Opiskelijan tietoturva ja tietosuoja

Tietoturva on useimmiten ne tietotekniset keinot, joilla organisaation toiminnallisten ohjeiden ja menetelmien lisäksi varmistetaan turvallinen toimintaympäristö tietotekniikkaa hyödynnettäessä. Kohteena on tällöin kaikki tietojenkäsittely, säilyttäminen ja siirto, riippumatta siitä tapahtuuko se sähköisessä, puhutussa vai kirjoitetussa muodossa.

Tietoturvallisuustyö on turvallisuuden ylläpitämiseksi sekä saavuttamiseksi tehtävien toimen- piteiden suunnittelua ja toteuttamista. Tällaiseen toimintaan kuuluvat tietojen turvaamisen menetelmät, välineet ja toimenpiteet, työhön osoitetut resurssit sekä välineistö.

Humakin tietoturvallisuutta hoidetaan kansallisten ja kansainvälisten tietoturvaa ja -suojaa koskevien lakien ja säädösten pohjalta noudattaen hyvää hallintotapaa ja valtionhallinnon tietoturvallisuudesta antamia ohjeita ja suosituksia.

Tietoturvaperiaatteet määrittelevät korkeakoulun tietoturvallisuuden tavoitteet, vastuut, velvoitteet sekä toteutuskeinot. Tietoturvallisuus on kiinteä osa koko toiminnan varmistamista sekä kehittämistä ja sen tulee olla läsnä henkilökunnan ja opiskelijoiden arjen työssä.

Tietoturvallisuustyön päämäärä on turvata korkeakoulun toiminnalle tärkeiden manuaalisten ja automaattisten tietojenkäsittelyjärjestelmien ja tietoverkkojen keskeytymätön toiminta, estää tietojen ja tietojärjestelmien valtuudeton käyttö, tahaton tai tahallinen tiedon tuhoutuminen tai vääristyminen sekä minimoida tällaisista mahdollisesti aiheutuvat vahingot.

Tietoturvallisuustyössä otetaan huomioon Humakin rakenne verkostoammattikorkeakouluna sekä opetustyön siirtyminen yhä enenevässä määrin digikampukselle, verkkokursseihin ja etätyöskentelyyn.

Tiedot, järjestelmät ja palvelut suojataan lain ja asetusten sekä hallinnollisten, teknisten ja muiden toimenpiteiden avulla. Tavoitteena on, että tietoturva on hyvällä kansallisella ja kansainvälisellä tasolla.

Jokainen korkeakoulun tietoja käsittelevä on omalta osaltaan velvollinen huolehtimaan tietoturvallisuudesta ja noudattamaan Humakin periaatteita, käytänteitä, käyttöehtoja sekä tietoturvaan ja -suojaan liittyviä ohjeita. Jokainen tietoja käsittelevä on ilmoitusvelvollinen havaitessaan tietoturvaan- tai suojaan liittyviä rikkomuksia.

Ennen käyttäjätunnuksen saamista sinun on luettava, ymmärrettävä ja allekirjoitettava Humakin tietojärjestelmien käyttösäännöt. Käyttösääntöjen hyväksyminen tapahtuu Suomi.fi-palvelun kautta. Tämän jälkeen käyttäjätunnuksesi lähetetään opintopolku.fi:ssä ilmoittamaasi sähköpostiosoitteeseen. 

Tietojärjestelmien käyttösäännöt koskevat kaikkia, joilla on Humakin myöntämä käyttäjätunnus ja salasana. Sääntöjen tarkoitus on turvata kaikkien käyttäjien tietojen luottamuksellisuus, eheys ja käytettävyys sekä tarjota luotettava ja turvallinen ympäristö tietojen käsittelyyn. Sääntöjä sovelletaan Humakin hallinnassa tai vastuulla oleviin tietojärjestelmiin. 

