JULKISEN HALLINNON DIGITAALISEN TURVALLISUUDEN KEHITTÄMISHANKE VÄESTÖREKISTERIKESKUS HANNA HEIKKINEN ERJA KINNUNEN JUHA KIRVES LAURA PENTTILÄ KIMMO ROUSKU
Ajankohtaista JUDO-hanke Kaksi työpajaa tämän jälkeen jäljellä vuonna 2019 Haemme hieman erilaista mallia aluetoimintaan vuodelle 2020, kerromme seuraavissa lisää TAISTO19 200 + organisaatiota ilmoittautunut vielä mahtuu mukaan! Tiedonhallintalaki Turvallisuusluokitteluasetus vajaa 70 lausuntoa määräaikaan mennessä, työryhmä koostaa eli viimeistelee asetusta, oma työryhmä tekemässä kortitusta Koska valtionhallinnossa ei ole siirtymäaikaa, tarvitaan heti vuoden alusta uudet leimat jne Digiturvallinen elämä verkkokoulutus ja pelit Uusi Arjen digiturva koulutus kuvataan kuun vaihteessa ja toivomme saavamme ulos lokakuun lopussa digiturvapelin toimittajan valinta julkaistaan vajaan kolmen viikon sisällä Kokonaiskuvapalveluun haemme pilottiorganisaatioita loppuvuoden pilottiin Harjoitustoimintaan liittyvä ohjeistus tulee lausunnoille lähiviikkoina
Ajankohtaista digimaailmassa
Ajankohtaista digimaailmassa
Uusi VAHTI Nykyinen VAHTI-toimikausi päättyy vuoden vaihteessa ja VM valmistelee uuden VAHTIn asettamista Meidän toiveena on laajentaa tätä yhteistyö- ja koordinaatiotoimintaa kattamaan paremmin koko julkisen hallinnon, samalla tiedonhallintalain velvoitteiden piirissä olevat organisaatiot Yhteistyön ja tiedonvälityksen parantaminen, laajemman luottamusverkoston luominen, verkostoitumisen kasvattaminen Selviää loppuvuoden aikana
MENTI! WWW.MENTI.COM KOODI: 811 200
KUJA-projektien parhaat käytännöt ja opit AKI PIHLAJA JA SARI VUORINEN, KUNTALIITTO
Case-esimerkki miten hyödynnät käytettävissä olevia työkaluja?
Antti Sillanpää, Turvallisuuskomitea YHTEISKUNNAN TURVALLISUUSSTRATEGIA JA KOKONAISTURVALLISUUS SUOMALAISEN VARAUTUMISEN YHTEISTOIMINTAMALLI
Lounastauko
Antti Sillanpää, Turvallisuuskomitea AJANKOHTAISTA KYBERTURVALLISUUSSTRATEGIAN JA KYBERPUOLUSTUKSEN KEHITTÄMISEEN
Kahvitauko
Antti Sillanpää, Turvallisuuskomitea HYBRIDIVAIKUTTAMINEN OSANA VAALEJA VAALIVAIKUTTAMISEN KOULUTUSHANKKEEN PARHAAT OPIT
Henkilötietojen tietoturvaloukkaukset DBN HTTTL
Materiaali Olen käyttänyt tässä esityksessäni EU:n yleinen tietosuoja-asetus https://eur-lex.europa.eu/legalcontent/fi/txt/?qid=1528874672298&uri=celex%3a02016r0679-20160504 Suuntaviivat asetuksen (EU) 2016/679 mukaisesta henkilötietojen tietoturvaloukkauksen ilmoittamisesta https://tietosuoja.fi/documents/6927448/8316711/tietoturvaloukkauksen+ilmoittamin en+fi/9c0f2f46-33b1-4b01-9a50-9320d59bd605/tietoturvaloukkauksen+ilmoittaminen+fi.pdf Esimerkkejä DBN ja niistä ilmoittamisesta https://tietosuoja.fi/documents/6927448/8214536/esimerkkej%c3%a4+tietoturvalouk kauksista/754c16aa-152e-4f15-a458- d1579c5ea4b2/esimerkkej%c3%a4+tietoturvaloukkauksista.pdf
