Tiedostojen ja paperien käyttö

Tiedostojen ja paperien käyttöön liittyvillä käytännöillä pyritään estämään luottamuksellisen tiedon hallitsematonta leviämistä ja asiatonta pääsyä tietoihin.
rakenteettomat tietovarannot
piilotiedot
"excelit"
Huom.! Tätä artikkelia täydennetään vielä. Lisää sisältöä tulossa piakkoin.

Vaatimustaso

Tason 1 asiat ovat pakollisia peruasioita, joista jokaisen organisaation, vaikka digitaalisuus tai datan käsittely ei korostuisikaan, olisi syytä pitää hyvää huolta.
Tason 2 asiat ovat digiturvan oleellisia ydinasioita, jotka ovat tärkeitä useimmille organsiaatioille ja joilla voidaan huomattavasti parantaa digiturvan tasoa. Nämä liittyvät yleensä tiiviisti tason 1 asioihin.
Tason 3 asiat ovat syventäviä digiturvateemoja, jotka eivät korostu jokaisen organisaation toiminnassa, mutta joiden voidaan entisestään parantaa tietoturvan ja tietosuojan saralla.
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3

Suositeltu organisointi

Teemoille, jotka ovat sopivan kokoisia ja koordinoitavissa ilman jalkauttamista yksikkö- tai esimerkiksi järjestelmäkohtaisesti, on helpompaa nimetä selkeä(t) vastuuhenkilö(t). Vastuuhenkilöllä on oltava tarvittavat valtuudet ja resurssit teeman hoitamiseen. Vastuuhenkilö voi olla esimerkiksi tietoturvapäällikkö tai tietosuojavastaava.
Teemoille, jotka vaativat järjestelmä- tai rekisterikohtaista koordinointia, organisointi kannattaa hoitaa pääkäyttäjien kautta. Tietojärjestelmät ja rekisterit ovat organisaation avainomaisuutta, joiden pääkäyttäjälle tai yhteyshenkilölle kuuluu vastuilleen erilaisten käytäntöjen hoitamista tai sääntöjen valvomista.
Teemoille, jotka ovat turhan laajoja yksittäisten vastuuhenkilöiden koordinoitaviksi, ja jotka eivät suoraan organisoidu järjestelmä- tai rekisterivetoisesti, suosittelemme yksikkökohtaista koordinointia. Jokaisessa yksikössä (myynti, tuotanto, talous, asiakaspalvelu, jne.) olisi oltava vastuuhenkilö, joka huolehtii esimerkiksi tiedon keräämisen tai sääntöjen jalkauttamisen oman yksikkönsä henkilöstölle.
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt

Osa-alueen tavoite, riskit ja haasteet

Jokainen tietojen vienti pois tietojärjestelmistä - keskitettyjen varmuuskopiointien, käytön valvonnan tai pääsynhallinan parista - pitäisi nähdä riskinä digiturvalle. Tiedot on viety muotoon, jossa ne ovat huonommin valvottavissa ja löydettävissä myöhemmin. Näitä riskejä pyritään hallitsemaan erilaisian käytännöin ja säännöin sekä kouluttamalla näihin "piilotietoihin" liittyviä riskejä henkilöstölle.

Arjen toimintatavoista riippuen tietoja on toki useimmin tai harvemmin vietävä papereille ja erillisiin tiedostoihin. Tällöin on tärkeää ymmärtää, että tiedon arvo on edelleen yhtä arvokasta ja tietoa koskevat edelleen kaikki samat vaatimukset, kuin aiemminkin. Jos viemme henkilötietoja pois tietojärjestelmästä, esimerkiksi valvollisuus poistaa henkilötiedot rekisteröidyn sitä pyytäessä säilyy täysin samanlaisena tietojen muodosta riippumatta.

Monet organisaatiot pyrkivät kohti toimintamalleja, joissa järjestelmällisesti haetaan tapoja vähentää rakenteettomien tietojen määrää. Ne ovat ongelmallisia myös tietoturvaloukkauksen sattuessa. Jos tiedosto, kasa papereita tai vaikkapa sähköpostilaatikko päätyy vääriin käsiin, kuka tietää mitä tietoja vaarantui, ketä pitää informoida, jos järjestelmällisiä toimintatapoja ei ole ollut?

Esimerkkejä sisällöistä

Selvitettäviä kysymyksiä

Nämä ovat esimerkkejä asioista, joiden selvittämistä ja mahdollisesti raportoimista tämän osa-alueen käsitteleminen vaatii organisaartiolta.
No items found.

