Tietoturvapoikkeaman ilmoitusvelvollisuus: 72 tuntia, päätöspuu ja oman lokin runko

Ilmoitus valvontaviranomaiselle tehdään ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa siitä, kun asia tuli tietoon. Tällä sivulla on päätöspuu ilmoituskynnyksestä, ilmoituksen sisältörunko ja oman lokin sarakkeet. Ei oikeudellinen neuvo.

Yleissääntö on tämä: kun henkilötietoihin kohdistuu tietoturvaloukkaus, rekisterinpitäjän on ilmoitettava siitä valvontaviranomaiselle ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa siitä, kun asia on tullut tietoon. Ilmoitusta ei tarvita, jos loukkauksesta ei todennäköisesti aiheudu riskiä ihmisten oikeuksille ja vapauksille. Jos ilmoitus myöhästyy, sen mukana on kerrottava syy viivästykseen.

Kaksi asiaa tästä unohtuu lähes aina. Ensinnäkin dokumentointivelvollisuus koskee kaikkia loukkauksia, myös niitä, joita ei ilmoiteta. Toiseksi 72 tunnin kello alkaa siitä, kun asia tuli tietoon, ei siitä, kun selvitys valmistuu.

Tämä sivu on käytännön kuvaus siitä, mitä pienyrityksessä tehdään ja missä järjestyksessä. Se ei ole oikeudellinen neuvo. Ajantasaiset ja sitovat ohjeet, ilmoituslomake ja tulkinnat ovat tietosuojavaltuutetun toimiston sivuilla, ja tulkinnanvaraisissa tilanteissa kannattaa kysyä sieltä tai lakimieheltä.

Mikä lasketaan tietoturvaloukkaukseksi?

Kyse on tapahtumasta, jonka seurauksena henkilötietoja tuhoutuu, katoaa, muuttuu, luovutetaan luvattomasti tai niihin päästään käsiksi luvattomasti — joko vahingossa tai tahallisesti. Se ei siis edellytä hyökkäystä. Pienyrityksessä tavallisimmat tapaukset ovat arkisia:

• Sähköposti, jossa on asiakastietoja, lähtee väärälle vastaanottajalle.
• Kannettava tai puhelin katoaa, ja siinä on asiakastietoja ilman salausta.
• Sähköpostitili päätyy vieraisiin käsiin kalastelun kautta.
• Asiakasrekisteri tuhoutuu eikä varmuuskopiota ole — tämäkin on loukkaus, koska tietojen saatavuus menetettiin.
• Kiristyshaittaohjelma salaa tiedostot, joissa on henkilötietoja.
• Vanha työntekijä pääsee yhä järjestelmään, jossa on asiakastietoja.

Ensimmäinen kohta on ylivoimaisesti yleisin, ja se on myös se, joka jätetään useimmin kirjaamatta. Väärään osoitteeseen lähtenyt viesti on tietoturvaloukkaus silloinkin, kun vastaanottaja on luotettava — ilmoitusvelvollisuus riippuu riskiarviosta, mutta kirjausvelvollisuus ei.

Milloin 72 tunnin kello alkaa?

Kello alkaa siitä hetkestä, kun rekisterinpitäjä on tullut tietoiseksi loukkauksesta — eli kun on kohtuullinen varmuus siitä, että henkilötietoihin kohdistunut tapahtuma on sattunut. Se ei ole sama kuin hetki, jolloin tiedät koko laajuuden.

Käytännössä tämä tarkoittaa kolmea asiaa:

Lyhyt varmistusaika on sallittu. Jos saat epämääräisen havainnon, sinulla on lyhyt aika todeta, onko kyseessä loukkaus. Tuo aika on lyhyt eikä sitä voi venyttää selvityksen tekemiseen.

Kello ei odota selvityksen valmistumista. Ilmoituksen saa ja pitää tehdä puutteellisena, jos kaikki tiedot eivät ole vielä käytettävissä. Täydennys tehdään myöhemmin.

