Roolipohjainen tietosuojakoulutus ISO 27701:tä ja GDPR:ää varten

Nopeasti kasvavan FinTech-yrityksen tietoturvajohtaja Sarah odotti ISO/IEC 27701:2025 -standardin mukaisen PIMS-auditoinnin testaavan politiikkoja, tallenteita ja riskinarviointeja. Toisena päivänä auditoija oli jo siirtynyt mukavuusalueen ulkopuolelle.

Hän ei kysynyt, olivatko työntekijät suorittaneet vuosittaisen ”Tietosuojan perusteet” -moduulin. Hallintanäkymä näytti 98 prosentin suoritusastetta, mikä näytti vakuuttavalta siihen asti, kunnes kysymykset muuttuivat täsmällisiksi.

”Kehittäjänne käsittelevät arkaluonteisia taloudellisia henkilötietoja ja toteuttavat biometrista todennusta. Mitä erityistä koulutusta he ovat saaneet sisäänrakennetusta tietosuojasta, tietojen minimoinnista API-suunnittelussa, turvallisesta lokituksesta, testidatan rajoituksista ja GDPR:n mukaisista erityisiin henkilötietoryhmiin kuuluvista tiedoista?”

Sitten vuorossa oli asiakastuki.

”He voivat tarkastella tapahtumahistorioita. Miten heidät on koulutettu tunnistamaan rekisteröidyn tarkastuspyyntö, varmistamaan henkilöllisyys, välttämään tarpeettoman laajoja tikettimerkintöjä ja eskaloimaan tahaton luovutus?”

Sitten HR.

”He ottivat juuri käyttöön uuden pilvipohjaisen palkanlaskentajärjestelmän, jota ylläpidetään EU:n ulkopuolella. Mitä tietosuojakoulutusta he saivat henkilötietojen käsittelijän due diligence -arvioinnista, rajat ylittävistä siirroista, työntekijätiedoista ja säilytyksestä?”

Sarahilla oli politiikat, käsittelytoimien seloste, toimittajalausekkeet, tietoturvaloukkausmenettelyt ja määritelty PIMS:n soveltamisala. Häneltä puuttui kuitenkin todennettava näyttö siitä, että oikeat henkilöt oli koulutettu oikeisiin tietosuojavastuisiin.

Tämä on aukko, johon moni tietosuojaohjelma kompastuu. ISO/IEC 27701:2025 ja GDPR eivät palkitse organisaatioita yleisestä tietoisuudesta. Ne edellyttävät osoitusvelvollisuutta, osaamista ja operatiivista näyttöä. Jos henkilöt keräävät, käyttävät, tarkastelevat, säilyttävät, jakavat, poistavat tai valvovat henkilötietoja sisältäviä järjestelmiä tai tukevat niitä, heidän on tiedettävä, mitä heidän rooliinsa sovelletaan, milloin asia eskaloidaan ja mihin todentava näyttö kirjataan.

Roolipohjainen tietosuojatietoisuuskoulutus tekee PIMS:stä käytännössä toimivan.

Miksi kaikille sama tietosuojakoulutus epäonnistuu

Useimmilla organisaatioilla on jo jonkinlainen tietoturvatietoisuuskoulutus. Ongelma on, että tietosuojavelvoitteet jakautuvat liiketoiminnassa epätasaisesti.

Kehittäjä tarvitsee osaamista sisäänrakennetusta tietosuojasta, maskauksesta, pseudonymisoinnista, turvallisesta ohjelmoinnista, lokituksen minimoinnista ja muutosten vaikutusten tunnistamisesta. Tukihenkilö tarvitsee osaamista henkilöllisyyden varmistamisesta, tikettien minimoinnista, DSAR-pyyntöjen tunnistamisesta ja tahattoman luovutuksen eskaloinnista. HR tarvitsee osaamista työntekijöiden tietosuojasta, erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelystä, luottamuksellisuudesta, säilytyksestä ja pääsyn rajoituksista. Hankinnan on tiedettävä, milloin toimittaja on henkilötietojen käsittelijä tai alikäsittelijä. Poikkeamiin reagoivien on erotettava tietoturvapoikkeama henkilötietojen tietoturvaloukkauksesta.

Yksi vuosittainen GDPR-tietotesti ei voi luoda operatiivista osaamista kaikkiin näihin rooleihin.

