Tietoluokittelu – näin teet KRT-luokittelun vaihe vaiheelta

Viimeksi tarkistettu: 12. lokakuuta 2026 · Aihe: tietoturva, GDPR ja toiminnanohjaus · Ruotsalainen soveltaminen

Tietoluokittelu tarkoittaa sitä, että organisaatio arvioi seurauksia, joita aiheutuu, jos tieto paljastuu ulkopuolisille, muuttuu virheelliseksi tai ei ole käytettävissä silloin, kun sitä tarvitaan. Tulosta käytetään kohtuullisten suojatoimenpiteiden valitsemiseen. Tässä saat konkreettisen menetelmän, luokittelumatriisin ja huolellisesti laaditun esimerkin.

Mitä eroa on tietojen inventoinnilla ja tietoluokittelulla?

Tietojen inventointi vastaa kysymyksiin siitä, mitä tietoja organisaatiolla on, missä ne sijaitsevat, kuka niistä vastaa ja miten niitä käytetään. Esimerkkejä ovat asiakasrekisterit, tuotantopiirustukset, henkilöstöasiakirjat, tarjoukset, sopimukset ja varmuuskopiot.

Tietoluokittelu vastaa siihen, kuinka vakavia seurauksia voi aiheutua, jos sama tieto paljastuu, vääristyy tai ei ole saatavilla. Nämä kaksi toimintoa kuuluvat yhteen: ilman inventointia on vaarana, että tärkeitä tietovaroja ei koskaan luokitella.

On tarkoituksenmukaista erottaa tietoaineisto ja järjestelmä toisistaan. Samat asiakastiedot voivat löytyä CRM-järjestelmästä, sähköpostista, taloushallinnon järjestelmästä ja vientitiedostoista. Yksittäinen järjestelmä voi sisältää samanaikaisesti useita tietoaineistoja, joilla on erilaiset suojaustarpeet.

Mitkä kolme suojaustarvetta arvioidaan KRT-luokittelussa?

Jokainen näkökulma arvioidaan erikseen. Julkisella hinnastolla voi olla matala luottamuksellisuuden tarve, mutta korkea eheyden tarve. Henkilöstöasiakirjoilla voi olla korkea luottamuksellisuuden tarve ilman, että ne vaativat jatkuvaa käytettävyyttä.

Näin teet tietoluokittelun – seitsemän vaihetta

1. Määritä laajuus ja vastuu

Rajaa toiminta, prosessi tai palvelu. Nimeä vastuuhenkilö tai tiedon omistaja, joka kykenee arvioimaan seuraukset. IT- ja tietosuojatoiminnot voivat auttaa, mutta luokittelu on ankkuroitava henkilöön, joka ymmärtää tiedon merkityksen.

2. Inventoi tietovarat

Kirjaa ylös tietoaineiston nimi, tarkoitus, prosessi, tiedon omistaja, järjestelmä ja tallennuspaikka, ulkoiset vastaanottajat sekä mahdollinen henkilötietojen esiintyminen. Vältä itse arkaluontoisten tietojen tallentamista avoimeen inventointirekisteriin.

3. Tunnista K-, E- ja K-seuraukset

Kuvaile konkreettisesti, mitä voi tapahtua yksilöille, toiminnalle, taloudelle, luottamukselle ja sopimuksille, jos luottamuksellisuus, eheys tai käytettävyys pettävät. Huomioi myös erityiset oikeudelliset tai sopimukselliset vaatimukset.

4. Valitse yhteinen luokittelumalli

Päättäkää seuraustasot ja selkeät kriteerit ennen luokittelua. Esimerkiksi matalan, keskisuuren ja korkean seurauksen malli voi olla pedagoginen sisäinen esimerkki; se ei ole universaali, laissa säädetty asteikko. Organisaation vahvistettua mallia on käytettävä johdonmukaisesti.

