Perustason digiturvaraportointi

Kun digiturvassa pyritään tasolle 1, voidaan jo raportoida tiettyjä perusasioita, kuten omia tietovirtoja, käytettyjä kumppaneita, henkilötietojen käsittelyä tai tapahtuneita tietoturvaloukkauksia.
järjestelmäluettelo
rekisteriluettelo
tietoturvaloukkaukset
Huom.! Tätä artikkelia täydennetään vielä. Lisää sisältöä tulossa piakkoin.

Vaatimustaso

Tason 1 asiat ovat pakollisia peruasioita, joista jokaisen organisaation, vaikka digitaalisuus tai datan käsittely ei korostuisikaan, olisi syytä pitää hyvää huolta.
Tason 2 asiat ovat digiturvan oleellisia ydinasioita, jotka ovat tärkeitä useimmille organsiaatioille ja joilla voidaan huomattavasti parantaa digiturvan tasoa. Nämä liittyvät yleensä tiiviisti tason 1 asioihin.
Tason 3 asiat ovat syventäviä digiturvateemoja, jotka eivät korostu jokaisen organisaation toiminnassa, mutta joiden voidaan entisestään parantaa tietoturvan ja tietosuojan saralla.
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3

Suositeltu organisointi

Teemoille, jotka ovat sopivan kokoisia ja koordinoitavissa ilman jalkauttamista yksikkö- tai esimerkiksi järjestelmäkohtaisesti, on helpompaa nimetä selkeä(t) vastuuhenkilö(t). Vastuuhenkilöllä on oltava tarvittavat valtuudet ja resurssit teeman hoitamiseen. Vastuuhenkilö voi olla esimerkiksi tietoturvapäällikkö tai tietosuojavastaava.
Teemoille, jotka vaativat järjestelmä- tai rekisterikohtaista koordinointia, organisointi kannattaa hoitaa pääkäyttäjien kautta. Tietojärjestelmät ja rekisterit ovat organisaation avainomaisuutta, joiden pääkäyttäjälle tai yhteyshenkilölle kuuluu vastuilleen erilaisten käytäntöjen hoitamista tai sääntöjen valvomista.
Teemoille, jotka ovat turhan laajoja yksittäisten vastuuhenkilöiden koordinoitaviksi, ja jotka eivät suoraan organisoidu järjestelmä- tai rekisterivetoisesti, suosittelemme yksikkökohtaista koordinointia. Jokaisessa yksikössä (myynti, tuotanto, talous, asiakaspalvelu, jne.) olisi oltava vastuuhenkilö, joka huolehtii esimerkiksi tiedon keräämisen tai sääntöjen jalkauttamisen oman yksikkönsä henkilöstölle.
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt

Osa-alueen tavoite, riskit ja haasteet

Osa digiturvaan liittyvästä raportoinnista on lakisääteisesti vaadittua, kuten tietosuojaviestinnän tuottaminen tai "seloste käsittelytoimista". Yleisesti digiturvassa johtava ajatus on, että organisaation pitää itse kyetä osoittamaan, miten digiturvasta on pyritty huolehtimaan.

Tason 1 raportointi keskittyy pakollisiin perusasioihin, joista kykenevät raportoimaan käytännössä kaikki muutkin organisaatiot. Tämän tason raportoinnilla ei vielä varmisteta vaatimustenmukaisuutta tai esimerkiksi etua myyntitilanteissa, kun asiakas vaatii digiturvaan liittyviä todisteita.

Esimerkkejä sisällöistä

Raportti: Tietojärjestelmä- ja rekisteriluettelot

Listaus tietojärjestelmistä, niiden toimittajista, sisältämistä tiedoista sekä tietojen sijainnista muodostaa pohjan isolle osalle muusta digiturvaraportoinnista. Rekisteriluettelo tekee samaa asiaa henkilötietojen käsittelyn näkökulmasta.

Raportti: Henkilötietoja käsittelevät kumppanit ja käsittelysopimukset

Rekisterinpitäjä saa käyttää ainoastaan kumppaneita, jotka käsittelevät henkilötietoja täyttäen tietosuoja-asetuksen vaatimukset. Lisäksi käsittelystä on määritettävä sopimuksella tai muulla kirjallisella asiakirjalla.

Raportti: Tietoturvaloukkaukset

Tietoturvaloukkauksessa henkilötietoja esimerkiksi tuhoutuu, häviää, muuttuu, luovutetaan luvattomasti tai niihin pääsee käsiksi taho, jolla ei ole käsittelyoikeutta. Organisaation on dokumentoitava kaikki henkilötietojen tietoturvaloukkaukset.

Selvitettäviä kysymyksiä

Nämä ovat esimerkkejä asioista, joiden selvittämistä ja mahdollisesti raportoimista tämän osa-alueen käsitteleminen vaatii organisaartiolta.
No items found.

Mahdollisia toimintatapoja

Seuraavat sisältöesimerkit antavat tarkempia esimerkkejä siitä, millaisilla käytännöillä tai säännöillä tämän osa-alueen turvallisuutta voidaan kehittää.
No items found.

Vaatimuksia muissa frameworkeissä

Läheisesti liittyvät Digiturvakartan muut kohdat

Tämän osa-alueen sisällöt liittyvät läheisesti etenkin näihin kohtiin Digiturvakartan muista osasista:
Tietojärjestelmät
Usein digiturvatyö alkaa omien datavarantojen kartoittamisella. Ensin on helpoin kysyä, mitä erilaisia tietojärjestelmiä meillä on käytössä? Nämä ovat niitä myynnin, markkinoinnin, asiakaspalvelun, HR:n, tuotekehityksen ja muiden yksikköjen työkaluja, joiden kautta luottamuksellisia tietoja käsitellään.
Rekisterit
Rekisterit ovat henkilötietokokonaisuuksia, joilla on jokin yhteinen nimittäjä. Asiakasrekisterissä tämä voi olla asiakassuhde, henkilöstörekisterissä työsopimus, tapahtumarekisterissä osallistuminen tapahtumaan.
Tietoturvaloukkaukset
Henkilötietojen tietoturvaloukkauksella tarkoitetaan tapahtumaa, jonka seurauksena henkilötietoja tuhoutuu, häviää, muuttuu, henkilötietoja luovutetaan luvattomasti tai niihin pääsee käsiksi taho, jolla ei ole käsittelyoikeutta.