GDPR tekee tämän näkyväksi Article 5:ssä, jossa määritellään periaatteet, kuten lainmukaisuus, kohtuullisuus, läpinäkyvyys, käyttötarkoitussidonnaisuus, tietojen minimointi, täsmällisyys, säilytyksen rajoittaminen, eheys ja luottamuksellisuus. Article 5(2) lisää osoitusvelvollisuuden periaatteen, jonka mukaan rekisterinpitäjien on pystyttävä osoittamaan vaatimustenmukaisuus. Article 32 edellyttää asianmukaisia teknisiä ja organisatorisia toimenpiteitä käsittelyn turvallisuuden varmistamiseksi. Articles 4, 6, and 9 tekevät roolien selkeydestä entistä tärkeämpää määrittelemällä käsittelyn, rekisterinpitäjän ja henkilötietojen käsittelijän suhteet, oikeusperusteen sekä erityisiin henkilötietoryhmiin kuuluvat tiedot.

Käytännön auditointikysymys on yksinkertainen: voitteko osoittaa, että henkilöstö ymmärtää heidän rooliinsa liittyvät PII-vastuut?

Clarysecin pk-yrityksiä koskeva politiikkakanta on selkeä. Tietoturvatietoisuus- ja koulutuspolitiikka – pk-yritys -asiakirjan lausekkeessa 1.3 todetaan:

”Tämä politiikka tukee ISO/IEC 27001:n, NIS2:n, GDPR:n ja DORA:n vaatimustenmukaisuutta sisällyttämällä tietoturvatietoisuuden päivittäisiin työtapoihin ja roolipohjaisiin odotuksiin.”

Ilmaisu ”päivittäisiin työtapoihin” on ratkaiseva. Tietosuojatietoisuus ei ole juliste. Sen on näyttävä tietojen keräämisessä, pääsyssä, jakamisessa, säilytyksessä, poistamisessa, toimittajien käyttöönotossa, poikkeamien ilmoittamisessa ja johdon katselmoinnissa.

Tietoisuudesta PIMS-osaamiseen

Clarysec käsittelee tietosuojakoulutusta hallintakontrollina, ei oppimisen ja kehittämisen sivuhankkeena. Todennettavassa PIMS-koulutusohjelmassa on neljä tasoa:

1. Perustason tietosuojatietoisuus kaikille henkilötietoja käsitteleville tai PIMS-vastuita hoitaville henkilöille.
2. Roolipohjainen koulutus tiimeille, joiden päätökset vaikuttavat tietosuojatuloksiin.
3. Tapahtumaperusteinen koulutus roolimuutosten, uusien järjestelmien, poikkeamien, auditointihavaintojen tai sääntelymuutosten jälkeen.
4. Todentavan näytön kerääminen REG11:een siten, että se yhdistyy kohderyhmään, rooliin, koulutustyyppiin, vaadittuun suorituspäivään, kuittauksiin, myöhässä oleviin suorituksiin, kertauskoulutuksen näyttöön ja todentavan näytön omistajiin.

Tämä noudattaa Zenith Blueprint -rakennetta, joka on Clarysecin 30-vaiheinen tiekartta auditointivalmiin hallintajärjestelmän toteuttamiseen. Vaiheessa 4, ”Roolit ja vastuut ISMS:ssä”, Blueprint korostaa roolien viestimistä niin, että henkilöstö tietää, kuka omistaa mitäkin, kehen ollaan yhteydessä ja miten poikkeamista ilmoitetaan.

Vaihe 5, ”Viestintä, tietoisuus ja osaaminen”, on vielä täsmällisempi:

”Tunnista vaadittavat osaamiset: Määritä, mitä tietoja ja taitoja eri roolit tarvitsevat ISMS:ssäsi… kehittäjiesi on tunnettava turvallisen ohjelmoinnin periaatteet, HR-tiimisi tulee tietää, miten henkilötietoja käsitellään turvallisesti jne.”

Sama logiikka koskee suoraan ISO/IEC 27701:2025:tä. PII-vastuita ei voida antaa ja toivoa, että yleinen tietoisuus kattaa ne. Osaaminen on tunnistettava, koulutettava, mitattava ja todennettava.

Tietosuojakoulutus-, tietoisuus- ja osaamispolitiikka muuttaa tämän PIMS-työnkuluksi. Lauseke 4.1.6 edellyttää:

”[Kaikki] Tietosuojan vastuuhenkilön / PIMS-päällikön TULEE kirjata määritetty koulutuksen kohderyhmä, koulutustyyppi, vaadittu suorituspäivä ja todentavan näytön omistaja REG11:een ennen kunkin vuosittaisen koulutusjakson alkamista.”

