Tässä suositus työskentelyn prioriteeteista Digiturvamallissa, kun organisaatiossa työskennellään ensisijaisesti tiedonhallintalain näkökulmasta.
1. Muodostakaa asiakirjajulkisuuskuvaus ja tiedonhallintamallin perusteet
Asiakirjajulkisuuskuvaus on organisaation verkkosivuilla julkaistava, kansalaiselle suunniteltu kuvaus organisaation tietojenkäsittelystä.
Tiedonhallintamalli puolestaan on sisäinen kuvaus, jota ylläpidetään tiedonhallinnan systemaattista johtamista varten. Siinä kuvataan sekä organisaation tietojejnkäsittely-ympäristön tärkeimmät elementit sekä organisaation tietoturvatoimenpiteet. Toimenpiteisiin palataan tässä artikkelissa kohdissa 2-3.
Digiturvamallissa asiakirjajulkisuuskuvaus sekä tiedonhallintamalli ovar raportteja, jotka muodostuvat automaattisesti, kun seuraavissa osioissa on täytetty tietoja:
- Listaus toimintaprosesseista
- Listaus tietovarannoista
- Listaus tietojärjestelmistä
Näiden kuvausten olemassaolo on tiedonhallintalain näkyvimpiä ja ensimmäisiä vaatimuksia, joten työ kannattaa aloittaa niihin keskittyen näistä osioista.
Vinkki: Kaikki tähän askeleeseen liittyvät osiot löytyvät yhteenvedettynä Tiedonhallintalaki-sivun oikeasta yläkulmasta.
2. Käykää läpi muut tiedonhallintalain vaatimukset
Tiedonhallintalain nimenomaisesti suomalaiselle julkishallinnolle listaamat täsmävaatimukset löytyvät Digiturvamallin rakenteesta teemasta Tiedonhallinta.
Tärkeimpien kuvausten muodostamisen jälkeen kannattaa käydä läpi tämän teeman listaamat tehtävät. Tehtävien ideana on käydä ylätasolla läpi, kuka vastaa mistäkin asiasta ja kuinka asia on teillä hoidettu. Jokaisella tehtävällä on taustallaan linkki tiedonhallintalain eri kohtiin.
3. Kartoittakaa tietoturvatoimenpiteiden nykytila Julkri-kehikkoa vasten
Kun tiedonhallintalain kuvaukset ja täsmävaatimukset on käsitelty, suosittelemme siirtymään nykyisten tietoturvatoimenpiteiden tarkempaan kartoittamiseen seuraavilla askelilla:
- Aktivoikaa haluttu Julkri-vaatimuskehikon taso (esim. Julkri: Startti)
- Aktivoikaa ne odottavat tehtävät, joihin liittyviä toimenpiteitä ja vastuita teillä jo nykyään on olemassa
- Valitkaa tehtävien omistajat ja täydentäkää toteutustiedot
Tämän jälkeen voitte hahmottaa omaa nykytilaa esimerkiksi Julkri-kriteeristön näkökulmasta ja tarvittaessa asettaa tavoitteita työn seuraavista kehityskohteista.
4. Kehittäkää henkilöstön digiturvaohjeistusta Digiturvamallin avulla
Julkri-kehikon myötä Digiturvamalliin aktivoituu monia henkilöstölähtöisiä tietoturvatoimenpiteitä. Näissä tehtävän toteutusta eivät voi pelkästään avainhenkilöt hoitaa, vaan on määriteltävä turvallisen toiminnan sääntöjä (ohjeita) ja jalkautettava näiden hyväksyntä henkilöstölle Ohjekirja-näkymän kautta.
Digiturvamallista löytyy kattavasti esimerkkiohjeita sekä työkalut ohjeiden jakelun ja lukemisen valvonnan tehokkaaseen automatisointiin suoraan Teams-ympäristössä.
5. Kehittäkää tietoturvariskien ja muutosvaikutusten arviointia
Kun oma tiedonhallintamalli (eli digiturvan hallintajärjestelmä) on saatu tänne asti, ollaan onnistuttu jo monessa asiassa:
- Oma tietojenkäsittely-ympäristö on kuvattu ja kuvausta ylläpidetään selkeiden vastuiden kera
- Tietoturvatoimenpiteet ja niistä vastaavat avainhenkilöt on listattu ja niiden toteutus kuvattu
- Henkilöstöä ohjeistetaan hallitusti ja valvotusti digiturva-asioissa
Hyvän tietoturvajohtamisen avainasiat ovat siis kasassa. Tämän jälkeen voidaan onnistua hyvin myös kehittyneemmissä tietoturvan johtamisen asioissa, kuten muutosvaikutusten arvioinnissa tai tietoturvariskien hallinnassa.
Lue artikkeli tietoturvariskien hallinnasta >>
Lue artikkeli muutosvaikutusten arviointien toteuttamisesta >>
6. Työn laajentaminen tietosuoja-asetuksen (GDPR) tai muiden vaatimuskehikkojen pariin
Työtä Digiturvamallissa voidaan myöhemmin laajentaa muiden vaatimuskehikkojen puolelle.
Tiedonhallintalain ja Julkrin näkökulmasta erityisen paljon päällekkäisyyttä on mm. tietosuoja-asetuksen vaatimuksissa.
Vaatimuskehikot-sivulta voitte hahmottaa, kuinka paljon seuraavien kehikkojen vaatimuksista katetaan jo nykyisillä toimenpiteillänne Digiturvamallissa.
Vinkki: Kehikkoja voi aktivoida ja poistaa käytöstä huoletta - ikinä mitään teidän luomaanne sisältöä ei tuhota tai piiloteta.
