Henkilötietojen tietoturvaloukkaukset

Henkilötietojen tietoturvaloukkauksella tarkoitetaan tapahtumaa, jonka seurauksena henkilötietoja tuhoutuu, häviää, muuttuu, henkilötietoja luovutetaan luvattomasti tai niihin pääsee käsiksi taho, jolla ei ole käsittelyoikeutta.
tietovuodot
loukkausilmoitus valvontaviranomaiselle
riskien hallinta
Huom.! Tätä artikkelia täydennetään vielä. Lisää sisältöä tulossa piakkoin.

Vaatimustaso

Tason 1 asiat ovat pakollisia peruasioita, joista jokaisen organisaation, vaikka digitaalisuus tai datan käsittely ei korostuisikaan, olisi syytä pitää hyvää huolta.
Tason 2 asiat ovat digiturvan oleellisia ydinasioita, jotka ovat tärkeitä useimmille organsiaatioille ja joilla voidaan huomattavasti parantaa digiturvan tasoa. Nämä liittyvät yleensä tiiviisti tason 1 asioihin.
Tason 3 asiat ovat syventäviä digiturvateemoja, jotka eivät korostu jokaisen organisaation toiminnassa, mutta joiden voidaan entisestään parantaa tietoturvan ja tietosuojan saralla.
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3

Suositeltu organisointi

Teemoille, jotka ovat sopivan kokoisia ja koordinoitavissa ilman jalkauttamista yksikkö- tai esimerkiksi järjestelmäkohtaisesti, on helpompaa nimetä selkeä(t) vastuuhenkilö(t). Vastuuhenkilöllä on oltava tarvittavat valtuudet ja resurssit teeman hoitamiseen. Vastuuhenkilö voi olla esimerkiksi tietoturvapäällikkö tai tietosuojavastaava.
Teemoille, jotka vaativat järjestelmä- tai rekisterikohtaista koordinointia, organisointi kannattaa hoitaa pääkäyttäjien kautta. Tietojärjestelmät ja rekisterit ovat organisaation avainomaisuutta, joiden pääkäyttäjälle tai yhteyshenkilölle kuuluu vastuilleen erilaisten käytäntöjen hoitamista tai sääntöjen valvomista.
Teemoille, jotka ovat turhan laajoja yksittäisten vastuuhenkilöiden koordinoitaviksi, ja jotka eivät suoraan organisoidu järjestelmä- tai rekisterivetoisesti, suosittelemme yksikkökohtaista koordinointia. Jokaisessa yksikössä (myynti, tuotanto, talous, asiakaspalvelu, jne.) olisi oltava vastuuhenkilö, joka huolehtii esimerkiksi tiedon keräämisen tai sääntöjen jalkauttamisen oman yksikkönsä henkilöstölle.
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt

Osa-alueen tavoite, riskit ja haasteet

Tietoturvaloukkaus on yleistermi monenlaisille henkilötietoihin kohdistuville ongelmille. Loukkauksen seuraukset voivat olla pienet tai siitä voi aiheuta suurelle ihmismäärälle esimerkiksi merkittävä identiteettivarkauden tai petoksen riski taikka vakava maineen vahingoittuminen. Tämän vuoksi organisaatioiden on pakollista dokumentoida kaikki tapahtuneet tietoturvaloukkaukset, niiden käsittely sekä niiden johdosta toteutetut korvaavat toimet - esimerkiksi uudet käyttöönotetut käytännöt tai varsinaiset tekniset korjaukset järjestelmiin.

Jo tapahtuneisiin loukkauksiin reagoinnin lisäksi rekisterinpitäjän on varauduttava ennalta mahdollisiin tietoturvaloukkauksiin laatimalla toimintaohjeet tietoturvaloukkaustilanteita varten ja huolehtimalla kyvystään havaita tapahtunut loukkaus. Vakavammista tietoturvaloukkauksista on ilmoitettava valvontaviranomaiselle (Suomessa Tietosuojavaltuutetun toimisto) sekä rekisteröidyille. Valvontaviranomaiselle on ilmoitettava 72 tunnin kuluessa siitä, kun rekisterinpitäjä on tullut tietoiseksi tietoturvaloukkauksesta. Meidän on siis kyettävä valvomaan tietojemme käyttöä ja toimimaan ongelmien hetkellä ripeästi.


Esimerkkejä sisällöistä

  • Hakkerointi
  • Hävinnyt siirrettävä tietoväline (esim. USB-tikku)
  • Luvaton pääsy tietoihin huolimattoman hävittämisen takia
  • Salassapidettävää tietoa sisältäneen viestin lähetys väärälle vastaanottajalle
  • Tietojärjestelmän käyttökatko, jonka seurauksena ihmiset eivät pääse tietoihinsa
Tietoturvahäiriö on myös henkilötietojen tietoturvaloukkaus, silloin kun häiriön seurauksena henkilötietoja tuhoutuu, häviää, muuttuu, henkilötietoja luovutetaan luvattomasti tai niihin pääsee käsiksi taho, jolla ei ole käsittelyoikeutta.

Selvitettäviä kysymyksiä

Nämä ovat esimerkkejä asioista, joiden selvittämistä ja mahdollisesti raportoimista tämän osa-alueen käsitteleminen vaatii organisaartiolta.
Mitä tietoja loukkaus koski?

