"Out of sight, out of mind" Oletteko kuulleet tämän sanonnan?
Minusta se sopii hyvin myös tietosuojaan ja kyberturvallisuuteen.
Kyberturvallisuus yhdistetään usein IT-osastoon ja tietosuoja ehkä tietosuojavastaavaan tai sitten ei oikein tiedetä, kuka asiasta todellisuudessa vastaa. Joskus vastuut ovat selkeitä, joskus vähemmän selkeitä. Eikä muu organisaatio välttämättä aina tiedä mitä tehdään tai mikä sen oma rooli on.
Siksi uskon että tärkeä ensimmäinen askel on tehdä työ näkyväksi. Pelkkä IT:n tai tietosuojasta vastaavan henkilön työ ei kuitenkaan riitä. Myös johdon on osoitettava, että kyse on tärkeistä asioista ja annettava niille tilaa osana liiketoimintaa.
Se voi tarkoittaa hyvinkin konkreettisia asioita:
- Nostetaan ajankohtaisia kyberuhkia ja tietoturvakysymyksiä esille yhteisissä kokouksissa
- Pyydetään IT:tä jakamaan viikoittain yksi konkreettinen tietoturvavinkki, josta työntekijät voivat aidosti hyötyä omassa työssään
- Teettekö säännöllistä GDPR-työtä? Hienoa! Kertokaa, mitä on työn alla ja jakakaa vuosikello myös muun organisaation nähtäväksi.
- Hyödyntäkää todellisia tapauksia, joissa yritys on saanut viranomaiselta seuraamuksia tietosuojapuutteista. Keskustelkaa siitä, miksi seuraamukset määrättiin ja mitä tilanteesta voidaan oppia.
- Keskustelkaa oman toiminnan riskeistä. Ei pelkästään siitä, mitä voi tapahtua, vaan myös seurauksista sekä niistä toimintatavoista ja toimenpiteistä, joilla ongelmia voidaan ehkäistä.
Ennen kaikkea johdon on näytettävä omilla päätöksillään ja priorisoinneillaan, että tietosuoja ja kyberturvallisuus ovat osa liiketoimintaa, eivät vain IT:n tai tietosuojavastaavan vastuulle kuuluvia asioita.
Minulle kyse on ymmärryksen rakentamisesta: miksi nämä asiat ovat tärkeitä, kuka vastaa mistäkin ja miten jokainen voi omalla toiminnallaan vaikuttaa niiden toteutumiseen. On vaikea rakentaa kulttuuria sellaisen asian ympärille, josta ei puhuta.
Det är svårt att skapa en kultur kring något som man inte pratar om.