ISO 27701:2025 PIMS-näyttö GDPR-auditointeihin

Torstaina kello 08.40 Ava, FinScalen vaatimustenmukaisuuspäällikkö, avaa sähköpostin, jonka jokainen nopeasti kasvava B2B SaaS -yritys jossain vaiheessa saa.

Merkittävä saksalainen yritysasiakas on lähettänyt GDPR:n mukaisen due diligence -kyselyn 48 tunnin määräajalla. Asiakas ei pyydä tietosuojakäytäntöä. Sertifikaatti ei riitä. Se pyytää näyttöä.

Toimittakaa käsittelytoimien seloste meidän tietojamme varten. Esittäkää näyttö alikäsittelijöiden käyttöönoton due diligence -arvioinnista. Selittäkää, miten osoitatte GDPR Article 28 -velvoitteidenne täyttymisen. Tunnistakaa jokaisessa työnkulussa, toimiiko alustanne rekisterinpitäjänä, henkilötietojen käsittelijänä, yhteisrekisterinpitäjänä vai alikäsittelijänä. Osoittakaa, että AI-avusteisen tukitoimintonne oikeusperuste on validoitu. Esittäkää poistovelvoitteet, auditointioikeudet, poikkeamatilanteiden tuki ja sopimuskontrollit.

Ava tietää, että FinScalella on tarvittavat osat. Lakiasioilla on tietojenkäsittelysopimus. Tietoturvalla on ISO/IEC 27001:2022 -soveltuvuuslausunto. Tuotteella on julkaisun tarkistuslistat. Hankinnalla on toimittajasopimukset. Vaatimustenmukaisuustoiminnolla on käsittelyrekisteri, vaikka osa merkinnöistä on vanhentuneita. Ongelma ei ole se, ettei näyttöä olisi. Ongelma on se, että näyttö on hajallaan, roolien epäselvyydet ovat ratkaisematta eikä kukaan pysty nopeasti jäljittämään käsittelytoimea käyttötarkoituksesta oikeusperusteeseen, riskipäätökseen, toimittajakontrolliin, tietoturvakontrolliin, auditointitallenteeseen ja johdon katselmointiin.

Tämä on todellinen osoitusvelvollisuuden puute.

ISO 27701:2025 on tehokas silloin, kun se sulkee tämän aukon. Henkilötietojen hallintajärjestelmä eli PIMS ei ole vain tietosuojasertifiointia varten koottu politiikkakansio. Se on toimintamalli luotettavan näytön tuottamiseen. Tietoturvajohtajille, vaatimustenmukaisuuspäälliköille, tietosuojavastaaville, auditoijille ja liiketoimintavastaaville tavoite on selkeä: rakenna PIMS, joka osoittaa GDPR:n mukaisen osoitusvelvollisuuden rekisterinpitäjille ja henkilötietojen käsittelijöille ja tukee samalla ISO/IEC 27001:2022-, NIS2-, DORA-, NIST CSF 2.0- ja COBIT 2019 -odotuksia.

GDPR:n osoitusvelvollisuus on näyttöongelma

GDPR:n osoitusvelvollisuus ymmärretään usein virheellisesti dokumentointivaatimukseksi. Se on tätä vaativampi.

GDPR Article 5 määrittää henkilötietojen käsittelyn keskeiset periaatteet, kuten lainmukaisuuden, kohtuullisuuden, läpinäkyvyyden, käyttötarkoitussidonnaisuuden, tietojen minimoinnin, täsmällisyyden, säilytyksen rajoittamisen, eheyden ja luottamuksellisuuden. Article 5(2) asettaa rekisterinpitäjälle vastuun siitä, että se pystyy osoittamaan vaatimusten noudattamisen. Article 4 määrittelee henkilötietojen, käsittelyn, rekisterinpitäjän, henkilötietojen käsittelijän, pseudonymisoinnin ja henkilötietojen tietoturvaloukkauksen käsitteet. Article 6 edellyttää oikeusperustetta jokaiselle rekisterinpitäjän käsittelytoimelle. Article 9 lisää tiukemmat edellytykset erityisiin henkilötietoryhmiin kuuluville tiedoille. Article 28 säätelee henkilötietojen käsittelijän velvoitteita ja sopimusehtoja.

Näitä velvoitteita ei täytetä pelkällä julkisella tietosuojaselosteella. Ne edellyttävät näyttöä käsittelytoimen tasolla.

Käytännöllisen ISO 27701:2025 -standardin mukaisen PIMS-näyttömallin tulee vastata seuraaviin kysymyksiin:

• Mitä henkilötietoja käsitellään?
• Miksi niitä käsitellään?
• Toimiiko organisaatio rekisterinpitäjänä, henkilötietojen käsittelijänä, yhteisrekisterinpitäjänä vai alikäsittelijänä?
• Mikä oikeusperuste soveltuu silloin, kun organisaatio on rekisterinpitäjä?
• Mikä dokumentoitu ohje soveltuu silloin, kun organisaatio on henkilötietojen käsittelijä?
• Mitkä järjestelmät, toimittajat, alikäsittelijät ja sijainnit ovat mukana?
• Mikä tietosuojariskien esiarviointi tai DPIA-päätös tehtiin?
• Mitkä tietoturvakontrollit suojaavat henkilötietoja?
• Mikä näyttö osoittaa, että kontrolli toimi?
• Kuka hyväksyi jäännösriskin, poikkeukset ja korjaavat toimenpiteet?

