EU:n tekoälyasetus tuo tekoälyn käyttöön yhteiset pelisäännöt ja haastaa yritykset tarkastelemaan tekoälyä vastuullisuuden, tietoturvan ja osaamisen näkökulmista. Lue artikkelista, mitä tämä käytännössä tarkoittaa ja miten voit kääntää vaatimukset kilpailueduksi.

Elokuusta 2026 täysimääräisesti sovellettava EU:n tekoälyasetus on tuonut tekoälyn käyttöön yhteiset pelisäännöt, joiden ytimessä on vastuullisuus. Yrityksille, jotka jo hyödyntävät tai suunnittelevat tekoälyn käyttöönottoa, asetus ei ole pelkkä sääntelykysymys, vaan myös mahdollisuus rakentaa luottamusta asiakkaisiin, henkilöstöön ja sidosryhmiin. Vastuullinen tekoälyn käyttö tarkoittaa sitä, että teknologian hyödyt tunnistetaan, mutta samalla ymmärretään sen vaikutukset ihmisiin, liiketoimintaan ja yhteiskuntaan.

Riskien tunnistaminen on osa vastuullisuutta

Tekoälyasetus perustuu riskiperusteiseen ajatteluun. Kaikki tekoälyratkaisut eivät ole samanlaisia, eikä niitä tule käsitellä yhtenä kokonaisuutena. Osa sovelluksista on käytännössä vähäriskisiä, kun taas korkeariskiset käyttötapaukset, esimerkiksi ihmisten arviointiin, päätöksentekoon tai valvontaan liittyvät ratkaisut, edellyttävät huomattavasti tiukempaa hallintaa.

Vastuullinen toimija pysähtyy arvioimaan, mihin tarkoitukseen tekoälyä käytetään ja millaisia vaikutuksia sillä voi olla yksilöihin tai päätöksentekoon. Kun käyttötarkoitus ja vaikutukset on hyvin määritetty, myös vaatimusten täyttäminen on huomattavasti helpompaa. Sen pohjalta riskit voidaan tunnistaa ajoissa, jolloin tekoälyä voidaan käyttää hallitusti ja läpinäkyvästi. Tämä tukee paitsi sääntelyn noudattamista, myös eettisesti kestävää liiketoimintaa.

Tietoturva ja tietosuoja luottamuksen perustana

Tekoäly ei ole irrallinen teknologia, vaan se rakentuu datan, järjestelmien ja prosessien varaan. Siksi tietoturva ja tietosuoja ovat keskeinen osa vastuullista tekoälyn käyttöä, eivät erillinen tekninen yksityiskohta. Tekoälymallien kouluttamiseen käytettävä data, tekoälypalveluiden integraatiot sekä ulkopuoliset toimittajat edellyttävät selkeitä vastuita ja hallintamalleja.

Samalla henkilötietojen käsittely tekoälyn yhteydessä vaatii erityistä huolellisuutta. Läpinäkyvyys, käyttötarkoitussidonnaisuus ja minimointi eivät katoa tekoälyn myötä, vaan päinvastoin. Hyvin hallittu tekoälyn käyttö tukee myös tietosuojavaatimusten täyttämistä, kun vastuut, roolit ja käsittelyperusteet on määritelty selkeästi. Yritykset, jotka huomioivat tietosuojan ja tietoturvan jo tekoälyratkaisujen suunnitteluvaiheessa, pystyvät vähentämään riskejä ja vahvistamaan luottamusta niin asiakkaiden kuin viranomaisten suuntaan.

Tekoälylukutaito – uusi perustaito organisaatioille

Tekoälyasetuksessa korostuu myös tekoälylukutaito. Kyse ei ole siitä, että kaikkien pitäisi osata rakentaa tekoälymalleja, vaan siitä, että tekoälyä käyttävät ymmärtävät, miten tekoäly toimii, mihin sitä käytetään ja missä sen rajat kulkevat.

Johdon on kyettävä arvioimaan tekoälyn käyttöä strategisesta ja eettisestä näkökulmasta. Asiantuntijoiden ja käyttäjien taas on tunnistettava, milloin tekoälyn tuottama lopputulos vaatii kriittistä arviointia tai ihmisen tekemää päätöstä. Koulutus ja osaamisen ylläpito ovat keskeinen osa vastuullista tekoälyn hyödyntämistä.

Vastuullisuus kilpailuetuna

Tekoälyasetus ei ole innovoinnin este, vaan keino rakentaa luottamusta ja kehys vastuulliselle kasvulle. Yritykset, jotka ottavat tekoälyn riskit, tietoturvan, tietosuojan ja osaamisen systemaattisesti haltuun, luovat samalla pohjaa kestävälle ja luottamusta herättävälle liiketoiminnalle. Selkeät pelisäännöt mahdollistavat kestävän ja vastuullisen tekoälyn hyödyntämisen ja samalla vähentävät ikäviä yllätyksiä myöhemmin.

Nyt onkin hyvä hetki tarkastella omaa tekoälyn käyttöänne: ei peläten, vaan suunnitelmallisesti ja ennakoiden.

Yhteenveto

EU:n tekoälyasetus ohjaa yrityksiä kohti vastuullista ja hallittua tekoälyn käyttöä. Käytännössä tämä tarkoittaa riskiperusteista ajattelua, tietoturvan ja tietosuojan huomioimista jo suunnitteluvaiheessa sekä riittävän tekoälylukutaidon varmistamista koko organisaatiossa. Yrityksille, jotka tarttuvat näihin teemoihin ennakoivasti, tekoälyasetus ei ole pelkkä velvoite, vaan mahdollisuus rakentaa luottamusta, vähentää riskejä ja luoda kestävää kilpailuetua. Palaan aiheeseen syventäen tekoälyn tietoturvanäkökulmia seuraavassa artikkelissani Kauppakamarin toukokuun lehdessä, jonka teemana on kyberturvallisuus.

