Henkilötietojen käsittelyä koskeva EU:n Tietosuoja-asetus eli GDPR tuli voimaan vuonna 2018. Se velvoitti yritykset tarkastelemaan tiedonhävitysmenetelmiään tarkasti. GDPR on muutakin kuin “oikeus unohtaa”; sitä sovelletaan myös tietovuotojen ehkäisemiseen yrityksiin, jotka joko harjoittavat liiketoimintaa Euroopan unionissa tai tekevät yhteistyötä sen ulkopuolelta jonkin EU-alueella toimivan yrityksen kanssa. Tietojen oikeaoppisessa hävittämisessä on edelleen epäselvyyttä, mikä altistaa yritykset tietosuojarikkomuksille. Tässä blogissa käymme läpi, kuinka voit varmistaa, että yrityksesi toimii vaatimusten mukaisesti hävittäessään sähköisesti tallennettuja tietoja.

32 artikla

GDPR artikla 32 edellyttää, että yrityksissä “rekisterinpitäjän ja henkilötietojen käsittelijän on toteutettava riskiä vastaavan turvallisuustason varmistamiseksi asianmukaiset tekniset ja organisatoriset toimenpiteet, kuten menettely, jolla testataan, tutkitaan ja arvioidaan säännöllisesti teknisten ja organisatoristen toimenpiteiden tehokkuutta tietojenkäsittelyn turvallisuuden varmistamiseksi.” Oikeiden menettelytapojen varmistaminen ei koske ainoastaan tietojenkäsittelyä vaan myös käytössä olevien IT-järjestelmien (sekä ohjelmistojen että laitteistojen) valinta- ja hankintaprosessia.

Mitä olisi jo pitänyt tehdä?

Jokaisen yrityksen tietosuojasta tai tietohallinnosta vastaavan henkilön olisi pitänyt ryhtyä tarvittaviin toimenpiteisiin varmistaakseen, että henkilötiedot eivät pääse vuotamaan yrityksen ulkopuolelle. Muutamia asioita, joita GDPR:n mukaan olisi pitänyt jo tehdä:

• Salata ja pseudonymisoida henkilötiedot
• Taata käsittelyjärjestelmien ja palveluiden jatkuva luottamuksellisuus, eheys, käytettävyys ja vikasietoisuus;
• Varmistaa kyky palauttaa nopeasti tietojen saatavuus ja pääsy tietoihin fyysisen tai teknisen vian sattuessa;
• Toteuttaa menettely, jolla testataan, tutkitaan ja arvioidaan säännöllisesti teknisten ja organisatoristen toimenpiteiden tehokkuutta tietojenkäsittelyn turvallisuuden varmistamiseksi.

Toinen 32. artiklaan kirjattu kriittinen asia:

“Asianmukaisen turvallisuustason arvioimisessa on kiinnitettävä huomiota erityisesti käsittelyn sisältämiin riskeihin, erityisesti siirrettyjen, tallennettujen tai muutoin käsiteltyjen henkilötietojen vahingossa tapahtuvan tai laittoman tuhoamisen, häviämisen, muuttamisen, luvattoman luovuttamisen tai henkilötietoihin pääsyn vuoksi.”

Lyhyesti sanottuna artiklassa 32 vaaditaan yrityksiä huomioimaan kaikki riskit käytettäessä mitä tahansa tekniikkaa, jossa hallinnoidaan henkilötietoja. Ennen kuin yritys käyttää tallennusvälineitä arkaluonteisen tiedon säilyttämiseen, vastuullisen työntekijän on suoritettava tietoturvavaikutuksen arviointi henkilön (data) oikeuksiin kohdistuvien riskien ymmärtämiseksi.

Yrityksessä mahdollisesti esiintyvistä tietovuodoista on ilmoitettava 72 tunnin sisällä vuodon tapahtumisesta. Jos näin ei toimita, sanktiot ovat ankaria, kuten henkilötietojen luvattomasta käytöstäkin. Sakot voivat olla enintään 20 miljoonaa euroa tai 4 % yrityksen globaalista vuotuisesta liikevaihdosta (sen mukaan kumpi on suurempi).

Tietojen luotettava hävittäminen on edelleen haaste

Tietosuoja-asetus on ollut voimassa kaksi vuotta ja edelleen monet yritykset eivät välitä tai unohtavat hävittää tiedot käytöstä poistettavista pöytätyöasemista, kannettavista tietokoneista, ulkoisista levyasemista ja palvelimista. Tämä johtuu usein puutteellisista tiedoista siitä, minkälaisilla menetelmillä tallennusvälineet voidaan tyhjentää turvallisesti ja mistä voi hankkia luotettavia työkaluja tietojen hävittämiseen aktiivisissa IT-ympäristöissä. Siksi monien yritysten arkaluonteiset tiedot jäävät alttiiksi väärinkäytölle.

