Tietoturva ja hallintomalli
Miten suojaamme ajoneuvodataa, hallitsemme pääsyä tietoihin ja täytämme eurooppalaisten sääntelyviranomaisten sekä valtion tietopalvelujen tarjoajien vaatimukset.
Vain EU:n ja ETA:n alueella
Kaikki tietojen käsittely ja tallennus tapahtuu EU:n ja ETA:n alueella. Emme käytä kuluttajatason pilvipalveluita.
Minimioikeudet
Käyttöoikeudet myönnetään vain tarpeen mukaan, niitä arvioidaan säännöllisesti ja ne poistetaan, kun niitä ei enää tarvita.
Salattu ja MFA-suojattu
Laitteet käyttävät salattua tallennustilaa. Monivaiheinen tunnistautuminen on käytössä kaikissa järjestelmissä, jotka käsittelevät rajoitettua dataa.
Viranomaisdatan kurinalaisuus
Viranomaisilta saatua dataa käytetään tiukasti sovittujen rajojen sisällä eikä sitä koskaan siirretä sallittujen ympäristöjen ulkopuolelle.
Tämä sivu tiivistää Good2Know'n hallintomallin, tietoturvan ja tietosuojan periaatteet. Se koskee kaikkia työntekijöitä, alihankkijoita ja järjestelmiä, jotka käsittelevät ajoneuvodataa, mukaan lukien viranomaisten toimittamaa dataa. Täydellinen sisäinen toimintaperiaate on pyynnöstä yritysasiakkaiden ja viranomaiskumppaneiden saatavilla.
1. Tietosuoja
Good2Know noudattaa koko yrityksen laajuista tietosuojakäytäntöä, joka asettaa odotukset henkilötietojen lainmukaiselle, asianmukaiselle ja läpinäkyvälle käsittelylle GDPR:n ja sovellettavan kansallisen lainsäädännön mukaisesti. Henkilötietojen käsittelyn vastuut, valvontatoimet ja viitekehys on määritelty ja niitä arvioidaan säännöllisesti.
2. Tietoturva
Tietoturvakäytäntömme määrittelee periaatteet tietovarojen suojaamiseksi: luottamuksellisuus, eheys ja saatavuus. Se asettaa vähimmäisvaatimukset sille, miten järjestelmiä, dataa ja resursseja suojataan.
3. Riskienhallinta
Noudatamme yhtenäistä lähestymistapaa tietoturva- ja tietosuojariskeihin. Riskit tunnistetaan ja arvioidaan periaatetasolla, ja niihin puututaan oikeasuhtaisilla toimenpiteillä. Riskien arviointi on kiinteä osa suunnittelua ja toimintaa, ei jälkikäteen tehtävä asia.
4. DPIA- ja TIA-arvioinnit
Good2Know noudattaa periaatteita, jotka määrittelevät, milloin tietosuojaa koskeva vaikutustenarviointi (DPIA) tai tiedonsiirtoa koskeva vaikutustenarviointi (TIA) on tarpeen. Nämä varmistavat, että GDPR-velvoitteet arvioidaan aina, kun käsittelyyn liittyy kohonnut riski tai kansainvälisiä tiedonsiirtoja.
5. Selosteet käsittelytoimista
Käsittelytoimet dokumentoidaan ja pidetään ajan tasalla. Lakisääteistä selostetta käsittelytoimista (ROPA) ylläpidetään erikseen, ja käytössä on periaatteet tiedon tarkkuuden ja jatkuvan vaatimustenmukaisuuden varmistamiseksi.
6. Viranomaisten toimittama data (mukaan lukien Traficom)
Traficomin ja muiden viranomaisten toimittamaa dataa käsitellään tiukasti sovellettavien sopimusten ja lainsäädännön asettamissa rajoissa. Erityisesti:
- Dataa käytetään vain sallittuihin tarkoituksiin
- Dataa ei siirretä valtuutettujen sijaintien tai ympäristöjen ulkopuolelle
- Dataa käsitellään vain organisaation valvonnassa olevissa ympäristöissä, joita hallitaan pääsyn, lokituksen ja laitevalvonnan avulla
7. Pääsynhallinta
Käyttöoikeudet myönnetään minimioikeuksien periaatteella. Oikeudet osoitetaan henkilöille, joiden työtehtävät niitä vaativat, niitä arvioidaan säännöllisesti ja ne perutaan, kun niitä ei enää tarvita. Monivaiheista tunnistautumista vaaditaan aina tarvittaessa, erityisesti arkaluonteista tai rajoitettua dataa käsittelevissä järjestelmissä.
Kertakirjautuminen Google Workspace- ja Microsoft Entra ID -tunnuksilla. Tiimisi kirjautuu tileillä, joita IT-osastonne jo hallinnoi, ilman vaivaa uusien salasanojen luomisesta tai muistamisesta.
8. Salasanat, laitteet ja työtilat
- Salasanat täyttävät vähimmäisvaatimukset, eikä niitä jaeta muille.
- Hallinnoidut laitteet: rajoitettuun dataan päästään käsiksi vain organisaation hallinnoimilla laitteilla, joissa on salattu tallennustila, ajantasaiset tietoturvapäivitykset, etätyhjennystuki ja laitehallinnan valvonta.
- Henkilökohtaisten laitteiden käyttö ei ole sallittua rajoitetun tai viranomaisten toimittaman datan käsittelyyn.
