Yrityksen tietoturvapolitiikka ei ole mappiin unohtuva paperi, vaan työkalu, joka muuttaa abstraktit uhat konkreettisiksi pelisäännöiksi jokaisen työntekijän arkeen. Se ei ole byrokratiaa, vaan selkäranka, joka kantaa yritystä digitaalisten riskien keskellä. Ilman yhteisiä sääntöjä jokainen työntekijä joutuu arvailemaan, mikä on turvallista ja mikä ei – ja ennemmin tai myöhemmin joku arvaa väärin.

Toimiva politiikka määrittelee, miten yrityksen tietoja suojellaan, kuka on vastuussa mistäkin ja miten toimitaan, kun jotain odottamatonta tapahtuu. Se on johdon tapa viestiä, että tietoturva otetaan vakavasti, ja samalla se antaa henkilöstölle selkeät ohjeet ja työrauhan.

Miksi Exceliin koottu lista salasanoista ei ole tietoturvapolitiikka?

Monessa pk-yrityksessä "tietoturvaohjeet" ovat hajanainen kokoelma muistilappuja, sähköpostiketjuja ja hiljaista tietoa. Vaikka tarkoitus on hyvä, se ei riitä. Virallinen tietoturvapolitiikka on johdon hyväksymä asiakirja, joka luo yhtenäisen ja velvoittavan toimintamallin koko organisaatiolle.

Sen keskeisimmät tehtävät ovat:

1. Määritellä vastuut: Kuka vastaa varmuuskopioista? Kuka myöntää käyttöoikeudet uusiin järjestelmiin? Kuka päättää laitehankinnoista? Kun vastuut ovat selvät, asiat tulevat hoidetuksi eivätkä putoa tuolien väliin.
2. Ohjata päätöksentekoa: Kun työntekijä pohtii, voiko hän asentaa uuden ohjelmiston tai jakaa tiedoston ulkopuoliselle, politiikka antaa vastauksen. Tämä vähentää virheitä ja tehostaa toimintaa.
3. Täyttää vaatimukset: Lainsäädäntö (kuten GDPR) ja asiakassopimukset edellyttävät usein dokumentoitua tietoturvan hallintaa. Tietoturvapolitiikka on keskeinen osa tätä osoitusvelvollisuutta.

Lyhyesti sanottuna: politiikka siirtää tietoturvan reaktiivisesta ongelmanratkaisusta ennakoivaksi ja hallituksi toiminnaksi.

Tietoturvapolitiikan runko: Nämä 7 osa-aluetta on katettava

Hyvä tietoturvapolitiikka on selkeä ja käytännönläheinen. Sen ei tarvitse olla sadan sivun järkäle, kunhan se kattaa yrityksen toiminnan kannalta olennaiset osa-alueet. Alla on runko, jota voit käyttää oman politiikkasi perustana.

1. Johdanto ja tarkoitus

Tässä osiossa kerrotaan lyhyesti, miksi dokumentti on olemassa, mitä sillä tavoitellaan ja ketä se koskee. Tarkoitus on sitouttaa lukija ja perustella, miksi sääntöjä on tärkeää noudattaa. Määrittele politiikan omistaja, eli kuka vastaa sen ylläpidosta ja päivittämisestä.

2. Vastuut ja roolit

Tietoturva on jokaisen asia, mutta vastuiden on oltava selkeitä. Määrittele vähintään seuraavat roolit:

• Johto: Vastaa resurssien myöntämisestä, politiikan hyväksymisestä ja tietoturvan strategisesta linjaamisesta.
• IT-vastaava / IT-kumppani: Huolehtii teknisestä toteutuksesta, ylläpidosta ja valvonnasta politiikan mukaisesti.
• Henkilöstö: Jokainen työntekijä on vastuussa politiikan noudattamisesta omassa työssään.

3. Tiedon luokittelu ja käsittely

Kaikki tieto ei ole samanarvoista. Asiakasrekisteri vaatii tiukempaa suojaa kuin julkinen markkinointimateriaali. Jaa tieto vähintään kolmeen luokkaan:

• Julkinen: Voi jakaa vapaasti.
• Sisäinen: Tarkoitettu vain organisaation sisäiseen käyttöön.
• Salainen/Luottamuksellinen: Erityistä suojausta vaativa tieto, kuten henkilötiedot, talousluvut tai tuotekehityksen materiaalit.

Määrittele jokaiselle luokalle selkeät säännöt: missä sitä saa säilyttää (esim. vain yrityksen pilvipalvelussa), miten sitä saa jakaa ja kuka siihen pääsee käsiksi.

4. Käyttövaltuuksien hallinta

Käyttöoikeudet järjestelmiin ja tietoihin tulee myöntää "vähimmän oikeuden" -periaatteella. Tämä tarkoittaa, että jokaisella on pääsy vain niihin resursseihin, joita hän työtehtävissään välttämättä tarvitsee. Luo prosessit käyttöoikeuksien myöntämiselle, muuttamiselle ja poistamiselle. Erityisen tärkeää on varmistaa, että oikeudet poistetaan välittömästi työsuhteen päättyessä.

5. Laitteiden ja ohjelmistojen käyttö

Tämä osio määrittelee pelisäännöt yrityksen tietokoneille, puhelimille ja muille laitteille. Käsittele ainakin seuraavat asiat:

• Saako työkoneelle asentaa omia ohjelmistoja?
• Miten laitteiden päivityksistä huolehditaan?
• Miten toimitaan, jos laite katoaa tai varastetaan?
• Sallitaanko omien laitteiden (BYOD) käyttö työntekoon ja millä ehdoin?

