<Hankkeen nimi>

Esitys aiheesta: "<Hankkeen nimi>"— Esityksen transkriptio:

1 <Hankkeen nimi>
Tietoturva hankinnoissa - tarkistuslista <Henkilön nimi> <XX.YY.2018> Helsingin kaupunki Luottamuksellisuus

2 Sisällysluettelo Tausta Riskit ja varautuminen Prosessit
Käyttöoikeudet Tietotekniikka Palveluntuottajat Helsingin kaupunki

3 Tausta Oletko selvittänyt liittyykö käsittelemääsi asiaan erityislainsäädäntöä, jossa säädetään erityisesti kyseiseen toimintaan liittyen henkilötietojen käsittelystä? KYLLÄ/EI Oletko huomioinut, että jos palvelussa/toiminnassa muodostuu kokonaan uusi henkilörekisteri, pitää siitä laatia lain edellyttämä rekisteriseloste ja sen pitää olla rekisteröidyn saatavilla (esim. julkaista internet-sivulla)? KYLLÄ/EI Helsingin kaupunki Kaupunginkanslia

4 Riskit ja varautuminen
Oletko kartoittanut tietosuojaan (henkilötietojen käsittelyyn) liittyvät riskit, tehnyt riittävät riskienhallintatoimenpiteet ja laatinut riskeihin liittyen varautumissuunnitelmat? Tämä on erityisen tärkeää isoriskisessä henkilötietojen käsittelyssä? KYLLÄ/EI Oletko varmistanut että palvelun ja siihen liittyvän tietotekniikan riskienhallinnasta ja sen suunnittelusta huolehditaan ja kuka sen tekee (esim. varajärjestelmät, jatkuvuus- ja toipumissuunnitelmat)? KYLLÄ/EI Helsingin kaupunki Kaupunginkanslia

5 Prosessit Oletko hankkeessasi analysoinut ja laatinut kuvauksen henkilötietojen käyttöön liittyvistä toimintaprosesseista? KYLLÄ/EI Onko hankkeessa huolehdittu henkilötietoja käsittelevän henkilökunnan kouluttamisesta henkilötietojen oikeaoppiseen käsittelyyn? KYLLÄ/EI Onko hankkeessasi tietojen turvalliseen käsittelyyn, säilytykseen, varmuuskopiointiin ja hävittämiseen olemassa tarvittavat välineet ja toimintatavat (prosessit)? KYLLÄ/EI Oletko varmistanut että on määritelty mitä muita välineitä kuin sähköisiä tietojärjestelmiä käytetään henkilötietojen tallentamiseen tai siirtämiseen ja kuinka niiden suojaamisesta ja hävittämisestä huolehditaan (esim. paperit, USB-tikut yms)? KYLLÄ/EI Oletko varmistanut että järjestelmästä ei oteta tarpeettomasti paperisia tulosteita ja että järjestelmästä otettavien tulosteiden käsittelystä on annettu riittävät ohjeet? KYLLÄ/EI Helsingin kaupunki Kaupunginkanslia

6 Käyttöoikeudet Onko varmistettu että käytettävään tietojärjestelmään tai tietoihin ei pääse käsiksi ilman asianmukaista käyttöoikeutta. KYLLÄ/EI Oletko huomioinut että pääsääntöisesti kaikissa tietojärjestelmissä pitää vaatia käytettäväksi henkilökohtaista käyttäjätunnusta ja salasanaa tai vahvaa tunnistusta? KYLLÄ/EI Oletko varmistanut että käyttöoikeuden (myös pääkäyttäjäoikeuden) saaminen järjestelmään, tai sen muuttaminen, edellyttää kirjallista pyyntöä ja järjestelmän käyttöoikeudet vastaavat käyttäjien työtehtävien mukaisia tarpeita? KYLLÄ/EI Onko toimeksiantosopimuksissa velvoitettu että tietojärjestelmien käyttöoikeudet poistetaan tai niitä muutetaan jos henkilö jää pois ulkoisen palvelutoimittajan palveluksesta tai hänen työtehtävänsä muuttuvat? KYLLÄ/EI Onko varmistettu että pääsy ohjelmointiympäristöön tai koko järjestelmää koskeviin asetuksiin on rajoitettu ja sen käyttö on valvottu? KYLLÄ/EI Helsingin kaupunki Kaupunginkanslia

