Yleisen tietosuoja-asetuksen mukaan rekisterinpitäjien ja henkilötietojen käsittelijöiden on toteutettava tarvittavat tekniset ja organisatoriset toimenpiteet, jotta henkilötiedoille varmistetaan riskiä vastaava turvallisuustaso.
Seuraavaksi kerrotaan varotoimista, jotka henkilötietoja käsittelevien organisaatioiden tulisi huomioida. Luettelossa ei kuitenkaan pyritä täydellisesti kattamaan kaikkia toimenpiteitä, joita henkilötietojen turvallisen käsittelyn takaamiseksi voidaan ottaa käyttöön eri tilanteissa. Rekisterinpitäjien ja henkilötietojen käsittelijöiden on mukautettava toimenpiteet kuhunkin tilanteeseen ja otettava huomioon muun muassa henkilötietojen käsittelyn luonne, konteksti, uusin tekniikka ja henkilöihin kohdistuvat riskit.
Tietoturvallisuus: mitä on pelissä?
Tietoturvapuutteiden seuraukset voivat olla vakavia: yrityksille seurauksena voi olla esimerkiksi mainehaitta ja kuluttajien luottamuksen menetys. Ne voivat myös joutua maksamaan suuria summia toipuakseen turvallisuuspoikkeamasta esimerkiksi tietoturvaloukkauksen seurauksena tai jopa lopettamaan toimintansa. Henkilötietojen turvaaminen ovat sekä yksilöiden että tietoja käsittelevien organisaatioiden etu.
Jotta kunkin käsittelytoimen aiheuttamia riskejä voidaan arvioida, on ensin tunnistettava, mitä mahdollisia vaikutuksia henkilötietojen käsittelyllä on ihmisten oikeuksiin ja vapauksiin. Vaikka organisaation on suojattava kaikkia sen hallussa olevia tietoja oman etunsa vuoksi, keskitytään tässä ihmisten henkilötietoihin.
Tietoturvassa on kolme pääkomponenttia: tietojen eheyden, saatavuuden ja luottamuksellisuuden suojaaminen. Sen vuoksi organisaation tulisi arvioida riskit seuraavien seikkojen osalta:
- luvaton tai vahingossa tapahtuva pääsy tietoihin – luottamuksellisuuden rikkominen (seurauksena voi olla esim. identiteettivarkaus yrityksen kaikkien työntekijöiden palkkakuittien julkistamisen myötä)
- tietojen luvaton tai tahaton muuttaminen – eheyden loukkaaminen (seurauksena voi olla esim. syyttäminen väärinkäytöksestä tai rikoksesta käyttölokien muuttamisen seurauksena)
- tietojen menettäminen tai tietojen käytettävyyden menetys – saatavuuden loukkaaminen (seurauksena voi olla esim. lääkkeiden yhteisvaikutuksen havaitsematta jääminen sen vuoksi, että potilaan tietoihin sähköisessä rekisterissä ei päästä).
On myös hyvä tunnistaa riskilähteet, eli kuka tai mikä voi olla tietoturvallisuushäiriön taustalla. Sisäisiä ja ulkoisia inhimillisiä lähteitä voivat olla esimerkiksi tietotekniikkavastaava, käyttäjä, ulkoinen hyökkääjä tai kilpailija. Muita kuin inhimillisiä sisäisiä tai ulkoisia lähteitä voivat olla esimerkiksi vesivahingot, vaaralliset materiaalit ja kohdentamattomat tietokonevirukset.
Riskilähteet tunnistamalla voidaan tunnistaa myös mahdolliset uhat, eli mitkä olosuhteet voisivat mahdollistaa tietoturvallisuushäiriön laitteistoihin, ohjelmistoihin ja toimintoihin, joissa tietoja käsitellään (esim. laitteet, viestintäkanavat, paperit jne.).