Tämä muodostaa sillan tietosuojaroolien ja auditointinäytön välille. Auditoijan ei enää tarvitse päätellä, kenen olisi pitänyt saada koulutusta. REG11 näyttää kohdistuksen, määräajan, suorituksen, myöhässä olevan tilan, kuittauksen, kertausjakson ja omistajan.

Tietosuojakoulutuksen taustalla olevat ISO/IEC 27002:2022 -kontrollit

Tietosuojakoulutuksesta tulee auditoitavaa, kun se kytketään kontrolleihin eikä pelkkiin kurssisuorituksiin. Zenith Controls -kokonaisuudessa Clarysec kartoittaa roolipohjaisen tietosuojakoulutuksen kolmen keskeisen ISO/IEC 27002:2022 -kontrollin kautta: 6.3, 5.2 ja 5.34.

Zenith Controls luokittelee kontrollin 6.3 ennalta ehkäiseväksi kontrolliksi, joka tukee luottamuksellisuutta, eheyttä ja saatavuutta, ja kytkee sen kyberturvallisuuskäsitteeseen ”Protect”, operatiiviseen kyvykkyyteen ”Human Resource Security” sekä hallinto- ja ekosysteemialueisiin. Sen tarkoituksena on estää inhimillisestä virheestä, epäselvistä odotuksista ja roolien epäselvyydestä johtuvia tietosuoja- ja tietoturvapoikkeamia.

Kontrolli 6.3 riippuu myös siihen liittyvistä kontrolleista:

Tietosuojassa kontrolli 5.34 on ankkuri. Zenith Blueprint, vaihe 23, selittää yksityisyydensuojan ja PII:n suojaamisen taustalla olevan käyttäytymisvaatimuksen:

”Henkilöstön on ymmärrettävä, mitä PII on, miten väärinkäytöstä ilmoitetaan ja mitkä käytännöt ovat kiellettyjä – ei juridisina termeinä vaan päivittäisenä käyttäytymisenä.”

Tämä lause tiivistää sen, mitä monista PIMS-toteutuksista puuttuu. Tietosuojapolitiikat voivat olla oikeudellisia artefakteja, mutta tietosuojakoulutuksen on oltava operatiivista.

Rakenna roolipohjainen PIMS-koulutusmatriisi

Tietosuojakoulutuksen hallinnan hyödyllisin artefakti on roolipohjainen koulutusmatriisi. Se yhdistää roolin, henkilötietoaltistuksen, keskeiset riskit, vaaditun koulutuksen, ajoituksen ja todentavan näytön.

Tietosuojakoulutus-, tietoisuus- ja osaamispolitiikka edellyttää tätä ennen PIMS-vastuiden osoittamista. Lauseke 4.3.1 toteaa:

”[Kaikki] Tietosuojan vastuuhenkilön / PIMS-päällikön TULEE määritellä roolipohjaiset tietosuojakoulutusaiheet REG11:ssä ennen PIMS-vastuiden osoittamista roolille.”

Käytännöllinen matriisi voi näyttää tältä:

Tämä matriisi tukee myös rekisterinpitäjän ja henkilötietojen käsittelijän roolien selkeyttä. SaaS-palveluntarjoaja, joka toimii henkilötietojen käsittelijänä, tarvitsee koulutusta dokumentoiduista asiakkaan ohjeista, alikäsittelijöiden käytöstä, tietoturvaloukkauksissa avustamisesta, palauttamisesta ja poistamisesta sekä ketjutettavista sopimusvelvoitteista. Sama organisaatio, joka toimii HR:n ja markkinoinnin rekisterinpitäjänä, tarvitsee koulutusta oikeusperusteesta, tietosuojaselosteista, soveltuvin osin suostumuksesta, rekisteröidyn oikeuksista ja säilytyksestä.

Erottelu on tärkeä, koska GDPR Article 4 erottaa rekisterinpitäjät ja henkilötietojen käsittelijät toisistaan, ja ISO/IEC 27701:2025 odottaa näiden tietosuojaroolien olevan operatiivisesti ymmärrettyjä.

Käytä perehdytystä, vuosittaista koulutusta ja tapahtumaperusteista koulutusta

PIMS-koulutusohjelman on vastattava kolmeen ajoituskysymykseen: mitä tapahtuu henkilön aloittaessa, mitä tapahtuu vuosittain ja mitä tapahtuu riskin muuttuessa.