Työntekijän havainto on yrityksen havainto. Jos joku huomaa asian perjantaina ja kertoo maanantaina, kello on käytännössä käynyt jo viikonlopun. Tämä on suora syy siihen, miksi ilmoitusviive henkilöstön sisällä on niin tärkeä mittari — siitä on oma sivunsa: tietoturvakoulutus henkilöstölle.

Päätöspuu: ilmoitetaanko vai ei?

Arvio tehdään aina tapauskohtaisesti, mutta seuraava järjestys auttaa pääsemään alkuun nopeasti.

1. Onko kyseessä henkilötieto?Jos tiedoista ei voi tunnistaa ketään, kyse ei ole tästä velvoitteesta. Muista, että myös sähköpostiosoite ja puhelinnumero ovat henkilötietoja.
2. Menetettiinkö luottamuksellisuus, eheys tai saatavuus?Riittää yksi kolmesta. Tuhoutunut ainoa kopio on saatavuuden menetys.
3. Voiko tästä aiheutua riskiä ihmisille?Arvioi tietojen laatu, määrä, tunnistettavuus ja seuraukset. Arkaluonteiset tiedot, tunnistetiedot ja maksutiedot nostavat riskiä.
4. Jos riski on epätodennäköinenIlmoitusta viranomaiselle ei tarvita. Kirjaa silti tapaus ja perustele arviosi lokiin.
5. Jos riskiä onIlmoita valvontaviranomaiselle 72 tunnin sisällä havaintohetkestä.
6. Jos riski on korkea ihmisilleIlmoita myös niille, joita asia koskee, ilman aiheetonta viivytystä ja selkeällä kielellä.

Epävarmassa tapauksessa ilmoittaminen on turvallisempi valinta kuin ilmoittamatta jättäminen, ja perusteltu arvio kannattaa joka tapauksessa kirjata ylös. Rajanvedoista ja esimerkeistä on viranomaisen omaa ohjeistusta, ja se on tämän sivun tekstiä sitovampi lähde.

Mitä ilmoituksessa kerrotaan?

Ilmoituksen sisältö on määritelty, ja se on samalla hyvä runko omalle selvitykselle. Kerää nämä tiedot siinä muodossa kuin ne sillä hetkellä ovat.

Jos jokin kohta on vielä auki, kirjoita että se on auki ja milloin arvioit tietäväsi. Puutteellinen ilmoitus ajallaan on parempi kuin täydellinen myöhässä.

Oman lokin runko — se osa, joka jää tekemättä

Dokumentointivelvollisuus koskee kaikkia loukkauksia riippumatta siitä, ilmoitetaanko ne. Loki on käytännössä yksi taulukko, ja sen ylläpito vie minuutteja. Se on myös ainoa tapa osoittaa jälkikäteen, että arvio tehtiin ja millä perusteella.

Yksi rivi per tapaus, seuraavat sarakkeet:

• Tapausnumero ja päivämäärä. Juokseva numero riittää.
• Havaintoaika. Päivä ja kellonaika, ja kuka havaitsi. Tästä 72 tuntia lasketaan.
• Mitä tapahtui. Kolme riviä tavallisella kielellä.
• Mitä tietoja ja keitä koskee. Tietotyypit ja arvio henkilömäärästä.
• Riskiarvio ja perustelu. Miksi riski on tai ei ole todennäköinen. Tämä on lokin tärkein sarake.
• Ilmoitettiinko viranomaiselle. Kyllä tai ei, päivämäärä, ja jos ei, peruste.
• Ilmoitettiinko rekisteröidyille. Sama.
• Korjaavat toimenpiteet. Mitä muutettiin, jotta sama ei toistu.

Viimeinen sarake on se, joka tekee lokista hyödyllisen omalle yritykselle eikä vain viranomaista varten. Kun luet lokia vuoden päästä, näet mitkä asiat toistuvat, ja se kertoo missä korjaus kannattaa tehdä. Loki liittyy myös tietosuojaselosteeseen ja muuhun tietosuojadokumentaatioon — pohja siihen on sivulla tietosuojaseloste-malli.