P.S. Tämä artikkeli oli pääosin tekoälyn avulla (ChatGPT) kirjoitettu. Myös kirjoittajan kuva, vierailuni EU:n parlamentissa, on muokattu tekoälyn avulla karikatyyriksi. Oliko onnistunut kokonaisuus? Pohdi, millä tavoin tekoäly on muuttanut teidän yrityksenne työskentelyä ja toimintaympäristöä.

The post Tekoälyasetus: Tekoälyn vastuullinen käyttö – mitä yritysten on syytä ymmärtää? appeared first on Tikkasec Oy.

Suomen uusi kyberturvallisuuslaki, joka toimeenpanee EU:n NIS2-direktiivin, on ollut voimassa nyt puolisen vuotta ja on jo muuttanut toimintatapoja erityisesti suurissa organisaatioissa ja niiden toimitusketjuissa.. Lain tarkoituksena on vahvistaa kriittisten toimialojen kyberturvallisuutta ja varmistaa, että organisaatioilla on käytössään riittävät riskienhallinta- ja tietoturvakäytännöt. Lain myötä kyberturvallisuus ei ole enää vain tietohallinnon asia, vaan ylimmän johdon vastuulla oleva tärkeä osa riskienhallintaa. Johdon on pystyttävä osoittamaan, että kyberturvallisuus on huomioitu strategisesti ja siihen on varattu riittävät resurssit.

Ensimmäiset vaikutukset näkyvät jo: suuremmat toimijat ovat kiristäneet vaatimuksiaan myös toimitusketjussaan. Tämä on havaintojeni mukaan tuonut auditointeja ja tietoturvallisuuteen liittyviä kyselyjä pienemmillekin toimittajille. Jopa startup-yritykset ovat olleet suuremman asiakkaan auditoinnin kohteena, kun niiden ratkaisut tai palvelut liittyvät ohjelmistoihin, dataan tai tietojärjestelmiin. Käytännössä laki koskettaa siis moninkertaisesti suurempaa yritysjoukkoa kuin pelkät suoraan lain piiriin kuuluvat organisaatiot.

Viranomaiset vielä ohjaavassa roolissa

Moni organisaatio ei ole täysin valmis lain vaatimuksiin, mutta onneksi viranomaisetkaan eivät ole ottaneet heti tiukinta tulkintalinjaa. Tähän mennessä linja on ollut enemmän ohjaava kuin sanktioiva: viranomaiset neuvovat ilmoittautumaan toimijarekisteriin ja tukevat vaatimusten käytännön jalkauttamisessa. Lain määräajat kuitenkin pysyvät. Esimerkiksi riskienhallinnan toimintamallit on laadittava kolmen kuukauden kuluessa siitä, kun organisaation NIS2-toimijan kriteerit ovat täyttyneet.

Kehittämiseen on myös rahoitustukea tarjolla

Uuden lain toimeenpano ei tarkoita pelkästään kustannuksia, vaan se tarjoaa myös tilaisuuden hakea julkista tukea kyberturvallisuuden kehittämiseen. Traficomin Kyberturvallisuuskeskus on avannut rahoitustuen, josta mikro-, pienet ja keskisuuret organisaatiot (NIS2-toimijat ilmoittautuneena toimijaluetteloon) voivat hakea enintään 100 000 € tukea, joka kattaa puolet kehittämishankkeen kustannuksista. Haku on auki 16.10.2025 asti, ja tukikelpoisia toimia ovat lain vaatimat kyberturvallisuuden arviointi- ja kehittämistoimenpiteet. Tämä on loistava mahdollisuus vahvistaa yrityksen resilienssiä ja saada konkreettista tukea kyberriskien hallintaan.

Mihin yritysten kannattaa panostaa nyt?

Kyberturvallisuuslain ensimmäiset kuukaudet ovat osoittaneet, että suurimmat haasteet liittyvät käytännön toimintamallien rakentamiseen. Moni yritys on vielä lähtökuopissa, ja siksi on tärkeää keskittyä perusasioihin, joilla lain velvoitteet voidaan täyttää ja samalla vahvistaa koko liiketoiminnan resilienssiä.

Ensimmäinen askel on riskienhallinnan perustan laittaminen kuntoon. Organisaatiolla on oltava systemaattinen malli, jossa kyberriskit tunnistetaan, arvioidaan ja dokumentoidaan. Tämä ei voi olla vain IT-osaston tehtävä, vaan osa johdon vastuullista päätöksentekoa.

Toinen painopiste liittyy toimitusketjuun. Yrityksen on pystyttävä osoittamaan, että sen kumppanit ja alihankkijat noudattavat samoja turvallisuusvaatimuksia. Tämä tarkoittaa sopimuksiin kirjattuja velvoitteita, auditointeja ja säännöllistä seurantaa.

Arjen käytännöt muodostavat kolmannen kokonaisuuden. Käytännössä kyse on muun muassa siitä, että pääsynhallinta on kunnossa, tieto kulkee salattuna, varmuuskopiot ovat ajantasaisia ja palautumissuunnitelmat testattuja. Yhtä tärkeää on johdon ja henkilöstön kouluttaminen, sillä ihminen on usein tietoturvan heikoin lenkki.

Neljäs keskeinen asia on raportointivalmius. Yrityksellä on oltava selkeä prosessi poikkeamien havaitsemiseen ja niiden ilmoittamiseen viranomaisille 24 tunnin kuluessa. Tämä edellyttää nimettyjä vastuuhenkilöitä ja valmiiksi harjoiteltuja toimintamalleja.