Mahdollisia uhkia voivat olla:
- käyttö sopimattomalla tavalla (esim. oikeuksien väärinkäyttö, käsittelyvirhe)
- muokkaaminen (esim. keylogger, haittaohjelmien asennus)
- katoaminen (esim. kannettavan tietokoneen varastaminen, USB-tikun katoaminen)
- luvatta tarkkailu (esim. näytön tarkkailu junassa, laitteiden geopaikannus)
- turmeltuminen (esim. vandalismi, luonnollinen pilaantuminen);
- ylikuormitus (esim. täysi tallennustila, palvelunestohyökkäys).
- käytön estyminen (esim. kiristyshaittaohjelman tapauksessa).
Myös seuraavat toimenpiteet kannattaa tehdä:
- Määritä olemassa olevat tai suunnitellut toimenpiteet kuhunkin riskiin puuttumiseksi (esim. kulunvalvonta, varmuuskopiot, jäljitettävyys, tilojen turvallisuus, salaus)
- Arvioi riskien vakavuus ja todennäköisyys edellä mainittujen tekijöiden perusteella (arvion voidaan käyttää esimerkiksi asteikkoa vähäpätöinen, kohtalainen, merkittävä ja enintään)
- Toteuta ja vahvista suunnitellut toimenpiteet. Jos nykyiset ja suunnitellut toimenpiteet arvioidaan asianmukaisiksi, varmista, että ne pannaan täytäntöön ja että niitä seurataan.
- Toteuta määräajoin turvallisuustarkastuksia: jokaisen tarkastuksen tai auditoinnin tuloksista on laadittava toimintasuunnitelma, jonka täytäntöönpanoa seurataan organisaation korkeimmalla tasolla.
Yleisessä tietosuoja-asetuksessa säädetään ”tietosuojaa koskevasta vaikutustenarvioinnista”, joka on tehtävä kaikesta henkilötietojen käsittelystä, joka todennäköisesti aiheuttaa ihmisille suuren riskin. Vaikutustenarvioinnissa on määriteltävä toimenpiteet, joilla puututaan tunnistettuihin riskeihin. Näitä ovat erilaiset suojatoimet, turvatoimenpiteet ja mekanismit, joilla varmistetaan henkilötietojen suoja.
Käytännössä
- Jotta saat turvallisuusriskeistä selkeämmän kuvan, voit laatia riskienhallinnan taulukon ja päivittää sitä säännöllisesti. Taulukko voi sisältää mm. palvelimiin, tietokoneisiin tai tiloihin liittyviä aineellisia ja inhimillisiä riskejä. Riittävä riskien ennakointi voi auttaa lieventämään seurauksia häiriötilanteessa.
Organisatoriset toimenpiteet
Käyttäjien tietoisuuden lisääminen
On olennaisen tärkeää, että henkilötietoja käsittelevät työntekijät tai käyttäjät ovat tietoisia tietosuojaan liittyvistä riskeistä. Heille on annettava tietoa toimenpiteistä, joihin organisaatio on ryhtynyt riskien torjumiseksi sekä mahdollisista seurauksista, joita riskeistä voi aiheutua.
Käytännössä
Käyttäjien tietoisuutta voidaan lisätä esimerkiksi näillä tavoilla:
- infotilaisuudet
- työntekijöiden ja tietojen käsittelijöiden tehtävien kannalta keskeisten menettelyjen säännöllinen päivittäminen
- sisäinen viestintä esim. sähköpostimuistutuksilla.
Toinen varotoimenpide on dokumentoida toimintatavat, pitää ne ajan tasalla ja huolehtia, että ne ovat helposti kaikkien tietoja käsittelevien saatavilla. Käytännössä kaikki henkilötietojen käsittelytoimet, olipa kyse hallinnollisista toimista tai sovelluksen käytöstä, tulisi selostaa selkeällä kielellä ja kunkin käsittelijän tehtävän mukaisesti.
