ict-toiminnan varautuminen häiriö- ja erityis- tilanteisiin · ympäristökatastrofi,...
TRANSCRIPT
ICT-toiminnanvarautuminenhäiriö- jaerityis-tilanteisiin
VAHT
I
2/2009
Yleisohje
Valtionhallinnon tietoturvallisuuden johtoryhmä
ICT-toiminnan varautuminen häiriö- ja erityistilanteisiin
2/2009 VAHT
I
Valt iovarainminister iön julkaisuja
VALTIOVARAINMINISTERIÖPL 28 (Snellmaninkatu 1 A) 00023 VALTIONEUVOSTOPuhelin 09 16001 (vaihde)Internet: www.vm.fiTaitto: Pirkko Ala-Marttila/VM-julkaisutiimi
ISSN 1455-2566 (nid.)ISBN 978-951-804-949-7 (nid.)
ISSN 1798-0860 (PDF)ISSN 978-951-804-950-3 (PDF)
Edita Prima OyHelsinki 2009
EsipuheTämän uuden VAHTI-yleisohjeen tavoitteena on parantaa ICT-varautumista erityisesti ministeriöissä ja hallinnonalojen organisaatioissa. Ohje on sisäl-tönsä puolesta käyttökelpoinen kaikille ICT-varautumisen kanssa tekemisissä oleville organisaatiolle ja henkilöille. ICT-varautumiseen liittyviä linjauksia löytyy lisäksi osasta muita VAHTI-ohjeita.
Yleisohje on valmisteltu VAHTIn ohjauksessa virkatyönä valtiovarainmi-nisteriön hallinnon kehittämisosastolla. Ennen julkaisua ohje oli laajalla lau-suntokierroksella, jonka tuloksena ohjeen sisältöön tehtiin tarvittavat paran-nukset. Kommentteja saatiin yli 20 organisaatiolta. VAHTI päätti ohjeen jul-kaisemisesta kokouksessaan maaliskuussa 2009.
Valtionhallinnon toiminta on verkostoitunutta sekä julkishallinnon sisällä että yhteiskunnan muiden toimijoiden kanssa myös kansainvälisesti. Hallin-non palvelut ja toiminnot rakentuvat tietoteknisten peruspalvelujen ja sovel-lusten sekä perusrekisterien ja muiden tietovarantojen varaan. Näiden toiminta riippuu korostuneesti tietoliikenteen toimivuudesta ja sähkön saatavuudesta. Tätä palveluverkostoa ylläpitää valtionhallinnon sisäisistä ja ulkoisista palve-lutoimittajista muodostuva verkosto.
Toiminnan ja palvelujen jatkuvuuden takaaminen ja tiedon turvaaminen edellyttävät palveluverkoston varautumista ICT-toiminnan häiriötilanteisiin. Keskeistä on varmistua, että palveluverkosto kykenee normaaliajan vakavissa häiriötilanteissa ja YETTS:n mukaisissa erityistilanteissa jatkamaan toimin-taansa asetettujen vaatimusten mukaisesti. Normaaliolojen häiriötilanteita var-ten toteutetut toimintamallit ja ratkaisut ovat perusta erityistilanteiden hoita-miselle ja toiminnalle poikkeusoloissa.
Valtionhallinnon organisaatioiden tulee kaikessa toiminnassaan ottaa huo-mioon tässä ohjeessa kuvatut ICT-varautumisen periaatteet. Keskeistä on, että kaikessa organisaatioiden, toimintojen, palveluiden ja järjestelmien kehittämi-sessä otetaan jo esitutkimusvaiheessa mukaan toiminnan jatkuvuuden hallin-nan ja tiedon turvaamisen näkökulma. Tämä mahdollistaa kustannustehok-kaan toiminnan tarpeista lähtevän varautumisen häiriötilanteisiin ja poikke-usoloihin.
Ohjeen kaupallinen käyttö ja jäljentäminen ansaitsemistarkoituksessa on kielletty. Muussa hyödyntämisessä tulee tämä ohje mainita lähteenä.
Lyhyesti VAHTIstaValtiovarainministeriö vastaa julkishallinnon tietoturvallisuuden ohjauksesta ja kehittämisestä. Ministeriö on asettanut Valtionhallinnon tietoturvallisuu-den johtoryhmän (VAHTI) hallinnon tietoturvallisuuden yhteistyön, ohjauk-sen ja kehittämisen elimeksi. VAHTI tukee toiminnallaan valtioneuvostoa ja valtiovarainministeriötä hallinnon tietoturvallisuuteen liittyvässä päätöksen-teossa ja sen valmistelussa.
VAHTIn tavoitteena on tietoturvallisuutta kehittämällä parantaa valtion-hallinnon toimintojen luotettavuutta, jatkuvuutta, laatua, riskienhallintaa ja varautumista sekä edistää tietoturvallisuuden saattamista kiinteäksi osaksi hallinnon toimintaa, johtamista ja tulosohjausta.
VAHTIssa käsitellään kaikki merkittävät valtionhallinnon tietoturvalinja-ukset ja tietoturvatoimenpiteiden ohjausasiat. VAHTI käsittelee valtionhallin-non tietoturvallisuutta koskevat säädökset, ohjeet, suositukset ja tavoitteet sekä muut tietoturvallisuuden linjaukset sekä ohjaa valtionhallinnon tietoturvatoi-menpiteitä. VAHTI edistää verkostomaisen toimintatavan kehittämistä julki-shallinnon tietoturvatyössä.
VAHTIn toiminnalla on parannettu valtion tietoturvallisuutta ja työn vai-kuttavuus on nähtävissä hallinnon ohella myös yrityksissä, kansalaistoimin-nassa ja kansainvälisesti. VAHTIn toiminnan tuloksena muun muassa on aikaansaatu erittäin kattava yleinen tietoturvaohjeisto (www.vm.fi/VAHTI). VAHTIn johdolla on menestyksellisesti toteutettu useita ministeriöiden ja viras-tojen tietoturvayhteishankkeita. VAHTI on valmistellut, ohjannut ja toteutta-nut valtion tietoturvallisuuden kehitysohjelman, jossa on aikaansaatu merkit-tävää kehitystyötä yhteensä 26 kehityskohteessa yli 300 hankkeisiin nimetyn henkilön toimesta.
VAHTI on saanut kolmena vuotena tunnustuspalkinnon esimerkillisestä toiminnasta Suomen tietoturvallisuuden parantamisessa.
Sisältö
Esipuhe . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5
Lyhyesti VAHTIsta . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6
Yhteenveto . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9
1 Johdanto . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 151.1 Yleistä . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .151.2 Säädösperusta . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .171.3 Turvallisuusympäristö ja arvio sen kehittymisestä . . . . . . . . . . . . . . . . . . . . . . .18
2 ICT-varautumisen ohjaus . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 212.1 ICT-varautumisen ohjauksen kehittäminen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .212.2 Valtiotason ohjaus . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .222.3 Ohjaus hallinnonaloilla . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .23
3 Vaatimusten asettaminen ICT-varautumiselle . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 253.1 ICT-varautumisen vaatimusten asettaminen. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .253.2 ICT-varautumisen, jatkuvuuden ja tietoturvan vaatimustasot . . . . . .27
4 Osaamisen hallinta . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 31
5 Palveluverkoston hallinta ja hyödyntäminen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 35
6 Tilannetietoisuus ja riskienhallinta. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 396.1 Tilannetietoisuuden kehittäminen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .396.2 Uhka- ja riskianalyysin kehittäminen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .416.3 Palvelujen ja ICT-infrastruktuurin jatkuvuuden hallinta . . . . . . . . . . . . .43
LiitteetLiite 1 Käytetyt lyhenteet . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .47Liite 2 Keskeisimmät ICT-varautumista ohjaavat säädökset ja ohjeet . . . . .51Liite 3 Vaatimukset jatkuvuuden hallinnalle ja tiedon turvaamiselle . . . . . .59Liite 4 Voimassaolevat VAHTI -julkaisut . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .65
9
Yhteenveto
ICT-varautumisen kehittämisen tavoitteena on, että
Organisaatiot kykenevät toiminnan tarpeiden mukaisesti takaamaan palve-•lujensa jatkuvuuden ja tiedon turvaamisen normaaliolojen häiriötilanteissa, YETTS-erityistilanteissa ja poikkeusoloissa.
Valtionhallinnossa sekä sen käyttämissä ja tuottamissa palveluissa on käytössä •yhtenäiset toteutusvaatimukset sekä keinot ja menetelmät vaatimusten täyt-tämiseen.
ICT-varautuminen on kustannustehokkaasti ja koordinoidusti kunkin hallin-•nonalan jokapäiväistä toimintaa.
ICT-varautuminen toteutetaan osana tietohallinnon, tietoturvallisuuden, tur-•vallisuuden ja yleisen varautumisen kokonaisuutta.
Yhteiskunnan elintärkeiden toimintojen strategia (YETTS1) määrit-telee yhteiskunnan elintärkeiksi toiminnoiksi seitsemän toimintoa: valtion johtaminen, kansainvälinen toiminta, valtakunnan sotilaallinen puolusta-minen, sisäisen turvallisuuden ylläpitäminen, talouden ja infrastruktuurin toimivuus, väestön toimeentuloturva ja toimintakyky ja henkinen kriisink-estävyys. Uhkamalleihin sisältyviin erityistilanteisiin on strategiassa nimetty tilanteen hallinnasta ja niihin varautumisesta vastaavat ministeriöt.
Ympäröivän yhteiskunnan, valtionhallinnon sekä uhkaympäristön kehi-tys vaikuttavat varautumistarpeisiin. Todennäköisyys kasvaa tilanteelle, jossa ympäristökatastrofi, suuronnettomuus ja inhimillisestä virheestä johtuva tai tahallisesti aiheutettu laaja tietotekniikkahäiriö sekoittavat yhteiskunnan toi-mintakyvyn. Erityisen haitallisia voimakkaat häiriöt ovat laman aikana, jolloin palveluja tuottavat ja ylläpitävät yritykset ja heidän alihankkijansa minimoivat kustannuksensa ja usein optimoivat riskirajoilla resurssiensa käytön.
1 Yhteiskunnan elintärkeiden toimintojen turvaamisen strategia, Valtioneuvoston peri- aatepäätös, 23.11.2006. www.yett.fi
10ICT-varautumisen näkökulmasta keskeisimmät trendit ovat:
Kehityslinja Kehityspiirteitä
Palvelut, prosessit, tuotantoketjut, tietojen yhteiskäyttö ja järjestelmät automatisoituvat, monimutkaistuvat, integroituvat ja verkottuvat voimakkaasti.
Toiminnan tehostaminen tietotekniikan avulla kasvaa – ja •myös riippuvuus. Syntyy voimakkaita riippuvuussuhteita, kuten sähkön tuo-•tannon riippuvuus tietoliikenteestä ja päinvastoin sekä or-ganisaatioiden väliset riippuvuudet.Järjestelmäkokonaisuuksien testaaminen ja auditointi vai-•keutuvat.Internetin merkitys myös valtionhallinnossa kasvaa mer-•kittävästi.Vaikeasti ennakoitavia, hallitsemattomia ja laajalle heijastu-•via haavoittuvuuksia syntyy yhä enemmän.Palvelutoimittajien hallinta sekä resurssien kohdennus ja •priorisointi häiriötilanteessa vaikeutuvat. Osaaminen ei kehity monimutkaistuvien ympäristöjen •tahdissa.
