Kokonaisvaltainen digiturvaraportointi

Järjestelmällisesti omaa digiturvatyötään johtava organisaatio voi raportoida näyttävästi esimerkiksi asiakkailleen, kumppaneilleen, osakkeenomistajilleen tai muille sidosryhmilleen - vaikkapa uskottavan tietotilinpäätöksen muodossa.
tietotilinpäätös
riskienhallinta
raportointi sidosryhmille
Huom.! Tätä artikkelia täydennetään vielä. Lisää sisältöä tulossa piakkoin.

Vaatimustaso

Tason 1 asiat ovat pakollisia peruasioita, joista jokaisen organisaation, vaikka digitaalisuus tai datan käsittely ei korostuisikaan, olisi syytä pitää hyvää huolta.
Tason 2 asiat ovat digiturvan oleellisia ydinasioita, jotka ovat tärkeitä useimmille organsiaatioille ja joilla voidaan huomattavasti parantaa digiturvan tasoa. Nämä liittyvät yleensä tiiviisti tason 1 asioihin.
Tason 3 asiat ovat syventäviä digiturvateemoja, jotka eivät korostu jokaisen organisaation toiminnassa, mutta joiden voidaan entisestään parantaa tietoturvan ja tietosuojan saralla.
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3

Suositeltu organisointi

Teemoille, jotka ovat sopivan kokoisia ja koordinoitavissa ilman jalkauttamista yksikkö- tai esimerkiksi järjestelmäkohtaisesti, on helpompaa nimetä selkeä(t) vastuuhenkilö(t). Vastuuhenkilöllä on oltava tarvittavat valtuudet ja resurssit teeman hoitamiseen. Vastuuhenkilö voi olla esimerkiksi tietoturvapäällikkö tai tietosuojavastaava.
Teemoille, jotka vaativat järjestelmä- tai rekisterikohtaista koordinointia, organisointi kannattaa hoitaa pääkäyttäjien kautta. Tietojärjestelmät ja rekisterit ovat organisaation avainomaisuutta, joiden pääkäyttäjälle tai yhteyshenkilölle kuuluu vastuilleen erilaisten käytäntöjen hoitamista tai sääntöjen valvomista.
Teemoille, jotka ovat turhan laajoja yksittäisten vastuuhenkilöiden koordinoitaviksi, ja jotka eivät suoraan organisoidu järjestelmä- tai rekisterivetoisesti, suosittelemme yksikkökohtaista koordinointia. Jokaisessa yksikössä (myynti, tuotanto, talous, asiakaspalvelu, jne.) olisi oltava vastuuhenkilö, joka huolehtii esimerkiksi tiedon keräämisen tai sääntöjen jalkauttamisen oman yksikkönsä henkilöstölle.
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt

Osa-alueen tavoite, riskit ja haasteet

Digiturvatyössä voidaan pyrkiä eri tasoille. Tasolla 1 keskitytään pakollisiin perusasioihin, jotka ovat kaikille oleellisia. Tällöin myös tuloksina syntyy samanlaisia perusasioiden raportteja, joita jokaisella muullakin organisaatiolla on. Jos halutaan erottua ja näyttää sidosryhmille raportteja, jotka ovat uskottavia ja luottamusta herättäviä, täytyy prykiä pidemmälle.

Kun organisaatio haluaa olla edelläkävijä digiturvassa ja pyrkiä tasolle 3, se pystyy myös raportoimaan digiturvasta kattavasti ja uskottavasti, luoden samalla erinomaista pohjaa esimerkiksi digiturvaan liittyvien sertifikaattien toteuttamiselle. Tasolla 3 voidaan osoittaa monipuolisesti, mitä toimia organisaatio tekee digiturvasta huolehtimisen eteen. Tänne kuuluu tietotilinpäätös-tyylinen kokonaisvaltainen raportointi eri käytännöistä, mittaaminen ja jatkuva kehittäminen sekä ennakoiva riskien arviointi ja niiden hallitsemiseksi tehtyjen toimenpiteiden raportointi.

Yksi digiturvaraportoinnin yleisiä ongelmia on, että organisaatiot raportoivat yleviä tahdonilmauksia ja hienoja periaatteita toistelemalla asetusten ja sertifikaattien ylätasoisia periaatteita, mutta eivät pysty kertomaan käytännössä, millä toimenpiteillä, kenen toimesta ja millaisin todistein näiden voidaan näyttävän olevan osa organisaation arkea. Tämä onkokonaisvaltaisen digiturvaraportoinnin ydintä.

Esimerkkejä sisällöistä

Raportti: Tietotilinpäätös

Tietotilinpäätöksen avulla organisaatio näyttää kokonaisvaltaisesti, kuinka tietosuojaa ja tietoturvaa toteutetaan. Raportti sisältää mm. kuvausta digiturvan johtamisesta, organisaation tietovarannoista sekä digiturvan mittaamisesta ja seurannasta. Tietotilinpäätös soveltuu myös ulkoisille sidosryhmille raportointiin.

Raportti: Käsittelyn oikeusperusteet ja niitä koskevat arviot

Jokaisella henkilötietojen käyttötarkoituksella on oltava GDPR:n määrittelemä oikeusperuste. Lisäksi tiettyjen oikeusperusteiden käyttö (esim. suostumus, oikeutettu etu) tuo rekisterinpitäjälle lisävaatimuksia.

Raportti: Organisaation tietosuojariskit ja niiden hallinta

Riskilähtöisessä tietosuojatyössä organisaatio arvioi tietosuojariskejä, niiden vakavuuksia sekä hallitsemiseksi tehtyjä toimenpiteitä, ja kohdistaa tietosuojatyönsä panoksia tärkeimpiin kohtiin.

Selvitettäviä kysymyksiä

Nämä ovat esimerkkejä asioista, joiden selvittämistä ja mahdollisesti raportoimista tämän osa-alueen käsitteleminen vaatii organisaartiolta.
No items found.

Mahdollisia toimintatapoja

Seuraavat sisältöesimerkit antavat tarkempia esimerkkejä siitä, millaisilla käytännöillä tai säännöillä tämän osa-alueen turvallisuutta voidaan kehittää.
No items found.

Vaatimuksia muissa frameworkeissä

Läheisesti liittyvät Digiturvakartan muut kohdat

Tämän osa-alueen sisällöt liittyvät läheisesti etenkin näihin kohtiin Digiturvakartan muista osasista:
No items found.