HAVAINTOJA PARHAISTA KÄYTÄNNÖISTÄ. Harri Vilander, Nixu Oy

Transkriptio

1 HAVAINTOJA PARHAISTA KÄYTÄNNÖISTÄ Harri Vilander, Nixu Oy

2 SISÄLTÖ Tietosuoja-analyysi Tietosuojaa koskeva vaikutustenarviointi (PIA) Kokemuksia matkan varrelta

3 TIETOSUOJA-ANALYYSI Tietosuojan nykytilanteen selvitys gap-analyysi asetukseen verrattuna tietoturvan yleiskuva + tietoriskit pohjatyö tietosuojan kehitysohjelman laatimiselle Tavoite: löydä suojattavat kohteet ( assetit ) ja ymmärrä riskit Rakenna tietosuojan kehitysohjelma ja varmista menestymisen edellytykset Liiketoiminnan tarpeet Käy0ö- tapaukset ja Henkilö8etojen elinkaari Vaa8musten täy0yminen Kehitys- suunnitelma

4 LIIKETOIMINNAN TARPEET Henkilötietojen käsittelyä koskevat periaatteet Selvitä käyttötarkoitukset mitä ja mitä henkilötietoja kerätään ja käsitellään? ovatko henkilötiedot ovat tarpeellisia määriteltyyn tarkoitukseen? voidaanko asiat tehdä toisin? anonymisointi? mikä on suunniteltu tietojen säilytysaika? à Pystyttävä kertomaan myös rekisteröidyille käsiteltävä lainmukaises0, asianmukaises0 ja läpinäkyväs0 kerä6ävä 0e6yä ja nimenomaista tarkoitusta varten määrä rajoite6ava mahdollisimman vähään oltava täsmällisiä ja päivite6yjä

5 TAVOITTEENA HENKILÖTIETOJEN ELINKAAREN HALLINTA Henkilötietojen turvallinen ja lainmukainen kerääminen, käsittely, säilytys, siirto, luovutus ja tuhoaminen kaikissa järjestelmissä ja prosesseissa Järjestelmä 1 Järjestelmä 2 Järjestelmä 3 keruu Liiketoimintaprosessi 1 Liiketoimintaprosessi 2 Henkilötietojen Henkilötietojen luovutus Liiketoimintaprosessi 3

6 TIETOSUOJAN KOLME TASOA Tietosuojakartoitus tehtävä kaikilla tasoilla Yritys Prosessi Tietojärjestelmä

7 Yritystaso Accountability: Tietosuojan valvonta ja johtovastuu Liiketoimintavaatimukset ß à käsittelytarkoitukset Tietosuojan hallintakäytännöt Roolit & vastuut, PbD Rekisteröityjen oikeuksien toteutuminen Dokumentaatio, prosessit, esim. tietoturvaloukkausten käsittely Sidosryhmät ja koordinaatio yrityksen sisällä mm. IT, hankinta, tietoturva, koulutus, HR Yritys Prosessi Tietojärjestelmä

8 (Liiketoiminta)prosessitaso Tiedon elinkaari ja käyttötapaukset kerääminen, käsittely, säilytys, siirto, luovutus ja tuhoaminen Tietojärjestelmät Ulkoistukset ja niiden hallinta Prosessikohtaiset roolit ja vastuut sekä käyttövaltuudet Työohjeet ja koulutus prosessidokumentaatio tietoturvallisuuskontrollit Yksikkötasojen kulttuuri ja Way of working Yritys Prosessi Tietojärjestelmä

9 Tietojärjestelmätaso Henkilörekisterin suojaaminen ja henkilötietojen käsittelyn turvallisuus Roolit ja vastuut ylläpito, kehitys, järjestelmien omistajuus, tietoturva Teknisen turvallisuuden toteutus arkkitehtuuri ja tekninen toteutus: testaus: tietoturva, turvallinen konfiguraatio Ulkoistukset ja niiden hallinta Tietojärjestelmien ylläpito-prosessit + tietoturvakäytännöt, mm. pääsynhallinta, lokitus, muutostenhallinta Yritys Prosessi Tietojärjestelmä

