Itse ylläpidetyt IT-palvelut

Kun kehitämme itse IT-palveluita ja tarjoamme niitä asiakkaille, meidän on sitouduttava heille päin huolehtimaan osaltamme mm. teknisestä tietoturvasta ja tietyistä henkilötietojen käsittelyyn liittyvistä vastuista.
ohjelmointi
tuotekehitys
ohjelmistotuotanto
Huom.! Tätä artikkelia täydennetään vielä. Lisää sisältöä tulossa piakkoin.

Vaatimustaso

Tason 1 asiat ovat pakollisia peruasioita, joista jokaisen organisaation, vaikka digitaalisuus tai datan käsittely ei korostuisikaan, olisi syytä pitää hyvää huolta.
Tason 2 asiat ovat digiturvan oleellisia ydinasioita, jotka ovat tärkeitä useimmille organsiaatioille ja joilla voidaan huomattavasti parantaa digiturvan tasoa. Nämä liittyvät yleensä tiiviisti tason 1 asioihin.
Tason 3 asiat ovat syventäviä digiturvateemoja, jotka eivät korostu jokaisen organisaation toiminnassa, mutta joiden voidaan entisestään parantaa tietoturvan ja tietosuojan saralla.
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3

Suositeltu organisointi

Teemoille, jotka ovat sopivan kokoisia ja koordinoitavissa ilman jalkauttamista yksikkö- tai esimerkiksi järjestelmäkohtaisesti, on helpompaa nimetä selkeä(t) vastuuhenkilö(t). Vastuuhenkilöllä on oltava tarvittavat valtuudet ja resurssit teeman hoitamiseen. Vastuuhenkilö voi olla esimerkiksi tietoturvapäällikkö tai tietosuojavastaava.
Teemoille, jotka vaativat järjestelmä- tai rekisterikohtaista koordinointia, organisointi kannattaa hoitaa pääkäyttäjien kautta. Tietojärjestelmät ja rekisterit ovat organisaation avainomaisuutta, joiden pääkäyttäjälle tai yhteyshenkilölle kuuluu vastuilleen erilaisten käytäntöjen hoitamista tai sääntöjen valvomista.
Teemoille, jotka ovat turhan laajoja yksittäisten vastuuhenkilöiden koordinoitaviksi, ja jotka eivät suoraan organisoidu järjestelmä- tai rekisterivetoisesti, suosittelemme yksikkökohtaista koordinointia. Jokaisessa yksikössä (myynti, tuotanto, talous, asiakaspalvelu, jne.) olisi oltava vastuuhenkilö, joka huolehtii esimerkiksi tiedon keräämisen tai sääntöjen jalkauttamisen oman yksikkönsä henkilöstölle.
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt

Osa-alueen tavoite, riskit ja haasteet

Omat IT-kehitys -osio on oleellisin henkilötietojen käsittelyyn suunniteltuja tuotteita kehittäville organisaatioille.

Asiakkaat ovat jatkuvasti kasvavissa määrin kiinnostuneita hankkimiensa tuotteiden tietoturvanäkökulmista. Asiakas voi vaatia järjestelmätoimittajalta tiettyjä sertifikaatteja, tai vähintään selkeää ja tarkkaa viestintää erilaisista tarjottujen tuotteiden turvallisuuteen liittyvistä käytännöistä, kuten käytön valvonnasta, varmuuskopioinnista, henkilöstön salassapitositoumuksista tai tietojen palauttamistoimenpiteistä sopimuksen päättyessä.

Esimerkkejä sisällöistä

Selvitettäviä kysymyksiä

Nämä ovat esimerkkejä asioista, joiden selvittämistä ja mahdollisesti raportoimista tämän osa-alueen käsitteleminen vaatii organisaartiolta.
Kuka on rekisterinpitäjä ja onko käsittelystä sovittu?

Tuotteiden kautta asiakas käsittelee omistamiaan henkilötietoja, eli toimii rekisterinpitäjänä. Tarjotessamme tuotteita asiakkaille toimimme itse todennäköisesti henkilötietojen käsittelijänä.

Käsittelijän suorittamaa henkilötietojen käsittelyä on määritettävä sopimuksella, joka sitoo käsittelijää suhteessa rekisterinpitäjään ja jossa vahvistetaan käsittelyn kohde ja kesto, käsittelyn luonne ja tarkoitus, henkilötietojen tyyppi ja rekisteröityjen ryhmät sekä rekisterinpitäjän velvollisuudet ja oikeudet.

Mitä lokeja henkilötietojen käsittelystä syntyy?

Loki tarkoittaa toiminnasta pidettävää tapahtumarekisteriä. Lokeja käytetään etenkin usean käyttäjän tietojärjestelmissä ja niihin tallennetaan normaalien tallennustietojen lisäksi esimerkiksi tietoja henkilötietojen muokkaustapahtumista (aikaleima, tapahtuma, käyttäjä, käyttöoikeus, jne.)

Lokien tarkoituksena on mm. auttaa tietoturvaloukkausten selvittämistä sekä ennakoivaa epänormaalin käytön tunnistamista.

Kuinka tuote toimitetaan?

Osa itse kehitetyn IT-palvelun toimittamiseen liittyvistä sitoumuksista (esim. varmuukopiointi) riippuu voimakkaasti siitä, toimitetaanko tuote julkisena pilvipalveluna (SaaS) vai esimerkiksi on-premises -asennuksena. Monia tuotteita voidaan asiakkaan toiveiden mukaan toimittaa usein eri tavoin.

Kuinka varmuuskopiointi on hoidettu?

Varmuukopioinnin tarkoituksena on, että tärkeä tieto voidaan palauttaa varmuuskopioista alkuperäisen tiedon hävitessä tai tuhoutuessa syystä tai toisesta.

Mahdollisia toimintatapoja

Seuraavat sisältöesimerkit antavat tarkempia esimerkkejä siitä, millaisilla käytännöillä tai säännöillä tämän osa-alueen turvallisuutta voidaan kehittää.
No items found.

Vaatimuksia muissa frameworkeissä

Läheisesti liittyvät Digiturvakartan muut kohdat

Tämän osa-alueen sisällöt liittyvät läheisesti etenkin näihin kohtiin Digiturvakartan muista osasista:
Käytön valvonta / lokit
Lokit ovat luetteloja tietojärjestelmien käytöstä, ongelmista, käyttäjien toimenpiteistä ja niin edelleen. Lokien tarkoituksena on maksimoida jäljet luottamuksellisten tietojen käsittelystä, jotta voidaan valvoa henkilöstön tekemisiä, tuottaa automaattiisia hälytyksiä ja selvittää väärinkäyttötilanteita.
Varmuuskopiointi
Varmuuskopioinnilla tarkoitetaan tapahtumaa, jossa tärkeää tietoa kopioidaan, tavoitteena varmistaa datan saatavuus ongelmian sattuessakin. Jos alkuperäinen tieto häviää tai tuhoutuu, voidaan tieto palauttaa varmuuskopioista.
Tietojärjestelmät
Usein digiturvatyö alkaa omien datavarantojen kartoittamisella. Ensin on helpoin kysyä, mitä erilaisia tietojärjestelmiä meillä on käytössä? Nämä ovat niitä myynnin, markkinoinnin, asiakaspalvelun, HR:n, tuotekehityksen ja muiden yksikköjen työkaluja, joiden kautta luottamuksellisia tietoja käsitellään.