Rekisterinpitäjän vastuulla on arvioida, minkä tasoinen riski tietoturvaloukkauksesta aiheutuu sen kohteena olleille henkilöille. Tähän vaikuttavat mm. oma toimialanne ja roolinne, tietojen määrä, rekisteröityjen määrä, tietojen arkaluonteisuus sekä rekisteröityjen tunnistamisen helppous.

Jotta loukkauksen vaikutuksia voidaan arvioida tarkemmin, on oltava tarkasti tietoisia loukkauksen koskettamista tiedoista.

Mitä organisaatioita loukkaus koski?

Tietoturvaloukkaus voi koskea samalla kertaa useiden eri rekisterinpitäjien tietoja, esimerkiksi loukkauksen kohdistuessa alunperin yleisesti käytettyyn henkilötietojen käsittelijään (esim. IT-palveluntarjoaja). Rekisterinpitäjällä on vastuu pitää kirjaa hallinnoimiaan tietoja koskeneista loukkauksista.

Käsittelijäroolissa toimiessaan organisaatio on lisäksi vastuussa rekisterinpitäjien informoinnista.

Millaisia vaikutuksia rekisteröidyille voi koitua?

Rekisterinpitäjän täytyy arvioida, minkä tasoinen riski tietoturvaloukkauksesta aiheutuu sen kohteena olleille henkilöille. Riskin taso määrittää, tuleeko loukkauksesta ilmoittaa valvontaviranomaiselle tai rekisteröidyille. Kaikki loukkaukset tulee aina dokumentoida vaikutuksineen sekä tehtyine toimenpiteineen.

Mikäli henkilötietojen tietoturvaloukkauksesta voi aiheutua riski henkilön oikeuksille ja vapauksille, täytyy rekisterinpitäjän ilmoittaa valvontaviranomaiselle.

Mikäli henkilötietojen tietoturvaloukkaus todennäköisesti aiheutuu korkea riski henkilön oikeuksille ja vapauksille, täytyy rekisterinpitäjän ilmoittaa rekisteröidyille. Ilmoituksen perusteella rekisteröity voi suojautua tarvittavin tavoin (esim. sulkemalla luottokorttinsa).

Mitä ilmoituksia loukkauksesta on päätetty tehdä?

Kaikki henkilötietojen tietoturvaloukkaukset on dokumentoitava. Tämä sisältää dokumentaation siitä, mitä toimenpiteitä loukkauksen johdosta on päätetty tehdä. Dokumentointivelvollisuuden tai ilmoituksen tekemisen laiminlyöminen on tietosuoja-asetuksen vastaista.

Tukeudu tarvittaessa edellisen kysymyksen vastauksiin pohtiessasi, kelle loukkauksesta on ilmoitettava.

Huom.! Mikäli ilmoitukset päätetään tarpeelliksi, valvontaviranomaiselle on ilmoitettava 72 tunnin kuluessa ja rekisteröidyille ilman aiheetonta viivytystä.

Millaisia toimenpiteitä loukkauksen johdosta on tehty?

Tietoturvaloukkauksesta ilmoittaessa on kuvattava toimenpiteet, joita rekisterinpitäjä on ehdottanut tai jotka se on toteuttanut henkilötietojen tietoturvaloukkauksen johdosta. Nämä ovat toki tarpeen myös sisäistä toimintaanne varten, jotta jatkossa vastaavat loukkaukset pystytään estämään.

Mahdollisia toimintatapoja

Seuraavat sisältöesimerkit antavat tarkempia esimerkkejä siitä, millaisilla käytännöillä tai säännöillä tämän osa-alueen turvallisuutta voidaan kehittää.
Prosessi tietoturvaloukkauksiin reagointiin

Organisaatiomme on ennalta määritellyt toimintatavat, joiden kautta havaittua tietoturvaloukkausta aletaan käsitellä. Prosessi voivat sisältää mm. seuraavia asioita:

  • ketkä kuuluvat tiimiin, joka on valmiina reagoimaan loukkauksiin
  • kuinka ja mitä kanavaa myöten loukkauksesta tiedotetaan välittömästi koko tiimia
  • tiimi määrittää loukkaukselle vakavuuden (matala, keskiverto, korkea) ennaltamääriteltyjen kriteerien perusteella
  • loukkauksen käsittelyä jatketaan isommalla porukalla vakavuustason mukaisesti

Vaatimuksia muissa frameworkeissä

Läheisesti liittyvät Digiturvakartan muut kohdat

Tämän osa-alueen sisällöt liittyvät läheisesti etenkin näihin kohtiin Digiturvakartan muista osasista:
Häiriöiden käsittely
Tietoturvahäiriöllä tarkoitetaan kaikkia ei-toivottua tai yllättäviä digiturvaan liittyviä tapahtumia, jotka vaarantavat liiketoimintaa tai tietoturvallisuutta.
Riskien arviointi
Korkeatasoinen digiturvatyö edellyttää räätälöidysti ennakoivaa toteutusta, jossa erilaisia mahdollisia haitallisia tapahtumia tunnistetaan, priorisoidaan ja niiden hallintakeinoja arvioidaan.
Järjestelmätoimittajat
Erilaisia tietojärjestelmiä kertyy vähänkin isompaan organisaatioon kymmeniä tai satoja. Organisaatiolla on kuitenkin vastuu käyttää vain järjestelmätoimittajia, jotka huomioivat toiminnassaan asiallisesti digiturvan. Tärkeä päätös tehdään siis jo siinä vaiheessa, kun hankittavaa järjestelmää valitaan.