10 KEHITYSOHJELMAN LAATIMINEN - ROADMAP Puutteet verrattuna EU:n tietosuoja-asetukseen Kehityssuunnitelma, jonka toteuttaminen mahdollistaa EU tietosuoja-asetuksen täyttämisen Privacy Program kehitys Järjestelmällinen tapa varmistaa tietosuojan toteutuminen Riskianalyysit tarkempien riskien selvittämiseksi Henkilöstön kouluttaminen & kulttuurin luominen Ota huomioon asetuksen siirtymäaika (2 vuotta)

11 PRIVACY IMPACT ASSESSMENT (PIA)

12 TIETOSUOJAA KOSKEVA VAIKUTUSTENARVIOINTI (PIA) Selvitys suunniteltujen käsittelytoimien vaikutuksista henkilötietojen suojalle Tavoite: Ymmärrä riskit ja tunnista tarvittavat kontrollimekanismit suositus: tee PIA jokaisessa hankkeessa, jossa käsitellään henkilötietoja Työkalu riskien hallintaan lainsäädännöstä ja organisaation tietosuojaperiaatteista koostettu kriteeristö Auttaa vastaamaan Tietosuoja-asetuksen vaatimuksiin rekisterinpitäjän vastuu: enää ei riitä että vain yrittää noudattaa lakia

13 PRIVACY IMPACT ASSESSMENT - PROSESSI Henkilö8etojen vuo käsi0elyn laajuuden määritys Tietosuojariskien ja - heikkouksien tunnistaminen ja arvioin8 Korjaavien toimenpiteiden määritys ja toteu0aminen

14 HENKILÖTIETOJEN VUO KÄSITTELYN LAAJUUDEN MÄÄRITYS Liiketoimintatarpeen tunnistaminen Kerättävän datan kartoitus Käyttötapaukset ja roolit: kerääminen, käsittely, säilytys, siirto, luovutus, tuhoaminen Käsittely-ympäristö

15 TIETOSUOJARISKIEN JA -HEIKKOUKSIEN TUNNISTAMINEN JA ARVIOINTI Tietosuojariskien tunnistaminen & liiketoiminnan ja tietosuojan tasapainotus Työkalu: baseline-vaatimukset (kriteeristö mm. EU-asetuksesta) jos palveluja on useita tai ne kehittyvät nopeasti à mittakaava-edut keskinäinen vertailu mahdollista

16 KORJAAVIEN TOIMENPITEIDEN MÄÄRITYS JA TOTEUTTAMINEN Määritellään selkeät toimenpiteet riskien ja puutteiden korjaamiseksi Toteuttamisen vastuuttaminen ja seuranta Uusintatarkastus palvelun/sovelluksen uusien versioiden kehityksen yhteydessä Hyötyjä Riskienhallinta Palvelun myyntiargumentti asiakkaille Tietovuototapaukset ja selvityspyynnöt à osoitus, että on pyritty toimimaan oikein

17 KOKEMUKSIA MATKAN VARRELTA

18 Yllättävä välityspalvelin: Message broker?

19 Vahingossa ulkoistettu ylläpito

20 Pilvipalvelun istunnon hallinta

21 KÄYTÄNNÖN KOKEMUKSIA Hallinnollisten prosessien ja käytäntöjen lisäksi tekninen arviointi Systemaattinen, määrämuotoinen toteuttaminen projektien osana ennen käyttöönottoa ja merkittävien muutosten yhteydessä Tietovuo saattaa paljastaa yllättäviä välipalvelimia ja turvattomia käytäntöjä Pienen löydöksen vaikutukset voivat eskaloitua integroidussa ympäristössä Yrityksen työntekijöiden ja ulkoisten työntekijöiden tiedot ovat myös henkilötietodataa Privacy-tietoisuuden lisääntyminen organisaatiossa Tietosuojariski à Liiketoimintariski

22 NIXUN TIETOSUOJAPALVELUT Tietosuoja- analyysi Tietosuojan kehitysohjelma Tietosuoja- poli8ikka Käy0ö- lii0ymät Prosessit Järjestelmät Tietokannat Sopimukset Suostumusten hallinta Kulu0ajien ja viranomaisten pyyntöjen käsi0ely Vaikutustenarvioin8 (PIA) Tietoturvatarkastus Tietosuojan hallinta, DPO

23 THANK YOU! Nixu Oy P.O. Box 39 (Keilaranta 15), FI Espoo, Finland Tel , Fax , nixu.sales@nixu.com