Työsuhteen muutoshetket

Uusien työntekijöiden palkkaukset, nykyisten ylennykset ja siirrot tai päättyneet työsuhteet ovat tärkeitä koordinoitavia hetkiä, joihin digiturvatyössä on varauduttava ennalta.
henkilöstön turvallisuus
onboarding & offboarding
ilkivalta ja haitanteko
Huom.! Tätä artikkelia täydennetään vielä. Lisää sisältöä tulossa piakkoin.

Vaatimustaso

Tason 1 asiat ovat pakollisia peruasioita, joista jokaisen organisaation, vaikka digitaalisuus tai datan käsittely ei korostuisikaan, olisi syytä pitää hyvää huolta.
Tason 2 asiat ovat digiturvan oleellisia ydinasioita, jotka ovat tärkeitä useimmille organsiaatioille ja joilla voidaan huomattavasti parantaa digiturvan tasoa. Nämä liittyvät yleensä tiiviisti tason 1 asioihin.
Tason 3 asiat ovat syventäviä digiturvateemoja, jotka eivät korostu jokaisen organisaation toiminnassa, mutta joiden voidaan entisestään parantaa tietoturvan ja tietosuojan saralla.
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3

Suositeltu organisointi

Teemoille, jotka ovat sopivan kokoisia ja koordinoitavissa ilman jalkauttamista yksikkö- tai esimerkiksi järjestelmäkohtaisesti, on helpompaa nimetä selkeä(t) vastuuhenkilö(t). Vastuuhenkilöllä on oltava tarvittavat valtuudet ja resurssit teeman hoitamiseen. Vastuuhenkilö voi olla esimerkiksi tietoturvapäällikkö tai tietosuojavastaava.
Teemoille, jotka vaativat järjestelmä- tai rekisterikohtaista koordinointia, organisointi kannattaa hoitaa pääkäyttäjien kautta. Tietojärjestelmät ja rekisterit ovat organisaation avainomaisuutta, joiden pääkäyttäjälle tai yhteyshenkilölle kuuluu vastuilleen erilaisten käytäntöjen hoitamista tai sääntöjen valvomista.
Teemoille, jotka ovat turhan laajoja yksittäisten vastuuhenkilöiden koordinoitaviksi, ja jotka eivät suoraan organisoidu järjestelmä- tai rekisterivetoisesti, suosittelemme yksikkökohtaista koordinointia. Jokaisessa yksikössä (myynti, tuotanto, talous, asiakaspalvelu, jne.) olisi oltava vastuuhenkilö, joka huolehtii esimerkiksi tiedon keräämisen tai sääntöjen jalkauttamisen oman yksikkönsä henkilöstölle.
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt

Osa-alueen tavoite, riskit ja haasteet

On melko helppoa löytää uutisointia useista tapauksista, joissa kilpailijan leiriin siirtyneet entiset työntekijät ovat paljastaneet luottamuksellisia tietoja tai turhan laajat pääsyoikeudet omanneet työntekijät ovat syyllistyneet petokseen. Yleensä syynä ovat puutteelliset toimintatavat työroolin muutosten tai onboarding- ja offboarding-prosessien suhteen.

Jokainen organisaatio siis tarvitsee prosessit, joilla muutokset henkilöstön työsuhteissa käsitellään. Kuhunkin työrooliin pitäisi liittyä selkeät tiedot ja järjestelmät, joiden käsitetlyyn rooli oikeuttaa. Poistuneita työntekijöitä emme puolestaan enää hallitse, joten on tärkeää koordinoida tietojen ja laitteiden palautukset, pääsyoikeuksien poistot ja muistuttaa työsuhteen jälkeen jatkuvista tietoturvavelvollisuuksista (mm. salassapito) henkilöiden ollessa vielä palkkalistoillamme.

