Varmaa ja vaivatonta

Transkriptio

1 Varmaa ja vaivatonta viestintää kaikille Suomessa Tekninen valvonta sähköisissä palveluissa Päällikkö Jarkko Saarimäki Tähän joku aloituskuva, esim. ilmapallopoika

2 Ennakkokysymys 1 Järjestelmän turvatason määritteleminen Tarkoitetaanko t k Tekninen valvonta sähköisissä i ä palveluissa -aiheessa järjestelmän toteutuksen arviointia, eli täyttääkö järjestelmä tietyn tietoturvatason vai tarkoittaako se että miten määritellään järjestelmän tietoturvataso? Mikäli tarkoitetaan ensimmäistä, niin jossain osiossa olisi hyvä käsitellä sitä miten järjestelmän tietoturvataso määritellään, jotta osattaisiin tehdä oikean tasoinen auditointi. Järjestelmän turvallisuustason määrittää lähtökohtaisesti sen omistaja järjestelmässä käsiteltävien tietojen perusteella Esityksessä käydään läpi järjestelmän teknisen valvonnan juridisia reunaehtoja 2

3 Keskeinen sääntely Työelämän tietosuojalaki» Työelämän yksityisyydensuojan ja työntekijöiden valvonnan yleiset periaatteet valvonnan yleiset periaatteet Tietoyhteiskuntakaari (917/2014)» Sähköisen viestinnän valvonnan periaatteet Henkilötietolaki» Täydentävää sääntelyä Lex Nokia rajattu ulos esityksestä 3

4 Sähköisen viestinnän yksityisyydensuoja (VI osa) Lähtökohtana viestinnän luottamuksellisuus Viestinnän osapuoli voi käsitellä viestintäänsä vapaasti» Voi myös antaa suostumuksen Viestinnän välittäjän tekemän käsittelyn perustuttava lakiin (tai suostumukseen) Käsittelyperusteet ja rajoitukset pääosin ennallaan 4

5 Viestinnän välittäjä Viestinnän i välittäjällä äjällä tarkoitetaan teleyritystä, yhteisötilaajaa ja sellaista muuta tahoa, joka välittää sähköistä viestintää muutoin kuin henkilökohtaisiin tai niihin verrattaviin tavanomaisiin yksityisiin tarkoituksiin. Teleyritys» Tarjoaa yleistä viestintäpalvelua Yhteisötilaaja» Henkilöstölleen yms viestintäpalvelun toteuttavat tahot Pykälässä tarkoitetut muut tahot» Suomi24, Facebook, Linkedin Oman roolin tunnistaminen keskeistä 5

6 Viestinnän käsittely viestinnän osapuolena Käsittely 6

7 Tietohallinnolliset toimenpiteet Tietojen suojaamisessa lähtökohtana h tekniset ja (tieto)hallinnolliset toimenpiteet» Toiminta ei tapahdu viestinnän välittäjän roolissa Toimenpiteet kohdistuvat tyypillisesti ainakin:» Toiminnan turvallisuuteen» Laitteistoturvallisuuteen» Ohjelmistoturvallisuuteen» Tietoaineistoturvallisuuteen» Henkilöstöturvallisuuteen» Tietoliikenneturvallisuuteen Toimenpiteitä suoritettaessa huomioitava mm henkilötietolaki ja työelämän tietosuojalaki 7

8 Työntekijään liittyvien tietojen käsittely Työnantaja saa käsitellä vain välittömästi työntekijän työsuhteen kannalta tarpeellisia henkilötietoja, jotka liittyvät työsuhteen osapuolten oikeuksien ja velvollisuuksien hoitamiseen tai työnantajan työntekijöille tarjoamiin etuuksiin taikka johtuvat työtehtävien erityisluonteesta. Tarpeellisuusvaatimuksesta ei voida poiketa työntekijän suostumuksella. 8

9 Viestinnän käsittely viestinnän välittäjänä Käsittely 9

10 Välitettävän viestinnän käsittely tietoturvasta huolehtimiseksi (272 ) Oikeus teleyrityksellä, llä yhteisötilaajalla il ll ja lisäarvopalvelun tarjoajalla sekä näiden lukuun toimivalla» Toimenpiteet perusteltua käsitellä YT-menettelyssä Käsittelytilanteet» Tietoturvahäiriöiden havaitsemiseksi ja estämiseksi» Viestintämahdollisuuksien turvaamiseksi» Maksuvälinepetosten estämiseksi Lähtökohtana automaattinen käsittely Jos automaattinen käsittely ei riitä voidaan käsitellä myös manuaalisesti» Lähtökohtaisesti informoitava viestinnän osapuolia 10

