Mikä on tietomurto? Määritelmä ja toimintaohjeet

Tietomurto ei ole vain tekninen ongelma – se on tapahtuma, joka voi pysäyttää organisaation toiminnan ja vaarantaa yksilöiden yksityisyyden. Kyseessä on tilanne, jossa henkilötietoja joutuu vääriin käsiin joko tahallaan tai vahingossa. Tässä artikkelissa käymme läpi, mitä tietomurto tarkoittaa GDPR:n näkökulmasta, miten se ilmenee ja ennen kaikkea, mitä sinun tai organisaatiosi on tehtävä, jos se tapahtuu.

Ilmoitusaika: 72 tuntia (GDPR-teksti (fi), artikla 33) · Ilmoitus rekisteröidylle: korkean riskin tapauksessa (Tietosuojavaltuutetun toimisto) · Määritelmä: GDPR 4(12) (GDPR-teksti (fi))

Seuraava taulukko kokoaa yhteen keskeiset faktat tietomurroista lain vaatimuksista aina käytännön ilmoituskanaviin.

Mikä on tietomurto?

Mikä on GDPR-tietomurto?

• GDPR:n 4 artiklan 12 kohdassa tietomurto määritellään “tietoturvaloukkaukseksi, joka johtaa henkilötietojen tahattomaan tai lainvastaiseen tuhoamiseen, häviämiseen, muuttamiseen, luvattomaan luovuttamiseen tai pääsyyn” (GDPR-teksti (fi)).
• Kyse voi olla tahallisesta tai vahingossa tapahtuvasta tapahtumasta – esimerkiksi hakkerointi, väärin osoitettu sähköposti tai kadonnut USB-muisti.

Käytännössä tietomurto voi olla mikä tahansa tapahtuma, joka vaarantaa henkilötietojen luottamuksellisuuden (luvaton pääsy), eheyden (luvaton muuttaminen) tai saatavuuden (tietojen katoaminen tai salaus).

Mikä on henkilötietojen tietomurto?

• Suomen Tietosuojavaltuutetun toimiston mukaan henkilötietojen tietomurrolla tarkoitetaan juuri edellä kuvattua GDPR-määritelmää (Tietosuojavaltuutetun toimisto).
• Se voi koskea esimerkiksi asiakasrekistereitä, työntekijätietoja tai terveystietoja.

Jos tietomurto vaikuttaa henkilötietoihin, kyse on aina henkilötietojen tietoturvaloukkauksesta. Ero on siinä, kohdistuuko loukkaus henkilötietoihin vai esimerkiksi liikesalaisuuksiin.

Mitkä ovat tietomurtojen neljä yleistä syytä?

Mitkä ovat tietomurtojen kolme yleisintä syytä?

• Yleisimpiä syitä ovat haittaohjelmat, tietojenkalastelu ja heikot salasanat (GDPR-teksti – yleinen viite tietoturvauhkiin).
• Sisäpiiriläisten väärinkäytökset ja inhimilliset virheet (kuten väärin osoitetut sähköpostit) ovat myös merkittäviä tekijöitä.

Vaikka tekniset uhat ovat yleisiä, inhimillinen tekijä on usein se pahin pullonkaula. Ilman kunnollista perehdytystä työntekijä voi vahingossa avata haitallisen liitteen tai lähettää luottamuksellisia tietoja vääriin osoitteisiin.

Mitä esimerkkejä tietomurroista on?

• Luvaton pääsy asiakastietokantaan (esim. Equifax 2017, jossa 147 miljoonaa asiakasta altistui).
• Varastettu kannettava tietokone, joka sisältää salaamattomia henkilötietoja.
• Sähköpostitilin kaappaus tietojenkalastelulla.
• Ransomware-hyökkäys, jossa tiedot salataan ja niistä vaaditaan lunnaita.

Kaikki nämä esimerkit voivat täyttää GDPR:n määritelmän tietoturvaloukkauksesta. Keskeistä on aina arvioida, aiheutuuko tapahtumasta riski henkilötietojen kohteille.