6. Salasanakäytännöt ja tunnistautuminen

Huonot salasanat ovat yksi yleisimmistä tietomurtojen syistä. Pelkkä vaatimus salasanan pituudesta ja monimutkaisuudesta ei enää riitä. Moderni politiikka suosittelee vahvasti:

• Monivaiheisen tunnistautumisen (MFA) käyttöönottoa kaikissa tuetuissa palveluissa, erityisesti sähköpostissa ja muissa Microsoft 365 -ympäristön palveluissa. Microsoftin oletusasetukset voivat edellyttää MFA:ta kaikille käyttäjätileille.
• Salasanojen hallintaohjelman käyttöä, jotta jokaisessa palvelussa voidaan käyttää uniikkia ja vahvaa salasanaa.
• Selkeää ohjetta siitä, ettei salasanoja saa koskaan jakaa tai kirjoittaa näkyville.

7. Poikkeamien hallinta ja raportointi

Mitä tehdään, kun tietoturvaloukkaus tai sen epäily havaitaan? Tärkeintä on luoda matalan kynnyksen ilmoituskanava. Työntekijän on uskallettava kertoa heti, jos hän epäilee klikanneensa haitallista linkkiä tai kadottaneensa puhelimen. Määrittele, keneen otetaan yhteyttä, miten tilanne tutkitaan ja miten vahingot rajataan.

Lataa valmis tietoturvapolitiikan pohja (Word-tiedosto)

Olemme koonneet yllä olevien kohtien perusteella selkeän Word-pohjan, jonka avulla pääset nopeasti alkuun. Pohja sisältää valmiit otsikot, esimerkkitekstit ja ohjeet siitä, mitä kohtia sinun tulee muokata oman yrityksesi tarpeisiin sopivaksi.

Muista, että tämä on lähtökohta. Parhaan lopputuloksen saat, kun käytte politiikan läpi yhdessä henkilöstön ja mahdollisen IT-kumppanin kanssa ja muokkaatte sen vastaamaan täysin omaa toimintaympäristöänne.

[Lataa tietoturvapolitiikan pohja tästä (linkki tiedostoon)]

Politiikka on vasta alku – Miten se jalkautetaan käytäntöön?

Laadukaskaan tietoturvapolitiikka ei suojaa yritystä, jos se jää pöytälaatikkoon. Asiakirjan valmistuminen on vasta ensimmäinen askel. Todellinen työ alkaa sen jalkauttamisesta osaksi yrityksen kulttuuria.

1. Koulutus ja viestintä
Henkilöstö on yrityksen tärkein puolustuslinja, mutta vain jos he tietävät, miten toimia. Järjestä koulutustilaisuus, jossa politiikan keskeiset kohdat käydään läpi käytännön esimerkein. Älä vain lue dokumenttia ääneen, vaan keskustele ja vastaa kysymyksiin. Jatkuva kyberturvallisuuskoulutus ja säännöllinen muistuttelu pitävät aiheen mielessä.

2. Tekninen valvonta
Säännöt tarvitsevat tuekseen teknisiä toimenpiteitä. Varmista, että IT-ympäristö on viritetty tukemaan politiikan vaatimuksia. Tämä tarkoittaa esimerkiksi:

• Monivaiheisen tunnistautumisen teknistä käyttöönottoa ja edellyttämistä.
• Päätelaitteiden keskitettyä hallintaa ja suojausta, joka ylittää perinteisen virustorjunnan tason.
• Verkkoliikenteen suodattamista ja valvontaa asianmukaisella palomuurilla.

3. Säännöllinen katselmointi
Digitaalinen maailma muuttuu jatkuvasti, ja niin muuttuvat myös uhat. Tietoturvapolitiikka ei ole kiveen hakattu. Se on elävä asiakirja, joka tulee tarkistaa ja päivittää vähintään kerran vuodessa tai aina, kun yrityksen toiminnassa tapahtuu merkittäviä muutoksia.

Usein kysytyt kysymykset

Kuinka pitkä tietoturvapolitiikan pitäisi olla?

Ei ole olemassa oikeaa pituutta. Tärkeintä on sisältö ja selkeys. Pk-yritykselle riittää usein hyvin 5–10 sivuinen asiakirja, joka kattaa olennaiset osa-alueet ymmärrettävästi. Monimutkaisuus ei ole tavoite, vaan käytännönläheisyys.

Riittääkö pelkkä tietoturvapolitiikka täyttämään GDPR:n vaatimukset?

Ei yksinään, mutta se on kriittinen osa sitä. Tietoturvapolitiikka on keskeinen keino osoittaa, että henkilötietojen suojaamiseksi on olemassa suunnitelmalliset ja dokumentoidut käytännöt. Sen lisäksi tarvitaan muun muassa tietosuojaselosteet ja rekisteri käsittelytoimista.

Meillä on vain muutama työntekijä. Tarvitsemmeko oikeasti tämän?

Kyllä. Riski on pienessä yrityksessä suhteellisesti jopa suurempi, sillä yksikin onnistunut tietomurto voi olla toiminnan jatkuvuudelle tuhoisa. Selkeät yhteiset pelisäännöt suojaavat sekä yrityksen dataa, mainetta että asiakkaita – organisaation koosta riippumatta.