Viimeisenä, mutta ehkä tärkeimpänä, on johdon sitoutuminen. Kyberturvallisuus on noussut strategiseksi kysymykseksi, joka vaatii resursointia ja jatkuvaa seurantaa. Vain näin voidaan varmistaa, että kyberturvallisuus on aidosti osa yrityksen johtamisjärjestelmää eikä irrallinen ”tekninen lisäosa”.

Velvoite vai mahdollisuus?

Kyberturvallisuuslaki on ennen kaikkea velvoittava sääntelykehys, mutta se tarjoaa myös yrityksille merkittäviä mahdollisuuksia. Kyky osoittaa tietoturvallisuuden taso vahvistaa asiakkaiden ja kumppaneiden luottamusta, ja voi ratkaista kilpailutilanteessa toimittajavalinnan. Systemaattinen riskienhallinta pienentää häiriöiden kustannuksia ja parantaa liiketoiminnan jatkuvuutta.

Vaatimukset eivät tule keventymään, vaan todennäköisesti vain laajenemaan erityisesti toimitusketjuihin liittyvien vaatimusten vuoksi. Siksi nyt tehty työ on sijoitus tulevaisuuteen.

Yhteenveto

Kyberturvallisuuslaki on jo muuttanut pelikenttää. Toimitusketjujen vaatimukset kiristyvät, ja yritysten on nostettava oma kyberturvallisuutensa uudelle tasolle. Viranomaiset suhtautuvat alkuvaiheessa ohjaavasti, mutta vastuu lain velvoitteiden täyttämisestä on organisaatioilla itsellään.

Ne yritykset, jotka tarttuvat toimeen nyt, eivät ainoastaan täytä lain velvoitteita, vaan myös rakentavat luottamusta, turvaavat jatkuvuutta ja luovat itselleen kilpailuetua.

The post Kyberturvallisuuslaki on täällä, mikä on muuttunut? appeared first on Tikkasec Oy.

Johdolla on vastuu suojata organisaation digitaalista toimintaympäristöä

Eduskunnassa on hyväksyttävänä uusi kyberturvallisuuslaki, joka tuo merkittäviä muutoksia suurempien organisaatioiden kyberturvallisuusvastuuseen. Laki perustuu EU:n kyberturvallisuusdirektiiviin (NIS2) ja asettaa lain piiriin kuuluville organisaatioille useita uusia velvoitteita. Nämä velvoitteet painottavat riskienhallintaa, tietoturvatoimia, raportointivelvoitteita, vastuuta koko toimitusketjusta ja yhteistyötä viranomaisten kanssa.

Voimakkaasti digitalisoituneessa ja verkottuneessa maailmassa kyberturvallisuuden merkitys kasvaa yhä enemmän. Tietoverkoissa ja digitaalisissa palveluissa käsitellään arkaluontoista tietoa ja kyberhyökkäykset voivat aiheuttaa organisaatioille katastrofaalisia seurauksia. Tietovuodot, tietojenkalastelu, palvelunestohyökkäykset ja ransomware-hyökkäykset voivat vahingoittaa mainetta, häiritä liiketoimintaa ja johtaa merkittäviin taloudellisiin tappioihin.

Mitä kyberturvallisuuslaki tarkoittaa organisaatioiden johdolle?

Johdolla on nyt entistäkin suurempi vastuu kyberturvallisuudesta. Ylin johto vastaa jatkossa lakisääteisesti organisaation kyberturvallisuutta koskevan riskienhallinnan toteuttamisen ja valvonnan järjestämisestä sekä hyväksyy ja valvoo riskienhallinnan toimintamallia. Johdolla tulee myös olla riittävä perehtyneisyys ja osaaminen kyberturvallisuutta koskevaan riskienhallintaan.

Tämä tarkoittaa käytännössä mm. seuraavia asioita:

• Kyberturvallisuuden priorisointi: Sen on oltava osa organisaation strategista suunnittelua ja riskienhallintaa. Johdon on osoitettava selkeä sitoutuminen kyberturvallisuuteen ja varmistettava, että resursseja on varattu riittävästi asianmukaisten toimenpiteiden toteuttamiseen.
• Riskienhallinta: Organisaation on rakennettava systemaattinen riskienhallinnan toimintamalli, jossa tunnistetaan ja arvioidaan erilaisia kyberturvallisuusriskejä sekä tehdään riskiarvion pohjalta tarvittavia toimia riskien minimoimiseksi.
• Tietoturvatoimet: Organisaation on toteutettava asianmukaisia tietoturvan hallintakeinoja tietojärjestelmien ja tiedon suojaamiseksi. Näihin toimenpiteisiin sisältyy niin teknisiä kuin hallinnollisia toimia, kuten tietoverkkojen ja -järjestelmien suojaaminen, henkilöstöturvallisuus ja koulutus, pääsynhallinnan kehittäminen, salausratkaisut sekä varmuuskopiointi ja palautumissuunnitelmat.
• Toimitusketjun turvallisuus: NIS2-toimijat ovat vastuussa myös toimitusketjunsa kyberturvallisuudesta. Tämä tarkoittaa käytännössä sitä, että organisaation on varmistettava niiden yhteistyökumppanien noudattavan samoja kyberturvallisuusvaatimuksia.
• Tietoisuuden lisääminen: Johdon on varmistettava, että kaikki organisaation työntekijät ymmärtävät kyberturvallisuuteen ja tietoturvaan liittyviä riskejä ja tietävät, kuinka turvata organisaation käsittelemää luottamuksellista tietoa.
• Raportointivelvoitteet: Merkittävistä kyberuhista ja tietoturvapoikkeamista on raportoitava viranomaisille. Ensi-ilmoitus tulee tehdä jo 24 tunnin sisällä poikkeaman havaitsemisesta. Merkittävästä poikkeamasta on ilmoitettava myös asiakkaille, jos merkittävä poikkeama voi haitata palvelun tarjoamista.
• Yhteistyö: Organisaatioiden on tehtävä yhteistyötä viranomaisten ja muiden toimijoiden kanssa kyberturvallisuuden parantamiseksi.
• Valvovat viranomaiset: Kyberturvallisuuslakia valvovia viranomaisia on useita, ja organisaation kyberturvallisuutta valvova viranomainen riippuukin sen toimialasta. Käytännössä valvontaresursseja tulee olemaan huomattavasti enemmän kuin GDPR:n osalta.
• Hallinnolliset sakot: Kyberturvallisuuslain velvoitteiden, kuten riskienhallinnan toimintamallin tai poikkeamailmoitusten toteuttamatta jättämisestä voi organisaatiolle seurata hallinnollinen sakko.