Edellisten lisäksi Arvioi riskit ja suunnittele toimenpiteet tietosuojan toteuttamiseksi Rekisterinpitäjän on arvioitava henkilötietojen käsittelyyn liittyviä riskejä aina, ennen kuin se ryhtyy käsittelemään henkilötietoja. https://tietosuoja.fi/arvioi-riskit Vaikutustenarviointi Vaikutustenarvioinnin tarkoituksena on auttaa tunnistamaan, arvioimaan ja hallitsemaan henkilötietojen käsittelyyn sisältyviä riskejä https://tietosuoja.fi/vaikutustenarviointi Lopussa on yhteenveto: https://tietosuoja.fi/tietoturvaloukkaukset Jos kun toivottavasti esityksen jälkeen tulee kysymyksiä, pyydämme niihin TSV:ltä vastaukset ja julkaistaan tämän työpajan materiaaleissa Niiltä osin kun en itse pysty vastamaan
Mitä tietosuoja-asetus sanoo HTTSL DBN? https://eur-lex.europa.eu/legal- content/fi/txt/?qid=1528874672298&uri=celex%3a02016r0679-20160504 4 Artikla määritelmät 12) henkilötietojen tietoturvaloukkauksella tietoturvaloukkausta, jonka seurauksena on siirrettyjen, tallennettujen tai muuten käsiteltyjen henkilötietojen vahingossa tapahtuva tai lainvastainen tuhoaminen, häviäminen, muuttaminen, luvaton luovuttaminen taikka pääsy tietoihin, B
2 J a k s o H e n k i l ö t i e t o j e n t u r v a l l i s u u s 32 artikla Käsittelyn turvallisuus 1. Ottaen huomioon uusin tekniikka ja toteuttamiskustannukset, käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset sekä luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvat, todennäköisyydeltään ja vakavuudeltaan vaihtelevat riskit rekisterinpitäjän ja henkilötietojen käsittelijän on toteutettava riskiä vastaavan turvallisuustason varmistamiseksi asianmukaiset tekniset ja organisatoriset toimenpiteet, kuten
a) henkilötietojen pseudonymisointi ja salaus; b) kyky taata käsittelyjärjestelmien ja palveluiden jatkuva luottamuksellisuus, eheys, käytettävyys ja vikasietoisuus; c) kyky palauttaa nopeasti tietojen saatavuus ja pääsy tietoihin fyysisen tai teknisen vian sattuessa; d) menettely, jolla testataan, tutkitaan ja arvioidaan säännöllisesti teknisten ja organisatoristen toimenpiteiden tehokkuutta tietojenkäsittelyn turvallisuuden varmistamiseksi.
2. Asianmukaisen turvallisuustason arvioimisessa on kiinnitettävä huomiota erityisesti käsittelyn sisältämiin riskeihin, erityisesti siirrettyjen, tallennettujen tai muutoin käsiteltyjen henkilötietojen vahingossa tapahtuvan tai laittoman tuhoamisen, häviämisen, muuttamisen, luvattoman luovuttamisen tai henkilötietoihin pääsyn vuoksi. 3. Jäljempänä 40 artiklassa tarkoitettujen hyväksyttyjen käytännesääntöjen tai 42 artiklassa tarkoitetun hyväksytyn sertifiointimekanismin noudattamista voidaan käyttää yhtenä tekijänä sen osoittamiseksi, että tämän artiklan 1 kohdassa asetettuja vaatimuksia noudatetaan.
