GDPR-projektien ja johtoryhmien kuulumisia GDPR-päivä / Helsinki 20.3.2018 EU General Data Protection Regulation (GDPR) Juha Sallinen / GDPR Tech
Agenda Yleinen tietämys Riskilähtöinen tarkastelu Sovellukset, kumppanit ja ihmiset Tiedonhallinta Tietoturva Koulutus Toteennäyttövelvollisuus Copyright GDPR Tech 2018 GDPR-päivä 20.3. Helsinki 2
EU GDPR lyhyesti General Data Protection Regulation Yhteinen kaikille EU maille 6 + 1 periaatetta henkilötietojen käsittelylle käsittelyn lainmukaisuus, kohtuullisuus ja läpinäkyvyys käyttötarkoitussidonnaisuus tietojen minimointi tietojen täsmällisyys tietojen säilytyksen rajoittaminen tietojen eheys ja luottamuksellisuus rekisterinpitäjän osoitusvelvollisuus Copyright GDPR Tech 2018 GDPR-päivä 20.3. Helsinki 3
Tietämys aloituskyselyn tuloksia projekteissa Vapaa sana - onko sinulla muita EU GDPR:ään liittyviä asioita, joita haluat nostaa esille työssäsi tai työyhteisössäsi. En avaa koskaan epämääräisiä sähköposti-liitteitä työssäni, olen todella tarkka siinä. Mikä on EU GDPR? Meille työntekijöille ei kerrottu asiasta yhtään mitään. Ohjeistus tarvitaan ja mieluusti esimerkkien kanssa. Aivan uutta tietoa. Omat atk-taidot DDR:n ajoilta. Kuuluuko Tiitisen listat hävittää? Mitä pitää tehdä nyt olemassa oleville excel listoille jotka on tallennettu työasemalle. Asemalle pääsee useampi henkilö. Copyright GDPR Tech 2018 GDPR-päivä 20.3. Helsinki 4
Riskien kautta priorisointi - mistä aloittaa Joitakin esimerkkejä: Vanhentunut sovellus Pääsynhallinta Käyttöoikeudet Tietoisuuden puute Päätteiden suojaus Prosessit Rakenteeton tieto (se Y:-levy) Copyright GDPR Tech 2018 GDPR-päivä 20.3. Helsinki 5
Sovellukset, kumppanit ja ihmiset SECURITY BASELINE! MISCONFIGURATIONS Pelkkä ohjeistus ei riitä Muistitko valvonnan ja korjaustoimenpiteet? Riittävät tekniset toimenpiteet Mikä on riittävä? PROCEDURES THIRD-PARTY CONTROLS SYMANTEC CONTROL COMPLIANCE SUITE VULNERABILITIES x NON-COMPLIANCE MANDATES AND REGULATIONS POLICIES STANDARDS Copyright GDPR Tech 2018 GDPR-päivä 20.3. Helsinki 6
Testi tietojen käytöstä Lähetimme kumppanillemme (sovitusti) kalasteluviestejä Noin kolmasosa klikkasi linkkiä Entä jos tämä olisi ollut todellista ja suojaukset työasemassa ei kunnossa? Copyright GDPR Tech 2018 GDPR päivä 20.3 Helsinki 7
Käytänteistä ja selosteista Copyright GDPR Tech 2018 GDPR-päivä 20.3. Helsinki 8
Selosteiden selväkielisyys - esimerkki http://www.channel4.co m/4viewers/viewerpromise/ourpromise www.channel4.co m/4viewers/priv acy Copyright GDPR Tech 2018 GDPR-päivä 20.3. Helsinki 9
Tietoa käsitellään monessa muodossa Tietomuodot Mahdolliset tietoturvahaasteet Esimerkkiratkaisuja Data-in-Motion 101101100110101001 Email/IM Web Post Network Traffic Cloud DLP, SIEM UBA Data-at-Rest 011001101010011011 File Share Database Desktop/Laptop Cloud Storage Information governance Encryption ediscovery Data-in-Use 1011011001101001 Removable/Devices Email/IM Cloud Apps File & Clipboard DLP Information governance Copyright GDPR Tech 2018 (picture McAfee) GDPR-päivä 20.3. Helsinki 10
Henkilötietopyyntö esimerkki testaus tärkeää! 1. Tunnistus! 3. Tiedon nopea löytäminen ja luokittelu 4. Tiedon esittäminen 6. Tiedon siivous 9. Kenelle tiedot menivätkään Copyright GDPR Tech 2018 GDPR-päivä 20.3. Helsinki 11
Tiedonhallinta Kaikki mediat ovat GDPR:n alaisia Tiedätkö todella, missä kaikkialla tietoa on tallennettuna? IDC ja Forrester arvioivat, että noin 90% organisaatioiden tiedosta on rakenteetonta Taulukoita, tekstitiedostoja, tietokanta-dumppeja, listauksia, varmuuskopioita, sähköposteja, Keskimäärin, teillä on miljoonia tiedostoja mitä niissä on? Copyright GDPR Tech 2018 GDPR-päivä 20.3. Helsinki 12
1 3 Copyright GDPR Tech 2018
Mahdollisia seuraamuksia? https://ico.org.uk/action-weve-taken/enforcement/thecarphone-warehouse-ltd/ https://ico.org.uk/action-wevetaken/enforcement/miss-sold-products-uk-ltd/ Copyright GDPR Tech 2018 GDPR-päivä 20.3. Helsinki 14
Company X GDPR Tech Web page Contact form CRM Pipedrive Billing system, account Procountor Email O365 Email O365 Order of services Eihän tämä ole hankalaa Ennakkokysely GDPR työpaja Riskityöpaja Sovellustyöpaja Tiedonkartoitus Dokumentaatio, riskien lievennys Koulutukset Data flow for a new Company contact to GDPR Tech from webpage Asetus ja lait Nykytila / todellisuus Toimenpiteet ja suunnitelma GDPR PK-paketti Copyright GDPR Tech 2018 GDPR-päivä 20.3. Helsinki 15
Juha Sallinen juha@gdprtech.com Kartoitukset Konsultoinnit Koulutukset Tiedonhallintaohjelmistot www.gdprtech.com Copyright GDPR Tech 2018 16