Henkilötietoinventaario – kaiken hyvän ja pahan alku

Henkilötietoinventaario on henkilötietojen käsittelyn kartoitus, jossa yritys selvittää, missä kaikkialla henkilötietoja käsitellään. Inventaario on kaiken hyvän ja pahan alku. Tieto todellakin lisää tuskaa, mutta samalla mahdollistaa asioiden kehittämisen.

Käytännössä yritysten ja organisaatioiden kannattaa tehdä henkilötietoinventaario, jotta ne pystyvät täyttämään EU:n tietosuoja-asetuksen vaatimukset. Henkilötietoinventaarion toteuttamisesta on kuitenkin muutakin hyötyä.

Suurin hyöty on tulokset, jotka kertovat, missä kaikkialla organisaatio käsittelee tietojaan. Inventaarion avulla saa näkymän omaan organisaatioon sekä sen toimintaan:

Nyt tiedät, mitä et tiennyt.

Näkymästä voidaan tuottaa osia, jotka hyödyttävät muita. Esimerkiksi yhdellä yleisdokumentilla voidaan osoittaa:

  • millaista henkilötietojen käsittelytoimintaa yrityksellä on,
  • mitä tietoja yritys käsittelee, ja
  • mihin tiedot on tallennettu.

Inventaarion tuloksista ilmenee, jos organisaatiossa on päällekkäisiä tietojenkäsittelytoimia. Esimerkiksi kahta eri järjestelmää käytetään yhden ja saman asian toteuttamiseen. Miksi maksaa molemmista?

Inventaarion tulokset auttavat priorisoimaan asioita. Esimerkiksi asiakasdata on olennaista yritykselle. Jos havaitaan, että asiakasdata on ripoteltuna ympäri levyalueita, pilvipalveluita ja vanhoja järjestelmiä, kannattaisi asialle varmasti tehdä jotain. Priorisoidaan tekeminen asiakasdatan keskittämiseen ja vanhojen järjestelmien hallittuun alasajoon sen sijaan, että puuhasteltaisiin jotain muka-olennaista.

Henkilötietoinventaariosta luvatut hyödyt nostavat intoa ja tuovat hymyn naamalle. Let’s do this! Inventaarion työmäärää ei kuitenkaan kannata aliarvioida. Keskisuurissa ja suurissa organisaatioissa naama palautuu peruslukemille hyvinkin nopeasti. Pienet yritykset pääsevät todennäköisesti vähemmällä.

Tuska paatissa muodostuu siitä, että tietoa on paljon. Valtavasti. Eri järjestelmissä. Eri tallennuspaikoissa. Kotimaassa. Ulkomailla. EU:ssa ja sen ulkopuolella. Omalla vastuulla. Muiden vastuulla. Kohta huomaa taas pyörivänsä GDPR:n kauhun kehässä!

Inventaario avaa silmät. Nyt pitää enää uskaltaa katsoa. Käännä katse tuskasta tulokseen. Kun hyväksyy sen, että kaikki ei ole täydellistä ja tekemistä riittää, voi tuloksia hyödyntää moneen asiaan.

Nolosta nohevaksi ja muita vinkkejä tilaturvallisuuteen

Yle A-studion turvatestissä testattiin suomalaista tee-se-itse näkymättömyysviittaa: keltaiset liivit, kypärä ja tikkaat. Tällä yhdistelmällä varustettu toimittaja onnistui kävelemään sisään merkittäviin yrityksiin ja valtion laitoksiin. Testin perusteella organisaatioiden tilaturvallisuus ei ollut kunnossa.

Testin kohteeksi joutuneet päässeet organisaatiot perustelivat tapahtunutta seuraavasti:

  • Valvonta on hankalaa, koska rakennuksessa on muitakin toimijoita.
  • Aulapalvelun toimintaa on kehitettävä.
  • Tapahtui inhimillinen virhe.

Perustelut saattavat kuulostaa selittelyltä. Karu totuus on kuitenkin se, että monitoimijaympäristössä on hankala vahtia henkilöiden liikkeitä. Olit sitten vartiointiliikkeen kouluttama aulapalveluhenkilö tai rakennuksessa toimivan yrityksen työntekijä.