Laadi sisäiset toimintaperiaatteet
Tietoja käsittelevien henkilöiden ohjeistusta varten voidaan laatia asiakirja, joka on sitova ja osa sisäisiä määräyksiä. Sisäisiin toimintaperiaatteisiin tulee sisällyttää kuvaus tietosuoja- ja turvallisuussäännöistä.
Muut organisatoriset toimenpiteet
- Ota käyttöön käytäntö tietojen salassa pitoon, jossa määritellään salassa pidettävyyden eri tasot ja edellytetään, että luottamuksellisia tietoja sisältävät asiakirjat ja sähköpostiviestit merkitään.
- Tee näkyvä ja selkeä merkintä jokaiseen paperiin tai sähköiseen asiakirjaan, joka sisältää arkaluonteisia tietoja.
- Järjestä tietoturvakoulutusta ja infotilaisuuksia. Säännöllisiä muistutuksia voidaan antaa sähköpostitse tai muilla sisäisillä viestintävälineillä.
- Määrää salassapitosopimuksen allekirjoittamisesta tai sisällytä työntekijöiden ja muiden tietoja käsittelevien henkilöiden kanssa tehtäviin sopimuksiin henkilötietoja koskeva erityinen luottamuksellisuuslauseke.
Tekniset toimenpiteet
Turvaa laitteet
Varmuus organisaation tietojärjestelmien luotettavuudesta on keskeistä. Asianmukaisten turvatoimien toteuttaminen on yksi keino tähän. Sitä edellytetään myös tietosuoja-asetuksessa.
Erityisesti kannattaa turvata:
- laitteistot (esim. palvelimet, työasemat, kannettavat tietokoneet, kiintolevyt),
- ohjelmistot (esim. käyttöjärjestelmä, liiketoimintaohjelmistot),
- viestintäkanavat (esim. kuituoptiikka, langattomat verkkoyhteydet, internet),
- paperiasiakirjat (esim. tulostetut asiakirjat, jäljennökset),
- toimitilat.
Turvaa työasemat
Työasemien turvallisuudesta voidaan huolehtia seuraavilla toimilla:
- Ota käyttöön automaattinen istunnonlukitusmekanismi, kun työasemaa ei käytetä tiettynä ajanjaksona
- Asenna palomuuriohjelmisto ja rajoita viestintäporttien avaaminen vain niihin, jotka ovat ehdottoman välttämättömiä työasemalle asennettujen sovellusten toiminnan kannalta
- Käytä säännöllisesti päivitettyjä virustorjuntaohjelmistoja ja luo käytäntö, jossa kaikki käytettävät ohjelmistot päivitetään säännöllisesti
- Määritä ohjelmistot tekemään tietoturvapäivitykset automaattisesti aina, kun se on mahdollista
- Kannusta käyttäjiä tallentamaan tiedot säännöllisesti varmuuskopioituun tallennustilaan, joka on käytettävissä organisaation verkon kautta työasemien sijaan. Jos tiedot tallennetaan paikallisesti, tarjoa käyttäjille synkronointi- tai varmuuskopiointimahdollisuus ja kouluta heitä niiden käyttöön.
- Rajoita ulkoisten välineiden (USB-tikut, ulkoiset kiintolevyt yms.) yhdistämistä vain tarpeelliseen
- Kytke pois autorun-ominaisuus irrotettavasta tiedontallennusvälineestä.
