Mitä henkilötietojen tietoturvaloukkaukset ovat ja miten tekoäly vaikuttaa niihin 

 

Henkilötietojen tietoturvaloukkauksella tarkoitetaan tietoturvaloukkausta, jonka seurauksena on siirrettyjen, tallennettujen tai muuten käsiteltyjen henkilötietojen vahingossa tapahtuva tai lainvastainen tuhoaminen, häviäminen, muuttaminen, luvaton luovuttaminen taikka pääsy tietoihin. Tietoturvaloukkaukset jaetaan usein kolmeen loukkauskategoriaan: luottamuksellisuus, jossa tietoihin pääsee käsiksi luvaton henkilö; eheys, jossa tiedot muuttuvat virheellisesti; sekä saatavuus, jossa tiedot menetetään tai ne eivät ole saatavilla silloin, kun niitä tarvitaan. 

Jokainen tietoturvaloukkaus ei ole henkilötietojen tietoturvaloukkaus. Myös sellainen loukkaus, joka ei täytä GDPR:n määritelmää, voi edellyttää toimenpiteitä muun sääntelyn perusteella. Tällaisia sääntelykehikkoja voivat olla NIS2-direktiivi, DORA-asetus, kyberresilienssisäädös (CRA), EU:n tekoälyasetus tai muu sovellettava sääntely. Organisaatioiden on arvioitava loukkauksia riittävän laajasti eikä olettaa, ettei tilanteessa vaadita toimia. 

Rekisterinpitäjän on ilmoitettava loukkauksesta tietosuojan valvontaviranomaiselle 72 tunnin kuluessa siitä, kun se on tullut tietoiseksi loukkauksesta, jos henkilötietojen tietoturvaloukkaus aiheuttaa riskin rekisteröidyille. Jos riski on korkea, myös rekisteröidyille on ilmoitettava asiasta ilman aiheetonta viivytystä. Jokainen loukkaus on dokumentoitava, tutkittava ja käsiteltävä. 

Tekoäly ei muuta näitä perussääntöjä, mutta se tekee tietoturvaloukkauksista yleisempiä, vaikeampia havaita ja monimutkaisempia selvittää. Hyökkääjät voivat hyödyntää tekoälyä arvokkaiden tietojen tunnistamiseen, verkkohyökkäysten automatisointiin, mukautuvien haittaohjelmien kehittämiseen, entistä uskottavampien tietojenkalasteluviestien luomiseen tai todennäköisten salasanojen ennustamiseen. Myös deepfake-sisällöt voivat saada kollegan tai johdon lähettämiltä näyttävät viestit aiempaa uskottavammiksi. 

Inhimilliset virheet ovat edelleen keskeisessä roolissa. Työntekijät voivat käyttää hyväksymättömiä tekoälypalveluita eli varjotekoälyä ja syöttää niihin arkaluonteisia tai luottamuksellisia tietoja ymmärtämättä, miten tietoja säilytetään tai käytetään. AI-avusteinen koodaus ja työkalujen nopea luominen voivat ohittaa tavanomaiset tietoturva- ja vaatimustenmukaisuusarvioinnit. Tekoälyjärjestelmät voivat myös sekoittaa eri käyttäjien, tiedostojen tai projektien tietoja ja hyväksyttyjäkin työkaluja voidaan käyttää riskialttiilla tavalla. 

 

Käytännön toimenpiteitä henkilötietojen tietoturvaloukkausten hallintaan 

 

Hyvä uutinen on, että organisaatioiden ei tarvitse rakentaa koko tietosuojaohjelmaansa uudelleen. Tekoäly lisää riskejä, mutta tutut periaatteet pätevät edelleen: tietojen minimointi, turvallisuus ja luottamuksellisuus, sisäänrakennettu ja oletusarvoinen tietosuoja, osoitusvelvollisuus sekä toimiva tietoturvaloukkausten hallintaprosessi. 