Tietosuojakoulutus-, tietoisuus- ja osaamispolitiikka asettaa perustason. Lauseke 4.2.1 edellyttää:

”[Kaikki] Tietosuojan vastuuhenkilön / PIMS-päällikön TULEE osoittaa perustason tietosuojatietoisuuskoulutus REG11:ssä 10 työpäivän kuluessa perehdytyksestä henkilöstölle, jolla on pääsy PII:hin tai PIMS-vastuita.”

Lauseke 4.2.3 lisää:

”[Kaikki] Tietosuojan vastuuhenkilön / PIMS-päällikön TULEE osoittaa vuosittainen tietosuojan kertauskoulutus REG11:ssä vähintään kerran 12 kuukaudessa.”

Pk-yrityksen Tietoturvatietoisuus- ja koulutuspolitiikka vahvistaa ajantasaisuuden ja käytännönläheisyyden. Lauseke 6.1.1 toteaa:

”Materiaalien on oltava käytännöllisiä, rooliin sopivia ja vuosittain päivitettäviä.”

Kypsä käytäntö on tapahtumaperusteinen koulutus. Saman pk-yrityspolitiikan lauseke 6.5.1 toteaa:

”Kun tehtäväroolit muuttuvat tai järjestelmiä otetaan käyttöön, kohdennettua tietoisuuskoulutusta voidaan edellyttää (esim. turvallinen tiedostojen jakaminen, uudet tietosuojavaatimukset ja tietojen minimointivaatimukset).”

Tässä tietosuojakoulutuksesta tulee riskiperusteista. Tiiminvetäjäksi ylennetty tukihenkilö voi saada käyttöoikeuksien hyväksyntätehtäviä. Uusi CRM voi tuoda mukanaan vientitoimintoja, integraatioita, säilytyskenttiä ja vaikutuksia rekisteröityjen pyyntöihin. Uusi analytiikkatyökalu voi tuoda seurantaan, profilointiin tai suostumukseen liittyviä vaikutuksia. Uusi palkanlaskentatoimittaja voi tuoda henkilötietojen käsittelijän due diligence -arvioinnin ja rajat ylittävien siirtojen vaatimuksia.

Koulutuksen tulee käynnistyä näistä muutoksista, eikä sitä pidä viivyttää seuraavaan vuosittaiseen kertaukseen.

Yritystason Tietoturvatietoisuus- ja koulutuspolitiikka lisää selkeän suoritusikkunan. Lauseke 6.1.3 toteaa:

”Roolipohjainen koulutus (esim. ylläpitäjät, kehittäjät, ylin johto) on osoitettava ja suoritettava 60 päivän kuluessa roolin osoittamisesta tai järjestelmäoikeuksien korottamisesta.”

Korkean riskin PII-rooleissa monet organisaatiot valitsevat lyhyemmät määräajat, mutta periaate on sama: roolipohjainen koulutus seuraa vastuuta.

Miten REG11 sulkee auditointihavainnon

Tarkastellaan realistista sisäisen auditoinnin havaintoa:

”Asiakastuen henkilöstöllä on pääsy asiakkaiden PII:hin ja he voivat vastaanottaa rekisteröidyn tarkastuspyyntöjä, mutta tukihenkilöiden tai tiiminvetäjien roolipohjaisesta tietosuojakoulutuksesta ei ole näyttöä.”

Clarysecin toteutustiimi sulkisi havainnon viidessä vaiheessa.

Ensiksi tietosuojan vastuuhenkilö luo REG11:een koulutuskohderyhmän nimeltä ”Customer Support PII Handlers”. Todentavan näytön omistaja on tukitoimintojen päällikkö. Koulutustyyppi on ”roolipohjainen tietosuojakoulutus”. Suorituksen määräaika on 30 päivää. Linkitettyihin vastuisiin sisältyvät henkilöllisyyden varmistaminen, tikettien minimointi, turvalliset liitteet, DSAR-pyyntöjen tunnistaminen ja epäillyn tietoturvaloukkauksen eskalointi.

Toiseksi tietosuojan vastuuhenkilö kartoittaa sisällön politiikkavaatimuksiin, mukaan lukien Tietosuojakoulutus-, tietoisuus- ja osaamispolitiikan lauseke 4.3.1 sekä yritystason Tietoturvatietoisuus- ja koulutuspolitiikan lauseke 6.1.3.

