Tietoturvapolitiikka

Tässä tietoturvapolitiikassa linjataan Oy Matkahuolto Ab:n (jatkossa ”Matkahuolto”) tietoturvan periaatteet, tavoitteet ja toteutus. Tietoturvapolitiikka määrittelee Matkahuollon liiketoimintaa tukevat tietoturvan perusvaatimukset ja luo pohjan politiikan mukaisen toiminnan suunnittelulle, kehittämiselle ja toteuttamiselle. Tietoturvan vaatimusten ja tavoitteiden toteuttamisen tueksi on lisäksi laadittu tietoturvapolitiikkaa täydentäviä ohjeistuksia tietoturvan eri osa-alueille.

Tietoturva tarkoittaa Matkahuollossa kaiken sen käsittelemän tiedon suojaamista tarvittavilta osin luottamuksellisuuden, eheyden ja käytettävyyden varmistamiseksi. Se pitää sisällään myös tietosuojan toteutumisen edellyttämät tietoturvavaatimukset.

Tietoturvapolitiikka velvoittaa kaikkia Matkahuollon työntekijöitä sekä kumppaneita ja palveluntarjoajia, jotka käsittelevät Matkahuollon tietoja tai järjestelmiä.

Tietoturvatavoitteet

Tietoturvan tavoitteena on ensisijaisesti turvata Matkahuollon toimintojen jatkuvuus kaikissa olosuhteissa. Tietoturvalla suojataan tiedon luottamuksellisuus, eheys ja saatavuus. Matkahuollon tietoturvatavoitteiden lähtökohtina ovat toimintaympäristön ja sidosryhmien odotusten lisäksi lakisääteiset ja liiketoiminnan jatkuvuuden vaatimukset.

Matkahuollon tietoturvatavoitteet ovat:

• Varmistaa liiketoiminnan jatkuvuus.

• Suojata toiminnassa käsiteltävät henkilötiedot.

• Suojata toiminnassa käsiteltävät tiedot luokitteluvaatimusten mukaisesti.

• Varmistaa lainsäädännön velvoitteiden noudattaminen.

• Varmistaa asiakkaiden odotusten ja vaatimusten täyttyminen tietoturvan osalta.

• Sisällyttää tietoturva osaksi toimintakulttuuria.

Tietoturvan toteuttaminen

Henkilötietojen käsittely

Henkilötietojen käsittely määritellään Matkahuollon tietosuojapolitiikassa. Tietosuojasta huolehditaan tiedon kaikissa muodoissa koko sen elinkaaren ajan. Henkilötietoja käsitellään tietosuojavaatimusten mukaisesti ja ne suojataan oikeudettomalta käsittelyltä. Tietoturvavaatimukset Vaadittava tietoturvan taso määritellään riskiarvion pohjalta. Vaatimukset koskevat sekä Matkahuollon omaa toimintaa että Matkahuollon tietoja käsitteleviä kumppaneita. Vaatimustenmukainen tietoturvan taso voidaan tarvittaessa todentaa arviointien ja auditointien avulla.

Riskien arviointi

Tietoturvariskien arvioinnit toimivat pohjana vaadittavan tietoturvatason määrittämiselle. Riskejä arvioidaan uusia palveluita tai järjestelmiä suunniteltaessa sekä merkittävien muutosten yhteydessä. Tietoturvakriittisten järjestelmien osalta riskien arvioinnit ovat säännöllisiä.

Tiedon luokittelu ja käsittely

Matkahuolto luokittelee tietoja niiden luottamuksellisuuden mukaan. Tietojen luokittelu ohjaa riskien arviointia ja vaadittavia tietoturvatoimia.

Koulutus

Matkahuollossa on käytössä erilaisia toimintamalleja henkilöstön tietoturvatietoisuuden parantamiseksi: koulutukset, viestintä, intranet-uutisointi ja huijausviestisimulaatiot. Lisäksi eri kohderyhmille voidaan järjestää kohdennettua tietoturvakoulutusta.

Valvonta ja seuranta

Tietoturvan toteutumista seurataan ja valvotaan säännöllisesti teknisten ja organisatoristen keinojen avulla. Havainnot, poikkeamat ja kehitystarpeet käsitellään määritellysti, ja tietoturvan tilasta raportoidaan johdolle osana jatkuvaa parantamista.

Tietoturvapoikkeamien käsittely

Matkahuollossa on käytössä toimintamallit ja palvelut tietoturvapoikkeamien tunnistamiseksi sekä toimintamallit mahdollisten tietoturvaloukkausten käsittelyä ja raportointia varten.

Tietoturvarikkomukset

Tietoturvapolitiikan ja siihen perustuvan ohjeistuksen vastainen toiminta käsitellään Matkahuollon määrittelemien menettelytapojen mukaisesti.

Vastuut ja organisointi

Tietoturvapolitiikan hyväksyy Matkahuollon johtoryhmä.

Tietoturvan ohjausmalli on osa Matkahuollon johtamisjärjestelmää. Tietoturvaa kehitetään vastaamaan Matkahuollon liiketoiminnan tavoitetilaa, jonka ylin johto määrittelee. Tietoturvan kehittämistavoitteet ja osa-alueet sekä tehtävät kuvataan tietoturvastrategiassa. Tietoturvan eri osa-alueita linjataan tarkemmin toimintaperiaatteilla ja ohjeistuksilla. Ne käsitellään ja hyväksytään tietoturvan ohjausryhmässä.

Voimaantulo

Matkahuollon johtoryhmä on hyväksynyt tietoturvapolitiikan 30.03.2026.