Jokaisella organisaatiolla tulee olla dokumentoitu tietoturvapoikkeamien hallintaprosessi, jossa roolit ja vastuut on määritelty selkeästi. Prosessin tulee kuvata, miten poikkeamat havaitaan ja ilmoitetaan, miten ne pysäytetään ja tutkitaan, miten vaikutuksia rajoitetaan sekä miten viestintä ja seuranta toteutetaan. Prosessin tulee sisältää myös GDPR-arviointi, jossa kysytään: 

• Ovatko henkilötiedot vaarantuneet? 

• Onko poikkeama GDPR:n määrittelemä henkilötietojen tietoturvaloukkaus? 

• Mitä riskejä rekisteröidyille aiheutuu? 

• Onko ilmoitus tehtävä tietosuojavaltuutetulle? 

• Onko rekisteröidyille ilmoitettava asiasta? 
• Miten poikkeama ja organisaation päätökset dokumentoidaan? 

Jokainen henkilötietojen tietoturvaloukkaus on tietoturvapoikkeama, mutta jokainen tietoturvapoikkeama ei ole henkilötietojen tietoturvaloukkaus. Kun nämä kysymykset sisällytetään osaksi tietoturvapoikkeamien hallintaprosessia, voidaan välttää aukkoja tietoturvan, tietosuojan, juridiikan ja operatiivisen toiminnan välillä. 

Valmistautumisen täytyy tapahtua ennen tietoturvaloukkausta. Henkilöstön on tiedettävä, kuka raportoi, tutkii, arvioi, viestii ja tekee päätökset poikkeamatilanteessa. Kirjallisten ohjeiden tulisi tarjota käytännön tukea myös silloin, kun tilanne on kiireellinen. Henkilöstö tarvitsee myös koulutusta, jotta se osaa tunnistaa ja ilmoittaa poikkeamista, käyttää tekoälyä vastuullisesti sekä suhtautua kriittisesti epäilyttävään tai epäluotettavaan tekoälysisältöön. Prosesseja tulee testata ja kehittää aiemmista tapahtumista saatujen oppien perusteella. 

Organisaatioiden tulisi myös tarjota hyväksyttyjä tekoälytyökaluja ja selkeät pelisäännöt niiden käytölle. Henkilötietoja tai luottamuksellista tietoa ei tulisi tarpeettomasti syöttää suojaamattomiin tekoälyjärjestelmiin. Käyttöoikeuksien hallinta, ihmisen suorittama valvonta, tietoturva-arvioinnit ja tietojen minimointi vähentävät riskiä merkittävästi. 

 

Miten Privaon voi auttaa 

 

Privaon auttaa organisaatioita viemään nämä periaatteet ja vaatimukset käytäntöön: 

• Tietosuojan vaikutustenarviointi (DPIA): Tunnista tietosuojariskit ennen uuden tekoälyratkaisun käyttöönottoa sekä arvioi, millaisia suojatoimia tarvitaan. 

• Koulutukset ja e-Learning: Auttavat henkilöstöä tunnistamaan uhkia, ymmärtämään omat vastuunsa ja käyttämään tekoälytyökaluja turvallisesti. Koulutuksissa voidaan käsitellään useita aiheita, kuten varjotekoälyä, henkilötietojen tarpeetonta jakamista ja liiallista luottamista tekoälyn tuottamaan sisältöön. 

• Tietosuojan ja tekoälyn jatkuvat palvelut: Organisaatioille, jotka haluavat jatkuvaa tukea, Privaonin Tietosuojavastaava palveluna, tietosuojan tukipalvelu ja tekoälyn tukipalvelu tarjoavat käytännönläheistä asiantuntemusta silloin kun sitä tarvitaan. Tuki voi auttaa organisaatioita kehittämään hallintamallia, arvioimaan uusia teknologioita, laatimaan loukkausten käsittelyyn liittyviä toimintatapoja, valmistautumaan tietoturvaloukkaustilanteisiin ja reagoimaan tehokkaasti loukkauksen sattuessa.