HAVAINTOJA PARHAISTA KÄYTÄNNÖISTÄ Harri Vilander, Nixu Oy
SISÄLTÖ Tietosuoja-analyysi Tietosuojaa koskeva vaikutustenarviointi (PIA) Kokemuksia matkan varrelta
TIETOSUOJA-ANALYYSI Tietosuojan nykytilanteen selvitys gap-analyysi asetukseen verrattuna tietoturvan yleiskuva + tietoriskit pohjatyö tietosuojan kehitysohjelman laatimiselle Tavoite: löydä suojattavat kohteet ( assetit ) ja ymmärrä riskit Rakenna tietosuojan kehitysohjelma ja varmista menestymisen edellytykset Liiketoiminnan tarpeet Käy0ö- tapaukset ja Henkilö8etojen elinkaari Vaa8musten täy0yminen Kehitys- suunnitelma
LIIKETOIMINNAN TARPEET Henkilötietojen käsittelyä koskevat periaatteet Selvitä käyttötarkoitukset mitä ja mitä henkilötietoja kerätään ja käsitellään? ovatko henkilötiedot ovat tarpeellisia määriteltyyn tarkoitukseen? voidaanko asiat tehdä toisin? anonymisointi? mikä on suunniteltu tietojen säilytysaika? à Pystyttävä kertomaan myös rekisteröidyille käsiteltävä lainmukaises0, asianmukaises0 ja läpinäkyväs0 kerä6ävä 0e6yä ja nimenomaista tarkoitusta varten määrä rajoite6ava mahdollisimman vähään oltava täsmällisiä ja päivite6yjä
TAVOITTEENA HENKILÖTIETOJEN ELINKAAREN HALLINTA Henkilötietojen turvallinen ja lainmukainen kerääminen, käsittely, säilytys, siirto, luovutus ja tuhoaminen kaikissa järjestelmissä ja prosesseissa Järjestelmä 1 Järjestelmä 2 Järjestelmä 3 keruu Liiketoimintaprosessi 1 Liiketoimintaprosessi 2 Henkilötietojen Henkilötietojen luovutus Liiketoimintaprosessi 3
TIETOSUOJAN KOLME TASOA Tietosuojakartoitus tehtävä kaikilla tasoilla Yritys Prosessi Tietojärjestelmä
Yritystaso Accountability: Tietosuojan valvonta ja johtovastuu Liiketoimintavaatimukset ß à käsittelytarkoitukset Tietosuojan hallintakäytännöt Roolit & vastuut, PbD Rekisteröityjen oikeuksien toteutuminen Dokumentaatio, prosessit, esim. tietoturvaloukkausten käsittely Sidosryhmät ja koordinaatio yrityksen sisällä mm. IT, hankinta, tietoturva, koulutus, HR Yritys Prosessi Tietojärjestelmä
(Liiketoiminta)prosessitaso Tiedon elinkaari ja käyttötapaukset kerääminen, käsittely, säilytys, siirto, luovutus ja tuhoaminen Tietojärjestelmät Ulkoistukset ja niiden hallinta Prosessikohtaiset roolit ja vastuut sekä käyttövaltuudet Työohjeet ja koulutus prosessidokumentaatio tietoturvallisuuskontrollit Yksikkötasojen kulttuuri ja Way of working Yritys Prosessi Tietojärjestelmä
Tietojärjestelmätaso Henkilörekisterin suojaaminen ja henkilötietojen käsittelyn turvallisuus Roolit ja vastuut ylläpito, kehitys, järjestelmien omistajuus, tietoturva Teknisen turvallisuuden toteutus arkkitehtuuri ja tekninen toteutus: testaus: tietoturva, turvallinen konfiguraatio Ulkoistukset ja niiden hallinta Tietojärjestelmien ylläpito-prosessit + tietoturvakäytännöt, mm. pääsynhallinta, lokitus, muutostenhallinta Yritys Prosessi Tietojärjestelmä