Kyberturvallisuuslaki koskee lähtökohtaisesti yhteiskunnan toiminnan kannalta kriittisten toimialojen organisaatioita, joissa on yli 50 työntekijää. Näitä organisaatioita arvioidaan olevan Suomessa noin 5000. Koska kyseiset toimijat ovat vastuussa myös toimitusketjustaan, tulevat lainsäädännön velvoitteet sopimusvaatimusten kautta käytännössä koskemaan moninkertaista joukkoa yrityksiä. Jokaisen suuremmille yrityksille tai esimerkiksi hyvinvointialueille jollain tavoin tiedonhallintaan liittyviä palveluita, kuten tietojärjestelmiä tai IT-palveluita, tarjoavien yritysten onkin syytä varautua lainsäädännön vaatimuksiin.

Uuden kyberturvallisuuslain noudattaminen ei ole pelkkä velvollisuus, vaan investointi tulevaisuuteen. Vahva kyberturvallisuuteen panostaminen on edellytys luottamuksen rakentamiselle asiakkaiden ja kumppaneiden kanssa, liiketoiminnan jatkuvuudelle ja kilpailukyvylle. Systemaattinen varautuminen riskeihin tuo kustannukset ennustettaviksi, kun taas riskien toteutuminen voi aiheuttaa ennustamattomia kustannuksia, sekä myös vahingonkorvausvelvoitteita.

Kuinka kyberturvallisuuslain voimaantuloon tulisi valmistautua?

Viimeisimmän lakiluonnoksen mukaan lain voimaan tullessa sen piiriin kuuluvilla toimijoilla on kuukausi aikaa ilmoittautua valvovalle viranomaiselle. Riskienhallintajärjestelmä taas tulee olla laadittuna kolmen kuukauden kuluessa lain voimaan tulosta. Molempiin liittyy myös mahdollinen hallinnollinen sakko, mikäli asia ei ole määräaikaan mennessä kunnossa. Hyvä tapa valmistautua kyberturvallisuuslain velvoitteisiin on rakentaa lainsäädännön velvoitteet täyttävä tietoturvallisuuden hallintajärjestelmä. Se auttaa organisaatioita tunnistamaan, arvioimaan ja hallitsemaan kyberturvallisuusriskejä, toteuttamaan asianmukaiset tietoturvatoimenpiteet sekä parantamaan jatkuvasti kyberturvallisuustoimintaansa.

Organisaatioiden on myös tärkeää varmistaa, että niillä on selkeät kyberturvallisuuteen liittyvät roolit ja vastuut. Kyberriskien hallinta ei ole vain tietohallinnon tehtävä, vaan se on lopulta koko liiketoiminnan ja ylimmän johdon vastuulla.

The post Kyberturvallisuuslaki tulee, oletko valmis? appeared first on Tikkasec Oy.

Vuonna 2024 voimaan astuva uusi kyberturvallisuuslaki tuo mukanaan merkittäviä muutoksia organisaatioiden kyberturvallisuusvastuuseen. Laki perustuu EU:n kyberturvallisuusdirektiiviin (NIS2) ja asettaa sen piiriin kuuluville organisaatioille useita uusia velvoitteita. Nämä velvoitteet painottavat riskienhallintaa, tietoturvatoimia, raportointivelvoitteita ja yhteistyötä viranomaisten kanssa.

Mitä kyberturvallisuuslaki tarkoittaa organisaatioiden johdolle?

Johdolla on nyt entistäkin suurempi vastuu kyberturvallisuuden varmistamisessa. Ylin johto vastaa jatkossa lakisääteisesti organisaation kyberturvallisuutta koskevan riskienhallinnan toteuttamisen ja valvonnan järjestämisestä sekä hyväksyy ja valvoo riskienhallinnan toimintamallia. Johdolla tulee myös olla riittävä perehtyneisyys kyberturvallisuutta koskevaan riskienhallintaan.

Tämä tarkoittaa käytännössä mm. seuraavia asioita:

• Kyberturvallisuuden priorisointi: Kyberturvallisuuden on oltava osa organisaation strategista suunnittelua ja riskienhallintaa. Johdon on osoitettava selkeä sitoutuminen kyberturvallisuuteen ja varmistettava, että resursseja on varattu riittävästi asianmukaisten toimenpiteiden toteuttamiseen.
• Tietoisuuden lisääminen: Johdon on varmistettava, että kaikki organisaation työntekijät ymmärtävät kyberturvallisuuteen ja tietoturvaan liittyviä riskejä ja tietävät, miten toimia turvata organisaation käsittelemää luottamuksellista tietoa.
• Riskienhallinta: Organisaation on rakennettava systemaattinen riskienhallinnan toimintamalli, jossa tunnistetaan ja arvioidaan erilaisia kyberturvallisuusriskejä sekä tehdään riskiarvion pohjalta tarvittavia toimia riskien minimoimiseksi.
• Tietoturvatoimet: Organisaation on toteutettava asianmukaisia tietoturvan hallintakeinoja tietojärjestelmien ja tiedon suojaamiseksi. Näihin toimenpiteisiin sisältyy niin teknisiä kuin hallinnollisia toimia, kuten tietoverkkojen ja –järjestelmien suojaaminen, henkilöstöturvallisuus ja koulutus, pääsynhallinnan kehittäminen, salausratkaisut sekä varmuuskopiointi ja palautumissuunnitelma.
• Toimitusketjun turvallisuus: NIS2-toimijat ovat vastuussa myös toimitusketjunsa kyberturvallisuudesta. Tämä tarkoittaa käytännössä sitä, että organisaation on varmistettava niiden yhteistyökumppanien noudattavan samoja kyberturvallisuusvaatimuksia.
• Raportointivelvoitteet: Merkittävistä kyberuhkista ja tietoturvapoikkeamista on raportoitava viranomaisille. Ensi-ilmoitus tulee tehdä jo 24 tunnin sisällä poikkeaman havaitsemisesta. Merkittävästä poikkeamasta on ilmoitettava myös organisaation tarjoaman palvelun vastaanottajille, jos merkittävä poikkeama voi haitata palvelun tarjoamista.
• Yhteistyö: Organisaatioiden on tehtävä yhteistyötä viranomaisten ja muiden toimijoiden kanssa kyberturvallisuuden parantamiseksi.
• Valvovat viranomaiset: Kyberturvallisuuslakia valvovia viranomaisia on useita, ja organisaation kyberturvallisuutta valvova viranomainen riippuukin sen toimialasta. Käytännössä valvontaresursseja tullee olemaan huomattavasti enemmän kuin GDPR:n osalta.
• Hallinnolliset sakot: Kyberturvallisuuslain velvoitteiden, kuten riskienhallinnan toimintamallin tai poikkeamailmoitusten toteuttamatta jättämisestä voi organisaatiolle seurata hallinnollinen sakko.

Uuden kyberturvallisuuslain noudattaminen ei ole pelkkä velvollisuus, vaan investointi tulevaisuuteen. Vahva kyberturvallisuuteen panostaminen on edellytys luottamuksen rakentamiselle asiakkaiden ja kumppaneiden kanssa, liiketoiminnan jatkuvuudelle ja kilpailukyvylle. Systemaattinen varautuminen riskeihin tuo kustannukset ennustettaviksi, kun taas riskien toteutuminen voi aiheuttaa ennustamattomia kustannuksia, sekä myös vahingonkorvausvelvoitteita.

Miten organisaatiot voivat valmistautua kyberturvallisuuslain voimaantuloon?

Paras tapa valmistautua kyberturvallisuuslain velvoitteisiin on ottaa käyttöön ISO 27001 standardin mukainen tietoturvallisuuden hallintajärjestelmä. Se auttaa organisaatioita tunnistamaan, arvioimaan ja hallitsemaan kyberturvallisuusriskejä, toteuttamaan asianmukaiset tietoturvatoimenpiteet sekä parantamaan jatkuvasti kyberturvallisuustoimintaansa.

Organisaatioiden on myös tärkeää varmistaa, että niillä on selkeät kyberturvallisuuteen liittyvät roolit ja vastuut. Kyberriskien hallinta on koko liiketoiminnan vastuulla, ei pelkästään tietohallinnon. Kysy lisätietoja,

Ota yhteyttä, niin keskustellaan kuinka organisaationne voi valmistautua kyberturvallisuuslain voimaantuloon ISO 27001 standardin mukaisella tietoturvallisuuden hallintajärjestelmällä!

The post Kyberturvallisuuslaki: Johdolla on vastuu tietoturvallisesta toimintaympäristöstä appeared first on Tikkasec Oy.

Globaalia pandemiaa ei tyypillisesti ole huomioitu uhkaskenaariona kuin suurempien julkisten ja yksityisten organisaatioiden valmiussuunnitelmissa. Koronaviruksen tyyppiset pandemiat ovat vuosien saatossa olleet varmasti myös useissa valmiusharjoituksissa osana taustaskenaarioita. Pk-yrityksissä on kuitenkin harvemmin totuttu valmiussuunnittelussa tarkastelemaan näin laajoja uhkakuvia.

Mutta kuinka yrityksissä on ylipäätään tehty valmiussuunnittelua erilaisten uhkien varalle? Oman havaintoni mukaan koronaviruksen aiheuttama äkkipysähdys on tullut lähes jokaiselle, myös allekirjoittaneelle, yllätyksenä. Aivan näin laajoihin yhteiskunnallisiin vaikutuksiin – ja vieläpä näin nopealla aikataululla – en olisi itsekään uskonut, jos joku olisi vuoden alussa näin väittänyt tapahtuvan. Kuitenkin varautumalla pienempiinkin uhkiin voidaan edesauttaa liiketoiminnan selviytymistä myös laajemmissa häiriötilanteissa.

Pystytäänkö teidän organisaatiossanne maksamaan palkat ajallaan, jos palkanlaskennasta vastaava henkilö ei pääsekään enää töihin?

Tarkastellaanpa varautumista yhden tyypillisen avainprosessin, eli palkanlaskennan kautta. Se, että organisaatioissa pystytään ylipäätään palkkoja maksamaan, koskettaa käytännössä kaikkia työntekijöitä. Olen havainnut, että välttämättä esimerkiksi palkanlaskennan prosesseja ei ole kuitenkaan sillä tavoin dokumentoitu, että palkanlaskennasta vastaavan henkilön äkillisestä poissaolosta huolimatta se toimisi normaalisti. Koronapandemia on lisännyt poissaoloihin liittyviä riskejä hyvin laajasti, koska kuka tahansa työntekijä on saattanut hyvin lyhyellä varoitusajalla joutua karanteeniin, tai jopa sairaalahoitoon.

