SASTAMALAN KOULUTUSKUNTAYHTYMÄN TIETOTURVAOHJEET

Transkriptio

1 SASTAMALAN KOULUTUSKUNTAYHTYMÄN TIETOTURVAOHJEET Hyväksytty yhtymähallituksessa xx.xx.2015

2 SISÄLTÖ 1 Johdanto Sastamalan koulutuskuntayhtymän tietoturvapolitiikka Tietoturvaorganisaatio ja vastuualueet Tietojärjestelmien käyttäjän velvollisuudet Salassapitovelvollisuus Käyttöoikeus Työaseman, kannettavan tietokoneen ja mobiililaitteen käyttöperiaatteet Verkkotulostimet, faksit sekä kopiokoneet Mobiililaitteet Sähköposti ja Internet Sähköposti Internet Työnantajalle kuuluvien sähköisten viestien esille hakeminen Asiakirjojen ja tietojen säilyttäminen ja hävittäminen Ongelmatilanteissa toimiminen Sosiaalinen media Tietoturvaa ja asiakastietojen käsittelyä koskevat säännökset ja määräykset... 7 Hyväksytty yhtymähallituksessa xx.xx.2015

3 2 1 Johdanto Tämä tietoturvaohje on tarkoitettu Sastamalan koulutuskuntayhtymän henkilökunnan käyttöön. Tietoturva minimoi tietoihin, niiden käyttöön ja käsittelyyn kohdistuvia uhkia. Sillä varmistetaan tietojen luottamuksellisuus, saatavuus sekä oikeellisuus. Jokaisen tulee lukea ja ymmärtää ohje. Allekirjoittamalla työ- ja käyttöoikeussopimuksen työntekijä sitoutuu noudattamaan näitä ohjeita. Noudattamalla annettuja ohjeita varmistetaan asiakkaiden ja henkilökunnan oikeusturvan toteutuminen tietojen käsittelyssä. 2 Sastamalan koulutuskuntayhtymän tietoturvapolitiikka Sastamalan koulutuskuntayhtymän tehtävänä on taata asiakkaittensa ja henkilöstönsä oikeusturva riittävällä tietoturvalla. Sastamalan koulutuskuntayhtymässä käsitellään tietoja luottamuksellisesti kunnioitetaan asiakkaiden sekä henkilökunnan oikeuksia toteutetaan asiakkaiden sekä henkilökunnan informointivelvollisuus noudatetaan tietoturvasta annettuja säädöksiä ja ohjeita tietojen väärinkäytöstä aiheutuu sanktio 3 Tietoturvaorganisaatio ja vastuualueet Tietoturva-asioiden hallinnollinen vastuu on Sastamalan koulutuskuntayhtymän hallituksella ja kuntayhtymäjohtajalla, jotka hyväksyvät tietoturvapolitiikan ja määrittelevät käytettävät sanktiot väärinkäyttötilanteissa. Tietoturvan organisoinnista vastaa Sastamalan koulutuskuntayhtymän kuntayhtymäjohtaja, jonka tehtävänä on: vastata Sastamalan koulutuskuntayhtymää koskevista yleisistä tietoturvan periaatteista määritellä Sastamalan koulutuskuntayhtymän tietoturvapolitiikka vastata tietoturvasuunnitelmasta normaali- ja poikkeusolosuhteissa vastata henkilökunnan tiedotuksesta valvoa tietoturvan toteuttamista määritellä sanktiot väärinkäyttötilanteissa tapauskohtaisesti Sastamalan Tukipalvelu Oy:n hallituksen nimeämän tietoturvavastaavan tehtävänä on koordinoida Sastamalan koulutuskuntayhtymän tietoturvaa huomioimalla seuraavat asiat:

