Mikä tietomurto tarkalleen ottaen on?

Tietoturvaloukkaus on jokainen tilanne, jossa henkilötiedot on paljastettu, kadoneet tai muutettu

Tietoturvaloukkaus on lyhyesti sanottuna tapahtuma, jossa henkilötiedot eivät ole enää turvallisia: ne ovat kadonneet, joutuneet vääriin käsiin tai ne on muutettu tai tuhottu ilman lupaa. Kyse ei siis ole pelkästään hakkeroinnista. Väärin osoitettu sähköposti asiakastietokannan liitteenä, varastettu salaamaton kannettava tietokone, kadulla löytyvä USB-muisti, phishing-hyökkäys, jossa kirjautumistunnukset varastetaan, tai järjestelmävirhe, joka aiheuttaa sen, että tiedot paljastuvat tahattomasti — kaikki nämä kuuluvat samaan määritelmään, kunhan henkilötiedot ovat mukana.

Käytännössä tehdään ero kolmen tyyppisen loukkaukseen: saatavuusloukkaus (tiedot ovat kadonneet tai niitä ei voida käyttää, esimerkiksi kiristysohjelmiston hyökkäyksen tai viallisen varmuuskopion vuoksi), eheyden loukkaus (tiedot on muutettu tahattomasti) ja luottamuksellisuuden loukkaus (tiedot on katsottu tai jaettu jolleille, jolla ei olisi ollut siihen oikeutta). Yksi tapaus voi kuulua useampaan näistä tyypeistä yhtä aikaa. Se, onko tapahtuma tietoturvaloukkaus, on erillinen kuin se, pitääkö siitä ilmoittaa — jälkimmäinen riippuu siitä, minkä riskin se aiheuttaa asianomaisille henkilöille, ja se on erillinen vaihe, joka tulee sen jälkeen, kun loukkaus on todettu.

Mistä tämä johtuu: GDPR:n 4. artikla

Tietoturvaloukkauksen määritelmä johtuu suoraan GDPR:n 4. artiklasta, jossa "henkilötietojen loukkausta" kuvataan turvallisuuden loukkauksena, joka johtaa tahattomasti tai laittomasti henkilötietojen tuhoamiseen, menettämiseen, muuttamiseen tai luvattomaan lähettämiseen, saatavuuteen tai käsittelyyn muulla tavalla. Tämä määritelmä pätee suoraan jokaiseen jäsenvaltioon ilman kansallista vaihtelua. Suomalainen tietosuojaviranomainen laajentaa tätä määritelmää omilla sivuillaan tietoturvaloukkauksista saatavuus-, eheys- ja luottamuksellisuusloukkauksien jaotteluilla ja käytännön esimerkeillä.