Tietoturvaloukkaukset ja ilmoitusvelvollisuus

Moduuli 8: Kun jokin menee pieleen · Lukuaika: 11 minuuttia

Tavoite: Tämän oppitunnin jälkeen osaat arvioida, onko kyseessä tietoturvaloukkaus, pitääkö siitä ilmoittaa 72 tunnin kuluessa tietosuojavaltuutetun toimistolle ja pitääkö rekisteröidyille ilmoittaa asiasta, sekä osaat kirjata tapauksen tietoturvaloukkausrekisteriin.

Keskeiset käsitteet: henkilötiedot, tietoturvaloukkaus (henkilötietojen tietoturvaloukkaus), rekisterinpitäjä, henkilötietojen käsittelijä, tietosuoja-asetuksen (GDPR) 33 ja 34 artikla, ilmoituslomake, 72 tuntia, riski ja korkea riski, tietoturvaloukkausrekisteri

Mikä on tietoturvaloukkaus?

Sanasta "tietoturvaloukkaus" tulee usein mieleen hakkerit, jotka varastavat tietokannan. Se on yksi muoto. Tietosuoja-asetus käyttää laajempaa määritelmää: henkilötietojen tietoturvaloukkaus on tietoturvaloukkaus, joka johtaa vahingossa tai laittomasti henkilötietojen hävittämiseen, häviämiseen, muuttumiseen, luvattomaan luovuttamiseen taikka pääsyyn tietoihin (4 artiklan 12 kohta).

Henkilötiedot ovat kaikki tiedot tunnistettavasta henkilöstä: nimi, sähköpostiosoite kuten jan.jansen@..., puhelinnumero, osoite, asiakasnumero tilaushistorioineen, valokuva, IP-osoite yhdistettynä muihin tietoihin. Pelkät yrityksen tiedot (y-tunnus, yleinen osoite) eivät ole henkilötietoja, mutta yhteyshenkilön tiedot ovat.

Näin ollen kaikki seuraavat ovat tietoturvaloukkauksia:

• sähköposti, jossa on asiakaslista ja joka lähtee väärälle vastaanottajalle;
• uutiskirje, jossa kaikki vastaanottajat näkyvät Vastaanottaja- tai Kopio-kentässä;
• kadonnut muistitikku tai kannettava, jolla on henkilöstötietoja, jos sitä ei ollut salattu;
• kiristyshaittaohjelma, joka salaa asiakasrekisterin (tiedot eivät silloin ole käytettävissä, vaikka mitään ei olisi kopioitu);
• haltuun otettu sähköpostilaatikko, jossa on laskuja nimineen ja osoitteineen;
• jaettu linkki hakemuskirjeitä sisältävään kansioon, joka on kaikkien avoinna.

Sana "tietoturvaloukkaus" osoittaa, ettei kyse ole pelkästä luottamuksellisuudesta. Myös häviäminen (tiedot katoavat) ja muuttuminen (joku on muuttanut tilinumeroita) lasketaan mukaan.

Kuka on vastuussa: sinä vai toimittajasi?

Tietosuoja-asetus tuntee kaksi roolia.

• Rekisterinpitäjä määrittää, miksi ja miten henkilötietoja käsitellään. Asiakas- ja henkilöstötietojesi osalta se olet sinä, yrittäjänä.
• Henkilötietojen käsittelijä käsittelee tietoja sinun toimeksiannostasi: webhotelliyrityksesi, pilvipohjainen kirjanpito-ohjelmasi, uutiskirjepalvelusi, IT-toimittajasi.

Jos vuoto tapahtuu käsittelijällä, sen on ilmoitettava siitä sinulle ilman aiheetonta viivytystä (33 artiklan 2 kohta). Sinä arvioit tämän jälkeen, pitääkö asiasta ilmoittaa tietosuojavaltuutetun toimistolle ja rekisteröidyille, ja lähtökohtaisesti ilmoitat itse (ellette ole sopineet, että käsittelijä tekee sen puolestasi). Velvollisuus pysyy siis sinulla, vaikka virhe olisi tapahtunut toisella osapuolella. Siksi käsittelysopimuksessa sovitaan, kuinka nopeasti ja miten käsittelijä ilmoittaa sinulle (oppitunti 7.2).

72 tunnin kello

Tietosuoja-asetuksen 33 artikla edellyttää, että tietoturvaloukkauksesta ilmoitetaan tietosuojavaltuutetun toimistolle ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa siitä, kun olet saanut siitä tiedon. Poikkeus: on epätodennäköistä, että loukkaus aiheuttaa riskin ihmisten oikeuksille ja vapauksille.

