Henkilötietojen tietoturva- ja pääsynhallintapolitiikka

Henkilötietojen tietoturva- ja pääsynhallintapolitiikka määrittää organisaation henkilötietoja koskevat vaatimukset henkilötietojen suojaamiseksi järjestelmissä, sovelluksissa, palveluissa, laitteissa, pilviympäristöissä ja operatiivisissa prosesseissa. Sitä sovelletaan tilanteissa, joissa henkilötietoja säilytetään, siirretään, käsitellään, käytetään, ylläpidetään tai suojataan, ja se kattaa rekisterinpitäjän, yhteisrekisterinpitäjän, henkilötietojen käsittelijän ja alikäsittelijän toimintaympäristöt. Politiikka on nimenomaisesti suunniteltu integroitumaan olemassa oleviin tietoturvallisuuskäytäntöihin eikä korvaamaan täysimittaista tietoturvallisuuden hallintajärjestelmää, verkkoturvallisuuspolitiikkaa, turvallisen kehityksen politiikkaa, varmuuskopiointipolitiikkaa, päätelaitepolitiikkaa, pilviturvallisuuspolitiikkaa, kryptografista standardia, haavoittuvuuksien hallinnan menettelyä tai tietoturvapoikkeamiin reagoinnin menettelyä. Sen keskeisenä tarkoituksena on varmistaa, että henkilötiedot suojataan asianmukaisilla, riskiperusteisilla ja todennettavissa olevilla tietoturva- ja pääsynhallintakontrolleilla koko käsittelyn ajan. Tätä tarkoitusta varten politiikka muodostaa henkilötietojen tietoturvan perustason ja edellyttää jäljitettävissä olevaa todentavaa aineistoa REG02-, REG08-, REG10- ja REG12-kohteiden kautta. Tämä todentavan aineiston malli on politiikan keskeinen osa: operatiiviset lokit, tietoturvatyökalujen tuotokset, käyttöoikeuskatselmointien viennit, haavoittuvuusraportit ja konfiguraation todentava aineisto voidaan liittää kanonisiin näyttöobjekteihin, tiivistää niihin tai viitata niistä, mutta niitä ei käsitellä erillisinä PIMS-rekistereinä. Näin organisaatio voi osoittaa, että kontrollit on suunniteltu, toteutettu, katselmoitu, seurattu ja parannettu ilman tietoturvatallenteiden päällekkäistä ylläpitoa. Politiikka asettaa yksityiskohtaiset vaatimukset pääsynhallinnalle, todennukselle ja etuoikeutetulle pääsylle. Pääsy henkilötietoihin tulee rajata hyväksyttyihin rooleihin ja valtuutettuihin käyttäjiin, jotka on kirjattu tai jotka ovat jäljitettävissä REG02- tai REG12-kohteessa, ja liiketoimintatarkoitus tulee hyväksyä ennen käyttöoikeuksien myöntämistä. Vaikutuksiltaan merkittävät tai arkaluonteiset henkilötietojärjestelmät edellyttävät käyttäjien käyttöoikeuskatselmointeja vähintään neljännesvuosittain, kun taas muut henkilötietojärjestelmät edellyttävät vähintään vuosittaista katselmointia. Pääsy tulee poistaa tai muuttaa yhden työpäivän kuluessa roolimuutoksesta, työsuhteen päättämisestä, sopimuksen päättymisestä tai siitä, kun pääsyä ei enää tarvita. Etuoikeutettu pääsy edellyttää dokumentoitua perustelua, soveltamisalaa ja hyväksyntää ennen myöntämistä, ja se tulee katselmoida kuukausittain vaikutuksiltaan merkittävissä tai arkaluonteisissa henkilötietojärjestelmissä sekä neljännesvuosittain muissa henkilötietojärjestelmissä. Politiikka käsittelee myös teknisiä tietoturvaodotuksia, jotka koskevat todennusta, salausta, turvallista säilytystä, lokitusta, seurantaa, konfiguraatiota, haavoittuvuuksien hallintaa, päätelaitteiden pääsyä ja pilvipääsyä. Henkilötietoihin pääsyn sisältäviltä tileiltä edellytetään yksilöllisiä käyttäjäidentiteettejä, ja vahva tunnistautuminen vaaditaan etuoikeutetussa, etäkäytössä tapahtuvassa, ylläpidollisessa tai vaikutuksiltaan merkittävässä henkilötietoihin kohdistuvassa pääsyssä. Salaus tai hyväksytty kompensoiva suojaus tulee määrittää ennen kuin vaikutuksiltaan merkittäviä, arkaluonteisia tai ulkoisesti siirrettäviä henkilötietoja säilytetään, siirretään tai asetetaan saataville. Lokituksen laajuuden tulee kattaa todennustapahtumat, pääsytapahtumat, etuoikeutetut toimet, henkilötietojen vientitoiminta ja olennaiset konfiguraatiomuutokset. Konfiguraation tila ja haavoittuvuuksien kattavuus tulee kirjata REG12-kohteeseen, ja henkilötietoihin vaikuttavat ratkaisemattomat korkean riskin haavoittuvuudet tulee kirjata viiden työpäivän kuluessa validoinnista. Hallinnointivastuut osoitetaan ylimmälle johdolle, tietosuojavastaavalle / PIMS-päällikölle, Data Protection Officerille / tietosuojaneuvonantajalle, tietoturvavastaavalle, prosessien omistajalle / liiketoimintavastaavalle, järjestelmäomistajalle / sovellusomistajalle, toimittajalle / hankintaomistajalle, tietoturvapoikkeamiin reagoinnin koordinaattorille sekä sisäiselle tarkastukselle / vaatimustenmukaisuuden katselmoijalle. Politiikka edellyttää todentavan aineiston täydellisyyden neljännesvuosittaisia katselmointeja REG02-, REG08-, REG10- ja REG12-kohteissa, perustason tehokkuuden ja ratkaisemattomien puutteiden neljännesvuosittaista katselmointia sekä käyttöoikeuskatselmointien, etuoikeutetun pääsyn katselmointien, lokitusta koskevan todentavan aineiston ja konfiguraation todentavan aineiston auditointiotantaa. Poikkeukset tulee kirjata ennen aktivointia, ja niiden tulee sisältää päättymisaika, kompensoiva hallintakeino ja katselmointipäivä. Ylimmän johdon hyväksyntä vaaditaan, kun poikkeukset vaikuttavat vaikutuksiltaan merkittäviin henkilötietoihin, arkaluonteisiin henkilötietoihin, etuoikeutettuun pääsyyn, salaukseen, lokitukseen tai ratkaisemattomiin korkean riskin haavoittuvuuksiin.