Moduuli 7 · 7.2
Toimittajien ja pilvipalveluiden arviointi
Moduuli 7: Käyttöoikeudet, toimittajat ja pilvi · Lukuaika: 11 minuuttia
Oppimistavoite: Tämän oppitunnin jälkeen osaat arvioida toimittajan tai pilvipalvelun turvallisuuden, tietosuojan ja poistumismahdollisuuden kannalta, selittää mitä tietosuoja-asetuksen (GDPR) mukaisen tietojenkäsittelysopimuksen tulee sisältää, ja pitää yllä toimittajaluetteloa.
Keskeiset käsitteet: jaettu vastuu, henkilötietojen käsittelijä, tietojenkäsittelysopimus, alikäsittelijä, tietojen sijainti, sertifiointi (esimerkiksi ISO 27001), poistumisstrategia, toimittajaluettelo
Turvallisuutesi on yhtä vahva kuin toimittajasi
Pienellä yrityksellä on harvoin omia palvelimia. Sähköposti toimii palveluntarjoajalla, kirjanpito verkkopalvelussa, verkkokauppa alustalla, kannettavia hallinnoi IT-yritys ja palkanlaskenta hoituu tilitoimiston kautta. Tämä on järkevää: nämä toimijat osaavat usein hoitaa turvallisuuden paremmin kuin pystyisit itse. Mutta se tarkoittaa myös, että suuri osa turvallisuudestasi on muiden käsissä.
Piirrä se itsellesi auki. Laita yrityksesi keskelle ja vedä viiva jokaiseen tahoon, joka säilyttää tietojasi tai pääsee järjestelmiisi. Kysy jokaisen viivan kohdalla kaksi kysymystä:
- Mitä jos kyseinen taho lakkaa toimimasta? Käyttökatko, konkurssi, hinnankorotus jonka takia haluat vaihtaa.
- Mitä jos kyseiseltä taholta vuotaa tietoa? Murto toimittajan järjestelmiin, työntekijä joka näkee liikaa, IT-yrityksen tilin kaappaus.
Jaettu vastuu
Oppitunnilla 6.1 näit jo jaetun vastuun mallin: pilvipalvelun tarjoaja huolehtii konesalista, palvelimista ja ohjelmiston toiminnasta; sinä vastaat edelleen tiedoistasi, tileistäsi ja asetuksistasi. Microsoft toteaa dokumentaatiossaan suoraan, että tämä pätee jokaisessa pilvipalvelutyypissä, myös valmisohjelmistoissa.
Mitä tämä tarkoittaa käytännössä:
| Palveluntarjoaja hoitaa yleensä | Sinä hoidat aina itse |
|---|---|
| Konesalin fyysisen turvallisuuden | Kenellä on tili ja millä oikeuksilla (oppitunti 7.1) |
| Palvelimien ja ohjelmiston päivitykset | Kaksivaiheisen tunnistautumisen käyttöönoton ja käytön |
| Saatavuuden sovittujen ehtojen mukaisesti | Mitä jaat ja kenen kanssa (oppitunti 7.3) |
| Varmuuskopiot katastrofitilanteisiin (jos niin on sovittu) | Oman varmuuskopion tai viennin siitä, mitä et todellakaan saa menettää (moduuli 6) |
Yleinen virhe on olettaa, että palveluntarjoaja hoitaa jotain, mitä et koskaan ole kysynyt. Kysy siis.
Henkilötietojen käsittelijä ja tietojenkäsittelysopimus
Heti kun toimittaja käsittelee henkilötietoja puolestasi, sovelletaan tietosuoja-asetuksen (GDPR) sääntöjä. Ajattele asiakastietoja verkkokaupassasi, sähköposteja joissa on nimiä ja osoitteita, palkkatietoja tai pilvitallennustilaa jossa on hakijoiden ansioluetteloita.
- Sinä olet rekisterinpitäjä: sinä määrität miksi ja miten tietoja käytetään.
- Toimittaja on henkilötietojen käsittelijä: se käsittelee tietoja sinun toimeksiannostasi, sinun tarkoituksiisi.
