tietoturvallisuussääntöjä

Tietoturvallisuussäännöt ovat organisaation määrittelemiä käytäntöjä ja ohjeita, joiden tarkoituksena on suojata sekä digitaalista että fyysistä tietoa sekä varmistaa toiminnan jatkuvuus. Ne ohjaavat henkilöstön ja sidosryhmien toimintaa sekä tarjoavat kehyksen riskien hallinnalle.

Soveltamisala kattaa kaikki organisaation työntekijät, alihankkijat, vierailevat ulkopuoliset sekä järjestelmät ja prosessit, jotka käsittelevät luottamuksellista dataa. Säännöt kattavat sekä sisäiset että ulkoiset yhteydet, laitteen käytön, tiedon siirrot ja tallennuksen sekä etä- ja mobiilityön.

Keskeiset periaatteet perustuvat kolmen osa-alueen tasapainoon: tietojen luottamuksellisuus, eheyys ja saatavuus. Tämä näkyy muun muassa vähimmäisoikeuksien periaatteena, selkeinä rooleina ja vastuina sekä kyvykkyytenä tunnistaa ja hallita riskejä.

Keskeiset käytännöt sisältävät muun muassa: pääsynhallinnan toteuttamisen minimiperiaatteen mukaisesti; salasanapolitiikan, monivaiheisen tunnistuksen sekä säännöllisen vaihdon; laitteiden ja ohjelmistojen päivittämisen sekä virustorjunnan ylläpidon; tietojen luokittelun ja asianmukaisen käsittelyn sekä salauksen käyttöönoton; varmuuskopioinnin ja palautumisen testauksen; verkkoturvallisuuden, kuten palomuurit, VPN-yhteydet ja luvanvaraisen etätyön hallinnan; sekä koulutuksen ja käyttäjäinformaation lisäämisen säännöllisesti, mukaan lukien phishing-harjoitukset. Lisäksi ohjeistetaan heti ilmoittamaan havaituista uhista ja hyökkäyksistä sekä noudattamaan sovellettavia lainsäädäntöjä, kuten henkilötietojen suojaa koskevia säädöksiä.

Ylläpito ja vastuut määrittelevät tietoturvasta vastaavan henkilön tai tiimin, IT-osaston sekä käyttäjien roolit. Säännöllinen auditointi ja jatkuva kehittäminen varmistavat, että käytännöt pysyvät ajan tasalla ja riskejä vähennetään.