Clarysecin lähestymistapa muuttaa nämä kysymykset politiikkavelvoitteiksi, rekistereiksi ja jäljitettäviksi näyttöobjekteiksi. Tuloksena on PIMS, joka kestää asiakkaan due diligence -arvioinnin, valvontaviranomaisen tarkastelun, sisäisen tarkastuksen, ISO-auditoinnin, DORA-arvioinnin ja hallituksen arvioinnin.

Aloita roolien selkeydestä: rekisterinpitäjä, henkilötietojen käsittelijä vai molemmat

Nopein tapa epäonnistua PIMS-auditoinnissa on käsitellä kaikkia käsittelytoimia samalla tavalla.

GDPR:n mukaan rekisterinpitäjä määrittää käsittelyn tarkoitukset ja keinot. Henkilötietojen käsittelijä käsittelee henkilötietoja rekisterinpitäjän lukuun. Monet SaaS- ja teknologiayritykset tekevät molempia. FinScale on henkilötietojen käsittelijä, kun se ylläpitää asiakkaiden loppukäyttäjätietoja asiakkaan ohjeiden mukaisesti. Se on rekisterinpitäjä työntekijätiedoissa, markkinointiliideissä, laskutusyhteyshenkilöissä, rekrytointitiedoissa ja osassa tuoteanalytiikkaa.

Tämä erottelu määrittää näyttövaatimukset.

Clarysecin henkilötietojen hallintajärjestelmäpolitiikka tekee rooliluokittelusta operatiivisen vaatimuksen:

[Molemmat] Prosessin omistajan / liiketoimintavastaavan TULEE luokitella organisaation PIMS-rooli jokaiselle henkilötietojen käsittelytoimelle REG02:ssa ennen käsittelytoimen aloittamista.

Tämä yksittäinen velvoite muuttaa tietosuojan toimintamallin. Lakiasioiden katselmointi ei ole enää julkaisun jälkikäteinen vaihe. Jokaisen prosessin omistajan on luokiteltava PIMS-rooli ennen käsittelyn alkamista. Tämä luokittelu määrittää myöhemmän näyttöketjun.

Rekisterinpitäjän toimissa Clarysecin henkilötietojen käsittelytoimien luetteloa ja oikeusperustetta koskeva politiikka edellyttää oikeusperusteen validointia:

[Rekisterinpitäjä] Tietosuojavastaavan / PIMS-päällikön TULEE validoida REG02:een kirjattu oikeusperuste ennen rekisterinpitäjän käsittelyn aloittamista ja ennen kuin käyttötarkoituksen muutos tulee voimaan.

Kohdasta “Rekisterinpitäjän käyttötarkoitus- ja oikeusperustetallenteet”, politiikkalauseke 4.2.2.

Henkilötietojen käsittelijän toimissa näytön painopiste siirtyy dokumentoituihin ohjeisiin, sopimuskontrolleihin, alikäsittelijöiden hallinnointiin, tietoturvatoimenpiteisiin, avustamisvelvoitteisiin, poikkeamatilanteiden tukeen sekä tietojen palauttamiseen tai poistamiseen sopimuksen päättyessä. Tässä REG08 on kriittinen.

Clarysecin henkilötietojen käsittelijöiden, alikäsittelijöiden ja kolmansien osapuolten tietosuojahallinnan politiikka edellyttää:

[Rekisterinpitäjä] Tietosuojavastaavan / PIMS-päällikön TULEE varmistaa ennen hyväksyntää, että REG08:n henkilötietojen käsittelijän sopimuskontrollikentät kattavat käsittelyn soveltamisalan, keston, tarkoituksen, henkilötietoryhmät, rekisteröityjen ryhmät, luottamuksellisuuden, tietoturvan, alikäsittelijöiden valtuutuksen, avustamisen, auditoinnin tai varmentamisen, palauttamisen, poistamisen ja päättämisen.

Kohdasta “Sopimus- ja dokumentoitujen ohjeiden kontrollit”, politiikkalauseke 4.3.2.

REG02 määrittää käsittelytoimen ja roolin. REG04 esiarvioi tietosuojariskin. REG08 validoi henkilötietojen käsittelijöiden, alikäsittelijöiden ja toimittajien kontrollit. REG12 indeksoi näytön. Yhdessä ne muodostavat PIMS-näyttöketjun.

PIMS-näyttöketju, jota auditoijat odottavat

Vahva PIMS ei edellytä, että tiimit ylläpitävät toisistaan irrallisia laskentataulukoita. Se määrittää näyttöobjektit, omistajat, ajoituksen, katselmointisyklit ja auditointijäljet.

Clarysecin PIMS:n dokumentoidun tiedon ja todentavan aineiston hallintapolitiikka toteaa:

[Kaikki] Tietosuojavastaavan / PIMS-päällikön TULEE ylläpitää PIMS:n dokumentoidun tiedon indeksiä REG12:ssa ennen PIMS:n ensimmäistä julkaisua ja sen jälkeen neljännesvuosittain.