Palvelut hankitaan usean tuottajan palveluverkostolta
Vain pieni osa palvelutarpeesta kyetään hankkimaan omal-•ta sisäiseltä palveluntoimittajalta. Verkoston rakentaminen edellyttää toiminta- ja laatukri-•teerejä, jotta keskinäinen luottamus, yhteensopivuus ja tekninen toimivuus voidaan taata.ICT-palvelutoimittajien alihankinta lisääntyy, myös •Suomen ulkopuolelta.Vaatimusten määrittely ja hallinta sekä hankinta edellyttä-•vät yhä erikoistuvampaa osaamista kaikilla tasoilla.
ICT-palveluketjujen omistussuhteissa ja sopimusvastuissa tulee tapahtumaan jatkuvasti muutoksia.
Osaa kaupallisista palveluista ei voida toteuttaa Suomessa •ja osa perinteisesti Suomessa tuotetuista palveluista siirtyy ulkomaille, jolloin Suomen säädännöllistä kontrollia voi-daan saada vain osaan tuotantoketjuista.Palvelutuotanto, laitteistotoimitus ja komponenttien val-•mistus globalisoituvat, palvelutoimittajakentän muutokset yleistyvät ja henkilöstöjohtamisen haasteet lisääntyvät.Ohjauksessa kulttuurilliset, taloudelliset ja sopimukselliset •menetelmät korostuvat. Sopimusten kattavuuden ja laadun sekä niihin kuvattujen •toimintamallien dokumentoinnin merkitys kasvaa.
Uhkaympäristö muuttuu yllätyksellisemmäksi ja vakavammaksi
Ympäristökatastrofien, suuronnettomuuksien ja laajojen •tietoteknisten haavoittuvuuksien monimuotoisuus ja ka-saantumisen todennäköisyys kasvaa.Verkkohyökkäyksistä ja haittaohjelmien kehittämisestä on •muodostunut ammattimaista ja hyvin organisoitua palve-lutoimintaa.Kohdistettujen haittaohjelmien käyttö ja uusien järjestel-•mähaavoittuvuuksien hyödyntäminen tiedustelutoimin-nassa lisääntyy.
Kansainvälisen yhteistoiminnan ja ohjauksen merkitys kasvaa voimakkaasti
Syntyy uudenlaisia tietohallintoa ja tietotekniikkaa koske-•via tarpeita, mahdollisuuksia ja haasteita. Tarpeet yhteisiin käytäntöihin ja ohjaukseen lisääntyvät.•Kansainvälinen säädös- ja standardiohjaus kasvavat (EU, •OECD, NATO).
11
Valtionhallinnon ICT-varautumisen kehittäminen jakautuu keskitetysti toteutettaviin, keskitetysti ohjattuihin, mutta hallinnonaloilla tai kärkihank-keissa toteutettaviin sekä hallinnonaloilla itsenäisesti toteuttaviin toiminnan kehittämisprojekteihin ja hankkeisiin.
ICT-varautumisen tavoitteiden saavuttaminen ja palveluiden jatkuvuuden turvaaminen edellyttävät, että:
Vuoteen 2012 mennessä Ministeriöt ja virastot ovat määrittäneet, mille vaatimustasolle niiden •palvelut ja järjestelmät sijoittuvat sekä suunnitelleet ja käynnistäneet vaatimusten toteuttamisen.
ICT-varautumisen ohjaus on osana hallinnonalojen yleisiä ohjausme-•netelmiä.
Palveluverkoston vaatimusten hallinta ja sopimusmenettelyt on yhte-•näistetty.
Vuoden 2016 loppuun mennessä Organisaatiot saavuttavat vähintään ICT-varautumisen perustason ja •erikseen määritellyissä osissa, palveluissa ja järjestelmissä korotetun tai korkean tason.
ICT -varautumisen kehitysty ö
ICT-varautumisenkehitystyö
ICT-palvelujen jatkuvuus ja tietoturva
Valtion IT-strategia
YETT-Strategia
Hallinnonalojen kehitysty ö
Hallinnonalojen kehitystyö
erityistilanteet
ValtITk ä rkihankkeet
ValtITkärkihankkeet
Kehityslinjaukset
Huoltovarmuus-päätös
Vaatimukset
Ohjaus ja todentaminen
Palveluverkon hallinta ja hyödyntäminen
ICT-tilannetietoisuus
Uhka- ja riskianalyysi
Osaamisen varmistaminen ja harjoitustoiminta
Kehittämisalueet
Yhteiskunta
Globaali
Kansalaiset
Julkishallinto
Elinkeinoel ä m ä
Yhteiskunta
Globaali
Kansalaiset
Julkishallinto
Elinkeinoelämä
2009 2016
VNpp valtiontietoturvallisuus
> > > > > >
.
.
.
.
.
.
12ICT-varautumisen toteuttamisessa noudatetaan seuraavia periaatteita:
Valtiovarainministeriön johdolla ylläpidetään yhteisiä ICT-•palveluiden jatkuvuuden hallinnan ja tiedon turvaamisen vaatimuk-sia, jotka ulotetaan toiminnan vaatimusten mukaisesti koko palvelu-verkostoon.
Organisaatioiden on tunnistettava prosessiensa ja toimintojensa •kriittisyys ja asetettava niille käytettävyys- ja palvelutasovaatimukset.
ICT-varautuminen toteutetaan osana yleistä ohjausta, kuten TTS- ja •tulosohjaus.
Organisaatioissa otetaan ICT-varautumisen käytännön toteuttamista •tukevat yhtenäiset suunnittelumallit ja tarkistuslistat.
Uhka-arvioihin ja riskianalyyseihin perustuva varautuminen on •oltava sisällä kaikkea kehittämis- ja tuotantotoimintaa.
Työjärjestyksissä ja tehtäväkuvauksissa määritetään keskeisimpien •palveluiden jatkuvuuden hallintaan, tiedon turvaamiseen ja varautu-miseen liittyvät vastuut, tehtävät ja johtosuhteet.
Keskeisimmät valtionhallinnon yhteiset sekä usean hallinnonalan •toimintaan vaikuttavat kehittämistoimet ja palvelut toteutetaan kes-kitetysti.
Ministeriöt ja virastot vastaavat omien ydintoimintojensa varautumi-•sesta.
Hallinnonalat rahoittavat toimintansa edellyttämän varautumisen •kehyksestään.
Yhteistyötä ja vuorovaikutusta eri organisaatioiden ohjaamien varau-•tumiseen liittyvien hankkeiden välillä on ylläpidettävä tiiviisti.
13Seuraavaan taulukkoon on koottu keskeisiä osa-alueita, organisaatioiden
tulee tarkastella kehittäessään toimintansa ja palvelujensa häiriönsietokykyä.
Aihe Toimenpide
Ohjaava ohjeistus Lainsäädäntö, normit ja ohjeet on tunnettava. •ICT-varautuminen on otettava huomioon tietohallintoa koskevissa oh-•jeistuksessa, standardeissa ja teknisissä määräyksissä sekä niiden käy-tössä. YETTS -erityistilanteiden hoitaminen (toimivaltuudet, resurssien käyt-•tö) on huomioitava.Varautumissuunnitelmien dokumentointi ja toteutettavuus on var-•mistettava.
Vaatimusten asettaminen, resursointi ja todentaminen
ICT-varautumisen tulee olla sisäänrakennettuna organisaatioiden •ydintoimintaprosesseihin ja niitä tukevaan muuhun varautumiseenICT-varautumisen vastuut ja tehtävät on liitettävä TTS-prosessiin ja tu-•losohjaukseen (tavoitteet, resurssit, mittarit, raportointi), työjärjestyk-siin sekä johdon ja asiantuntijoiden tehtäväkuvauksiin.Palveluntuotantoketjuun on ulotettava oikein mitoitetut auditointi- ja •arviointimenettelyt. Vaatimuksia vastaavat tarkastusluettelot ja ohjeistot on oltava tarkas-•tus- ja controller-toiminnan osana. Tarkastajien ja auditoijien varautumisen ja tietoturvallisuuden erityis-•osaamista tulee kehittää.
Riskienhallinta Toimintaa tukevan ICT:n kehittämisessä ja ylläpidossa tulee hyödyntää •uhka- ja turvallisuustilannearviointia osana organisaation riskianalyy-siä, joka sisältää myös tulevaisuustarkastelut.On huomioitava muiden verkoston osapuolien suorituskyky- ja jatku-•vuusvaatimukset.
Palvelujen verkostoituminen ja sopimus-menettelyt
Palveluverkostot ja alihankintaketjut on tunnistettava•Mahdolliset rajoitteet palvelujen tuottamisessa ulkomailla on linjat-•tava.On määritettävä mille kriittisen palvelun osille asetetaan erityisvaati-•muksia; esimerkkinä käyttäjähallinnan toteutus Suomessa suomalai-sella henkilökunnalla.Sopimuksissa on otettava huomioon erityistilanteiden edellyttämät toi-•mittajien ja sisäisten palvelutuottajien vastuu- ja priorisointivaraukset.Yritysturvallisuussopimukset tulee laatia ja auditoida yhtenäisesti ja •systemaattisesti.Sisäisille ja ulkoisille palveluntuottajille on asetettava yhtäläiset vaa-•timukset.
Tilannetietoisuus ja kriittisten toimintojen tunnistaminen
Organisaatioiden on kyettävä kokoamaan ICT-varautumisen kehittä-•misen ja YETTS-erityistilanteen hoitamisen edellyttämät tilannetiedot koko palveluverkostosta.Toimintojen, palvelujen ja järjestelmien merkitys eri turvallisuustilan-•teissa on tunnistettava. Organisaatioiden palveluille ja järjestelmille on määritettävä varautu-•misen tavoitetaso, palvelutasovaatimukset ja tärkeysluokitukset myös YETTS-erityistilanteisiin. Kriittinen ICT ja sen kriittisimmät yksittäiset osat on tunnistettava ja •kuvattava.Kriittisten toimintojen ja järjestelmien ylläpito- ja resursointivastuut •on määritettävä.Tarvittavat varaukset omista ja toimittajan resursseista (VAP) on yllä-•pidettävä.
14Tietotekninen infrastruktuuri
Kriittisille tietojärjestelmille, -tietokannoille, rekistereille ja tietoliiken-•teelle on määriteltävä jatkuvasti ylläpidettävät palvelukohtaiset eri turvallisuustilanteiden käytettävyysvaatimukset sekä huomioitava ne sopimusrakenteissa.Palvelutasovaatimusten ja tärkeysluokittelujen mukaiset jatkuvuuden •hallinnan toimintaohjeet, menettelytavat ja tietotekniset ratkaisut on toteutettava.Kriittisten tietojärjestelmien toiminta tulee varmistaa siten, että ne on •sijoitettu sellaiseen tuotantoympäristöön, jossa rakenteet on suunni-teltu ja toteutettu häiriö- ja erityistilanteita sekä poik-keusoloja var-ten.Valtion hallitsemien suojattujen ja rakennettujen laitetilojen yhteis-•käyttöä on hyödynnettävä sijoittamalla niihin kriittisiä palveluja tuot-tavia tietojärjestelmiä, tietovarantoja ja tietoliikenneverkon laitteita se-kä tarvittaessa käyttöön otettavaa lisäkapasiteettia.On kehitettävä ja ylläpidettävä valmiutta varajärjestelyjen käyttöön-•ottoon.
Osaamistarpeet, koulutus ja harjoittelu
Kriittiset osaamistarpeet on tunnistettava ja luotava osaamisprofiilit, •joita hyödynnetään rekrytoinnissa, tehtäväkierrossa, koulutuksessa ja erityistilanteiden hallinnassa. Soveltuva koulutus on kartoitettava ja hyödynnettävä opetuslaitosten •ICT -varautumista tukevaa koulutustarjontaa. ICT -varautuminen on oltava osa organisaatioiden harjoituskokonai-•suutta.Yhteisten harjoituskehysten ja tilannekuvausten käyttöä on kehitet-•tävä organisaatioiden järjestämissä varautumis- ja valmiusharjoituk-sissa. Palveluketjun ja -verkoston toimintakykyä tulee testata säännöllisesti.•Harjoituksissa on hyödynnettävä poikkeusoloja varten luotuja toimiti-•loja ja muita järjestelyjä.Harjoituskokemuksia on systemaattisesti hyödynnettävä toiminnan •kehittämisessä.
