Tietosuojaseloste

Kyberturvallisuuden itsearviointityökalun tietosuoja ja turvallisuus

Satakunnan ammattikorkeakoulun RoboAI:n Kyberturvallisuuden itsearviointityökalun verkkosivusto ja työkalu sijaitsevat Vercel-palvelutarjoajan palvelussa. Vercel hyödyntää palvelussaan Amazonin AWS infrastruktuuria. Itsearviointityökalu toimii fyysisesti AWS:n Tukholman konesalista (AWS EU-North-1).

Kyberturvallisuuden itsearviointityökalun käyttäjien tietojen ja arviointitulosten yksityisyyden suojaaminen on RoboAI:n ensisijainen tavoite. Tästä syystä itsearviointityökalun verkkopohjaiset sovellustyökalut käsittelevät ja tallentavat kaikki käyttäjätiedot ja raportit ainoastaan loppukäyttäjän selaimeen.

Tämä tarkoittaa, että Kyberturvallisuuden itsearviointityökalun-tietoja ja arviointiraportteja ei koskaan vastaanoteta, käsitellä tai tallenneta palvelimelle, joka isännöi itsearviointityökalua.

Kyberturvallisuuden itsearviointityökalu-verkkosovellus toimii ainoastaan asiakaspään (client-only) sovelluksena. Käyttääkseen työkalua käyttäjällä pitää olla laitteessaan selain ja toimiva internetyhteys. Kun käyttäjä avaa verkkoselaimensa ja syöttää Kybeturvallisuuden itsearviointityökalu-verkkosivuston osoitteen, pyyntö käynnistyy, jolloin verkkopalvelin lähettää HTML-tiedoston ja siihen liittyvät kuvat, tyyli- ja javascript-tiedostot käyttäjän selaimeen. Kun käyttäjän selain on hakenut HTML-tiedoston, verkkosivustoa voidaan käyttää.

Kuten kaikilla verkkosivustoilla, myös Kyberturvallisuuden itsearviointityökalu-verkkosovelluksella on omat tiedostot eri toimintojen suorittamiseen, mukaan lukien seuraavat:

• Cascading Style Sheet (CSS) -tiedosto määrittää verkkosivun sisällön
  ulkoasun ja muotoilun.
• JavaScript-tiedostot määrittävät verkkosovelluksen yksinkertaiset
  toiminnot (esim. painikkeen painaminen laukaisee toiminnon).
• Muut tiedostot tukevat kuvien, Excel-tiedostot jne. näyttämistä käyttäjän
  selaimessa (tekniset tiedot on esitetty liitteessä A).

Kaikki yllä mainitut tiedostot on tallennettu Vercelin palveluun. Kun käyttäjä avaa Kyberturvallisuuden itsearviointityökalu-verkkosovelluksen, nämä tiedostot haetaan palvelimelta, jotta verkkosovellus voidaan näyttää käyttäjän selaimessa. Kun käyttäjä käyttää Kyberturvallisuuden itsearviointityökalua, kaikki käyttäjän syöttämät tiedot pysyvät käyttäjän selaimen välimuistissa (eli varatussa tallennustilassa) eikä niitä lähetetä Vercelin palveluun.

Se, miten komennot jaetaan käyttäjän tietokoneen ja Vercelin palvelimen välillä, on esitetty yksinkertaisessa kaaviossa (kuva 1). On tärkeää huomata, kuten kuva 1 osoittaa, että tietoja ei siirretä käyttäjän selaimesta / tietokoneesta Vercelin palvelimelle. Itsearviointityökalu-verkkosovelluksen palvelimella ei ole kykyä vastaanottaa ja tallentaa käyttäjätietoja (katso liite A teknisiä lisätietoja varten).

Tästä syystä on käyttäjän vastuulla tallentaa ja säilyttää arviointitietonsa ja -raporttinsa omalla tietokoneellaan käyttämällä Itsearviointityökalun Tallenna-toimintoa.

Palvelimen turvallisuusvaatimustenmukaisuus ja turvallinen suunnittelu (Secure-by-Design) Kyberturvallisuuden itsearviointityökalu-verkkosivustolle

RoboAI käyttää automaattisia skannereita työkalun käyttämien kirjastojen turvallisuuden varmistamiseksi.

Liite A: Kysymykset ja vastaukset

K1. Miten Excel-raportti luodaan?

Excel-tiedosto generoidaan selaimessa toimivalla Javascript-kirjastolla, joka on erikoistunut Excel-tiedostojen generointiin (Excel.js).

K2. Mitä evästeitä käytetään?

Palvelussa ei käytetä evästeitä (cookies). Palvelujen välttämättömien toimintojen toteuttamiseen käytetään erikseen selaimen SessionStoragea.

Web-analytiikka

Tilastoimme palvelun käytöstä ainoastaan hyvin yleisluonteista dataa.

Tilastoidut asiat:

• Käyttäjän sijainti (maa)
• Käyttäjän päätelaite (tietokone, puhelin)
• Käyttäjän selain (Chrome, Safari, Firefox)
• Käyttäjän käyttöjärjestelmä (Mac, Windows, Android, iOS)
• Minkä sivuston linkin kautta on palveluun saavuttu (Referers)
• Millä sivuilla palvelussa on käyty

Lisätietoja käytössä olevasta Web-analytiikkapalvelusta: https://vercel.com/docs/analytics/privacy-policy

K3. Mitä selaimen asiakaspuolen tallennustiloja käytetään?

Chatbotin (lisäominaisuus) osalta käytössä on SessionStorage, joka on selainpohjainen tallennustila ja se säilyttää tietoja vain istunnon ajan. Chat-istunnon tila säilytetään käyttäjän selaimessa ja palvelin ei tallenna tilatietoja. Chatbotin tallennustilaa kutsutaan nimellä aiStorage. Selaimen sulkeminen poistaa kaikki tiedot.

Muilta osin käytössä on LocalStorage, jossa tiedot pysyvät tallessa, kunnes käyttäjä poistaa ne joko itsearviointityökalun painikkeesta tai tyhjentämällä sivuhistorian.

LocalStorage sisältää kolme erilaista storagea:

• appStore: Pidetään kirjaa sovelluksen tilan tiedoista.
• assessmentStore: Pidetään kirjaa itsearvioinnin tiedoista.
• organizationStore: Pidetään kirjaa organisaation tiedoista.

Näiden tallennusmekanismien avulla varmistetaan, että käyttäjän tiedot säilyvät tarpeen mukaan joko väliaikaisesti istunnon ajan tai pysyvästi, kunnes ne poistetaan manuaalisesti. Tämä mahdollistaa joustavan ja tehokkaan tietojen hallinnan sovelluksessa.