REG12 estää tietosuojaohjelmaa muuttumasta vanhentuneiden PDF-tiedostojen kansioksi. Se kertoo auditoijalle, mitä näyttöä on olemassa, missä se säilytetään, kuka sen omistaa, milloin se on viimeksi katselmoitu ja mitä käsittelytoimia, riskejä, velvoitteita tai kontrolleja se tukee.

Tämä näyttöketju mukautuu luontevasti ISO/IEC 27001:2022 -standardin vaatimuksiin, jotka koskevat toimintaympäristöä, sidosryhmiä, riskisuunnittelua, operatiivista ohjausta, dokumentoitua tietoa, suorituskyvyn arviointia, sisäistä auditointia, johdon katselmointia ja jatkuvaa parantamista. Se liittyy myös ISO/IEC 27002:2022 -kontrolleihin, kuten 5.2 tietoturvaroolit ja -vastuut, 5.20 tietoturvan huomioiminen toimittajasopimuksissa, 5.21 tietoturvan hallinta ICT-toimitusketjussa, 5.34 yksityisyydensuoja ja henkilötietojen suojaaminen sekä 8.10 tietojen poistaminen.

Rekisterinpitäjän ja henkilötietojen käsittelijän näyttö ei ole sama asia

Avan saksalainen asiakas ei kysy vain, onko FinScalella tietosuojapolitiikkoja. Asiakas haluaa näytön siitä, että FinScale ymmärtää, missä roolissa se toimii kussakin tietovirrassa.

Kun FinScale toimii rekisterinpitäjänä, sen on perusteltava, miksi se käsittelee tietoja. Esimerkiksi työntekijöiden palkanlaskenta voi perustua sopimuksen täytäntöönpanon tarpeellisuuteen ja lakisääteiseen velvoitteeseen. Markkinointi voi perustua suostumukseen tai oikeutettuun etuun asiayhteyden ja lainkäyttöalueen mukaan. Rekrytointi voi edellyttää säilytysrajoja, läpinäkyvyyttä ja pääsynhallintaa. Näyttö ei ole vain valittu oikeusperuste. Se on validoitu tallenne, tietosuojaseloste, säilytyssääntö, oikeuksien toteuttamismenettely ja riskipäätös.

Kun FinScale toimii henkilötietojen käsittelijänä, sen on osoitettava toimivansa asiakkaan dokumentoitujen ohjeiden mukaisesti. Näyttöön kuuluvat DPA, tuotteen konfiguraatio, järjestelmälokit, tietoturvakontrollit, alikäsittelijöiden valtuutukset, avustamismenettelyt, tietoturvaloukkausten tukiprosessi, auditointioikeudet sekä poistamista tai palauttamista koskeva näyttö.

Clarysecin P17 Tietosuoja- ja yksityisyydensuojapolitiikka vahvistaa, että tietosuoja on integroitava ISMS:ään:

Organisaation tulee ylläpitää muodollista tietosuojan hallinnointikehystä, joka on integroitu tietoturvallisuuden hallintajärjestelmään (ISMS) tämän politiikan soveltamiseksi.

Kohdasta “Hallinnointivaatimukset”, politiikkalauseke 5.1.

Pk-yritysversio Tietosuoja- ja yksityisyydensuojapolitiikka-sme säilyttää saman näyttökurinalaisuuden:

Tietosuojakoordinaattorin tulee ylläpitää rekisteriä kaikista henkilötietojen käsittelytoimista, mukaan lukien tietoryhmät, tarkoitus, oikeusperuste ja säilytysajat.

Se edellyttää myös:

Oikeusperuste (esim. suostumus, sopimus, lakisääteinen velvoite) tulee dokumentoida käsittelyrekisteriin.

Yritystason ohjelmissa P17 Tietosuoja- ja yksityisyydensuojapolitiikka lisää omistajuuden:

Lakiasiainosaston tulee ylläpitää ja päivittää oikeusperusterekisteriä.

Käytännön läpikäynti: tuoteanalytiikan käyttöönotto

Tarkastellaan tuoteanalytiikkatoimintoa, joka seuraa käyttäjän navigointia, ominaisuuksien käyttöönottoa, istunnon metatietoja, organisaatiotunnusta, käyttäjäroolia ja laitetietoja. Tuotetiimi haluaa käyttöä koskevia havaintoja. Myynti haluaa käyttöönoton mittareita. Asiakkuuksien hallinta haluaa poistumariskin signaaleja. Lakiasiat kysyy, onko FinScale rekisterinpitäjä vai henkilötietojen käsittelijä. Tietoturva kysyy, sisältävätkö lokit henkilötietoja. Hankinta huomauttaa, että analytiikkatoimittaja käyttää alikäsittelijöitä.

Vahva PIMS muuttaa tämän toistettavaksi työnkuluksi.

1. Luo tai päivitä REG02 ennen käsittelyn aloittamista

Liiketoimintavastaava kirjaa toiminnon REG02:een. Tallenteen tulee sisältää tarkoitus, henkilötietoryhmät, rekisteröityjen ryhmät, järjestelmät, säilytysaika, siirrot, tietoturvatoimenpiteet, rooliluokittelu sekä oikeusperuste tai dokumentoitu ohje.