Mitkä ovat neljä tietomurtojen tyyppiä?

• Luottamuksellisuuden loukkaus: henkilötietoja paljastuu luvatta.
• Eheyden loukkaus: tietoja muutetaan luvatta.
• Saatavuuden loukkaus: tietoja ei ole saatavilla (esim. tuhoutuminen tai salaus).
• Moniosainen loukkaus: yhdistelmä edellisiä.

GDPR erottelee kolme päätyyppiä (luottamuksellisuus, eheys, saatavuus). Käytännössä moni loukkaus on moniosainen – esimerkiksi ransomware estää saatavuuden ja saattaa paljastaa tietoja.

Mikä on ensimmäinen toimenpide, kun tietomurto tapahtuu?

Pitäisikö minun olla huolissaan tietomurrosta?

• Jos epäilet tietomurtoa, arvioi ensin, onko henkilötietoja vaarantunut.
• Jos riski on vähäinen, ei välttämättä tarvitse ilmoittaa – mutta dokumentointi on tärkeää.

Mitä tapahtuu, jos tietomurto tapahtuu?

• Ensimmäinen askel: varmista tapahtuman todenperäisyys ja arvioi riskit henkilötiedoille (Tietosuojavaltuutetun toimisto).
• Jos riski on olemassa, ilmoita Tietosuojavaltuutetulle 72 tunnin kuluessa (Suomi.fi).
• Dokumentoi kaikki havainnot: milloin loukkaus havaittiin, mitä tietoja se koskee, ja mitä toimia on tehty.

Kun ilmoitus on tehty viranomaiselle, arvioidaan, tarvitseeko rekisteröidyille kertoa asiasta. Jos loukkaus todennäköisesti aiheuttaa korkean riskin, heille on ilmoitettava selkeällä ja yksinkertaisella kielellä (Digiturvamalli).

Toimenpiteet tietomurron jälkeen – vaihe vaiheelta

1. Varmista tapahtuman todenperäisyys. Älä tee hätiköityjä johtopäätöksiä.
2. Arvioi riskit henkilötiedoille. Onko kyseessä korkea, keskitaso vai matala riski?
3. Jos riski on olemassa, ilmoita Tietosuojavaltuutetun toimistolle 72 tunnin kuluessa (Suomi.fi).
4. Dokumentoi kaikki tiedot: milloin, miten ja mitä tietoja loukkaantui.
5. Ilmoita rekisteröidyille, jos korkea riski – kuvaa loukkaus, toimenpiteet ja yhteyspiste (Tietosuojavaltuutetun toimisto).
6. Toteuta toimenpiteet riskin vähentämiseksi (esim. salasanojen vaihto, järjestelmien korjaus).
7. Seuraa tilannetta ja tee tarvittaessa lisäilmoituksia.

Varmuudella tiedossa vs. avoimet kysymykset

“Henkilötietojen tietoturvaloukkauksesta on ilmoitettava valvontaviranomaiselle ilman aiheetonta viivytystä ja mahdollisuuksien mukaan 72 tunnin kuluessa.”

GDPR 33 artikla – Euroopan unionin tietosuoja-asetus

“Jos loukkaus todennäköisesti aiheuttaa korkean riskin luonnollisten henkilöiden oikeuksille ja vapauksille, rekisterinpitäjän on ilmoitettava rekisteröidylle.”

Digiturvamalli – GDPR 34 artikla, viite Euroopan unionin tietosuoja-asetukseen

Yksi tietomurto voi pahimmillaan lamauttaa koko organisaation toiminnan ja vahingoittaa satojen tai tuhansien ihmisten yksityisyyttä. GDPR:n tiukka 72 tunnin ilmoitusvelvollisuus on suunniteltu nopeuttamaan reagointia ja vähentämään haittoja. Suomalaisille organisaatioille selkeä polku on olemassa: dokumentoi, arvioi, ilmoita ja korjaa. Jos organisaatio ei toimi ajoissa, seurauksena voi olla sakot, mainehaitta ja asiakkaiden luottamuksen menetys.

Usein kysytyt kysymykset