Piilotiedot (rakenteettomat tiedot)

Usein iso osa yrityksen henkilötiedoista ei löydy järjestelmistä, vaan on "piilossa" paikallisissa Excel-tiedostoissa, wordeissä verkkolevyjen kulmilla tai paperiarkistoissa.
rakenteettomat henkilötiedot
tiedostot ja paperit
data export
Huom.! Tätä artikkelia täydennetään vielä. Lisää sisältöä tulossa piakkoin.

Vaatimustaso

Tason 1 asiat ovat pakollisia peruasioita, joista jokaisen organisaation, vaikka digitaalisuus tai datan käsittely ei korostuisikaan, olisi syytä pitää hyvää huolta.
Tason 2 asiat ovat digiturvan oleellisia ydinasioita, jotka ovat tärkeitä useimmille organsiaatioille ja joilla voidaan huomattavasti parantaa digiturvan tasoa. Nämä liittyvät yleensä tiiviisti tason 1 asioihin.
Tason 3 asiat ovat syventäviä digiturvateemoja, jotka eivät korostu jokaisen organisaation toiminnassa, mutta joiden voidaan entisestään parantaa tietoturvan ja tietosuojan saralla.
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3

Suositeltu organisointi

Teemoille, jotka ovat sopivan kokoisia ja koordinoitavissa ilman jalkauttamista yksikkö- tai esimerkiksi järjestelmäkohtaisesti, on helpompaa nimetä selkeä(t) vastuuhenkilö(t). Vastuuhenkilöllä on oltava tarvittavat valtuudet ja resurssit teeman hoitamiseen. Vastuuhenkilö voi olla esimerkiksi tietoturvapäällikkö tai tietosuojavastaava.
Teemoille, jotka vaativat järjestelmä- tai rekisterikohtaista koordinointia, organisointi kannattaa hoitaa pääkäyttäjien kautta. Tietojärjestelmät ja rekisterit ovat organisaation avainomaisuutta, joiden pääkäyttäjälle tai yhteyshenkilölle kuuluu vastuilleen erilaisten käytäntöjen hoitamista tai sääntöjen valvomista.
Teemoille, jotka ovat turhan laajoja yksittäisten vastuuhenkilöiden koordinoitaviksi, ja jotka eivät suoraan organisoidu järjestelmä- tai rekisterivetoisesti, suosittelemme yksikkökohtaista koordinointia. Jokaisessa yksikössä (myynti, tuotanto, talous, asiakaspalvelu, jne.) olisi oltava vastuuhenkilö, joka huolehtii esimerkiksi tiedon keräämisen tai sääntöjen jalkauttamisen oman yksikkönsä henkilöstölle.
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt

Osa-alueen tavoite, riskit ja haasteet

Meidän on huolehdittava kaikista luottamuksellisista tiedoistamme yhtä huolellisesti, olimmepa päättäneet tallentaa ne turvallisessa tietojärjestelmässä, paperimapissa toimistollamme tai yksittäisessä tiedostossa työntekijämme laitteella. Myöskään lailliset vaatimukset digiturvaan liittyen eivät eroa tietojen säilytysmuodosta riippuen. Piilotiedot edustavat usein digiturvan kannalta hankalaa osaa, koska niiden turvana eivät ole usein tietojärjestelmistä löytyvät kunnolliset lokit, varmuuskopionti, pääsynhallinta tai muut tärkeät seikat. Monen organisaation linjaus onkin pyrkiä järjestelmällisesti pienentämään piilotietojen määrää.

Piilotietojen käsittelyssä ei siis ole mitään väärää, mutta on tärkeää ymmärtää niiden oletuksellisesti heikompi tietoturvallisuus. Piilotietoihin liittyen tärkeää on myös henkilöstön ohjeistaminen, jota käsitellään tarkemmin Henkilöstön käytännöt osan Tiedostojen ja paperien käyttö -osiossa.

Esimerkkejä sisällöistä

  • Paikallinen excel-tiedosto työntekijän laitteella
  • Työntekijöiden puhelinluettelo kirjoitettu sivulle Intranetissä
  • Paperimapit ja -arkistot

Selvitettäviä kysymyksiä

Nämä ovat esimerkkejä asioista, joiden selvittämistä ja mahdollisesti raportoimista tämän osa-alueen käsitteleminen vaatii organisaartiolta.
Kenen tietoja piilotiedot sisältävät?

Rekisterinpitäjän on syytä tiedostaa rekisteröityjen ryhmät eri käsittelytilanteissa, koska ne vaikuttavat merkittävästi käsittelystä aiheutuvaan riskiin ja käsittelyn merkittävyyteen rekisterinpitäjän näkökulmasta. Rekisteröityjen ryhmät on lisäksi viestittävä mm. avoimesti tiedotettaessa rekisteröityjä suoritetusta henkilötietojen käsittelystä.


Mitä henkilötietoryhmiä tiedot sisältävät?

Piilotiedoissa sijaitsevat henkilötiedot kannattaa ensijaisesti tuhota tai tuoda jonkin asiaan suunnitellun tietojärjestelmän pariin. Jos tämä ei ole mahdollista, henkilötietojen määrä piilotiedoissa tulee ehdottomasti minimoida.

Missä tiedot sijaitsevat?

Osa yrityksen henkilötiedoista ei löydy henkilötietojen säilyttämiseen tarkoitetuista tietokannoista, vaan on "piilossa" paikallisissa tiedostoissa, arkistoissa tai muissa rakenteettomissa tiedoissa. Kaikk nämä kuitenkin edustavat GDPR:n alaista henkilötietoa ja usein sitä tietoturvan kannalta hankalinta osaa.

Mahdollisia toimintatapoja

Seuraavat sisältöesimerkit antavat tarkempia esimerkkejä siitä, millaisilla käytännöillä tai säännöillä tämän osa-alueen turvallisuutta voidaan kehittää.
No items found.

Vaatimuksia muissa frameworkeissä

Läheisesti liittyvät Digiturvakartan muut kohdat

Tämän osa-alueen sisällöt liittyvät läheisesti etenkin näihin kohtiin Digiturvakartan muista osasista:
Tiedostot ja paperit
Tiedostojen ja paperien käyttöön liittyvillä käytännöillä pyritään estämään luottamuksellisen tiedon hallitsematonta leviämistä ja asiatonta pääsyä tietoihin.
Tietojärjestelmät
Usein digiturvatyö alkaa omien datavarantojen kartoittamisella. Ensin on helpoin kysyä, mitä erilaisia tietojärjestelmiä meillä on käytössä? Nämä ovat niitä myynnin, markkinoinnin, asiakaspalvelun, HR:n, tuotekehityksen ja muiden yksikköjen työkaluja, joiden kautta luottamuksellisia tietoja käsitellään.
Riskien arviointi
Korkeatasoinen digiturvatyö edellyttää räätälöidysti ennakoivaa toteutusta, jossa erilaisia mahdollisia haitallisia tapahtumia tunnistetaan, priorisoidaan ja niiden hallintakeinoja arvioidaan.