Jos analytiikkaa käytetään FinScalen omiin tuotteen parantamistarkoituksiin, FinScale voi olla rekisterinpitäjä kyseisessä toiminnossa. Jos analytiikkaa tehdään vain asiakkaan määrittämillä asetuksilla asiakkaan lukuun, FinScale voi olla henkilötietojen käsittelijä. Monissa SaaS-ympäristöissä molemmat roolit voivat esiintyä yhdessä toiminnossa tietovirran ja käyttötarkoituksen mukaan.

2. Validoi oikeusperuste tai dokumentoitu ohje

Jos FinScale on rekisterinpitäjä, tietosuojavastaava tai lakiasiat validoi REG02:ssa olevan oikeusperusteen ennen käsittelyn alkamista. Jos mukana on erityisiin henkilötietoryhmiin kuuluvia tietoja, tiimin on tunnistettava myös soveltuva GDPR Article 9 -ehto ja lisäsuojatoimet.

Jos FinScale on henkilötietojen käsittelijä, näytön on viitattava asiakkaan dokumentoituun ohjeeseen. Kysymykseksi tulee: missä ohje on, mikä käsittely on sallittua ja miten FinScale osoittaa noudattaneensa ohjetta?

3. Käynnistä REG04-tietosuojariskien esiarviointi

Clarysecin Tietosuojariskien arviointi- ja DPIA-politiikka edellyttää:

[Molemmat] Prosessin omistajan / liiketoimintavastaavan TULEE käynnistää tietosuojariskien esiarviointi REG04:ssa ennen REG02:een kirjatun uuden tai olennaisesti muuttuneen henkilötietojen käsittelyn aloittamista.

Kohdasta “Tietosuojariskien esiarviointi”, politiikkalauseke 4.1.1.

Esiarvioinnissa tulee arvioida arkaluonteisuutta, mittakaavaa, valvontavaikutuksia, rekisteröityjen odotuksia, profilointia, automaattista päätöksentekoa, rajat ylittäviä siirtoja, toimittajan pääsyä, säilytystä ja kontrollien tehokkuutta. Jos riski on kohonnut, PIMS:n tulee käynnistää DPIA ja kirjata päätös.

4. Päivitä REG08 toimittajia ja alikäsittelijöitä varten

Jos kolmannen osapuolen analytiikkapalveluntarjoaja vastaanottaa henkilötietoja, hankinta, lakiasiat ja tietosuojatoiminto päivittävät REG08:n. Sopimuskenttien tulee kattaa soveltamisala, kesto, tarkoitus, henkilötietoryhmät, luottamuksellisuus, tietoturva, alikäsittelijöiden valtuutus, avustaminen, auditointi tai varmentaminen, palauttaminen, poistaminen ja päättäminen.

Kolmansien osapuolten ja toimittajien tietoturvapolitiikka-sme tukee tätä toimintatapaa edellyttämällä:

Tietojen käsittelykäytäntöjen tai tietosuojavaatimusten noudattamisen varmistamista silloin, kun mukana on henkilötietoja.

P17 Tietosuoja- ja yksityisyydensuojapolitiikka edellyttää myös:

Hankinnan sekä laki- ja vaatimustenmukaisuustiimien tulee varmistaa GDPR:n Article 28 -vaatimusten noudattaminen ja edellyttää kaikkien korkean riskin toimittajien vuosittaista uudelleenarviointia.

5. Indeksoi näyttö REG12:ssa

Lopuksi PIMS-päällikkö päivittää REG12:n linkeillä REG02:een, oikeusperusteen validointiin, dokumentoituun ohjeeseen, REG04-esiarviointiin, tarvittaessa DPIA:an, REG08-toimittajatallenteeseen, DPA:han, tietoturvakatselmointiin, säilytyspäätökseen, tuotehyväksyntään ja seurantaa koskevaan näyttöön.

Juuri tämä muuttaa sisäänrakennetun tietosuojan auditointikelpoiseksi näytöksi.

Zenith Blueprintin käyttäminen jäljitettävyyden rakentamiseen

Näytön keräämisen kohteiden tunnistaminen on vain puolet haasteesta. Vaikeampi osa on rakentaa järjestelmä, joka tuottaa sitä luotettavasti.

Zenith Blueprint: auditoijan 30 vaiheen tiekartta sijoittaa tämän ISMS:n perustan ja johtajuuden vaiheeseen, vaiheeseen 2: sidosryhmien tarpeet ja ISMS:n soveltamisala. Opas näyttää, miten sidosryhmien odotukset muutetaan suunnitelluiksi kontrolleiksi:

Asiakkaat
(B2B SaaS)
Tietojen luottamuksellisuus, SLA:n mukainen käytettävyys, tietoturvaloukkauksesta ilmoittaminen
24 tunnin kuluessa
Toteuta pääsynhallinta ja salaus;
tietoturvapoikkeamiin reagointisuunnitelma sisältää
ilmoitusmenettelyt.

