.png)
Kaksi termiä nousee nopeasti esiin, kun tiimit alkavat jäsentää tietosuojaan ja tietoturvaan liittyviä vastuita: GDPR ja ISO 27001. Ne eivät ole kilpailevia “joko–tai”-vaihtoehtoja, eivätkä ne kuitenkaan täysin ratkaise samaa ongelmaa. GDPR on henkilötietojen käsittelyä koskeva lakisääteinen velvoite, kun taas ISO 27001 on sertifioitava tietoturvastandardi.
Miten ne sitten liittyvät toisiinsa? Missä ne eroavat? Ja miten ne voivat tukea toisiaan?
Tässä blogissa käymme lyhyesti läpi ISO 27001:n ja GDPR:n, tarkastelemme niiden yhtäläisyyksiä ja eroja sekä selitämme, miten ISO 27001 voi tukea GDPR-vaatimustenmukaisuutta. Lopuksi katsomme myös lyhyesti, miksi GDPR ja ISO 27701 mainitaan usein yhdessä.
Aloitetaan lyhyellä kertauksella näistä kahdesta viitekehyksestä.
ISO 27001 on kansainvälisesti tunnustettu tietoturvallisuuden hallintajärjestelmän (ISMS) standardi. Se tarjoaa rakenteellisen lähestymistavan tietoturvariskien hallintaan.
Ottamalla käyttöön ISMS-järjestelmän organisaatiot voivat:
Lyhyesti sanottuna ISO 27001 auttaa rakentamaan systemaattisen ja riskiperusteisen lähestymistavan assettien suojaamiseen.
GDPR on EU:n asetus, jonka tarkoituksena on suojata yksilöiden henkilötietoja ja yksityisyyttä. Se asettaa vaatimukset sille, miten organisaatiot keräävät, käsittelevät, säilyttävät ja siirtävät henkilötietoja.
GDPR:n mukaan organisaatioiden on varmistettava, että henkilötiedot:
GDPR vahvistaa myös yksilöiden oikeuksia ja vaatii organisaatioilta, että ne selittävät selkeästi, miten henkilötietoja käytetään, yleensä tietosuojailmoitusten ja -käytäntöjen avulla.
Yli 60 % organisaatioista hyödyntää ISO 27001 -standardia viitekehyksenä GDPR-vaatimusten täyttämisessä.
Vaikka ISO 27001 ei kata GDPR:ää kokonaisuudessaan, se voi merkittävästi auttaa organisaatioita täyttämään GDPR-vaatimukset – ja jopa menemään niiden yli.
Aloitetaan ilmeisimmästä: tietojen suojaaminen on molempien keskiössä.
ISO 27001 auttaa organisaatioita ottamaan käyttöön teknisiä ja organisatorisia turvatoimia tietojen, mukaan lukien henkilötietojen, suojaamiseksi. GDPR puolestaan edellyttää samantyyppisiä toimenpiteitä “asianmukaisen turvallisuuden” varmistamiseksi.
Ero on siinä, että:
⭐️ GDPR määrittelee lakisääteiset vaatimukset henkilötietojen suojaamiseksi teknisin ja organisatorisin toimenpitein
🌐 ISO 27001 tarjoaa rakenteellisen tavan toteuttaa nämä toimenpiteet käytännössä
Riskienhallinta on keskeinen periaate sekä ISO 27001:ssä että GDPR:ssä.
GDPR edellyttää tietosuojariskien arviointia, esimerkiksi tietosuojaa koskevien vaikutustenarviointien (DPIA) kautta. ISO 27001 puolestaan perustuu jatkuvaan riskien arviointiin ja käsittelyyn.
ISO 27001:n avulla organisaatiot:
Tämä tukee suoraan GDPR:n vaatimusta toteuttaa “asianmukaisia” teknisiä ja organisatorisia toimenpiteitä.
Sekä ISO 27001:2022 että GDPR korostavat kolmansien osapuolten riskien hallintaa.
🌐 ISO 27001 edellyttää toimittajiin liittyvien tietoturvariskien arviointia ja hallintaa.
⭐️ GDPR edellyttää, että henkilötietojen käsittelijät noudattavat tietosuojavaatimuksia.
ISO 27001:n mukaiset toimittajahallinnan prosessit auttavat täyttämään GDPR:n huolellisuus- ja sopimusvaatimukset ulkoisten henkilötietojen käsittelijöiden osalta.
GDPR:n noudattaminen ei ole kertaluonteinen projekti. Se edellyttää jatkuvaa seurantaa, päivityksiä ja koulutusta.
ISO 27001 tukee tätä muun muassa:
Näin varmistetaan, että tietosuojatoimenpiteitä tarkastellaan ja kehitetään säännöllisesti, mikä vastaa suoraan GDPR:n odotuksia.
