Tietosuojan osoitusvelvollisuutta edistävät työpajatilaisuudet

Koko: px

Aloita esitys sivulta:

Download "Tietosuojan osoitusvelvollisuutta edistävät työpajatilaisuudet"

Outi Hakola
5 vuotta sitten
Katselukertoja:

Tietosuojan osoitusvelvollisuutta edistävät työpajatilaisuudet Työpaja #13 14.06.

1 Tietosuojan osoitusvelvollisuutta edistävät työpajatilaisuudet Työpaja # Aiheina ohjelmistokehitys tietosuojan näkökulmasta, näkökulmia Tullista ja F-Securesta. Lisäksi aiheena tekoäly ja tietosuoja sekä tietotilinpäätös Trafissa + VRK

3 EU:n yleistä tietosuoja-asetusta sovelletaan

4 Ohjelma: 8.30 Kahvi Aloitus, Tuula & Kimmo Ohjelmiston tilaaminen, Petri Stranden, KPMG Biotauko Ketterä kehitys mahdollisuus julkishallinnossa?, Sami Tervola, KPMG Omakustanteinen lounas Sovelluskehitys tietosuojan näkökulmasta, Pyry Heikkinen, ICTtietoturvapäällikkö,Tulli Turvallisen sovelluskehityksen käsikirja, Antti Vähä-Sipilä, Johtava tietoturvakonsultti, F-Secure kahvi AI in the context of GDPR compliance, Jens Kremer Postdoctoral Researcher, University of Helsinki Tietotilinpäätös Trafissa, Leila Hanhela-Lappeteläinen, johtava asiantuntija, tietosuojavastaava, Liikenteen turvallisuusvirasto Trafi

5 Ajankohtaista: Tietosuojalaki on edelleen eduskunnassa käsittelyssä, aikataulu heinäkuun alussa, HE 31/2018 rikosasioiden tietosuojadirektiivin kansallinen lainsäädäntö => todennäköisesti syksyyn Tietosuojavaltuutetun toimiston uudet sivut tietosuoja.fi GDPR-itsearviointityökalu, järjestelmän hallinta ja tietoturva Tietoturvan ja tietosuojan perusasioiden tarkastuslista hankinnoissa ja projekteissa 5c-42e7-489f-a7a1-9549fe5ebde2/Tietoturvan_ja_tietosuojan_tarkastuslista_2510_2017.pdf.pdf Tietojärjestelmien tietoturvavaatimuksia GDPR-näkökulmasta

6 Päivitetty käsikirja Euroopan tietosuojaoikeudesta julkaistiin EU:n perusoikeusvirasto on julkaissut yhdessä Euroopan neuvoston ja Euroopan tietosuojavaltuutetun kanssa päivitetyn käsikirjan Euroopan tietosuoja-oikeudesta. Käsikirjassa on huomioitu viimeaikaiset uudistukset, kuten EU:n tietosuoja-asetuksen voimaantulo. Siinä käsitellään tietosuojaa koskevia eurooppalaisia säännöksiä ja periaatteita, rekisteröityjen oikeuksia, tietosuojan valvontaa, rajojen yli tapahtuvaa henkilötietojen siirtoa sekä massadatan, algoritmien ja tekoälyn luomia moderneja haasteita. Käsikirjaan on koottu myös tapausesimerkkejä. Handbook on European data protection law edition

7 GDPR-itsearviointityökalu: järjestelmien hallinta ja tietoturva 1) Järjestelmän vastuuhenkilö 2) Järjestelmän muut vastuut 3) Tietoturvauhkien analysointi 4) Säännöllinen testaus 5) Tietosisällön dokumentointi 6) Erityiset tietoryhmät ja alle 16-vuotiaiden tiedot 7) Tiedon kerääminen rekisteröidyn oikeuksien toteuttamiseksi 8) Suostumusten ja kieltojen hallinta 9) Henkilötietojen käsittelyn minimointi 10) Henkilötiedon anonymisointi 11) Salakirjoitus ja pseudonymisointi 12) Turvalliset tiedonsiirrot 13) Oletusarvoinen tietosuoja 14) Sovelluskehityksen tietosuojavaatimukset 15) Testausdata 16) Käyttäjien dokumentointi 17) Henkilökohtaiset käyttäjätunnukset 18) Käyttövaltuushallinnan periaatteet 19) Käyttöoikeuksien katselmointi 20) Pääsynvalvontaperiaatteet 21) Salasanapolitiikka 22) Kirjautumisloki 23) Varmuuskopiointisuunnitelma 24) Varmuuskopioiden suojaus 25) Varmuuskopioiden palauttaminen 26) Henkilötietojen käsittelyn lokitus 27) Admin-käyttäjien lokitus 28) Lokien suojaus 29) Lokien käyttökelpoisuus 30) Toipumissuunnitelma 31) Tietoturvapäivitykset ) Järjestelmän tietoturvakuvaus 7 33) Järjestelmän muu dokumentaatio

8 RAPORTOINTI tilanteesta Tulemme lähettämään teille uudestaan kyselyn siitä, miten tietosuoja-asetuksen vaatimukset on otettu käyttöön Raportoikaa tilanne Paitsi jos olette jo raportoineet!

