vuoden 2022 versiossa ne järjestettiin uudelleen 93 hallintakeinoksi neljään teemaan, joista 11 hallintakeinoa on uusia. Pienempi määrä ei tarkoita vähemmän tietoturvatyötä: yhdistäminen voi tuoda useita operatiivisia vastuita saman viitteen alle.

Kun päivitätte vanhempaa rekisteriä, säilyttäkää taustalla olevat toteutukset ja näyttö sen sijaan, että vain vaihtaisitte tunnisteet. Tarkistakaa, muuttaako uusi ryhmittely kattavuutta, omistajuutta tai testejä, joita tilamerkintänne tukeminen edellyttää.

Akkreditoitujen ISO/IEC 27001:2013 -sertifiointien siirtymäaika päättyi 31. lokakuuta 2025. Nämä sertifikaatit eivät ole enää voimassa; pelkkä hallintakeinorekisterin päivittäminen ei osoita sertifiointia vuoden 2022 versioon.

Seuraavat ovat käytännön lähtökohtia 11 uudelle hallintakeinolle, eivät niiden virallisen tekstin toisintoja.

Älkää käsitelkö näitä yhtenätoista automaattisena tuotehankintana. Esimerkiksi uhkatiedustelu vaatii analyysia ja toimenpiteitä, ei pelkkää tilattua syötettä. Tietojen poistaminen edellyttää kopioiden, varmuuskopioiden ja säilytysvelvoitteiden ymmärtämistä, ei pelkkää poistopainiketta. Valvonta tarvitsee operatiivisen reagointipolun.

Kirjaa soveltuvuus ja toteutus erikseen

Soveltuvuuslausunnon (Statement of Applicability, SoA) tulee yksilöidä tarpeelliset hallintakeinot, perustella niiden sisällyttäminen, kirjata, onko ne toteutettu, ja perustella liitteen A hallintakeinojen poisjättäminen. Nämä vaatimukset sisältyvät ISO/IEC 27001 -standardin riskien käsittelyä koskeviin määräyksiin.

Kaikkien 93 viitteen käyttäminen katselmointihakemistona on käytännöllinen tapa tehdä vertailusta tarkastettava. Sisällyttäkää myös mahdolliset muut tarpeelliset hallintakeinot. Soveltuvuuslausunto ei ole riskirekisteri, käsittelysuunnitelma tai näyttövarasto, vaikka sen tulisikin olla tarvittaessa yhteydessä kuhunkin niistä.

Kirjatkaa jokaisesta soveltuvasta hallintakeinosta:

• Sisällyttämistä tukevat riskit tai velvoitteet.
• Asiaankuuluvat järjestelmät, toimipisteet, tiedot ja prosessit.
• Todellinen toteutus ja vastuullinen omistaja.
• Tukeva näyttö ja sen katselmointijakso.
• Riippuvuudet, poikkeukset ja keskeneräinen työ.
• Seuraava katselmointipäivä tai tapahtumaan perustuva laukaisija.

Pitäkää soveltuvuus erillään toteutuksen tilasta. ”Soveltuu, osittain toteutettu” on rehellinen ja hyödyllinen kirjaus. ”Ei sovellu, koska emme ole ostaneet työkalua” ei ole soveltuvuuden perustelu.

Poisjättämisen tulee kuvata ne soveltamisalaa koskevat tosiseikat, jotka tekevät hallintakeinosta tarpeettoman, ja olla johdonmukainen riskiarvioinnin kanssa. ”Emme kehitä ohjelmistoja” vaatii tarkempaa tarkastelua, jos alihankkija kehittää asiakasportaalinne. Ulkoistaminen muuttaa toteutus- ja näyttöpolkua; se ei automaattisesti poista riskiä.

Hajautettujen toteutusten osalta kirjatkaa jako. Fyysinen suojaus voi riippua toimittajan ylläpitämistä palvelinkeskustiloista, yrityksen hallinnoimasta toimiston kulunvalvonnasta ja työntekijöiden tavasta käsitellä laitteita. Yksi omistaja voi vastata yhdistetystä väitteestä, vaikka eri tiimit suorittavat toimenpiteet.

Hyödyllinen toteutuskuvaus on riittävän täsmällinen testattavaksi: ”Tuotantoympäristön ylläpitäjät saavat nimetyt, hyväksytyt käyttöoikeudet identiteettipalvelun kautta; hätäkäyttö kirjataan ja katselmoidaan erikseen.” Lause ”Käyttöoikeuksia hallitaan turvallisesti” ei ohjaa insinööriä tai tarkastajaa.

Testaa tilamerkinnän taustalla oleva väite

Politiikka kuvaa tavoiteltua toimintaa. Se voi osoittaa suunnittelun ja hyväksynnän, mutta ei yksinään toimintaa. Rakentakaa näyttöketju vaatimuksesta toteutettuun mekanismiin ja edelleen havaittuun tulokseen.