Tietosuoja-asetuksen 28 artiklan mukaan saat käyttää vain käsittelijöitä, jotka tarjoavat riittävät takeet asianmukaisista teknisistä ja organisatorisista toimenpiteistä. Sopimukset kirjataan tietojenkäsittelysopimukseen, kirjallisesti (sähköisesti käy). Artiklan 28 kohdan 3 mukaan sopimuksessa on säädettävä ainakin käsittelyn kohteesta, kestosta, luonteesta ja tarkoituksesta, henkilötietojen tyypeistä ja rekisteröityjen ryhmistä, sekä siitä, että käsittelijä:
- toimii vain kirjallisten ohjeidesi mukaisesti;
- varmistaa, että sen henkilöstö noudattaa salassapitovelvollisuutta;
- toteuttaa 32 artiklan mukaiset turvatoimenpiteet;
- käyttää alikäsittelijää vain sinun suostumuksellasi, samoin velvoittein;
- auttaa sinua kun ihmiset käyttävät tietosuojaoikeuksiaan (tarkastus, oikaisu, poisto);
- auttaa turvallisuudessa, tietoturvaloukkauksissa ja mahdollisessa vaikutustenarvioinnissa (artiklat 32-36);
- sopimuksen päätyttyä poistaa tai palauttaa tiedot ja poistaa kopiot, valintasi mukaan;
- antaa sinulle tiedot, joilla voit tarkistaa että se noudattaa sopimusta, ja mahdollistaa auditoinnit.
Alikäsittelijä on taho, jonka käsittelijäsi itse ottaa käyttöön, esimerkiksi webhotelli-palveluntarjoajasi konesali tai kirjanpito-ohjelmistosi sähköpostipalvelu. Tietosuoja-asetuksen mukaan käsittelijä pysyy täysin vastuullisena sinua kohtaan, jos alikäsittelijä ei täytä velvoitteitaan. Pyydä lista alikäsittelijöistä.
Tietosuojavaltuutetun toimisto suosittelee, että sopimukset tehdään konkreettisiksi lainsäädännön tekstin toistamisen sijaan, ja että sovitaan kuinka nopeasti ja millä tiedoilla toimittaja ilmoittaa sinulle tietoturvaloukkauksesta. Tämä on tärkeää: oppitunnilla 8.2 näet, että sinun on ilmoitettava 72 tunnin kuluessa, ja se kello alkaa käydä vasta kun sinä saat tietää asiasta.
Monilla palveluntarjoajilla on vakiomuotoinen tietojenkäsittelysopimus. Lue se, ja tarkista onko se todella allekirjoitettava tai hyväksyttävä: joillakin toimittajilla se ei tule automaattisesti voimaan.
Tämä oppitunti antaa yleistä tietoa eikä ole oikeudellinen neuvo. Koko teksti löytyy tietosuoja-asetuksesta osoitteessa eur-lex.europa.eu.
Kysymyksiä esitettäväksi toimittajalle
Arvioinnin ei tarvitse olla neljäkymmentäsivuinen auditointiraportti. Pienelle yritykselle toimii hyvin vakiokysymyslista. Vastaukset löytyvät usein jo toimittajan verkkosivuilta, turvallisuussivulta tai usein kysytyt kysymykset -listasta.
