tietoturvapolitiikoilla

Tietoturvapolitiikat ovat organisaation johdon määrittelemiä säännöksiä ja ohjeita siitä, miten tietoja ja IT-järjestelmiä tulee käyttää sekä suojata. Ne asettavat periaatteet, vastuut ja menettelyt, joiden noudattaminen on edellytys turvalliselle toiminnalle ja riskien hallinnalle.

Politiikat kattavat koko organisaation ja niillä pyritään ohjaamaan sekä sisäistä että ulkopuolista toimintaa, mukaan lukien etä- ja mobiilikäyttö sekä alihankkijat. Niiden kehittämisestä vastaa yleensä tietoturva- tai riskienhallintatiimi ja ne viedään päätöksentekijöiden mukaan, kuten toimitusjohtaja tai hallitus.

Yleisimmät politiikan osa-alueet käsittävät hyväksytyn käytön ja käyttäjien vastuut; pääsynhallinnan säännöt; tietojen luokittelu ja hyväksytty käsittely; salaus, varmuuskopiot ja palautuminen onnettomuuksien varalta; laitteen ja verkkoyhteyden turvaaminen sekä etätyö; turvallinen tietojenkäsittely kolmansien osapuolien kanssa; sekä koulutus ja tiedottaminen.

Politiikan elinkaari etenee laadinnasta, hyväksynnästä, julkaisemisesta ja tiedottamisesta koulutuksella, sekä säännöllisestä arvioinnista ja päivittämisestä. Riskinarviointi ja auditoinnit ohjaavat päivityksiä. Toimivan politiikan on oltava käytännön sovellettavissa, sekä teknisesti että organisatorisesti tukeva, jotta se pysyy ajantasaisena muuttuviin uhkiin ja lainsäädäntöön.

Usein tietoturvapolitiikat ovat sovittuja standardien, kuten ISO/IEC 27001, NIST SP 800-53 tai vastaavien, sekä yhdistettyjä noudattamaan voimassa olevaa lainsäädäntöä, kuten tietosuoja-asetusta.

Hyvin laadittu politiikka parantaa organisaation kykyä hallita riskejä, mutta sen onnistuminen riippuu muun muassa koulutuksesta, johdon sitoutumisesta ja käytäntöjen johdonmukaisesta toimeenpanosta.