Miksi vuosittainen tietosuoja- ja tietoturvakoulutus ei enää riitä?

Monessa työpaikassa kalenteriin ilmestyy kerran vuodessa se tietty merkintä: tietosuoja- ja tietoturvakoulutus. Siihen osallistutaan kiltisti, ehkä kuitataan muutama monivalintakysymys, ja sitten huokaistaan helpotuksesta.

"Noniin, se on hoidettu tältä vuodelta."

Ajatus on hyvä ja tarkoitettu hyvään. Haluamme varmistaa, että velvoitteet on täytetty ja henkilöstö on kartalla. Mutta käsi sydämellä: muistatko sinä, mitä viime vuoden koulutuksessa sanottiin kolmannen kalvon kohdalla?

Maailma, jossa tuo "kerran vuodessa" -malli syntyi, on jäänyt kauas taakse.

Uhat eivät odota ensi vuoden koulutusta

Työmme muuttuu vauhdilla. Uusia sovelluksia otetaan käyttöön vähän väliä, tiimiin tulee uusia kasvoja ja työtavat elävät jatkuvasti. Samalla ovenavauksella sisään hiipivät myös uudet uhat.

Tietoturvahuijaukset eivät ole enää niitä kömpelöitä roskaposteja, jotka tunnisti ensi silmäyksellä. Nykyään huijaukset näyttävät tekoälyn ansiosta pelottavan aidoilta. Ne iskevät juuri sinne, missä olemme haavoittuvimmillamme: kiireeseen ja inhimilliseen luottamukseen.

Yksikin huonosti nukuttu yö tai kiireinen maanantaiaamu voi johtaa siihen, että sormi klikkaa linkkiä ennen kuin aivot ehtivät mukaan.

Tietoturva ei olekaan enää vain tekninen palomuuri toimiston kellarissa. Se on se pieni hetki ja päätös, jonka teet jokaisen sähköpostin kohdalla.

Osaaminen on tuoretuote – se happanee yllättävän nopeasti

Jos käyt kuntosalilla kerran vuodessa tammikuussa, oletko hyvässä kunnossa vielä lokakuussa? Tuskin.

Sama pätee tietosuoja- ja tietoturvaosaamiseen.

Kun koulutuksesta on kulunut puoli vuotta, keskeiset opit haalistuvat ja uudet huijaustavat ehtivät ajaa ohi. Vuosi on pitkä aika maailmassa, jossa digitaaliset palvelut ja rikollisten keinot kehittyvät jatkuvasti.

Siksi kertaluonteinen koulutus ei yksin riitä ylläpitämään osaamista. Hyvin toteutettu vuosittainen koulutus on silti tärkeä perusta. Haaste syntyy silloin, jos siihen jäädään eikä osaamista ylläpidetä vuoden aikana.

Uudet työntekijät ja muuttuva arki

Organisaatiot eivät ole koskaan täysin valmiita.

Uusia työntekijöitä aloittaa, roolit muuttuvat ja ihmiset siirtyvät uusiin tehtäviin. Jokainen muutos tuo mukanaan uusia tilanteita, joissa käsitellään tietoja ja käytetään järjestelmiä.

Jos osaamisen ylläpito perustuu vain yhteen vuosittaiseen koulutukseen, arjen todellisuus jää helposti sen ulkopuolelle.

Jos uusi työntekijä aloittaa toukokuussa, onko turvallista odottaa seuraavan vuoden tammikuuhun, että hän saa koulutuksen?

Osaamisen pitäisi kulkea arjen mukana, ei tulla viiveellä perässä.

Myös lainsäädäntö korostaa jatkuvaa osaamista

Yleinen tietosuoja-asetus (GDPR) toi mukanaan periaatteen, joka tunnetaan nimellä osoitusvelvollisuus.

Organisaation ei riitä sanoa, että tietosuoja on huomioitu. Sen pitää pystyä myös osoittamaan, miten se toteutuu käytännössä.

Tämä koskee myös henkilöstön osaamista.

Jos organisaatio ei tiedä, miten hyvin henkilöstö tunnistaa esimerkiksi tietojenkalastelun tai osaa toimia henkilötietojen käsittelytilanteissa, on vaikea arvioida, miten hyvin tietosuoja ja tietoturva toteutuvat arjessa.

Tietosuoja ja tietoturva ovat jatkuvaa tekemistä

Tietosuoja ja tietoturva eivät ole projekteja, jotka “saadaan valmiiksi”. Ne ovat osa meidän normaalia ammattitaitoamme, aivan kuten hyvä asiakaspalvelu tai huolellinen raportointi.

Parhaiten asiat jäävät mieleen pienissä annoksissa. Lyhyet muistutukset, tuoreet esimerkit ja säännöllinen tietosuoja- ja tietoturvalihasten treenaaminen pitävät mielen valppaana paljon tehokkaammin kuin kerran vuodessa nautittu tietotulva.

Kun turvallisesta toiminnasta tulee osa organisaation luonnollista kulttuuria, se ei tunnu enää erilliseltä vaatimukselta.

Siitä tulee selkäranka, joka suojaa meitä kaikkia. Hyvä vuosittainen koulutus luo perustan. Sen päälle rakennettu jatkuva osaamisen ylläpito varmistaa, että asiat myös pysyvät mielessä.