7 Tietotekniikka Onko varmistettu että tietoliikenteessä käytetään vain turvallisia yhteyksiä ja niiden kapasiteetti ja käytettävyys on riittävät (esim. salatun käyttö jos käsitellään salassa pidettäviä tietoja). KYLLÄ/EI Onko varmistettu, että käytettävien palvelimien ja muiden laitteiden tietoturvallisuudesta huolehditaan (esim. päivitykset ja haittaohjelmien torjunta)? KYLLÄ/EI Oletko varmistanut että hankittava järjestelmä mahdollistaa henkilötietojen käsittelyn osalta jälkikäteisen todentamisen, kuka on katsonut, lisännyt tai poistanut tietoja järjestelmästä, milloin tämä on tapahtunut, miltä tietokoneelta ja mihin tietoihin toimenpide on kohdistunut? KYLLÄ/EI Helsingin kaupunki Kaupunginkanslia

8 Palveluntuottajat 1/3 Oletko varmistanut että palveluntuottaja pystyy erottelemaan teknisesti omaksi loogiseksi osarekisterikseen kaupungin henkilö- ja asiakastiedot ja palveluntuottamisen päättyessä pystyy tarvittaessa luovuttamaan tiedot takaisin ja hävittämään ne sovitusti itseltään? Tämä on tärkeää jos palveluntuottaja käyttää omia tietojärjestelmiään kaupungin henkilö- ja asiakastietojen hallinnassa. KYLLÄ/EI Jos kyseessä on toimeksiantosopimus, niin onko siinä määritelty mitä eri henkilörekistereitä toiminnassa ylläpidetään ja minkälaisia henkilötietoja käsitellään? KYLLÄ/EI Onko sopimuksessa määritelty selvästi kuka on lain tarkoittama rekisterinpitäjä ja mitkä ovat rekisterinpitäjän velvollisuudet? Onko sopimuksessa määritelty kuka on tekninen rekisterinpitäjä, joka käyttää tietoja toimeksiantajan lukuun? KYLLÄ/EI Onko henkilötietojen käsittelyn ulkoistuksessa varmistettu EU:n yleisen tietosuoja-asetuksen (2016/679) velvoitteiden noudattaminen? KYLLÄ/EI Helsingin kaupunki Kaupunginkanslia

9 Palveluntuottajat 2/3 Oletko varmistanut, että jos sosiaalihuollon palveluntuottaja käyttää palvelun toteuttamiseksi alihankkijaa, on varmistuttava että alihankkija noudattaa sosiaalihuollon asiakastietojen käsittelyssä lain 254/ § 1 momentin sopimuksen ehtoja ja 24§ 3 momentin velvoitteita? KYLLÄ/EI Onko sopimuksessa määritetty, että henkilötietoja ei käytetä muuhun kuin hankkeessa määriteltyyn tarkoitukseen (esim. ei saa käyttää mainontaan). KYLLÄ/EI Onko sopimuksessa määritelty mahdollisuus auditoida tai käyttää kolmatta osapuolta auditoimassa ulkoisen palveluntuottajan toimintaa henkilötietojen käsittelyn oikeellisuudesta ja tietoturva-asioiden toteutuksesta? KYLLÄ/EI Onko sopimuksessa määitelty rahallinen sanktio mahdollisten tietovuotojen osalta? KYLLÄ/EI Onko tietojen ja tietojärjestelmien käyttö- ja salassapitositoumukset tehty ulkopuolisen toimijan työntekijöiden kanssa, ja niiden sisältö ja merkitys selvitetty? Tai onko vastaavat asiat edellytetty sopimuksessa? KYLLÄ/EI Helsingin kaupunki Kaupunginkanslia

10 Palveluntuottajat 3/3 Oletko varmistanut sopimuksessa, että kaupungin tietosuojaan ja tietoturvaan liittyvät yhteyshenkilöt saavat viipymättä tiedon palveluun tai sen tietotekniikkaan liittyvistä tietoturva- tai tietosuojapoikkeamista, -häiriöistä ja –ongelmista (esim. tietovuodot, hakkeroinnit, toteutuneet merkittävät riskit)? KYLLÄ/EI Onko hankkeeseesi liittyen ohjeistettu myös ulkopuolisen palveluntuottajien henkilöstöä, että henkilötietoja tai muuta salassa pidettävää tietosisältöä ei välitetä suojaamattomana internetin ellei tietojen riittävästä salaamisesta ole huolehdittu? KYLLÄ/EI Oletko huolehtinut että palveluntuottajilla pitää olla nimetty yhteyshenkilö tietosuoja- ja tietoturva-asioihin ja mahdollisiin epäkohtiin pitää välittömästi puuttua? KYLLÄ/EI Onko hankkeesi hankintoihin liitetty asiantuntijoiden kanssa laaditut vaatimusmäärittelyt tietoturvasta ja tietosuojasta? KYLLÄ/EI Helsingin kaupunki Kaupunginkanslia

11 Kiitos Ja erityiskiitos Espoon, Kuopion, Oulun ja Tampereen kaupunkien yhteiselle työlle, josta tämä tarkistuslista on peräisin. Helsingin kaupunki