Tietosuoja osaksi tietoturvallisuuden hallintajärjestelmää

Tietoturvallisuuden hallintajärjestelmästandardiin ISO/IEC 27001 liittyvä tietosuojaa koskeva laajennus SFS-EN ISO/IEC 27701 on julkaistusuomenkielisenä. Sen avulla organisaatiot voivat lisätä tietojen suojaamisen kyvykkyyttään ja täydentää tietoturvallisuuden hallintajärjestelmänsä kattamaan myös henkilötietojen käsittelyyn liittyvät eritysvaatimukset.

Henkilötiedon suojaamiseen kohdistuvien riskien tunnistaminen ja hallinta ovat tietosuojan hallintajärjestelmän perusolettamuksia ja -mekanismeja. Riskien lieventämiseksi on standardissa SFS-EN ISO/IEC 27001 joukko hallintakeinoja, joihin organisaation tulee tietoturvan osalta ottaa kantaa. Standardi SFS-EN ISO/IEC 27701 tarjoaa näihin hallintakeinoihin myös tietosuojaan liittyvää ohjeistusta sekä hallintakeinoja niin rekisterinpitäjälle kuin käsittelijällekin. Riskien ja velvoitteiden tunnistaminen luo hyvän pohjan tavoitteiden asettamiselle ja sopivien mittarien määrittelylle.

Henkilötietojen hallintaan ja turvaamiseen tarkoitettu johtamisjärjestelmä rakentuu yhdistämällä standardin SFS-EN ISO/IEC 27701 vaatimukset ISO/IEC 27001:n mukaiseen tietoturvallisuuden hallintajärjestelmään.

Henkilötietojen suojaamisen pääpiirteet

Standardin SFS-EN ISO/IEC 27701 käyttäjien on hyvä huomioida myös standardi SFS-EN ISO/IEC 29100. Siinä esitetään tietojärjestelmiin syötettävien henkilötietojen suojaamisen pääpiirteet.

Tietosuojamallin tarkoitus on auttaa organisaatioita määrittelemään niiden tietojärjestelmissä käsiteltäviin henkilötietoihin liittyvät yksityisyyden suojaamisen vaatimukset. Tässä kansainvälisessä standardissa esitetään tietosuojamalli, jossa

— määritellään tietosuojan yleinen termistö
— määritellään henkilötietoja käsittelevät toimijat ja näiden toimijoiden roolit
— esitetään yksityisyyden suojaamista koskevia näkökohtia
— viitataan tunnettuihin tietotekniikan tietosuojaperiaatteisiin.

Standardi on avuksi henkilötietoja käsittelevien ja suojaavien tietojärjestelmien suunnittelussa, toteuttamisessa, hoitamisessa ja ylläpitämisessä. Se myös kannustaa kehittämään innovatiivisia ratkaisuja henkilötietojen suojaamiseen tietojärjestelmissä ja tehostaa organisaation tietosuojaohjelmia parhaiden käytäntöjen avulla.

Edellä mainittuja standardeja voidaan hyödyntää kaikissa organisaatioissa, jotka määrittelevät, hankkivat, suunnittelevat, kehittävät, testaavat, ylläpitävät, hallinnoivat ja hoitavat tietojärjestelmiä tai -palveluita, joissa käsitellään henkilötietoja ja näin ollen tarvitaan tietosuojan hallintakeinoja.

Webinaaritallenne

Toukokuussa järjestettiin webinaari, jossa tietoturvallisuuden ja tietosuojan pääarvioija esitteli tuoreen ja hiljattain suomeksi käännetyn henkilötietojen hallintajärjestelmästandardin SFS-ISO/IEC 27701.

Tilaisuudessa esiintyivät SFS:n standardisointijohtaja Elina Huttunen sekä Kiwa Inspectalta pääarvioija, tuotepäällikkö Tuukka Haarni. Elina kertoi tietoturvan ja tietosuojan standardisoinnista Suomessa, Tuukka puolestaan esitteli standardin ja kävi läpi käytännön sovelluksia.

Tutustu materiaaleihin ja katso tallenne!

Lisätietoja standardisoinnista

Suomen Standardisoimisliitto SFS ry
Elina Huttunen, standardisointijohtaja
p. 040 3568 003
elina.huttunen@sfs.fi