Neljä asiaa ymmärretään usein väärin:

1. Kello alkaa, kun saat tiedon asiasta, ei silloin, kun loukkaus tapahtui. "Tiedon saaminen" tarkoittaa: olet kohtuullisen varma, että kyseessä on loukkaus, jossa on mukana henkilötietoja. Lyhyt alkuarviointi on sallittu, mutta tarkoituksellinen katsomatta jättäminen ei siirrä kelloa.
2. 72 tuntia on 72 tuntia, myös viikonloppuisin ja pyhäpäivinä. Jos havaitset loukkauksen perjantaina klo 16:40, määräaika päättyy maanantaina klo 16:40.
3. Vaillinainen ilmoitus on sallittu. Jos et 72 tunnin jälkeen vielä tiedä kaikkea, ilmoitat sen mitä tiedät ja täydennät myöhemmin. Jos ilmoitat myöhemmin kuin 72 tunnin kuluessa, viivästys on perusteltava (33 artikla).
4. Kyse on riskistä ihmisille, ei yrityksesi vahingosta.

Havaittu: perjantai   16:40   -> kello käynnistyy
          lauantai            (lasketaan mukaan)
          sunnuntai           (lasketaan mukaan)
Viimeistään maanantai 16:40   -> ilmoitus tietosuojavaltuutetun toimistolle (mahdollisesti vaillinainen)

Ilmoitus tehdään yleensä tietosuojavaltuutetun toimiston verkkolomakkeella. Lomaketta varten kannattaa valmistella etukäteen, mitä tapahtui, milloin, mitä ja kuinka paljon tietoja ja henkilöitä asia koskee, mitä seurauksia voi olla ja mitä toimenpiteitä olet tehnyt. Tässä oppitunnin 8.1 loki maksaa itsensä takaisin.

Milloin ilmoittaa ja milloin ei: riskinarviointi

Arvioit, kuinka todennäköisiä ja vakavia seurauksia rekisteröidyille voi aiheutua. Mieti: identiteettivarkaus, taloudellinen vahinko, syrjintä, maineen menetys tai hallinnan menettäminen omista tiedoista. Avuksi seuraavat kysymykset:

Kaksi usein toistuvaa esimerkkiä:

• Salattu kannettava varastetaan, vahva salasana, avain ei vuotanut, tuore varmuuskopio: todennäköisesti ei riskiä. Ei ilmoitusta tietosuojavaltuutetun toimistolle, mutta kirjataan rekisteriin.
• Verkkokauppa hakkeroidaan, hyökkääjä sai sähköpostiosoitteet ja heikosti tallennetut salasanat: riski, joten ilmoitus tehdään. Koska ihmiset käyttävät salasanoja usein uudelleen (oppitunti 1.4), riski on korkea: rekisteröidyille on ilmoitettava.

Epäiletkö? Ilmoittaminen on yleensä turvallisempi valinta. Myös tietosuojavaltuutetun toimisto suosittelee ilmoittamista epäselvissä tapauksissa. Uudet tiedot toimitetaan myöhemmin jatkoilmoituksella.

Rekisteröidyille ilmoittaminen: korkean riskin tilanteissa

Tietosuoja-asetuksen 34 artikla koskee henkilöitä, joiden tiedoista on kyse. Jos loukkaus aiheuttaa todennäköisesti korkean riskin, heille on ilmoitettava viipymättä: niin pian kuin kohtuudella mahdollista. Tähän ei sovelleta 72 tunnin määräaikaa, mutta kaiken selvittämisen loppuun odottaminen ei myöskään ole tarkoitus.

Viestissä kerrotaan selkeällä kielellä, mitä tapahtui, mitkä ovat todennäköiset seuraukset, mitä itse teet ja mitä rekisteröidyt voivat itse tehdä (esimerkiksi vaihtaa salasanansa muualla, varoa nimissäsi lähetettyä kalasteluviestiä, varoittaa pankkiaan), sekä yhteyshenkilön tiedot.

Ilmoittaminen ei ole tarpeen, jos olit toteuttanut asianmukaiset toimenpiteet, jotka tekevät tiedoista lukukelvottomia (kuten hyvä salaus), jos toteutit jälkikäteen toimenpiteitä, joiden ansiosta korkea riski ei enää ole todennäköinen, tai jos ilmoittaminen vaatisi kohtuutonta vaivaa: tällöin tehdään julkinen tiedonanto (34 artiklan 3 kohta).

Huomaa: kalastelu seuraa usein tietoturvaloukkausta. Rikolliset tietävät silloin keitä asiakkaasi ovat ja lähettävät viestin "sinun nimissäsi". Varoita asiakkaitasi myös tästä.