Käyttöoikeuksien hallinnassa verratkaa hyväksyttyjä sääntöjä todellisiin käyttäjäoikeuksiin ja lähtijäkirjauksiin. Sisällyttäkää tarvittaessa etuoikeutetut identiteetit, muut kuin henkilötilit ja keskitetyn identiteetinhallinnan ulkopuoliset sovellukset. Kirjatkaa perusjoukko, otos ja poikkeukset sen sijaan, että esittäisitte yhden sopivan kuvakaappauksen.

Varmuuskopioiden osalta tarkastakaa konfiguraatio ja palautuksen tulos. Onnistunut varmuuskopiointiajo todistaa vähemmän kuin käyttökelpoisten tietojen onnistunut palautus. Tarkistakaa käyttöoikeudet, riippuvuudet ja palautumistavoitteet; palautettu tietokanta ilman salausavaimiaan ei välttämättä palauta palvelua.

Toimittajien tietoturvan osalta yhdistäkää arviointi kyseiseen palveluun ja sopimuksellisiin vastuisiin. Tarkistakaa, kattaako näyttö käyttämänne palvelun ja onko tunnistetut asiakkaan vastuut toteutettu.

Käytännöllisessä testikirjauksessa tulee olla odotettu tulos, menetelmä, laajuus, näytön päivämäärä, tarkastaja, tulos ja jatkopäätös. Erottakaa toisistaan:

• Suunnittelu: ehdotettu mekanismi vastaa tunnistettuun riskiin.
• Toteutus: mekanismi on olemassa koko ilmoitetulla laajuudella.
• Toiminta: kirjaukset osoittavat sen toimineen asiaankuuluvana ajanjaksona.
• Vaikuttavuus: testaus osoittaa sen saavuttavan tavoitellun tuloksen.

Näyttönä voivat olla konfiguraatiot, viennit, tiketit, sopimukset, haastattelut ja fyysiset havainnot. Valitkaa näyttö, joka tukee varsinaista väitettä. Konfiguraatiovienti voi näyttää nykyiset asetukset; historialliset tiketit voivat näyttää, käsiteltiinkö poikkeuksia ajan mittaan.

Säilyttäkää alkuperätiedot: lähdejärjestelmä, keräyspäivä, katettu ajanjakso ja mahdollinen suodatus. Suojatkaa salaisuuksia tai henkilötietoja sisältävä näyttö käyttöoikeusrajoituksilla ja asianmukaisella peittämisellä. Näytön keräämisen ei pidä luoda uutta hallitsematonta arkaluonteisten tietojen varastoa.

Esimerkki: tee lähtijäprosessista tarkastettava

Tarkastellaan kuvitteellista SaaS-yritystä, jossa on 45 työntekijää, yksi toimisto, pilvipalveluympäristö, keskitetysti hallittu identiteetti ja kaksi sovellusta paikallisine tileineen. Nämä ovat esimerkkioletuksia, eivät Secanin asiakkaiden tuloksia.

Riskinä on jatkuva pääsy asiakkaan tai yrityksen tietoihin työsuhteen päättymisen jälkeen. Asiaankuuluvia hallintakeinoja ovat työsuhteen muutoksiin liittyvät vastuut, identiteetinhallinta, käyttöoikeudet ja omaisuuden palauttaminen. Tekninen todentaminen ja käyttöoikeusrajoitukset tukevat myös toteutusta.

Yritys kirjaa hallintakeinon soveltuvaksi. Henkilöstöhallinto omistaa lähtöprosessin käynnistämisen; IT omistaa identiteetti- ja laitetoimenpiteet; kukin sovelluksen omistaja vastaa paikallisten tilien poistamisesta. Työntekijän esihenkilö vahvistaa vaaditun lähtöajankohdan. Tietoturvan omistaja katselmoi prosessin ja ratkaisemattomat poikkeukset.

Toteutukseen kuuluu valtuutettu lähtötiketti, keskitetyn tilin ajastettu käytöstä poisto, istuntojen mitätöinti siellä, missä se on tuettu, paikallisten tilien poisto, omaisuuden palauttaminen sekä henkilön hallinnoimien tunnistetietojen tarkistaminen. Jaetut salaisuudet vaihdetaan tarvittaessa; henkilökohtaisia tilejä ei siirretä huolimattomasti seuraajalle.

Näyttöpaketti yhdistää hyväksytyn menettelyn, lähtötiketin, tilitoimenpiteiden kirjaukset, paikallisten sovellusten vahvistukset ja laitekirjauksen. Jokainen kohde tukee tiettyä osaa väitteestä.

Kuvitteellisessa katselmoinnissa tiimi tarkastelee neljää työsuhteen päättymistä. Keskitetyt tilit poistettiin käytöstä aikataulun mukaisesti, mutta yksi paikallinen sovellus säilytti käyttöoikeuden kahden päivän ajan. Hallintakeinoa ei julisteta täysin vaikuttavaksi pelkän keskitetyn identiteetin näytön perusteella.