Mitä ei pidä tehdä
- Älä käytä vanhentuneita käyttöjärjestelmiä
- Älä anna järjestelmänvalvojan oikeuksia käyttäjille, joilla ei ole riittäviä tietoturvataitoja
Seuraavat askeleet
- Kiellä ladattujen sovellusten käyttö, jotka eivät ole peräisin turvallisista lähteistä
- Rajoita sovellusten käyttöä, jotka edellyttävät järjestelmänvalvojatason käyttöoikeuksia
- Poista tiedot turvallisesti työasemalta ennen sen antamista toisen henkilön käyttöön
- Jos työasema vaarantuu, selvitä lähde ja mahdolliset organisaation tietojärjestelmään jääneet tunkeutumisen jäljet, jotta pystyt selvittämään, onko muuta vaarantunut
- Valvo organisaation tietojärjestelmässä käytettävien ohjelmistojen ja laitteistojen turvallisuutta
- Päivitä sovelluksia, kun kriittisiä haavoittuvuuksia on tunnistettu ja korjattu
- Asenna kriittiset käyttöjärjestelmäpäivitykset viipymättä aikatauluttamalla viikoittain automaattinen tarkistus
- Tiedota kaikille käyttäjille asianmukaisesta toimintatavasta ja laadi luettelo henkilöistä, joihin on otettava yhteyttä, jos organisaation tieto- ja viestintäjärjestelmissä havaitaan tietoturvallisuushäiriö tai poikkeava tapahtuma.
Käytännössä
- Yrityksesi toimii avokonttorissa, jossa on paljon työntekijöitä ja vierailijoita. Automaattisen istuntolukituksen ansiosta kukaan yrityksen ulkopuolinen ei voi käyttää työntekijän tietokonetta tauolla tai nähdä, mitä he tekevät laitteella. Lisäksi palomuuri ja ajantasainen virustorjunta suojaavat työntekijöiden internet-selailua ja vähentävät tunkeutumisen riskiä palvelimillesi. Mitä enemmän toimenpiteitä otat käyttöön, sitä vaikeampaa pahantahtoisen tahon tai huolimattoman työntekijän on aiheuttaa vahinkoa.
Suojaa yrityksen toimitilat
Pääsyä toimitiloihin on valvottava, jotta suora, luvaton pääsy paperitiedostoihin tai tietoteknisiin laitteisiin, erityisesti palvelimiin, voidaan estää tai sitä voidaan hidastaa.
Mitä tehdä
- Asenna hälytysjärjestelmä ja tarkista sen toimivuus säännöllisesti
- Asenna palohälyttimet ja palontorjuntalaitteet ja tarkasta niiden toimivuus vuosittain
- Suojaa avaimia, joita käytetään tiloihin pääsyyn ja hälytyskoodeihin
- Erota rakennuksen tilat toisistaan riskin mukaan (esim. tietokonehuoneen kulunvalvonta)
- Ylläpidä luetteloa henkilöistä tai henkilöiden ryhmistä, joilla on lupa tulla kullekin alueelle tai tilaan
- Laadi säännöt vierailijoiden valvomiseksi vähintään niin, että organisaatioosi kuuluva henkilö kulkee vierailijan mukana muualla kuin yleisissä tiloissa
- Suojaa tietokonelaitteisto fyysisesti (varmista palontorjuntajärjestelmä, suojaa laitteet mahdollisilta vesivahingoilta, huolehdi korvaavasta virtalähteestä, ilmastoinnista jne.).
Mitä ei pidä tehdä
- Älä alimitoita tai laiminlyö palvelinhuoneympäristön ylläpitoa (ilmastointi, keskeytymätön virransyöttö jne.). Laitteistojen hajoaminen johtaa usein koneiden sulkemiseen tai huoneiden avaamiseen, mikä käytännössä mitätöi turvatoimet.
Seuraavat askeleet
Voi olla hyvä pitää kirjaa pääsystä huoneisiin tai toimistoihin, joissa on sellaista henkilötietoja sisältävää aineistoa, jolla voi olla vakavia vaikutuksia kyseisiin henkilöihin. Tiedota tietoja käsitteleville henkilöille tällaisen järjestelmän käyttöönotosta sen jälkeen, kun asiasta on kuultu ja tiedotettu henkilöstön edustajia.