15
1 Johdanto1.1 Yleistä
Tämän käsikirjan tarkoituksena on antaa organisaatioille yhteiset perus-teet helpottamaan ja yhtenäistämään ICT-toimintojensa häiriötilanteisiin ja poikkeusoloihin varautumisen suunnittelua ja toteutusta. Käsikirja helpottaa ICT-varautumisen sisällyttämistä osaksi jo olemassa olevia organisaation pro-sesseja ja työtapoja. Käsikirja pohjautuu valtiovarainministeriössä 1.10.2007- 30.6.2008 tehtyyn valtionhallinnon ICT-varautumisen esitutkimukseen2. Käsikirjan kohderyhmänä on organisaatioiden ylin johto sekä toimiala-, tietohallinto-, turvallisuus- tietoturva- ja valmiusjohto.
Käsikirjaa täydentää valtiovarainministeriön erillisenä asiakirjana julkai-sema ICT-palvelujen jatkuvuuden hallinnan, tiedon turvaamisen ja varautumisen toteutusvaatimukset. Tähän käsikirjaan liittyy myös huoltovarmuusorganisaa-tion (HVO) ”Sopimuksiin perustuva varautuminen” –hankkeessa tuotettava yritysverkoston sopimushallintaa ohjaava aineisto.
Yhteiskunnan elintärkeiden toimintojen turvaamisen strategian (YETTS) mukaan varautuminen käsittää kaikki ne toimenpiteet, joilla varmistetaan tehtävien mahdollisimman häiriötön hoitaminen kaikissa turvallisuusti-lanteissa. YETTS3 määrittelee yhteiskunnan elintärkeiksi toiminnoiksi seuraa-vat seitsemän (7) toimintoa:
Valtion johtaminen•Kansainvälinen toiminta •Valtakunnan sotilaallinen puolustaminen •Sisäisen turvallisuuden ylläpitäminen •Talouden ja infrastruktuurin toimivuus •Väestön toimeentuloturva ja toimintakyky•Henkinen kriisinkestävyys. •
2 Valtionhallinnon ICT-varautuminen, esitutkimusraportti http://www.vm.fi/vm/fi/04_julkai-sut_ja_asiakirjat/01_julkaisut/04_hallinnon_kehittaminen/20081113Valtio/name.js
3 Yhteiskunnan elintärkeiden toimintojen turvaamisen strategia, Valtioneuvoston peri-aatepäätös, 23.11.2006. www.yett.fi
16Strategiassa on myös kuvattu elintärkeiden toimintojen jatkuvuutta vaaran-
tavia uhkia. Uhkamalleihin sisältyviin erityistilanteisiin on strategiassa nimetty tilanteen hallinnasta ja niihin varautumisesta vastaavat ministeriöt.
ICT-toimintoja kehitettäessä on varauduttava normaaliolojen häiriö- ja eri-tyistilanteisiin. ICT-varautuminen on pääosin riskien hallintaan pohjautuvaa jatkuvuuden hallintaa, tiedon turvaamista sekä häiriö- ja erityistilanteiden hallintaa.
Kuva 1. ICT-varautuminen on jatkuvuuden hallintaa ja tiedon turvaamista
ICT-toiminnanjatkuvuuden hallinta
Riskien-hallinta
Häiriö- jaerityistilanteidenhallinta
ValmiusJohtaminen
Tilannetietoisuus
Tiedon turvaaminen
Häiriötilanttet
YETTS-erityistilanteet
ICT-varautuminen
Normaaliolot Poikkeusolot
ValmiussuunnitteluJatkuvuussuunnittelu
Tietojärjestelmä ratkaisut ja -palvelut koostuvat sovelluksista, tietovaran-noista, tietoverkoista, muusta ICT-infrastruktuurista ja niiden oheisjärjestelm-istä, tietoturvallisuudesta sekä niihin liittyvästä ylläpidosta, järjestelmähallin-nasta ja teknisestä tuesta. Tästä tietohallinnon ja tietotekniikan kokonaisuudesta käytetään lyhennettä ICT (Information and Communication Technology).
Kriittisiä ovat sellaiset ydintoimintoja tukevat ICT-rakenteet, jotka ovat välttämättömiä YETTS:n mukaisen erityistilanteen hoitamisessa ja joiden toimimattomuus estää usean keskeisen organisaation, järjestelmän tai palvelun toiminnan. Kriittisyyttä tarkastellaan yhteiskunnan, valtionhallinnon, hallinnonalan ja organisaation näkökulmista.
Keskeisiä ovat sellaiset ICT-rakenteet, joiden toimimattomuus vaikeuttaa merkittävästi organisaation tehtävien suorittamista, aiheuttaa merkittäviä taloudellisia tai muita vahin-koja tai heikentää henkilöstön turvallisuutta.
17Yhteiskunnan toiminta sisältää seuraava kuvan mukaisesti useita ulot-
tuvuuksia, joiden tulee toimia saumattomasti yhteen.
Kuva 2. Valtionhallinnon ICT-toiminta on osa yhteiskunnan ICT-palveluja
Kansainvälinen ympäristö(EU, NATO, OECD yms)
Alue- japaikallishallinto
Kansalaispalvelut
Palvelun tuottajat, talouselämä
Muu julkishallinto/yhteisöt
Valtion IT
Varautumisen yleisohjaus, VNOS, YETTS
1.2 Säädösperusta
Viranomaisten velvollisuus varautua poikkeusoloihin perustuu valmiuslakiin. Varautumista koskeva säädäntö määrittää valtionhallinnon tasoiset ja hallin-nonalakohtaiset vastuut. Säädännössä määrätään varautumisvelvoitteita tai tehtäviä erilaisille toiminnoille tai organisaatioille.
Ministeriöiden toimialasta ja asioiden jaosta niiden kesken säädetään lailla tai valtioneuvoston asetuksella. Yleiset ministeriöiden toimialasäännökset ja yhteensovittamisvelvollisuudet ovat valtioneuvoston asetuksena annetussa val-tioneuvoston ohjesäännössä (VNOS). Ministeriökohtaisissa valtioneuvoston asetuksissa on tarkemmat säännökset ministeriön tehtävistä. Eri alojen lain-säädännössä, laeissa, asetuksissa ja valtioneuvoston periaatepäätöksissä on eri-tyisiä säännöksiä ministeriöiden toimialaan kuuluvista asioista.
181.3 Turvallisuusympäristö ja arvio sen kehittymisestä
Valtionhallinnon kaikki toiminta on verkostoitunutta sekä julkishallinnon sisällä että yhteiskunnan muiden toimijoiden kanssa myös kansainvälisesti. Hallinnon palvelut ja toiminnot rakentuvat tietoteknisten peruspalvelujen ja sovellusten sekä perusrekisterien ja muiden tietovarantojen varaan. Näiden toiminta riippuu korostuneesti tietoliikenteen toimivuudesta ja sähkön saata-vuudesta. Tätä palveluverkostoa ylläpitää valtionhallinnon sisäisistä ja ulkoi-sista palvelutoimittajista muodostuva verkosto.
Kuva 3. Turvallisuusympäristön hallinta edellyttää yhteistoimintaa
YhteiskuntaGlobaaliympäristö
Infrastruktuurin käytettävyys
YhteiskuntaGlobaaliympäristö
Infrastruktuurin käytettävyys
KansalaisetJulkishallinto
Elinkeinoelämä
ICT-palvelut
CERT-FI24/7
Oma toiminta
Palveluntuottajat -
Tilanne-tietoisuus
•Uhkien tunnistaminen ja seuranta •Riskien hallinta•Häiriötilanteet•YETTS -erityistilanteet
•Uhkien tunnistaminen ja seuranta •Riskien hallinta•Häiriötilanteet•YETTS- erityistilanteet
Turvallisuusympäristön
muutokset
Valtionhallinnon, hallinnonalojen, virastojen ja kuntien toiminnan ja palve-lujen jatkuvuuden takaaminen ja tiedon turvaaminen edellyttävät palveluverko-ston varautumista ICT-toiminnan häiriötilanteisiin. Normaaliolojen häiriöti-lanteita varten toteutetut toimintamallit ja ratkaisut ovat perusta erityistilante-iden hoitamiselle ja toiminnalle poikkeusoloissa.
Todennäköisyys tilanteelle, jossa samanaikaisesti tapahtuu useita erityyp-pisiä häiriötilanteita kasvaa jatkuvasti. Tämän päivän tietotekniselle toimint-aympäristölle on tyypillistä uhkien äkillinen realisoituminen sekä niiden vai-kutusten nopea ja ennalta arvaamaton laajentuminen.
Häiriö voi syntyä luonnonilmiöstä, onnettomuudesta, sähkökatkosta, tietojärjestelmävirheestä, laatuvirheestä, tietoliikennekatkosta, laiteviasta, toim-inta- tai käyttövirheestä, tietokatkosta tai väärinymmärryksestä. Häiriö voidaan aiheuttaa myös tahallisesti, kuten tietoverkkoon (ml. laitteisiin, järjestelmiin) kohdistettu vahingonteko, ilkivalta tai tietoverkkohyökkäys. Tietoteknisesti tai fyysisesti heikosti suojattu palvelu (mukaan luettuina järjestelmät, sovel-lukset, tietoverkot, tieto) voi olla tietojen urkinnan tai muun rikollisen toim-
19innan kohde; tietojärjestelmän haltuunotonyritys tai palvelun lamauttaminen. Järjestäytyneen rikollisuuden ja valtiollisen tiedustelutoiminnan kohdistamien haittaohjelmien kautta luottamuksellisia tietoja voi joutua asiaankuulumatto-mille tahoille.
Yhtenä keskeisenä haasteena häiriötilanteissa on osaavan henkilöstön tav-oitettavuus ja saatavuus. Osaamisen saatavuuteen ja käytettävyyteen oman riskinsä voi muodostaa myös työtaistelutoimet, yritysten myynti, agressiiviset henkilöstön värväämiset kilpailevista organisaatioista sekä lamasta johtuvat henkilöstön irtisanomiset.
Kuva 4. Uhkat kohdistuvat koko palveluverkostoon
Virasto y
Järjes-telmä A
Järjes-telmä B Perus-
rekisteri
Tietovaranto
Palvelujentuottajat
Ministeriö x
ÄkillisyysEnnakoimattomuusEskaloituminen
?
YETTS -erityistilanne
Normaaliolojen häiriöt
Palvelujenkäyttäjät
Sidosryhmät
sekuntteja – minuutteja – tunteja – vuorakausia -- viikkojapaikallinen – alueellinen – valtakunnallinen -- globaali
Kunta z
Uhkaympäristö
Häiriöt eri turvallisuustilanteissa ovat samantyyppisiä, mutta niiden kohde, laatu ja vaikutus voivat vaihdella. Häiriö- ja erityistilanteet voivat vaikuttaa suoraan tietotekniseen kokonaisuuteen tai välillisesti ICT:n tukirakenteisiin (esimerkiksi henkilöstöön). Erityistilanteiden hoitamiseen liittyvät kansalais-ten ja yhteiskunnan tarpeet saattavat myös asettaa lisävaatimuksia sähköisille palveluille ja tietojärjestelmille.
20Seuraavassa taulukossa on karkea arvio YETTS-erityistilanteista niiden
ICT-vaikutuksen pohjalta.
