JULKISEN HALLINNON DIGITAALISEN TURVALLISUUDEN KEHITTÄMISHANKE VÄESTÖREKISTERIKESKUS

Transkriptio

1 JULKISEN HALLINNON DIGITAALISEN TURVALLISUUDEN KEHITTÄMISHANKE VÄESTÖREKISTERIKESKUS HANNA HEIKKINEN ERJA KINNUNEN JUHA KIRVES LAURA PENTTILÄ KIMMO ROUSKU

2

3

4 Ajankohtaista JUDO-hanke Kaksi työpajaa tämän jälkeen jäljellä vuonna 2019 Haemme hieman erilaista mallia aluetoimintaan vuodelle 2020, kerromme seuraavissa lisää TAISTO organisaatiota ilmoittautunut vielä mahtuu mukaan! Tiedonhallintalaki Turvallisuusluokitteluasetus vajaa 70 lausuntoa määräaikaan mennessä, työryhmä koostaa eli viimeistelee asetusta, oma työryhmä tekemässä kortitusta Koska valtionhallinnossa ei ole siirtymäaikaa, tarvitaan heti vuoden alusta uudet leimat jne Digiturvallinen elämä verkkokoulutus ja pelit Uusi Arjen digiturva koulutus kuvataan kuun vaihteessa ja toivomme saavamme ulos lokakuun lopussa digiturvapelin toimittajan valinta julkaistaan vajaan kolmen viikon sisällä Kokonaiskuvapalveluun haemme pilottiorganisaatioita loppuvuoden pilottiin Harjoitustoimintaan liittyvä ohjeistus tulee lausunnoille lähiviikkoina

5 Ajankohtaista digimaailmassa

6 Ajankohtaista digimaailmassa

7

8

9

10 Uusi VAHTI Nykyinen VAHTI-toimikausi päättyy vuoden vaihteessa ja VM valmistelee uuden VAHTIn asettamista Meidän toiveena on laajentaa tätä yhteistyö- ja koordinaatiotoimintaa kattamaan paremmin koko julkisen hallinnon, samalla tiedonhallintalain velvoitteiden piirissä olevat organisaatiot Yhteistyön ja tiedonvälityksen parantaminen, laajemman luottamusverkoston luominen, verkostoitumisen kasvattaminen Selviää loppuvuoden aikana

11 MENTI! KOODI:

12 KUJA-projektien parhaat käytännöt ja opit AKI PIHLAJA JA SARI VUORINEN, KUNTALIITTO

13 Case-esimerkki miten hyödynnät käytettävissä olevia työkaluja?

14 Antti Sillanpää, Turvallisuuskomitea YHTEISKUNNAN TURVALLISUUSSTRATEGIA JA KOKONAISTURVALLISUUS SUOMALAISEN VARAUTUMISEN YHTEISTOIMINTAMALLI

15 Lounastauko

16 Antti Sillanpää, Turvallisuuskomitea AJANKOHTAISTA KYBERTURVALLISUUSSTRATEGIAN JA KYBERPUOLUSTUKSEN KEHITTÄMISEEN

17 Kahvitauko

18 Antti Sillanpää, Turvallisuuskomitea HYBRIDIVAIKUTTAMINEN OSANA VAALEJA VAALIVAIKUTTAMISEN KOULUTUSHANKKEEN PARHAAT OPIT

19 Henkilötietojen tietoturvaloukkaukset DBN HTTTL

20 Materiaali Olen käyttänyt tässä esityksessäni EU:n yleinen tietosuoja-asetus Suuntaviivat asetuksen (EU) 2016/679 mukaisesta henkilötietojen tietoturvaloukkauksen ilmoittamisesta en+fi/9c0f2f46-33b1-4b01-9a d59bd605/tietoturvaloukkauksen+ilmoittaminen+fi.pdf Esimerkkejä DBN ja niistä ilmoittamisesta kauksista/754c16aa-152e-4f15-a458- d1579c5ea4b2/esimerkkej%c3%a4+tietoturvaloukkauksista.pdf

21 Edellisten lisäksi Arvioi riskit ja suunnittele toimenpiteet tietosuojan toteuttamiseksi Rekisterinpitäjän on arvioitava henkilötietojen käsittelyyn liittyviä riskejä aina, ennen kuin se ryhtyy käsittelemään henkilötietoja. Vaikutustenarviointi Vaikutustenarvioinnin tarkoituksena on auttaa tunnistamaan, arvioimaan ja hallitsemaan henkilötietojen käsittelyyn sisältyviä riskejä Lopussa on yhteenveto: Jos kun toivottavasti esityksen jälkeen tulee kysymyksiä, pyydämme niihin TSV:ltä vastaukset ja julkaistaan tämän työpajan materiaaleissa Niiltä osin kun en itse pysty vastamaan