Se sisältää myös:

Toimenpide 4.2: Kokoa luettelo kaikista merkittävistä sidosryhmistä ja kirjaa niiden tietoturvallisuuteen liittyvät vaatimukset.

ISO 27701:2025 -standardia varten tämä toimenpide tulee laajentaa tietosuojaan. Sidosryhmiä ovat asiakkaat, rekisteröidyt, valvontaviranomaiset, henkilötietojen käsittelijät, alikäsittelijät, työntekijät, tuotetiimit, sisäinen tarkastus, johto, finanssialan asiakkaat ja alakohtaiset sääntelyviranomaiset silloin, kun NIS2 tai DORA soveltuu.

Riskienhallinnan vaiheessa, vaiheessa 13: riskien käsittelyn suunnittelu ja soveltuvuuslausunto, Zenith Blueprint suosittelee jäljitettävyyttä:

Ristiinviittaa sääntelyyn: jos tietyt kontrollit on toteutettu nimenomaisesti GDPR:n, NIS2:n tai DORA:n noudattamiseksi, voit merkitä sen joko riskirekisteriin (osana riskivaikutuksen perustelua) tai SoA-huomautuksiin.

Tämä luo auditoijien odottaman kultaisen langan: vaatimus, riski, kontrolli, omistaja, näyttö, testitulos ja parantamistoimi.

Mihin Zenith Controls sijoittuu PIMS-mallissa

Clarysecin Zenith Controls: vaatimustenmukaisuuden yhteiskäyttöopas auttaa tiimejä välttämään päällekkäiset vaatimustenmukaisuusohjelmat kartoittamalla ISO/IEC 27001:2022- ja ISO/IEC 27002:2022 -kontrolliteemat muihin standardeihin, auditointiodotuksiin ja näyttömalleihin.

ISO 27701:2025 -standardin mukaisessa PIMS-näytössä neljä ISO/IEC 27002:2022 -kontrollia ovat erityisen tärkeitä:

• 5.2 tietoturvaroolit ja -vastuut
• 5.20 tietoturvan huomioiminen toimittajasopimuksissa
• 5.21 tietoturvan hallinta ICT-toimitusketjussa
• 5.34 yksityisyydensuoja ja henkilötietojen suojaaminen

Kontrolli 5.2 tukee roolien selkeyttä. PIMS tarvitsee määritellyn vastuun PIMS-päällikölle, tietosuojavastaavalle, prosessin omistajalle, liiketoimintavastaavalle, lakiasioille, hankinnalle, tietoturvalle, sisäiselle tarkastukselle ja ylimmälle johdolle.

Kontrolli 5.34 tukee keskeistä tietosuojavelvoitetta. Zenith Blueprint, Controls in Action -vaihe, vaihe 23, selittää auditointiodotuksen:

Auditoinnin näkökulmasta tämä kontrolli on yhä enemmän tarkastelun kohteena. Auditoijat, valvontaviranomaiset ja asiakkaat haluavat nähdä:

✓ missä henkilötiedot sijaitsevat,
✓ mikä oikeusperuste ohjaa niiden käsittelyä,
✓ miten pääsyä rajoitetaan,
✓ miten poikkeamista ilmoitetaan,
✓ ja miten organisaatio kunnioittaa oikeuksia ja ylläpitää läpinäkyvyyttä.

Zenith Blueprint jatkaa:

Kontrolli 5.34 ei ole vain valintaruutu. Se on lausuma eettisestä vastuunkannosta.

Kontrollit 5.20 ja 5.21 yhdistävät PIMS-näytön toimittajien ja ICT-toimitusketjun hallinnointiin. Zenith Blueprint, Controls in Action -vaihe, vaihe 23, luettelee toimittajasopimusten aihealueet:

Toimittajasopimuksissa käsitellään tyypillisesti seuraavia keskeisiä osa-alueita:

✓ luottamuksellisuusvelvoitteet, mukaan lukien soveltamisala, kesto ja kolmansille osapuolille tapahtuvan luovutuksen rajoitukset;
✓ pääsynhallintavastuut, kuten kuka voi käyttää tietojasi, miten tunnistetietoja hallitaan ja millainen seuranta on käytössä;
✓ tekniset ja organisatoriset toimenpiteet tietosuojaa, salausta, turvallista tiedonsiirtoa, varmuuskopiointia ja saatavuussitoumuksia varten;
✓ poikkeamien ilmoitusmääräajat ja -protokollat, usein määritellyin aikarajoin (esim. “ilmoitus 24 tunnin kuluessa”);
✓ auditointioikeus, mukaan lukien tiheys, soveltamisala ja pääsy olennaiseen näyttöön (esim. penetraatiotestiraportit, SoA, sertifioinnit);
✓ alihankkijakontrollit, jotka edellyttävät, että toimittaja ketjuttaa vastaavat tietoturvavelvoitteet omille alihankkijoilleen;
✓ sopimuksen päättymistä koskevat ehdot, kuten tietojen palauttaminen tai tuhoaminen, omaisuuden palautus ja käyttäjätilien sulkeminen.

Tämä on silta GDPR:n osoitusvelvollisuuden ja ISMS-näytön välillä.

