Tietoturvaprotokollat: NIST, ISO 27001 ja GDPR selitettynä

Mitä tietoturvaprotokolla tarkoittaa?

Teknisessä merkityksessä protokolla määrittelee, miten järjestelmät viestivät keskenään. Esimerkiksi TLS suojaa verkkoyhteyden kautta siirrettävää tietoa. Tietoturvaohje, hallintajärjestelmä ja tietosuoja-asetus ovat eri asioita kuin tällainen tekninen protokolla.

NISTin, ISO 27001:n ja GDPR:n kutsuminen yhteisesti tietoturvaprotokolliksi hämärtää niiden tarkoitusta. Viitekehys auttaa jäsentämään tavoitteet, standardi määrittelee hallintajärjestelmän vaatimukset ja asetus asettaa oikeudelliset velvoitteet. Yksittäinen salaustekniikka tai tietoturvatuote ei korvaa näitä kokonaisuuksia.

NIST, ISO 27001 ja GDPR: keskeiset erot

NIST CSF ja ISO/IEC 27001 ovat lähtökohtaisesti vapaaehtoisia, vaikka sopimus tai muu sovellettava vaatimus voi edellyttää niiden käyttöä. GDPR on soveltamisalaansa kuuluvalle käsittelylle sitova. Siksi valintaa ei kannata tehdä kysymällä, mikä näistä on paras, vaan mitä organisaation pitää hallita ja osoittaa.

NIST CSF: riskienhallinnan yhteinen runko

NIST on yhdysvaltalainen National Institute of Standards and Technology. Tässä vertailussa NISTillä tarkoitetaan sen Cybersecurity Frameworkia eli CSF:ää, ei kaikkia laitoksen julkaisemia teknisiä ohjeita.

NIST julkaisi CSF 2.0:n 26.2.2024. Viitekehys on tarkoitettu kaiken kokoisille organisaatioille eri toimialoilla. Sen kuusi toimintoa ovat:

• Govern: hallinnointi, vastuut ja riskienhallinnan linjaukset.
• Identify: organisaation, omaisuuden ja riskien tunnistaminen.
• Protect: suojaavien toimien toteuttaminen.
• Detect: mahdollisten hyökkäysten ja poikkeamien havaitseminen.
• Respond: havaittuihin poikkeamiin vastaaminen.
• Recover: toiminnan palauttaminen.

CSF kuvaa tavoiteltavia tuloksia, ei yhtä kaikille määrättyä teknistä toteutusta. Se sopii esimerkiksi johdon ja teknisen henkilöstön yhteiseksi rungoksi: mitä jo tehdään, missä on puutteita ja mitä korjataan seuraavaksi. NIST ei tarjoa CSF:lle omaa yleistä sertifiointia.

ISO 27001: tietoturvan hallintajärjestelmä

Virallinen nimi on ISO/IEC 27001, vaikka lyhyempi ISO 27001 on yleinen. ISO:n standardisivu kuvaa vaatimukset tietoturvan hallintajärjestelmälle eli ISMS:lle. Työ koskee ihmisiä, toimintatapoja ja teknologiaa, ei vain suojausohjelmistojen asentamista.

Organisaatio voi osoittaa vaatimusten täyttämistä ulkopuolisella sertifioinnilla. Standardin soveltaminen ei kuitenkaan tarkoita, että sertifiointi olisi aina pakollista. Sertifikaatti ei myöskään takaa, ettei tietoturvapoikkeamia voi tapahtua.

GDPR: tietoturva on vain osa tietosuojaa

EUR-Lexin GDPR-yhteenveto kuvaa henkilötietojen käsittelyä koskevan EU:n tietosuoja-asetuksen (tiedot tarkistettu 30.9.2026). Suojauksen lisäksi tietosuojaan kuuluvat esimerkiksi käsittelyn lainmukaisuus, käyttötarkoitus, tietojen minimointi, säilytyksen rajoittaminen ja rekisteröityjen oikeudet.

Suojaustoimet on suhteutettava henkilötietojen käsittelyn riskeihin. GDPR ei määrää kaikille organisaatioille yhtä tiettyä tuotetta, salaustapaa tai ISO-sertifikaattia. ISO 27001 -sertifiointi voi tukea tietoturvan osoittamista, mutta se ei yksin todista GDPR:n noudattamista.

Käytännön esimerkki: asiakasrekisterin suojaaminen

Kuvitteellinen palveluyritys tallentaa asiakkaiden yhteystiedot pilvipalveluun. Samaa järjestelmää voidaan tarkastella eri näkökulmista ilman, että jokaiselle kokonaisuudelle rakennetaan erillinen tietoturvatyö.

Esimerkki näyttää myös eron tietoturvan ja tietosuojan välillä: hyvin suojattu rekisteri voi silti sisältää tarpeettomia henkilötietoja. Salaus ei ratkaise sitä, onko tietojen keräämiselle asianmukainen peruste.

Mistä organisaation kannattaa aloittaa?

1. Tunnista tiedot ja palvelut. Kirjaa, missä tärkeä tieto sijaitsee, kuka sitä käyttää ja mitä toimittajia käsittelyyn liittyy.
2. Selvitä velvoitteet ja asiakasvaatimukset. Arvioi henkilötietojen käsittely sekä sopimusten tietoturva- ja sertifiointivaatimukset ennen toteutustavan valintaa.
3. Arvioi olennaiset riskit. Tarkastele käyttöoikeuksia, päivityksiä, varmuuskopioita, poikkeamien havaitsemista ja palautumista.
4. Valitse työtä tukeva rakenne. Hyödynnä CSF:ää tavoitteiden jäsentämiseen tai ISO-standardia hallintajärjestelmän rakentamiseen tarpeen mukaan.
5. Nimeä vastuut ja seuraa toteutusta. Dokumentoi päätökset ja arvioi suojausta uudelleen toiminnan muuttuessa.

Henkilöstöön kohdistuvien riskien tunnistamista tukevat sosiaalisen insinöörihyökkäyksen esimerkit. Ohjelmistokehityksessä konkreettista toteutusta voi jäsentää API-testausstrategioiden avulla; yksittäinen testi ei kuitenkaan korvaa koko riskienhallintaa.

Fyysinen laitesuojaus on eri asia kuin tietojen suojaaminen. Jos työlaite kulkee mukana, läppärikotelon valintaopas auttaa vertaamaan kuljetussuojausta, mutta kotelo ei estä luvatonta pääsyä laitteen tietoihin.

Versiotiedot tarkistettu 30.9.2026: vertailun pohjana ovat NIST CSF 2.0 ja ISO/IEC 27001:2022. Tarkista päivitykset NISTin viitekehyssivulta ja ISO:n standardisivulta ennen uuden hankkeen käynnistämistä.

Yhteenveto ja seuraava askel

• Valitse toimintamalli tarpeen, riskien ja velvoitteiden perusteella, älä pelkän lyhenteen mukaan.
• Pidä sertifioinnin näyttö ja henkilötietojen käsittelyn lainmukaisuus erillisinä arviointikysymyksinä.
• Muuta tavoitteet vastuiksi, toteutetuiksi toimiksi ja seurattavaksi näytöksi.

Kirjaa seuraavaksi organisaation tärkeimmät tiedot, niiden käsittelijät ja suurimmat riskit samaan työlistaan.

Lähteet

• NIST – CSF 2.0:n julkaisu ja toimintojen kuvaus
• NIST – The NIST Cybersecurity Framework (CSF) 2.0
• ISO – ISO/IEC 27001
• EUR-Lex – Yleinen tietosuoja-asetus