Tietojärjestelmien hallinta

Usein digiturvatyö alkaa omien datavarantojen kartoittamisella. Ensin on helpoin kysyä, mitä erilaisia tietojärjestelmiä meillä on käytössä? Nämä ovat niitä myynnin, markkinoinnin, asiakaspalvelun, HR:n, tuotekehityksen ja muiden yksikköjen työkaluja, joiden kautta luottamuksellisia tietoja käsitellään.
järjestelmien hallinta
pilvipalvelut
ohjelmistot
Huom.! Tätä artikkelia täydennetään vielä. Lisää sisältöä tulossa piakkoin.

Vaatimustaso

Tason 1 asiat ovat pakollisia peruasioita, joista jokaisen organisaation, vaikka digitaalisuus tai datan käsittely ei korostuisikaan, olisi syytä pitää hyvää huolta.
Tason 2 asiat ovat digiturvan oleellisia ydinasioita, jotka ovat tärkeitä useimmille organsiaatioille ja joilla voidaan huomattavasti parantaa digiturvan tasoa. Nämä liittyvät yleensä tiiviisti tason 1 asioihin.
Tason 3 asiat ovat syventäviä digiturvateemoja, jotka eivät korostu jokaisen organisaation toiminnassa, mutta joiden voidaan entisestään parantaa tietoturvan ja tietosuojan saralla.
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3

Suositeltu organisointi

Teemoille, jotka ovat sopivan kokoisia ja koordinoitavissa ilman jalkauttamista yksikkö- tai esimerkiksi järjestelmäkohtaisesti, on helpompaa nimetä selkeä(t) vastuuhenkilö(t). Vastuuhenkilöllä on oltava tarvittavat valtuudet ja resurssit teeman hoitamiseen. Vastuuhenkilö voi olla esimerkiksi tietoturvapäällikkö tai tietosuojavastaava.
Teemoille, jotka vaativat järjestelmä- tai rekisterikohtaista koordinointia, organisointi kannattaa hoitaa pääkäyttäjien kautta. Tietojärjestelmät ja rekisterit ovat organisaation avainomaisuutta, joiden pääkäyttäjälle tai yhteyshenkilölle kuuluu vastuilleen erilaisten käytäntöjen hoitamista tai sääntöjen valvomista.
Teemoille, jotka ovat turhan laajoja yksittäisten vastuuhenkilöiden koordinoitaviksi, ja jotka eivät suoraan organisoidu järjestelmä- tai rekisterivetoisesti, suosittelemme yksikkökohtaista koordinointia. Jokaisessa yksikössä (myynti, tuotanto, talous, asiakaspalvelu, jne.) olisi oltava vastuuhenkilö, joka huolehtii esimerkiksi tiedon keräämisen tai sääntöjen jalkauttamisen oman yksikkönsä henkilöstölle.
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt

Osa-alueen tavoite, riskit ja haasteet

Tietojärjestelmiä on nykyaikaisissa organisaatioissa paljon. Pienessä yrityksessä järjestelmiä kertyy kymmeniä, suuremmassa organisaatiossa satoja. Iso osa työstämme pysähtyy, jos tietojärjestelmä ei toimikaan. Tietojärjestelmien hallinnasta on tullut kriittinen osa nykyaikaista liiketoimintaa.

On monia hyviä syitä olla kunnolla perillä omasta järjestelmäportfoliosta ja hallita sitä järjestelmällisesti. Järjestelmäportfolion hallinta auttaa hallitsemaan kustannuksia, varmistamaan yhteensopivuuden portfolion ja muiden tavoitteiden välillä sekä edesauttamaan ketteryyttä. Kun järjestelmäportfolio on huolella rakennettu, eikä samaan käyttötarkoitukseen ole montaa eri työkalua, ohjeistaminen ja henkilöstön kouluttaminen tehokkaaseen järjestelmien käyttöön on huomattavasti helpompaa. Samalla voidaan saada rajattua käytettyjen järjestelmätoimittajien määrää. Lisäksi tietojärjestelmiin ja niiden toimittajiin liittyy monia laillisia vaatimuksia, jotka kannustavat myös huolehtimaan portfoliosta järjestelmällisesti.

Tietojärjestelmät ovat digiturvan avainelementtejä, joihin liittyvät useat Digiturvakartan kohdat, kuten pääsynhallinta, integraatiot, tietojen poistoprosessit, henkilötietojen käyttötarkoitukset ja monet muut. Tietojärjestelmän pääkäyttäjä on lisäksi järkevää nimetä. Pääkäyttäjä on yksi digiturvatyön avainhenkilöistä, jonka vastuulla voivat olla mm. pääsyoikeuksien katselmointi, henkilöstön ohjeistaminen järjestelmän käyttöön sekä ainakin kriittisten järjestelmien tapauksessa myös järjestelmätoimittajan toimien seuranta.

