Säännösten noudattaminen: kilpailuetu vai riskitekijä?

Tietoturva, GDPR ja tietosuoja. Nämä ovat termejä, joita käytetään toistuvasti sekä tiedotusvälineissä että liike-elämässä. Mutta mitä ne tarkoittavat? Ja miten organisaationa voitte varmistaa, että esimerkiksi GDPR:ään liittyvä toimintatapanne muuttuu kilpailueduksi riskitekijän sijaan?

TL;DRGDPR-asetuksen ja tietosuojavaatimusten noudattaminen, jota pidetään usein rasitteena, voi muuttua todelliseksi kilpailueduksi, kun sitä pidetään laadun osoituksena toimittajien ja yhteistyökumppaneiden valinnassa. Acubizin mukaan organisaatiot, jotka käyttävät sertifioituja ja vaatimustenmukaisia SaaS-ratkaisuja, voivat laajentua uusille markkinoille nopeammin ja saada asiakkaita, jotka pitävät tietoturvaa hankintakriteerinä.

Aloitetaan selittämällä, mitä nämä termit tarkoittavat. Arkikielessä yleistä termiä ”compliance” käytetään tyypillisesti paljon, kun puhutaan tiedoista – tai tietoturvasäännöistä ja -toimenpiteistä. Säännöt, joiden tiedämme olevan olemassa tietystä syystä, mutta joissakin tapauksissa emme todellakaan tiedä miksi. Compliance on itse asiassa varsin hyvä termi tässä mielessä, ja sen voi ilmaista myös esimerkiksi sanoilla ”täysin voimassa olevien sääntöjen mukaisesti”.

Viime vuonna sääntöjen noudattaminen oli kaikkien huulilla. Ja aivan kuten vuosituhannen vaihteen aikoina käydyissä IT-turvallisuutta koskevissa kiistoissa, monet epäilivät, aiheuttaisiko yleinen tietosuoja-asetus (GDPR) raskaan taakan yritysmaailmalle ja johtaisiko se järjestelmien kaatumiseen 25. toukokuuta 2018 jälkeen, jolloin säännöt tulivat voimaan.

Kuten vuosituhannenvaihdoksen yhteydessä, liike-elämä ei ole romahtanut, mutta meidän on tietysti oltava tietoisia siitä, että uusi todellisuus tuo mukanaan yrityksille entistä suurempia riskejä, jotka liittyvät esimerkiksi puutteisiin tietoturva. Toisaalta useilla aloilla tiukentuneet säännöt sekä sääntöjen noudattamiseen kiinnitetty entistä suurempi huomio ovat luoneet mahdollisuuksia muiden kilpailuetujen luomiseen.

Kilpailuetu

Mutta miten sääntöjen noudattaminen voi olla kilpailuetu? Se voi olla sitä esimerkiksi silloin, kun organisaatiosi valitsee toimittajia ja kumppaneita, jotka täyttävät uudet tai tarkistetut säännöt tai jopa noudattavat tiukempia turvallisuusvaatimuksia kuin mitä lakisääteisesti vaaditaan. Tämä pätee erityisesti silloin, kun hankit pilvipohjaisia / SaaS ratkaisut, jotka täyttävät lainsäädännön vaatimukset uuden IT-todellisuuden osalta.

Esimerkiksi tämä tarkoittaa, että – edellyttäen, että SaaS-palveluntarjoaja on huippukunnossa – voit nopeasti aloittaa toiminnan markkinoilla, joilla kansainvälisten sääntöjen paikallisten tulkintojen noudattaminen voi olla monimutkaista, kuten GDPR:n tapauksessa. Nämä tulkinnat voivat vaihdella huomattavasti maittain. On myös totta, että useimmat yritykset haluavat mieluummin tehdä yhteistyötä toimittajien ja kumppaneiden kanssa, joiden tietoturva on kunnossa. Toisin sanoen, jos pystyt osoittamaan korkean tietoturvatason toimittajiesi ja kumppaneidesi, etenkin tärkeimpien kumppaneidesi, kanssa, on tilanteita, joissa voit hyödyntää tätä seikkaa myyntitilanteissa.

Valitse oikea toimittaja

Kun valitset pilvipohjaisen ohjelmiston toimittajan, on erittäin tärkeää tehdä yhteistyötä sellaisen toimijan kanssa, jolla on tarvittavat resurssit tietojesi suojaamiseen. On selvää, että tietojen luonteen vuoksi jotkut toimialat ja liiketoiminta-alueet ovat kriittisempiä kuin toiset. On kuitenkin erittäin tärkeää, että yrityksesi on täysin suojattu kaikilla aloilla, joilla käytät ulkopuolisia palveluntarjoajia tietojen käsittelyyn.

