Tiedon tunnistaminen ja hallinta
Tiedon tunnistaminen ja oikean käsittelyn periaatteet korkeakoulun toiminnassa
Tietoriskienhallinta on osa kokonaisriskienhallintaa ja toiminnan laadunvarmistusta. Taloudellisesti mielekäs tietoriskienhallinta ei ole mahdollista ilman tiedon luonteen tunnistamista ja oikeaa käsittelyä. Tietojen käsittelyä ohjaavat lainsäädäntö ja sopimukset sekä tiedon omistajan tahto.
Tietoa arvioidaan sen mukaan, miten arvokasta se on korkeakoulun toiminnalle ja millaisen riskin tiedon luvaton käyttö aiheuttaa. Huomioon otetaan
- tiedon luottamuksellisuuteen, eheyteen ja saatavuuteen kohdistuvat vaatimukset sekä
- sen vahingon suuruus, joka voi syntyä, kun jotain näistä vaatimuksista ei kyetä täyttämään.
Tiedon tunnistaminen ja oikean käsittelyn varmistaminen kattavat korkeakoulun kaikki toiminnot, kuten opetuksen, tutkimuksen, palvelu- ja järjestelmähankinnan, projektien hallinnan, henkilöstöhallinnan, työsuhteet, henkilöstökoulutuksen ja kokonaisarkkitehtuurin.
Korkeakoulun toiminnassa tulee tunnistaa, onko tieto avointa, sisäistä, luottamuksellista vai salaista. Kategoriat perustuvat tiedon leviämisen aiheuttamaan riskiin. Tämän lisäksi julkisuuslain tai muun lain mukaisia asiakirjoja käsitellessä tulee ottaa huomioon lain asettamat vaatimukset ja ohjeistukset. Näiden asiakirjojen käsittelyä ohjaa korkeakoulun tiedonohjaussuunnitelma. Tiedon saatavuuden merkitys korkeakoulun toiminnalle asetetuille velvoitteille, esimerkiksi arkistointi, sekä korkeakoulutoiminnan jatkuvuudelle tulee arvioida ja huomioida. Kategoriat suhteessa tiedon aiheuttamaan riskiin:
- Avoin: Tiedon jakamisesta on hyötyä korkeakoululle.
- Sisäinen: Tiedon leviämisestä ei ole hyötyä korkeakoululle.
- Luottamuksellinen: Tiedon leviämisestä aiheutuu vahinkoa korkeakoululle, korkeakoulun asiakkaalle, korkeakoulun opiskelijalle tai korkeakoulun työntekijälle.
- Salainen: Tiedon leviämisestä aiheutuu vakavaa vahinkoa korkeakoululle, korkeakoulun asiakkaalle, korkeakoulun opiskelijalle tai korkeakoulun työntekijälle.
Korkeakoulussa tiedon tunnistamisen ja oikean käsittelyn ohjeistuksesta vastaavat asianhallinnasta vastaava, tietosuojavastaava ja tietoturvapäällikkö.
Tehtävä ohjeistus sisällytetään osaksi olemassa olevaa toimintaohjeistusta ja koulutusta.