Ja onhan se nyt hemmetin noloa mennä utelemaan toisilta, että mitäs täällä teet?

Kaikkia alueita ei ole kuitenkaan tarvetta vahtia samalla tavalla. Voi olla ihan perusteltua, että yrityksen aulatiloissa saa liikkua vapaasti.

Henkilöstön pitää kuitenkin tietää ne tilat, joihin ulkopuolisilla ei ole asiaa. Jos näissä tiloissa liikkuu ulkopuolisia, on nolosta tultava noheva.

Miksi tilaturvallisuus on tärkeää?

Tilaturvallisuus on tärkeää, koska sillä on vaikutusta moneen eri asiaan. Ohessa esimerkkejä.

Verkkolaitteiden ja muiden IT-laitteiden tietoturvariskit. Tiloihin voidaan asentaa vakoilulaitteita tai verkkolaitteita, joilla päästään yrityksen sisäverkkoon. Tietokoneisiin voidaan asentaa ohjelmistopohjaisia tai fyysisiä näppäimistönkuuntelijoita. Kyllä, nämä on juuri niitä agenttileffojen vimpaimia, jotka saa ostettua netistä muutamalla kympillä.

Varkauksiin liittyvät riskit. Yrityksen laitteita tai paperimuodossa olevia tietoja voidaan varastaa. Toki myös työntekijöiden kukkarot, puhelimet ja muu omaisuus ovat vaarassa. Huom! Varas ei aina ole yrityksen ulkopuolinen henkilö.

Kohteen ydintoimintaan liittyvät riskit. Häiritsemällä esimerkiksi yhteiskunnalle merkittävien kohteiden (lentokentät, voimalaitokset, vesilaitokset) toimintaa, voidaan tehdä haittaa koko yhteiskunnalle.

Yrityksen vierailukäytännöt voivat myös kertoa jotain yrityksen tietoturvallisuudesta kokonaisuutena. Lue esim. 1) Vierailukäytännöt viestittävät yritysturvallisuudesta, ja 2) Kadonnut vierailijakortti on tietoturvauhka?

Kolme vinkkiä tilaturvallisuuden parantamiseksi

1) Mieti tilaturvallisuutta kokonaisuutena. Mihin vieraat saavat kulkea omatoimisesti, mistä eteenpäin vaaditaan saattaja, mihin ei ole vierailla laisinkaan asiaa. Tilaturvallisuus on osa yrityksen kokonaisturvallisuutta. Kaikki uhat eivät ole kyberuhkia.

Tilaturvallisuutta on hyvä tarkastella esimerkiksi silloin, kun palaa lomalta. Lue lomalta palaajan tietoturva-aiheinen muistilista.

Tutustu myös VAHTI 2/2013 Toimitilojen tietoturvaohje.

2) Muista puhtaan pöydän politiikka ja Win + L kun poistut tilasta. Ei ole myöskään huono ajatus laittaa läppäriä lukittuun kaappiin, kun poistuu päivän päätteeksi työpaikalta.

3) Millä asialla olet? Hyvä kysymys niille, joilla ei ole yrityksen henkilökorttia tai joita et tunnista. Tätä kysymystä studion asiantuntijatkin suosittelivat. Ihan sama, mitä henkilö vastaa. Kysymys ei ole koskaan turha!

Nolostelut sikseen!

Lähteitä:
Yle A-studio 25.7.2018.
Studion asiantuntijaraati: Mikko Hyppönen F-Securesta, Ville Salonen Securitaksesta, Jouni Mustonen Valtorista sekä turvallisuuskouluttaja Jari Stolt. Juontajana Jan Andersson. Toimittaja Pasi Peiponen.

VAHTI 2/2013 Toimitilojen tietoturvaohje

Missä se GDPR:n lupaama kilpailuetu on?

EU:n tietosuojauudistuksen karu todellisuus: iso kasa ihmisiä tekee paljon hommia näkymättömän asian eteen. Ketään ei kiinnosta, bisnekset kärsivät, euroja kuluu ja työntekijät turhautuu. Vain siksi, että laki vaatii. Jos et tottele, iso käsi vie taskusta loputkin rahat.

Näinkin on asia koettu. Muutos tuntuu ikävältä.