YETTS uhkamalli ICT-vaikutusSähköisen infrastruktuurin häiriintyminen A
Väestön terveyden ja toimeentulon vakava häiriintyminen D/C
Taloudellisen toimintakyvyn vakava häiriintyminen D/C
Suuronnettomuudet ja luonnon aiheuttamat onnettomuudet B/A
Ympäristöuhkat C
Terrorismi sekä järjestäytynyt ja muu vakava rikollisuus B/A
Väestöliikkeisiin liittyvät uhkat D
Poliittinen, taloudellinen ja sotilaallinen painostus B
Sotilaallisen voiman käyttö A
Selite:A = vaikutus kohdistuu suoraan ICT-infrastruktuuriinB = vaikutus kohdistuu ICT-infrastruktuurille välttämättömiin tukirakenteisiin ja heikentävät
ICT:n käytettävyyttäC = Erityistilanteen hoitaminen aiheuttaa merkittäviä erityisvaatimuksia valtiohallinnon
ICT:n toiminnalle ja käytettävyydelleD = Tilanteen hoitaminen asettaa erityisvaatimuksia hallinnonalan sisäiselle ICT:lle
Organisaatioiden on analysoitava tehtäviään ja toimintaansa YETTS-eri-tyistilanteiden suhteen ja tuotettava tästä tarpeet toimintansa jatkuvuuden hallinnalle sekä vaatimukset ennakolta tehtäville suojaamis- ja varmentamis-toimenpiteille.
21
2 ICT-varautumisen ohjaus2.1 ICT-varautumisen ohjauksen kehittäminen
Tavoite ICT-varautumisen ohjauksen kehittämisessä:
ICT-varautuminen on kiinteä osa valtion tietohallinnon kehittämistä ja toteut-•tamista ohjaavissa strategioissa ja muissa asiakirjoissa.
ICT-varautumiselle asetetaan kaikilla tasoilla selkeät tavoitteet, resurssit ja mit-•tarit osana normaalia tulosohjausprosessia ja tarkastustoimintaa.
Tavoiteltava hyöty
ICT-varautumisen kytkeminen tiiviisti tulosohjausprosessiin mahdollistaa tar-•peisiin perustuvien tavoitteiden asettamisen, oikein mitoitettujen resurssien osoittamisen sekä saavutettujen tulosten todentamisen.
Mahdollistaa järjestelmien toteuttamisen hallinnonaloilla kokonaistaloudelli-•sesti siten, että niiden toiminta jatkuu hallitusti sekä häiriötilanteissa että vai-keissa erityistilanteissa.
ICT-varautumisen toimenpiteiden ohjaaminen ja raportointi toteutetaan nor-maalin toiminnanohjauksen yhteydessä. Tätä on muun muassa strateginen suunnittelu, arkkitehtuurien määrittäminen, toiminnan ja talouden suunnit-telu, laatujärjestelmä, hankeohjaus ja hankintojen ohjaus. Tukevia toimintoja ovat muun muassa raportointi sekä tarkastustoiminta, kuten controller-toi-minta, sisäinen tarkastus ja erilaiset auditoinnit.
Kehitettäessä ICT-varautumisen ohjausta virastoissa osana muuta toimin-nan ohjausta tulee ottaa huomioon seuraavat asiakokonaisuudet:- ohjaavat säädökset ja niiden kehittämistarpeet- ICT-varautumisen huomioiminen strategia-asiakirjoissa, TTS, TA- ja
tulosohjausprosessissa sekä työjärjestyksissä ja tehtäväkuvauksissa- hankeohjaus ja hankintaprosessit.
222.2 Valtiotason ohjaus
Varautumisen kokonaisohjauksesta vastaa valtioneuvoston kanslia ja kukin ministeriö oman hallinnonalansa osalta. Yhteensovittaminen valtioneuvos-tossa virkamiestasolla tapahtuu ministeriöiden kansliapäällikkö- ja valmius-päällikkökokouksissa.
Valtion yhteistä IT-toimintaa ja ICT-varautumista ohjaa valtiovarainminis-teriö tukenaan valtion IT-johtoryhmä. VAHTI-johtoryhmässä koordinoidaan valtionhallinnon tietoturvallisuuden johtamista ja kehittämistä VAHTI-ohjeis-ton avulla. Hallinnonalat ohjeistavat lisäksi omaa toimintaansa.
Turvallisuus- ja puolustuspoliittisesta selonteosta ja Yhteiskunnan elintärke-iden toimintojen strategiasta on johdettavissa suoraan ja välillisesti velvoitteita varautumisen toteuttamiselle.
Seuraavassa kuvassa on esitetty varautumisen toteutuksen ohjauksen osa-alueita.
Kuva 5. Ohjauselementit
Todennus:• VTV• controller• sis. tark.• harjoitukset
Jatkuvuuden hallinta
Erityistilanteen hallinta Toipuminen
Perusteet:• säädökset• työjärjestys• toiminta-
Strategiat:• Hallitus-
ohjelma• VNS• YETTS
Toiminnan ohjaus:• TTS, TA• tulosohjaus• tuotannon
• raportointi
Kehittämisen ohjaus:• arkkitehtuuri• kärkihankkeet• hankeohjaus• hankinta
Tilannetietoisuus
Toimeenpanonohjaus
VARAUTUMINEN
ICT-VARAUTUMINENTietohallinto - Turvallisuus – Tietoturva - Valmius
ohjaustapa
MinisteriötVirastot
232.3 Ohjaus hallinnonaloilla
Ministeriössä hallinnonalan varautumisesta vastaa kansliapäällikkö. Valmi-uspäälliköksi nimetään ministeriön ylimpään johtoon kuuluva virkamies. Tietohallintojohto vastaa ICT-varautumisen toteuttamisesta tietohallinnon osa-alueella. Varautumista toteutetaan myös yleisen turvallisuuden ja tieto-turvallisuuden osa-alueilla. Valmiusjohdon sekä tietoturva-, turvallisuus- ja tietohallintojohdon roolien ja vastuiden ICT-varautumisen johtamisessa tulee virastoissa olla selkeitä ja näkyä työjärjestyksissä ja tehtäväkuvauksissa.
Hallinnonalojen ja virastojen tehtävien hoitaminen edellyttää useimmiten yhteistoimintaa muiden hallinnonalojen, virastojen ja yhteiskunnan kanssa. Kukin ministeriö vastaa lakisääteisin tehtäviinsä liittyen myös talouselämän ohjauksesta. Huoltovarmuuskeskus (HVK) tukee ministeriöitä varautumisen kehittämisessä siltä osin, kuin se koskee elinkeinoelämää
Osaamisen ja tiedonkulun varmistamiseksi normaaliolon toimintamalli ei saisi merkittävästi muuttua häiriötilanteiden ja poikkeusolojen johtamisessa. Kukin virasto ja laitos vastaavat itse varautumisen toimenpiteistä hallinnonal-ansa ohjeiden ja omien tarpeidensa mukaisesti. ICT-varautumisen toteuttamista ohjataan myös virastojen väliseen yhteistoimintaan ja keskinäisiin sopimuksiin perustuen. Keskeistä on varmistua, että suunnitellut ja toteutetut toiminnot ja palvelut vastaavat asetettuja vaatimuksia ja solmittuja sopimuksia. Laadusta ja toimivuudesta on kyettävä varmistumaan ennalta. Keskeisinä elementteinä tässä ovat controller-toiminta, sisäinen tarkastus sekä kokonaisuuden kaik-kiin osa-alueisiin kohdistuva auditoinnit. Tarkastustoiminnan ja auditoinnin on kohdistuttava sekä sisäisiin että ulkoisiin toimintoihin ja ulotuttava syvälle palvelua tuottavaan palveluketjuun tai -verkostoon.
24
25
3 Vaatimusten asettaminen ICT-varautumiselle
3.1 ICT-varautumisen vaatimusten asettaminen
Tavoite ICT-varautumisen vaatimusten yhtenäistämisessä ja kehittämisessä:
ICT-varautumisen vaatimukset vastaavat normaaliolojen häiriötilanteiden, eri-•tyistilanteiden ja poikkeusolojen tarpeisiin.
Hallinnonalat tunnistavat osana omia prosessejaan palvelujensa kriittisyyden •ja määrittävät niiden sijoittumisen eri vaatimustasoille.
Valtionhallinnon palvelut on toteutettu vaatimustasojen mukaisesti.•
Vaatimukset, vaatimustasot ja niiden noudattaminen tarkastetaan VM:n johta-•mana YETTS:n tarkastamiseen liittyen säännöllisesti.
Tavoiteltava hyöty:
Vaatimustasot yhdenmukaistavat ICT:n toteuttamista ja mahdollistavat yhteis-•mitallisten tavoitteiden ja resurssien kohdentamisen ja varautumisen toteu-tuksen seurannan.
Verkostoituneessa ympäristössä vaatimusten noudattaminen mahdollistaa teh-•tyjen ratkaisujen monistamisen sekä resurssien kustannustehokkaan käytön ja erityistilanteiden hallinnan.
ICT-varautumisen perustan luovat toiminnalliset vaatimukset, joissa on huo-mioitu myös YETT-strategiassa kuvatut erityistilanteet. Virastojen on oman toimintansa kannalta arvioitava ICT-palveluille asetettavia vaatimuksia. Täl-löin on otettava huomioon, suunniteltava ja ohjeistettava mm seuraavat asiat:- perus-, korotetun ja korkean tason vaatimukset, kontrollit ja mittarit- toteutussuunnitelman realistisuus- toteutuksen ohjaus, itsearvioinnit ja raportoinnit - auditoinnit, tarkastus- ja controller-toiminta.
26Organisaation johto vastaa palveluiden kriittisyyden määrittämisestä. Kriit-
tisimmät ja keskeisimmät tietotekniikan varassa olevat ydintoiminnot on kuvat-tava. Näistä on johdettava selkeät jatkuvuusvaatimukset palveluille. Tietojärjest-elmäratkaisut ja -palvelut tulee varmistaa tunnistettujen vaatimusten mukai-sesti tavanomaisten häiriöiden lisäksi myös erilaisia vakavia häiriöitä ja poik-keusoloja kestävillä järjestelyillä.
ICT-varautumisen toteuttamisen kannalta organisaatioiden tulee kriittis-esti arvioida: - Miten organisaatiossa analysoidaan ydintehtävien, kriittisten toimintojen,
niiden tarvitsemien tietoteknisten palvelujen ja hallinnonalojen välisten ICT-toimintojen riippuvuuksien kannalta YETTS:n erityistilanteiden hal-lintakyky?
- Mikä on organisaation johdon ja tietohallintojohdon välinen yhteistyö ja vastuunjako määritettäessä organisaation toiminnan tarpeita, ICT-varau-tumisen vaatimuksia ja tehtäviä sekä varautumisen luomia mahdollisuuk-sia toiminnalle?
- Miten ICT-varautumista tulee toteuttaa hallinnollisessa ja teknisessä rakenteessa ottaen huomioon järjestelmien ja palvelujen elinkaari sekä eri-tyistilanteet?
