![\"\"](\"https:\/\/teknologiateollisuus.fi\/digipooli\/wp-content\/uploads\/sites\/12\/2024\/09\/HVPilvipalveluillaProsessi-968x1372.jpg\")
Lains\u00e4\u00e4d\u00e4nt\u00f6 ei ole niin tiukka kuin luullaan<\/strong><\/h2>\n\n\n\nPilvipalveluiden k\u00e4ytt\u00f6\u00f6notossa koetaan usein kinkkisimm\u00e4ksi moninainen ja p\u00e4\u00e4llekk\u00e4inen s\u00e4\u00e4ntely, josta viranomaistoimijat ovat tehneet erilaisia tulkintoja. EU:n ja Suomen lains\u00e4\u00e4d\u00e4nt\u00f6 ei suurimmalta osin kuitenkaan ota kantaa yksityisen yrityksen pilvipalveluiden k\u00e4ytt\u00f6\u00f6n. Tietoturvaa ja tietosuojaa koskevat m\u00e4\u00e4r\u00e4ykset ovat samat, oli toteutustapa mik\u00e4 hyv\u00e4ns\u00e4. <\/em>Tiedon s\u00e4ilytt\u00e4miseen tai prosessointiin liittyy karkeasti kolmenlaisia s\u00e4\u00e4d\u00f6ksi\u00e4, jotka voivat aiheuttaa velvoitteita ja reunaehtoja pilvipalveluiden k\u00e4yt\u00f6lle.<\/p>\n\n\n\n1. henkil\u00f6tietojen k\u00e4sittely<\/strong>
GDPR eli yleinen tietosuoja-asetus on tunnetuin ja keskeisin s\u00e4\u00e4d\u00f6s. Se muun muassa edellytt\u00e4\u00e4, ett\u00e4 eurooppalaisten henkil\u00f6tietojen k\u00e4sittely ja s\u00e4ilytt\u00e4minen tulee tapahtua EU\/ETA-alueella ja tarvittaessa rekisterinpit\u00e4j\u00e4n t\u00e4ytyy tehd\u00e4 tietosuojaa koskeva vaikutusarviointi. GDPR ei ota suoraa kantaa pilvipalveluihin, vaan s\u00e4\u00e4d\u00f6s koskee henkil\u00f6tietojen k\u00e4sittely\u00e4 toteutustavasta riippumatta.<\/p>\n\n\n\n2. tiettyjen alojen erityiss\u00e4\u00e4ntely<\/strong>
Sosiaali- ja terveysalan tietojen k\u00e4sittely\u00e4 koskee oma erikoiss\u00e4\u00e4ntelyns\u00e4<\/a>. Lis\u00e4ksi joillakin aloilla on valvontaviranomaisia, jotka antavat ohjeistuksia tiedon s\u00e4ilytt\u00e4miseen liittyen. Esimerkiksi Finanssivalvonta on ohjeistanut vakuutusalan toimijoita ja Liikenne- ja viestint\u00e4virasto p\u00e4ivitt\u00e4\u00e4 teletoiminnan tietoturvaa koskevaa m\u00e4\u00e4r\u00e4yst\u00e4.<\/p>\n\n\n\n3. julkishallinnon lains\u00e4\u00e4d\u00e4nt\u00f6\u00a0<\/strong>
Jos yritys toimii palveluntarjoajana julkishallinnolle, se voi joutua noudattamaan julkishallintoa koskevaa lains\u00e4\u00e4d\u00e4nt\u00f6\u00e4. T\u00e4m\u00e4k\u00e4\u00e4n ei est\u00e4 pilvipalveluiden k\u00e4ytt\u00f6\u00e4. Julkishallinnossa k\u00e4sitell\u00e4\u00e4n salaiseksi m\u00e4\u00e4r\u00e4ttyj\u00e4 ja muita eri tavalla turvallisuusluokiteltuja asiakirjoja. Julkishallintoa ohjeistavassa valtionvarainministeri\u00f6n lausunnossa\u00a0<\/a>sanotaan, ett\u00e4 ei-julkista tietoa voi k\u00e4sitell\u00e4 my\u00f6s pilvipalveluissa, mutta tietoturvan ja tietosuojan t\u00e4ytyy olla riitt\u00e4v\u00e4ll\u00e4 tasolla.
