Tietoturvasuunnitelmaan tulee kuvata omavalvonnan kohteen yleiset tietoturvakäytännöt ja/tai voimassa olevat tietoturvapolitiikat. Lisäksi suunnitelmasta tulee löytyä tieto henkilötietojen käsittelytoimien selosteista, asiakastietojen käsittelyyn liittyvistä sopimuksista, keskeisistä tietoturvallisuusohjeista sekä tietosuojavastaavista. Tietoturvasuunnitelmasta on myös käytävä ilmi, kuinka dokumentaatiota kehitetään ja säännöllisesti tarkistetaan, miten tietoturvallisuustyössä on vastuita jaettu ja organisoitu toiminnan tavoitteiden saavuttamiseksi sekä riskien hallitsemiseksi.
Sähköisestä lääkemääräyksestä annetun lain 24 §:n 5 momentin mukaan palvelunantajan ja apteekin seuranta- ja valvontatehtävää varten nimettävästä tietosuojavastaavasta säädetään tietosuoja-asetuksen 37 artiklassa. Asiakastietolain 28 §:n 4 momentin mukaan tietosuojavastaavan nimittämisestä sekä tietosuojavastaavan asemasta ja tehtävistä säädetään tietosuoja-asetuksen 37–39 artiklassa. Tietoturvallisuuden omavalvonnan kohteella on siten oltava nimetty tietosuojavastaava (tai useita) sen mukaisesti kuin edellä mainituissa laeissa säädetään. Tietosuojavastaavalla tulisi olla selkeä ja dokumentoitu tehtäväkuva, jossa otetaan huomioon asiakas- ja potilastietojen käsittelyyn liittyvät velvoitteet. Tietosuojavastaavalla tulisi olla tehtävään soveltuva osaaminen ja riittävät resurssit hoitaa tehtävää omavalvonnan kohteessa ottaen muun muassa huomioon rekisterinpitoon ja henkilötietojen käsittelyyn liittyvät vastuut ja velvoitteet, organisaation koko ja toiminnan laajuus.
Tietoturvasuunnitelman tavoitteena on varmistaa, että tietoja käyttävät ja tuottavat asiakastietojen käsittelijät ymmärtävät asiakastietojen käsittelyyn liittyvät vastuut ja osaavat toimia siten, että asiakastietojen eheys, luottamuksellisuus, saatavuus, kiistämättömyys ja autenttisuus toteutuvat. Suunnitelma sisältää sekä henkilöstöön että tietohallintoon liittyviä sisältöjä, ja esimerkiksi henkilöstölle tarkoitetut sisällöt on mahdollista erottaa tietohallinnon asiantuntijoille tai kehitys- ja hankintatoiminnassa huomioon otettavista sisällöistä.
Our organization has defined procedures for maintaining staff's cyber security awareness.These may include e.g. the following things:
Training should focus on the most relevant security aspects for each job role and include often enough the basics, which concern all employees:
The organization must operate, maintain, and continuously develop a security management system.
The boundaries and scope, contents, role, cumulative implementation information and other necessary descriptive information related to the management system must be clearly documented.
Records of processing activities is a written description of the processing of personal data by the organization.
This report is mandatory if any of the following occurs:
Records must be kept up to date. They also serve as a first-level way of assessing the lawfulness of processing, so it must be provided to the supervisory authority on request.
In Cyberday, records of processing activities is an own report, which is automatically gathered from the data on documentation sections.
Our organization has determined whether a data protection officer should be appointed and, if so, made an appointment.
The Data Protection Officer shall be appointed if:
In addition to the appointment, it is essential to regularly assess whether the Data Protection Officer is acting in the role and performing the tasks required by the Data Protection Regulation.
With regard to the processing of personal data, the data subject must be provided with the information specified in the GDPR in a concise, comprehensible and easily accessible form. This is often done in the form of privacy statements, which are published, for example, on the organisation's website.
Where personal data have not been collected from the data subject himself, the descriptions shall state, in addition to the basic content:
Remote workers have their own operating guidelines, which are monitored. In addition, regular training is provided to staff to identify threats to information security arising from the use of mobile devices and remote work, and to review the guidelines.
The organization has an information security policy developed and approved by top management. The policy shall include at least the following:
In addition, the task owner shall ensure that:
Theme-specific policy documents can help the communication and viewing of tasks, instructions and other documentation related to different areas, as well as connecting possible upper-level principles to these contents of the management system, which describe a more detailed implementation.
The organization must define which theme-specific policy documents are maintained and, if necessary, reviewed as a whole at desired intervals. Examples of topics for which you may want to maintain your own policy document include:
The processors of personal data (e.g. providers of data systems, other partners using our employee or customer data) and the agreements related to the processing of personal data have been documented. The documentation includes e.g.:
Top management must ensure clear responsibilities / authority on at least the following themes:
The ISMS theme owners are presented on the desktop of the management system and in the Information security policy report.
In addition, top management shall ensure that all roles relevant to information security, as well as related responsibilities and authorities, are defined and communicated. It is also important to recognize the roles and responsibilities of external partners and providers.
In Cyberday, all frameworks’ requirements are mapped into universal tasks, so you achieve multi-framework compliance effortlessly.
.png)
Elevate Your Knowledge with Exclusive Access to Weekly Webinars, Video Courses, Help Articles, and Blogs.