Yksityinen käyttö ei saa myöskään olla ristiriidassa annettujen ohjeiden eikä Suomen lain ja säädösten kanssa. Käyttö kaupalliseen ja poliittiseen toimintaan on pääsääntöisesti kielletty. Käyttäjällä on itsellään vastuu tiedostojensa suojaamisesta ja niiden varmuuskopioinnista. Humakin tietohallinto varmuuskopioi tiedostot säännöllisesti, mutta ei ole vastuussa kadonneista tiedostoista. Tietohallinto vastaa haittaohjelmien ja roskapostin torjunnasta, mutta käyttäjän on tehtävä osuutensa eikä hän saa toiminnallaan edistää tietoturvallisuuden vaarantumista. Sääntöjen rikkomista ei ole toistaiseksi sanktioitu muuten kuin Suomen lain osalta.

Tietojenkalastelu (eng. phising) tarkoittaa huijausyrityksiä, joissa pyritään saamaan haltuun henkilön luottamuksellisia tietoja, kuten käyttäjätunnuksia, salasanoja tai maksutietoja. Huijaukset tehdään usein sähköpostien, tekstiviestien tai erilaisten verkkosivujen avulla, jotka on laadittu näyttämään luotettavilta ja virallisilta.

Tietojenkalastelun tarkoituksena on saada vastaanottaja toimimaan huijarin eduksi, esimerkiksi avaamaan linkki, syöttämään tietojaan väärennetylle sivustolle tai lataamaan haitallisen liitetiedoston. Huijauksissa hyödynnetään kiireen tunnetta, pelottelua tai houkuttelevia lupauksia, jotta vastaanottaja ei ehtisi arvioida viestin aitoutta.

Tietojenkalastelu on yksi yleisimmistä tietoturvauhkista, ja se kohdistuu myös opiskelijoihin. Oppilaitosten nimissä voidaan lähettää viestejä, jotka muistuttavat esimerkiksi kirjautumispyyntöjä tai opintoihin liittyviä ilmoituksia. Huolellisuus viestien käsittelyssä ja ohjeiden noudattaminen auttavat ehkäisemään tietojenkalastelun aiheuttamia riskejä.

1. Tunne tietosuojan toteutumisen kannalta keskeiset ohjeet ja toimi niiden mukaisesti. Epäselvissä ja askarruttavissa asioissa on kysyttävä ohjeistus IT-tuelta: support@humak.fi.  Selvitä ja noudata Humakin hyväksyttyjä tietoturvaohjeita. Seuraa tietoturvallisuuteen liittyviä tiedotteita, tutustu ohjeisiin ja osallistu sinulle tarjottuun koulutukseen. Toimi saamiesi ohjeiden mukaisesti. Tietoturva koskee meitä kaikkia! 
2. Lukitse tietokoneesi/ohjelmistot tai kirjaudu niistä ulos aina kun poistut sen läheisyydestä. Pyri käyttämään eri salasanaa eri järjestelmissä. Säilytä salasanat ja muut kirjautumisessa käytettävät tunnisteet huolellisesti. Käytä tietoaineistoja ja työvälineitä vain opintojen/työtehtävien hoitamiseen.
3. Varo paljastamasta luottamuksellisia tietoja sivullisille työpaikalla tai sen ulkopuolella esimerkiksi sosiaalisessa mediassa tai puhelimessa. Tietoja tulee suojata sen kaikissa käsittelyvaiheissa.
4. Älä surffaa arveluttavilla nettisivuilla. Älä avaa outoja sähköpostiviestejä tai niiden liitteitä. Älä luovuta henkilökohtaisia käyttäjätunnuksia ja salasanoja toisen henkilön käyttöön. Vaihda salasana riittävän usein. Muista tietojen elinkaari. 
5. Huolehdi papereiden, muistitikkujen, puhelinten, salasanojen, avainten, kulkunappien ym. asianmukaisesta käsittelystä ja säilyttämisestä.  Älä anna ulkopuolisen käyttää tietokonettasi. Laita samalla tietoturva kuntoon! 
6. Lukitse työasemasi aina kun poistut sen läheltä. Päivän päättyessä kirjaudu tietojärjestelmistä ulos ja sammuta työasemasi. Noudata ns. puhtaan pöydän periaatetta. Älä säilytä työpöydällä salassa pidettävää aineistoa.
7. Hanki kannettavaan tietokoneeseen suojakalvo, joka estää sivulta tapahtuvan salakatselun. Älä jätä laitteita valvomatta näkyville esimerkiksi autoon tai hotelliin. Mikäli siirrät aineistoa ulkoisen muistin avulla, valvo siirtoa aina henkilökohtaisesti. Käytä ulkoisia muistivälineitä ilman salausohjelmaa vain julkisen tiedon kuljettamiseen. 
8. Muista päätelaitteiden turvallinen käyttö. Toimi etenkin Humakin toimipaikkojen ulkopuolella turvallisesti. Varaudu tietojen kyselyyn ja ongelmatilanteisiin etukäteen!
9. Kerro lehtorille, mikäli havaitset tietoturvarikkomuksia. Ilmoita aina tietoturvallisuuteen liittyvistä ongelmatilanteista ja havaitsemistasi uhkista ja suojauspuutteista välittömästi lehtorille ja Humakin IT-tukeen, support@humak.fi. Muista, että tietoturvan ylläpito on jatkuva prosessi!
10. Älä hätäänny tai hölmöile, jos jotain poikkeavaa tapahtuu. Ota rohkeasti yhteyttä Humakin IT-tukeen, support@humak.fi. Paranna hyvällä toiminnalla imagoa – huomioi maineriski!