9 Työpaja Kahvi Aloitus, Tuula & Kimmo TAISTO18-harjoitus, Kimmo Rousku Biotauko Helsingin kaupungin tietosuoja, käytännön kokemuksia ja vinkkejä, Päivi Vilkki, tietosuojavastaava, Tietotilinpäätös malli, opiskelijat Ajankohtaista tietosuojavaltuutetun toimistosta Omakustanteinen lounas Henkilötiedot ja paikkatiedot Kahvi Henkilötietojen käsittelyn oppilaitoksissa, Henriikka Hannula, Opetus- ja kulttuuriministeriö Miltä EU:n tietosuoja-asetus näyttää Ruotsissa? Ida Sulin, Kuntaliitto Sopimusasiat ja tietosuoja

10 Syksyn työpajojen aikataulut # # # # Yhteishankkeen päätöstilaisuus Säätytalolla

11 Ajankohtaista VAHTIn toiminnassa

12 TAISTO18-harjoitus TAISTO18-harjoituskuukausi - marraskuu 2018 TietoturvA- ja tietosuojaloukkausten hallinnan harjoitus VM HITKO

13 Taustaa JUHTA/VAHTI-yhteishankkeissa kehitetään v useita tietosuojaan ja tietoturvallisuuteen liittyviä osa-alueita, erityisesti Riskienhallinta Tietosuoja-asetuksen yleiset vaatimukset ja osoitusvelvollisuus Henkilötietojen tietoturvaloukkaustilanteiden hallinta Toiminnan jatkuvuuden kehittäminen Kyky selviytyä erilaisista häiriötilanteista Kaikki nämä osa-alueet edellyttävät Organisaatioon omia prosesseja sekä niiden harjoittelua Yhteistyötä eri viranomaisten ja sidosryhmien kesken VM HITKO

14 Taustaa Vaikka organisaatiolla olisi tähän saakka olleet tietoturvallisuuteen ja tietosuojaan liittyvät asiat kuinka hyvin tahansa, tilanne ei ole sama jälkeen, kun asetusta sovelletaan käytäntöön ja kun (kesällä?) uusi tietosuojalaki astuu voimaan Kukaan ei ole voinut harjoitella tätä aidosti oikeassa tilanteessa Tämän takia on erittäin tärkeää, että organisaatiot harjoittelevat näitä asetuksen edellyttämien prosessien toimivuutta ennen kuin niitä joutuu oikeassa elämässä testaamaan Parhaiten tämä onnistuu harjoittelemalla harjoitus tekee mestarin; mestaritkin harjoittelevat! VM HITKO

15 Tavoite Organisaatioiden häiriöhallintatilanne prosessi toimii harjoitellusti Tässä pääpaino henkilötietojen tietoturvaloukkaustilanteissa Häiriötilanteen hallintaa kehitetään tässä tietoturva- ja tietosuojapoikkeustilanteiden näkökulmasta, mutta tässä yhteydessä on mahdollista sparrata ja kehittää sitä myös muiden, esimerkiksi perinteisten ICT-toimintahäiriöiden toteuttamiseksi VM HITKO

16 Aikataulu Harjoituksen suunnittelu 1/2018 1/2019 Toteutus Marraskuu 2018 siten, että jokaisella viikolla on yksi mahdollinen harjoituspäivä, johon organisaatio voi osallistua Pilottiharjoitus syyskuun lopussa 5-10 organisaatiota Harjoitus käynnistyy Taiston päivänä - myös ruotsiksi (ja siis Suomi) Palaute harjoittelusta seminaari tammikuussa 2019 organisaatioiden haastatteluiden ja palautekyselyiden perusteella VM HITKO