EU toteutti uuden tietosuoja-asetuksen (GDPR), jotta henkilötietojen käsittelyyn saataisiin yhtenäiset säännöt koko unionin alueelle. Samalla haluttiin nostaa kansalaisten luottamusta digitaalisia palveluita kohtaan. Yrityksille uudistusta mainostettiin mahdollisuutena saavuttaa kilpailuetua.

Missä se luvattu kilpailuetu on?

Palveluntarjoajat, jotka pystyvät kertomaan, miten heidän tuotteensa helpottaa GDPR-vaatimusten täyttämistä, saavat varmasti kilpailuetua. Asiakasyrityksen on helpompi ostaa tuote tai palvelu, jossa tietoturva- ja tietosuojavaatimukset on huomioitu. Miksi lähtisin hankkimaan jotain, mikä ei täytä omia ja asiakkaideni vaatimuksia?

Yrittäjä, kun harkitset jonkun palvelun käyttöönottoa, tee seuraava testi. Mene palveluntuottajan www-sivuille ja etsi sieltä mainintoja palvelun tietosuojasta ja tietoturvasta. Vastaavasti voit etsiä netistä esimerkiksi ”palvelun nimi + tietosuoja” tms. Vertaile hakutuloksia. Huomaat varmasti, että osa huomioi tietosuojanäkökulmat paremmin kuin toiset. Kumpaan luotat enemmän?

Kilpailuetu käytännössä

Ohessa on muutama esimerkki, jossa tietosuojan kilpailuetu näkyy käytännössä.

Lyyti-palvelua voi käyttää tapahtumien ilmoittautumistietojen keruuseen. Lyyti on lisännyt palveluunsa toimintoja, jotka auttavat organisaatiota täyttämään GDPR:n vaatimukset. Lisäksi palvelun nettisivulla kerrotaan kattavasti ja opettavaisesti, miten eri toimintoja voidaan hyödyntää paremman tietosuojan toteuttamisessa. Organisaation näkökulmasta palvelu vaikuttaa hyvältä. Kuluttajana haluaisin myös suosia palveluita, jotka ottavat nämä asiat tosissaan.

WordPress on yksi suosituimmista ohjelmistoista koko internetissä. WordPressin yhteisö rakentaa sovellukseen toimintoja, joilla GDPR-vaatimuksia voidaan täyttää [1, 2]. WordPressiä hyödyntävät yritykset saavat tästä suoraan kilpailuetua, kun heidän ei tarvitse itse käyttää niin paljon resursseja toimintojen toteuttamiseen. Aika, raha ja ihmiset voidaan hyödyntää muualla.

Verkkokauppojen asiakkaana pyrin ostamaan tuotteita aina sellaisesta verkkokaupasta, johon luotan. Jos joudun hankkimaan tuotteita kokonaan uudesta kaupasta, haluaisin aina tietää edes jotakin verkkokaupan tietoturvasta ja tietosuojasta.

Kyllä, olen se henkilö, joka lukee teidän tietosuojaselosteenne… jos sellainen löytyy.

Verkkokaupan tulee siis herättää luottamusta. Aiheesta lisää esimerkiksi TIEKE:n julkaisusta Verkkokaupan luotettavuus. Verkkokauppa saa kilpailuetua, kun hoitaa tietosuojansa hyvin, ja kertoo sen.

Suurin kilpailuetu?

Mielestäni on olemassa vielä yksi iso asia, joka muuttuu kilpailueduksi vasta myöhemmin. Jos organisaatio ottaa tietosuojavaatimukset tosissaan, on organisaation tutkittava omaa toimintaansa. Näin ollen:

Suurin hyöty on itsensä tunteminen. Siitä kumpuaa kaikki muut mahdollisuudet.

Palataan asiaan…

Servicedesk on osa organisaation tietoturvaa

Organisaation tukipalvelulla, esim. Helpdesk tai Servicedesk, on oma roolinsa organisaation tietoturvallisuuden toteuttamisessa. Lähestyn aihetta kolmen kokonaisuuden kautta: tilannekuva, toiminta ja tietoisuus.