1. Tunne tietosuojan toteutumisen kannalta keskeiset ohjeet ja toimi niiden mukaisesti. Epäselvissä ja askarruttavissa asioissa on kysyttävä ohjeistus esihenkilöltä. Selvitä ja noudata Humakin hyväksyttyjä tietosuojaohjeita. Seuraa Humakin julkaisemia tietosuojaan liittyviä tiedotteita, tutustu ohjeisiin ja osallistu sinulle tarjottuun koulutukseen. Toimi saamiesi ohjeiden mukaisesti. Tietosuoja koskee meitä kaikkia!
2. Minimoi henkilötietojen käsittely ja rajaa käsittelijöiden piiri mahdollisimman pieneksi. Luokittele käsittelemäsi tieto (julkinen, salainen, arkaluontoinen ym.) ja tunnista riskit. Käytä tietoaineistoja ja työvälineitä opintojen/työtehtäviesi hoitamiseen. Varmista, että henkilötietojen käsittely on oikeutettua ja asianmukaista!
3. Varo paljastamasta luottamuksellisia tietoja sivullisille työpaikalla tai sen ulkopuolella esimerkiksi sosiaalisessa mediassa tai puhelimessa. Säilytä henkilötietoja sisältävä materiaali aina suojatussa tilassa. Tietoja tulee suojata sen kaikissa käsittelyvaiheissa. Huolehdi henkilötietojen oikeasta käsittelystä ja dokumentoinnista!
4. Lähetä henkilötietoja sähköpostitse vain suojattuna ja vain jos vastaanottaja on aidosti tunnistettu. Muista tietojen elinkaari. Tuhoa vanhentuneet ja tarpeettomat tiedot!
5. Säilytä henkilötiedot turvallisesti. Lähetä henkilötietoja sähköpostitse yhteistyötaholle vain salattuna ja vain kun vastaanottaja on luotettu taho. Laita samalla tietosuoja kuntoon!
6. Luovuta arkaluonteisia tietoja vain sellaisten sähköisten palveluiden kautta, jotka vaativat vastaanottajilta vahvan tunnistautumisen. Hävitä tietosuojattava jäte asianmukaisesti. Noudata ns. puhtaan pöydän periaatetta. Älä säilytä työpöydällä salassa pidettävää aineistoa. Kartoita sopimukset ja huolehdi, että niissä on sovittu henkilötiedoista!
7. Tulosta henkilötietoja vain, kun se on perusteltua ja vain tulostimille, jotka ovat suojattuja. Henkilötietoja sisältävät tulosteet on säilytettävä suojatussa tilassa. Huolehdi etätyössä ja matkoilla mobiililaitteiden ja niiden kautta käytettävien salassa pidettävien tietojen suojaamisesta. Mikäli siirrät aineistoa ulkoisen muistin avulla, valvo siirtoa aina henkilökohtaisesti. Käytä ulkoisia muistivälineitä ilman salausohjelmaa vain julkisen tiedon kuljettamiseen. Hanki kannettavaan tietokoneeseen suojakalvo, joka estää sivulta tapahtuvan salakatselun. Huolehdi, että asia otetaan vakavasti!
8. Muista kunnioittaa muiden yksityisyyttä. Henkilötietojen käsittelijä on aina vaitiolovelvollinen käsittelemistään tiedoista. Näin ylläpidät luottamusta.
9. Ilmoita aina tietosuojaan liittyvistä ongelmatilanteista ja havaitsemistasi uhkista ja suojauspuutteista välittömästi lehtorille ja Humakin tietosuojan tukeen, security@humak.fi Muista, että tietosuojan ylläpito on jatkuva prosessi!
10. Älä hätäänny tai hölmöile, jos jotain poikkeavaa tapahtuu. Ota rohkeasti yhteyttä Humakin tietosuojan tukeen, security@humak.fi. Paranna hyvällä toiminnalla imagoa – huomioi maineriski!