Kolmanneksi koulutuksessa käytetään skenaariopohjaista testausta:

Neljänneksi suoritus kirjataan REG11:een: oppija, rooli, moduuli, suorituksen aikaleima, tietotestin tai skenaarion pisteet, kuittaus, myöhässä oleva tila, kertauspäivä ja todentavan näytön omistaja.

Tietosuojakoulutus-, tietoisuus- ja osaamispolitiikan lauseke 4.4.1 edellyttää:

”[Kaikki] Tietosuojan vastuuhenkilön / PIMS-päällikön TULEE ylläpitää REG11:ssä kunkin vaaditun tietosuojakoulutustoimen koulutuksen osoittamista, suorittamista, myöhästymistä, kuittausta ja kertauskoulutusta koskevaa todentavaa näyttöä.”

Viidenneksi auditointihavainto suljetaan todentavalla näytöllä: REG11-vienti, koulutusmateriaali, osallistumistiedot, tietotestin tulokset, tukimenettelyn päivitys ja sisäinen eskalointipolku.

Olennaista ei ole se, että tuki sai diasarjan. Olennaista on, että roolikohtainen osaaminen osoitettiin, testattiin, todennettiin ja yhdistettiin PIMS-velvoitteisiin.

Vaatimustenmukaisuuden yhteishyöty: GDPR, NIS2, DORA, NIST ja COBIT

Roolipohjainen tietosuojakoulutus ei ole vain ISO/IEC 27701:2025 -kysymys. Se on useita viitekehyksiä tukeva vaatimustenmukaisuuskontrolli.

GDPR määrittää tietosuojasisällön. Article 5(2) edellyttää osoitusvelvollisuutta. Article 32 edellyttää asianmukaisia teknisiä ja organisatorisia toimenpiteitä käsittelyn turvallisuuden varmistamiseksi. Article 39(1)(b) liittää myös tietoisuuden lisäämisen ja henkilöstön koulutuksen tietosuojavastaavan seurantatehtävään silloin, kun tietosuojavastaava on nimetty.

Yritystason Tietoturvatietoisuus- ja koulutuspolitiikka tunnistaa tämän lausekkeessa 11.4.1:

”Article 32 – käsittelyn turvallisuus: Edellyttää, että henkilötietoja käsittelevä henkilöstö koulutetaan tunnistamaan, ehkäisemään ja ilmoittamaan henkilötietoihin kohdistuvista riskeistä. Tämä politiikka varmistaa, että tietojen käsittelijät ja kaikki olennaiset roolit koulutetaan vastaavasti.”

NIS2 lisää kyberhäiriönsietokyvyn. Article 20 edellyttää, että keskeisten ja tärkeiden toimijoiden hallintoelinten jäsenet osallistuvat kyberturvallisuuskoulutukseen, ja kannustaa työntekijöiden säännölliseen koulutukseen. Article 21(2)(i) sisältää perustason kyberhygieniakäytännöt ja kyberturvallisuuskoulutuksen riskienhallintatoimenpiteisiin.

DORA lisää finanssialakohtaisen täsmällisyyden. Article 13 edellyttää finanssialan toimijoilta digitaalisen häiriönsietokyvyn koulutusohjelmien ylläpitämistä osana henkilöstöpolitiikkaa. Article 5 asettaa myös ICT-riskienhallinnan hallintovelvoitteita hallintoelimelle. Finanssialan toimijoihin DORA soveltuu suoraan 17. tammikuuta 2025 alkaen, ja se toimii alakohtaisena unionin säädöksenä siltä osin kuin se on päällekkäinen NIS2:n TVT-riski- ja poikkeamailmoitusvelvoitteiden kanssa.

NIST CSF 2.0 tarjoaa jäsentävän tason. GOVERN-toiminto edellyttää, että lakisääteiset, sääntelyyn perustuvat, sopimusperusteiset, tietosuojaan liittyvät ja kansalaisvapauksia koskevat velvoitteet ymmärretään ja niitä hallitaan. PROTECT-toiminto sisältää tietoisuuden ja koulutuksen PR.AT-01:n henkilöstötietoisuuden ja PR.AT-02:n erikoistuneen roolikoulutuksen kautta.

COBIT 2019 keskittyy hallintoon ja kyvykkyyteen. APO07 tukee henkilöstöhallintoa, BAI05.07 tukee osaamisen kehittämistä, APO13.01 tukee tietoturvan hallintaa ja DSS06.08 tukee tietosuojan hallintaa. COBIT-näkökulmasta tietosuojakoulutuksen on liityttävä työvoiman kyvykkyyteen, hallintotavoitteisiin, johdon katselmointiin ja korjaaviin toimenpiteisiin.

