Mitä tietoturvavastaavan pitää osata kyberturvallisuuslain piirissä?

Lyhyesti

Tietoturvavastaavalla tarkoitetaan tässä roolia, joka koordinoi organisaation tietoturvaa ja tukee johtoa. Kun organisaatio kuuluu kyberturvallisuuslain piiriin, roolin pitää kattaa riskienhallinta, poikkeamat, jatkuvuus, toimitusketju, salaus, pääsynhallinta ja henkilöstön kyberturvallisuuskoulutus. Kyberturvallisuuslain 10 § asettaa vastuun johdolle, joten tietoturvavastaava ei korvaa johdon vastuuta. Hänen osaamisensa arvo näkyy siinä, että johto saa päätöksiin selkeän kuvan riskeistä, toimenpiteistä ja poikkeamien määräajoista.

Tietoturvavastaavan pitää yhdistää laki arjen järjestelmiin

Kyberturvallisuuslain 1 § sanoo, että laissa säädetään kyberturvallisuutta koskevien riskien hallinnasta. Tietoturvavastaavan työ ei siis ole vain teknistä suojaamista. Se on myös riskien tunnistamista, vastuiden kuvaamista ja toiminnan jatkuvuuden varmistamista.

Kyberturvallisuuslain 7 § velvoittaa toimijaa tunnistamaan, arvioimaan ja hallitsemaan riskejä. Riskit kohdistuvat viestintäverkkoihin ja tietojärjestelmiin. Arkisesti tämä tarkoittaa esimerkiksi asiakaspalvelujärjestelmää, ajanvarauspalvelua, tuotannon ohjausta tai kunnan sähköistä asiointia.

Sama pykälä edellyttää, että riskienhallinta estää tai minimoi poikkeamien vaikutuksia. Vaikutus voi osua organisaation toimintaan, toiminnan jatkuvuuteen, palvelujen vastaanottajiin tai muihin palveluihin. Tietoturvavastaavan pitää siksi ymmärtää myös liiketoimintaa tai palvelutuotantoa. Pelkkä tekninen järjestelmälista ei riitä.

Kyberturvallisuuslain 8 § edellyttää ajantasaista riskienhallinnan toimintamallia. Toimintamallissa kuvataan tavoitteet, menettelyt ja vastuut. Käytännössä tämä tarkoittaa sitä, että organisaatiolla on sovittu tapa käsitellä riskejä. Siinä näkyy myös, kuka tekee päätöksen, kuka seuraa ja kuka raportoi.

Osaamisalueet tulevat suoraan riskienhallinnan vaatimuksista

Kyberturvallisuuslain 9 § kokoaa ne osa-alueet, jotka tietoturvavastaavan pitää hallita. NIS2-direktiivin 21 artikla sisältää samansuuntaisen luettelon kyberturvallisuusriskien hallintatoimenpiteistä. Kyse ei ole yhdestä koulutuspäivästä tai yksittäisestä ohjeesta. Kyse on jatkuvasta tavasta johtaa tietoturvaa.

Osaamisalue	Lähde	Mitä se tarkoittaa työssä
Kyberriskien hallinta ja tietoturvapolitiikat	Kyberturvallisuuslain 7–9 § ja NIS2-direktiivin 21 artikla	Riskit tunnistetaan, arvioidaan ja niille valitaan oikeasuhtaiset hallintatoimenpiteet. Politiikka kertoo yhteiset säännöt.
Poikkeamien havainnointi ja käsittely	Kyberturvallisuuslain 9 § ja 11–13 §	Organisaatio tunnistaa häiriön, rajaa vaikutukset, palauttaa toiminnan ja ilmoittaa määräajassa.
Toiminnan jatkuvuus ja varautuminen	Kyberturvallisuuslain 9 §	Varmuuskopiointi, palautumissuunnittelu ja kriisinhallinta pitävät palvelun käynnissä tai palauttavat sen.
Toimitusketjun turvallisuus	Kyberturvallisuuslain 9 § ja NIS2-direktiivin 21 artikla	Välittömien toimittajien ja palveluntarjoajien tuotteet, palvelut ja käytännöt arvioidaan riskien kannalta.
Pääsynhallinta ja todentaminen	Kyberturvallisuuslain 9 §	Järjestelmiin pääsee vain tarvittava henkilö, tarvittavalla oikeudella ja sovitulla tunnistustavalla.
Salaus ja suojattu viestintä	Kyberturvallisuuslain 9 §	Organisaatio päättää, missä salausmenetelmiä käytetään ja milloin tarvitaan suojattua sähköistä viestintää.

Oikeasuhtaisuus on tärkeä sana. Kyberturvallisuuslain 7 § ja 9 § eivät vaadi kaikilta samaa teknistä ratkaisua. Toimenpiteet suhteutetaan riskeihin, järjestelmän merkitykseen, toiminnan laatuun ja laajuuteen sekä poikkeaman todennäköisyyteen ja vakavuuteen.