Varmista lisäksi, että rajoitetuilla alueilla sallitaan kulku vain asianmukaisesti valtuutetulle henkilöstölle. Esimerkiksi:
- Rajoitetuilla alueilla kaikkien on käytettävä näkyviä tunnistusvälineitä (nimikyltti)
- Vierailijoilla (tekninen tukihenkilöstö jne.) tulee olla tiloihin rajoitettu pääsy. Kirjaa vierailijoiden tarkat saapumis- ja lähtöpäivät ja -ajat.
- Tarkista ja päivitä säännöllisesti kulkuoikeudet tilojen suojaamiseksi ja poista oikeuksia tarpeen mukaan.
Käytännössä
- Yrityksesi pitää verkkokauppaa. Säilytät asiakkaiden henkilötietoja palvelimilla erillisissä tiloissa. Tietojen saatavuuden varmistamiseksi tilojen sisäänkäynti on suojattu kulkuluvanlukijalla. Oikosulun vuoksi syttyy tulipalo. Savunilmaisimen ansiosta palokunta hälytettiin paikalle nopeasti ja tietojen tuhoutumista pystyttiin rajoittamaan.
Todenna käyttäjät
Jotta voit varmistaa, että käyttäjät pääsevät vain tarvitsemiinsa tietoihin, heillä on oltava yksilöllinen tunniste ja heidät tulee todentaa ennen tietoteknisten laitteiden käyttöä.
Mekanismit, joilla henkilö voidaan todentaa, luokitellaan sen mukaan, sisältävätkö ne
- jonkin tiedossa olevan asian, esim. salasana
- jonkin hallussa olevan asian, esim. älykortti
- henkilön ominaispiirteen, esimerkiksi käsinkirjoitetun allekirjoituksen todentamisen.
Todentamismekanismin valinta riippuu kontekstista ja monista eri tekijöistä. Käyttäjän todennusta pidetään vahvana, kun siinä käytetään vähintään kahden yllä mainitun luokan yhdistelmää.
Käytännössä
- Voit asentaa luottamuksellisia tietoja sisältävään suojattuun huoneeseen pääsemiseksi kulkukortinlukijan sekä pääsykoodin.
Hallinnoi käyttöoikeuksia
Käyttöoikeusprofiilien tasot on eriytettävä tarpeiden mukaan. Käyttäjillä tulisi olla pääsy vain niihin tietoihin, joihin heillä on tarve päästä.
Hyviä käytäntöjä käyttäjän todentamiseen ja käyttöoikeuksien hallinnointiin ovat:
- Määritä yksilöllinen tunniste jokaiselle käyttäjälle ja kiellä useiden käyttäjien jakamat tilit. Jos yhteisten tai jaettujen tunnisteiden käyttö on välttämätöntä, vaadi sisäistä validointia ja seuraa käyttöä (lokitus).
- Käytä riittävän vahvoja salasanan monimutkaisuutta koskevia sääntöjä (esim. vähintään 8 merkkiä, isoja kirjaimia ja erikoismerkkejä)
- Tallenna salasanat turvallisesti
- Poista vanhentuneet käyttöoikeudet
- Tee uudelleenarviointi säännöllisesti (esim. kuuden kuukauden välein)
Mitä ei pidä tehdä
- Älä luo tai käytä useiden ihmisten jakamia tilejä
- Älä anna pääkäyttäjän oikeuksia käyttäjille, jotka eivät tarvitse niitä
- Älä anna käyttäjälle enemmän oikeuksia kuin on tarpeen
- Älä unohda poistaa käyttäjälle myönnettyjä väliaikaisia käyttöoikeuksia
- Älä unohda poistaa henkilöiden käyttäjätilejä, jotka ovat lähteneet organisaatiosta tai vaihtaneet työpaikkaa.
Seuraavat askeleet
Laadi, dokumentoi ja tarkista säännöllisesti kaikki pääsynvalvontaperiaatteet. Niihin tulisi sisältyä
- Menettelyt, joita sovelletaan järjestelmällisesti, kun henkilö, jolla on pääsy henkilötietoihin, saapuu, lähtee tai hänen tehtävänsä vaihtuu.