| Aihe | Kysymys |
|---|---|
| Sijainti | Missä tietoni sijaitsevat, myös varmuuskopiot? Siirtyvätkö ne Euroopan talousalueen ulkopuolisiin maihin? |
| Käyttöoikeudet | Voinko pakottaa kaksivaiheisen tunnistautumisen kaikille käyttäjilleni? Voinko antaa käyttäjille omia käyttöoikeuksia? |
| Varmuuskopiointi | Ottaako toimittaja varmuuskopioita, kuinka usein, kuinka pitkään niitä säilytetään, ja voinko palauttaa ne itse? |
| Salaus | Onko tiedot salattu siirron aikana ja levyllä? |
| Tietoturvaloukkaus | Kuinka nopeasti ja miten toimittaja ilmoittaa minulle häiriötilanteesta? |
| Alikäsittelijät | Mitä tahoja se käyttää, ja miten kuulen muutoksista? |
| Sertifiointi | Onko sertifikaatti, esimerkiksi ISO 27001, ja mihin se pätee? |
| Poistuminen | Voinko viedä kaikki tietoni käyttökelpoisessa muodossa? Mitä tiedoilleni tapahtuu irtisanomisen jälkeen? |
Mitä tulee sertifiointiin: ISO/IEC 27001 on kansainvälinen standardi, jossa on vaatimukset tietoturvan hallintajärjestelmälle. ISO ei itse sertifioi; sen tekee riippumaton sertifiointielin. Sertifikaatti osoittaa, että organisaatio hoitaa turvallisuutensa suunnitelmallisesti, mutta se ei takaa, ettei mitään voisi tapahtua. Katso erityisesti sertifikaatin soveltamisalaa: pätekö se palveluun jota käytät, vai vain yhteen toimistoon tai osastoon?
Poistuminen: pois pääseminen on myös turvallisuutta
Poistumisstrategia on suunnitelmasi toimittajan vaihtamiseksi, pakosta tai vapaaehtoisesti. Se kuulostaa jostain myöhemmästä, mutta se pitää miettiä jo valintavaiheessa: jos huomaat vasta konkurssin yhteydessä, ettet voi viedä asiakasrekisteriäsi ulos, se on liian myöhäistä.
Tarkista siis etukäteen:
- voitko viedä kaikki tiedot ulos, ja missä muodossa (avoin muoto kuten CSV, vakiosähköposti tai tavalliset tiedostot on parempi kuin oma erikoismuoto);
- kuinka kauan tietosi ovat saatavilla irtisanomisen jälkeen;
- onko verkkotunnuksesi omalla nimelläsi ja voitko itse vaihtaa nimipalvelimia (oppitunti 4.3);
- säilytätkö itse tuoreen viennin osana varmuuskopiointiasi (oppitunti 6.1).
Toimittajaluettelo
Kirjaa kaikki toimittajaluetteloon: yksi taulukko, jossa jokaisen toimittajan kohdalla on palvelu, mitä tietoja siellä on, sisältyykö henkilötietoja, onko tietojenkäsittelysopimusta, kuka on vastuuhenkilö omassa organisaatiossasi, kysymyslistan tärkeimmät vastaukset ja poistumismahdollisuus. Käy se läpi kerran vuodessa, ja aina kun lisäät uuden palvelun.
Jos joku asiakkaistasi kuuluu kyberturvallisuuslain (124/2025) piiriin (oppitunti 9.1), voit odottaa että kyseinen asiakas esittää sinulle toimittajana samantyyppisiä kysymyksiä. Omalla luettelollasi vastaukset ovat valmiina.
Käytännössä: näin se näyttää
Monet palveluntarjoajat kokoavat vastaukset näihin kysymyksiin turvallisuussivulle. WebOkén esimerkkiympäristössä esimerkiksi Nextcloud-ohje kuvaa, mitä palveluntarjoaja hoitaa ja mitä käyttäjä tekee itse: missä tiedot sijaitsevat, salaus siirron aikana ja levyillä, pakollinen kaksivaiheinen tunnistautuminen, päivitykset ja varmuuskopiot, sekä sen että yrityskäytössä henkilötietojen kanssa solmit tietojenkäsittelysopimuksen. Tämä jaottelu (mitä toimittaja hoitaa, mitä teen itse) on juuri sitä, mitä etsit jokaiselta toimittajalta. Muilla palveluntarjoajilla se löytyy usein trust centeristä, turvallisuussivulta tai käyttöehdoista; jos sitä ei löydy, kysy se.
Yhteenveto
- Piirrä toimittajasi auki ja kysy jokaisen viivan kohdalla: mitä jos se lakkaa toimimasta, mitä jos siitä vuotaa tietoa?
