EU:n tietosuoja-asetus eli GDPR ei ole ainoastaan organisaatioiden velvoite – se voi olla myös käytännöllinen ja tehokas kehittämistyökalu, jolla voidaan tukea organisaation tietoturvan kehittämistä. 

Kun tietosuoja-asetuksen periaatteet viedään osaksi arjen toimintaa ja henkilöstö koulutetaan ymmärtämään niiden merkitys, syntyy vahvempi pohja tietoturvalle. GDPR:n osoitusvelvollisuus edellyttää dokumentaatiota ja jatkuvaa arviointia, mikä ohjaa organisaatiota aktiiviseen tietosuojatyöhön.

GDPR – velvoite ja mahdollisuus

EU:n yleinen tietosuoja-asetus (GDPR) velvoittaa organisaatioita suojaamaan henkilötietoja asianmukaisesti. Tämä tarkoittaa käytännössä sitä, että yrityksen on tunnistettava, mitä henkilötietoja se käsittelee, miksi, missä ja miten – ja ennen kaikkea, miten tiedot suojataan. 

 – Kun GDPR:n osoitusvelvollisuuden vaatimukset täytetään, organisaatio tulee samalla kartoittaneeksi ja dokumentoineeksi keskeiset tietovirrat, tietojärjestelmät ja riskit. Tämä toimii erinomaisena lähtökohtana koko tietoturvan kehittämiselle, sanoo K-S Konttoripiste Oy:n ICT-liiketoimintapäällikkö Jussi Wäistö.

Toimiva tietosuoja tukee kasvua, suojaa mainetta ja auttaa varautumaan tulevaisuuden vaatimuksiin, sanoo Jussi Wäistö.

Viisi konkreettista askelta tietoturvan vahvistamiseksi GDPR:n avulla

1. Osoitusvelvollisuus ja jatkuva kehittäminen

GDPR:n keskeinen periaate on osoitusvelvollisuus: organisaation on pystyttävä osoittamaan, että se noudattaa asetusta. Tämä tarkoittaa dokumentaatiota, prosessien läpinäkyvyyttä ja jatkuvaa arviointia. Osoitusvelvollisuuden kriteerit löytyvät osoitteesta: https://tietosuoja.fi/osoitusvelvollisuus

2. Tietovarantojen kartoitus ja dokumentointi

Osa tietosuojadokumentaatiota on muun muassa tietoinventaario, kuvaukset käsittelytoimista ja rekisteriselosteet. Tietoinventaario pakottaa organisaation tunnistamaan, missä henkilötietoja säilytetään ja miten niitä käsitellään. Oikein tehty tietosuojadokumentaatio auttaa luomaan selkeän kokonaiskuvan nykytilasta ja pureutumaan sen jälkeen yksityiskohtiin.

3. Riskien arviointi ja suojaustoimet

Tietoturvaloukkauksia ja tietovuotoja on pyrittävä ennaltaehkäisemään. Kattava riskianalyysi tietoturvasta ja tietosuojasta on osa tietosuojadokumentaatiota ja sen avulla voidaan tunnistaa erilaiset kipupisteet riskit. Tämän myötä suojaustoimet voidaan kohdistaa oikein ja samalla saadaan luotua kirjalliset käytänteet arkeen.

4. Mitä jos jotain sattuu?

Valmistele selkeä prosessi siltä varalta, jos jokin riski konkretisoituu. Mitä tehdään ja kuinka minimoidaan vahingot? Henkilötietojen vuotamistapauksissa tulee myös olla yhteydessä kaikkiin keiden tiedot ovat vuotaneet ja ilmoittaa vuodosta viranomaiselle.

5. Ota tarvittaessa yhteys asiantuntijaan

GDPR-dokumentaation laatiminen voi tuntua monimutkaiselta, jos se ei ole aiheena ennestään tuttu. Asiantuntija voi olla hyvänä apuna kokonaisdokumentaation luomisessa ja auttaa vastaamaan arjesta nouseviin kysymyksiin ja huolen aiheisiin.

Onko organisaatiosi verkkosivut tietoturvan ja tietosuojan näkökulmasta kunnossa?

Organisaation verkkosivut ovat usein ensimmäinen kosketuspinta asiakkaaseen – ja samalla näyteikkuna ulospäin. Tässä vinkkejä tietoturvan ja tietosuojan vahvistamiseksi nettisivuilla:

• Tietosuojaseloste helposti saataville
  Verkkosivuilta tulee löytyä ajantasainen ja selkeä tietosuojaseloste. Sen tulee kertoa, mitä henkilötietoja kerätään, mihin niitä käytetään ja miten niitä suojataan.
• Lomakkeilla selosteen hyväksyntä
  Kaikissa lomakkeissa, joissa kerätään henkilötietoja (esim. yhteydenottopyynnöt, uutiskirjeet), tulee olla valintaruutu, jolla käyttäjä hyväksyy tietosuojaselosteen. Tämä on osa osoitusvelvollisuuden täyttämistä.
• Monivaiheinen tunnistautuminen verkkosivujen pääkäyttäjille
  Verkkosivujen ylläpitoportaalin suojaukset on oltava kunnossa etenkin, jos siellä on tallentuneena henkilötietoja tai muuta arkaluontoista tietoa. Usein lomakkeiden sisältö tallentuu portaaliin, vaikka ne välittyisivätkin myös sähköpostiin. Varmista, että nettisivuille kirjautuvat pääkäyttäjät ja yhteistyökumppanit ovat pakotettuja monivaiheiseen tunnistautumiseen (MFA) ja sivuilla on päivityspalvelut käytössä.

Tietoturvasta ja tietosuojasta kilpailuetua

Vaikka GDPR:n noudattaminen on pakollista, sen tuomat hyödyt voivat olla strategisia. Hyvin hoidettu tietosuoja parantaa asiakaskokemusta, lisää luottamusta ja voi jopa muodostaa kilpailuedun. 

– Toimiva tietosuoja pakottaa organisaation tarkastelemaan prosessejaan kriittisesti – ja usein myös tehostamaan niitä. Se myös tukee kasvua, suojaa mainetta ja auttaa varautumaan tulevaisuuden vaatimuksiin, sanoo Wäistö.