Siksi on erittäin suositeltavaa, että solmit yksittäiset tietojenkäsittelysopimukset (DPA:t), jotka ovat niiden maiden sovellettavien sääntöjen ja tulkintojen mukaisia, joissa toimit. Useat standardit ja sertifioinnit voivat toimia ohjeina, jos haluat varmistaa, että valitsemasi palveluntarjoaja noudattaa voimassa olevia sääntöjä, lainsäädäntöä ja hyviä IT-käytäntöjä. Huippuluokan SaaS-palveluntarjoajat tarjoavat kuitenkin sinulle mahdollisuuden solmia etukäteen kattava tietojenkäsittelysopimus (DPA). Muista tämä.

Jotkut toimittajat päättävät mennä vielä pidemmälle ja hankkivat itselleen ISAE 3402 Tyypin II sertifioitu. Tämä voi johtua sekä asiakkaiden ja liikekumppaneiden vaatimuksista että siitä, että yritys haluaa viestittää markkinoille korkeaa luotettavuuttaan. Tämä sertifiointi on kansainvälinen standardi IT-palveluntarjoajille, joilta vaaditaan korkeaa turvallisuus- ja valvontatasoa. Tämä on erityisen tärkeää herkissä toimialoissa, kuten pankki- ja rahoitusalalla, televiestinnässä tai julkisella sektorilla. Sertifiointi takaa, että palveluntarjoaja täyttää velvollisuutensa varmistaa ”pilvi”-infrastruktuurin turvallisuus määriteltyjen parametrien mukaisesti – mukaan lukien tietoturva.

Lopuksi suosittelemme, että selvitätte mahdollisten toimittajien tietoturvakäytännöt perusteellisesti mahdollisimman varhaisessa vaiheessa tutkimusprosessianne. Tämä voi säästää teiltä aikaa ja resursseja myöhemmin hankintaprosessissa. Tämä on ehkä itsestään selvä neuvo, mutta siitä huolimatta se on kenties tärkein.

Usein kysyttyjä kysymyksiä

Miten GDPR-vaatimusten noudattaminen voi olla kilpailuetu eikä pelkästään kustannus?

Kun asiakkaat arvioivat toimittajia, säännösten noudattaminen ja tietoturva ovat yhä selkeämpiä arviointikriteerejä. Organisaatiot, jotka pystyvät osoittavansa noudattavansa asianmukaisesti GDPR-asetusta, joilla on tietoturvasertifikaatit ja tiukat tietojenkäsittelyprosessit, pääsevät nopeammin säännellyille markkinoille ja saavat sopimuksia ostajilta, joille säännösten noudattamisen puutteet olisivat esteenä. Säännösten noudattamisesta on tullut myyntivaltti.

Mitä tarkoitetaan sääntöjen noudattamisella SaaS- ja pilvipalveluiden yhteydessä?

Pilvipalveluiden yhteydessä sääntöjen noudattaminen tarkoittaa, että SaaS-palveluntarjoaja toimii täysin sovellettavien tietosuojasäännösten, mukaan lukien GDPR, mukaisesti ja että sen järjestelmät ja prosessit on tarkastettu riippumattomasti. Asiakkaille tämä tarkoittaa, että he voivat käyttää palveluntarjoajan ratkaisua luottavaisin mielin, sillä heidän tietonsa käsitellään lain mukaisesti ja heidän omien velvoitteidensa mukaisesti.

Mitkä ovat GDPR-asetuksen noudattamatta jättämisen riskit pilvipohjaista ohjelmistoa käyttävälle yritykselle?

Säännösten noudattamatta jättäminen altistaa organisaation viranomaisten määräämille sakoille, maineen vahingoittumiselle ja asiakkaiden luottamuksen menettämiselle. Se aiheuttaa myös välillisiä kustannuksia: jos toimittaja tai yhteistyökumppani epäonnistuu vaatimustenmukaisuustarkastuksessa, sopimukset voidaan irtisanoa ja uusien markkinoiden asiakkaiden hankkiminen estyy. Artikkelissa todetaan, että vaikka liike-elämä ei romahtanutkaan GDPR:n tultua voimaan toukokuussa 2018, puutteellisesta tietoturvasta johtuvat riskit ovat todellisia ja kasvavia.

Miten voin arvioida, täyttääkö SaaS-palveluntarjoaja vaatimuksemme?

Pyydä palveluntarjoajalta riippumattomia varmennusraportteja, kuten tietosuojaa koskeva ISAE 3000 -raportti ja IT-valvontamenetelmiä koskeva ISAE 3402 -raportti. Nämä raportit laaditaan riippumattomien tilintarkastajien toimesta, ja niissä vahvistetaan, toimivatko palveluntarjoajan ilmoittamat valvontamenetelmät tosiasiallisesti tehokkaasti. 12 kuukauden ajanjakson kattava virheetön tyypin II -raportti antaa vahvemman varmuuden kuin tyypin I -arviointi, joka koskee tiettyä ajankohtaa.