Monissa organisaatioissa tietojen hävittäminen ei edelleenkään ole IT-osastojen tietoturvaprioriteettien kärjessä; tämä ei yllätä nykyisessä digitaalisessa maailmassa, jossa verkkohyökkäykset ovat arkinen tosiasia. Siitä huolimatta, kuten aiemmin mainittiin, GDPR asettaa yrityksille lakisääteisen velvollisuuden käyttää asianmukaisia ja turvallisia menetelmiä tietojen hävittämiseen.

Tietojen poistamisen (delete) ja hävittämisen (erase) ero on monille IT-osastoillekin epäselvä, eikä sitä yleensä ole koulutettu henkilökunnalle. Blanccon tekemässä tutkimuksessa - 'Delete vs Erase': How to wipe files in Active Environments – nousi esiin, että yli puolet (51 %) 400 vastaajasta luuli roskakorin tyhjentämisen olevan luotettava keino tietojen poistamiseen pöytätietokoneesta tai kannettavasta pysyvästi. Yhtä huolestuttavaa on, että toiset 51 % luuli tietokoneen levyaseman pika- tai täysformatoinnin riittävän tuhoamaan heidän tietonsa lopullisesti.

Ilman asianmukaista tietoa tietojen hävittämisestä yritykset asettavat arkaluonteiset tietonsa alttiiksi mahdollisille tietoturvaloukkauksille.

Kokosimme yritysten avuksi muutamia vinkkejä sähköisten aineistojen hallintaan ja hävittämiseen aktiivisessa IT-ympäristössä.

1. Automatisoi roskakorin tyhjennys Jokaisen käyttäjän pitäisi tyhjentää tietokoneensa roskakori kirjautuessaan ulos järjestelmästä. Automatisoimalla tämän toimenpiteen yritys ottaa tarpeellisen askeleen due diligence-prosessissa varmistaakseen tietojen ja tiedostojen turvallisen hävittämisen. Tällä vähennetään epävarmuustekijöitä ja riskejä, jotka liittyvät tietojen hävittämiseen käyttäjien kannettavista ja pöytätietokoneista.
2. Ajasta “tyhjennä vapaa levytila” -toiminto Toiminto pitäisi lisätä Windows-ylläpitoa ja ohjelmapäivityksiä ajastettaessa jokaiselle yrityksen omistamalle ja käyttämälle kannettavalle ja pöytäkoneelle. Tällä toiminnolla päästään käsittelemään jatkuvasti ”roikkuvat” sovellustiedostot (samoin kuin muut tiedostot), jotka laitteen käyttäjä on poistanut virheellisesti ja puutteellisesti.
3. Poista väliaikaistiedostot (temp) automaattisesti Automatisoimalla väliaikaistiedostojen poistaminen varmistetaan, että toimenpide tulee suoritettua säännöllisesti ja varmasti. Menetelmällä paikannetaan ja poistetaan arkaluonteisia käyttäjätietoja, jotka ovat mahdollisesti tallentuneet järjestelmään, kuten selaimen välimuistiin.
4. Poista paikallisesti luodut ja tallennetut käyttäjän tiedostot Paikallisesti tuotettujen käyttäjätiedostojen johdonmukainen poistaminen ja työntekijöiden rohkaiseminen arkistoimaan tietonsa keskitettyyn tallennusjärjestelmään voivat estää mahdolliset tietoturvaloukkaukset. Tämä on jatkuva taistelu, joka on jo pitkään kiusannut tiedonhallinto-osastoja monissa organisaatioissa.
5. Valtuuta osaavat “tehokäyttäjät” hävittämään tiedoja Nimetty ja valvottu ”tehokäyttäjien” ryhmä, jolla on valtuutus hävittää tarpeettomiksi käyneitä tiedostoja aktiivisesta järjestelmästä, voi olla merkittävä voimavara. He voivat olla tärkeitä yrityksesi turvallisuudelle, etenkin jos työntekijöillä on tapana tallentaa arkaluonteisia tietoja vääriin sijainteihin. “Tehokäyttäjien” tulisi keskittyä sääntöjen vastaisesti tallennettuihin tiedostoihin ja hävittää ne viipymättä.
6. Tiedonhävityksen verifiointiraportilla varmistat menetelmiesi luotettavuuden Jos yrityksellä on verifiointiraportti ja auditointikelpoinen prosessi tietojen turvalliseen ja luotettavaan hävittämiseen, yritys voi osoittaa noudattavansa tietojen säilyttämiseen liittyviä käytäntöjä ja lainsäädännöllisiä vaatimuksia. Tiedonhävityslaadun verifiointipalvelu voi auttaa yritystä arvioimaan tietojen hävittämiseen liittyvän strategiansa ja menetelmänsä.

Jos haluat lisätietoja tietojen turvallisesta hävittämisestä yritysympäristössä, ota yhteyttä asiantuntijoihimme.