Tietojen säilytys- ja hävityspolitiikka

Tietojen säilytys- ja hävityspolitiikka (P14) määrittää kattavat vaatimukset kaiken organisaation datan säilyttämiselle ja tietojen turvalliselle hävittämiselle koko sen elinkaaren ajan vaatimustenmukaisuuden varmistamiseksi, riskin vähentämiseksi ja toiminnan tehokkuuden tukemiseksi. Tämä politiikka koskee koko organisaatiota ja ulottuu jokaiseen yrityksen omistamaan, käsittelemään tai säilyttämään fyysiseen ja digitaaliseen tietovarallisuuserään, mukaan lukien kolmansien osapuolten, tytäryhtiöiden ja ulkoistuskumppaneiden hallinnoimat omaisuuserät. Kattavuus ulottuu digitaalisista tiedostoista, tietokannoista, sähköposteista ja varmuuskopiointijärjestelmistä paperitallenteisiin ja käytöstä poistettuun laitteistoon. P14-politiikan ensisijainen tarkoitus on määrittää tiukat hallintakeinot sille, kuinka kauan dataa säilytetään lakisääteisten, sääntelyyn liittyvien ja operatiivisten tarpeiden perusteella, sekä varmistaa sen pysyvä ja turvallinen poistaminen, kun sitä ei enää tarvita. Selkeiden säilytysaikataulujen ja tiukkojen hävitysmenettelyjen avulla politiikka tukee ISO/IEC 27001:2022 -vaatimuksia, mahdollistaa jäljitettävän tallenteiden hallinnan ja suojaa luottamuksellisuus-, eheys- ja saatavuusperiaatteita. Politiikka auttaa myös ehkäisemään tarpeetonta datan kertymistä, joka voi johtaa tietosuojaloukkauksiin, tehottomuuksiin tai kasvaneeseen liiketoimintariskiin. Roolit ja vastuut on määritelty selkeästi: toimitusjohtaja hyväksyy ja valvoo vaatimustenmukaisuutta; tietoturvajohtaja (CISO) omistaa, määrittää ja seuraa politiikan toteutusta; tietosuojavastaava (DPO) neuvoo tietosuojassa ja validoi henkilötietojen käsittelyä; ja tieto-omaisuuden omistajat varmistavat, että aikataulut ovat perusteltuja ja valtuutettuja. IT-toiminnot vastaavat teknologisten hallintakeinojen toteuttamisesta, ja kaikki työntekijät, urakoitsijat sekä asiaankuuluvat kolmannen osapuolen palveluntarjoajat ovat velvollisia noudattamaan säilytys- ja hävitysohjeita. Ulkoistetut toimittajat ja pilvipalveluntarjoajat ovat velvollisia noudattamaan sopimuksen tietoturvalausekkeita ja toimittamaan hävitystä koskevan auditointinäytön pyynnöstä. Hallintotapavaatimukset edellyttävät Master Data Retention Schedule (MDRS) -dokumentin laatimista ja ylläpitoa, sen katselmointia vähintään vuosittain sekä hävitysmenetelmien ja -todistusten hyväksymistä kaikelle vanhentuneelle datalle. Politiikka edellyttää luokitteluun perustuvia säilytysaikoja, jotka sidotaan liiketoimintatarpeisiin ja oikeusperusteisiin, ja se kieltää nimenomaisesti toistaiseksi jatkuvan, orvon tai hyväksymättömän datan säilyttämisen. Erityismääräykset koskevat varmuuskopioiden ja arkistojen säilyttämistä, varmistaen linjauksen katastrofipalautusympäristön tavoitteisiin sekä tuen tietojen poistamiselle pyynnöstä GDPR:n tai muiden tietosuojalakien mukaisesti. Hävityskontrollit toteutetaan NIST SP 800-88:n tai vastaavien standardien mukaisesti, edellyttäen peruuttamattomia ja dokumentoituja tuhoamismenetelmiä sekä digitaalisille että paperisille tallennusvälineille. Oikeudellinen säilytys ja poistamisen keskeyttäminen ohittaa normaalit poistamisaikataulut oikeudenkäynnin tai tutkinnan yhteydessä, ja kaikki poikkeukset aikataulutettuun säilyttämiseen edellyttävät riskien arviointitoimenpidettä sekä johdon hyväksyntää. Täytäntöönpano- ja vaatimustenmukaisuustoimet sisältävät säännölliset auditoinnit, vaatimustenmukaisuustarkastukset, rikkomusten raportoinnin ja kurinpitotoimenpiteet tarpeen mukaan. Politiikka edellyttää myös jatkuvaa henkilöstön tietoturvatietoisuuskoulutustoimintaa ja viittaa Tietoturvapoikkeamiin reagoinnin politiikkaan (P30) kaikissa tapauksissa, joissa virheellinen hävittäminen johtaa mahdolliseen tietojen menetykseen, tietoturvaloukkaukseen tai sääntelyrikkomukseen. Politiikan säännöllisellä katselmoinnilla ja päivittämisellä sekä linkitettyjen dokumenttien, kuten pääsynhallintapolitiikan ja omaisuudenhallintapolitiikan, synkronoinnilla organisaatio varmistaa puolustettavan, tehokkaan ja sääntelyn mukaisen lähestymistavan tiedon elinkaaren hallintotapaan.