Kuva 6. Vaatimusten muodostaminen toiminnan tarpeista
Valtioneuvoston ohjaus
Ydintehtävät
Toiminta-analyysiKeskeinen toiminto/prosessiTärkeät sidosryhmätVälttämätön palvelu ja tieto
Strategiat, ohjausasiakirjat• Toiminnan tarpeet ICT:lle• Palvelutasovaatimukset
esitutkimus määrittelysuunnittelutoteutus
Osa
amin
enO
saam
inen
YETTS-ERITYISTILANTEET
käyttöylläpitohäiriön hallintapalautuminen
Varautumisen toteutus palvelussa
Jatk
uvuu
den
halli
nta
Sotilaallisen voiman käyttöPoliittinen, taloudellinen ja
sotilaallinen painostusVäestöliikkeisiin liittyvät uhkat
Terrorismi sekä järjestäytynyt jamuu vakava rikollisuus
YmpäristöuhkatSuuronnettomuudet ja
luonnon aiheuttamat onnettomuudetTaloudellisen toimintakyvyn vakava häiriintyminen
Väestön terveyden ja toimeentuloturvanvakava häiriintyminen
Sähköisen infrastruktuurin häiriintyminen
Johtaminen ja yhteistoimintatoiminta - tietohallinto - tietotekniikka
Sähköiset palvelutTietovarannot ja rekisterit
- sisäiset - ulkoiset - yhteiset -
Tietotekniset peruspalvelutTietotekninen infrastruktuuri
Tukevat rakenteet
Stra
tegi
set-
ja
ydin
teht
ävät
ICT-palvelun jatkuvuus
Strategiset tehtävät
27Palvelujen käyttäjistä ja ylläpitäjistä koostuviin palveluverkostoihin osallis-
tuu hallinnon eri osapuolia, kansalaisia, yhteisöjä, yrityksiä ja ICT-palveluntuot-tajia. Keskeistä on varmistua, että koko palveluverkosto kykenee sekä normaa-liajan häiriötilanteissa että YETTS:n mukaisissa erityistilanteissa jatkamaan toimintansa asetettujen vaatimusten mukaisesti.
Organisaation tulee varmistua, että vaatimukset periytyvät ulkoiselle tai sisäiselle sopimuskumppanille ja että nämä huolehtivat niiden periytymisestä alihankkijoilleen.
Kuva 7. Vaatimusten välittyminen toimintaverkostossa
Käyttäjä Hankkija Myyjä Integraattori Toteutus ja ylläpito
Tarpeiden ja vaatimusten välittyminen ??
Onko palvelut ja järjestelmät toteutettu toiminnan tarpeita vastaavasti?
Yritys CYritys B
Yritys A
Yritys D
Yritys FYritys E
Rajoitteiden/riskien välittyminen ??
Onko ylläpitoon liittyvät käyttö- ja tukipalvelut sekä tarvittavat resurssitkäytettävissä myös erityistilanteissa ja poikkeusoloissa?
3.2 ICT-varautumisen, jatkuvuuden ja tietoturvan vaatimustasot
Kriittisten toimintojen jatkuvuusvaatimukset edellyttävät toiminnallisten ja teknisten vaatimusten asettamista normaaliolojen häiriö- ja erityistilanteiden sekä poikkeusolojen varalle. Valtionhallinnossa otetaan käyttöön yhtenäiset jatkuvuuden, tiedon turvaamisen ja ICT-varautumisen vaatimukset. Vaati-muksille määritetään kontrollit ja mittarit itsearviointia, raportointia, audi-tointia ja tarkastustoimintaa tukemaan. Vaatimukset ryhmitetään kolmelle tasolle: perus, korotettu ja korkea. Vaatimuksia asetetaan organisaation toi-minnalle, palveluille ja ICT:n toteuttamiselle seuraavan kuvan mukaisesti.
28Kuva 8 Esimerkki ICT-varautumisen vaatimustasoista, sekä niitä tukevat tietoliikenneratkaisuista ja palveluyksiköistä ja palveluista
Palvelu-toimit-tajat
VIP
Hallinnonpalvelu-yksiköt
Julkinentietoliikenne
Valtion
turvallinen
tietoliikenne-
ratkaisu
Vaatimukset ja kontrollit
PERUSTASO
KOROTETTU TASO
välivaiheen tilanne organisaatioiden,palvelujen ja järjestelmien siirtyessäperustasolle
KORKEA TASO
• verkostoituneen sähköisen asioinnin minimi• riittävä palautuminen normaaliolojen
häiriötilanteissa
• toteutettavissa normaaleilla kaupallisilla palveluilla ja sopimuksilla
• kriittisten toimintojen minimitaso• nopea palautuminen vaikeissa
erityistilanteissa
• toiminta poikkeusoloissa • erityisvaatimuksia omalle osaamiselle
S IIRTYMÄ TASO
TUVE
Tietoliikenne PalveluyksikötPalvelut
Turvallisuus-ja pelastusalan
operatiivisetpalvelut
Perus-rekisterit,
potilastieto-järjestelmät
Hallinto-palvelut
PVJJK
HALTIK
•
Jokaisen julkishallinnon organisaation sekä näiden yhteistyökumppanien ja palvelujen on täytettävä perustason vaatimukset. Organisaation on määritettävä mitkä sen palveluista ja järjestelmistä edellyttävät korotettua tai korkeaa tasoa. Tässä arvioinnissa on otettava huomioon myös palvelua käyttävien sidosryh-mien tarpeet. Ministeriöt päättävät hallinnonalansa korkealle tasolle sijoitet-tavista järjestelmistä. Valtionhallinnon yhteisten sekä usean hallinnonalan toimintaan vaikuttavien palvelujen ja järjestelmien sijoittaminen korkealle ja korotetulle tasolle koordinoidaan keskitetysti VM:n johtamana.
Perustaso mahdollistaa turvallisesti normaalin, voimakkaasti verkostoi-tuneen hallinnon toiminnan. Normaaliolojen häiriötilanteista selviydytään toiminnan vaatimuksia vastaavasti yhtenäistetyillä, normaaleilla palveluso-pimuksilla. Taso vastaa normaalin liikeyrityksen laadukasta toimintaa. Perusta-solle sijoittuvat esimerkiksi asianhallinnan ja henkilöstöhallinnon järjestelmät. Perustason toteuttaminen ei aiheuta merkittäviä lisäkustannuksia, mikäli vaa-timukset otetaan huomioon esitutkimusvaiheesta alkaen kehitettäessä organ-isaatiorakenteita, toimintamalleja, palveluita ja järjestelmiä.
Korotettu taso on tarkoitettu organisaation kriittisille toiminnoille. Vaa-timusten kontrollit on tiukennettu vastaamaan verkostoitumisen ja YETT-strategian erityistilanteiden asettamia vaatimuksia. Vain osa organisaation toiminnasta, palveluista ja järjestelmistä on tarkoituksen mukaista toteuttaa tällä tasolla. Korotetun tason järjestelmiä ovat esimerkiksi potilastietojärjest-elmä ja perusrekisterit. Myös sähköposti tai organisaation joku muu sanoman
29välitysjärjestelmä on hyvä sijoittaa korotetulle tasolle erityistilanteiden toim-intaa varmistamaan.
Korkea taso vastaa poikkeusolojen ja laajojen vaikeiden erityistilanteiden tarpeita. Korkean vaatimustason järjestelmiä ovat esimerkiksi turvallisuusvi-ranomaisten operatiiviset järjestelmät. Korkean tason vaatimukset asettavat merkittäviä lisävaatimuksia organisaation toiminnalle, osaamiselle ja järjest-elmien toteutukselle.
30
31
4 Osaamisen hallinta
Tavoite osaamisen hallinnan kehittämisessä:
Kriittisten toimintojen osaamistarpeet on tunnistettu. •
Osaamisen saatavuus ja käytettävyys palveluverkostossa on suunniteltu ja •ylläpidetty tavalla palvelutasovaatimusten mukaisesti häiriö- ja erityistilanteet huomioiden.
Henkilöstöön kohdistuvat vaatimukset on määritetty ja nämä on huomioitu teh-•täväkuvauksissa, tehtäväkierrossa, rekrytoinnissa sekä koulutusjärjestelyissä.
Tavoiteltava hyöty:•
Kriittisen toiminnan edellyttämä osaaminen on käytettävissä häiriö- ja erityis-•tilanteissa.
Kyetään hyödyntämään valtionhallinnon organisaatioissa ja palvelutoimittajilla •olevaa erityisosaamista poikkihallinnollisesti.
Osaamista kyetään varmistamaan ja kehittämään henkilöstömuutosten sekä •muuttuvien uhkakuvien ja vaatimusten mukaisesti.
Harjoitustoiminnalla kyetään kehittämään ja varmentamaan palveluketjun toi-•mivuutta erityistilanteissa.
Osaamisen hallinnan kehittämisessä on huomioitava seuraavat osa-alueet:- Osaamistarpeet ja saatavuus
ydintoimintojen osaamistarpeet, osaamisprofiilit•resurssikartoitus, erityisosaajien saatavuus•osaamispoolien, -verkostojen ja –keskusten tarve.•
- Koulutus- ja harjoitustoimintakoulutuskartta soveltuvasta koulutuksesta, koulutussuunnitelmat•erityiskurssien tarve•koulutus- ja harjoitteluympäristöt•harjoitustoiminta, tilannekuvausrekisterit.•
32Organisaatioiden on tunnistettava keskeisimpien palvelujensa sekä niitä
mahdollistavien ICT-palvelujen ja –järjestelmien edellyttämät toiminnan jat-kuvuuteen liittyvät osaamistarpeet. Usein tukijärjestelmän ja erikoiskompo-nenttien edellyttämä syväosaaminen on saatavissa vain valmistajan asiantun-tijoilta ulkomailta. Korkean tason järjestelmissä on varmistettava, että myös poikkeusoloissa on Suomessa tarkka tekninen dokumentaatio ja minimimäärä syväosaamista. Kussakin turvallisuustilanteessa ko. hetkellä käytössä olevat ja käyttöön saatavat osaamisresurssit on kyettävä selvittämään.
Varautuminen erityistilanteisiin asettaa vaatimuksia osaamiselle palvelu-prosessin kaikissa vaiheissa: ohjaus ja johtaminen, suunnittelu, määrittely ja kil-pailutus, toteuttaminen, palvelujen käyttö ja ylläpito, häiriötilanteiden hallinta ja palvelun palauttaminen. Organisaation oman henkilöstön osaaminen yhdessä palvelua tuottavan toimittajaverkoston osaamisen kanssa muodostavat perustan varautumiselle. Mitoituksessa on huomioitava osaamisen määrä, laatu, ylläpito, tekninen tukeminen, palveluverkostolta edellytettävä osaaminen ja osaamisen täydentämismahdollisuudet erilaisissa tilanteissa. Vaikeissa erityistilanteissa henkilöstön käyttötarve on huomattavan suuri, mutta käyttöön saatavat hen-kilöresurssit ovat usein huomattavasti normaalitilannetta vähäisemmät.
Osaaminen ja sille kohdistettavat vaatimukset vaihtelevat riippuen hallinnon tasosta ja toimialasta. Vaatimukset ulottuvat tietohallinnon henkilöstön lisäksi myös ylimpään johtoon ja tietotekniikan käyttäjiin.
Seuraavassa taulukossa on esimerkki osaamisvaatimusten asettamisesta.Organisaatioiden tulisi luoda kartta eri tehtävien edellyttämästä osaamisesta
sekä tarvittavasta lisäkoulutuksesta. Osaamisen kehittämistä tukevat tietotur-van, yritysturvallisuuden ja informaatiosodankäynnin koulutukset.
Toiminnan jatkuvuuden hallintakykyä organisaatioissa ja palveluverko-stoissa arvioidaan jatkuvuussuunnitelmien mukaisten menettelytapojen tes-tauksilla ja harjoituksilla, kuten valmiusharjoituksilla. Valtionhallinnon laa-jojen harjoitusten, kuten VALHA- ja TIETO -harjoitukset sekä hallinnonala- ja virastokohtaisten harjoitusten tulee muodostaa yhtenäinen kokonaisuus. Tähän tulee liittää koko palveluketjun/-verkoston tarkastelu sekä kriittisten palvelujen todellisen toteutumisen tutkimus- ja testaustoiminta. On muistettava, että yri-tyksillä voi olla palveluverkostossa monia erilaisia rooleja, kuten yhteiskunnalle elintärkeän palvelun huoltovarmuuskriittinen tuottaja, ICT-palvelurakenteiden ja palvelujen ylläpitäjä, substanssitoimija osana julkishallinnon verkostoitunutta toimintaa tai tuotetun palvelun hyödyntäjä.