Entä jos loukkaus tapahtui palveluntarjoajalla?

Tämä on pienyrityksessä hyvin tavallinen tilanne: asiakastiedot ovat ostetussa järjestelmässä, ja tapaus sattuu siellä. Työnjako on pääpiirteissään selvä.

Henkilötietojen käsittelijän eli palveluntarjoajan on ilmoitettava loukkauksesta rekisterinpitäjälle eli sinulle ilman aiheetonta viivytystä. Viranomaisilmoituksen tekee rekisterinpitäjä. Vastuu ei siis siirry sillä, että järjestelmä on ostettu.

Käytännön johtopäätös on kaksi asiaa. Ensinnäkin sopimuksessa pitää olla kirjattuna, miten ja kuinka nopeasti palveluntarjoaja ilmoittaa sinulle. Toiseksi sinun pitää tietää, keneltä kysyt tiedot ilmoitusta varten ja kuinka nopeasti ne saat. Nämä kuuluvat samaan kysymyssarjaan kuin datan sijainti ja ulosvienti — ne on käyty läpi sivulla kuka omistaa datan.

Huomaa myös, että henkilötietojen ilmoitusvelvollisuus ei ole ainoa mahdollinen velvoite. Joillakin toimialoilla ja tietyille toimijoille on omat häiriöiden ilmoitusvelvollisuutensa muille viranomaisille. Selvitä oman alasi tilanne erikseen; yleistä tilannekuvaa ja ohjeita julkaisee Kyberturvallisuuskeskus, ja rikosepäilyistä tehdään ilmoitus poliisille.

Milloin ilmoitusta EI tarvitse tehdä

Ilmoituskynnys on olemassa, eikä jokaisesta tapauksesta ilmoiteta. Kaksi tavallista tilannetta, joissa arvio päätyy usein kielteiseksi:

Tiedot olivat vahvasti salattuja eikä avain vaarantunut. Kadonnut kannettava, jonka levy on salattu ja jonka avain on tallessa, on eri tilanne kuin salaamaton laite. Salaus ei poista velvoitetta automaattisesti, mutta se vaikuttaa riskiarvioon olennaisesti.

Loukkaus koski tietoja, joista ei voi tunnistaa ketään. Jos aineistossa ei ole tunnistettavaa henkilöä, kyse ei ole henkilötietojen loukkauksesta.

Kummassakin tapauksessa kirjaa tapaus lokiin ja perustele, miksi et ilmoittanut. Perustelematon päätös on käytännössä sama kuin ei päätöstä lainkaan, jos asiaa joskus kysytään. Ja jos olet aidosti epävarma, kysy neuvoa viranomaiselta — se on maksutonta ja nopeampaa kuin arvailu.

Valmistautuminen: mitä teet ennen kuin mitään sattuu

72 tuntia on lyhyt aika, jos mitään ei ole valmiina. Neljä asiaa tehtynä etukäteen tekee ilmoituksesta muutaman tunnin työn eikä kolmen päivän paniikin.

1. Lokipohja valmiiksiYksi taulukko edellä kuvatuilla sarakkeilla. Tallenna paikkaan, johon pääset silloinkin kun järjestelmät ovat alhaalla.
2. Luettelo siitä, missä henkilötietoja onJärjestelmä, tietotyypit, arvio henkilömäärästä, palveluntarjoaja. Tätä listaa tarvitset ilmoitukseen sellaisenaan.
3. Nimeä vastuuhenkilöKuka tekee arvion ja kuka lähettää ilmoituksen. Yhden hengen yrityksessä sekin kannattaa kirjata, koska varahenkilö on eri asia.
4. Sovi ilmoituskanava sisäisestiKenelle kerrotaan ja miten, myös iltaisin ja viikonloppuisin. Tämä lyhentää kelloa eniten.

Nämä neljä kuuluvat samaan kokonaisuuteen kuin muutkin tietoturvan perusasiat, ja hinnat kaikkeen tekemiseen ovat julkisia hinnastossa.