Lis\u00e4ksi lains\u00e4\u00e4d\u00e4nt\u00f6\u00e4 konkretisoivat erilaiset suositukset ja standardit. N\u00e4m\u00e4 eiv\u00e4t ole yht\u00e4 lailla velvoittavia, mutta suosituksista poikkeaminen on oltava perusteltua. Jotkut standardit ovat vakiintuneet sellaisiksi, ett\u00e4 ne ovat edellytys alalla toimimiseen. T\u00e4llainen on esimerkiksi luottokorttiostoksia koskeva tietoturvastandardi Payment Card Industry Data Security Standard (PCI DSS).<\/p>\n\n\n\nNato-j\u00e4senyys vaikuttaa tietoturvas\u00e4\u00e4ntelyyn<\/strong><\/h2>\n\n\n\nLains\u00e4\u00e4t\u00e4j\u00e4 pyrkii nyt ottamaan kiinni ripe\u00e4sti liikkuvaa datatalouden maailmaa ja yritysten s\u00e4\u00e4ntely-ymp\u00e4rist\u00f6 muuttuu jatkuvasti, mik\u00e4 tekee niiden toiminnan suunnittelusta ja ennakoinnista hankalaa. Euroopan unioni kehitt\u00e4\u00e4 esimerkiksi parhaillaan tietojen saatavuutta ja k\u00e4ytt\u00f6\u00e4 koskevaa normistoa. Lis\u00e4ksi Suomen Nato-j\u00e4senyydest\u00e4 seuraa tietoturvallisuutta koskevaa s\u00e4\u00e4ntely\u00e4. Molemmat vaikuttavat pilvipalveluiden \u2013 tai oikeammin tietojen tallentamista ja k\u00e4ytt\u00f6\u00e4 koskeviin ratkaisuihin.<\/p>\n\n\n\n
\u201cPilvipalvelut vai oma konesali?\u201d tuntuu edelleen olevan vallitseva organisaatioiden tietoturvan ja riskien hallinnan kysymys. S\u00e4\u00e4ntelyn takia ei tarvitse j\u00e4\u00e4d\u00e4 oman konesalin vangiksi. Hyvin valmistellulla p\u00e4\u00e4t\u00f6ksenteolla ja prosessilla voidaan tehd\u00e4 fiksu ja lains\u00e4\u00e4d\u00e4nn\u00f6n vaatimukset t\u00e4ytt\u00e4v\u00e4 ratkaisu, oli valinta sitten oma palvelintila, julkiset- tai yksityiset pilvipalvelut tai n\u00e4iden hybridiratkaisut.<\/p>\n\n\n\n
Huoltovarmuusorganisaation Digipooli on laatinut oppaan (<-linkki<\/em>), joka tukee yritysp\u00e4\u00e4tt\u00e4ji\u00e4 pilvipalveluita koskevassa p\u00e4\u00e4t\u00f6ksenteossa. Oppaassa mukana oleva k\u00e4tev\u00e4 korttipakka tarjoaa vinkkej\u00e4 niist\u00e4 aiheista, jotka on hyv\u00e4 l\u00e4pik\u00e4yd\u00e4 j\u00e4rkevien p\u00e4\u00e4t\u00f6sten tekemiseksi sek\u00e4 auttaa tunnistamaan p\u00e4\u00e4t\u00f6ksess\u00e4 tarvittavan tiedon ja osaamiseen, liiketoiminnan tarpeet, lains\u00e4\u00e4d\u00e4nn\u00f6n asettamat ehdot ja kriittisten toimintojen uhkat sek\u00e4 riskit. Korttipakka mukautuu my\u00f6s muihin muutostilanteisiin tai tietoturvan vuosikellon tueksi.<\/p>\n\n\n\nTutustu oppaaseen<\/h2>\n\n\n\n