22 Mitä tietosuoja-asetus sanoo HTTSL DBN? content/fi/txt/?qid= &uri=celex%3a02016r Artikla määritelmät 12) henkilötietojen tietoturvaloukkauksella tietoturvaloukkausta, jonka seurauksena on siirrettyjen, tallennettujen tai muuten käsiteltyjen henkilötietojen vahingossa tapahtuva tai lainvastainen tuhoaminen, häviäminen, muuttaminen, luvaton luovuttaminen taikka pääsy tietoihin, B

23 2 J a k s o H e n k i l ö t i e t o j e n t u r v a l l i s u u s 32 artikla Käsittelyn turvallisuus 1. Ottaen huomioon uusin tekniikka ja toteuttamiskustannukset, käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset sekä luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvat, todennäköisyydeltään ja vakavuudeltaan vaihtelevat riskit rekisterinpitäjän ja henkilötietojen käsittelijän on toteutettava riskiä vastaavan turvallisuustason varmistamiseksi asianmukaiset tekniset ja organisatoriset toimenpiteet, kuten

24 a) henkilötietojen pseudonymisointi ja salaus; b) kyky taata käsittelyjärjestelmien ja palveluiden jatkuva luottamuksellisuus, eheys, käytettävyys ja vikasietoisuus; c) kyky palauttaa nopeasti tietojen saatavuus ja pääsy tietoihin fyysisen tai teknisen vian sattuessa; d) menettely, jolla testataan, tutkitaan ja arvioidaan säännöllisesti teknisten ja organisatoristen toimenpiteiden tehokkuutta tietojenkäsittelyn turvallisuuden varmistamiseksi.

25 2. Asianmukaisen turvallisuustason arvioimisessa on kiinnitettävä huomiota erityisesti käsittelyn sisältämiin riskeihin, erityisesti siirrettyjen, tallennettujen tai muutoin käsiteltyjen henkilötietojen vahingossa tapahtuvan tai laittoman tuhoamisen, häviämisen, muuttamisen, luvattoman luovuttamisen tai henkilötietoihin pääsyn vuoksi. 3. Jäljempänä 40 artiklassa tarkoitettujen hyväksyttyjen käytännesääntöjen tai 42 artiklassa tarkoitetun hyväksytyn sertifiointimekanismin noudattamista voidaan käyttää yhtenä tekijänä sen osoittamiseksi, että tämän artiklan 1 kohdassa asetettuja vaatimuksia noudatetaan.

26 4. Rekisterinpitäjän ja henkilötietojen käsittelijän on toteutettava toimenpiteet sen varmistamiseksi, että jokainen rekisterinpitäjän tai henkilötietojen käsittelijän alaisuudessa toimiva luonnollinen henkilö, jolla on pääsy henkilötietoihin, käsittelee niitä ainoastaan rekisterinpitäjän ohjeiden mukaisesti, ellei unionin oikeudessa tai jäsenvaltion lainsäädännössä toisin vaadita. Tämän johdosta on erittäin tärkeää, että sekä organisaation omalle henkilöstölle että henkilötietojen käsittelijöiden henkilöstö on ohjeistettu ja koulutettu toimimaan oikealla tavalla

27 33 artikla Henkilötietojen tietoturvaloukkauksesta ilmoittaminen valvontaviranomaiselle 1. Jos tapahtuu henkilötietojen tietoturvaloukkaus, rekisterinpitäjän on ilmoitettava siitä ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa sen ilmitulosta 55 artiklan mukaisesti toimivaltaiselle valvontaviranomaiselle, paitsi jos henkilötietojen tietoturvaloukkauksesta ei todennäköisesti aiheudu luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvaa riskiä. Jos ilmoitusta ei anneta 72 tunnin kuluessa, rekisterinpitäjän on toimitettava valvontaviranomaiselle perusteltu selitys. 2. Henkilötietojen käsittelijän on ilmoitettava henkilötietojen tietoturvaloukkauksesta rekisterinpitäjälle ilman aiheetonta viivytystä saatuaan sen tietoonsa.

28 3. Edellä 1 kohdassa tarkoitetussa ilmoituksessa on vähintään a) kuvattava henkilötietojen tietoturvaloukkaus, mukaan lukien mahdollisuuksien mukaan asianomaisten rekisteröityjen ryhmät ja arvioidut lukumäärät sekä henkilötietotyyppien ryhmät ja arvioidut lukumäärät; b) ilmoitettava tietosuojavastaavan nimi ja yhteystiedot tai muu yhteyspiste, josta voi saada lisätietoa; c) kuvattava henkilötietojen tietoturvaloukkauksen todennäköiset seuraukset; d) kuvattava toimenpiteet, joita rekisterinpitäjä on ehdottanut tai jotka se on toteuttanut henkilötietojen tietoturvaloukkauksen johdosta, tarvittaessa myös toimenpiteet mahdollisten haittavaikutusten lieventämiseksi.