PIMS-näytön kartoitus GDPR:n, NIS2:n, DORA:n, NIST:n ja COBIT 2019:n välillä

Tietosuojanäyttö palvelee harvoin vain yhtä viitekehystä. Hyvin suunniteltu PIMS-näyttöobjekti voi vastata useisiin auditointikysymyksiin.

GDPR ankkuroi tietosuojan osoitusvelvollisuuden oikeusperusteen, roolien selkeyden, henkilötietojen käsittelijöiden sopimusten, oikeuksien, tietoturvaloukkausten käsittelyn ja osoitettavissa olevan vaatimusten noudattamisen kautta.

NIS2 on olennainen keskeisille ja tärkeille toimijoille, mukaan lukien tietyt pilvipalveluntarjoajat, hallinnoidut palveluntarjoajat, hallinnoidut tietoturvapalveluntarjoajat, datakeskuspalveluntarjoajat ja digitaalisen infrastruktuurin organisaatiot. NIS2 Article 20 asettaa kyberturvallisuuden hallinnointivastuun hallintoelimille. Article 21 edellyttää asianmukaisia teknisiä, operatiivisia ja organisatorisia toimenpiteitä, mukaan lukien riskianalyysi, poikkeamien käsittely, liiketoiminnan jatkuvuus, toimitusketjun turvallisuus, turvallinen kehittäminen, tehokkuuden arviointi, koulutus, kryptografia, henkilöstöturvallisuus, pääsynhallinta, omaisuudenhallinta sekä soveltuvin osin MFA tai jatkuva todennus. Article 23 tuo mukanaan merkittävien poikkeamien ilmoittamista koskevat odotukset, kuten ennakkovaroituksen 24 tunnin kuluessa ja poikkeamailmoituksen 72 tunnin kuluessa.

DORA on olennainen finanssialan toimijoille ja finanssiekosysteemien ICT-kolmansien osapuolten palveluntarjoajille. DORA Articles 5 ja 6 edellyttävät ICT-riskien hallinnointia, politiikkoja, strategiaa, testausta ja jatkuvaa parantamista. Articles 17 to 19 kattavat ICT-poikkeamien havaitsemisen, luokittelun, eskaloinnin, raportoinnin, juurisyyanalyysin ja opit. Articles 28 to 30 edellyttävät ICT-kolmansien osapuolten riskistrategiaa, rekistereitä, due diligence -arviointeja, sopimusehtoja, auditointioikeuksia, poikkeamatilanteissa avustamista, tietosuojaa, irtautumissuunnittelua ja keskittymäriskin arviointia.

NIST CSF 2.0 tarjoaa hallinnointi- ja riskikielen toimintojen GOVERN, IDENTIFY, PROTECT, DETECT, RESPOND ja RECOVER kautta. COBIT 2019 lisää hallinnointitavoitteet, johtamiskäytännöt, omistajuuden, mittarit, varmentamisen ja prosessikyvykkyyden.

Vaatimustenmukaisuuden etu on selvä. Yksi hallittu PIMS-näyttöketju voi tukea GDPR:ää, ISO/IEC 27001:2022 -standardia, NIS2:ta, DORA:a, NIST CSF 2.0:aa, COBIT 2019:ää ja asiakkaan due diligence -arviointia.

Miten auditoijat testaavat PIMS-järjestelmääsi

PIMS-auditointi ei ole asiakirjakatselmointi. Se on näytön jäljitettävyysharjoitus.

Clarysecin P33 Auditointi- ja vaatimustenmukaisuuden seurantapolitiikka tukee auditointimallia:

Organisaation tulee ylläpitää auditointirekisteriä, joka sisältää:

Pk-yritysvastine Auditointi- ja vaatimustenmukaisuuden seurantapolitiikka-sme lisää tärkeän näytön laatua koskevan vaatimuksen:

Metatiedot (esim. kuka sen keräsi, milloin ja mistä järjestelmästä) tulee dokumentoida.

Tämä metatietovaatimus on pieni mutta tehokas. Kuvakaappaukset ilman lähdettä, päivämäärää, kerääjää ja järjestelmäkontekstia ovat heikkoa näyttöä. Hallittu auditointinäyttö osoittaa aitouden, ajantasaisuuden ja jäljitettävyyden.

Miltä hyvä PIMS-näyttö näyttää

Oletetaan, että auditoija valitsee yhden toiminnon: asiakastuen tikettien analysoinnin.

Heikko vastaus on: “Meillä on tietosuojakäytäntö ja DPA kattaa tämän.”