KEHITYSOHJELMAN LAATIMINEN - ROADMAP Puutteet verrattuna EU:n tietosuoja-asetukseen Kehityssuunnitelma, jonka toteuttaminen mahdollistaa EU tietosuoja-asetuksen täyttämisen Privacy Program kehitys Järjestelmällinen tapa varmistaa tietosuojan toteutuminen Riskianalyysit tarkempien riskien selvittämiseksi Henkilöstön kouluttaminen & kulttuurin luominen Ota huomioon asetuksen siirtymäaika (2 vuotta)
PRIVACY IMPACT ASSESSMENT (PIA)
TIETOSUOJAA KOSKEVA VAIKUTUSTENARVIOINTI (PIA) Selvitys suunniteltujen käsittelytoimien vaikutuksista henkilötietojen suojalle Tavoite: Ymmärrä riskit ja tunnista tarvittavat kontrollimekanismit suositus: tee PIA jokaisessa hankkeessa, jossa käsitellään henkilötietoja Työkalu riskien hallintaan lainsäädännöstä ja organisaation tietosuojaperiaatteista koostettu kriteeristö Auttaa vastaamaan Tietosuoja-asetuksen vaatimuksiin rekisterinpitäjän vastuu: enää ei riitä että vain yrittää noudattaa lakia
PRIVACY IMPACT ASSESSMENT - PROSESSI Henkilö8etojen vuo käsi0elyn laajuuden määritys Tietosuojariskien ja - heikkouksien tunnistaminen ja arvioin8 Korjaavien toimenpiteiden määritys ja toteu0aminen
HENKILÖTIETOJEN VUO KÄSITTELYN LAAJUUDEN MÄÄRITYS Liiketoimintatarpeen tunnistaminen Kerättävän datan kartoitus Käyttötapaukset ja roolit: kerääminen, käsittely, säilytys, siirto, luovutus, tuhoaminen Käsittely-ympäristö
TIETOSUOJARISKIEN JA -HEIKKOUKSIEN TUNNISTAMINEN JA ARVIOINTI Tietosuojariskien tunnistaminen & liiketoiminnan ja tietosuojan tasapainotus Työkalu: baseline-vaatimukset (kriteeristö mm. EU-asetuksesta) jos palveluja on useita tai ne kehittyvät nopeasti à mittakaava-edut keskinäinen vertailu mahdollista
KORJAAVIEN TOIMENPITEIDEN MÄÄRITYS JA TOTEUTTAMINEN Määritellään selkeät toimenpiteet riskien ja puutteiden korjaamiseksi Toteuttamisen vastuuttaminen ja seuranta Uusintatarkastus palvelun/sovelluksen uusien versioiden kehityksen yhteydessä Hyötyjä Riskienhallinta Palvelun myyntiargumentti asiakkaille Tietovuototapaukset ja selvityspyynnöt à osoitus, että on pyritty toimimaan oikein
KOKEMUKSIA MATKAN VARRELTA
Yllättävä välityspalvelin: Message broker?
Vahingossa ulkoistettu ylläpito
Pilvipalvelun istunnon hallinta
KÄYTÄNNÖN KOKEMUKSIA Hallinnollisten prosessien ja käytäntöjen lisäksi tekninen arviointi Systemaattinen, määrämuotoinen toteuttaminen projektien osana ennen käyttöönottoa ja merkittävien muutosten yhteydessä Tietovuo saattaa paljastaa yllättäviä välipalvelimia ja turvattomia käytäntöjä Pienen löydöksen vaikutukset voivat eskaloitua integroidussa ympäristössä Yrityksen työntekijöiden ja ulkoisten työntekijöiden tiedot ovat myös henkilötietodataa Privacy-tietoisuuden lisääntyminen organisaatiossa Tietosuojariski à Liiketoimintariski
NIXUN TIETOSUOJAPALVELUT Tietosuoja- analyysi Tietosuojan kehitysohjelma Tietosuoja- poli8ikka Käy0ö- lii0ymät Prosessit Järjestelmät Tietokannat Sopimukset Suostumusten hallinta Kulu0ajien ja viranomaisten pyyntöjen käsi0ely Vaikutustenarvioin8 (PIA) Tietoturvatarkastus Tietosuojan hallinta, DPO
THANK YOU! Nixu Oy www.nixu.fi/blogi - www.tietovastuu.fi - twitter: @nixutigerteam P.O. Box 39 (Keilaranta 15), FI-02150 Espoo, Finland Tel +358 9 478 1011, Fax +358 9 478 1030, nixu.sales@nixu.com