Luottamuksellisuuskäytännöt

Luottamuksellisuuskäytännöt ovat organisaation ohjeistuksia, menettelytapoja ja kontrollitoimia, joiden tavoitteena on varmistaa, että arkaluonteinen ja luottamuksellinen tieto pysyy suojattuna. Niitä noudatetaan kaikissa toiminnan osa-alueissa, sekä digitaalisen että fyysisen tiedon käsittelyssä, ja niiden tarkoituksena on estää luvaton pääsy, paljastaminen, muutos tai tuho.

Käytännöt kattavat tietojen luokittelun, pääsynhallinnan, tiedon käsittelyn ja siirtämisen, tallennuksen sekä säilytyksen. Tietoluokitus määrittelee, mitkä tiedot ovat julkisia, luottamuksellisia tai erittäin arkaluonteisia, ja millaisia suojatoimia kuhunkin luokkaan liittyy. Pääsynhallinnassa noudatetaan periaatetta pienimmästä oikeudesta, vahvistetaan käyttäjien tunnistaminen ja seurataan pääsyoikeuksien käyttöä. Tiedon käsittely ja siirtäminen tapahtuvat mahdollisuuksien mukaan salausten ja turvallisten kanavien kautta, ja tiedot tallennetaan suojatuissa järjestelmissä.

Organisaation on myös määriteltävä, miten henkilötietoja sekä muita arkaluonteisia tietoja käsitellään sekä miten tietoja säilytetään ja poistetaan. Säännösten ja ohjeiden noudattamiseen liittyy koulutus, riskinarviointi ja säännölliset auditoinnit. Yhteistyökumppaneiden ja alihankkijoiden kanssa käytetään sopimuksia, kuten salassapitosopimuksia (NDA), sekä toteutetaan due diligence -menettelyjä.

Vahinkotilanteiden varalta on määriteltävä ilmoitus- ja vastuurakenne sekä nopea toipumissuunnitelma. Luottamuksellisuuskäytännöt ovat elävä osa tietoturva- ja osakeyhtiökäytäntöjä, joita tarkastellaan ja päivitetään säännöllisesti lainsäädännön, teknologian ja liiketoiminnan muutosten mukaan.