11 Yhteistoimintamenettelystä Työelämän tietosuojalain mukaan:» Sähköpostin ja muun tietoverkon käyttö kuuluvat yhteistoiminnasta yrityksissä annetussa laissa ja yhteistoiminnasta valtion virastoissa ja laitoksissa annetussa laissa tarkoitetun yhteistoimintamenettelyn piiriin. Tietoyhteiskuntakaaren ja muun sääntelyn perusteella tehtävät toimenpiteet hyvä käsitellä menettelyssä. 11

12 Tapahtumatietojen tallentaminen (145 ) Viestinnän välittäjän on tallennettava yksityiskohtaiset tapahtumatiedot luottamuksellisuuden ja yksityisyyden suojan kannalta keskeisiä välitystietoja sisältävissä tietojärjestelmissä tapahtuvasta välitystietojen käsittelystä, jos se on teknisesti ja ilman kohtuuttomia kustannuksia mahdollista. Tapahtumatiedoista on käytävä ilmi käsittelyn ajankohta, kesto ja käsittelijä. Tapahtumatiedot on säilytettävä kaksi vuotta niiden tallentamisesta. 12

13 Tapahtumatietojen tallentamisen taustaa Useat viestinnän i välittäjien äji käytössä ä olevat järjestelmät eivät tue välitystietojen käsittelyä koskevien tietojen tallennusta. Viestinnän välittäjien tulisikin ensisijaisesti:» Kartoittaa järjestelmiensä ja palvelujensa välitystietojen hallintaprosessit» Luoda henkilöstön saatavilla olevat, riittävän yksityiskohtaiset ohjeet välitystietojen käsittelystä eri tarkoituksia varten» Määritellä ne välitystietojen hallintaprosessit ja järjestelmät, joiden sisältämillä tiedoilla on välittömästi ja keskeistä merkitystä viestinnän luottamuksellisuudelle» Toteuttaa välitystietojen käsittelyä koskevien tietojen (lokitiedot) tallennus näiden osalta. 13

14 Tapahtumatietojen tallentamisen taustaa Useat viestinnän i välittäjien äji käytössä ä olevat järjestelmät eivät tue välitystietojen käsittelyä koskevien tietojen tallennusta. Viestinnän välittäjien tulisikin ensisijaisesti:» Kartoittaa järjestelmiensä ja palvelujensa välitystietojen hallintaprosessit» Luoda henkilöstön saatavilla olevat, riittävän yksityiskohtaiset ohjeet välitystietojen käsittelystä eri tarkoituksia varten» Määritellä ne välitystietojen hallintaprosessit ja järjestelmät, joiden sisältämillä tiedoilla on välittömästi ja keskeistä merkitystä viestinnän luottamuksellisuudelle» Toteuttaa välitystietojen käsittelyä koskevien tietojen (lokitiedot) tallennus näiden osalta. 14

15 Pohdittavaksi Missä roolissa toimitte eri palveluidenne ja järjestelmienne osalta?» Viestinnän välittäjä» Viestinnän osapuoli Ovatko välitettävän viestinnän käsittelyyn liittyvät prosessinne kunnossa? Miten organisaationne toteuttaa välitystietojen tallentamisen? Tietääkö henkilöstönne millä edellytyksillä se voi käsitellä eri tietoaineistoja? 15

16 Ennakkokysymys 2 - Verkkotunnustoiminta Tietoyhteiskuntakaari-lakiesityksen i t k i ki it k myötä.fi-verkkotunnusten t haku vapautuu ulkomaisille yrityksille ja -yksityishenkilöille. Miten muutos parantaa kykyä puuttua verkkotunnuksia koskeviin tietoturva- ja toiminimiloukkauksiin? Kuvittelen, että muutoksen myötä Viestintäviraston työmäärä ja kulut tulevat lisääntymään riita-asioiden käsittelyssä. Lisäksi verkkotunnuksia voidaan luovuttaa johonkin aivan muuhun kuin mihin on uskottu, koska ulkomaisten yritysten tarkoitusperien selvittäminen on haastavaa. Miten vastaat? Verkkotunnuksen poistamisprosessia on kevennetty muun muassa luopumalla sulkemismahdollisuudesta ja mahdollistamalla sähköinen kuuleminen Uusi tietoturvapykälä mahdollistaa tehokkaamman puuttumisen verkkotunnusta hbyödyntäen y tehtyihin väärinkäytöksiin Välittäjien vastuuta on kasvatettu 16

17 Johtaja Kirsi Karlamaa 17