Zenith Controls kokoaa nämä säikeet yhteen. Se kartoittaa kontrollin 6.3 GDPR:n koulutus- ja tietoisuusodotuksiin, NIS2 Article 21(2)(i):hin, DORA Article 13:een, NIST SP 800-53:n tietoisuus- ja koulutuskontrolleihin sekä COBIT:n osaamis- ja työvoimapolitiikkatavoitteisiin. Se kartoittaa kontrollin 5.2 GDPR:n osoitusvelvollisuuteen ja tietosuojavastaavan tehtäviin, NIS2:n organisatorisiin toimenpiteisiin, DORA:n hallintovastuisiin, NIST:n roolien osoittamiseen ja COBIT:n hallintorakenteisiin. Se kartoittaa kontrollin 5.34 GDPR:n tietoturvaan ja sisäänrakennettuun tietosuojaan, NIS2:n tietoturvapolitiikkoihin, DORA:n tietojen luottamuksellisuuteen, NIST:n tietosuojakontrolleihin ja COBIT:n tietosuojan hallintaan.

Liiketoimintahyöty on tehokkuus. Yksi hallittu koulutusjärjestelmä voi tuottaa näyttöä useille viitekehyksille sen sijaan, että tiimit ylläpitäisivät irrallisia vaatimustenmukaisuusohjelmia.

Ohjelmaa vahvistava ISO-ohjeistus

Roolipohjainen PIMS-koulutus vahvistuu, kun se yhdistetään muuhun ISO-ohjeistukseen.

ISO/IEC 27005:2024 käsittelee inhimillisiin tekijöihin liittyviä riskejä, kuten tietojenkalastelua, sosiaalista manipulointia ja huolimatonta toimintaa, riskilähteinä, jotka edellyttävät käsittelyä. Koulutus on siksi riskien käsittelyä, ei hallinnollinen harjoitus.

ISO/IEC 27035-1:2023 korostaa tietoisuutta poikkeamien hallinnassa. Henkilöstön on tunnistettava ja ilmoitettava poikkeamat, mukaan lukien epäilty PII:n väärinkäyttö tai tahaton luovutus. Tietosuojassa tämä on kriittistä, koska tietoturvaloukkauksen arvioinnin määräajat alkavat usein siitä, kun organisaatio tulee tietoiseksi asiasta.

ISO/IEC 27017 tukee pilvikohtaista roolien selkeyttä. Pilvitiimit tarvitsevat koulutusta jaetusta vastuusta, konfiguraatiosta, käyttöoikeuksien hallinnasta, varmuuskopiointivastuista, lokituksesta, valvonnasta ja eskaloinnista.

ISO/IEC 27018 tukee PII:n suojaamista julkisissa pilviympäristöissä. Pilvipalveluntarjoajien ja asiakkaiden tulee kouluttaa henkilöstöä asiakkaan ohjeista, luvattomasta käytöstä, PII:n palauttamisesta ja poistamisesta sekä tietoturvaloukkauksissa avustamisesta.

ISO/IEC 29100 sisältää tietosuojaperiaatteita, kuten suostumus, rajoittaminen, läpinäkyvyys, minimointi ja osoitusvelvollisuus. Nämä periaatteet auttavat muuttamaan oikeudellisen kielen käytännön toiminnaksi.

ISO/IEC 27014 tukee hallintoon liittyvää delegointia ja päätöksentekoa, mikä on tärkeää, kun ylimmällä johdolla, tietosuojan vastuuhenkilöillä, riskinomistajilla ja järjestelmäomistajilla on erilainen koulutussyvyys.

ISO/IEC 27036-2 tukee toimittajasuhteisiin liittyviä vastuita. Hankinnan ja toimittajaomistajien on saatava tietosuojakoulutusta, koska henkilötietojen käsittelijäsopimukset, alikäsittelijäketjut, auditointioikeudet ja poikkeamalausekkeet vaikuttavat todelliseen riskiin.

Mitä auditoijat tosiasiassa testaavat

Tietosuojakoulutusohjelma on todennettava vain, jos se kestää testauksen.