Sovelluksen omistaja poistaa tilin, arvioi, tapahtuiko käyttöä, ja kirjaa tuloksen. Tiimi lisää sovelluksen lähtijän tarkistuslistaan ja määrittää täsmäytysvaiheen. Käsittelytoimenpiteelle nimetään omistaja ja määräpäivä; myöhempi testi varmistaa, että muutettu prosessi toimii.

Tämä esimerkki osoittaa, miksi näytön on seurattava riippuvuuksia. Neljä järjestelmää, jotka ilmoittavat ”valmis”, eivät osoita valmistumista, jos viidettä järjestelmää ei koskaan otettu mukaan.

Pidä hallintakeinot toiminnassa katselmointien välillä

Hallintakeinot muuttuvat, kun järjestelmät, toimittajat, ihmiset ja liiketoiminnan vaatimukset muuttuvat. Määrittäkää katselmoinnin laukaisijat merkittäville julkaisuille, uusille palveluille, toimistomuutoksille, poikkeamille ja muuttuneille velvoitteille aikataulutettujen katselmointien lisäksi.

Käyttäkää muutosalttiuteen ja riskiin sopivaa tahtia. Etuoikeutettujen käyttöoikeuksien poikkeukset voivat vaatia nopeaa katselmointia, kun taas vakaa politiikka voi noudattaa pidempää sykliä, jota muutoslaukaisijat täydentävät. Nämä ovat johdon valintoja, eivät liitteen A yleisiä tiheyksiä.

Seuratkaa pientä määrää hyödyllisiä mittareita: myöhässä olevat korjaukset, kattamattomat järjestelmät, ratkaisemattomat näyttöpoikkeukset ja epäonnistuneet hallintakeinotestit. Erottakaa nämä asiakirjamääristä. Laaja näyttökirjasto voi silti jättää kriittisen tuotantoympäristön testaamatta.

Sisäinen auditointi tuottaa erillisen arvion ISMS:stä; hallintakeinojen omistajien rutiinikatselmoinnit eivät korvaa sitä. Myös johdon katselmointi edellyttää johdon päätöksiä suorituskyvystä, muutoksista, resursseista ja parantamisesta, ei pelkkää valmista hallintakeinotaulukkoa. Sertifioinnin suorittaa riippumaton sertifiointielin, ei ISO tai ohjelmistotoimittaja.

Yleisiä virheitä ovat kaiken osoittaminen tietoturvalle, toisen organisaation poisjättämisten kopioiminen, toimittajasertifikaatteihin luottaminen tarkistamatta niiden kattavuutta sekä havaintojen sulkeminen politiikan muuttuessa eikä vasta sitten, kun muutettu prosessi on testattu.

Aloita yhdestä palvelusta ja täydellisestä näyttöketjusta

Valitkaa edustava palvelu ja jäljittäkää sen järjestelmät, palveluntarjoajat, tiedot ja operatiiviset omistajat. Valitkaa pieni joukko toisiinsa liittyviä hallintakeinoja, kuten käyttöoikeudet, muutostenhallinta, lokit ja palautuminen, ja tehkää kunkin toteutuksesta tarkastettava ennen rekisterin laajentamista.

Secani tukee tätä työnkulkua mallintamalla järjestelmät ja riippuvuudet, yhdistämällä näytön vaatimuksiin, hallintakeinoihin ja päätöksiin sekä seuraamalla puutteita tehtävinä. Nimetkää omistaja ja tarkastaja, liittäkää olemassa olevat kirjaukset ja säilyttäkää katselmointikommentit ja hyväksynnät. Käsitelkää tekoälyavusteisia vastaavuuksia tai tiivistelmiä luonnoksina: validoikaa lähteet ja pitäkää ihmisen hyväksyntä näkyvänä. Jäsennelty auditointivalmius selittää tukevan näyttömallin.

Ensimmäisen tuotoksen tulee olla yhtenäinen ketju riskistä hallintakeinoon, toteutukseen, näyttöön, testitulokseen ja jatkopäätökseen. Tätä ketjua voidaan sitten toistaa muulla soveltamisalalla keksimättä uutta prosessia jokaiselle liitteen A viitteelle.

Käytännön kysymyksiä

Voiko yksi kirjaus tukea useita hallintakeinoja?

Kyllä. Lähtötiketti voi tukea useita toisiinsa liittyviä hallintakeinoja. Selittäkää, mitä väitettä se tukee kunkin osalta; yhteinen näyttö ei tee hallintakeinoista identtisiä.

Tarvitseeko jokaisella hallintakeinolla olla oma politiikkansa?

Ei. Järjestäkää politiikat ja menettelyt ymmärrettävien toimintaprosessien ympärille. Yksi asiakirja voi kattaa useita hallintakeinoja, kunhan vastuut ja toteutus pysyvät selkeinä.

Mistä virallinen hallintakeinoluettelo tulisi ottaa?

Käyttäkää lisensoitua ISO/IEC 27001 -standardia liitteen A sanamuodon lähteenä ja ISO/IEC 27002 -standardia toteutusohjeiden lähteenä. Operatiiviset tiivistelmät ovat hyödyllisiä navigointiapuja, eivät standardien korvikkeita.