29 4. Jos rekisterinpitäjä ei ole vielä ilmoittanut henkilötietojen tietoturvaloukkauksesta rekisteröidylle, valvontaviranomainen voi vaatia ilmoituksen tekemistä tai päättää, että jokin 3 kohdan edellytyksistä täyttyy, arvioituaan, kuinka todennäköisesti henkilötietojen tietoturvaloukkaus aiheuttaa suuren riskin.

30 34 artikla Henkilötietojen tietoturvaloukkauksesta ilmoittaminen rekisteröidylle 1. Kun henkilötietojen tietoturvaloukkaus todennäköisesti aiheuttaa korkean riskin luonnollisten henkilöiden oikeuksille ja vapauksille, rekisterinpitäjän on ilmoitettava tietoturvaloukkauksesta rekisteröidylle ilman aiheetonta viivytystä. 2. Tämän artiklan 1 kohdassa tarkoitetussa rekisteröidylle annettavassa ilmoituksessa on kuvattava selkeällä ja yksinkertaisella kielellä henkilötietojen tietoturvaloukkauksen luonne ja annettava ainakin 33 artiklan 3 kohdan b, c ja d alakohdassa tarkoitetut tiedot ja toimenpiteet.

31 3. Edellä 1 kohdassa tarkoitettua ilmoitusta rekisteröidylle ei vaadita, jos jokin seuraavista edellytyksistä täyttyy: a) rekisterinpitäjä on toteuttanut asianmukaiset tekniset ja organisatoriset suojatoimenpiteet ja henkilötietojen tietoturvaloukkauksen kohteena oleviin henkilötietoihin on sovellettu kyseisiä toimenpiteitä, erityisesti niitä, joiden avulla henkilötiedot muutetaan muotoon, jossa ne eivät ole sellaisten henkilöiden ymmärrettävissä, joilla ei ole lupaa päästä tietoihin, kuten salausta; b) rekisterinpitäjä on toteuttanut jatkotoimenpiteitä, joilla varmistetaan, että 1 kohdassa tarkoitettu rekisteröidyn oikeuksiin ja vapauksiin kohdistuva korkea riski ei enää todennäköisesti toteudu; c) se vaatisi kohtuutonta vaivaa. Tällaisissa tapauksissa on käytettävä julkista tiedonantoa tai vastaavaa toimenpidettä, jolla rekisteröidyille tiedotetaan yhtä tehokkaalla tavalla.

32 4. Jos rekisterinpitäjä ei ole vielä ilmoittanut henkilötietojen tietoturvaloukkauksesta rekisteröidylle, valvontaviranomainen voi vaatia ilmoituksen tekemistä tai päättää, että jokin 3 kohdan edellytyksistä täyttyy, arvioituaan, kuinka todennäköisesti henkilötietojen tietoturvaloukkaus aiheuttaa suuren riskin. Siis se, että rekisterinpitäjä itse arvioi, että tästä ei aiheudu korkeaa riskiä ei vielä riitä, vaan valvontaviranomainen voi muuttaa tämän riskiarvioinnin tulokset ja edellyttää ilmoituksen tekemistä Korostaa sitä, että tämä riskiarviointi on tehtävä laadukkaasti ja oikein

33 moittaminen+fi/9c0f2f46-33b1-4b01-9a d59bd605/tietoturvaloukkauksen+ilmoittaminen+fi.pdf

34

35

36

37

38

39

40

41

42

43

44

45

46

47

48

49

50

51

52

53

54 oturvaloukkauksista/754c16aa-152e-4f15-a458- d1579c5ea4b2/esimerkkej%c3%a4+tietoturvaloukkauksista.pdf

55

56

57

58

59

60

61

62

63

64

65

66

67

68

69

70 TAISTO19-harjoitus INFO

71 Missä TAISTO19 mennään? Ilmoittautumistilanne Valtionhallinto Kunta tai kuntayhtymä Sairaanhoitopiiri 6 8 Yliopisto, amk tai muu oppilaitos Muu, mikä Yhteensä ~ Ilmoittautuminen mielellään syyskuun aikana, koska ensimmäinen syöte tulee sen jälkeen joutuu osin jo keskelle harjoitusta, mutta ilmoittautuminen on mahdollista aina lokakuun loppuun saakka

