Ilmainen e-kirja: NIS2 haltuun hyödyntäen ISO 27001 -käytäntöjä
Lataa e-kirja
Akatemian etusivu
Ohjeet
Askeleet tiedonhallintatyön käynnistämiseen

Tässä suositus työskentelyn prioriteeteista Digiturvamallissa, kun organisaatiossa työskennellään ensisijaisesti tiedonhallintalain näkökulmasta.

1. Muodostakaa asiakirjajulkisuuskuvaus ja tiedonhallintamallin perusteet

Asiakirjajulkisuuskuvaus on organisaation verkkosivuilla julkaistava, kansalaiselle suunniteltu kuvaus organisaation tietojenkäsittelystä.

Tiedonhallintamalli puolestaan on sisäinen kuvaus, jota ylläpidetään tiedonhallinnan systemaattista johtamista varten. Siinä kuvataan sekä organisaation tietojejnkäsittely-ympäristön tärkeimmät elementit sekä organisaation tietoturvatoimenpiteet. Toimenpiteisiin palataan tässä artikkelissa kohdissa 2-3.

Digiturvamallissa asiakirjajulkisuuskuvaus sekä tiedonhallintamalli ovar raportteja, jotka muodostuvat automaattisesti, kun seuraavissa osioissa on täytetty tietoja:

  • Listaus toimintaprosesseista
  • Listaus tietovarannoista
  • Listaus tietojärjestelmistä

Näiden kuvausten olemassaolo on tiedonhallintalain näkyvimpiä ja ensimmäisiä vaatimuksia, joten työ kannattaa aloittaa niihin keskittyen näistä osioista.

Vinkki: Kaikki tähän askeleeseen liittyvät osiot löytyvät yhteenvedettynä Tiedonhallintalaki-sivun oikeasta yläkulmasta.

2. Käykää läpi muut tiedonhallintalain vaatimukset

Tiedonhallintalain nimenomaisesti suomalaiselle julkishallinnolle listaamat täsmävaatimukset löytyvät Digiturvamallin rakenteesta teemasta Tiedonhallinta.

Tärkeimpien kuvausten muodostamisen jälkeen kannattaa käydä läpi tämän teeman listaamat tehtävät. Tehtävien ideana on käydä ylätasolla läpi, kuka vastaa mistäkin asiasta ja kuinka asia on teillä hoidettu. Jokaisella tehtävällä on taustallaan linkki tiedonhallintalain eri kohtiin.

3. Kartoittakaa tietoturvatoimenpiteiden nykytila Julkri-kehikkoa vasten

Kun tiedonhallintalain kuvaukset ja täsmävaatimukset on käsitelty, suosittelemme siirtymään nykyisten tietoturvatoimenpiteiden tarkempaan kartoittamiseen seuraavilla askelilla:

  • Aktivoikaa haluttu Julkri-vaatimuskehikon taso (esim. Julkri: Startti)
  • Aktivoikaa ne odottavat tehtävät, joihin liittyviä toimenpiteitä ja vastuita teillä jo nykyään on olemassa
  • Valitkaa tehtävien omistajat ja täydentäkää toteutustiedot

Tämän jälkeen voitte hahmottaa omaa nykytilaa esimerkiksi Julkri-kriteeristön näkökulmasta ja tarvittaessa asettaa tavoitteita työn seuraavista kehityskohteista.

4. Kehittäkää henkilöstön digiturvaohjeistusta Digiturvamallin avulla

Julkri-kehikon myötä Digiturvamalliin aktivoituu monia henkilöstölähtöisiä tietoturvatoimenpiteitä. Näissä tehtävän toteutusta eivät voi pelkästään avainhenkilöt hoitaa, vaan on määriteltävä turvallisen toiminnan sääntöjä (ohjeita) ja jalkautettava näiden hyväksyntä henkilöstölle Ohjekirja-näkymän kautta.

Digiturvamallista löytyy kattavasti esimerkkiohjeita sekä työkalut ohjeiden jakelun ja lukemisen valvonnan tehokkaaseen automatisointiin suoraan Teams-ympäristössä.

5. Kehittäkää tietoturvariskien ja muutosvaikutusten arviointia

Kun oma tiedonhallintamalli (eli digiturvan hallintajärjestelmä) on saatu tänne asti, ollaan onnistuttu jo monessa asiassa:

  • Oma tietojenkäsittely-ympäristö on kuvattu ja kuvausta ylläpidetään selkeiden vastuiden kera
  • Tietoturvatoimenpiteet ja niistä vastaavat avainhenkilöt on listattu ja niiden toteutus kuvattu
  • Henkilöstöä ohjeistetaan hallitusti ja valvotusti digiturva-asioissa

Hyvän tietoturvajohtamisen avainasiat ovat siis kasassa. Tämän jälkeen voidaan onnistua hyvin myös kehittyneemmissä tietoturvan johtamisen asioissa, kuten muutosvaikutusten arvioinnissa tai tietoturvariskien hallinnassa.

Lue artikkeli tietoturvariskien hallinnasta >>

Lue artikkeli muutosvaikutusten arviointien toteuttamisesta >>

6. Työn laajentaminen tietosuoja-asetuksen (GDPR) tai muiden vaatimuskehikkojen pariin

Työtä Digiturvamallissa voidaan myöhemmin laajentaa muiden vaatimuskehikkojen puolelle.

Tiedonhallintalain ja Julkrin näkökulmasta erityisen paljon päällekkäisyyttä on mm. tietosuoja-asetuksen vaatimuksissa.

Vaatimuskehikot-sivulta voitte hahmottaa, kuinka paljon seuraavien kehikkojen vaatimuksista katetaan jo nykyisillä toimenpiteillänne Digiturvamallissa.

Vinkki: Kehikkoja voi aktivoida ja poistaa käytöstä huoletta - ikinä mitään teidän luomaanne sisältöä ei tuhota tai piiloteta.

Sisältö

Jaa artikkeli