- Seuraukset turvatoimenpiteiden noudattamatta jättämisestä henkilöille, joilla on sallittu pääsy tietoihin.
- Toimenpiteet käsittelyn käyttöoikeuksien myöntämisen ja käytön rajoittamiseksi ja valvomiseksi.
Käytännössä
- Kun uusi työntekijä aloittaa yrityksessä, sinun on luotava hänelle uusi oma käyttäjätili, jolla on vahva salasana. Työntekijöiden ei pitäisi jakaa tunnuksiaan keskenään, varsinkaan jos heillä ei ole samoja valtuuksia. Jos työntekijä vaihtaa työtehtävää, arvioi uudelleen hänen käyttöoikeutensa tiettyihin tiedostoihin tai järjestelmiin.
Pseudonymisoi tiedot
Pseudonymisointi on henkilötietojen käsittelyä niin, että niitä ei voida enää yhdistää tiettyyn henkilöön ilman lisätietoja. Tällaiset lisätiedot on säilytettävä erillään pseudonymisoiduista tiedoista, ja niihin on sovellettava teknisiä ja organisatorisia suojatoimenpiteitä.
Käytännössä pseudonymisointi tarkoittaa suorien tunnistetietojen (nimi, henkilötunnus, puhelinnumero yms.) korvaamista tietokokonaisuudessa epäsuorasti tunnistettavilla tiedoilla (alias, järjestysnumero jne.). Se mahdollistaa ihmisten tietojen käsittelyn ilman, että henkilöä voidaan tunnistaa niistä suoraan. Lisätietojen avulla ihmisten henkilöllisyys on kuitenkin mahdollista jäljittää. Pseudonymisoidut tiedot ovat edelleen henkilötietoja ja niihin sovelletaan tietosuojasäännöksiä. Pseudonymisointi voidaan myös kumota, toisin kuin anonymisointi.
Pseudonymisointi on yksi yleisessä tietosuoja-astuksessa suositelluista toimenpiteistä henkilötietojen käsittelyyn liittyvien riskien rajoittamiseksi.
Lue lisää
Salaa tiedot
Salaus on yksi pseudonymisointitekniikoista, jossa tiedot muunnetaan koodiksi luvattoman käytön estämiseksi. Salatut tiedot voidaan lukea uudelleen vain käyttämällä oikeaa avainta. Salausta käytetään takaamaan tietojen luottamuksellisuus. Salatut tiedot ovat edelleen henkilötietoja.
Tietojen eheyden varmistamiseksi voidaan myös käyttää hash-toimintoja. Lisäksi digitaalisilla allekirjoituksilla varmistetaan eheyden lisäksi myös tietojen alkuperä ja aitous.
Tietojen anonymisointi
Henkilötiedot voidaan anonymisoida niin, että henkilö ei ole niistä tunnistettavissa. Anonymisointi on prosessi, jossa henkilötiedot voidaan eri tekniikoilla tehdä tunnistamattomiksi niin, että henkilön tunnistaminen on mahdotonta kohtuullisin keinoin.
Kun anonymisointi toteutetaan oikein, se mahdollistaa henkilötietojen käyttämisen ihmisten oikeuksia ja vapauksia kunnioittavalla tavalla. Anonymisointi avaa mahdollisuuden sellaisten tietojen uudelleenkäyttöön, joka ei alun perin ole sallittua tietojen henkilökohtaisen luonteen vuoksi. Näin organisaatiot voivat käyttää tietoja muihin tarkoituksiin ilman, että henkilöiden yksityisyyteen kajotaan. Anonymisointi mahdollistaa myös tietojen säilyttämisen yli säilytysajan.