- Jaettu vastuu: palveluntarjoaja hoitaa infrastruktuurin, sinä hoidat tietosi, tilisi ja asetuksesi.
- Jos toimittaja käsittelee henkilötietoja puolestasi, se on henkilötietojen käsittelijä ja teet tietojenkäsittelysopimuksen GDPR:n 28 artiklan mukaisesti.
- Käytä vakiokysymyslistaa: sijainti, käyttöoikeudet, varmuuskopiointi, salaus, tietoturvaloukkaus, alikäsittelijät, sertifiointi, poistuminen.
- Sertifikaatti kertoo jotain, mutta tarkista sen soveltamisala; järjestä poistumisesi ennen kuin tarvitset sitä.
Tietovisa
Tehtävä
Tehtävä D7.2: Toimittajakartoituksesi. Tee taulukko viidestä tärkeimmästä toimittajastasi ja pilvipalvelustasi. Täytä jokaisen toimittajan kohdalle mitä tietoja siellä on, sisältyykö henkilötietoja, onko tietojenkäsittelysopimusta, ja etsi vastaukset tämän oppitunnin kysymyslistaan (sijainti, kaksivaiheinen tunnistautuminen, varmuuskopiointi, tietoturvaloukkaus, alikäsittelijät, sertifiointi, poistuminen). Yritä tehdä ainakin yhdestä palvelusta oikea vienti.
Tehtävä D7.2: Toimittajakartoituksesi
Näin teet sen: (1) Piirrä yrityksesi keskelle ja viivat jokaiseen tahoon, joka säilyttää tietojasi tai pääsee järjestelmiisi. (2) Valitse viisi tärkeintä ja tee taulukko: palvelu, mitä tietoja, henkilötiedot (kyllä/ei), käsittelysopimus (kyllä/ei/ei tarpeen), vastuuhenkilö omasta yrityksestäsi, sekä vastaukset oppitunnin 7.2 kysymyslistaan: tietojen ja varmuuskopioiden sijainti, kaksivaiheisen tunnistautumisen pakottaminen, varmuuskopiointi ja oma palautusmahdollisuus, salaus, miten nopeasti tietoturvaloukkauksesta ilmoitetaan, alihankkijat, sertifiointi ja sen soveltamisala, vienti sekä mitä tapahtuu sopimuksen päättyessä. (3) Etsi vastaukset ensin toimittajan dokumentaatiosta, tietoturvasivulta tai käyttöehdoista. Merkitse lähde muistiin. Jos vastausta ei löydy, kysy se toimittajalta ja kirjaa vastaus. (4) Tarkista jokaisesta toimittajasta, joka käsittelee henkilötietojasi, onko käsittelysopimus olemassa ja pitääkö se hyväksyä tai allekirjoittaa. (5) Tee vähintään yhdestä palvelusta oikea tietojen vienti ja tarkista, että saat sen auki. (6) Kirjoita tärkeimmän palvelun kohdalle kolmella lauseella poistumissuunnitelmasi: minne siirryt, miten saat tietosi mukaan, kuinka kauan siihen on aikaa.
Merkintäsi ja muistiinpanosi pysyvät vain tässä selaimessa, emme lähetä niitä minnekään. Jos olet kirjautunut sisään, tallennamme kohtaan Omat kurssit vain sen, että olet tehnyt tehtävän.
Lue lisää
WebOké-artikkeleiden vaiheet pätevät WebOkén ympäristössä; muilla palveluntarjoajilla se toimii samankaltaisesti tai eri tavalla.
- Nextcloud-opas 3.1: Miten WebOké suojaa Nextcloudiasi?
- Nextcloud-opas 15.13: Usein kysytyt kysymykset turvallisuudesta ja yksityisyydestä
- Tietosuoja-asetus (asetus (EU) 2016/679), 28 artikla: https://eur-lex.europa.eu/eli/reg/2016/679/oj
- Microsoft, Shared responsibility in the cloud (englanniksi): https://learn.microsoft.com/en-us/azure/security/fundamentals/shared-responsibility