Mahdollisia toimintatapoja

Seuraavat sisältöesimerkit antavat tarkempia esimerkkejä siitä, millaisilla käytännöillä tai säännöillä tämän osa-alueen turvallisuutta voidaan kehittää.
DLP-järjestelmän käyttö

DLP-järjestelmällä pyritään estämään sensitiivisten tietojen häviämistä tai vuotamista. Järjestelmän avulla voidaan estää ei-haluttuja toimia valvomalla, havaitsemalla ja estämällä sensitiivisen datan käsittely ilman haluttujen ehtojen täyttymistä. Estämistä voidaan tehdä käytön aikana (in-use, päätelaitteiden toimenpiteet), liikkeessä (in-transit, verkkoliikenne) tai tallennuspaikoissa (at-rest).


Lukitut kaapit / huonekalut arkaluonteisen paperitiedon säilyttämiseen

Mikäli arkaluonteista paperitietoa tarvitaan, niiden säilyttämistä varten on olemassa kassakaappeja, muita lukollisia kaappeja tai muita turvallisia huonekaluja.

Arkaluonteiset tiedot eivät saa olla lojumassa kenen tahansa saatavilla ympäri toimistoa.


Piilotietoihin liittyvien riskien kouluttaminen

Etenkin kun rakenteetonta tietoa on toiminnan luonteen vuoksi tarpeen käsitellä paljon, voi olla tarpeen kehittää koulutusta, joka kuvaa näihin liittyiviä riskejä henkilöstölle.

Piilotietojen yleisiä ongelmia ovat mm.:

  • ei varmuuskopiointia
  • ei pääsynhallintaa
  • vaikea löydettävyys

Tiedoille, joiden et haluat häviävän, joiden käyttöä haluat valvoa tai jotka on tärkeä löytää jatkossa, henkilöstön pitäisi käyttää niihin suunniteltuja järjestelmiä.


Piilotietojen määrän minimointi

Suuri määrä organisaation arvokkaista tiedoista on usein aikojen saatossa kertynyt vaikeasti löydättäväksi ja hallittavaksi rakenteettomiin tietoihin - exceleihin, tekstidokumentteihin, intranetin sivuille tai sähköposteihin.

Kun piilotiedot on tunnistettu, niiden määrää voidaan määrätietoisesti pyrkiä minimoimaan. Piilotietoja pyritään minimoimaan tekemällä jokaisen osalta selkeä luokittelu johonkin kategorioista:

  • siirretään järjestelmään
  • hankkiudutaan eroon (kun tieto vanhaa, ei enää tarpeen tai muuten merkityksetöntä)
  • pidetään tietoisesti käytössä ja nimetään vastuuhenkilö hallitsemaan riskejä
Tiedostojen ja paperien yleiset käyttösäännöt

Tiedostojen, paperien ja muun rakenteettoman tiedon käyttösäännöt on määritelty ja niiden noudattamista valvotaan.

Käyttösäännöt voivat sisältää mm. seuraavia asioita:

TIEDOSTOT

  • Tallennan tiedostoja ainoastaan paikkoihin, joista ne varmuuskopioidaan
  • Säilytän tiedostoja paikallisilla laitteilla vain välttämättömän ajan
  • Jaan dokumentteja ainoastaan tarve tietää -periaatteella (en velvollisuudentunnosta)
  • Ymmärrän toimisto-ohjelmilla tehtyjen tiedostojen meta-tiedot ja tarkistan ne tarvittaessa tiedostojen uudelleenkäyttöhetkillä

PAPERIT

  • Noudatan puhtaan pöydän periaatetta papereita käsitellessäni
  • Hävitän paperiaineistot annettujen ohjeiden mukaisesti

TULOSTAMINEN

  • Tunnen tulostusohjeet ja tulostan niiden mukaisesti, enkä tulosta turhaan
  • En jätä arkaluonteisia tai salaisia tietoja sisältäviä asiakirjoja lojumaan tulostimille

Vaatimuksia muissa frameworkeissä

Läheisesti liittyvät Digiturvakartan muut kohdat

Tämän osa-alueen sisällöt liittyvät läheisesti etenkin näihin kohtiin Digiturvakartan muista osasista:
Piilotiedot
Usein iso osa yrityksen henkilötiedoista ei löydy järjestelmistä, vaan on "piilossa" paikallisissa Excel-tiedostoissa, wordeissä verkkolevyjen kulmilla tai paperiarkistoissa.
Tietosuojaselosteet
Tietosuojaselosteet ovat yksi tapa toteuttaa henkilötietojen käsittelystä vaadittavaa läpinäkyvää, avointa informointia rekisteröidyille.
Tietojen hävitysprosessit
Henkilötietojen hävitysprosesseilla pidetään huolta siitä, että säilytyksen rajoittamisen periaate toteutuu omassa henkilötietojen käsittelyssä. Henkilötiedot on tuhottava tai anonymisoitava, kun niitä ei enää tarvita alkuperäisen käyttötarkoituksen toteuttamiseen.
Tietopyynnöt
Tietosuoja-asetuksen perusteella rekisteröidyllä on aina tiettyjä oikeuksia käytössään, kun käsittelemme häneen liittyviä henkilötietoja. Kutsumme näitä yleisesti tietopyynnöiksi.