Kolme tavallista tapausta ja miten ne käsitellään

Teoria on lyhyt, mutta rajanveto on vaikeaa. Kolme esimerkkiä siitä, miten arvio käytännössä etenee. Nämä ovat havainnollistuksia, eivät valmiita vastauksia — oma tilanteesi ratkaisee.

Sähköposti väärälle vastaanottajalle. Lähetit asiakaslistan väärään osoitteeseen. Ensin: onko kyseessä henkilötieto, kyllä. Menetettiinkö luottamuksellisuus, kyllä. Riskiarvio riippuu siitä, mitä tietoja listalla oli, kuinka montaa ihmistä se koskee ja kuka vastaanottaja on. Toimenpiteinä pyydä vastaanottajaa poistamaan viesti ja kirjaa vastaus. Kirjaa tapaus lokiin joka tapauksessa.

Kadonnut työpuhelin. Puhelimessa oli työsähköposti ja asiakastietoja. Jos laite oli lukittu vahvalla koodilla, salattu ja sait etäpoiston läpi, riski on selvästi pienempi kuin jos laite oli auki. Kirjaa erikseen, mihin aikaan etäpoisto tehtiin ja saitko vahvistuksen sen onnistumisesta. Tämä yksi rivi on usein koko riskiarvion perustelu.

Sähköpostitilin haltuunotto. Tämä on näistä vakavin, koska postilaatikossa on tyypillisesti vuosien liitteet ja keskustelut. Selvitä, mitä aikaväliä pääsy koski ja mitä postilaatikossa oli. Tarkista sääntöasetukset ja edelleenlähetykset. Riskiarvio on lähtökohtaisesti korkeampi kuin yksittäisessä väärässä lähetyksessä, koska laajuus on vaikeasti rajattavissa.

Miten tapaus dokumentoidaan niin, ettei työ mene hukkaan?

Dokumentoinnista tulee helposti kaksinkertaista työtä: yksi versio viranomaiselle, toinen omaan lokiin ja kolmas asiakkaille. Vältä se kirjoittamalla yksi tapahtumakuvaus, josta muut johdetaan.

Kirjoita aikajana, jossa on kellonajat ja tekijät. Havainto, kuka havaitsi, mitä tehtiin ensin, kuka arvioi riskin, milloin ilmoitus lähti. Aikajana on sekä lokin sisältö että ilmoituksen runko, ja se on myös se, jonka avulla huomaat oman prosessisi hitaat kohdat.

Kirjaa myös se, mitä et tiennyt ja milloin sait tietää. Tämä kuulostaa turhalta, mutta se on juuri se osa, joka selittää viivästykset ja perustelee puutteellisen ensimmäisen ilmoituksen.

Säilytä dokumentaatio paikassa, joka ei ole sama järjestelmä kuin se, jota tapaus koski. Loki, joka on salatun tiedoston sisällä salatulla levyllä, ei ole käytettävissä juuri sinä päivänä, jona sitä tarvitaan. Yksinkertaisin ratkaisu on erillinen kansio omassa varmuuskopiossasi ja tulostettu tyhjä pohja paperilla.

Usein kysyttyä

Lue seuraavaksi

• Yrityssovelluksen kehittämisen hinta
• WordPress-ylläpidon hinta ja mitä siihen oikeasti kuuluu
• WordPressin hakukoneoptimointi: neljä asetusta, jotka ratkaisevat teknisen puolen
• Webhotellin vaihto ilman katkoa: testaa uusi palvelin ennen kuin kukaan asiakas näkee mitään
• Ilmainen verkkotunnus: milloin se on oikeasti ilmainen ja mitä se sitoo

Lue myös: hakukoneoptimoinnin hinta · Verkkokaupan perustaminen: hinta, vaihtoehdot ja todellinen kululista · Tietosuojaseloste-malli pienyritykselle · Liiketoimintasuunnitelman pohja ja laskelmat · IT-konsultointi pienyritykselle · Tekoälykonsultointi pienyritykselle · Digitalisaatio pienyritykselle · Liikkeenjohdon konsultointi pienelle yritykselle