72 Ilmoittautuminen ja kutsu Kutsu TAISTO19-harjoitukseen» Ilmoittautuminen TAISTO19-harjoitukseen / Änmälan till övningen TAISTO19»

73 Harjoituskäsikirja Päivitetty versio

74 4Mitä TAISTOssaharjoitellaan? Harjoitus kattaa kolme keskeistä, jokaisen organisaation toimintaan liittyvää kokonaisuutta: 1)Harjoitus kehittää organisaation tietoturvallisuuden hallintaa, johtamista ja viestintää tietoturvaloukkauksissa, erityisesti erilaisissa kyberhyökkäyksissä, kuten palvelunestohyökkäys, lunnashaittaohjelmahyökkäys tai tietomurto. 2)Harjoitus kehittää organisaation henkilötietojen tietoturvaloukkauksissa tarvittavia prosesseja, muun muassa kykyä arvioida syntynyttä riskiä ja tehdä sen perusteella tarvittavat viran-omaisilmoitukset sekä viestiä tilanteesta.

75 3)Harjoitus kehittää organisaation toiminnan jatkuvuuteen ja valmiuteen liittyvää ohjeistusta sekä jatkuvuuden, valmiuden ja toipumisentoimintaprosesseja. Se myös varmistaa, että organisaatio osaa tunnistaa kriittiset palvelut ja prosessit sekä priorisoida ne tärkeyden mukaan. Suosittelen tekemään KUJA pikatestin

76

77 Tarkistuslista Muistattehan huolehtia ainakin seuraavista asioista: 1.Varmistakaa, että harjoitukseen osallistuvat tarvittavat asiantuntijat sekä johdon edustajat varatkaa tarvittavat ajat välittömästi heidän kalentereistaan. 2.Varmistakaa, että käytössänne ovat sopivat tilat ja viestintävälineet harjoituspäivään sekä sitä edeltäviin sisäisiin kokouksiin. 3.Perustakaa harjoitusta varten oma sähköpostiosoite esim. Osoitetta käytetään harjoitukseen liittyvään viestintään ja syötteiden lähettämiseen. Ilmoittakaa sähköpostiosoiteharjoituksen järjestäjälle osoitteeseen Lähettäkää viesti organisaationne yhteyshenkilön sähköpostista ja otsikoikaa viesti TAISTO19-jakelulista.

78 Tarkistuslista 4. Varatkaa organisaationne harjoituksen ydinryhmältä 2 tunnin kokousajat joko ja tai pian niiden jälkeen harjoitus alkaa näinä päivinä julkaistavien kahden syötteen, TAISTOn tarinan kautta. 5.Varatkaa ajankohdat klo 15:00-16:00 ja klo 9:00-10:00. Järjestämme tällöin harjoitukseen osallistuvien organisaatioiden yhteyshenkilöille Skype-kokoukset, joissa vastaamme kysymyksiinne, annamme lisävinkkejä ja kerromme muita parhaita käytäntöjä. Teemme näistä Skype-kokouksista verkkotallenteet, joihin toimitamme linkin tilaisuuksien jälkeen. Näin tieto on tarjolla myös heille, jotka eivät pääse osallistumaan. 6.Varmistakaa, että organisaatiolla on tarvittavat henkilötietojen tietoturvaloukkauksiin liittyvät prosessit ja ohjeet.

79 Tarkistuslista 7. Varmistakaa, että organisaatiolla on jatkuvuuden ja varautumisen suunnitelmat ja oh-jeet, joiden mukaan toimitaan siihen kohdistuvissa häiriöissä, poikkeamissa ja loukkaus-tilanteissa. 8. Varmistakaa, että organisaatiolla on ajantasaiset häiriö-ja kriisitilanteiden viestintään liittyvät prosessit ja ohjeet.

80 Seuraavat vaiheet 30.9 Skype-kokous - klo Ensimmäinen syöte - kaikille Toinen syöte - kaikille Skype-kokous klo Harjoituspäivä ryhmä Harjoituspäivä ryhmä Harjoituspäivä ryhmä 3

81 Muuta muistettavaa

82 Digiturvakiertue Turku Tampere Jyväskylä Kuopio Oulu Järvenpää Ilmoittaudu! Miksi osallistua? #Hyvädigi tulee ja mahdollistaa Pahadigi tulee ja vahingoittaa? Miten? Kuinka me voimme auttaa? - Organisaatio ja Sinua Tietosuoja ajankohtaiskatsaus Aluepaneeli KTK:n #erikoiskybersää ony for your

83 Save the date: VAHTI-päivä

84 16.15 Työpaja päättyy *Kiitos* - tapaamme.9