Digipoolin Huoltovarmuutta pilvipalveluilla opas auttaa organisaatiota p\u00e4\u00e4t\u00f6ksentekoprosessin \u00e4\u00e4reen, joka on syyt\u00e4 l\u00e4pik\u00e4yd\u00e4 tehd\u00e4kseen tiedonhallintaan liittyen harkittuja p\u00e4\u00e4t\u00f6ksi\u00e4. Harkitut p\u00e4\u00e4t\u00f6kset ovat edellytyksen\u00e4 sille, ett\u00e4 voi tehd\u00e4 vastuullista toimintaa ja varmistaa yrityksens\u00e4 huoltovarmuuden. Parhaimmillaan pilvipalvelutkin ovat varautumisen v\u00e4lineit\u00e4 kun k\u00e4ytt\u00f6 on tehty harkiten. Oppaan liitteen\u00e4 on my\u00f6s juridisen selvityksen tulokset, jossa on avattu sit\u00e4 lains\u00e4\u00e4d\u00e4nt\u00f6\u00e4, joka aihealueeseen liittyy.<\/p>\n\n\n\n
Huoltovarmuutta pilvipalveluilla oppaan voit ladata\u00a0t\u00e4st\u00e4:<\/p>\n\n\n\n
1. henkil\u00f6tietojen k\u00e4sittely<\/strong> 2. tiettyjen alojen erityiss\u00e4\u00e4ntely<\/strong> 3. julkishallinnon lains\u00e4\u00e4d\u00e4nt\u00f6\u00a0<\/strong> Lains\u00e4\u00e4t\u00e4j\u00e4 pyrkii nyt ottamaan kiinni ripe\u00e4sti liikkuvaa datatalouden maailmaa ja yritysten s\u00e4\u00e4ntely-ymp\u00e4rist\u00f6 muuttuu jatkuvasti, mik\u00e4 tekee niiden toiminnan suunnittelusta ja ennakoinnista hankalaa. Euroopan unioni kehitt\u00e4\u00e4 esimerkiksi parhaillaan tietojen saatavuutta ja k\u00e4ytt\u00f6\u00e4 koskevaa normistoa. Lis\u00e4ksi Suomen Nato-j\u00e4senyydest\u00e4 seuraa tietoturvallisuutta koskevaa s\u00e4\u00e4ntely\u00e4. Molemmat vaikuttavat pilvipalveluiden \u2013 tai oikeammin tietojen tallentamista ja k\u00e4ytt\u00f6\u00e4 koskeviin ratkaisuihin.<\/p>\n\n\n\n \u201cPilvipalvelut vai oma konesali?\u201d tuntuu edelleen olevan vallitseva organisaatioiden tietoturvan ja riskien hallinnan kysymys. S\u00e4\u00e4ntelyn takia ei tarvitse j\u00e4\u00e4d\u00e4 oman konesalin vangiksi. Hyvin valmistellulla p\u00e4\u00e4t\u00f6ksenteolla ja prosessilla voidaan tehd\u00e4 fiksu ja lains\u00e4\u00e4d\u00e4nn\u00f6n vaatimukset t\u00e4ytt\u00e4v\u00e4 ratkaisu, oli valinta sitten oma palvelintila, julkiset- tai yksityiset pilvipalvelut tai n\u00e4iden hybridiratkaisut.<\/p>\n\n\n\n Huoltovarmuusorganisaation Digipooli on laatinut oppaan (<-linkki<\/em>), joka tukee yritysp\u00e4\u00e4tt\u00e4ji\u00e4 pilvipalveluita koskevassa p\u00e4\u00e4t\u00f6ksenteossa. Oppaassa mukana oleva k\u00e4tev\u00e4 korttipakka tarjoaa vinkkej\u00e4 niist\u00e4 aiheista, jotka on hyv\u00e4 l\u00e4pik\u00e4yd\u00e4 j\u00e4rkevien p\u00e4\u00e4t\u00f6sten tekemiseksi sek\u00e4 auttaa tunnistamaan p\u00e4\u00e4t\u00f6ksess\u00e4 tarvittavan tiedon ja osaamiseen, liiketoiminnan tarpeet, lains\u00e4\u00e4d\u00e4nn\u00f6n asettamat ehdot ja kriittisten toimintojen uhkat sek\u00e4 riskit. Korttipakka mukautuu my\u00f6s muihin muutostilanteisiin tai tietoturvan vuosikellon tueksi.