Vahva PIMS-vastaus on:

1. REG02 tunnistaa toiminnon, järjestelmät, henkilötietoryhmät, rekisteröidyt, tarkoituksen, rooliluokittelun, säilytyksen, siirrot, tietoturvakontrollit ja omistajan.
2. Rooliluokittelu osoittaa, onko organisaatio rekisterinpitäjä, henkilötietojen käsittelijä vai molemmat työnkulun tietyissä osissa.
3. Jos organisaatio on rekisterinpitäjä, oikeusperuste on validoitu ja kirjattu oikeusperusterekisteriin.
4. Jos organisaatio on henkilötietojen käsittelijä, asiakkaan ohje ja DPA-lauseke on linkitetty.
5. REG04 osoittaa tietosuojariskien esiarvioinnin ennen julkaisua tai olennaista muutosta.
6. REG08 tunnistaa tikettijärjestelmän, AI-yhteenvetotoimittajan, alikäsittelijät, sopimuskontrollit, auditointioikeudet, tietoturvavarmennukset, poistoehdot ja poikkeamatilanteiden avustamisen.
7. Pääsynhallintaa koskeva näyttö osoittaa, että tukihenkilöstön pääsy on roolipohjainen ja katselmoitu.
8. Lokitusta ja seurantaa koskeva näyttö osoittaa, että pääsyä tukitiketteihin seurataan.
9. Säilyttämistä ja poistamista koskeva näyttö osoittaa, että tiketit poistetaan tai anonymisoidaan hyväksytyn säilytysajan mukaisesti.
10. REG12 indeksoi kaiken tukevan näytön omistajan ja katselmointipäivän kanssa.
11. Auditointirekisteri osoittaa, onko toiminto testattu, mitä havaintoja nostettiin ja onko korjaavat toimenpiteet suljettu.

Näin ISO 27701:2025 muuttuu operatiiviseksi. Se luo toistettavan osoitusvelvollisuuden ketjun.

PIMS-näytön yleiset puutteet

SaaS-, fintech-, hallinnoitujen palvelujen ja B2B-teknologian ympäristöissä samat puutteet toistuvat.

Ensinnäkin organisaatiot ylläpitävät RoPA:a tai käsittelyrekisteriä, mutta eivät luokittele rekisterinpitäjän ja henkilötietojen käsittelijän rooleja käsittelytoimikohtaisesti. Tämä aiheuttaa epäselvyyttä oikeusperusteesta, dokumentoiduista ohjeista ja alikäsittelijävelvoitteista.

Toiseksi oikeusperuste kirjataan kerran eikä sitä validoida uudelleen käyttötarkoituksen muuttuessa. GDPR Article 6 edellyttää käyttötarkoituksen ja oikeusperusteen kurinalaista hallintaa. Jatkokäsittely voi edellyttää yhteensopivuusarviointia ja suojatoimia.

Kolmanneksi toimittajaluettelot listaavat toimittajia, mutta eivät näytä sopimuskontrollikenttiä. Toimittajaluettelo ei ole sama asia kuin henkilötietojen käsittelijöiden hallinnointi.

Neljänneksi DPIA-päätökset ovat epämuodollisia. Tiimit sanovat “ei korkea riski”, mutta eivät pysty osoittamaan esiarviointikriteerejä, hyväksyjää, päivämäärää tai näyttöä.

Viidenneksi auditointinäyttöä on olemassa, mutta se ei ole hallittua. Kuvakaappauksista puuttuvat metatiedot. Politiikat ovat ajantasaisia, mutta rekisterit ovat vanhentuneita. Sopimukset ovat olemassa, mutta uusimisen yhteydessä tehtävät uudelleenarvioinnit jäävät tekemättä.

Kuudenneksi poikkeamaprosessit keskittyvät kyberturvallisuustapahtumiin, mutta eivät luokittele henkilötietojen tietoturvaloukkauksia selkeästi. GDPR:n henkilötietojen tietoturvaloukkauksen analyysi, NIS2:n merkittävien poikkeamien raportointi ja DORA:n ICT-poikkeamien raportointi on koordinoitava, ei kahdennettava.

Clarysec korjaa näitä puutteita käsittelemällä PIMS-näyttöä hallittuna johtamisjärjestelmänä, ei viime hetken auditointisäätönä.

ISO 27701:2025 PIMS-näytön valmiuden tarkistuslista

Käytä tätä tarkistuslistaa seuraavassa sisäisessä valmiusarvioinnissa.

• Määritä PIMS:n soveltamisala ja sidosryhmät, mukaan lukien asiakkaat, valvontaviranomaiset, rekisteröidyt, toimittajat, sisäinen tarkastus ja johto.
• Määritä PIMS-roolit ja -vastuut, mukaan lukien PIMS-päällikkö, tietosuojavastaava, prosessin omistaja, lakiasiat, hankinta, tietoturva ja sisäinen tarkastus.
• Luo REG02-merkinnät jokaiselle henkilötietojen käsittelytoimelle.
• Luokittele rekisterinpitäjän, henkilötietojen käsittelijän, yhteisrekisterinpitäjän tai alikäsittelijän rooli jokaiselle toimelle.
• Validoi rekisterinpitäjän käsittelyn oikeusperuste ennen käsittelyn aloittamista ja ennen käyttötarkoituksen muutosta.
• Kirjaa dokumentoidut ohjeet henkilötietojen käsittelijän toimille.
• Käynnistä REG04-tietosuojariskien esiarviointi ennen uutta tai olennaisesti muuttunutta käsittelyä.
• Toteuta DPIA, kun riskien esiarviointi osoittaa kohonnutta tietosuojariskiä.
• Ylläpidä REG08:aa henkilötietojen käsittelijöille, alikäsittelijöille, ICT-toimittajille ja tietosuojan kannalta olennaisille toimittajille.
• Varmista sopimuskentät soveltamisalan, keston, tarkoituksen, henkilötietoryhmien, luottamuksellisuuden, tietoturvan, avustamisen, auditointioikeuksien, palauttamisen, poistamisen ja päättämisen osalta.
• Ylläpidä REG12:ta PIMS:n dokumentoidun tiedon indeksinä.
• Kartoita PIMS-näyttö ISO/IEC 27001:2022 -standardin riskien käsittelyyn ja SoA-huomautuksiin.
• Ristiinviittaa GDPR-, NIS2-, DORA-, NIST CSF 2.0- ja COBIT 2019 -velvoitteisiin soveltuvin osin.
• Tee vuosittaiset sisäiset tietosuojavaatimustenmukaisuuden auditoinnit ja päivitä auditointirekisteri.
• Katselmoi avoimet havainnot, korjaavat toimenpiteet, riskipäätökset ja johdon raportointi neljännesvuosittain.