4. Rekisterinpitäjän ja henkilötietojen käsittelijän on toteutettava toimenpiteet sen varmistamiseksi, että jokainen rekisterinpitäjän tai henkilötietojen käsittelijän alaisuudessa toimiva luonnollinen henkilö, jolla on pääsy henkilötietoihin, käsittelee niitä ainoastaan rekisterinpitäjän ohjeiden mukaisesti, ellei unionin oikeudessa tai jäsenvaltion lainsäädännössä toisin vaadita. Tämän johdosta on erittäin tärkeää, että sekä organisaation omalle henkilöstölle että henkilötietojen käsittelijöiden henkilöstö on ohjeistettu ja koulutettu toimimaan oikealla tavalla
33 artikla Henkilötietojen tietoturvaloukkauksesta ilmoittaminen valvontaviranomaiselle 1. Jos tapahtuu henkilötietojen tietoturvaloukkaus, rekisterinpitäjän on ilmoitettava siitä ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa sen ilmitulosta 55 artiklan mukaisesti toimivaltaiselle valvontaviranomaiselle, paitsi jos henkilötietojen tietoturvaloukkauksesta ei todennäköisesti aiheudu luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvaa riskiä. Jos ilmoitusta ei anneta 72 tunnin kuluessa, rekisterinpitäjän on toimitettava valvontaviranomaiselle perusteltu selitys. 2. Henkilötietojen käsittelijän on ilmoitettava henkilötietojen tietoturvaloukkauksesta rekisterinpitäjälle ilman aiheetonta viivytystä saatuaan sen tietoonsa.
3. Edellä 1 kohdassa tarkoitetussa ilmoituksessa on vähintään a) kuvattava henkilötietojen tietoturvaloukkaus, mukaan lukien mahdollisuuksien mukaan asianomaisten rekisteröityjen ryhmät ja arvioidut lukumäärät sekä henkilötietotyyppien ryhmät ja arvioidut lukumäärät; b) ilmoitettava tietosuojavastaavan nimi ja yhteystiedot tai muu yhteyspiste, josta voi saada lisätietoa; c) kuvattava henkilötietojen tietoturvaloukkauksen todennäköiset seuraukset; d) kuvattava toimenpiteet, joita rekisterinpitäjä on ehdottanut tai jotka se on toteuttanut henkilötietojen tietoturvaloukkauksen johdosta, tarvittaessa myös toimenpiteet mahdollisten haittavaikutusten lieventämiseksi.
4. Jos rekisterinpitäjä ei ole vielä ilmoittanut henkilötietojen tietoturvaloukkauksesta rekisteröidylle, valvontaviranomainen voi vaatia ilmoituksen tekemistä tai päättää, että jokin 3 kohdan edellytyksistä täyttyy, arvioituaan, kuinka todennäköisesti henkilötietojen tietoturvaloukkaus aiheuttaa suuren riskin.
34 artikla Henkilötietojen tietoturvaloukkauksesta ilmoittaminen rekisteröidylle 1. Kun henkilötietojen tietoturvaloukkaus todennäköisesti aiheuttaa korkean riskin luonnollisten henkilöiden oikeuksille ja vapauksille, rekisterinpitäjän on ilmoitettava tietoturvaloukkauksesta rekisteröidylle ilman aiheetonta viivytystä. 2. Tämän artiklan 1 kohdassa tarkoitetussa rekisteröidylle annettavassa ilmoituksessa on kuvattava selkeällä ja yksinkertaisella kielellä henkilötietojen tietoturvaloukkauksen luonne ja annettava ainakin 33 artiklan 3 kohdan b, c ja d alakohdassa tarkoitetut tiedot ja toimenpiteet.