Tilannekuva: Servicedesk tunnistaa tietoturvapoikkeamat

Servicedeskin työntekijät näkevät päivän aikana useita erilaisia palvelupyyntöjä, vikailmoituksia ja häiriötilanteita. Heille muodostuu nopeasti käsitys siitä, mikä on normaalia päivittäistä toimintaa. Servicedesk tuottaa organisaatiolle tilannekuvaa omasta näkökulmastaan.

Tukipalvelun työntekijöillä on hyvä olla tietoa yleisimmistä tietoturvaongelmista ja niiden ilmentymisistä käytännön työssä. Näin heillä on parempi kyky havaita tietoturvaongelmiin liittyvät poikkeamat. Kannattaa pohtia, pitäisikö tukipalvelun työntekijällä olla pääsy myös tietojärjestelmien ja verkkoympäristön tilannekuvaan, jolloin työntekijä voi arvioida, johtuuko vika järjestelmistä vai voisiko kyseessä olla laajempi tietoturvaongelma

Esimerkki
Servicedesk vastaanottaa useita ilmoituksia organisaation tarjoaman palvelun toimimattomuudesta. Asiakkaat eivät pääse palvelun nettisivulle. Verkkoympäristön tilannekuvan mukaan palveluun kohdistuu epänormaalin suuri määrä verkkoyhteyksiä. Ilmenee, että kyseessä on palvelunestohyökkäys. Servicedesk ilmoittaa ongelmasta organisaation verkkosivustolla ja pyrkii näin ollen vähentämään asiakkaiden huolia. Verkosta vastaavat tahot saavat keskittyä tietoturvaongelman ratkaisemiseen.

Toiminta: Varmista Servicedeskin toimintakyky

Tukipalvelun työntekijöillä on oltava velvollisuus ja kyky toimia, kun he saavat tietoonsa tietoturvallisuuteen liittyvän ilmoituksen asiakkaalta. Nopea toiminta on olennaista lisävahinkojen välttämiseksi.

Esimerkki
Asiakas ilmoittaa saaneensa huijaussähköpostin ja asiakas on luovuttanut käyttäjätunnuksensa ja salasanansa huijaussivustolle. Tukipalvelun työntekijä ilmoittaa asiakkaalle lukitsevansa asiakkaan käyttäjätunnuksen ja vaihtavansa salasanan. Näin pyritään estämään tunnuksen välitön väärinkäyttö.

Tietoisuus: Servicedesk nostaa tietoturvatietoisuutta

Jokainen viesti asiakkaalle on mahdollisuus parantaa asiakaskokemusta ja lisätä tietoisuutta eri asioista. Tukipalvelun viestien loppuun voidaan laittaa kevyet kesäterveiset tai viikon tietoturvavinkit. Viestit toimivat hyvänä kanavana tietoturvatietoisuuden lisäämiseksi.

Esimerkki
Asiakas haluaa jakaa tiedostoja usealle vastaanottajalle. Hän pohtii, olisiko Dropbox vai sähköposti parempi vaihtoehto.

Servicedeskin työntekijä kertoo, että sähköpostin liitteenä voidaan jakaa tiedotusluonteisesti muutamia julkisia tiedostoja. Jos tiedostoja pitää jatkossa vielä muokata, niin keskitetty tiedostojen jakopaikka on parempi vaihtoehto. Jos tiedostojen luottamuksellisuus pitää varmistaa, niin tiedostot olisi hyvä jakaa keskitetyn paikan kautta, jossa voidaan asettaa tarvittavia käyttöoikeuksia tiedostojen avaamiselle. Asiakas saa tietoonsa vaihtoehtoisia toimintamalleja sekä näiden hyviä ja huonoja puolia tietoturvallisuuden näkökulmasta. Servicedesk asiantuntija muuttaa asenteita!

Koonti

Servicedeskin työntekijöillä on oltava:

  • tilanneälyä ja osaamista poikkeamien havaitsemiseksi,
  • pääsy tarvittaviin tietoihin ja teknisiin välineisiin, sekä
  • valtuudet toimia nopeutta vaativissa tilanteissa.

Servicedeskillä on olennainen rooli organisaation tietoturvallisuuden toteuttamisessa. Varmista, että tämä mahdollisuus hyödynnetään!