Kun anonymisointi on toteutettu asianmukaisesti, yleistä tietosuoja-asetusta ei enää sovelleta anonymisoituihin tietoihin. On kuitenkin tärkeää pitää mielessä, että henkilötietojen anonymisointi ei ole aina mahdollista tai helppoa. Arvioi aina, voidaanko kyseiset tiedot anonymisoida ja säilyykö anonymisointi henkilötietojen käsittelyn olosuhteissa. Usein tarvitaan oikeudellista tai teknistä lisäasiantuntemusta, jotta anonymisointi voidaan toteuttaa onnistuneesti yleisen tietosuoja-asetuksen mukaisesti.
Miten varmistaa anonymisoinnin tehokkuus?
Euroopan tietosuojaviranomaiset ovat määrittäneet kolme kriteeriä sen varmistamiseksi, että tiedot todella ovat anonyymejä:
- Eristettävyys: yksittäistä henkilöä koskevia tietoja ei pitäisi olla mahdollista eristää aineistosta.
- Yhteenliitettävyys: samaa henkilöä koskevia erillisiä tietoja ei pitäisi olla mahdollista yhdistää.
- Pääteltävyys: tietoa yksittäisestä henkilöstä ei pitäisi olla mahdollista päätellä lähes varmasti.
Käytännössä
- Eristettävyys: ansioluetteloiden tietokannassa, jossa ainoastaan henkilön etu- ja sukunimet on korvattu numerolla (joka vastaa vain kyseistä henkilöä), on edelleen mahdollista yksilöidä tietty henkilö muiden ominaisuuksien perusteella. Tällöin henkilötietoja pidetään pseudonymisoituina eikä anonymisoituina.
- Yhteenliitettävyys: kartoitustietokantaa, joka sisältää henkilöiden osoitteet, ei voida pitää nimettömänä, jos muut olemassa olevat tietokannat sisältävät samat osoitteet ja muut henkilön tunnistamisen mahdollistavat tiedot.
- Pääteltävyys: Oletetusti anonyymi tietoaineisto sisältää tietoja kyselyyn vastanneiden verovelvollisuudesta. Kukaan 20–25-vuotiaista miespuolisista vastaajista ei ole verovelvollinen. Tällöin voidaan päätellä, onko tietty vastaaja verovelvollinen vai ei, kun hänen ikänsä ja sukupuolensa ovat tiedossa.
Lue lisää
Erityistilanteet
Turvatoimet etätyössä
Etätyön yhteydessä on taattava tietoturvallisuus henkilöiden yksityisyyttä kunnioittaen.
Mitä tehdä:
- Laadi etätyön turvallisuutta koskevat toimintaperiaatteet tai ainakin vähimmäissäännöt, joita etätyössä on noudatettava. Toimita asiakirja työntekijöille organisaatiosi käytäntöjen mukaisesti.
- Jos tietojärjestelmäsi liiketoimintasääntöjä etätyön mahdollistamiseksi on tarpeen muuttaa (esim. lupasäännöt, järjestelmänvalvojan etäkäyttöoikeus jne.), ota huomioon siihen liittyvät riskit ja tee tarvittaessa toimia turvallisuustason ylläpitämiseksi.
- Varusta kaikki työntekijöidesi työasemat vähintään palomuurilla, virustorjuntaohjelmistolla ja työkalulla, jolla estetään pääsy haitallisille sivustoille. Jos työntekijät voivat käyttää omia laitteitaan, ohjeista niiden turvallisesta käytöstä.
- Ota käyttöön VPN-yhteys välttääksesi palvelujen suora altistuminen verkkoon aina, kun se on mahdollista. Käytä kaksiosaista VPN-todennusta, jos mahdollista.
- Anna työntekijöillesi luettelo etätyöhön sopivista viestintävälineistä, jotka takaavat luottamuksellisuuden. Valitse työkaluja, joita voit hallita, ja varmista, että ne tarjoavat huipputason todennuksen ja viestinnän salauksen ja että tietoja ei siirron aikana käytetä muihin tarkoituksiin (tuotteiden parantaminen, mainonta jne.). Jotkin kuluttajaohjelmistot voivat siirtää käyttäjätietoja kolmansille osapuolille, joten ne eivät sovellu yrityskäyttöön.