<\/p>\n\n\n\n Digipoolin Huoltovarmuutta pilvipalveluilla opas auttaa organisaatiota p\u00e4\u00e4t\u00f6ksentekoprosessin \u00e4\u00e4reen, joka on syyt\u00e4 l\u00e4pik\u00e4yd\u00e4 tehd\u00e4kseen tiedonhallintaan liittyen harkittuja p\u00e4\u00e4t\u00f6ksi\u00e4. Harkitut p\u00e4\u00e4t\u00f6kset ovat edellytyksen\u00e4 sille, ett\u00e4 voi tehd\u00e4 vastuullista toimintaa ja varmistaa yrityksens\u00e4 huoltovarmuuden. Parhaimmillaan pilvipalvelutkin ovat varautumisen v\u00e4lineit\u00e4 kun k\u00e4ytt\u00f6 on tehty harkiten. Oppaan liitteen\u00e4 on my\u00f6s juridisen selvityksen tulokset, jossa on avattu sit\u00e4 lains\u00e4\u00e4d\u00e4nt\u00f6\u00e4, joka aihealueeseen liittyy.<\/p>\n\n\n\n Huoltovarmuutta pilvipalveluilla oppaan voit ladata\u00a0t\u00e4st\u00e4:<\/p>\n\n\n\n
GDPR eli yleinen tietosuoja-asetus on tunnetuin ja keskeisin s\u00e4\u00e4d\u00f6s. Se muun muassa edellytt\u00e4\u00e4, ett\u00e4 eurooppalaisten henkil\u00f6tietojen k\u00e4sittely ja s\u00e4ilytt\u00e4minen tulee tapahtua EU\/ETA-alueella ja tarvittaessa rekisterinpit\u00e4j\u00e4n t\u00e4ytyy tehd\u00e4 tietosuojaa koskeva vaikutusarviointi. GDPR ei ota suoraa kantaa pilvipalveluihin, vaan s\u00e4\u00e4d\u00f6s koskee henkil\u00f6tietojen k\u00e4sittely\u00e4 toteutustavasta riippumatta.<\/p>\n\n\n\n
Sosiaali- ja terveysalan tietojen k\u00e4sittely\u00e4 koskee oma erikoiss\u00e4\u00e4ntelyns\u00e4<\/a>. Lis\u00e4ksi joillakin aloilla on valvontaviranomaisia, jotka antavat ohjeistuksia tiedon s\u00e4ilytt\u00e4miseen liittyen. Esimerkiksi Finanssivalvonta on ohjeistanut vakuutusalan toimijoita ja Liikenne- ja viestint\u00e4virasto p\u00e4ivitt\u00e4\u00e4 teletoiminnan tietoturvaa koskevaa m\u00e4\u00e4r\u00e4yst\u00e4.<\/p>\n\n\n\n
Jos yritys toimii palveluntarjoajana julkishallinnolle, se voi joutua noudattamaan julkishallintoa koskevaa lains\u00e4\u00e4d\u00e4nt\u00f6\u00e4. T\u00e4m\u00e4k\u00e4\u00e4n ei est\u00e4 pilvipalveluiden k\u00e4ytt\u00f6\u00e4. Julkishallinnossa k\u00e4sitell\u00e4\u00e4n salaiseksi m\u00e4\u00e4r\u00e4ttyj\u00e4 ja muita eri tavalla turvallisuusluokiteltuja asiakirjoja. Julkishallintoa ohjeistavassa valtionvarainministeri\u00f6n lausunnossa\u00a0<\/a>sanotaan, ett\u00e4 ei-julkista tietoa voi k\u00e4sitell\u00e4 my\u00f6s pilvipalveluissa, mutta tietoturvan ja tietosuojan t\u00e4ytyy olla riitt\u00e4v\u00e4ll\u00e4 tasolla.
Lis\u00e4ksi lains\u00e4\u00e4d\u00e4nt\u00f6\u00e4 konkretisoivat erilaiset suositukset ja standardit. N\u00e4m\u00e4 eiv\u00e4t ole yht\u00e4 lailla velvoittavia, mutta suosituksista poikkeaminen on oltava perusteltua. Jotkut standardit ovat vakiintuneet sellaisiksi, ett\u00e4 ne ovat edellytys alalla toimimiseen. T\u00e4llainen on esimerkiksi luottokorttiostoksia koskeva tietoturvastandardi Payment Card Industry Data Security Standard (PCI DSS).<\/p>\n\n\n\nNato-j\u00e4senyys vaikuttaa tietoturvas\u00e4\u00e4ntelyyn<\/strong><\/h2>\n\n\n\n
Tutustu oppaaseen<\/h2>\n\n\n\n