3. Edellä 1 kohdassa tarkoitettua ilmoitusta rekisteröidylle ei vaadita, jos jokin seuraavista edellytyksistä täyttyy: a) rekisterinpitäjä on toteuttanut asianmukaiset tekniset ja organisatoriset suojatoimenpiteet ja henkilötietojen tietoturvaloukkauksen kohteena oleviin henkilötietoihin on sovellettu kyseisiä toimenpiteitä, erityisesti niitä, joiden avulla henkilötiedot muutetaan muotoon, jossa ne eivät ole sellaisten henkilöiden ymmärrettävissä, joilla ei ole lupaa päästä tietoihin, kuten salausta; b) rekisterinpitäjä on toteuttanut jatkotoimenpiteitä, joilla varmistetaan, että 1 kohdassa tarkoitettu rekisteröidyn oikeuksiin ja vapauksiin kohdistuva korkea riski ei enää todennäköisesti toteudu; c) se vaatisi kohtuutonta vaivaa. Tällaisissa tapauksissa on käytettävä julkista tiedonantoa tai vastaavaa toimenpidettä, jolla rekisteröidyille tiedotetaan yhtä tehokkaalla tavalla.
4. Jos rekisterinpitäjä ei ole vielä ilmoittanut henkilötietojen tietoturvaloukkauksesta rekisteröidylle, valvontaviranomainen voi vaatia ilmoituksen tekemistä tai päättää, että jokin 3 kohdan edellytyksistä täyttyy, arvioituaan, kuinka todennäköisesti henkilötietojen tietoturvaloukkaus aiheuttaa suuren riskin. Siis se, että rekisterinpitäjä itse arvioi, että tästä ei aiheudu korkeaa riskiä ei vielä riitä, vaan valvontaviranomainen voi muuttaa tämän riskiarvioinnin tulokset ja edellyttää ilmoituksen tekemistä Korostaa sitä, että tämä riskiarviointi on tehtävä laadukkaasti ja oikein
https://tietosuoja.fi/documents/6927448/8316711/tietoturvaloukkauksen+il moittaminen+fi/9c0f2f46-33b1-4b01-9a50-9320d59bd605/tietoturvaloukkauksen+ilmoittaminen+fi.pdf
https://tietosuoja.fi/documents/6927448/8214536/esimerkkej%c3%a4+tiet oturvaloukkauksista/754c16aa-152e-4f15-a458- d1579c5ea4b2/esimerkkej%c3%a4+tietoturvaloukkauksista.pdf
https://tietosuoja.fi/arvioi-riskit
https://tietosuoja.fi/vaikutustenarviointi
https://tietosuoja.fi/tietoturvaloukkaukset
TAISTO19-harjoitus INFO
Missä TAISTO19 mennään? Ilmoittautumistilanne 19.9 1.9 19.9 Valtionhallinto 44 58 Kunta tai kuntayhtymä 90 105 Sairaanhoitopiiri 6 8 Yliopisto, amk tai muu oppilaitos 13 19 Muu, mikä 15 17 Yhteensä ~ 168 207-43 Ilmoittautuminen mielellään syyskuun aikana, koska ensimmäinen syöte tulee 10.10 sen jälkeen joutuu osin jo keskelle harjoitusta, mutta ilmoittautuminen on mahdollista aina lokakuun loppuun saakka
Ilmoittautuminen ja kutsu https://vrk.fi/taisto19 Kutsu TAISTO19-harjoitukseen» Ilmoittautuminen TAISTO19-harjoitukseen / Änmälan till övningen TAISTO19»
Harjoituskäsikirja Päivitetty versio
4Mitä TAISTOssaharjoitellaan? Harjoitus kattaa kolme keskeistä, jokaisen organisaation toimintaan liittyvää kokonaisuutta: 1)Harjoitus kehittää organisaation tietoturvallisuuden hallintaa, johtamista ja viestintää tietoturvaloukkauksissa, erityisesti erilaisissa kyberhyökkäyksissä, kuten palvelunestohyökkäys, lunnashaittaohjelmahyökkäys tai tietomurto. 2)Harjoitus kehittää organisaation henkilötietojen tietoturvaloukkauksissa tarvittavia prosesseja, muun muassa kykyä arvioida syntynyttä riskiä ja tehdä sen perusteella tarvittavat viran-omaisilmoitukset sekä viestiä tilanteesta.