4 3 turvata Sastamalan Tukipalvelu Oy:n ja sen asiakkaiden toiminnalle tärkeiden tietojärjestelmien ja tietoverkkojen oikeanlainen ja keskeytymätön toiminta estää luottamuksellisen tiedon, riippumatta siitä miten se on tallennettu, päätyminen oikeudettomien saataville estää tiedon tai tietojärjestelmän luvaton käyttö estää tahaton tai tahallinen tietojen tuhoutuminen tai vääristyminen vähentää tietoturvariskejä ja minimoida niistä aiheutuvat vahingot varautua riskitilanteisiin 4 Tietojärjestelmien käyttäjän velvollisuudet 4.1 Salassapitovelvollisuus Esimiesten vastuulla on työyhteisöjensä jäsenten tietoturvapolitiikan ja -ohjeiden noudattaminen. Tiedon käsittelijä sitoutuu tiedon luomisen, muuttamisen, jakelun, säilyttämisen, arkistoinnin ja tuhoamisen aikana noudattamaan annettuja tietoturvaohjeita. Salassapitovelvollisuudesta säädetään useissa laeissa. Lain mukaan kaikilla Sastamalan koulutuskuntayhtymän työntekijöillä on vaitiolo- ja salassapitovelvollisuus. Palvelussuhteen tai muun työtehtävän aikana tai sen päätyttyä, sivulliselle ei saa ilmaista työn vuoksi saatuja tietoja. Tietoja ei saa luovuttaa, siirtää tai tallentaa toisiin tietojärjestelmiin tai tallenteille. Salassa pidettäviä ja suojattavia kopioita ja/tai tulosteita ei saa laittaa roskien joukkoon vaan ne ovat joko silputtava tai toimitettava lukollisiin keräysastioihin, joiden sisältö hävitetään asianmukaisesti. Erilliset tallennusvälineet, jotka sisältävät salassa pidettäviä asioita, on hävitettävä asianmukaisin toimenpitein. Salassapitovelvollisuuden rikkomisesta seuraa kuntayhtymäjohtajan määräämä sanktio. 4.2 Käyttöoikeus Työsuhteen alkaessa työntekijä saa käyttöoikeuden ja käyttäjätunnuksen tarvitsemiinsa tietojärjestelmiin. Työntekijä tutustuu esimiehen läsnä ollessa atk-palveluiden käyttösääntöihin ja tietoturvaohjeeseen. Allekirjoittamalla käyttöoikeussopimuksen työntekijä sitoutuu noudattamaan kyseisiä sääntöjä ja ohjeita. Esimiehen tulee ilmoittaa työsuhteen päättymisestä Sastamalan Tukipalvelu Oy:n tietohallintotiimille, joka poistaa käyttäjätunnuksen, käyttöoikeudet ja sähköpostiosoitteen järjestelmästä. Yli kolmen kuukauden mittaisen poissaolon ajaksi jäädytetään käyttäjätunnus.

5 4 Työasemaa pitää käyttää vain omalla käyttäjätunnuksella ja salasanalla. Ne ovat henkilökohtaisia ja kukin vastaa käyttäjätunnuksellaan tehdyistä merkinnöistä. Käyttäjätunnus ja salasana ovat ehdottomasti pidettävä omana tietona. Poikkeuksena ovat ns. ryhmätunnukset, jolloin ryhmän jäsenet pääsevät käsiksi samoihin tietoihin. Sääntöjen rikkominen voi aiheuttaa käyttöoikeuden poisottamisen. Mikäli kyseessä on toistuva tai vakava rikkomus, työntekijän esimies määrittelee yhdessä kuntayhtymäjohtajan kanssa rikkomuksen edellyttämät jatkotoimet. Tietojen väärinkäyttö, tahallinen ohjeiden vastainen toiminta tai rikkomus, joka aiheuttaa välittömästi tai välillisesti taloudellisia menetyksiä, voi johtaa vahingonkorvausvaatimuksiin tai rikosoikeudellisiin seuraamuksiin. 4.3 Työaseman, kannettavan tietokoneen ja mobiililaitteen käyttöperiaatteet Työasemassa, kannettavassa tietokoneessa ja mobiililaitteessa saa käyttää vain Sastamalan Tukipalvelu Oy:n ja Sastamalan koulutuskuntayhtymän hyväksymiä ja lisensoituja ohjelmia. Työaseman sijoituksessa tulee mahdollisuuksien mukaan huomioida, että asiakkaat tai sivulliset eivät pääse näkemään näytöllä olevia tietoja. Työasema on aina lukittava käyttäjän poistuessa työpisteestään. Työhuoneen ovi on lukittava, kun käyttäjä poistuu huoneestaan pidemmäksi ajaksi. Työasema tai kannettava tietokone on sammutettava yöksi. Työnantajan hankkimia ohjelmia ei saa kopioida. Tietokonetta tai mobiililaitetta ei saa käyttää tiedostojen pysyvään säilytykseen. Palvelimilla olevien tiedostojen varmuuskopiointi hoidetaan keskitetysti Sastamalan Tukipalvelu Oy:n toimesta. Työasemaan, kannettavaan tietokoneeseen tai mobiililaitteeseen tallennettujen tiedostojen varmuuskopioinneista vastaa käyttäjä itse. Siirrettävien tallennusvälineiden (esim. CD/DVD-levyt, USB- muistitikut) käytössä on oltava erittäin varovainen ja huolellinen, sillä ne voivat sisältää haittaohjelmia, tallennusvälineet on tarkistettava virusten ja haittaohjelmien takia. Levykkeet ja muut siirrettävät tallennusvälineet (esim. USB-muistitikut) tulee säilyttää turvallisessa paikassa. Salaista tietoa sisältävät tallennusvälineet on säilytettävä lukitussa tilassa. Epäiltäessä, että työasemassa, kannettavassa tietokoneessa tai mobiililaitteessa on haittaohjelma, on asiasta ilmoitettava Sastamalan Tukipalvelu Oy:n HelpDeskiin. Kaikki tukipyynnöt, vikailmoitukset tehdään HelpDesk numeroon 5020 / tai sähköpostitse osoitteella helpdesk@satuoy.fi. HelpDeskiin voi käyttäjä myös itse kirjata palvelupyynnön osoitteessa

