Page 42

TIETOTURVALLISUUDEN KÄSIKIRJA Sivu 41 / 127 • • • • • • TIETOTURVALLISUUDEN KÄSIKIRJA 7. Kybersodankäynti. Kybersodankäynnissä taustalla on usein valtiollinen toimija, jonka tarkoituksena on heikentää, häiritä tai tuhota vastustajaa. Se voi kohdistua esimerkiksi toisen valtion kriittiseen infrastruktuuriin tai järjestelmiin osana laajempaa konfliktia. Motiivi on tuhon aiheuttaminen ja strateginen ylivoima. Ilmoitusvelvollisuus Ilmoitusvelvollisuus tarkoittaa velvoitetta ilmoittaa havaitusta tietoturvaloukkauksesta tai sen epäilystä asianmukaiselle taholle. Tavoitteena on varmistaa, että uhkat ja poikkeamat käsitellään ajoissa ja niiden vaikutukset minimoidaan. Ilmoitusvelvollisuus voi perustua lakiin, viranomaismääräyksiin tai organisaation sisäisiin ohjeisiin, ja se koskee usein niin henkilöstöä, järjestelmätoimittajia kuin yhteistyökumppaneitakin. Tietosuojavaltuutetun toimisto – henkilötietojen loukkaukset (GDPR). Jos tietoturvallisuusloukkaus koskee henkilötietoja (esim. nimiä, yhteystietoja, henkilötunnuksia). Ilmoitus on tehtävä 72 tunnin kuluessa. Tietosuojavaltuutettu on kansallinen valvontaviranomainen, joka valvoo tietosuojalainsäädännön noudattamista. Tietosuojavaltuutetun tehtävinä on mm. valvoa tietosuojalainsäädännön ja muiden henkilötietojen käsittelyä koskevien lakien noudattamista, edistää tietoisuutta henkilötietojen käsittelyyn liittyvistä riskeistä, säännöistä, suojatoimista, velvollisuuksista ja oikeuksista, tehdä selvityksiä ja tarkastuksia sekä määrätä hallinnollisia seuraamuksia tietosuoja-asetuksen rikkomisesta. Mikäli kyberturvallisuuslaissa tarkoitetut valvovat viranomaiset tulevat merkittävää poikkeamaa koskevan ilmoituksen tai muutoin valvontatoimintansa kautta tietoiseksi henkilötietojen tietoturvaloukkauksesta, on valvovilla viranomaisilla velvollisuus välittää asia tiedoksi tietosuojavaltuutetulle. Tämä valvovan viranomaisen tekemä ilmoitus ei korvaa rekisterinpitäjän vastuulle kuuluvaa ilmoitusta henkilötietojen tietoturvaloukkauksesta. https://tietosuoja.fi/ilmoitus-tietoturvaloukkauksesta Kyberturvallisuuskeskus (Traficom) – vakavat kyberuhkat ja kriittisen infrastruktuurin rikkomukset. Kyberturvallisuuskeskukselle on ilmoitettava kaikista vakavista tietoturvallisuusloukkauksista, jotka voivat vaikuttaa kansalliseen turvallisuuteen, yhteiskunnan kriittisiin toimintoihin tai tietoliikenne- ja tietojärjestelmäpalveluihin. Kaikki yritykset ja organisaatiot voivat ilmoittaa Liikenne- ja viestintävirasto Traficomin Kyberturvallisuuskeskuksen CSIRT-yksikölle niihin kohdistuneista tietoturvaloukkauksista, kuten tietojen kalastelusta tai palvelunestohyökkäyksistä, sekä näiden loukkausten yrityksistä. Ilmoitus suositellaan tehtävän, vaikka kyseessä ei olisi NIS2-direktiivin tarkoittama merkittävä tietoturvaloukkaus, sillä yhteydenottojen perusteella Kyberturvallisuuskeskus voi tarvittaessa avustaa poikkeamasta ilmoittanutta tahoa poikkeaman käsittelyssä