ISO-suuntautunut auditoija aloittaa soveltamisalasta, rooleista, osaamisesta, tietoisuudesta ja tallenteista. Hän voi ottaa näytteitä uusista työntekijöistä, kehittäjistä, etuoikeutetuista käyttäjistä, HR-henkilöstöstä, tukihenkilöistä, hankinnan omistajista, urakoitsijoista ja poikkeamiin reagoivista henkilöistä.

PIMS-auditoija testaa tietosuojasisältöä. Hän voi kysyä, ymmärtääkö henkilöstö PII:n, DSAR-pyyntöjen tunnistamisen, rekisterinpitäjän ja henkilötietojen käsittelijän velvollisuudet, käsittelyohjeet, tietoturvaloukkausten eskaloinnin ja kielletyt käytännöt.

NIST-suuntautunut arvioija etsii yleistä tietoisuutta, erikoistunutta roolikoulutusta, koulutustallenteita ja seurattuja puutteita. Hän voi verrata nyky- ja tavoiteprofiileja sekä katselmoida toimintasuunnitelmia.

COBIT-auditoija arvioi, tukeeko koulutus hallintotavoitteita ja työvoiman kyvykkyyttä. Hän voi kysyä, katselmoiko johto suoritusasteita, myöhässä olevia koulutuksia, tietojenkalastelusimulaatioiden trendejä, poikkeamien ilmoittamiskäyttäytymistä ja korjaavia toimenpiteitä.

ISACA ITAF -tyylinen auditoija voi keskittyä suorituskykynäyttöön: suoritusasteisiin, tietotestien pisteisiin, haastatteluihin, simulaatiotuloksiin, poikkeamatrendeihin ja johdon toimiin.

Zenith Controls kuvaa tämän auditointinäkökulman kontrollille 6.3. Auditoijat voivat katselmoida opetussuunnitelmia, aikatauluja, materiaaleja, osallistumistietoja, suoritustodistuksia, työntekijähaastatteluja, tietojenkalastelusimulaatioiden tuloksia sekä mittareita, kuten suoritusasteita ja tietotestien pisteitä. Käytännön haastattelutesti on usein ratkaiseva: osaavatko työntekijät selittää, mitä he tekisivät saadessaan epäilyttävän viestin, epäillessään luvatonta pääsyä PII:hin tai vastaanottaessaan tietosuojapyynnön?

Näyttö ei ole pelkkä taulukko. Kyse on siitä, tietävätkö ihmiset, mitä heidän tulee tehdä.

Yleiset PIMS-koulutuksen poikkeamat

Clarysecin toteutuksissa näkyy toistuvia tietosuojakoulutuksen puutteita:

• Koulutusta on olemassa, mutta se on yleistä eikä roolipohjaista.
• PII:n käsittelijöitä ei ole tunnistettu selkeästi.
• Urakoitsijat ja kolmannet osapuolet, joilla on pääsy PII:hin tai järjestelmiin, jätetään pois.
• Kehittäjät saavat turvallisen ohjelmoinnin koulutusta mutta eivät koulutusta sisäänrakennetusta tietosuojasta tai testidatan rajoituksista.
• Tukitiimit koulutetaan palvelun laatuun mutta ei DSAR-pyyntöjen tunnistamiseen tai tahattomaan luovutukseen.
• HR käsittelee arkaluonteisia työntekijätietoja ilman näyttöä roolikohtaisesta tietosuojakoulutuksesta.
• Hankinta neuvottelee toimittajasopimuksia ilman henkilötietojen käsittelijää tai alikäsittelijää koskevaa koulutusta.
• Poikkeamiin reagoivat tuntevat kybereskaloinnin mutta eivät henkilötietojen tietoturvaloukkauksen luokittelua.
• Uudet työntekijät suorittavat tietoturvakoulutuksen, mutta tietosuojakoulutus viivästyy.
• Roolimuutokset ja uudet järjestelmät eivät käynnistä kohdennettua koulutusta.
• Suorituksia seurataan, mutta myöhästymisiä, kuittauksia ja kertauskoulutuksen näyttöä ei ole.
• Johto saa hallintanäkymiä mutta ei ryhdy toimiin puutteiden perusteella.

Tietosuoja- ja yksityisyydensuojapolitiikka tekee odotetun johtamiskurin selväksi. Lauseke 4.7.3 edellyttää organisaatioita:

”Ylläpitämään henkilöstön salassapitosopimuksia ja tietosuojatietoisuuskoulutusta.”