Tietoturvaloukkausrekisteri: aina

33 artiklan 5 kohta velvoittaa kirjaamaan jokaisen tietoturvaloukkauksen, vaikka siitä ei tarvitsisi ilmoittaa. Kirjaa: tosiasiat, seuraukset, toimenpiteet ja arviosi (miksi ilmoitettiin tai ei, miksi rekisteröidyille ilmoitettiin tai ei). Muodon voit valita itse; tietosuojavaltuutetun toimistolla on esimerkki tietoturvaloukkausrekisteristä. Yksinkertainen taulukko riittää:

Nro | Havaittu (pvm/klo) | Mitä tapahtui | Mitä tietoja, kuinka monta henkilöä
    | Seuraukset | Toimenpiteet | Ilmoitettu tietosuojavaltuutetun toimistolle? (kyllä/ei + miksi, pvm)
    | Rekisteröidyille ilmoitettu? (kyllä/ei + miksi) | Käsitelty (pvm)

Rekisteri auttaa myös itseäsi: jos huomaat kolmesti vuodessa "sähköposti väärälle vastaanottajalle", tiedät mihin parannus tarvitaan (esimerkiksi viive lähetykseen, tai asiakaslistat eivät enää liitteenä, oppitunti 7.3).

Tietoturvaloukkaus ja kyberturvallisuuslaki: kaksi eri ilmoitusta

Jos organisaatiosi kuuluu kyberturvallisuuslain (NIS2, oppitunti 9.1) piiriin, sinulla on lisäksi ilmoitusvelvollisuus merkittävistä häiriötilanteista: ensimmäinen varoitus 24 tunnin kuluessa, ilmoitus 72 tunnin kuluessa ja loppuraportti kuukauden kuluessa, valvovalle viranomaiselle (esim. Traficom). Tämä on eri ilmoitus, eri tarkoituksella (palvelujen jatkuvuus) ja eri viranomaiselle. Kiristyshaittaohjelmahyökkäys voi siis kuulua molempiin. Useimmat pienyritykset eivät kuulu kyberturvallisuuslain piiriin, mutta tietosuoja-asetuksen ilmoitusvelvollisuus koskee kaikkia.

Tämä oppitunti antaa yleistä tietoa eikä ole oikeudellinen neuvo. Ota epäselvissä tilanteissa yhteyttä tietosuojavaltuutetun toimistoon tai juristiin.

Yhteenveto

• Tietoturvaloukkaus on mikä tahansa tapahtuma, jossa henkilötiedot häviävät, muuttuvat tai päätyvät jollekulle, jolla ei ole niihin oikeutta; myös väärälle vastaanottajalle lähetetty sähköposti tai kadonnut salaamaton kannettava.
• Ilmoitus tietosuojavaltuutetun toimistolle: ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa havaitsemisesta, myös viikonloppuna, paitsi jos riskiä ei todennäköisesti ole. Vaillinainen ilmoitus on sallittu.
• Rekisteröidyille ilmoittaminen: viipymättä, jos riski on todennäköisesti korkea.
• Jos vuoto tapahtuu käsittelijällä, sen on ilmoitettava sinulle; ilmoituspäätös on kuitenkin sinun.
• Kirjaa jokainen tietoturvaloukkaus tietoturvaloukkausrekisteriisi, arviointeinesi.

Tietovisa (quiz)

Tehtävä

Tehtävä A8.2: Laske määräaika. Saat neljä havaitsemisajankohtaa. Täytä kunkin ajankohdan osalta viimeinen päivämäärä ja kellonaika ilmoitukselle tietosuojavaltuutetun toimistolle. Ohjelma tarkistaa vastaukset.

Tehtävä A8.2b: Ilmoittaa vai ei? Saat kahdeksan lyhyttä tapausta. Valitse jokaisen tapauksen kohdalla, pitääkö ilmoittaa tietosuojavaltuutetun toimistolle, pitääkö rekisteröidyille ilmoittaa asiasta, ja merkitäänkö se tietoturvaloukkausrekisteriin. Ohjelma tarkistaa vastaukset ja antaa selityksen jokaiselle tapaukselle.

Lue lisää

WebOké-artikkeleiden vaiheet pätevät WebOkén ympäristössä; muilla palveluntarjoajilla toimintatapa on samankaltainen.

• Apua! Sivustoni on hakkeroitu. Miten voin korjata tilanteen tai estää sen?
• Tietosuojavaltuutetun toimisto, EDPB:n tiedot jäsenistä: https://www.edpb.europa.eu/about-edpb/about-edpb/members_en
• Euroopan komissio, NIS2-direktiivistä: https://digital-strategy.ec.europa.eu/en/policies/nis2-directive
• ENISA: https://www.enisa.europa.eu/
• Tietosuoja-asetus (asetus (EU) 2016/679), 4, 33 ja 34 artikla: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• Alankomaiden NCSC, Tietoturvaloukkauksesta ilmoittaminen: https://www.ncsc.nl/wet-en-regelgeving/melden-van-een-datalek