Organisaation hyvä tietoturvan sääntelyjärjestelmä

Abstract

Tietoturvallisuuden merkitys on kasvanut teknologian kehittymisen, digitalisoitumisen ja globalisaation myötä. Kybertoimintaympäristöömme kohdistuu uhkia, joilla on merkittäviä vaikutuksia organisaatioiden toimintaan, yhteiskunnan toimivuuteen ja yksilöiden oikeuksiin. Nykyisessä, järjestelmäriippuvaisessa verkkoyhteiskunnassa tulee olla sellainen organisaatioiden tietoturvan sääntelyjärjestelmä, joka suojaa tehokkaasti yksilöiden henkilötietoja ja muita oikeuksia sekä organisaatioiden luottamuksellisia tietoja ja jatkuvuutta. Tässä tutkimuksessa muodostetaan ja määritellään voimassa olevan lainsäädännön nojalla organisaatioiden hyvä tietoturvan sääntelyjärjestelmä. Tutkimuksessa kootaan yhteen ja systematisoidaan lukuisat organisaatioiden tietoturvaa koskevat säännökset, joita arvioidaan organisaatioiden hyviä tietoturvakäytänteitä ja käytännesääntöjä vasten. Näin tutkimuksessa esitetään lainsäädännön hyvän tietoturvatavan muodostama kokonaisuus. Tutkimustehtävän toteuttaminen edellyttää nykyisen tietoturvan sääntelyjärjestelmän sisällön ja tehokkuuden sekä yleisen tietoturvalain säätämistarpeen arviointia. Tutkimuksessa esitetään kaksi tutkimuskysymystä: 1) onko nykyinen organisaatioiden tietoturvan sääntelyjärjestelmä hyvä ja 2) onko Suomessa tarpeen kansallinen tietoturvalaki? Tässä oikeusdogmaattisessa tutkimuksessa on myös ongelmakeskeisen lainopin ja de lege ferenda -tutkimuksen piirteitä. Tutkimus on sekä säännöstutkimusta että lainsäädäntötukimusta.

Tutkimuksessa tunnistetaan elementtejä organisaatioiden hyvälle tietoturvan sääntelyjärjestelmälle, joita käytetään kriteereinä tutkimuskysymyksiin vastatessa. Näitä ovat: teknologianeutraalisuus, proaktiivisuus, hyvien käytänteiden huomioiminen, kohtuullisuus ja oikeudenmukaisuus, tavoitettavuus ja ymmärrettävyys, johdonmukaisuus ja yhtenäisyys sekä yksilöiden ja perusoikeuksien huomioiminen. Tutkimuksen eräs havainto on se, että nykyinen organisaatioiden tietoturvan sääntelyjärjestelmä ei ole hyvä näiden kriteerien valossa. Hajanainen sääntely johtaa epäjohdonmukaiseen ja epäyhtenäiseen sääntelyyn sekä vaikeuttaa tietoturvasäännöksien tavoitettavuutta ja ymmärrettävyyttä. Organisaatioita koskevien tietoturvasäännöksien ja hyvien tietoturvakäytänteiden välillä on myös eroavaisuuksia. Tutkimuksen perusteella kansallinen tietoturvalaki on tarpeen, sillä tällöin tietoturvan sääntelyjärjestelmä suojaa paremmin organisaatioiden luottamuksellisia tietoja, yksilöiden oikeuksia sekä toimii proaktiivisemmin alati muuttuvassa yhteiskunnassamme.

The importance of information security has increased with technological development, digitalization and globalization. Our cyber environment is subject to threats that have significant impacts on the operations of organizations, the functioning of society and the rights of individuals. In today’s system-dependent network society, there must be a regulatory system for information security in organizations that effectively protects individuals’ personal data among other rights, as well as organizations’ confidential information and continuity. This study forms and defines a good information security regulatory system for organizations that are based on effectual legislation. This study aggregates and systematizes numerous information security provisions for organizations that are evaluated against organizations’ good information security practices and codes of conduct. This is how the study presents a big picture of legislative good information security practices. The implementation of the research task requires for an assessment of the content and effectiveness of current information security regulatory system, as well as the need of national information security law. The study presents two research questions: 1) is current organizations’ information security regulatory system good and 2) is national information security law necessary in Finland? This legal study combines problem-centered legal doctrine and de lege ferenda -study.

This study identifies elements for organizations’ good information security regulatory system, which are used as criteria when answering research questions. These elements are: technology neutrality, proactivity, taking good practices into account, moderateness and fairness, accessibility and understandability, consistency and unity; as well as taking individuals and fundamental rights into account. One finding of the study is that current organizations’ information security regulatory system is not good in the light of these criteria. Fragmented regulation leads to inconsistent, heterogeneous regulation and makes information security regulation’s accessibility and understandability more difficult. There are also differences between information security provisions that apply to organizations and good information security practices. According to the study, national information security law is needed because then information security regulatory system will better protect organizations’ confidential information, the rights of individuals and acts more proactively in our constantly changing society.