33Taulukko 1. Esimerkki henkilöstöryhmille asetettavista osaamistarpeista
Toiminto/ prosessi
Säädös-pohja
Varautu- minen
Tietohal- linnon johtaminen
Tietotek- niikan johtaminen
Tietotekniikan ja –turvalli-suuden erityis- kysymykset
Turvalli-suus jatietoturva
Valtionhallinto
Ylin johto
Yleisjohto
ICT-johto
Valmiusjohto
Palveluyksikkö
Palvelutoimittaja
Konsultointi
Järjestelmätuotanto
Käyttöpalvelu
Selite:
Syvä asiantuntemus, mahdollistaa substanssin suunnittelun ja ohjauksen
Hyvät perustiedot, mahdollistaa hyödyntämisen ja toimintojen suunnittelun ja ohjauksen
Yleiskäsitys, mahdollistaa hyödyntämiseen osallistumisen
Ei erityisvaatimuksia
34
35
5 Palveluverkoston hallinta ja hyödyntäminen
Tavoite palveluverkoston hallinnan ja hyödyntämisen kehittämiselle:
Valtionhallinnon ja kriittisten palvelujen tuottajaverkoston yhteistoiminta on •saumatonta ja pitkäjänteistä.
Yhteistoimintaa ohjaavat yhteiset tavoitteet, vaatimukset ja periaatteet. •
Sopimusrakenteet sekä yritysten että valtionhallinnon palveluyksiköiden kanssa •ovat yhdenmukaiset koko valtionhallinnossa ja tärkeimmiltä osin keskitetysti toteutetut.
Sopimuksissa otetaan myös huomioon erityistilanteet ja poikkeusolot.•
Tavoiteltava hyöty:
Yhdenmukaistetaan ja parannetaan palvelujen jatkuvuutta.•
Mahdollistetaan palvelusopimusten ulottaminen kaikkiin erityistilanteisiin.•
Helpotetaan palvelusopimusten laadintaa ja kontrollointia.•
Luodaan palveluntuotannon ohjausmahdollisuus eri hallinnon tasoille; valtion-•hallinnon kokonaisuudesta hankkeisiin.
Kehitettäessä yhteistoimintaa sisäisten ja ulkoisten palvelutuottajien kanssa on otettava huomioon ainakin seuraavan kuvassa esitetyt asiat.
36
Palveluverkoston hyödyntäminen ja hallinta
-ICT-varautumisen hallinta palvelusopimuksissaPalveluun liittyvän tuotantoketjun hallinta
alihankintaverkon kuvaukset, riippuvuusanalyysit
toimittaja-analyysit, auditointiraportti
turvallisuusselvitykset, tietoturvakäytännöt
yhteistoimintamalli
yhtenäinen sopimuskäytäntö
SLA :t, mallisopimukset
sopimushallintamalli alihankintaverkolle
Kuva 9. Palveluverkoston hyödyntäminen ja hallinta
KäyttäjätMinisteriötVirastotLaitokset
ASIAKASKENTTÄ PALVELUTOIMITTAJAT
Sisäisethankkijat
Palvelukes-kukset
Tietohallin-toyksiköt
Toimittajat Alihankkijat
Tukipalvelut
Valtiohallinto
Integraattorit
Käyttöpalvelut
Konsultointi
Palveluyksikkö
Ohjelmistokehitys
Help Desk
Muut
Kaivuuty öt
Tilahuolto
Rakentaminen
Siivous
Materiaali
ICT-tukiVartiointi
Varastot
Logistiikka
Laitetoimitus
Tukipalvelut
Järjestelmät
Operaattorit
Valtionhallinnon toiminta, tietotekninen infrastruktuuri ja palvelut verkot-tuvat ja rakentuvat muun yhteiskunnan palvelujen varaan. Ne ovat vahvasti riippuvaisia ulkoisista palvelutoimittajista ja näiden tuotantorakenteista sekä palvelutuottajien välisistä verkostoista, alihankintaketjuista ja sopimussuhteista. Yritysten toiminnan lähtökohtana ovat liiketoiminnalliset perusteet, sopimukset sekä näihin liittyvä riskienhallinta. Yritysten tarjoamat palvelut on mitoitettu hyvin usein normaaliolojen häiriötilanteisiin ja niitä rajaavat toimitusehtojen force majeure -kohdat.
Organisaatioiden on kyettävä hahmottamaan kriittisten palvelujensa riip-puvuudet eri tuotannon tekijöistä ja toisista prosesseista, jotta vaatimukset ja toimenpiteet kyetään mitoittamaan ja kohdentamaan oikein. Tärkeää on myös tunnistaa, kuinka kriittisiä käsiteltävät ja välitettävät tiedot ovat yhteiskunnan elintärkeiden toimintojen kannalta.
Palveluketjua on esitetty seuraavassa kuvassa.
Kuva 10. Esimerkki palveluketjun rakenteesta
37Organisaatioiden on huolehdittava kriittisten palvelujen jatkuvuudesta nor-
maaliolojen häiriötilanteiden lisäksi myös YETT-strategian mukaisissa erity-istilanteissa ja poikkeusoloissa. Vakavissa erityistilanteissa palvelutoimittajat joutuvat priorisoimaan erityisesti jatkuvuuteen ja palautumiseen liittyviä käyt-täjien tarpeita voimakkaasti. Priorisointi perustuu pääsääntöisesti sopimuseh-toihin ja niistä aiheutuviin sanktioihin.
Palveluja kilpailutettaessa on vaatimuksissa ja valintakriteereissä otettava huomioon palvelun jatkuvuuden ja tiedon turvaamisen näkökulmat. Resurssien käytettävyys eri turvallisuustilanteissa tulee varmistaa. Omistajamuutokset, globalisoituminen sekä EU:n vapaa työvoiman ja henkilötietojen liikkuvuus asettavat erityisiä vaatimuksia sopimusmenettelyille ja yritysverkoston hallin-nalle. Tämän tulee näkyä palvelusopimuksissa, alihankintasopimuksien hal-linnassa sekä koko sopimusjärjestelmän ja palveluntoimittajien toimintamallin arvioinnissa, katselmoinnissa, auditoinnissa ja raportointikäytännöissä. Palve-luntarjoajat on sopimuksin velvoitettava huolehtimaan varautumisvaatimusten siirtämisestä alihankkijaverkostonsa sopimuksiin.
Sopimusvelvoitteiden valvonta ja auditointi on sovittava. Viranomaiset eivät voi ohjata priorisointia ilman poikkeusolojen säädännön valtuuksia. Mikäli kriittisten toimintojen jatkuvuus vakavissa turvallisuustilanteissa edellyttää kansallista ohjausta ja osaamista, tulisi palveluketjujen keskeisten osien ja toi-mintojen olla kattavasti Suomen säädännön ja käytäntöjen piirissä ja useim-miten myös Suomessa toteutettuja. Keskeisten toimintojen ulkomailla toteutet-tavat palvelut on voitava tarvittaessa siirtää Suomeen olemassa olevia resursseja ja osaamista vahvistamalla.
38
39
6 Tilannetietoisuus ja riskienhallinta
6.1 Tilannetietoisuuden kehittäminen
Tavoite ICT-varautumisen tilannetietojen kehittämisessä:
Hallinnonaloilta ja virastoista saadaan yhdenmukainen ICT-tilannetieto osana •normaalia raportointia ja tilastointia.
Päätöksenteon perustaksi kyetään tuottamaan häiriö- ja erityistilanteiden hal-•linnan edellyttämä tieto hallinnonalojen järjestelmistä ja niiden merkityksestä erityistilanteessa sekä käyttöön saatavista resursseista.
Tavoiteltava hyöty:
Tilannetietojen kokoamisella ja analysoinnilla mahdollistetaan hallinnonaloilta, •virastoista ja ulkopuolisilta toimijoilta saatavan tilannetiedon yhdistely, analy-sointi ja jakaminen sekä ICT-varautumisen kehittämisen ohjauksen että häiriö-tilanteisiin liittyvän päätöksenteon tueksi.
Tilannekuvan keräämisellä parannetaan tietohallinnon ja tietotekniikan suunnit-•telua siten, että riittävän aikaisessa vaiheessa kehitetään kokonaisuutena myös varautumiseen ja jatkuvuuteen liittyviä perusedellytyksiä.
Mahdollistetaan käytettävissä olevilla resursseilla toiminnan tarpeiden mukai-•nen, luotettava ja kustannustehokas lopputulos.
ICT-varautumisen näkökulmasta tilannetietoisuudessa keskeistä on tietojen kokoaminen ja esittäminen sekä kyky niiden käsittelyyn ja analysointiin. Kes-keisiä tarvittavia tietokokonaisuuksia on esitetty seuraavassa kuvassa.
40Kuva 11. Tilannetietoisuuden tietosisältöä ICT-varautumisen kannalta
Tilannetietoisuus
ICT-tilannetietojenICT-tilannetietojen kokoaminen, käsittely, analysointi ja välittäminen
Voimassa olevat ohjausasiakirjat
säädöspohja, strategiatohjeetarkkitehtuurikartta
Raportointitiedot
auditointiraportti
laitetilaraporttitietoverkkoraportti
riskiraportti
Palvelu- ja järjestelmätilannevaatimusten mukaisuus
järjestelmärekisterikäyttöpalvelurekisterikalustorekisteriSLA tilanne
Tapahtumatiedottapahtumarekisteri
uhkarekisteri
Tärkeysluokitukset japriorisointi
tärkeysluokitus
riippuvuuskuvaus
Suunnittelu ja muutostiedotICT hankerekisteri
Palveluverkostosopimusrekisteri
turvallisuussopimusvarautumisvaatimustoimittajariskitalihankintakuvaus
Päätöksenteko
johtamismallitukijärjestelmät
viestintä
Resurssitilanneosaamisrekisteri
kapasiteettiraportti
avainhenkilörekisteri
Toimintojen, järjestelmien ja palvelujen, sekä näiden suojaamis-, toipumis- ja vastatoimenpiteiden kehittämisen tarvitsema valtiohallinnon yhtenäinen tilannekuva muodostuu virastojen ja hallinnonalojen kokoamista tiedoista. Tietoja tuottavat käyttäjäorganisaatiot, kunnat, palveluyksiköt, ulkoiset palve-luntuottajat ja sidosryhmät sekä ohjausta, kehittämistä ja tutkimusta suoritta-vat organisaatiot. Tietoa käytössä olevasta tietotekniikasta ja sen käyttötavoista on kerättävä systemaattisesti.
Organisaatioiden on kyettävä erityistilanteissa lähes reaaliaikaisesti muo-dostamaan palvelukohtainen tilannekuva. Viestintäviraston CERT.FI-yksikkö muodostaa yhteiskuntaa koskevaa tietoteknistä haavoittuvuus- ja uhkatilan-nekuvaa. Näistä on kyettävä kokoamaan hallinnonalan ja valtion ICT-toim-innan tilannekuva, joka on kyettävä esittämään ja jakamaan valtionhallinnon sisällä eri tilannekuvajärjestelmissä. Valtionhallinnon yhteinen 24/7-toimin-non merkitys oikea-aikaiselle reagoinille ja haittavaikutusten minimoimiselle on merkittävä.
Tilannetietoisuus on myös perusedellytys totuudenmukaiselle ja oikea-aikaiselle sisäiselle ja ulkoiselle viestinnälle.