Tietoturvavastaavan pitää siksi osata perustella valinnat. Miksi jokin järjestelmä on kriittinen. Miksi jokin riski hyväksytään. Miksi toinen riski vaatii uuden toimenpiteen. Tämä on johdon päätösten kannalta olennaista.

Poikkeamat vaativat määräajat, roolit ja harjoitellun ketjun

Tietoturvapoikkeama on tilanne, jossa järjestelmän tai palvelun turvallisuus tai toiminta vaarantuu. Esimerkki on laaja palvelukatko, haittaohjelman leviäminen tai tilanne, jossa ulkopuolinen pääsee järjestelmään.

Kyberturvallisuuslain 11 § koskee merkittävää poikkeamaa. Merkittävä poikkeama on tilanne, joka on aiheuttanut tai voi aiheuttaa vakavan palvelujen toimintahäiriön tai huomattavia taloudellisia tappioita. Se voi olla merkittävä myös, jos se vaikuttaa muihin henkilöihin tai oikeushenkilöihin ja aiheuttaa huomattavaa aineellista tai aineetonta vahinkoa.

Tietoturvavastaavan pitää tuntea ilmoitusketju. Ensi-ilmoitus tehdään valvovalle viranomaiselle 24 tunnin kuluessa merkittävän poikkeaman havaitsemisesta. Jatkoilmoitus tehdään 72 tunnin kuluessa havaitsemisesta. Luottamuspalvelun tarjoajalla jatkoilmoituksen määräaika on 24 tuntia, jos merkittävä poikkeama vaikuttaa luottamuspalvelujen tarjontaan.

Kyberturvallisuuslain 12 § koskee väliraporttia. Valvova viranomainen voi pyytää lisätietoja tai väliraportin. Jos merkittävä poikkeama on pitkäkestoinen, väliraportti annetaan viimeistään kuukauden kuluttua jatkoilmoituksen antamisesta.

Kyberturvallisuuslain 13 § koskee loppuraporttia. Loppuraportti annetaan kuukauden kuluessa jatkoilmoituksen toimittamisesta. Jos poikkeama on pitkäkestoinen, määräaika lasketaan sen käsittelyn päättymisestä.

Tietoturvavastaavan osaamiseen kuuluu myös rajanveto. Kaikki häiriöt eivät ole merkittäviä poikkeamia. Silti ne pitää havaita, kirjata ja käsitellä. Ilmoitusvelvollisuus epäonnistuu helposti, jos organisaatio pohtii merkittävyyttä vasta kriisin aikana. Aihe jatkuu artikkelissa Mitä tietoturvapoikkeamasta pitää ilmoittaa ja milloin?.

Johto vastaa, mutta tietoturvavastaava tekee vastuun näkyväksi

Kyberturvallisuuslain 10 § on tärkeä tietoturvavastaavan roolin kannalta. Sen mukaan johto vastaa riskienhallinnan toteuttamisen ja valvonnan järjestämisestä. Johto hyväksyy riskienhallinnan toimintamallin ja valvoo sen toteuttamista.

Johto tarkoittaa lain mukaan hallitusta, hallintoneuvostoa ja toimitusjohtajaa. Mukana on myös muu niihin rinnastettava asema, jos henkilö tosiasiallisesti johtaa toimintaa.

Tietoturvavastaavan pitää osata puhua johdon kieltä. Se tarkoittaa vaikutuksia palveluihin, talouteen, jatkuvuuteen ja asiakkaisiin tai kuntalaisiin. Tekninen havainto pitää kääntää päätökseksi. Esimerkiksi vanhentunut järjestelmä ei ole vain tekninen puute. Se voi olla riski palvelun jatkuvuudelle ja ilmoitusvelvollisuudelle.

Johdon pitää olla riittävästi perehtynyt kyberturvallisuusriskien hallintaan. Tämä ei tee jokaisesta johtajasta teknistä asiantuntijaa. Se tarkoittaa, että johto ymmärtää oman vastuunsa, hyväksyy toimintamallin ja seuraa sen toteutumista. Johdon koulutusvelvoitetta käsitellään lisää artikkelissa NIS2 ja kyberturvallisuuslaki: johdon koulutusvelvoite ja henkilöstön kyberhygienia.

Henkilöstön osaaminen on osa riskienhallintaa

Kyberturvallisuuslain 9 § mainitsee henkilöstöturvallisuuden ja kyberturvallisuuskoulutuksen. NIS2-direktiivin 21 artikla mainitsee perustason kyberhygieniakäytännöt ja kyberturvallisuuskoulutuksen.

Tietoturvavastaavan osaamiseen kuuluu siksi myös koulutuksen suunnittelu. Kaikkien ei tarvitse osata samoja asioita. Taloushallinto kohtaa laskuhuijauksia. Asiakaspalvelu käsittelee tunnistamista ja tietojen luovutusta. Ylläpito vastaa pääsynhallinnasta ja palautumisesta.