Rekisteröidyllä on oikeus tietää, mitä henkilötietoja hänestä käsitellään ja mitä tietoja hänestä on tallennettu. Rekisteröidyllä on myös oikeus pyytää käsittelyn rajoittamista, tietojen oikaisemista tai poistamista tai siirtää tiedot järjestelmästä toiseen.
Rekisteröidyllä on Humakin käyttäjätunnuksilla pääsy omien tietojensa katseluun useissa järjestelmissä. 

Mikäli rekisteröity haluaa muutoin hyödyntää rekisteröidyn oikeuksiaan, tulee asiasta toimittaa tietopyyntö kirjaamoon (kirjaamo@humak.fi). Humak toimittaa tiedot mahdollisimman pian ilman aiheetonta viivytystä viimeistään kuukauden päästä pyynnön vastaanottamisesta.

Mikäli tietopyyntö on monimutkainen ja edellyttää esim. lain tulkintaa, määräaikaa voidaan jatkaa kahdella kuukaudella. Tiedot toimitetaan lähtökohtaisesti maksutta.
Mikäli rekisteröity pyytää useampia jäljennöksiä, niistä peritään hallinnollisiin kustannuksiin perustuva maksu. Mikäli tietopyyntö on ilmeisen perusteeton, kohtuuton tai rekisteröity esittää tietopyyntöjä jatkuvasti, korkeakoulu voi periä tietojen toimittamisesta aiheutuneet hallinnolliset kustannukset tai kieltäytyä kokonaan toimittamasta tietoja. Tällöin korkeakoulu perustelee ratkaisunsa.

Mikäli korkeakoulu ei toimita tietoja tai muutoin toimi rekisteröidyn pyytämällä tavalla, annetaan asiasta rekisteröidylle kirjallinen selvitys. Samassa yhteydessä kerrotaan hänen oikeuksistaan esim. tehdä asiasta valitus valvontaviranomaiselle.

Lataa, täytä, tallenna ja toimita alla oleva asiakirja Humakin kirjaamoon osoitteeseen kirjaamo(at)humak.fi

Rekisteröidyllä voi tietyissä tapauksissa olla oikeus pyytää henkilötietojen käsittelyn rajoittamista siksi aikaa, kunnes tietojen tai sen käsittelyn oikeusperuste on asianmukaisesti tarkistettu, korjattu tai täydennetty.

Henkilötiedon siirtäminen järjestelmästä toiseen tarkoittaa, että rekisteröity saa toimittamansa henkilötiedot jäsennellyssä, yleisesti käytetyssä ja koneellisesti luettavassa muodossa ja hän voi siirtää kyseiset tiedot toiselle rekisterinpitäjälle korkeakoulun sitä estämättä. Tämä oikeus voi koskea vain tilanteita, joissa tietojenkäsittely on automaattista ja perustuu suostumukseen tai sopimukseen.