416.2 Uhka- ja riskianalyysin kehittäminen
Tavoite ICT-varautumisen uhka- ja riskianalyysin kehittämisessä:
Uhka-arvion ja riskienhallinnan yhtenäistämiseksi on käytössä yhteinen prosessi •ja ohjeistus, jotka palvelevat valtionhallinnon, virastojen sekä poikkihallinnol-listen toimintojen tasoa.
Uhka-arvioon liittyvien tietojen jatkuva systemaattinen kerääminen ja analy-•sointi sekä riskienhallintaa että oman toiminnan kehittämistä varten on toteu-tettu.
Tavoiteltava hyöty:
Yhtenäistämällä uhka- ja riskiarviointimenettelyjä säästetään suunnittelutyötä, •yhtenäistetään toimintamalleja, kohdennetaan varautumisen toimenpiteet ja resurssit kokonaisuuden kannalta tasapainoisesti ja tarkoituksenmukaisesti
Mahdollistetaan myös kansainvälisesti verkostoituneet palvelut tunnistetulla •ja hyväksyttävällä riskitasolla.
Kehittämisalueen sisältö on: - kriittisen ICT:n tunnistaminen: palvelut, järjestelmät, prosessit ja resurssit- riskien hallintaa tukevat prosessit ja työkalut: uhka-arvio, haavoittuvuus-,
vaikuttavuus- ja riskianalyysi sekä jatkuvuussuunnittelu- tutkimustoiminta: uhkaympäristö, teknologiahaavoittuvuudet, yritysver-
kostot, analyysit.
Kiinteänä organisaation toiminnan osana on varauduttava ICT-riskeihin ja niistä aiheutuvien häiriötilanteiden hallintaan. Riskianalyysissä yhdistyvät uhkien tunnistaminen, uhkien toteutumisen todennäköisyyden ja vaikutusten arviointi, suojaustoimenpiteiden toimivuuden arviointi sekä tarvittavien lisä-suojausten ja jäännösriskien arviointi.
Varautumisen perustaksi on laadittava uhka-arvio ja siihen liittyvät haavoit-tuvuusanalyysit. Uhka-arvion tulee perustua ajantasaiseen tietoon uhka-ympäristöstä, uhkien kohdistumisesta suojattavaan toimintaan, haavoittuvuuk-sista sekä mahdollisuuksista suojautua uhkia vastaan. Organisaatioiden on arvioitava erilaisten uhkien todennäköisyys, kesto ja laajuus sekä aiheutuvat välittömät ja välilliset tekniset, toiminnalliset, taloudelliset ja henkilöstövai-kutukset. Tietoteknisen infrastruktuurin tilanne ennen uhan kohdistumista vaikuttaa huomattavasti seurausten merkittävyyteen. Tällaisia tekijöitä ovat muun muassa olemassa olevat haavoittuvuudet, toteutetut suojaukset, toimin-nan korvattavuus, infrastruktuurin ja ylläpitoresurssien käytettävyys ja käyt-töaste, sekä muu tapahtumaympäristö Suomessa ja tietotekniikkatoimittajille oleellisessa kansainvälisessä ympäristössä.
42
Suojaus-toimenpiteet
(ICT-varautumisentasot)
Suojaus-toimenpiteet
(ICT-varautumisentasot)
Riskien-hallinta
Häiriötilanteenhallinnan
toimenpiteet
Häiriötilanteenhallinnan
toimenpiteet
Palautumisentoimenpiteet
Palautumisentoimenpiteet
Todentaminen:Raportointi
auditointi,
Todentaminen:Raportointi
auditointi , sis. tarkastus
• VN:n selonteot• YETTS• Uhkaskenaariot• ICT-häiriöt
• Säädäntö• VN:n
ohjesääntö jaohjeet
• Hallitusohjelma• Ulkoiset
riippuvuudet
Toiminnan ja talouden suunnittelu
Riski- / uhka-analyysi
Riski- / uhka-analyysi
Organisaation ja toiminnon
uhka-arvio
Organisaation ja toiminnon
uhka-arvio
Organisaation toiminnan analyysitehtävät ja suojattavat
asiat
Organisaation toiminnan analyysi
tehtävät ja suojattavatasiat
Käytettävissäolevat resurssit
Käytettävissäolevat resurssit
Jäännös-riskit
Jäännös-riskit
Riskianalyysistä ja vaatimusympäristöstä voidaan johtaa vaatimukset ICT-varautumiselle sekä määrittää ennalta valmisteltavat suojaustoimenpiteet, toi-mintatapa häiriötilanteiden hallitsemiseksi sekä toiminnan palauttamiseksi normaaliksi.
Verkostoituneen toiminnan turvaaminen edellyttää yhtenäisiä uhka-arvion perusteita, uhka-arvioita, riskienhallinnan menetelmiä sekä systemaattista prosessia näiden hallintaan. Perusteita uhka-arvioon luo hallitusohjelma, hal-lituksen strategia-asiakirja (HSA), valtioneuvoston selonteko turvallisuus- ja puolustuspolitiikasta, YETT-strategia sekä muut hallinnonaloja ohjaavat val-tioneuvoston periaatepäätökset.
Riskienhallinnan kokonaisuutta havainnollistetaan seuraavassa kuvassa.
Kuva 12. Riskienhallintaprosessi ICT-varautumisen näkökulmasta
Yhtenäisellä uhka-arviorakenteella mahdollistetaan toimenpiteiden oikea ja kustannustehokas kohdentaminen. Uhka-arvio on edellytys riskianalyysin sekä valmius- ja jatkuvuussuunnittelun toteuttamiselle. Muodostuvan proses-sin tulee kytkeytyä organisaation strategia-asiakirjojen valmisteluun, toimin-nan ja talouden suunnitteluun sekä hankehallintaan. Riskianalyysin tulee olla säännöllinen ja aina suurissa muutostilanteissa toistettava prosessi.
Yhteisen prosessin tulee käyttää perusteinaan YETT-strategian mukaisia erityistilanteita ja hallinnonalojen erityistehtäviä sekä sitoa nämä hallinnon-aloilla toteutettaviin jatkuvuuden ja häiriötilanteiden hallinnan sekä palau-tumisen toimenpiteisiin.
436.3 Palvelujen ja ICT-infrastruktuurin jatkuvuuden
hallinta
Jatkuvuuden hallintaprosessi kattaa toiminnan vaatimukset, riskienhallinnan, ennakoivien toimenpiteiden toteutuksen, häiriötilanteiden hallinnan sekä toi-minnan toipumisen toimenpiteet. Toteutuvat häiriötilanteet poikkeavat usein ennakkovalmistelujen perustana olleesta uhkakuvasta. Tilanteiden ennakoin-tiin tulee kuitenkin varautua toteuttamalla ennalta ehkäiseviä, estäviä, havait-sevia sekä laajenemista rajoittavia ja korjaavia toimia ja ratkaisuja. Toimenpi-teiden nopea käynnistäminen ja joustava toteutus mahdollistavat merkittä-västi nopeutuvan ja tehostuvan reagoinnin, häiriöiden vaikutuksen pienen-tämisen ja palvelujen nopean Organisaatioissa on ylläpidettävä uhka-arvion edellyttämä päätöksentekokyky ja -rakenne, tilannetietoisuus sekä ennakko-varautuminen, dokumentaatio ja ohjeistus.
Palvelukohtaisesti on määritettävä haluttu palvelutaso sekä taso, jonka alapuolella tehtävien hoitaminen vaarantuu. On määritettävä myös aika, minkä yksittäinen palvelu tai järjestelmä voi olla pois käytöstä (minimitason alapuolella) siten, että aiheutuneet haitat ovat kohtuudella korjattavissa.
Kustannustehokkuus edellyttää ennakoivien toimenpiteiden mitoittamista hallinnonalan ja valtionhallinnon kokonaisuuden ja organisaation oman toim-innan kannalta oikein. Toiminnasta vastaavat osapuolet asettavat ja priorisoivat jatkuvuusvaatimukset. Korkean käytettävyystason palveluntarjoajia on mark-kinoilla vähän ja palvelun hinta nousee usein merkittävästi tiukennettaessa vasteaika- ja muita tietoturva- ja jatkuvuudenhallintavaatimuksia.
Kuva 13. Jatkuvuuden hallinta ICT-varautumisen kannalta
Normaali
Riskien hallintaJatkuvuus-
Päätöksenteko
-Tapahtumienhallinta
ToipuminenToipuminen
aika
Uudelleen aloittaminen
Jatkuvuussuunnitelman keinojen käyttö
Minimi
Toiminnan edellyttämäpalvelutaso
Vaikutuksen pienentäminen
Toipumisen nopeuttaminen
suunnittelu
Kriisin hallinta
44Palvelujen suunnitteluvaiheessa on määritettävä ja hankintavaiheessa sovit-tava eri osapuolten vastuut ja velvoitteet häiriötilanteissa:- ennakoivat palvelutoiminnan riskienhallinnan toimenpiteet- palvelun käytettävyystasot ja muut vaatimukset- vaihtoehtoiset menettelyt ja toipumistehtävät häiriötilanteissa ja poikkeus-
oloissa.
Poikkeusolojen varalle on tehtävä valmiussuunnitelmia jatkuvuussuunnit-teluun liittyen. Kriittisissä ja keskeisissä valtakunnallisissa tieto- ja viestintäjär-jestelmissä yksittäisen kohteen lamautuminen tai vaurio ei saa lamauttaa koko järjestelmää. Tietojärjestelmät ja tietovarannot on hajautettava ja replikoitava maantieteellisesti vähintään kahteen paikkaan. Varatilojen, -järjestelmien ja -laitteiden tulisi olla säännöllisesti käytössä, jotta niiden toimivuus häiriöti-lanteissa voidaan varmistaa.
Sähköisten palvelujen ja niitä tuottavien tietojärjestelmien tärkeys ilmaist-aan palvelusopimuksen käytettävyysvaatimuksina ja asetettuina sanktioina. Erityistilanteissa palvelujen ja tietojärjestelmien toiminnan palauttamisjärj-estys määräytyy niille luotavan tärkeysluokituksen mukaan. Tärkeysluokitus voi pohjautua ennalta tehtyyn luokitukseen, mutta jokaisen erityistilanteen hoitaminen saattaa edellyttää tilannekohtaista tärkeysjärjestyksen tarkistamista. Tärkeysluokittelu edellyttää myös järjestelmien välisten riippuvuuksien ja tuki-järjestelmien tunnistamista, kuvaamista ja dokumentoimista, jotta varmistut-aan palvelukokonaisuuden toimivuudesta palautuksen jälkeen.
Yhteiskunnan toimivuudelle kriittisiä tietojärjestelmissä on varmistettava, että niihin liittyvän ohjauksen, ylläpidon, järjestelmähallinnan ja teknisen tuen osaaminen säilyy Suomessa tai ohjaus- ja hallintakyky kyetään tarvittaessa palauttamaan sovitussa aikataulussa Suomeen. Sovellusten tietovarantojen tulee olla Suomessa. Tietojärjestelmät ja niiden muodostamat kokonaisuudet tulee dokumentoida.
Palvelutasoja ja -vaatimuksia määritettäessä tulee ottaa huomioon tuki- ja palveluvelvoitteet kaikille osapuolille. Sähköisten palvelujen ja tietovarantojen käytön edellyttämät erityistilanteisiin varautumisen vaatimukset tulee sisäl-lyttää palvelutasosopimuksiin. Organisaatioiden on huolehdittava sopimusten ylläpidosta ja vaatimusten toteutumisen todentamisesta raportointi- ja tarkas-tusmenettelyillä.