3)Harjoitus kehittää organisaation toiminnan jatkuvuuteen ja valmiuteen liittyvää ohjeistusta sekä jatkuvuuden, valmiuden ja toipumisentoimintaprosesseja. Se myös varmistaa, että organisaatio osaa tunnistaa kriittiset palvelut ja prosessit sekä priorisoida ne tärkeyden mukaan. Suosittelen tekemään KUJA pikatestin http://www.kuntaliitto.fi/kuja
Tarkistuslista Muistattehan huolehtia ainakin seuraavista asioista: 1.Varmistakaa, että harjoitukseen osallistuvat tarvittavat asiantuntijat sekä johdon edustajat varatkaa tarvittavat ajat välittömästi heidän kalentereistaan. 2.Varmistakaa, että käytössänne ovat sopivat tilat ja viestintävälineet harjoituspäivään sekä sitä edeltäviin sisäisiin kokouksiin. 3.Perustakaa harjoitusta varten oma sähköpostiosoite esim. taisto@organisaatio.fi. Osoitetta käytetään harjoitukseen liittyvään viestintään ja syötteiden lähettämiseen. Ilmoittakaa sähköpostiosoiteharjoituksen järjestäjälle osoitteeseen digiturva@vrk.fi. Lähettäkää viesti organisaationne yhteyshenkilön sähköpostista ja otsikoikaa viesti TAISTO19-jakelulista.
Tarkistuslista 4. Varatkaa organisaationne harjoituksen ydinryhmältä 2 tunnin kokousajat joko 10.10. ja 17.10. tai pian niiden jälkeen harjoitus alkaa näinä päivinä julkaistavien kahden syötteen, TAISTOn tarinan kautta. 5.Varatkaa ajankohdat 30.9. klo 15:00-16:00 ja 21.10 klo 9:00-10:00. Järjestämme tällöin harjoitukseen osallistuvien organisaatioiden yhteyshenkilöille Skype-kokoukset, joissa vastaamme kysymyksiinne, annamme lisävinkkejä ja kerromme muita parhaita käytäntöjä. Teemme näistä Skype-kokouksista verkkotallenteet, joihin toimitamme linkin tilaisuuksien jälkeen. Näin tieto on tarjolla myös heille, jotka eivät pääse osallistumaan. 6.Varmistakaa, että organisaatiolla on tarvittavat henkilötietojen tietoturvaloukkauksiin liittyvät prosessit ja ohjeet.
Tarkistuslista 7. Varmistakaa, että organisaatiolla on jatkuvuuden ja varautumisen suunnitelmat ja oh-jeet, joiden mukaan toimitaan siihen kohdistuvissa häiriöissä, poikkeamissa ja loukkaus-tilanteissa. 8. Varmistakaa, että organisaatiolla on ajantasaiset häiriö-ja kriisitilanteiden viestintään liittyvät prosessit ja ohjeet.
Seuraavat vaiheet 30.9 Skype-kokous - klo 15.00 16.00 10.10. Ensimmäinen syöte - kaikille 17.10 Toinen syöte - kaikille 21.10 Skype-kokous klo 9.00 10.00 7.11 Harjoituspäivä ryhmä 1 19.11 Harjoituspäivä ryhmä 2 26.11 Harjoituspäivä ryhmä 3
Muuta muistettavaa
Digiturvakiertue 8.10 9.10 Turku Tampere 15.10 Jyväskylä 23.10 Kuopio 24.10 Oulu 31.10 Järvenpää Ilmoittaudu! https://vrk.fi/tapahtumien-materiaalit Miksi osallistua? #Hyvädigi tulee ja mahdollistaa Pahadigi tulee ja vahingoittaa? Miten? Kuinka me voimme auttaa? - Organisaatio ja Sinua Tietosuoja ajankohtaiskatsaus Aluepaneeli KTK:n #erikoiskybersää ony for your
Save the date: 10.12.2019 VAHTI-päivä 10.12.2019
16.15 Työpaja päättyy *Kiitos* - tapaamme.9