Rekisteröidyllä on henkilökohtaiseen, erityiseen tilanteeseen perustuen milloin tahansa oikeus vastustaa henkilötietojen käsittelyä silloin, kun käsittelyn oikeusperuste on yleistä etua koskevan tehtävän suorittaminen, julkisen vallan käyttäminen tai korkeakoulun oikeutettu etu. Tässä tapauksessa tietoja voidaan käsitellä edelleen vain, jos käsittelyyn on olemassa huomattavan tärkeä ja perusteltu syy, joka voidaan osoittaa. Rekisteröidyllä on oikeus ilman erityistä perustelua milloin tahansa vastustaa henkilötietojensa käsittelyä suoramarkkinointia varten.

Tilanteissa, joissa rekisteröidyn henkilötietojen käsittely perustuu yksinomaan suostumukseen, rekisteröity voi peruuttaa suostumuksensa. Suostumuksen peruminen ei vaikuta suostumuksen perusteella ennen sen peruuttamista suoritetun käsittelyn lainmukaisuuteen. Suostumuksen peruuttaminen tehdään ensisijaisesti sille taholle, jolle suostumus on annettu. Jos tämä on mahdotonta, voi rekisteröity ottaa yhteyttä rekisterin vastuuhenkilöön.

Rekisteröity voi tehdä valituksen valvontaviranomaiselle, jos katsoo, että hänen henkilötietojensa käsittelyssä rikotaan EU:n yleistä tietosuoja-asetusta (EU, 2016/679). Tämän lisäksi opiskelijalla on oikeus käyttää muita hallinnollisia muutoksenhaku- sekä oikeussuojakeinoja. Opiskelijalla on oikeus myös nostaa kanne rekisterinpitäjän tai henkilötiedon käsittelijän organisaatiota vastaan, mikäli hän katsoo oikeuksiaan loukatun sen vuoksi, ettei henkilötietojen käsittelyssä ole noudatettu tietosuoja-asetusta.

Humakilla on velvollisuus pystyä osoittamaan, että henkilötietoja käsitellään lainmukaisesti ja järjestelmällisesti. Tämä edellyttää selkeitä periaatteita, jotka määrittävät, miten tietosuoja toteutetaan, sekä käytännön ohjeita ja toimintamalleja, joilla varmistetaan niiden noudattaminen arjessa. Periaatteet antavat suunnan ja käytännön ohjeet konkretisoivat nämä periaatteet arjen toimiksi. Yhdessä ne muodostavat kokonaisuuden, jonka avulla voidaan näyttää viranomaisille, että tietosuoja on asianmukaisesti hoidettu.

Rekisterinpitäjän on pystyttävä osoittamaan noudattavansa tietosuojalainsäädäntöä. Osoitusvelvollisuus on keskeinen periaate tietosuoja-asetuksessa. Jos rekisterinpitäjä havaitsee esimerkiksi tietoturvaloukkauksen, rekisterinpitäjä voi osoitusvelvollisuuden avulla näyttää, että se on aktiivisesti pyrkinyt tunnistamaan tietosuojaan liittyviä riskejä ja ottanut käyttöön tarvittavia toimenpiteitä henkilötiedon suojaamiseksi.

Jos rekisterinpitäjä ei pysty osoittamaan noudattavansa tietosuoja-asetuksen velvoitteita, se voi aiheuttaa maineriskin lisäksi hallinnollisia- ja taloudellisia seuraamuksia. Rekisterinpitäjän on toteutettava tarpeelliset tekniset ja organisatoriset toimenpiteet täyttääkseen osoitusvelvollisuuden vaatimukset. Osoitusvelvollisuus tarkoittaa myös dokumentointivelvollisuutta, käytännössä tiettyjen toimenpiteiden tekemistä ja kirjaamista.