6 5 Kaikki käyttöoikeuksiin liittyvät palvelupyynnöt joko 5024 / tai sähköpostiin kaytto.ilmoitus@satuoy.fi. Esimiesten vastuulla on työyhteisöjensä jäsenten tietoturvapolitiikan ja -ohjeiden noudattaminen. 4.4 Verkkotulostimet, faksit sekä kopiokoneet 4.5 Mobiililaitteet Työntekijän tulee huolehtia, ettei luottamuksellisia papereita jää lojumaan verkkotulostimille, kopiokoneille tai fakseille. Mikäli luottamuksellisia asiakirjoja joudutaan lähettämään faksilla, on lähetyksestä sovittava etukäteen vastaanottajan kanssa ja varmistettava vastaanottajalta, että hän saanut lähetetyt asiakirjat. Älypuhelimien ja tablettien käytössä on oltava erityisen huolellinen ja tarkkaavainen, sillä ne voivat sisältää materiaalia joka ei ole tarkoitettu ulkopuolisille tahoille esim. sähköposti. Luottamuksellisen tiedon välittämistä puhelimitse tulee välttää. Jos puhelinta kuitenkin on käytettävä, tulee vastaanottajan henkilöllisyys pyrkiä varmistamaan mahdollisimman hyvin esimerkiksi vastapuhelulla. Soittamalla esim. viraston puhelinvaihteeseen ja pyytämällä yhdistämään kyseiselle henkilölle, näin saadaan parempi varmuus vastaajan henkilöllisyydestä. Puhelinta vaihdettaessa tulee huolehtia myös puhelimen muistin tyhjentäminen (IT-henkilöstö). 4.6 Sähköposti ja Internet Sähköposti Sähköposti ovat tarkoitettu työtehtävien hoitoon. Sähköposti on luottamuksellinen viesti. Työntekijän nimellä tullutta sähköpostia ei työnantaja, eikä toinen työntekijä saa pääsääntöisesti avata, ellei asiasta ole sovittu erikseen. Sähköpostin kautta ei saa lähettää arkaluonteisia tai muita salassa pidettäviä tietoja (esim. henkilötietoja). Luottamuksellinen tieto tulee siirtää julkisessa verkossa (Internetissä) ainoastaan salattuna (esim. pakattuna tiedostona, joka suojataan salasanalla ja salasana lähetetään vastaanottajalle erikseen). Lähettäjä vastaa aina tiedon siirtämisestä Sähköpostin välittäminen eteenpäin tulee aina harkita tarkasti, sillä sähköposti on aina henkilökohtainen viesti, pois lukien ryhmäpostit. Epämääräisestä osoitteesta tuleva sähköposti on poistettava liitteineen haittaohjelmariskin vuoksi (virukset, verkkomadot, troijan hevoset jne.). Roskapostia ei saa lähettää eikä välittää eteenpäin vaan ne tulee poistaa välittömästi. Roskapostiin ei saa missään tapauksessa vastata.