P17 Tietosuoja- ja yksityisyydensuojapolitiikka vahvistaa auditointisyklin:

Sisäinen tietosuojavaatimustenmukaisuuden auditointi tulee tehdä vuosittain tai merkittävien organisatoristen tai sääntelymuutosten yhteydessä. Auditoinnin soveltamisalan tulee sisältää:

Viesti on yksinkertainen. Tietosuojavaatimustenmukaisuutta seurataan, sitä ei oleteta.

Rakenna PIMS-näyttömallisi Clarysecin avulla

ISO 27701:2025 on arvokkaimmillaan, kun se integroidaan ISO/IEC 27001:2022 -standardiin ja suunnitellaan tuottamaan näyttöä oletusarvoisesti. Näin tietosuojasta tulee puolustettavissa oleva toimintamalli eikä pelkkä sertifiointiprojekti.

Kun asiakas pyytää tietosuojavarmennusta, voit esittää näytön. Kun valvontaviranomainen kysyy, miksi käsittelitte tietoja, voit näyttää roolin, tarkoituksen, oikeusperusteen, suojatoimet ja hyväksynnät. Kun auditoija kysyy, miten hallinnoitte alikäsittelijöitä, voit näyttää REG08:n, sopimuskontrollit, uudelleenarvioinnit ja auditointioikeudet. Kun hallitus kysyy, onko tietosuojariski hallinnassa, voit näyttää mittarit, avoimet toimenpiteet, auditointitulokset ja johdon katselmoinnin.

Jos PIMS-järjestelmäsi on edelleen politiikkapainotteinen ja näyttövajaa, aloita ketjusta, jota auditoijat seuraavat:

REG02-käsittelytoimien luettelo, REG04-tietosuojariskien esiarviointi, REG08 henkilötietojen käsittelijöiden ja alikäsittelijöiden hallinnointi, REG12-näyttöindeksi, oikeusperusterekisteri, auditointirekisteri ja SoA-kartoitus.

Clarysec voi auttaa operationalisoimaan tämän ketjun seuraavien avulla:

• Zenith Blueprint: auditoijan 30 vaiheen tiekartta, erityisesti vaihe 2 sidosryhmien vaatimuksia varten, vaihe 13 riskien käsittelyä ja SoA-jäljitettävyyttä varten sekä vaihe 23 tietosuoja-, toimittaja- ja organisatorisia kontrolleja varten.
• Zenith Controls: vaatimustenmukaisuuden yhteiskäyttöopas, jossa ISO/IEC 27002:2022 -kontrolleja 5.2, 5.20, 5.21 ja 5.34 käytetään käytännön ankkureina tietosuojan osoitusvelvollisuudelle.
• Clarysecin ISO 27701 -standardin mukainen PIMS-politiikkakokonaisuus, mukaan lukien henkilötietojen hallintajärjestelmäpolitiikka, henkilötietojen käsittelytoimien luetteloa ja oikeusperustetta koskeva politiikka, tietosuojariskien arviointi- ja DPIA-politiikka, henkilötietojen käsittelijöiden, alikäsittelijöiden ja kolmansien osapuolten tietosuojahallinnan politiikka ja PIMS:n dokumentoidun tiedon ja todentavan aineiston hallintapolitiikka.
• Yritystason ja pk-yritysten tuki seuraavien kautta: P17 Tietosuoja- ja yksityisyydensuojapolitiikka, Tietosuoja- ja yksityisyydensuojapolitiikka-sme, Kolmansien osapuolten ja toimittajien tietoturvapolitiikka-sme, P33 Auditointi- ja vaatimustenmukaisuuden seurantapolitiikka ja Auditointi- ja vaatimustenmukaisuuden seurantapolitiikka-sme.

Seuraava toimenpiteesi on yksinkertainen: valitse yksi korkean riskin henkilötietojen käsittelytoimi ja käy näyttöketju läpi REG02:sta REG12:een. Jos ketju katkeaa, siinä on ensimmäinen parantamisprojektisi. Jos ketju kestää, laajenna malli koko käsittelytoimien luetteloon.

Näin ISO 27701:2025 on enemmän kuin sertifikaatti. Siitä tulee näyttö GDPR:n mukaisesta osoitusvelvollisuudesta.