Vaatimustenmukainen digiturvaraportointi

Kun halutaan varmistaa vaatimustenmukainen digiturvatyö, tarvitaan paljon perustasoa syvällisempää raportintia mm. henkilötietojen käsittelystä sekä turvallisuutta varmistavista käytännöistä.
osoitusvelvollisuus
seloste käsittelytoimista
dokumentaatio
Huom.! Tätä artikkelia täydennetään vielä. Lisää sisältöä tulossa piakkoin.

Vaatimustaso

Tason 1 asiat ovat pakollisia peruasioita, joista jokaisen organisaation, vaikka digitaalisuus tai datan käsittely ei korostuisikaan, olisi syytä pitää hyvää huolta.
Tason 2 asiat ovat digiturvan oleellisia ydinasioita, jotka ovat tärkeitä useimmille organsiaatioille ja joilla voidaan huomattavasti parantaa digiturvan tasoa. Nämä liittyvät yleensä tiiviisti tason 1 asioihin.
Tason 3 asiat ovat syventäviä digiturvateemoja, jotka eivät korostu jokaisen organisaation toiminnassa, mutta joiden voidaan entisestään parantaa tietoturvan ja tietosuojan saralla.
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3
Taso 1
Taso 2
Taso 3

Suositeltu organisointi

Teemoille, jotka ovat sopivan kokoisia ja koordinoitavissa ilman jalkauttamista yksikkö- tai esimerkiksi järjestelmäkohtaisesti, on helpompaa nimetä selkeä(t) vastuuhenkilö(t). Vastuuhenkilöllä on oltava tarvittavat valtuudet ja resurssit teeman hoitamiseen. Vastuuhenkilö voi olla esimerkiksi tietoturvapäällikkö tai tietosuojavastaava.
Teemoille, jotka vaativat järjestelmä- tai rekisterikohtaista koordinointia, organisointi kannattaa hoitaa pääkäyttäjien kautta. Tietojärjestelmät ja rekisterit ovat organisaation avainomaisuutta, joiden pääkäyttäjälle tai yhteyshenkilölle kuuluu vastuilleen erilaisten käytäntöjen hoitamista tai sääntöjen valvomista.
Teemoille, jotka ovat turhan laajoja yksittäisten vastuuhenkilöiden koordinoitaviksi, ja jotka eivät suoraan organisoidu järjestelmä- tai rekisterivetoisesti, suosittelemme yksikkökohtaista koordinointia. Jokaisessa yksikössä (myynti, tuotanto, talous, asiakaspalvelu, jne.) olisi oltava vastuuhenkilö, joka huolehtii esimerkiksi tiedon keräämisen tai sääntöjen jalkauttamisen oman yksikkönsä henkilöstölle.
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt
Selkeä vastuuhenkilö
Pääkäyttäjät
Yksiköt

Osa-alueen tavoite, riskit ja haasteet

Digiturvatyöhön liittyy tiiviisti osoitusvelvollisuus. Se tarkoittaa käytännössä sitä, että organisaatio on velvollinen näyttämään, kuinka tietojen käsittelyn turvallisuus tai muut esimerkiksi henkilötietojen käsittelyyn liittyvät yleiset periaatteet toteutuvat heidän toiminnassaan. Ei siis riitä sanoa, että asiat kyllä hoidellaan lakien ja asetusten mukaisesti, vaan tämän toteuttamiseksi on oltava selkeitä käytäntöjä sekä niiden toteuttamisesta arjessa konkreettistä näyttöä ja todisteita.