5. Dokumentoi taso ja perustelut kunkin näkökulman osalta

Merkitse jokainen KRT-arvio erikseen lyhyellä perustelulla ja tiedolla siitä, kuka sen on hyväksynyt. Vältä yhtä yhteenvetolukua, joka peittää sen, mikä suojaustarve on todellisuudessa korkea.

6. Määritä ja jaa turvatoimenpiteet

Kohdista luokittelu todelliseen riskiympäristöön. Kyse voi olla käyttöoikeuksien rajoittamisesta, monivaiheisesta tunnistautumisesta, lokien pitämisestä, salauksesta, varmuuskopioinnista, palautustesteistä, versiohallinnasta ja seurannan rutiineista. Korkea luokitus ei johda automaattisesti samaan tekniseen ratkaisuun kaikkialla.

7. Seuraa muutoksia

Määritä vastuuhenkilö ja ajankohta uudelleenarvioinnille, erityisesti silloin, kun tiedon käyttö muuttuu, uusia toimittajia liitetään, tapahtuu suurempi vaaratilanne tai uusi järjestelmä otetaan käyttöön. Tarkista myös, että päätetyt suojaukset on todella toteutettu.

Esimerkki pienyrityksen luokittelumatriisista

Oletetaan yritys, joka käsittelee asiakasrekisterejä, valmistuspiirustuksia ja julkista tuoteluetteloa. Seuraava on havainnollistus sisäisestä kolmiportaisesta seurausasteikosta (1 matala, 2 keskisuuri, 3 korkea), ei valmis päätös muille yrityksille.

Tärkeää: Annetut tasot ovat vain pedagogisia. Organisaation on tehtävä oma seuraus- ja riskiarvionsa. Jos tieto koskee Ruotsin turvallisuutta, turvallisuussuojalainsäädäntö ja erilliset luokittelusäännöt voivat tulla sovellettaviksi; tavallinen KRT-matriisi ei korvaa kyseistä arviointia.

Mitä tietoluokittelulla on tekemistä GDPR:n ja NIS2:n kanssa?

GDPR: Artikla 32 edellyttää asianmukaisia teknisiä ja organisatorisia turvatoimenpiteitä muun muassa luonnollisten henkilöiden oikeuksiin ja vapauksiin kohdistuvien riskien perusteella. Tietoluokittelu voi olla hyödyllinen perusta, mutta se ei ole mikään erityisesti määrätty pakollinen mallimenetelmä kaikille yrityksille. Inventointi ei ole myöskään automaattisesti sama asia kuin rekisteriseloste GDPR:n artiklan 30 mukaisesti.

NIS2 ja kyberturvallisuussääntely: Sektorikohtaisten kyberturvallisuusvaatimusten piiriin kuuluville toimijoille inventointi, riskienhallinta, vastuu ja seuranta voivat olla laajemman työn keskeisiä osia. Tarkista ensin, kuuluuko organisaatio todella vaatimusten piiriin ja mitä vaatimuksia sovelletaan. Katso oppaamme turvatoimenpiteistä ja riskienhallinnasta NIS2-ympäristössä.

Tietoluokittelu tulisi lisäksi koordinoida poikkeamien hallintasuunnitelman ja yrityksen käyttöoikeuksien hallinnan kanssa. Muuten vaarana on, että luokittelun tulos jää eristetyksi inventointilistaksi ilman todellista turvallisuusvaikutusta.

Muistilista ennen tietoluokittelun hyväksymistä

• Onko olemassa täydellinen ja ymmärrettävä luettelo priorisoiduista tietoaineistoista?
• Onko jokaisella kohteella nimetty vastuuhenkilö, päivityspäivämäärä ja selkeä käyttöalue?
• Onko luottamuksellisuus, eheys ja käytettävyys arvioitu kukin erikseen?
• Ovatko tasot johdettavissa yhteisesti päätettyyn malliin?
• Onko mahdolliset seuraukset yksittäisille henkilöille ja toiminnalle dokumentoitu?
• Onko suojatoimenpiteet, toimenpiteistä vastaavat ja seuranta-ajankohdat määritelty?
• Onko henkilötiedot, ulkoiset toimittajat ja jaetut kopiot käsitelty?
• Onko tiedon omistaja tarkastanut ja hyväksynyt tuloksen?