Koronapandemian arvioidaan tällä hetkellä kestävän vielä useita kuukausia. Tämä tarkoittaa sitä, että äkillisiä poissaoloja joko koronaan sairastumisesta tai karanteeniin joutumisesta johtuen voi tapahtua yllättäen hyvin monessa organisaatiossa. Mikäli organisaatiossanne ei ole valmiussuunnitelmia tehty, tai edes käyty läpi liiketoiminnan avainprosesseja, kuten palkanlaskentaa, nyt on vielä hyvää aikaa näitä tehdä ja siten varautua tuleviin häiriöihin. Palkanlaskennan kaltaisia prosesseja voi myös osin ulkoistaa, jolloin ulkoistuskumppanilta usein löytyy kattavammat varajärjestelyt. Nämäkin on syytä kuitenkin huomioida ulkoistuksesta sovittaessa.

Palkanlaskennan lisäksi tulisi tunnistaa muutkin organisaation avainprosessit, niistä vastaavat henkilöt, sekä niihin käytetyt tietojärjestelmät ja muut resurssit. Kullekin avainroolille pitäisi pystyä ylläpitämään riittävää osaamista organisaatiossa esimerkiksi varahenkilöjärjestelyin. Nämä prosessit tulee dokumentoida ja ohjeistaa siten, että niitä voidaan vähintään perustasolla suorittaa, vaikka kyseisestä tehtävästä vastuullinen työntekijä ei pääsisikään hetkeen töihin.

Valjasta vapaita resursseja jatkuvuuden kehittämiseen

Usein varautuminen, kuten erilaisten uhkien pohtiminen ja niihin liittyvien riskien arviointi, jää muun liiketoiminnan kehittämisen jalkoihin. Etenkin juuri tällä hetkellä, kun monissa yrityksissä on kevään osalta peruuntunut töitä valtavasti, johdon huomio kiinnittyy perusliiketoiminnan pelastamiseen liittyviin toimenpiteisiin. Toisaalta organisaatioissa saattaa olla paljonkin työntekijöitä pienemmällä työkuormalla töiden vähentyessä. Näitä vapaita resursseja on varmasti syytä käyttää uuden liiketoiminnan kehittämiseen, mutta heitä voi hyödyntää myös jatkuvuuden kehittämisessä.

Kannattaakin valjastaa organisaationne vapaita resursseja käymään läpi avainprosessejanne, ja pohtimaan, kuinka niitä voidaan edelleen suorittaa, jos avainresurssit eivät olekaan käytettävissä. Mikäli jotain avainprosessianne tällä hetkellä suorittavalla on yhtään luppoaikaa, hänet kannattaa vähintäänkin pyytää kuvaamaan oma toimenkuvansa ja siihen liittyvät ydintehtävät mahdollisimman selkeästi.

Kriisitilanteita voi organisaatioihin syntyä muistakin syistä kuin nykyisenkaltaisesta pandemiasta. Jos esimerkiksi tietojärjestelmätoimittaja päättääkin yllättäen irtisanoa sopimukset lopettaessaan järjestelmän ylläpidon, voi etenkin suuremmissa organisaatioissa aiheutua ongelmia liiketoiminnan jatkuvuudelle. Uuteen järjestelmään siirtyminen kun ei tapahdu sormia napsauttamalla, vaan saattaa vaatia jopa kuukausien työn järjestelmän käyttöönotossa osaksi sujuvaa arkea.

Ota yhteyttä, mikäli kaipaat sparrausta varautumiseen liittyvään kehittämiseen! Pystymme auttamaan avainprosessien kartoittamisessa, riskien arvioinnissa ja tarvittavien toimenpiteiden tunnistamisessa myös etäyhteyksien kautta.

The post Häiriötilanteisiin varautuminen lähtee avainprosessien tuntemisesta appeared first on Tikkasec Oy.

Marraskuussa julkaistun Keskuskauppakamarin juridiikkakatsauksen mukaan EU-alueella on annettu yhteensä jo lähes 100 sakkoa organisaatioille, jotka eivät ole huomioineet Tietosuoja-asetuksen vaatimuksia riittävällä tasolla. Sakkoja on jaettu niin huonosti toteutetun tietoturvan vuoksi kuin myös rekisteröityjen oikeuksien laiminlyönnistä tai ilmoitusvelvollisuuden rikkomisesta. Suurimmat sakot ovat olleet yli 200 miljoonaa euroa.

Tietoturvaa ja tietosuojaa kehitettäessä tuleekin tarkastella niin sisäisiä prosesseja, kuin tiedonkäsittelyyn käytettäviä tietojärjestelmiä ja ulkoisia palvelutoimittajia. Kun organisaatiossa ollaan hankkimassa esimerkiksi uutta tietojärjestelmää, tulee tietoturvaa ja tietosuojaa tarkastella erityisellä huolellisuudella. Hankintavaiheessa voidaan saavuttaa myös taloudellisiakin hyötyjä, sillä järjestelmän toimittajalle voidaan asettaa vaatimuksia tietoturvan ja tietosuojan osalta siten, että niiden aiheuttamiin kustannuksiin on vielä mahdollista vaikuttaa.

Riskienhallinta on pohjana tietoturvan ja tietosuojan kehittämiselle

Niin tietosuoja-asetuksessa kuin tietoturvaan liittyvissä standardeissakin korostetaan riskilähtöistä toimintamallia. Tämä tarkoittaa sitä, että kaikessa tietojen käsittelyyn liittyvässä toiminnassa tulee arvioida tiedon turvallisuutta vaarantavia riskejä, ja pyrkiä löytämään niiden aiheuttamille uhkille erilaisia hallintakeinoja jo etukäteen. Näiden hallintakeinojen avulla voidaan joko ennaltaehkäistä riskien toteutumista, tai riskin toteutuessa voidaan siitä aiheutuvia haittavaikutuksia pienentää reagoimalla uhkaan oikealla tavalla.