7 Internet Internet on tarkoitettu työhön liittyvien työtehtävien hoitamiseen, informaation hankkimiseen, tiedottamiseen, ajankohtaisten uutisten seurantaan ja ammatillisen osaamisen kehittämiseen. Internet palveluiden ja sovellusten käyttö ei saa olla ristiriidassa työpaikan viestinnän, toiminnan tarkoituksen, etiikan, työajankäytön tai tietoturvallisuuden kanssa. 4.7 Työnantajalle kuuluvien sähköisten viestien esille hakeminen Arviointi siitä, onko viesti yksityinen vai kuuluuko se työantajalle, tehdään viestin lähettäjän tunnistamistietojen tai sähköpostiviestin otsikkokentän tiedon perusteella, jotka eivät kuulu luottamuksellisen viestin ydinsisältöön. Näiden tietojen perusteella voidaan useimmiten, mutta ei aina, päätellä onko viesti yksityisluonteinen vai ei. Sähköpostiviestin esille hakeminen edellyttää seuraavien kriteereiden toteutumista: työntekijän tehtävien tai vireillä olevien asioiden vuoksi on ilmeistä, että hänelle on lähetetty viestejä, joita työnantaja tarvitsee toimintaansa liittyvien neuvottelujen loppuun saattamiseksi tai toimintojen turvaamiseksi. ennen avaamiseen ryhtymistä työnantaja tarjoaa työntekijälle mahdollisuutta antaa suostumuksensa avaamiselle. viestiin liittyvän asian selvittäminen ei kestä viivytystä. Yksityisyyden suojasta työelämässä on laissa erityissäännös (759/2004) sellaisia tilanteita varten, jolloin työntekijä on estynyt suorittamasta työtehtäviään (kuollut tai muuten pysyvästi estynyt), eikä hänen suostumustaan viestin esille hakemiseen voida saada. Tällöin työantaja voi käyttää oikeuttaan sähköpostiviestin esille hakemiseksi vain tietojärjestelmän pääkäyttäjän valtuuksia käyttävän henkilön avulla. Viestin esille hakemisesta ja avaamisesta on laadittava kirjallinen selvitys. Viestin esille hakemiseen osallistuneet henkilöt eivät saa ilmaista viestin sisältöä sivullisille työsuhteen aikana eivätkä sen päättymisen jälkeen. 4.8 Asiakirjojen ja tietojen säilyttäminen ja hävittäminen Paperiset asiakirjat on säilytettävä arkistosäännön mukaisesti. Hävitettäviä luottamuksellisia asiakirjoja varten ovat paperisilppurit ja/tai erilliset lukolliset keräysastiat, joiden sisältö tuhotaan säädöksiä ja lakeja noudattaen. Tietojen säilyttämisessä ja hävittämisessä noudatetaan arkistointia koskevia lakeja, asetuksia ja säädöksiä sekä arkistonmuodostussuunnitelmaa. Tiedostopalvelimille talletetuista tiedoista otetaan varmuuskopiot joka päivä muuttuvista tiedoista ja kerran viikossa otetaataan kokonaisvarmistus.

8 7 4.9 Ongelmatilanteissa toimiminen Virusilmoituksen tullessa toimitaan virustorjuntaohjelman antamien ohjeiden mukaisesti. Kirjoitetaan mahdollinen virheilmoitus muistiin, sillä se helpottaa ongelman ratkaisemisessa. Otetaan yhteyttä Sastamalan Tukipalvelu Oy:n HelpDeskiin, kerrotaan tilanne ja noudatetaan sieltä saatuja ohjeita. HelpDesk numeroon 5020 / tai sähköpostitse osoitteella helpdesk@satuoy.fi. 5 Sosiaalinen media Sastamalan koulutuskuntayhtymä kannustaa henkilöstöään käyttämään hyväksi sosiaalisen median tarjoamia mahdollisuuksia työssään. Sosiaalisen median osalta noudatetaan erillisenä liitteenä olevaa Sastamalan koulutuskuntayhtymän sosiaalisen median ohjetta. 6 Tietoturvaa ja asiakastietojen käsittelyä koskevat säännökset ja määräykset Keskeinen voimassa oleva lainsäädäntö: Suomen perustuslain yksityiselämän suojaa koskeva säännös: Perustuslaki 731/ luku 10 ja 12 Henkilötietolaki 523/1999 Henkilörekisteriasetus 476/1987; 479/1988, 59/1993, 431/1994 Laki viranomaisten toiminnan julkisuudesta 621/1999 ja 38 muutos 636/2000 Asetus viranomaisten toiminnan julkisuudesta ja hyvästä tiedonhallintatavasta 1030/1999 Laki yksityisyyden suojasta työelämässä 759/2004 Rikoslaki 39/ luku 4 ja 5, 15 luku 10 sekä luvut Valmiuslaki 1080/1991, 198/2000 Laki sosiaalihuollon asiakkaan asemasta ja oikeuksista 812/2000 Laki kunnallisesta viranhaltijasta 304/2003 Työsopimuslaki 55/2001 Laki terveydenhuollon ammattihenkilöistä Muu lainsäädäntö: Arkistolaki 831/1994 Muu ohjeistus/lähteistö: Sosiaalisen media pelinsäännöt työntekijän näkökulmasta, Katja Arve- Salonen Sastamalan kaupunki