Työntekijän omat laitteet ja tietoturva — kolme sääntöä ja lähtörutiini

Kun työsähköposti ja asiakastiedot ovat työntekijän omassa puhelimessa, tietoturva ei ratkea sovelluksella vaan kolmella kirjatulla säännöllä. Tässä ne säännöt, laitteen lukitusvaatimukset ja tarkistuslista siltä päivältä kun työsuhde päättyy.

Lyhyt vastaus: Kun työntekijä käyttää omaa puhelintaan työhön, tietoturva ei ratkea sovelluksella vaan kolmella kirjatulla säännöllä: mitä työtietoa laitteella saa olla, miten laite on lukittu ja mitä tapahtuu kun työsuhde päättyy. Kirjoita nämä kolme kohtaa yhdelle A4:lle, anna se allekirjoitettavaksi ja tarkista se kerran vuodessa. Sen jälkeen tekninen puoli on pieni työ. Ilman tätä paperia mikään tekninen ratkaisu ei auta, koska kukaan ei tiedä mitä pitäisi suojata.

Tämä koskee lähes jokaista pienyritystä Suomessa. Harva ostaa kaikille työpuhelimet. Käytännössä työsähköposti, WhatsApp-ryhmä, ajanvaraus ja laskutusohjelma ovat työntekijän omassa puhelimessa, ja asia on hoidettu sillä, että joku näytti kerran miten sovellus asennetaan. Se toimii siihen asti, kunnes joku lähtee, kadottaa puhelimen tai vaihtaa sen ja myy vanhan eteenpäin.

Miksi oma laite on eri asia kuin yrityksen laite

Yrityksen omistamalle laitteelle voi asettaa säännöt suoraan: salasanapakko, etätyhjennys, sovellusrajoitukset. Työntekijän omalla laitteella tilanne on toinen, koska samalla laitteella on hänen perhekuvansa, pankkitunnuksensa ja yksityisviestinsä. Työnantaja ei voi kohdella koko laitetta omanaan.

Suomessa työntekijän yksityisyyttä työsuhteessa säätelee laki yksityisyyden suojasta työelämässä, ja henkilötietojen käsittelyyn sovelletaan tietosuoja-asetusta. Käytännön seuraus pienyritykselle on yksinkertainen: erottele työtieto ja yksityinen tieto laitteella niin, että voit hallita vain työosuutta. Kaikki muu on sekä juridisesti että inhimillisesti hankalaa.

Tämä ei ole este vaan helpotus. Kun rajaat, mitä työtietoa laitteella ylipäätään on, suojattavaa on vähemmän.

Sääntö 1: Mikä työtieto saa olla omalla laitteella

Tee yksi taulukko. Se on lyhyt.

Sarake "ehto" on se, joka tekee taulukosta hyödyllisen. Kielto ilman vaihtoehtoa kierretään aina. Jos kiellät asiakasnumeroiden tallentamisen puhelimeen, kerro samalla miten työntekijä sitten soittaa asiakkaalle.

Sääntö 2: Miten laite on lukittu

Tässä on koko tekninen tietoturva puhelimessa tiivistettynä pienyritykselle. Vaatimuksia on viisi, ja ne on mahdollista tarkistaa minuutissa.

1. Näytön lukitus päälläKuusinumeroinen koodi tai biometria. Nelinumeroinen ei riitä, koska yleisimmät nelinumeroiset koodit arvataan muutamalla yrityksellä.
2. Automaattilukitus enintään minuutissaKadonnut puhelin on auki juuri niin pitkään kuin tämä asetus sanoo.
3. Käyttöjärjestelmä ja sovellukset ajan tasallaAutomaattipäivitykset päälle. Vanha, päivityksettä jäänyt puhelinmalli on suurin yksittäinen riski, ja siitä pitää sopia erikseen.
4. Kaksivaiheinen tunnistus työtileilläSähköposti, pilvitallennus ja laskutus. Tämä estää suurimman osan tunnusvarkauksien vahingoista.
5. Etäpaikannus ja etätyhjennys päällä laitteen omassa palvelussaTyöntekijä hallitsee sitä itse. Yritys ei tarvitse siihen oikeuksia, kunhan varmistaa että se on käytössä.

Nämä viisi kohtaa kattavat arjen. Jos haluat lukea puhelinkohtaisesti tarkemmin, katso Android-puhelimen tietoturva. Laajempi pohja on koottu sivulle tietoturva yritykselle.

Sääntö 3: Mitä tapahtuu kun työsuhde päättyy

Tämä on se kohta, joka jää lähes aina tekemättä, ja se on samalla ainoa kohta, jossa vahinko on jo tapahtunut ennen kuin sen huomaa. Kun ihminen lähtee, hänen puhelimessaan on työsähköposti, jaettu salasana ja pääsy järjestelmiin. Ne eivät katoa itsestään.