Riskienarviointia tulee tehdä niin sisäisen toiminnan, kuin ulkoistettujen palvelujen ja tietojärjestelmien osalta. Sisäisessä toiminnassa tyypillisiä uhkatekijöitä ovat työntekijöiden turhan laajat pääsyoikeudet eri tietojärjestelmiin ja niiden kautta esimerkiksi arkaluonteisiin henkilötietoihin. Tällöin työntekijä voi omalla toiminnallaan, joko vahingossa tai tahallisesti, aiheuttaa erilaisia tietosuojaongelmia, kuten muuttaa tai tuhota tietoja, tai vaikkapa tarpeettomasti katsella asiakastietoja.

Ulkoistettujen palvelu- tai järjestelmätoimittajien osalta uhkakenttä laajenee nopeasti oman organisaation ulkopuolelle, pilvipalvelujen kautta jopa globaalisti. Tällöin organisaation sisäisillä toimenpiteillä ei välttämättä pystytä enää hallitsemaan kaikkia riskejä, vaan niitä tulee pystyä hallitsemaan myös ulkoisten sidosryhmien näkökulmasta. Ulkoisten uhkien suhteen riskienhallinnassa tuleekin kiinnittää erityistä huomiota siihen, millä tavoin näihin uhkiin voidaan sopimuksellisesti varautua jo järjestelmän tai palvelun hankintavaiheessa.

Hankintavaihe on otollinen hetki kehittää tietosuojaa ja tietoturvaa kustannustehokkaasti

Asettamalla järjestelmätoimittajalle tietoturvaa ja tietosuojaa koskevia vaatimuksia jo kilpailutusvaiheessa, voidaan potentiaalisten toimittajien ratkaisuja arvioida ja vertailla helpommin myös turvallisuuden näkökulmasta. Vertailun vuoksi, jos vaaditaan yksinkertaisesti vain, että ”järjestelmän tietoturvan tulee olla kunnossa”, on toimittajan vastauskin usein niin yleisluontoinen, ettei tarjotun järjestelmän turvallisuudesta voida vetää kunnollisia johtopäätöksiä. Kun vaatimukset pureutuvat yksityiskohtaisemmin eri tietoturvan osa-alueisiin, kuten tiedon salaukseen tai varmuuskopiointiin liittyviin suojauskeinoihin, päästään toimittajan kanssa keskustelemaan konkreettisemmin ratkaisun turvallisuuteen liittyvistä kysymyksistä.

Tuomalla tietoturvaan liittyvät vaatimukset keskusteluun jo hankintavaiheessa, voidaan vaikuttaa myös hankinnan kohteen koko elinkaaren aikaisiin kustannuksiin. Usein tietoturvaan liittyviä ominaisuuksia voidaan kyllä ottaa järjestelmässä helposti käyttöön jälkikäteenkin, mutta hankinnan jälkeen toimittajan on helpompi pyytää siitä ylimääräistä lisähintaa, koska järjestelmä on jo organisaatiolla aktiivisessa käytössä. Neuvotteluvoimaa on tällöin turhaan luovutettu järjestelmän toimittajalle.

Aina ei kuitenkaan saada kaikkia vaatimuksia täyttävää järjestelmää hankittua. Organisaation sisäisen riskienhallinnan kannalta onkin tärkeää ymmärtää, mitä tietoturvavaatimuksia toimittajan ratkaisu täyttää. Tällöin jäljelle jääneitä riskejä voidaan tarvittaessa hallita omaa toimintaa tai ICT-ympäristöä kehittämällä, esimerkiksi ottamalla korvaavia tai täydentäviä tietoturvaratkaisuja käyttöön hankittavan järjestelmän ympärille.

Kyberturvallisuuskeskus on julkaissut uusia työkaluja hankintojen tietoturvaan

Liikenne- ja viestintävirasto Traficomin Kyberturvallisuuskeskus on juuri julkaissut konkreettisen työkalun, jonka avulla tietoturva- ja tietosuojavaatimuksia voidaan ottaa käyttöön kaikissa organisaatiossa. Vaatimuslistaa on kehitetty Huoltovarmuuskeskuksen kehityshankkeissa vuosien varrella useiden asiantuntijoiden toimesta eri toimialoille. Viimeisin kehittämistyö on tehty sosiaali- ja terveydenhuollon toimialalle Kyber-Terveys-hankkeessa. Vaatimuslista löytyy Kyberturvallisuuskeskuksen sivuilta ”Ohjeet ja oppaat”-osiosta.

Kuinka näitä tietoturva- ja tietosuojavaatimuksia voidaan sitten paremmin ottaa huomioon omassa organisaatiossa? Työ vaatii organisaatiolta paneutumista ja osaamista tietoturvaan ja riskienhallintaan liittyvissä asioissa. Tarvittaessa voidaan käyttää ulkoista asiantuntijaa esimerkiksi hankintavaiheessa näitä asioita määrittelemään. Panostus tietoturvavaatimusten parempaan huomiointiin voi kuitenkin tuottaa nopeitakin hyötyjä organisaatiolle niin parantuneen tietoturvan ja tietosuojan kuin niihin liittyvien kustannustenkin näkökulmasta.

Ota yhteyttä niin keskustellaan, kuinka voimme laittaa yhdessä teidän hankintaprosessinne kuntoon huomioimaan paremmin tietoturva- ja tietosuojavaatimukset hankinnoissanne! Meillä on fokus tietoturvan ja tietosuojan kehittämisessä.