Turvatoimet henkilökohtaisille työssä käytettäville laitteille (BYOD)
Erityisesti pk-yrityksissä työ- ja yksityiselämän raja katoaa, kun niissä yleistyy käytäntö, jossa työntekijät käyttävät omia laitteitaan. Tietoturvasta on tällöinkin huolehdittava.
Lyhenne ”BYOD” tarkoittaa ”Bring Your Own Device” ja viittaa henkilökohtaisten päätelaitteiden käyttöön ammatillisessa kontekstissa. Esimerkkinä tästä on työntekijä, joka työskentelee henkilökohtaisella tietokoneella, tabletilla tai älypuhelimella, joka on yhdistetty yrityksen verkkoon.
Mahdollisuus käyttää henkilökohtaisia välineitä riippuu ensisijaisesti työnantajan päätöksestä ja kansallisesta lainsäädännöstä. Yleisessä tietosuoja-asetuksessa edellytetään, että käsiteltävien henkilötietojen turvallisuustaso on sama käytetystä välineestä riippumatta. Työnantaja on vastuussa henkilötietojen turvallisesta käsittelystä yrityksessään myös silloin, kun tiedot tallennetaan päätelaitteisiin, joita he eivät hallinnoi, mutta joiden käytön he ovat valtuuttaneet yrityksen IT-resursseihin pääsemiseksi.
Riskit, joilta yrityksen on suojauduttava, vaihtelevat kertaluonteisesta tietojen saatavuuteen, eheyteen ja luottamuksellisuuteen kohdistuvasta hyökkäyksestä yrityksen tietojärjestelmän laajaan vaarantumiseen.
Esimerkki tarkistuslistasta
Esimerkki siitä, miltä tarkistuslista yrityksesi tietoturvallisuustason parantamiseksi voisi näyttää:
- Tiedota ja kouluta tietoja käsitteleviä henkilöitä säännöllisesti tietojen käsittelyyn liittyvistä riskeistä
- Luo sitovat sisäiset toimintaperiaatteet
- Toteuta sisäänrakennetun ja oletusarvoisen tietosuojan periaatteet
- Varmista, että käsiteltävät tiedot ovat asianmukaisia, olennaisia ja rajoittuvat siihen, mikä on tarpeen (tietojen minimointi)
- Salaa luottamukselliset tiedot
- Merkitse arkaluontoisia tietoja sisältävät asiakirjat
- Järjestä säännöllistä tietoturvakoulutusta ja infotilaisuuksia
- Allekirjoita salassapitosopimus työntekijöiden kanssa tai käytä erityisiä luottamuksellisuuslausekkeita
- Ota käyttöön automaattinen istuntolukitus, ajantasainen palomuuri ja virustorjunta sekä varmuuskopiointi
- Rajoita fyysisiä yhteyksiä vain olennaisiin (USB-tikut, ulkoiset kiintolevyt jne.)
- Suojaa yrityksen tilat (esim. hälytysjärjestelmä, palohälyttimet, avainten suojaus, riskin mukaan erotellut tilat, luvat päästä tietyille alueille, palontorjuntajärjestelmä)
- Anna käyttäjille yksilölliset tunnisteet
- Edellytä todennusta tietokoneille pääsyyn
- Hallinnoi valtuuksia (esim. erilliset profiilit tarpeiden mukaan, yksilöllinen tunniste, vahvat salasanat)
- Laadi turvallisuuskäytännöt etätyölle
- Poista vanhentuneet käyttöoikeudet
- Arvioi käyttöoikeuksia säännöllisesti
- Pseudonymisoi tai anonymisoi tiedot henkilöiden uudelleentunnistamisen rajoittamiseksi
- Salaa tiedot luvattoman käytön estämiseksi
- Asenna VPN-yhteys etätyöhön
- Varmista, että työssä käytettävät henkilökohtaiset laitteet suojataan