Tee tästä kiinteä tunnin rutiini, joka ajetaan viimeisenä työpäivänä.

1. Sulje tunnukset ensin, älä viimeisenäSähköposti, pilvitallennus, laskutus, ajanvaraus, kassajärjestelmä, verkkokaupan hallinta. Listaa nämä valmiiksi nyt, älä lähtöpäivänä.
2. Katkaise istunnotSalasanan vaihto ei riitä: useimmissa palveluissa on erillinen "kirjaa ulos kaikilta laitteilta". Ilman sitä avoin istunto puhelimessa jatkaa toimintaansa.
3. Poista jaetut salasanat käytöstäJos yhteinen tunnus oli käytössä, vaihda se. Yhteiset tunnukset ovat syy siihen, että tämä vaihe on työläs — siksi niistä kannattaa päästä eroon etukäteen.
4. Poista työsovellukset ja työtieto laitteelta yhdessäTehdään lähtevän kanssa samalla kertaa, ei jälkikäteen pyyntönä. Kuitataan ohjeeseen päivämäärällä.
5. Siirrä omistajuudetKuka omistaa jaetut tiedostot, kuka on Google-yritysprofiilin hallinnoija, kenen numeroon kaksivaiheinen tunnistus menee. Tämä unohtuu, ja se huomataan vasta kun tunnistuskoodi menee ihmiselle, joka ei enää työskentele yrityksessä.
6. Ohjaa sähköposti ja sulje osoiteEi poisteta heti, vaan ohjataan seuraajalle. Poisto vasta kun ohjaus on toiminut kuukauden.

Yhden A4:n ohjepohja, jonka voit kopioida

Näin ohje näyttää valmiina. Se on tarkoituksella lyhyt, koska pitkää ohjetta ei lueta eikä siihen palata. Vaihda hakasulkeiden sisällöt omiksesi.

"[Yritys] sallii oman puhelimen ja tietokoneen käytön työhön seuraavin ehdoin.

1. Työtieto. Laitteella saa olla työsähköposti, kalenteri ja työvuorot. Asiakasrekisteriä käytetään vain selaimessa, eikä asiakastietoja tallenneta laitteen omaan muistiin. Asiakkaista otetut valokuvat siirretään työjärjestelmään ja poistetaan puhelimesta saman työpäivän aikana.

2. Laitteen suojaus. Näytön lukitus on päällä kuusinumeroisella koodilla tai biometrialla, automaattilukitus enintään minuutin kuluttua, käyttöjärjestelmän päivitykset automaattisesti päällä ja kaksivaiheinen tunnistus käytössä kaikilla työtileillä. Laitteen kadotessa ilmoitetaan välittömästi numeroon [numero].

3. Työsuhteen päättyminen. Viimeisenä työpäivänä käydään yhdessä läpi tunnusten sulkeminen, istuntojen katkaisu ja työsovellusten poisto laitteelta. Työntekijä ei säilytä yrityksen asiakas-, hinta- tai sopimustietoja työsuhteen päätyttyä.

Ohje on luettu ja hyväksytty. Päiväys ja allekirjoitus."

Kolme kohtaa, alle sivu. Jos ohjeesi on pidempi kuin tämä, kysy jokaisesta lisärivistä, valvotko sitä oikeasti. Ohje, jota ei valvota, heikentää kaikkien muiden kohtien uskottavuutta.

Yhteiset tunnukset ovat todellinen ongelma

Pienissä yrityksissä on lähes aina yksi tunnus, jota käyttävät kaikki: sosiaalisen median tili, verkkokaupan hallinta, tulostimen tai kassan ylläpito. Se tuntuu käytännölliseltä, ja se on samalla syy siihen, että lähtörutiini on raskas ja että tapahtumia ei voi jälkikäteen selvittää.

Jaettu tunnus tarkoittaa kolmea asiaa. Yhden ihmisen lähtiessä salasana on vaihdettava ja tieto uudesta jaettava kaikille muille, mikä käytännössä jää tekemättä. Lokitiedoista ei näe kuka teki mitä, joten virheen syytä ei voi selvittää. Ja kaksivaiheinen tunnistus on usein kytketty yhden ihmisen puhelimeen, jolloin hänen lähtönsä lukitsee koko yrityksen ulos omasta järjestelmästään.

Korjaus on tylsä mutta kertaluonteinen: jokaiselle oma tunnus, ja jaetut tunnukset vain sinne, missä palvelu ei muuta salli. Niissä harvoissa tapauksissa salasana säilytetään salasanaohjelmassa, ei viestiketjussa eikä paperilapulla kassan alla. Tämän jälkeen lähtöpäivän rutiini on nappien painamista eikä salasanojen metsästystä.