Digiturvakartalla käsitellään kahdentyyppisiä asioita, joista raportoidaan. Toiset ovat omaisuutta, esimerkiksi luottamukselliset tiedot sekä niiden käsittelyyn käytettävät järjestelmät, toiset käytäntöjä, esimerkiksi sopimukselliset toimet teknisen tietoturvan ratkaisut. Omaisuudesta raportoinnissa oleellista on varmistaa raportoinnin kattavuus. Onko esimerkiksi jokaisesta yksiköstä kartoitettu tiedot ja vastaavatko ne todellisuutta? Käytäntöjen raportoinnissa puolestaan oleellista on varmistaa käytännön toteutus arjessa. Onko käytäntö kirjattu aikaleimatusti suunnitelmaamme, onko sillä omistaja ja onko meillä todisteita (esim. omistajan merkinnät toteutuksesta tai tekniset lokimerkinnät) käytännön toteuttamisesta? Uskottavan raportoinnin toteuttamisessa auttaa digiturvan hallintajärjestelmä.

Tietosuoja-asetus nosti esille vaadittua raportointia ja määrittelee myös "Seloste käsittelytoimista" -raportin sisällön. Tietosuojaa valvovat viranomaiset voivat kuitenkin pyytää kaikkea muunlaistakin osoitusvelvollisuuteen liittyvää dokumentaatiota nähtäväkseen, joko yleisen valvonnan tai esimerkiksi rekisteröidyn valituksen käynnistämän tutkinnan puitteissa.

Esimerkkejä sisällöistä

Raportti: Seloste käsittelytoimista

Seloste käsittelytoimista on kokonaisvaltainen kuvaus organisaation tekemästä henkilötietojen käsittelystä. Selosteen sisältö määritellään EU:n yleisessä tietosuoja-asetuksessa.

Raportti: Organisaation digiturvakäytännöt

Digiturvakäytännöt ovat organisaation päättämiä toimintatapoja tietoturva- tai tietosuoja-asioihin, joihin on sitouduttu ja joilla pyritään parantamaan tiedon käsittelyn turvallisuutta.

Raportti: Tietosuojaperiaatteiden toteuttaminen

Henkilötietojen käsittelyn yleisiä periaatteita ovat mm. tietojen minimointi, säilytyksen rajoittaminen sekä käsittelyn lainmukaisuus. Tämä raportti kuvaa tapoja, joilla toteutamme näitä periaatteita.

Selvitettäviä kysymyksiä

Nämä ovat esimerkkejä asioista, joiden selvittämistä ja mahdollisesti raportoimista tämän osa-alueen käsitteleminen vaatii organisaartiolta.
No items found.

Mahdollisia toimintatapoja

Seuraavat sisältöesimerkit antavat tarkempia esimerkkejä siitä, millaisilla käytännöillä tai säännöillä tämän osa-alueen turvallisuutta voidaan kehittää.
No items found.

Vaatimuksia muissa frameworkeissä

Läheisesti liittyvät Digiturvakartan muut kohdat

Tämän osa-alueen sisällöt liittyvät läheisesti etenkin näihin kohtiin Digiturvakartan muista osasista:
Käyttötarkoitukset
Henkilötietojen käyttötarkoituksen on oltava yksiselitteinen ja ymmärrettävä kuvaus tarkoituksesta, johon henkilöstä kerättäviä tietoja aiotaan käyttää. Käyttötarkoitukset eivät saa olla maailmaa syleileviä (palveluiden tuottaminen), vaan niiden avulla on ymmärrettävä, mitä tietoja tähän tarkoitukseen kohtuudella tarvitaan ja millä perusteella sitä voidaan tehdä.
Tietojärjestelmät
Usein digiturvatyö alkaa omien datavarantojen kartoittamisella. Ensin on helpoin kysyä, mitä erilaisia tietojärjestelmiä meillä on käytössä? Nämä ovat niitä myynnin, markkinoinnin, asiakaspalvelun, HR:n, tuotekehityksen ja muiden yksikköjen työkaluja, joiden kautta luottamuksellisia tietoja käsitellään.
Käsittelysopimukset
Käsittelysopimus on tietossuoja-asetuksen vaatima ja siinä sovitaan vastuunjaosta rekisterinpitäjän sekä henkilötietojen käsittelijän välillä. Henkilötietojen käsittelijä ns. käsittelee henkilötietoja rekisterinpitäjän lukuun sopimuksessa säädetyin tavoin.