Tietojen säilytys- ja hävityspolitiikka – pk-yrityksille

Tietojen säilytys- ja hävityspolitiikka – pk-yrityksille (politiikka P14S) on laadittu erityisesti pienille ja keskisuurille yrityksille (pk-yrityksille), huomioiden niiden rajoitteet ja erityiset vastuut. Politiikka on mukautettu pk-yrityksille siten, että toimitusjohtaja toimii politiikan omistajana ilman oletusta erikoistuneista rooleista, kuten tietoturvaoperaatiokeskus (SOC) tai tietoturvajohtaja (CISO), samalla varmistaen vaatimustenmukaisuuden johtavien viitekehysten, kuten ISO/IEC 27001:2022:n, GDPR:n ja niihin liittyvien sääntelyvaatimusten kanssa. Politiikan ensisijainen tarkoitus on asettaa selkeät, täytäntöönpantavat säännöt tiedon säilyttämiselle ja turvalliselle hävittämiselle siten, että tallenteita säilytetään vain niin kauan kuin laki, sopimukset tai liiketoiminnan tarve edellyttävät. Kun vaatimukset täyttyvät, tiedot on tuhottava peruuttamattomasti. Politiikka korostaa oikeudellisen altistumisen ja operatiivisen riskin minimointia estämällä luvattoman tai tarpeettoman tietojen säilyttämisen. Se tuo esiin myös hyvin hallinnoidun säilytyksen ja hävittämisen hyödyt auditointivalmiudelle, kustannusten vähentämiselle ja järjestelmien suorituskyvyn parantamiselle. Pk-yrityksille politiikka tarjoaa käytännöllisen tavan hallita vastuullisesti sekä digitaalisia että paperisia tieto-omaisuuseriä IT-tiimin koosta riippumatta. Kattava soveltamisala sisältää kaikki tallennetyypit, liiketoiminta-asiakirjat, operatiiviset lokit, taloustiedostot ja henkilötiedot, ja se koskee kaikkia tallennusvälineitä paikallisista levyasemista ja pilvijärjestelmistä paperiarkistointiin ja varmuuskopioihin. Kaikki työntekijät ja urakoitsijat sekä kolmannen osapuolen palveluntarjoajat, jotka käsittelevät organisaation tietoja, ovat tämän politiikan sitomia. Politiikka kattaa tiedon elinkaaren kaikki vaiheet luomisesta turvalliseen hävittämiseen tai tuhoamiseen. Keskeinen ominaisuus on roolien ja vastuiden selkeä määrittely. Toimitusjohtaja hyväksyy politiikan, varmistaa yhdenmukaisuuden oikeudellisten ja liiketoimintariskien kanssa sekä käsittelee poikkeukset ja oikeudellisen säilytyksen ja poistamisen keskeyttämisen -tilanteet. Nimetyt tieto-omaisuuden omistajat osoitetaan tietoluokittain ja he vastaavat luokittelusta, säilytysaikojen määrittämisestä ja poistojen valtuuttamisesta; he tukevat myös auditointiprosesseja. IT-tukipalveluntarjoaja tai sisäinen IT-vastaava vastaa järjestelmien konfiguroinnista säilytyssääntöjä, hävityslokitusta ja turvallista pyyhintää varten, mukaan lukien varmuuskopiot ja arkistot. Työntekijöiden ja urakoitsijoiden odotetaan noudattavan politiikkaa, välttävän virheellistä säilyttämistä, raportoivan orvot käyttäjätilit ja käyttävän vain hyväksyttyjä järjestelmiä tietojen tallentamiseen. Hallintotavan ydinkäytännöt perustuvat yksityiskohtaisen säilytysrekisterin ylläpitoon, jossa luetellaan tallenneluokat, määritetyt säilytysajat, hävitysmenetelmät, oikeudellinen perustelu ja tieto-omaisuuden omistajat. Rekisteri on katselmoitava vuosittain tai olennaisten oikeudellisten tai liiketoiminnallisten herätteiden yhteydessä. Hävitysmenetelmät valitaan tietojen luokittelun perusteella käyttäen turvallisia menettelyjä, kuten ristiinleikkaavaa silppuamista, kryptografista pyyhintää tai tallennusvälineiden fyysistä tuhoamista. Oikeudellinen säilytys ja poistamisen keskeyttäminen kuvataan nimenomaisesti: kun se on asetettu, se estää poistamisen riippumatta aikataulutetusta säilytysajasta ja edellyttää kuukausittaista katselmointia. Politiikka edellyttää myös henkilöstön koulutusta ja vuosittaisia kertauskoulutuksia tietoisuuden varmistamiseksi. Poikkeuksia hallitaan tiukasti dokumentoinnin, hyväksynnän, katselmoinnin ja perustellun päättymisen prosesseilla. Täytäntöönpanomekanismeihin kuuluvat säännölliset auditoinnit, pistokokeet sekä tiukat seuraamukset rikkomuksista, mukaan lukien sopimuksen päättäminen tai sääntelyraportointi henkilötietojen virheellisen käsittelyn tapauksissa. Kokonaisuutena politiikka varmistaa, että pk-yritys voi toimia lainmukaisesti, auditoitavasti ja resurssitehokkaasti myös silloin, kun edistyneitä IT-tietoturvaroolleja ei ole. Se on tarkoituksenmukaisesti yhdenmukaistettu ISO/IEC 27001:2022:n ja tietosuojalainsäädännön kanssa ja tarjoaa pk-yrityksille vahvan perustan tiedon elinkaaren hallintaan ilman tarpeetonta monimutkaisuutta.