Kadonnut puhelin: mitä tehdään ensimmäisen tunnin aikana

Sovi tämä etukäteen, koska tilanteessa kukaan ei ehdi miettiä. Järjestys on tärkeä: ensin tunnukset, sitten laite.

Viimeinen rivi on syy siihen, miksi sääntö 1 kannattaa tehdä huolella. Mitä vähemmän henkilötietoa laitteella oli, sitä lyhyempi tämä rivi on.

Korvaako yritys osan puhelimesta?

Jos vaadit työntekijältä oman laitteen käyttöä, sovi korvauksesta kirjallisesti. Yleisiä malleja on kolme: kiinteä kuukausikorvaus, liittymän maksaminen tai laitehankinnan osittainen korvaus. Mikään ei ole oikeampi kuin toinen, mutta sopimaton tilanne on huonoin: se johtaa siihen, että työntekijä pitää laitetta täysin omanaan eikä noudata sääntöjä, tai siihen että hän kokee maksavansa työvälineensä itse.

Verotuskohtelu riippuu järjestelystä, ja se kannattaa tarkistaa Verohallinnon voimassa olevasta ohjeesta ennen kuin lupaat mitään summaa.

Sovi korvauksesta samalla, kun sovit säännöistä. Käytännössä se toimii niin, että sama paperi, jossa lukevat kolme sääntöä, kertoo myös mitä yritys maksaa ja mitä se vastineeksi odottaa. Kun molemmat puolet ovat samassa dokumentissa, keskustelu on tasapainoinen eikä ohje näytä pelkältä kieltolistalta. Jos et halua maksaa korvausta, se on täysin mahdollista — mutta silloin oman laitteen käytön on oltava työntekijälle vapaaehtoista, ja tarvitset varasuunnitelman niille, jotka eivät halua käyttää omaansa.

Milloin oman laitteen käyttöä ei kannata sallia lainkaan

On kolme tilannetta, joissa BYOD on väärä ratkaisu, ja on rehellisempää sanoa se suoraan kuin myydä sen päälle hallintajärjestelmä.

Terveys- ja sosiaalialan asiakastieto. Jos työssä käsitellään terveystietoja tai muita arkaluonteisia henkilötietoja, työnantajan hallitsema laite on käytännössä ainoa kestävä ratkaisu. Vaatimustaso on eri, ja vastuu on työnantajalla riippumatta siitä, kenen laite oli.

Maksuvälineet ja kassa. Korttimaksuja käsittelevä laite kuuluu yrityksen hallintaan. Tässä ei ole harmaata aluetta.

Suuri vaihtuvuus. Jos työntekijöitä tulee ja menee kymmeniä vuodessa, lähtörutiini ei kestä. Silloin yrityksen omat laitteet ovat halvempia kuin toistuva riski, vaikka hankintahinta näyttää suuremmalta.

Muissa tapauksissa — tyypillinen kolmen–kymmenen hengen palveluyritys — oma laite ja kirjattu ohje riittää hyvin. Älä osta hallintajärjestelmää ennen kuin kolme sääntöä on kirjoitettu ja käytössä. Järjestelmä ilman sääntöjä vain automatisoi epäselvyyden.

Usein kysyttyä

Perusteet laajemmin on koottu artikkeliin pienyrityksen tietoturvan perusteet. Jos haluat, että ohje, tunnuslista ja lähtörutiini rakennetaan kerralla valmiiksi, työn sisältö ja hinta lukevat hinnastossa.

Lue seuraavaksi

• Android-puhelimen tietoturva
• Pienyrityksen tietoturvan perusteet: mitä suojaat, miltä suojaat ja missä järjestyksessä
• Puhelimen tietoturva yrityskäytössä: seitsemän asetusta ja etäpoiston testi
• Tietosuoja ja tietoturva: mikä niiden ero on pienyrityksessä
• Tietoturva-auditointi pienyritykselle: tee ensin 12 kohdan itsearvio

Lue myös: Digitalisaatio pienyritykselle · Liikkeenjohdon konsultointi pienelle yritykselle · Google-yritysprofiili: tee itse ilmaiseksi tai anna meidän hoitaa se · Sähköposti yritykselle: mitä nimi@firma.fi maksaa ja miten se otetaan käyttöön · verkkotunnus ja domain · WordPress-ylläpito: mitä se on, mitä se maksaa ja milloin sitä ei tarvita · Microsoft 365 vai Google Workspace: rehellinen vertailu 1-10 hengen yritykselle · Google-mainonta pienelle yritykselle