Page 16

TIETOTURVALLISUUDEN KÄSIKIRJA Sivu 15 / 127 • • • • • • TIETOTURVALLISUUDEN KÄSIKIRJA mobiililaitteille. Sen tarkoitus on ehkäistä tietoturvauhkia, suojata yksityisyyttä ja varmistaa turvallinen ja sujuva laitteiden ja verkkopalvelujen käyttö. Miten sitten kyberhygienia eroaa tietoturvallisuudesta? Kyberhygienia ja tietoturvallisuus liittyvät läheisesti toisiinsa, mutta ne eivät tarkoita ihan samaa asiaa. Tietoturvallisuus on laajempi kokonaisuus, joka kattaa kaikki tekniset, hallinnolliset ja organisatoriset toimet, joilla pyritään suojaamaan tietoa ja tietojärjestelmiä. Kyberhygienia on osa tietoturvallisuutta, mutta se painottuu yksittäisen käyttäjän tai työntekijän arkisiin toimiin ja tapoihin, joilla ylläpidetään tietoturvaa. Se on käytännönläheinen, henkilökohtainen ja toistuva rutiini. Entä mitä eroa on tietoturvapolitiikalla ja kyberhygienialla? Tietoturvapolitiikka on organisaation virallinen ohjeistus tai sääntökehys, joka määrittelee, miten tietoturvaa tulee hoitaa ja miksi. Kyberhygienia voi olla osa tietoturvapolitiikkaa, mutta se ei itsessään ole politiikka – vaan toimintaa, jota politiikka voi ohjata. Miten sitten tietoturvaohjeistus liittyy kyberhygieniaan? Tietoturvaohjeistus ja kyberhygienia liittyvät toisiinsa samalla tavalla kuin ohjeet ja käytännön teot yleensäkin – vähän kuin resepti ja ruoanlaitto. Tietoturvaohjeistus (tai -ohjeet) on käytännönläheinen opas tai dokumentti, joka kertoo, miten tietoturvapolitiikkaa toteutetaan arjessa. Kyberhygienia taas on se, että todella noudatat niitä ohjeita – arjen käytännöt ja rutiinit. Jos ohjeistus sanoo “älä käytä samaa salasanaa eri palveluissa”, niin kyberhygienia on se, että oikeasti käytät eri salasanoja – ja lisäksi salasanojen hallintasovellusta, jonne salasanat ovat keskitetysti ja tietoturvallisesti tallennettu. Tietoturvapolitiikka on organisaation johdon hyväksymä strateginen asiakirja, joka määrittelee tietoturvan tavoitteet, periaatteet ja vastuut. Sen tarkoituksena on varmistaa, että organisaation tiedot, järjestelmät ja palvelut ovat suojattuja luvattomalta käytöltä, vahingoittumiselta ja väärinkäytöltä. Politiikka luo perustan kaikelle tietoturvatoiminnalle ja toimii ohjenuorana henkilöstölle, johdolle sekä mahdollisille yhteistyökumppaneille. Se määrittää muun muassa, miten tietoturvaa hallitaan, kuka vastaa sen eri osa-alueista, ja miten vaatimustenmukaisuutta seurataan ja kehitetään. Hyvin laadittu tietoturvapolitiikka tukee organisaation liiketoimintatavoitteita, varmistaa lakien ja standardien noudattamisen sekä vahvistaa asiakkaiden ja sidosryhmien luottamusta. Poikkeamatilanteisiin varautumisen ensisijainen vastuu on organisaation ylimmällä johdolla, jonka on varmistettava tietoturvatyön riittävä resursointi ja seuranta. Panostaminen tietoturvaan sekä yleisellä että tekniikan tasolla ovat strategisia päätöksiä, joilla vaikutetaan myös organisaation toimintakykyyn. Itse käytän aina termiä liiketoiminnan ja tuloksentekokyvyn jatkuvuus, joka minusta kuvaa parhaimmillaan hyvin toteutetun tietoturvallisuuden käytännön vaikutuksia poikkeustilanteissa. Toivottavasti tämä selvensi termistöä ja tuossa myöhemmin lisää tietoturvallisuuden käsitteitä.