- Siisti työpöytä ja näyttö tarkoittaa, että järjestelmät lukitaan, kun niiden luota poistutaan, eikä arkaluonteisia tietoja jätetä näkyville.
9. Pilvipalvelut ja palvelinhallinta
Good2Know'n käyttämät pilvipalvelut toimivat EU:n ja ETA:n alueella ja täyttävät yritystason tietoturvavaatimukset. Emme käytä kuluttajatason pilvipalveluita rajoitetun tai viranomaisten toimittaman datan käsittelyyn. Kaikki pilviympäristöt toimivat pääsynhallinnan, lokituksen ja laitehallinnan valvontamme alaisina.
10. Järjestelmien suojaus, segmentointi ja puolustus
- Rajoitettua dataa käsittelevät järjestelmät täyttävät vaaditut tietoturvan kovennusstandardit.
- Verkon segmentoinnissa ja suodatuksessa sovelletaan minimioikeuksien ja syväturvallisuuden periaatteita.
- Haavoittuvuuksia arvioidaan ja niihin puututaan määriteltyjen periaatteiden mukaisesti.
- Haittaohjelmasuojausta ja palomuurisääntöjä sovelletaan aina tarvittaessa.
11. Lokitus ja valvonta
Toiminta rajoitettua dataa käsittelevissä järjestelmissä lokitetaan. Lokit sisältävät tarkoituksen täyttämiseksi tarvittavat tiedot (aikaleimat, hakuparametrit ja toimijan tunnisteet), mutta eivät sisällä vastauksen hyötykuormaa. Lokit ovat:
- Säilytetty vähimmäisvaatimusten mukaisen ajan ja niin kauan kuin on tarpeen
- Arvioitu säännöllisesti epäsäännöllisyyksien tunnistamiseksi
- Aikasynkronoidut ja suojatut luvatonta muuttamista tai pääsyä vastaan
- Tallennettu järjestelmiin, joissa on riittävä kapasiteetti säilytysvaatimusten täyttämiseksi
12. Poikkeamatilanteiden hallinta
Tietoturvapoikkeamat, mukaan lukien kaikki rajoitettuun tai viranomaisten toimittamaan dataan liittyvät tapaukset, lokitetaan ja niihin puututaan viipymättä. Tarvittaessa ulkoiset raportointivelvoitteet tunnistetaan ja täytetään asiaankuuluvien vaatimusten mukaisesti.
13. Siirrettävät tietovälineet
Siirrettävien tietovälineiden uhat tarkistetaan ennen käyttöä, eikä sisällön automaattista suorittamista siirrettäviltä tietovälineiltä sallita.
14. Tietojen säilytys ja hävittäminen
Dataa säilytetään vain niin kauan kuin on tarpeen sen käyttötarkoitusta varten, ja se poistetaan, kun käyttötarkoitus on päättynyt. Säilytysperiaatteet koskevat kaikkia Good2Know'n käsittelemiä tietoluokkia.
15. API-rajapintojen tietoturva
Ohjelmallista pääsyä Good2Know'n järjestelmiin ohjaavat seuraavat tekijät:
- Tunnistautuminen käyttäjäkohtaisesti tai järjestelmäkohtaisesti
- Kutsumäärien rajoitus ja poikkeamien valvonta, mukaan lukien automaattiset suojarajoitukset liialliselle tai epänormaalille käytölle
- Pääsytunnisteiden säännöllinen kierrätys
- Kaikkien API-rajapintojen vuorovaikutusten lokitus lokitusperiaatteidemme mukaisesti
16. Toimittajat ja alihankkijat
Vain sellaiset palveluntarjoajat, jotka tarjoavat EU:n ja ETA:n alueella tapahtuvan palvelinisännöinnin, yritystason valvontatoimet ja sopimusoikeudelliset tietoturvasitoumukset, saavat käsitellä rajoitettua tai viranomaisten toimittamaa dataa puolestamme. Toimittajien vaatimustenmukaisuutta arvioidaan säännöllisesti. Datan edelleenluovutus on kielletty, ellei sitä ole erikseen sallittu.
17. Toiminnan jatkuvuus
Varmuuskopioita ylläpidetään asianmukaisesti, ja järjestelmät on suunniteltu tukemaan palautumista häiriötilanteissa. Toimintavarmuuden periaatteemme asettavat odotukset datan saatavuudelle, eheydelle ja säilymiselle häiriöiden aikana.
18. Valvonta
Sovellettavien vaatimusten noudattamista valvotaan säännöllisesti ja riskipohjaisesti sisäisen hallintomallimme odotusten mukaisesti.
Asiakirjan hallinta
Tätä käytäntöä ylläpidetään, arvioidaan ja päivitetään organisaation vaatimusten mukaisesti. Se on voimassa, kunnes se korvataan virallisesti hyväksytyllä versiolla. Täydellinen sisäinen käytäntö, mukaan lukien yksityiskohtaiset valvontakuvaukset, on yritysasiakkaiden ja viranomaiskumppaneiden saatavilla asianmukaisten salassapitoehtojen mukaisesti.
Tarvitsetko tietoturvadokumentaatiotamme?
Yritysasiakkaat, viranomaisdatan tarjoajat ja integraatiokumppanit voivat pyytää täydellistä hallinto-, tietoturva- ja tietosuojakäytäntöämme sekä tietosuojasopimusta (DPA) ja muita tukevia asiakirjoja.
Ota yhteyttä