Viisi yleistä virhettä vältettäväksi

1. Vain IT-järjestelmien inventointi. Tärkeät laskentataulukot, paperiasiakirjat ja viedyt tiedostot jäävät tällöin näkymättömiksi.
2. Vain luottamuksellisuuden luokittelu. Eheys ja käytettävyys voivat olla vähintään yhtä tärkeitä.
3. Jonkun toisen tasojen kopiointi. Seuraukset ja oikeudelliset vaatimukset voivat olla täysin erilaisia.
4. Luokittelun ja riskiarvion sekoittaminen. Luokittelu kuvaa suojaustarvetta; riskiarvio huomioi lisäksi uhat, haavoittuvuudet ja todennäköisyyden.
5. Toimintasuunnitelman puuttuminen. Rekisteri ilman vastuuta, toimenpiteitä tai seurantaa vähentää sen käytännön arvoa.

Usein kysytyt kysymykset tietoluokittelusta

Täytyykö kaikilla yrityksillä olla tietoluokittelurekisteri?

Ei, GDPR:ssä ei ole yleistä vaatimusta juuri tämän nimisestä ja muotoisesta rekisteristä kaikille yrityksille. Sen sijaan riskiperusteiset vaatimukset henkilötietojen asianmukaisesta suojauksesta pätevät, ja muut säännöt tai sopimusehdot voivat asettaa lisävaatimuksia toiminnalle.

Mikä tietoluokka henkilötiedoilla tulisi olla?

Ei ole olemassa universaalia luokkaa, joka pätee kaikkiin henkilötietoihin. Riskit riippuvat tietotyypistä, käyttötarkoituksesta, laajuudesta ja siitä, mitä seurauksia luvattomasta paljastumisesta tai muusta virheestä aiheutuisi.

Onko tietoluokittelu sama asia kuin turvallisuusluokittelu?

Ei. Yleistä tietoluokittelua KRT-periaatteella ei tule sekoittaa turvallisuussuojalain mukaiseen turvallisuusluokitteluun, jossa voi olla voimassa muita määritelmiä ja velvollisuuksia.

Kuinka usein luokittelu tulisi tarkistaa?

Jokaiselle tietoaineistolle ei ole yleispätevää aikaväliä. Määritä suhteellinen seuranta toiminnan muutostahdin ja riskin mukaan; arvioi uudelleen olennaisten muutosten, uusien tietovirtojen tai vaaratilanteiden yhteydessä.

Voiko Exceliä käyttää tietoluokitteluun?

Kyllä, huolellisesti laadittu Excel-rekisteri voi olla käytännöllinen tietoaineistojen inventointiin, luokittelupäätösten dokumentointiin ja toimenpiteiden seurantaan. Rekisteri on samalla suojattava asianmukaisesti ja siinä on oltava selkeä versiohallinta.

Viranomaislähteet ja jatkolukemista

• Integritetsskyddsmyndigheten (IMY) – GDPR artikla 32 ja asetus kokonaisuudessaan.
• IMY – Turvatoimenpiteet ja riskiperusteinen suojaus.
• SKR KLASSA – ohjeistus tietoluokitteluun.
• Fortifikationsverket – tietoturva ja luokittelu.

Aiheeseen liittyvät oppaat: Lue GDPR:n mukaisesta karsinnasta ja säilytysajasta, tekoälystä, kyberturvallisuudesta ja IT-sopimuksista sekä riskienhallinnasta ja suojatoimenpiteistä NIS2:n mukaisesti.

Huomautus: Teksti on yleistä ohjeistusta, ei yksilöllistä oikeudellista neuvontaa tai arviointia juuri sinun toimintasi sääntöjenmukaisuudesta. Sääntöjä, toimialavaatimuksia ja suojatoimenpiteitä on tarkasteltava niiden konkreettisessa asiayhteydessä.