Asiakasryhmien dokumentointi, joiden tietoja organisaatio käsittelee

Critical
High
Normal
Low

Organisaation on määritettävä

  • tietoturvallisuuden hallintajärjestelmän kannalta olennaiset sidosryhmät
  • näiden sidosryhmien asettamat tietoturvallisuutta koskevat vaatimukset

Organisaation toiminnalle tärkeät asiakasryhmät tai yksittäiset merkittävät asiakkaat ovat yleensä yksi tärkeimmistä sidosryhmistä myös tietoturvallisuuden näkökulmasta. Muita sidosryhmiä tarkastellaan muiden tehtävien kautta.

Liittyvät muut vaatimuskehikot ja vaatimukset:
CLD 6.3: Relationship between cloud service customer and cloud service provider
ISO 27017
CLD 6.3.1: Shared roles and responsibilities within a cloud computing environment
ISO 27017

Tarjottujen pilvipalveluiden ja tietojärjestelmien tietoturvavastuiden dokumentointi

Critical
High
Normal
Low

Pilvipalveluita hyödyntäessä tai tarjottaessa turvallisuusvastuita voi olla sekä palveluntarjoajalla että asiakkaalla. Palveluntarjoaja voi vastata teknisestä kyberturvallisuudesta, mutta esim. asiakas pääsynhallinnasta ja turvallisen käytön ohjeistamisesta.

Vastuut jaetuista tietoturvarooleista tarjottavia pilvipalveluita ja pilvipohjaisten tietojärjestelmien hyödyntämistä kohtaan on määriteltävä ja dokumentoitava selkeästi sekä pilvipalvelun asiakkaan että palveluntarjoajan toimesta.

Liittyvät muut vaatimuskehikot ja vaatimukset:
6: Tietoturvallisuuden organisointi
ISO 27017
CLD 6.3: Relationship between cloud service customer and cloud service provider
ISO 27017

Tarjottujen digipalvelujen listaus ja omistajien nimeäminen

Critical
High
Normal
Low

Organisaation on ylläpidettävä listaa tarjotuista digipalveluista sekä näille nimetyistä omistajista. Omistaja vastaa palvelun tietojen täydentämisestä sekä mahdollisista muista tietoturvatoimenpiteistä, jotka liittyvät tiiviisti palveluun.

Digipalveluun liittyvä dokumentaatio sisältää mm. seuraavia tietoja:

  • Tarjotun digipalvelun tyyppi, palvelukategoria sekä käyttötarkoitus
  • Tietojen rekisterinpitäjä sekä liittyvät käsittelysopimukset
  • Palvelun toimitusketjuun liittyvät avainkumppanit ja turvallisuuvastuiden jakautuminen (käsitellään tarkemmin erillisessä tehtävässä)
Liittyvät muut vaatimuskehikot ja vaatimukset:
A.2.1: Obligation to co-operate regarding PII principals’ rights
ISO 27018
A.2: Consent and choice
ISO 27018
No items found.