Monessa organisaatiossa tietosuoja- ja tietoturvavuosi rullaa tuttua rataa: pidetään koulutus, kuitataan se tehdyksi tai kuunnellaan asiantuntijan esitys. Kun viimeinenkin nimi on listassa, todetaan, että “tämä on hoidettu.”
Mutta yksi kysymys jää usein esittämättä.
Mistä tiedämme, että henkilöstö oikeasti osaa toimia arjen tilanteissa?
- Tunnistaako työntekijä tietojenkalastelun?
- Ymmärtääkö hän, milloin henkilötietoja saa luovuttaa?
- Tietääkö hän, mitä tehdä, jos huomaa tietoturvapoikkeaman?
Koulutus on tärkeä lähtökohta, mutta osaamisen varmistaminen vaatii enemmän.
Arjen tilanteet ratkaisevat
Paperilla kaikki näyttää usein hyvältä. Meillä on ohjeet, prosessit ja kuitatut kurssit. Mutta tietosuoja ja tietoturva eivät tapahdu pölyisissä kansioissa. Ne tapahtuvat arjen pienissä, välillä huomaamattomissa hetkissä.
- Se on se sekunti, kun työntekijä saa sähköpostin, joka näyttää tulevan kiireiseltä kollegalta, mutta jokin siinä tuntuu hieman oudolta.
- Se on se puhelu, jossa ystävällinen ääni pyytää “ihan vain nopeasti” tarkistamaan yhden asiakkaan tiedot.
- Se on se hetki, kun huomaat järjestelmässä jotain outoa, mutta et haluaisi olla se henkilö, joka tekee turhan hälytyksen.
Näissä hetkissä ei ratkaise se, mitä kalvosarjassa luki puoli vuotta sitten. Ratkaisevaa on se, mitä työntekijä tekee juuri nyt.
Osallistuminen ei ole sama asia kuin osaaminen
Meidän on uskallettava sanoa tämä ääneen: pelkkä koulutuksen läpikäynti ei vielä kerro osaamisen tasosta.
Ilman jonkinlaista todellista arviointia organisaatio purjehtii helposti oletusten varassa.
Todellisuudessa jokaisessa organisaatiossa osaaminen jakautuu epätasaisesti. Yksi tunnistaa huijausviestit välittömästi. Toinen saattaa epäröidä, mutta klikata silti. Kolmas ei ehkä huomaa mitään erikoista ennen kuin on liian myöhäistä.
Ilman arviointia, esimerkiksi pientä testiä tai interaktiivista harjoitusta, meillä on vain pelkkä oletus siitä, että asiat ovat kunnossa.
Myös lainsäädäntö korostaa osaamisen osoittamista
GDPR eli yleinen tietosuoja-asetus toi mukanaan periaatteen nimeltä osoitusvelvollisuus. Se kuulostaa helposti juridiselta ja etäiseltä periaatteelta. Mutta kun lakikielen riisuu pois, kysymys on yksinkertainen:
Pystyttekö osoittamaan, että organisaatiossanne tiedetään, mitä tehdään?
Jos ette tiedä, miten henkilöstö toimisi esimerkiksi tietovuototilanteessa, on vaikea väittää, että riskit ovat hallinnassa. Osaamisen näkyväksi tekemisen tarkoitus ei ole valvoa yksilöitä, vaan vahvistaa organisaation turvaverkkoa.
Osaamisen näkyväksi tekeminen auttaa myös organisaatiota
Kun osaamista tarkastellaan säännöllisesti, organisaatio saa arvokasta tietoa: missä henkilöstö on vahvaa ja missä tarvitaan lisää tukea. Usein huomataan, että suurin osa asioista on hyvin hallussa, mutta tietyt tilanteet aiheuttavat epävarmuutta. Juuri niihin tilanteisiin kannattaa keskittyä.
Testit, käytännön harjoitukset ja osaamiskartoitukset tekevät tietosuoja- ja tietoturvatyöstä suunnitelmallisempaa. Raportointi tukee osoitusvelvollisuuden toteuttamista ja auttaa kehittämään toimintaa tiedon, ei oletusten, varassa.
Navisecissa osaamisen arviointi, koulutukset ja raportointi yhdistyvät osaksi organisaation jatkuvaa tietosuoja- ja tietoturvatyötä.