Esimerkkejä sisällöistä

  • Myynnin tietojärjestelmät (CRM, Verkkokauppa, Tapahtumahallinta)
  • Taloushallinnon tietojärjestelmät (Palkanmaksu, Kuittien hallinta, Asiakirjahallinta)
  • Markkinoinnin tietojärjestelmät (Verkkomainonta, Analytiikka, Markkinoinnin automaatio, Uutiskirje)
  • Tuotannon tietojärjestelmät (ERP, Ostohallinta, Projektinhallinta)
  • Ohjelmoinnin tietojärjestelmät (Lähdekoodin hallinta, Tehtävähallinta, Pikaviestintä)
  • IT:n tietojärjestelmät (Palomuurijärjestelmä, Varmuuskopiointi, Päätelaitteiden hallinta, Puhelinliittymien hallinta)

Selvitettäviä kysymyksiä

Nämä ovat esimerkkejä asioista, joiden selvittämistä ja mahdollisesti raportoimista tämän osa-alueen käsitteleminen vaatii organisaartiolta.
Kenen tietoja järjestelmässä käsitellään?

Erilaisia "rekisteröityjen ryhmiä" ovat mm.:

ASIAKKAAT

  • Kuluttaja-asiakkaat
  • Yritysasiakkaat
  • Alaikäiset asiakkaat
  • Liidit

OMA ORGANISAATIO

  • Työntekijät
  • Entiset työntekijät
  • Hallituksen jäsenet
  • Harjoittelijat

MUUT SIDOSRYHMÄT

  • Freelancerit
  • Jälleenmyyjät
  • Kotisivujen vierailijat
Kuka järjestelmää ylläpitää?

Onko järjestelmän tekninen ylläpito kumppanin vai teidän vastuulla?

Missä järjestelmä sijaitsee?

Tärkeää on esimerkiksi tietää, siirtyvätkö tiedot EU:n ulkopuolelle ja jos siirtyvät, tarkistaa onko kyseessä luotettu maa (esim. Sveitsi) tai muuten luotettu toimija (esim. Privacy Shield). Tämä on viestittävä myös ihmisille tietosuojaviestinnässä.


Mistä henkilötietoa kertyy järjestelmään?

Mieti, kuka ja missä tilanteissa voi lisätä henkilötietoja tähän järjestelmään.

Mitä henkilötietoryhmiä järjestelmä sisältää?

Erilaisia henkilötietoryhmiä ovat mm.:

  • Identiteettitiedot (esim. nimi, syntymäaika)
  • Henkilötunnus
  • Yhteystiedot
  • Taloudellista asemaa koskevat tiedot
  • Sijaintitiedot
  • Erityiset henkilötiedot (esim. biometriset tiedot kuten sormenjälki tairikostuomioihin liittyvät tiedot)
Mitkä yksiköt järjestelmää käyttävät?

Laajassa organisaatiossa voi olla vaikeaa kartoittaa kaikki käytettävät tietojärjestelmät. Yksikkökohtainen eteneminen voi olla ainoa tapa saavuttaa hyviä tuloksia.

Mahdollisia toimintatapoja

Seuraavat sisältöesimerkit antavat tarkempia esimerkkejä siitä, millaisilla käytännöillä tai säännöillä tämän osa-alueen turvallisuutta voidaan kehittää.
No items found.

Vaatimuksia muissa frameworkeissä

Läheisesti liittyvät Digiturvakartan muut kohdat

Tämän osa-alueen sisällöt liittyvät läheisesti etenkin näihin kohtiin Digiturvakartan muista osasista:
Itse ylläpidetyt IT-palvelut
Kun kehitämme itse IT-palveluita ja tarjoamme niitä asiakkaille, meidän on sitouduttava heille päin huolehtimaan osaltamme mm. teknisestä tietoturvasta ja tietyistä henkilötietojen käsittelyyn liittyvistä vastuista.
Varmuuskopiointi
Varmuuskopioinnilla tarkoitetaan tapahtumaa, jossa tärkeää tietoa kopioidaan, tavoitteena varmistaa datan saatavuus ongelmian sattuessakin. Jos alkuperäinen tieto häviää tai tuhoutuu, voidaan tieto palauttaa varmuuskopioista.
Käytön valvonta / lokit
Lokit ovat luetteloja tietojärjestelmien käytöstä, ongelmista, käyttäjien toimenpiteistä ja niin edelleen. Lokien tarkoituksena on maksimoida jäljet luottamuksellisten tietojen käsittelystä, jotta voidaan valvoa henkilöstön tekemisiä, tuottaa automaattiisia hälytyksiä ja selvittää väärinkäyttötilanteita.
Järjestelmätoimittajat
Erilaisia tietojärjestelmiä kertyy vähänkin isompaan organisaatioon kymmeniä tai satoja. Organisaatiolla on kuitenkin vastuu käyttää vain järjestelmätoimittajia, jotka huomioivat toiminnassaan asiallisesti digiturvan. Tärkeä päätös tehdään siis jo siinä vaiheessa, kun hankittavaa järjestelmää valitaan.
Integraatiot
Integraatio tarkoittaa kahden erillisen yhdistämistä yhdeksi kokonaisuudeksi. Tietojärjestelmämaailmassa integraatio on järjestelmien välistä vuoropuhelua.