Työntekijän muuttunut työrooli on hienovaraisempi tilanne, mutta sen yhteydessä saatetaan aivan yhtä hyvin ajautua ongelmiin. Työrooliaan useammin muuttaneelle henkilölle voi kertyä turhaan oikeuksia monenlaisiin tietoihin, järjestelmiin ja tiloihin, joka aiheuttaa riskin jo sinäänsä ja vaikeuttaa prosesseja työsuhteen varsinaisen päättymisen hetkellä.

Esimerkkejä sisällöistä

Selvitettäviä kysymyksiä

Nämä ovat esimerkkejä asioista, joiden selvittämistä ja mahdollisesti raportoimista tämän osa-alueen käsitteleminen vaatii organisaartiolta.
No items found.

Mahdollisia toimintatapoja

Seuraavat sisältöesimerkit antavat tarkempia esimerkkejä siitä, millaisilla käytännöillä tai säännöillä tämän osa-alueen turvallisuutta voidaan kehittää.
Pääsyoikeuksien myöntämisprosessi työsuhteen alkaessa

Henkilön työsuhteen käynnistyessä hänelle huolehditaan kerralla käyttöoikeus kaikkien rooliinsa liittyvien tietojärjestelmien käyttöön.

Taustatarkistus ennen henkilön palkkaamista

Digiturvan kannalta tärkeisiin rooleihin hakeutuvien työnhakijoiden tausta olisi tarkastettava, huomioiden asianmukaiset lait ja määräykset.

Tarkastus voi sisältää mm.:

  • suositusten tarkistuksen
  • CV:n oikeellisuuden tarkistuksen
  • koulutuksellisen pätevyyden varmistamisen
  • henkilöllisyyden tarkistamisen riippumattomasta lähteestä
  • muut yksityiskohtaisemmat tarkistukset (esim. luottotietojen, aiempien korvausvaatimusten tai rikosrekisterin tarkistus)
Pääsyoikeuksien katselmointi työsuhteen muutostilanteissa

Pääsyoikeudet olisi katselmoitava ja myönnettävä henkilölle kokonaan uudelleen, kun henkilön työsuhteessa tapahtuu merkittävä muutos. Muutos voi olla ylennys tai roolin vaihtaminen (esim. yksiköstä toiseen siirtyminen).

Irtisanomisajalla olevien työntekijöiden erityisvalvonta

Työsuhteen irtisanomisaikana organisaation olisi valvottava, ettei irtisanottu työntekijä esimerkiksi kopioi tärkeää tietoa (esim. aineetonta omaisuutta) luvattomasti.

Prosessi työsuhteiden päättymishetkelle mm. laitteiston ja pääsyoikeuksien poistoon

Organisaatiomme on määritellyt toimintatavat, joiden avulla koordinoidaan työsuhteen päättymishetkellä mm.:

  • Laitteiston palauttaminen
  • Pääsyoikeuksien poisto
  • Muun tieto-omaisuuden palauttaminen

Vaatimuksia muissa frameworkeissä

Läheisesti liittyvät Digiturvakartan muut kohdat

Tämän osa-alueen sisällöt liittyvät läheisesti etenkin näihin kohtiin Digiturvakartan muista osasista:
Digiturva sopimuksissa
Henkilöstöä voidaan sitouttaa digiturva-asioiden noudattamiseen mm. käsittelemällä digiturvavastuut selkeästi työsopimuksissa, käyttäen salassapitositoumuksia sekä ohjaamalla digiturvasääntöjen noudattamiseen esimerkiksi sääntöjen muodollisella hyväksymisellä.
Yksiköt ja vastuuhenkilöt
Osa digiturva-asioista on järkevintä organisoida yksikkölähtöisesti. Tiedon kerääminen esimerkiksi henkilötietojen käyttötarkoituksista, käytetyistä tietojärjestelmistä tai digiturvasääntöjen noudattamisen valvonta onnistuu paremmin yksikön nimetyltä vastuuhenkilöltä.