Hyvä koulutus kytkeytyy riskeihin. Jos poikkeamat liittyvät usein käyttäjätunnuksiin, koulutus ei voi olla irrallinen muistutus. Sen pitää tukea pääsynhallintaa, todentamista ja henkilöstöturvallisuutta. Henkilöstön kyberturvallisuuden perusteita käsitellään artikkelissa Mitä kyberturvallisuuslaki vaatii henkilöstön koulutukselta?.

Tietoturvavastaavan pitää myös seurata, toimivatko toimenpiteet. Kyberturvallisuuslain 9 § edellyttää hallintatoimenpiteiden vaikuttavuuden arviointia. NIS2-direktiivin 21 artikla mainitsee menettelyt, joilla arvioidaan toimenpiteiden tehokkuutta. Tämä voi tarkoittaa esimerkiksi poikkeamien läpikäyntiä, harjoituksia, havaintojen määrää tai auditointia.

Milloin velvoite ei koske organisaatiota tai ei koske kaikkea toimintaa

Kyberturvallisuuslain soveltamisala ei kata kaikkia organisaatioita eikä kaikkea toimintaa. Lain 3 § liittää soveltamisen lain liitteissä I tai II tarkoitettuun toimintaan tai toimijaan. Lisäksi toimijan pitää täyttää tai ylittää keskisuuria yrityksiä koskevat edellytykset, ellei laissa säädetä koosta riippumatonta soveltamista.

Lakia sovelletaan koosta riippumatta tietyissä tilanteissa. Kyberturvallisuuslain 3 § mainitsee yleisten sähköisten viestintäverkkojen tai yleisesti saatavilla olevien sähköisten viestintäpalvelujen tarjoajan, luottamuspalvelun tarjoajan, aluetunnusrekisterin ylläpitäjän ja DNS-palveluntarjoajan. Sama pykälä sisältää myös tilanteita, joissa palvelu on kriittinen yhteiskunnan tai talouden kannalta.

Kyberturvallisuuslain 4 § rajaa soveltamista. Lain 2 lukua ei sovelleta toimintaan eikä palveluihin, joita tarjotaan maanpuolustuksen, kansallisen turvallisuuden, yleisen järjestyksen ja turvallisuuden tai rikosten ennalta estämisen, rikostutkinnan ja syytetoimien toteuttamiseksi. Lakia ei myöskään sovelleta toimijaan, joka tarjoaa ainoastaan tällaista toimintaa tai palvelua. Luottamuspalvelun tarjoaja on tästä poikkeus.

Sama pykälä sanoo, että lakia ei sovelleta toimijaan, jonka lain liitteessä I tai II tarkoitettu toiminta on satunnaista ja vähäistä. Kunnan osalta laki soveltuu vain lain liitteessä I tai II tarkoitettuun toimintaan. Tämä on tärkeä rajaus kunnille, joissa sama organisaatio tekee monenlaisia tehtäviä.

Kyberturvallisuuslaki ei myöskään nimeä tietoturvavastaavaa pakolliseksi rooliksi. Se nimeää johdon vastuun ja toimijan velvollisuudet. Organisaatio voi silti tarvita nimetyn vastuuhenkilön, jotta riskienhallinnan toimintamalli, poikkeamien käsittely ja raportointi pysyvät koossa.

Puutteet voivat johtaa seuraamuksiin

Kyberturvallisuuslain 35 § antaa mahdollisuuden hallinnolliseen seuraamusmaksuun. Se voi tulla kyseeseen, jos toimija tahallaan tai törkeästä huolimattomuudesta laiminlyö riskien hallinnan, riskienhallinnan toimintamallin laatimisen, 9 §:n osa-alueiden huomioimisen tai toimenpiteiden toteuttamisen. Se voi tulla kyseeseen myös poikkeamailmoituksen, väliraportin tai loppuraportin laiminlyönnistä.

Kyberturvallisuuslain 38 § asettaa enimmäismäärät. Keskeiselle toimijalle enimmäismäärä on 10 000 000 euroa tai kaksi prosenttia edellisen tilikauden maailmanlaajuisesta vuotuisesta kokonaisliikevaihdosta sen mukaan, kumpi on suurempi. Muulle kuin keskeiselle toimijalle enimmäismäärä on 7 000 000 euroa tai 1,4 prosenttia edellisen tilikauden maailmanlaajuisesta vuotuisesta kokonaisliikevaihdosta sen mukaan, kumpi on suurempi.

Kyberturvallisuuslain 35 § rajaa myös, kenelle seuraamusmaksua ei voi määrätä. Seuraamusmaksua ei voi määrätä esimerkiksi valtion viranomaisille, hyvinvointialueille, kunnallisille viranomaisille eikä tietyille julkisoikeudellisille toimijoille. Tämä ei poista riskienhallinnan velvoitteita. Se rajaa seuraamusmaksun käyttöä.

Tietoturvavastaavan osaamisen ydin on tämän vuoksi käytännöllinen. Hänen pitää tehdä näkyväksi, missä riskit ovat, mitä niiden eteen tehdään ja miten organisaatio toimii, kun poikkeama havaitaan. Kun nämä ovat selkeitä, johto pystyy kantamaan sille asetetun vastuun.