17 Osallistujat Harjoitus tarjotaan ensisijaisesti JUHTA/VAHTI-yhteishankkeeseen ilmoittautuneille julkisen hallinnon organisaatioille osana hanketta, mutta kutsu on lähetetty julkiseen hallintoon ja kaikki julkisen hallinnon organisaatiot ovat tervetulleita harjoittelemaan Osallistujia tulee olemaan organisaatiota jakautuen neljälle eri viikolle, toivottavasti vieläkin enemmän! Harjoitus tullaan julkaisemaan joulukuussa harjoituksen www-sivustolla siten, että mikä tahansa organisaatio voi toteuttaa itse vastaavan harjoituksen VM HITKO

18 Toteuttajat ja keskeiset roolit JUHTA-asiantuntijaryhmä sekä VAHTI-asiantuntijaryhmät Suomen Poliisi Rikosilmoitus, muu tuki harjoituspäivän osalta (tilannekatsaus) Viestintäviraston Kyberturvallisuuskeskus Sparraus sekä tietoturvaloukkausten vastaanotto, asiantuntijavideot Tietosuojavaltuutetun toimisto Ilmoitusvelvollisuuksien mukainen toiminta (harjoittelu), asiantuntijavideot Valtori Valtionhallinnon osalta osallistuminen teknisiin osioihin, tarkentuu vielä heidän ja muiden osalta elokuussa VM HITKO

19 Miten harjoitus etenee Organisaatio saa ilmoituksen harjoituspäivänä klo 9.00 sähköposti, että jotain on tapahtumassa Ja sen jälkeen tällaisia ilmoituksia tulee päivän aikana 3-4 kpl Näiden perään tulee linkki lomakkeeseen / kyselyyn, jossa kysellään miten organisaatio on nämä tilanteet hoitanut Päivän päättyy kun viimeinen raportointi on suoritettu päivän päätteeksi Viikon sisällä tulee palautekysely harjoituksesta Palauteseminaari tammikuussa VM HITKO

20 Ilmoittautuminen Kirje VM:stä lähtenyt viime viikolla kirjaamoiden kautta: Kutsu julkisen hallinnon organisaatioille osallistua TAISTO18-harjoitukseen: Kutsu Taisto18-harjoitukseen pdf 130kB Inbjudan till Taisto18-övningen pdf 135kB Ilmoittautumislinkki Taisto18-harjoitukseen Suomeksi: Ruotsiksi: VM HITKO

21 Julkisen hallinnon digitaalisen turvallisuuden johtoryhmän (VAHTI) suosituksia digitaalisen turvallisuuden kehittämiseksi julkisessa hallinnossa 1) Ajankohtaista digiturvallisuudesta videoblogit julkaistu toivomme organisaation jakavan tietoa näistä henkilöstölle 2) Julkisen hallinnon digitaalisen turvallisuuden teemakuukausi lokakuussa 3) Tietosuojakoulutusten ja nettitestien käyttöönotto sekä yhteishankkeisiin osallistuminen 4) Materiaalien toimittaminen digitaalisen turvallisuuden materiaalipankkiin 5) Väestörekisterikeskus kehittää ja tarjoaa julkisen hallinnon digitaalisen turvallisuuden asiantuntijapalveluita 6) Uudet julkaisut ja esitteet VM HITKO

22 Ajankohtaista digiturvallisuudesta 1/2018 Uusi tiivis tapa tiedottaa ja kouluttaa ajankohtaisista aiheista Uusin julkaistaan loppuviikolla eli 2/2018 hyvin pian VM HITKO

23 Ajankohtaista digiturvallisuudesta 1/2018 VM HITKO

24 VM HITKO

25 VM-linjaustyö tiedon sijainti ja hallinta Aka pilvi Työ käynnissä lausuntoversio kesän ajaksi, ellei muutoksia aikatauluun tule Yhdistetään tiedonhallintalain mukanaan tuomiin muutoksiin ja tehdään tarvittavat tarvittavat esimerkiksi tietoturvaan liittyvät säädöt uudessa VAHTI 100-vaatimuskehikossa Pilven osana lähinnä tilanteet, joissa käsitellään kansallista turvallisuutta, vastaavaa turvallisuusluokiteltua tietoa sisältävää tietoa tai jatkuvuus varautumis näkökulma, jolloin ainakin jokin instanssi palvelusta pitäisi olla saatavilla Suomessa VM HITKO

Samankaltaiset tiedostot

Tietosuojahankkeen esittely ota tietosuojaasetuksen. Kuinka koulutan ja ohjeistan henkilöstöä tietosuojan osalta! Tuula Seppo, Kuntaliitto

Tietosuojahankkeen esittely ota tietosuojaasetuksen vaatimukset haltuun! Kuinka koulutan ja ohjeistan henkilöstöä tietosuojan osalta! Tuula Seppo, Kuntaliitto EU:n yleinen tietosuoja-asetus Yhdenmukaistaa