Järjestelmien ja rekisterien pääkäyttäjät

Tietojärjestelmät ja henkilötietorekisterit ovat digiturvan ydinelementtejä, jonka takia niille voi olla järkevää nimetä yksittäiset omat vastuuhenkilöt, joilla on suoraan näihin liittyviä vastuita digiturvatyössä.
organisointi
johtaminen
vastuutus
Huom.! Tätä artikkelia täydennetään vielä. Lisää sisältöä tulossa piakkoin.

Vaatimustaso

Tason 1 asiat ovat pakollisia peruasioita, joista jokaisen organisaation, vaikka digitaalisuus tai datan käsittely ei korostuisikaan, olisi syytä pitää hyvää huolta.
Tason 2 asiat ovat digiturvan oleellisia ydinasioita, jotka ovat tärkeitä useimmille organsiaatioille ja joilla voidaan huomattavasti parantaa digiturvan tasoa. Nämä liittyvät yleensä tiiviisti tason 1 asioihin.
Tason 3 asiat ovat syventäviä digiturvateemoja, jotka eivät korostu jokaisen organisaation toiminnassa, mutta joiden voidaan entisestään parantaa tietoturvan ja tietosuojan saralla.
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3

Suositeltu organisointi

Teemoille, jotka ovat sopivan kokoisia ja koordinoitavissa ilman jalkauttamista yksikkö- tai esimerkiksi järjestelmäkohtaisesti, on helpompaa nimetä selkeä(t) vastuuhenkilö(t). Vastuuhenkilöllä on oltava tarvittavat valtuudet ja resurssit teeman hoitamiseen. Vastuuhenkilö voi olla esimerkiksi tietoturvapäällikkö tai tietosuojavastaava.
Teemoille, jotka vaativat järjestelmä- tai rekisterikohtaista koordinointia, organisointi kannattaa hoitaa pääkäyttäjien kautta. Tietojärjestelmät ja rekisterit ovat organisaation avainomaisuutta, joiden pääkäyttäjälle tai yhteyshenkilölle kuuluu vastuilleen erilaisten käytäntöjen hoitamista tai sääntöjen valvomista.
Teemoille, jotka ovat turhan laajoja yksittäisten vastuuhenkilöiden koordinoitaviksi, ja jotka eivät suoraan organisoidu järjestelmä- tai rekisterivetoisesti, suosittelemme yksikkökohtaista koordinointia. Jokaisessa yksikössä (myynti, tuotanto, talous, asiakaspalvelu, jne.) olisi oltava vastuuhenkilö, joka huolehtii esimerkiksi tiedon keräämisen tai sääntöjen jalkauttamisen oman yksikkönsä henkilöstölle.
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt

Osa-alueen tavoite, riskit ja haasteet

Digiturvatyön yksi tärkeimmistä osa-alueista on työn järjestelmällinen, selkeä vastuuttaminen. Osa digiturvakartan teemoista on selkeitä keskitetysti organisoitavia teemoja - yksittäinen henkilö voi olla päävastuussa vaikkapa "digiturva sopimuksissa" -kohdasta tai "teknisten haavoittuvuuksien hallinta" -prosessista. Ydinelementtien, kuten tietojärjestelmien ja rekisterien, suhteen tekemistä kuitenkin on paljon, jolloin on yleensä järkevintä nimetä selkeä vastuuhenkilö / pääkäyttäjä jokaista näitä kohden.

Pääkäyttäjän vastuulla voi olla tiettyjä, säännöllisiä avainasioita tähän kokonaisuuteen liittyen. Tietojärjestelmässä näitä voivat olla mm. pääsyoikeuksien säännöllinen päivittäminen sekä ohjeistuksen ylläpito järjestelmän hyväksyttävästä käytöstä. Rekisterien suhteen vastaavasti tietosuojaselosteen pitäminen ajan tasalla sekä tietosuojapyyntöjen koorinointi.

Järjestelmien ja rekisterien pääkäyttäjien tulisi olla osa laajennettua digiturvaorganisaatiota, ydintiimin ja yksiköiden vastuuhenkilöiden tukena.

Esimerkkejä sisällöistä

Selvitettäviä kysymyksiä

Nämä ovat esimerkkejä asioista, joiden selvittämistä ja mahdollisesti raportoimista tämän osa-alueen käsitteleminen vaatii organisaartiolta.
No items found.

Mahdollisia toimintatapoja

Seuraavat sisältöesimerkit antavat tarkempia esimerkkejä siitä, millaisilla käytännöillä tai säännöillä tämän osa-alueen turvallisuutta voidaan kehittää.
Hyväksyttyjen tunnistautumistapojen määrittely

Useita pilvipalveluita käyttäessään käyttäjä voi itse määritellä, millä tavalla hän palveluun tunnistautuu. Yksittäinen keskitetty tunnistautumistili (esim. Google- tai Office365-tili) voi auttaa sulkemaan iso määrä pääsyoikeuksia kerralla, kun tunnistautumistapana toimiva käyttäjätili suljetaan.


Jaettujen käyttäjätunnusten välttäminen ja dokumentointi

Jaetut käyttäjätunnukset olisi sallittava vain, jos ne ovat tarpeellisia liiketoiminnallisista tai toiminnallisista syistä, ja ne olisi hyväksytettävä ja dokumentoitava.

Järjestelmien hankintaa ja valintaa koskevat yleiset säännöt

Sopivimman järjestelmän valintaa ohjaamaan on määritelty säännöt ja niiden noudattamista valvotaan.

Hankintasäännöt voivat sisältää mm. seuraavia asioita:

  • Järjestelmä täyttää uuden, erillisen liiketoimintatarpeen
  • Järjestelmä integroituu hyvin muihin käytettyihin järjestelmiin ja tunnistautumistapoihin
  • Järjestelmä täyttää turvallisuuden minimivaatimukset kriittisyysluokkansa mukaan
  • Järjestelmä sopii järjestelmäportfolioomme nyt ja tulevaisuudessa
  • Järjestelmä ei vaadi liikaa kustomointia tarpeellisuuteensa nähden
  • Palveluntarjoaja on kannattava yritys vahvoilla referensseillä ja historialla
  • Henkilöstöllä on tarvittava osaaminen helposti tarjolla järjestelmän hyödyntämiseksi
Pääsyoikeuksien säännöllinen katselmointi

Todellisten pääsyoikeuksien vastaavuutta suunniteltuun on valvottavat ja pääsyoikeuksia uudelleenarvioitava säännöllisin aikavälein.


Vaatimuksia muissa frameworkeissä

Läheisesti liittyvät Digiturvakartan muut kohdat

Tämän osa-alueen sisällöt liittyvät läheisesti etenkin näihin kohtiin Digiturvakartan muista osasista:
Tietojärjestelmät
Usein digiturvatyö alkaa omien datavarantojen kartoittamisella. Ensin on helpoin kysyä, mitä erilaisia tietojärjestelmiä meillä on käytössä? Nämä ovat niitä myynnin, markkinoinnin, asiakaspalvelun, HR:n, tuotekehityksen ja muiden yksikköjen työkaluja, joiden kautta luottamuksellisia tietoja käsitellään.
Rekisterit
Rekisterit ovat henkilötietokokonaisuuksia, joilla on jokin yhteinen nimittäjä. Asiakasrekisterissä tämä voi olla asiakassuhde, henkilöstörekisterissä työsopimus, tapahtumarekisterissä osallistuminen tapahtumaan.