Page 44

TIETOTURVALLISUUDEN KÄSIKIRJA Sivu 43 / 127 • • • • • • TIETOTURVALLISUUDEN KÄSIKIRJA julkisen hallinnon eri osa-alueille. Keskeisin säädös on tietosuojalaki (1050/2018), joka täydentää EU:n yleistä tietosuoja-asetusta (GDPR) ja määrittää henkilötietojen käsittelyn periaatteet kunnan toiminnoissa. Lisäksi kuntia velvoittaa laki julkisen hallinnon tiedonhallinnasta (906/2019), joka edellyttää tietoturvallista ja suunnitelmallista tiedonhallintaa kaikessa viranomaistoiminnassa. Tietoyhteiskuntakaari (917/2014) säätelee sähköisen viestinnän tietoturvaa ja viestintäverkkojen suojaamista, kun taas kyberturvallisuusstrategian ja huoltovarmuuden ohjeistukset määrittävät varautumisen ja jatkuvuudenhallinnan velvoitteita. Lisäksi kunnan on noudatettava arkistolakia (831/1994) tietojen säilyttämisen ja poistamisen osalta sekä julkisuuslakia (621/1999), joka määrittelee, milloin tiedot ovat julkisia ja miten salassa pidettävää tietoa käsitellään. Näiden säädösten yhteinen tavoite on varmistaa, että kunnan toiminta on tietoturvallista, läpinäkyvää ja lainmukaista, ja että kunta pystyy suojaamaan sekä kansalaisten että omat tietonsa kaikissa olosuhteissa. Joka tapauksessa nopealla ilmoituksella voidaan estää tilanteen paheneminen ja vahingot voidaan minimoida. Esimerkiksi, jos rikkomus huomataan ajoissa, voidaan estää lisätietojen vuotaminen tai estää hyökkääjää leviämästä muihin järjestelmiin. Tietoturvallisuusuhkien nopea käsittely auttaa palauttamaan normaalin liiketoiminnan mahdollisimman nopeasti ja toimintanne jatkuvuus on turvattu. Käytänkin tässä termiä ”toimintakyvyn ja tuloksentekokyvyn säilyttäminen”. Rehellinen ja nopea reagointi tietoturvallisuusloukkaukseen voi vahvistaa asiakkaiden ja yhteistyökumppaneiden luottamusta. Organisaatio, joka piilottaa ongelmat, voi kärsiä mainehaitasta, kun asiat tulevat julki. Lähde mm. https://www.kyberturvallisuuskeskus.fi/fi/toimintamme/saantely-javalvonta/nis-2-euroopan-unionin-kyberturvallisuusdirektiivi/tarkeaa-tietoa#68867-2 Muutos ja käyttäjien aktivointi organisaatiossa Tilastojen mukaan arviolta 95 % riskeistä syntyy käyttäjien virheistä. Miten käyttäjät saataisiin aktivoitua ja ymmärtämään heidän vaikutuksensa tietoturvaan? Suunnitelmallisuutta tarvitaan, koska organisaatiosta riippuen kaikkea tietoturvaan liittyvää ohjeistusta ja informaatiota ei kannata eikä voi kerralla ”kaataa” eri organisaation tasoille. Muutoskyky ja sisäistämisen kyky ovat rajallisia. Muutoksen suunnittelu kannattaa aloittaa ajoissa. Tietyssä pisteessä riittävä määrä käyttäjistä on riittävän kypsiä vastaanottamaan ja tietyssä pisteessä riittävän kypsiä tekemään muutoksia toimintaansa, jotta osaltaan vetävät lopun organisaation mukaansa. Ketkä ovat organisaatiossa näitä uudistajia, vaikuttajia ja avainhenkilöitä? Ketkä haluaisivat olla osana mukana tietoturvallisuuden kehittämistä? Ketä asia jo alun perinkin kiinnostaa?