The post Hankintavaiheessa voidaan ratkaista tietoturvaa ja tietosuojaa kustannustehokkaasti appeared first on Tikkasec Oy.

Yhä useammin rekisteröidyt, kuten yrityksen asiakkaat, ovat havahtuneet siihen, että heillähän on yhä enemmän oikeuksia koskien omia henkilötietojaan. Hyvänä esimerkkinä on eräälle asiakkaalleni heidän markkinointirekisterissään olleen henkilön tekemä tietopyyntö, joka tosin noudatti vielä vanhaa lainsäädäntöä, mutta jonka sisältö oli pitkälti sama tietosuoja-asetuksen vastaavan tietopyynnön kanssa. Heille tämä oli yrityksen historiassa ensimmäinen tällainen tietopyyntö.

”Pyydän, että toimitatte minulle kirjallisena minua koskevat rekisteritietonne.”

”Pyydän samalla kertomaan, millä perusteella olette säilyttäneet yhteystietojani”. Jo näihin peruskysymyksiinkin vastaaminen voi olla vaikeaa, mikäli rekisteröityjen tietopyyntöihin vastaamisen prosesseja ei ole huolella mietitty läpi. Miten sitten vastaamisessa onnistutaan?

Ensinnäkin organisaation henkilötietojen käsittelyn kokonaisuus tulee tuntea läpikotaisin, jotta ylipäätään pystytään selvittämään, mitä henkilötietoja on mahdollisesti eri tietojärjestelmiin ja paperiarkistoihinkin kerätty ja tallennettu. Toiseksi kunkin käsittelytarkoituksen tulee olla selkeästi määritelty – kuhunkin eri käsittelytarkoitukseen tulee löytyä tietosuoja-asetuksen 6. artiklan mukainen oikeusperuste, muuten käsittely on laitonta. Näistä asioista olen kirjoittanut aiemmassa artikkelissani https://tikkasec.fi/gdpr-tietosuoja-asetus-toimenpiteet/

Edellisten lisäksi on tärkeää, että tietopyyntöihin vastaamisen käytännöt on suunniteltu huolellisesti. Vastaamiseen liittyy toisaalta muotoseikkoja, kuten mitä tietoja vastauksen tulee sisältää, jotta se on asetuksen vaatimusten mukainen. Toisaalta vastaamisessa on hyvin olennaisesti kyse yrityksen ulkoisesta viestinnästä, jossa on aina mahdollista onnistua erinomaisesti tai epäonnistua huolella. Tilanteessa onkin usein kyse yrityksestä saatavan positiivisen tai negatiivisen mielikuvan luomisesta tai vahvistamisesta. Jo yrityksen imagon kannalta on tärkeää, että viestinnässä ollaan huolellisia.

Harjoitus tekee mestarin!

”No miten näitä asioita pitäisi sitten käytännössä tehdä?” Vastaus on yksinkertainen: Harjoitelkaa! Simuloikaa harjoitustilanne, jossa joku asiakkaanne lähestyy teitä vaikkapa sähköpostilla, ja pyytää nähtäväkseen hänestä kerätyt henkilötiedot. Tässä kohdassa tuleekin tarkastella huolellisesti asetuksen artiklan 15 sääntöjä ”Rekisteröidyn oikeus saada pääsy tietoihin”.

Harjoitellessanne tietopyyntöön vastaamista, käyttäkää mieluummin esim. CRM:ään lisättyä testidataa. Näin harjoituksesssa ei vahingossa käsitellä asiattomasti todellisen asiakkaan tietoja. Pyrkikää kuitenkin siihen, että tilanne olisi mahdollisimman aito. Toisin sanoen tietopyyntö olisi hyvä lähettää siitä etukäteen muille organisaation työntekijöille kertomatta ja toisaalta testidatasta ei pitäisi heti käydä ilmi, ettei kyseessä ole todellinen henkilö. Näin nähdään hyvin nopeasti, ovatko kaikki tietopyyntöprosessiin työroolinsa puolesta joutuvat henkilöt ajan tasalla siitä, miten tilanteessa tulee toimia.

Rekisteröidyn tietopyyntö on vain yksi esimerkki niistä tilanteista, joissa harjoitus auttaa kehittämään toimintaa. Muita aiheita voivat olla mm. rekisteröidyn pyyntö poistaa hänen tietonsa tai vaikkapa ilmoituksen tekeminen viranomaiselle ja rekisteröidyille henkilötietoihin kohdistuneen tietoturvaloukkauksen tapahtuessa. Tietoturvaan liittyviä tärkeitä harjoituksen kohteita ovat esimerkiksi varmuuskopioista tietojen palauttamiseen liittyvät käytännöt. Näistä aiheista kirjoitan lisää tulevissa artikkeleissa.

The post Harjoitus tekee mestarin – tietosuojassakin appeared first on Tikkasec Oy.

5 steppiä, jotka pk-yrittäjän tulee tehdä ennen toukokuuta 2018

Tietosuoja-asetus koskettaa valtaosaa organisaatioita, eikä sitä voi jättää huomiotta jo pelkästään mahdollisen sanktiouhan vuoksi. Vielä on vajaa puoli vuotta aikaa ennenkuin EU:n yleistä tietosuoja-asetusta aletaan soveltaa. Mutta miten asetuksen vaatimuksia tulisi lähestyä, ja mitä konkreettisia toimenpiteitä tulisi organisaatioissa sitten tehdä?

The post 5 steppiä, jotka pk-yrittäjän tulee tehdä ennen toukokuuta 2018 appeared first on Tikkasec Oy.

EU:n tietosuoja-asetus tulee olla johtoryhmän agendalla

The post EU:n tietosuoja-asetus tulee olla johtoryhmän agendalla appeared first on Tikkasec Oy.