tietoturvasäännöksiä

Tietoturvasäännökset ovat sääntöjä, ohjeita ja lainsäädäntöä, jotka koskevat tiedon järjestelmien ja tietojen suojaamista luvattomalta käytöltä, paljastamiselta, muuttamiselta tai tuhoamiselta. Niiden tavoitteena on varmistaa tiedon luottamuksellisuus, eheyys ja saatavuus sekä tukea organisaatioiden luotettavuutta ja jatkuvuutta.

Soveltamisala kattaa sekä julkisen että yksityisen sektorin toimijat sekä kriittistä infrastruktuuria käsittelevät tahot. EU:n yleinen tietosuoja-asetus (GDPR) sekä kansalliset tietoturva- ja henkilötietolainsäädännöt antavat puitteet, joita täydentävät sektorikohtaiset säädökset sekä organisaatioiden omat tietoturvapolitiikat ja -ohjeistukset.

Yleisiä ominaisuuksia ja vaatimuksia ovat riskien arviointi, oikeudet ja pääsynhallinta, vahva tunnistaminen ja valtuutukset, salaus sekä tiedon eheydyden turvaaminen. Tietoturvasäännösten piiriin kuuluvat myös tietoturvaan liittyvä varmuuskopiointi ja palautuminen, tapahtumaloki sekä järjestelmämuutosten hallinta, uhkien torjunta ja jatkuva koulutus sekä tieto- ja toiminnan jatkuvuuden hallinta.

Käytetyt viitekehykset ja standardit sisältävät esimerkiksi ISO/IEC 27001 -tietoturvallisuus-johtamisjärjestelmän, NIST Cybersecurity Frameworkin sekä sovellettavat maksukorttidata- ja terveysalan vaatimukset. Lainsäädännön näkökulmasta noudatetaan esimerkiksi GDPR:n mukaista tietoturvavelvoitetta ja mahdollisia kansallisia tietoturvalakeja sekä valvontaviranomaisten ohjeistuksia.

Roolit ja lain täytäntöönpano korostavat vastuuta datankäsittelystä: rekisteröitsijä ja käsittelijä sekä mahdollinen tietoturva-asiantuntija. Rangaistukset ja seuraamukset voivat käsittää oikeudellisia seuraamuksia, korjaavat toimenpiteet sekä tietoturvatoimien tehostamista ja viranomaistarkastuksia.