Luottamuksellisuus ja käyttöoikeuksien hallinta ovat keskeisiä tietosuojassa. GDPR edellyttää riittäviä toimenpiteitä arkaluonteisten tietojen suojaamiseksi, ja ISO 27001 menee pidemmälle vaatimalla käyttöoikeuspolitiikan laatimista ja asianmukaisten menettelyjen käyttöönottoa.
Organisaatioiden on myös noudatettava säilytysaikoja koskevia vaatimuksia. GDPR edellyttää, että henkilötietoja säilytetään vain niin kauan kuin on tarpeen, ja ISO 27001 voi auttaa määrittelemään säilytyskäytännöt sekä tietojen turvallisen poistamisen.
Sekä GDPR että ISO 27001 liittyvät tietoturvaloukkausten ja poikkeamien hallintaan.
GDPR velvoittaa organisaatiot havaitsemaan, ilmoittamaan ja käsittelemään henkilötietojen tietoturvaloukkauksia, ja tietyissä tapauksissa ilmoitus on tehtävä 72 tunnin kuluessa.
ISO 27001 tarjoaa rakenteellisen poikkeamienhallintaprosessin, joka auttaa havaitsemaan, käsittelemään ja toipumaan tietoturvapoikkeamista tehokkaasti. Sen käyttöönotto tukee GDPR:n ilmoitusvaatimusten noudattamista ja vähentää rekisteröityihin kohdistuvia riskejä.
Vastuuvelvollisuus on GDPR:n keskeinen periaate. Organisaatioiden on pystyttävä osoittamaan noudattavansa asetusta.
GDPR edellyttää, että rekisterinpitäjät ja henkilötietojen käsittelijät ylläpitävät selosteita käsittelytoimista ja turvatoimista. ISO 27001 puolestaan vaatii dokumentoituja politiikkoja ja hallintakeinoja osoituksena vaatimustenmukaisuudesta.
ISO 27001 edellyttää dokumentoituna muun muassa:
Tämä rakenteellinen dokumentaatio helpottaa vaatimustenmukaisuuden osoittamista esimerkiksi GDPR-auditoinnissa ja vähentää kokonaiskuormitusta.
Jos haluat tarkastella GDPR:n ja ISO 27001:n päällekkäisyyksiä tarkemmin, voit hyödyntää Cyberdayn maksutonta Framework Comparison Tool -työkalua. Sen avulla voit vertailla vaatimuksia rinnakkain ja nähdä, missä määrin ISO 27001:n hallintakeinot tukevat GDPR:ää ja missä tarvitaan lisätoimenpiteitä.
ISO 27701 on ISO 27001 -standardin laajennus, joka tarjoaa ohjeistusta tietosuojan hallintaan ja tukee entisestään GDPR-vaatimustenmukaisuutta. Siinä missä ISO 27001 keskittyy tietoturvaan, ISO 27701 täydentää sitä tietosuojan hallintakeinoilla, jotka ovat tiiviisti linjassa GDPR:n vaatimusten kanssa.
ISO 27701:n avulla organisaatiot voivat:
Yhdessä ISO 27001 ja ISO 27701 muodostavat vahvan viitekehyksen sekä tietoturvan että tietosuojan hallintaan. Tämä yhdistelmä helpottaa GDPR-vaatimusten osoittamista ja auttaa sopeutumaan tuleviin sääntelymuutoksiin.
Sekä ISO 27001:n että GDPR:n yhteinen tavoite on tietojen suojaaminen. Vaikka vaatimuksissa on eroja, monien teemojen perusajatus on sama.
ISO 27001 tukee monia GDPR-vaatimuksia. Esimerkiksi käyttöoikeuksien hallinnan osalta GDPR edellyttää asianmukaisia teknisiä ja organisatorisia toimenpiteitä, kun taas ISO 27001 tarjoaa konkreettisia vaatimuksia ja käytäntöjä siitä, miten käyttöoikeuksien hallinta tulisi toteuttaa.
Yhdistämällä nämä vaatimukset organisaatio voi suojata arkaluonteisia tietoja, rakentaa luottamusta asiakkaiden ja sidosryhmien kanssa sekä osoittaa sitoutumisensa korkeisiin tietosuojastandardeihin. ISO 27001:n omaksuminen varmistaa, että käytössä ovat sekä tekniset työkalut että oikea ajattelutapa menestyä tietovetoisessa maailmassa.
Aloita ilmaiseksi tutussa Microsoft Teams -ympäristössä.
Jos sinulla on kysymyksiä, varaa palaveri sinulle sopivaan ajankohtaan.
.svg)
.svg)