IT-asiantuntija on myös tietoturva-asiantuntija

Yrityksen IT-asiantuntija voi vaikuttaa koko yrityksen tietoturvaan monella eri tavalla. Tietoturvallisuuteen vaikuttaa esimerkiksi tietojärjestelmien suunnittelu ja hankinta, järjestelmien ylläpito. Lisäksi työntekijällä on aina olemassa asiantuntijavastuu.

Turvallisten tietojärjestelmien suunnittelu ja hankinta

Asiantuntija osallistuu tietojärjestelmien suunnitteluun ja hankintaan. Tarkoituksena on hankkia järjestelmä, joka vastaa tarpeeseen, on turvallinen ja täyttää  GDPR Privacy-by-Design vaatimukset. Asiantuntija tietää, että tietojärjestelmää ei vain hankita ja oteta käyttöön.

Esimerkki
Yritykselle suunnitellaan uutta tietojärjestelmää. Asiantuntija muistuttaa, että tietoturvallisuus ja tietosuoja tulee ottaa huomioon. Asiantuntija osallistuu tietoturvavaatimusten kuvaukseen. Lisäksi hän haastaa mahdollisia järjestelmätoimittajia neuvotteluissa: ”Saisinko nähdä palvelun toimittamiseen liittyvät tietoturvakuvaukset sekä tietoturvapolitiikkanne?” Ensimmäinen myyjä ei tiedä näistä mitään. Tuote olisi kyllä ollut todella halpa! Toisen myyjän esittämä tietoturvakuvaus herättää luottamusta. Tästä maksaa mielellään vähän extraa.

Tietojärjestelmien turvallisuuden ylläpito

Järjestelmän ylläpitäjä valvoo järjestelmän turvallisuuden tilaa ja asentaa tarvittavat tietoturvapäivitykset ajallaan. Toiminta on riskilähtöistä. Asiantuntija tietää, mitä hoidetaan heti ja mitä myöhemmin.

Esimerkki
Yrityksen IT-asiantuntija on huomannut, että yrityksen toiminnan kannalta olennaisesta järjestelmästä on löydetty tietoturvahaavoittuvuus. Netin uutisten mukaan haavoittuvuutta hyödynnetään jo hyökkäyksissä. Asiantuntija tutustuu aiheeseen ja tekee alustavan korjauksen järjestelmään. Saatavilla oleva tietoturvapäivitys asennetaan vasta myöhemmin, koska järjestelmäpäivitys johtaa palvelinten uudelleenkäynnistykseen. Sitä ei tehdä keskellä päivää, jotta työt jatkuisivat normaalisti. Viimekertainen ”ihan vaan nopea päivitys ja bootti” johti tilanteeseen, jossa järjestelmä oli pois käytöstä kaksi päivää.

Asiantuntijavastuu

Asiantuntijan velvollisuutena on ottaa kantaa päivittäisiin asioihin. Asiantuntija tuo esiin riskit, kipupisteet ja kehittämiskohteet. ”Oon vaan töissä täällä” ei riitä!

Esimerkki
Yrityksen työntekijöillä on tarve jakaa tiedostoja toisilleen ja yhteistyökumppaneilleen. Erään työntekijän mukaan ilmainen pilvipalvelu toteuttaa tämän tarpeen hyvin. Ehdotus saa kannatusta yrityksessä. Asiantuntija kuitenkin huomauttaa ilmaisen pilvipalvelun lainsäädännöllisistä ja sopimusteknisistä ongelmista sekä jatkuvuuteen liittyvistä riskeistä. Lisäksi hän korostaa, että tiedostojen jakotoiminnot voidaan toteuttaa jo olemassa olevilla työkaluilla. Kehittämällä olemassa olevia järjestelmiä voidaan toteuttaa turvallinen ja tarpeet täyttävä ratkaisu. Ylimääräisiä järjestelmiä ei tarvita. Ja rahaa säästyy. Osa työntekijöistä pitää asiantuntijaa nipottavana ääliönä, osa todellisena ammattilaisena. Yritysjohto punnitsee hyödyt, riskit ja tekee päätöksen.

Jos olet asiantuntija, toimi kuin asiantuntija!