Pk-yrityksille Tietosuoja- ja yksityisyydensuojapolitiikka – pk-yritys on vielä suorempi. Lauseke 4.5.2 toteaa:

”Tietosuojakoulutus on suoritettava”

Lauseke 7.2.2 yhdistää koulutuksen riskien käsittelyyn:

”Koulutusta ja tietoisuutta on käytettävä kontrolleina, joilla vähennetään inhimillisiä virheitä tietojen käsittelyssä”

Tämä on asian ydin. Tietosuojakoulutus on kontrolli, joka on suunniteltu vähentämään riskiä.

Käytännön toteutuksen tarkistuslista

Todennettavan tietosuojakoulutusohjelman ei tarvitse muuttua byrokraattiseksi. Se tarvitsee selkeän toimintamallin, laadukkaan todentavan näytön ja säännöllisen johdon huomion.

Käytä tätä tarkistuslistaa ohjelman rakentamiseen tai parantamiseen:

Zenith Blueprint tukee tätä elinkaarta johtajuuden, soveltamisalan, roolien osoittamisen, osaamisen, viestinnän ja kontrollien toteutuksen kautta. Controls in Action -vaiheen vaiheessa 15, ”Henkilöstöön liittyvät kontrollit I”, se suosittelee vuosittaista koulutusta, roolikohtaisia moduuleja, uusien työntekijöiden perehdytystä, simuloitua tietojenkalastelua, tiedotteita, tiimikohtaisia tietoiskuja, osallistumisnäyttöä sekä koulutuksen ulottamista urakoitsijoihin tai kolmansiin osapuoliin, joilla on pääsy järjestelmiin tai tietoihin.

Politiikkapaketti antaa hallinnon perustason. Tietosuojakohtainen koulutuspolitiikka antaa REG11-näyttötyönkulun. Tietosuojapolitiikat määrittelevät vastuut ja tietoisuusodotukset. Zenith Controls tarjoaa auditointi- ja vaatimustenmukaisuuden vastaavuuskartoituksen.

Yhdessä nämä työkalut auttavat tietoturvajohtajaa, tietosuojan vastuuhenkilöä, tietosuojavastaavaa, vaatimustenmukaisuuspäällikköä tai HR-omistajaa selittämään, miksi yksi koulutusohjelma tukee ISO/IEC 27701:2025:n, GDPR:n, NIS2:n, DORA:n, NIST:n ja COBIT:n odotuksia.

Muuta tietosuojan osoitusvelvollisuus päivittäiseksi toiminnaksi

Jos ISO/IEC 27701:2025- tai GDPR-ohjelmasi nojaa yleiseen vuosittaiseen tietoisuuskoulutukseen, aloita yksinkertaisella testillä. Valitse viisi roolia, jotka käsittelevät PII:tä: HR, asiakastuki, kehittäjät, ylläpitäjät ja hankinta.

Kysy kunkin roolin osalta:

• Mitä PII:tä he käsittelevät?
• Mitä tietosuojapäätöksiä he tekevät?
• Mitkä virheet voisivat luoda GDPR- tai PIMS-riskin?
• Mitä koulutusta he ovat suorittaneet?
• Missä todentava näyttö on?
• Tietäisivätkö he, miten epäilty PII-poikkeama eskaloidaan tänään?
• Onko koulutus päivitetty järjestelmämuutosten, poikkeamien tai auditointihavaintojen jälkeen?

Jos et pysty vastaamaan näihin kysymyksiin dokumentoidun näytön perusteella, koulutusohjelma ei ole vielä todennettava.

Clarysec auttaa organisaatioita siirtymään suoritusprosenteista mitattavaan osaamiseen. Käytä Tietosuojakoulutus-, tietoisuus- ja osaamispolitiikkaa, Tietoturvatietoisuus- ja koulutuspolitiikkaa, Tietoturvatietoisuus- ja koulutuspolitiikkaa – pk-yritys, Tietosuoja- ja yksityisyydensuojapolitiikkaa, Tietosuoja- ja yksityisyydensuojapolitiikkaa – pk-yritys, Zenith Blueprint -tiekarttaa ja Zenith Controls -kokonaisuutta rakentaaksesi auditointivalmiin PIMS-koulutusohjelman, joka muuttaa tietosuojan osoitusvelvollisuuden päivittäiseksi toiminnaksi.

Lataa politiikkapaketti, kartoita roolisi REG11:een ja varaa Clarysec-arviointi osoittaaksesi, että henkilöstösi ei ole vain tietoinen tietosuojasta. He ovat osaavia, vastuullisia ja auditointivalmiita.