Oppaan sisällysluettelo
Sivun otsikot
Ohjaus · Policies & Standards
Käytännöt ja standardit
Kirjalliset periaatteet ja vaatimukset, joiden puitteissa työtä tehdään.
Sisäiset ja ulkoiset vaatimukset
Sisäisiä käytäntöjä ovat esimerkiksi tietoturvapolitiikka, tietoluokittelu ja hyväksyntävaltuudet. Ulkoisia reunaehtoja voivat olla soveltuva lainsäädäntö, viranomaismääräykset, sopimukset ja käyttöön otetut standardit. Erota velvoittava vaatimus suosituksesta ja organisaation omasta ratkaisusta.
Vaatimus muutetaan toimintatavaksi
Kirjaa soveltuva vaatimus, sen lähde ja kohta, jossa prosessi toteuttaa sen. Nimeä myös seuranta ja ylläpito. ISO 27001 on tietoturvan hallinnan standardi; ITIL on palvelunhallinnan viitekehys. Ne eivät itsessään korvaa lainsäädännön soveltuvuuden arviointia.
Yleinen prosessimalli auttaa vaatimusten toteuttamisessa. Mallin käyttäminen ei yksin osoita vaatimustenmukaisuutta.
Käytännön esimerkki
Tietojen käsittely pilvipalvelussa
Tietoluokittelukäytäntö ohjaa sallittuja tallennuspaikkoja. Tietosuoja-arviointi selvittää henkilötietojen käsittelyn edellytyksiä. Soveltuvat toimittaja- ja sopimusvaatimukset huomioidaan ennen käyttöönottoa ja palvelun käytön aikana.
GDPR:n 25 artikla koskee sisäänrakennettua ja oletusarvoista tietosuojaa. DPIA:ta koskee 35 artikla. DORA:n soveltuminen määräytyy sen soveltamisalan mukaan; 13 artikla käsittelee oppimista ja kehittämistä ja 28 artikla kolmansien osapuolten ICT-riskejä.
Lähteiden huoltovarmuusviittaukset kuvaavat jatkuvuuden näkökulmaa. Organisaation täsmälliset velvoitteet ja ajantasaiset viranomaisohjeet tunnistetaan erikseen.
Kirjaa omaan prosessikuvaukseen
- Mitkä vaatimukset koskevat juuri tätä prosessia?
- Mikä on vaatimuksen lähde ja ajantasainen versio?
- Missä vaiheessa vaatimus toteutetaan ja tarkistetaan?
- Kuka seuraa vaatimusten muutoksia?
Yhteydet muihin osiin
Pohjautuu Generic Process Model -aineistoon. Kysymykset ja soveltamisohjeet on jäsennetty verkkolukemista varten. Lähteet ja täsmennykset.