45Kuva 14. Jatkuvuuden hallinta on yhteistoimintaa koko palveluverkostossa
Ennaltaehkäisy
- säädökset, ohjeet- arkkitehtuuriratkaisut- tietoturva, auditoinnit- sopimusmallit- osaaminen- harjoittelu/testaus
CERT-FI, 24/7
Oma toiminta
Palveluntuottajat-
Tilanne-tietoisuus
Reagointi, hallinta
SuunnitelmatSopimuksetResurssit
MääräLaatuOsaaminenSaatavuus
YhteistoimintaHarjoittelu
Häiriö-tilanne
Globaaliympäristö
Infrastruktuurin käytettävyys
KansalaisetJulkishallinto
Elinkeinoelämä
ICT-palvelut
Yhteiskunta
Palvelua tuottavissa organisaatioissa varautumisen ja jatkuvuuden hallinnan suunnittelu sisältää seuraavat asiakokonaisuudet: - vaatimukset palveluille ja toiminnan toipumiselle- toiminnalliset prioriteetit palveluille ja riskienhallintapäätökset- tilannetieto tietoteknisten ratkaisujen nykytilanteesta- häiriötilanteiden hallinnan prosessien määritykset, resurssit, toimivaltuu-
det ja päätöksentekomekanismit - menettelyiden ja vastuiden dokumentointi- toipumisen toteuttamisen mekanismit ja resurssit - osaavan, koulutetun ja harjoitelleen henkilöstön.
46
47
LYHENNE SELITE
CCPC NATO Civil Communications Planning Committee, NATO:n tietoliikenne-komitea -HVK
CERT.FI CERT-FI on Viestintävirastossa toimiva kansallinen tietoturvaviranomai-nen, jonka tehtävänä on tietoturvaloukkausten ennaltaehkäisy, havain-nointi, ratkaisu sekä tietoturvauhkista tiedottaminen.
CI engl. Critical Infrastructure kriittinen infrastruktuuri
CIIP engl. Critical Information Infrastructure ProtectionKriittisen tietoteknisen infrastruktuurin suojaaminen.
CIP engl. critical infrastructure protection Kriittisen infrastruktuurin turvaaminen
ECIIP European Critical Information Infrastructure Protection
EPCIP European Programme for Critical Infrastructure Protection
HÄKE Hätäkeskuslaitos
HALTIK Hallinnollinen tietopalvelukeskus, sisäasiainministeriön keskitetty palvelu-keskus, joka tarjoaa palveluja muille turvallisuusviranomaisille
HANSEL Valtion keskitetty hankintayksikkö
HO Hallitusohjelma
HSA Hallituksen strateginen asiakirja. Hallitusohjelman toteuttamissuunnitel-ma, jota päivitetään määrävälein
HUOVI Huoltovarmuuskeskuksen hanke yritysten varautumistilanteen kartoitta-miseksi.
HVK Huoltovarmuuskeskus
HVN Huoltovarmuusneuvosto
HVO Huoltovarmuusorganisaatio. Yleisnimitys huotovarmuusneuvoston, sen alaisten sektorien ja poolien sekä huoltovarmuuskeskuksen muodosta-masta kokonaisuudesta
ICTIT
Information and Communications Technology, Informaatio ja kommuni-kaatiotekniikka,Yleiskäsite tietohallinnolle ja tietotekniikalleRinnakkainen käsitteen IT kanssa..
INFOSOC DG Information Society and Media of the European Commission
JIT-2007 Julkisten IT-hankintojen yleiset ehdot
JUHTA Valtiovarainministeriön yhteydessä julkisen hallinnon tietohallinnon neu-vottelukunta (JUHTA), joka edistää julkisen hallinnon tietoyhteiskuntake-hitystä ministeriöiden ja Suomen Kuntaliiton pysyvänä yhteistyö- ja neu-votteluelimenä.
Liite 1
Lyhenteet
48KIEKU Valtiokonttorin toteuttama kehittämisohjelma, joka on käynnistetty val-
tion talous- ja henkilöstöhallinnon palvelukyvyn ja tuottavuuden paran-tamiseksi.
KuntaIT Kuntien tietohallintoyhteistyön vahvistamiseksi ja tiivistämiseksi perustet-tu toiminta, jonka tarkoituksena on parantaa palvelutoiminnan ja IT:n yh-teensovittamista sekä vahvistaa IT-toiminnan kokonaishallintaa. KuntaIT-yksikkö toimii valtiovarainministeriön hallinnon kehittämisosastolla ja sitä ohjaa kuntien ja valtion edustajista koostuva neuvottelukunta, JUHTA.
NSA National Security Authority, kansallinen turvallisuusviranomainen. Suomessa ulkoasiainministeriössä.
OTTK Oikeushallinnon tietotekniikkakeskus
PTS Puolustustaloudellinen Suunnittelukunta, 2008 lopetettu huoltovarmuu-den suunnitteluorganisaatio
PVJJK Puolustusvoimien johtamisjärjestelmäkeskus
SLA Service Level Agreement, palvelutasosopimus
SOPIVA Sopimuksiin perustuva varautuminen, Huoltovarmuuskeskuksen elekt-roniikka, tietoyhteiskunta ja tietotekniikkapoolien varautumiseen liittyvä nelivaiheinen hanke 2006 – 2009
TA Talousarvio, usein myös budjetti, TAE talousarvioesitys
TIETO Kahden vuoden välein järjestettävä tietotekniikka-alan keskeinen valmi-usharjoitus
TIVA Tietotekniikka-alan valmiusryhmä
TPAK Turvallisuus- ja puolustusasiain komitea.
TTS Toiminta- ja taloussuunnitelma. Keskipitkän aikavälin vuosittain päivitet-tävä toiminnan ja talouden suunnitelma, joka muodostaa perustan val-tionhallinnon suunnittelulle ja vuosittaiselle budjetille.
TUVE Turvallisuusviranomaisten verkkohanke. Käynnistymässä oleva poikkihal-linnollinen ICT-hanke erityisen turvallisen tietoliikenneverkon rakentami-seksi.
VAHTI Valtionhallinnon tietoturvallisuuden johtoryhmä
VALDA Valtionhallinnon dokumentinhallintajärjestelmä, poikkihallinnollinen han-ke
VALHA Valtionhallinnon säännöllisesti toimiva laaja valmiusharjoitus
ValtITjory Valtion IT-johtoryhmä
ValtIT Valtion IT [-johtaja, -johtamisyksikkö, -hanke]
VARE Valtion ICT-varautumisen esiselvityshanke
VARe Valtion ICT-varautumisen toteutus- ja koordinointihanke
VAVK Valtion tietotekniikan varakeskus. –HVK
VERO Verohallinto
VIP Valtion IT-palvelukeskus
VIRTU Virkamiehen tunnistaminen, tietoturvahanke
VITKO Valtion IT-koordinaatioryhmä, ministeriöiden tietohallintojohdosta koos-tuva yhteistoimintaryhmä
VIVI Viestintävirasto, liikenne- ja viestintäministeriön alainen virasto
49VK Valtiokonttori, valtiovarainministeriön alainen virasto
VN Valtioneuvosto
VNOS Valtioneuvoston ohjesääntö
VNp Valtioneuvoston päätös
VNpp Valtioneuvoston periaatepäätös
YETT Yhteiskunnan elintärkeät toiminnot
YETTS Yhteiskunnan elintärkeiden toimintojen turvaamisen strategia, Valtioneuvoston periaatepäätös 2006
YKÄ Arjen tietoyhteiskuntaohjelman kuuluva esitutkimus ”Yhteiskunnan kriit-tisten tieto- ja viestintäinfrastruktuurin käytettävyys”
50
51Liite 2
Keskeisimmät ICT-varautumista ohjaavat säädökset ja normit
Lait ja asetukset
1. Asevelvollisuuslaki 28.12.2007/1438 91§ (asevelvollisuusrekisteri):- Asevelvollisten ja siviilipalveluksen suorittaneiden tietojen ylläpitä-
minen mm. varautumista vasten2. Laki vapaaehtoisesta maanpuolustuksesta 11.5.2007/556 7§:
- Maanpuolustusyhdistys voi järjestää mm. varautumiskoulutusta- Viranomaisella mahdollisuus kutsua jäseniä varautumistyöhön
3. Valtioneuvoston asetus valtioneuvoston kansliasta 4.4.2007/393 1§:- VNK:n tehtävä 24) valtioneuvoston turvallisuuspalvelut, turvallisuu-
teen liittyvän yleisen tilannekuvan kokoaminen ja valtioneuvoston yhteinen poikkeusoloihin varautuminen
4. Laki luottolaitostoiminnasta 9.2.2007/121 123§:- Luottolaitosten varautumisvelvollisuus
5. Maatalousyrittäjän eläkelaki 22.12.2006/1280 132§:- Maatalousyrittäjien eläkelaitoksen toiminnan jatkuminen poikkeus-
oloissa6. Laki vesikulkuneuvorekisteristä 10.11.2006/976 1§:
- Valtakunnallista vesikulkuneuvorekisteriä pidetään mm. varautu-mista varten
- Tietojen luovuttaminen viranomaisille7. Oikeusministeriön työjärjestys 27.7.2006/670 71§:
- Valmiussihteerin tehtävä8. Laki Pelastusopistosta 21.7.2006/607 1§:
- Tehtävä antaa mm. varautumiseen liittyvää koulutusta9. Rautatielaki 29.6.2006/555 61§:
- Varautumisvelvoite ja varautumisen johtosuhde10. Laki Eläketurvakeskuksesta 19.5.2006/397 15§:
- Varautumisvelvoite11. Elintarvikelaki 13.1.2006/23 46§:
- Varautumisvelvoite, oma toiminta ja ilmoitusvelvollisuus12. Laki Ilmailulaitoksesta 29.12.2005/1245 5§:
- Varautumisvelvoite
5213. Ilmailulaki 29.12.2005/1242 161§:
- Varautumisvelvoite mm. kaupallista lentotoimintaa harjoittaville14. Alusliikennepalvelulaki 5.8.2005/623 19§:
- Varautumisvelvoite VTS-toiminnalle15. Laki vaarallisten kemikaalien ja räjähteiden käsittelyn turvallisuudesta
3.6.2005/390:- Varautumisvelvoite
16. Pelastuslaki 13.6.2003/468 1§:- Väestönsuojelun varautumisvelvoite
17. Viestintämarkkinalaki 23.5.2003/393:- Teleyritysten varautumisvelvoite
18. Valtioneuvoston ohjesääntö 3.4.2003/262:- Kansliapäällikön yleinen tehtävä (huolehtia ministeriön ja sen hal-
linnonalan yleisestä turvallisuudesta sekä varautumisesta)19. Laki turvallisuusselvityksistä 8.3.2002/177:
- Turvallisuuselvitysten tekemisen peruste20. Laki radiotaajuuksista ja telelaitteista 16.11.2001/1015:
- Varautumisvelvoite21. Postipalvelulaki 6.4.2001/313:
- Varautumisvelvoite22. Tasavallan presidentin asetus toimivallan jaosta sotilaskäskyasioissa
17.3.2000/282.- PEpäll:n, Merivkom:n, Ilmavkom:n, MpAkom., Slpääll:n tehtävä
yhteensovittamisesta puolustusvoimissa23. Ympäristönsuojelulaki 4.2.2000/86:
- Varautumisvelvoite24. Laki viranomaisten toiminnan julkisuudesta 21.5.1999/621:
- Asiakirjojen salassapitoperusteet25. Laki maahanmuuttajien kotouttamisesta ja turvapaikanhakijoiden vas-
taanotosta 9.4.1999/493:- Varautumisvelvoite työvoima- ja elinkeinokeskuksille Suomeen
suuntautuvan joukkopaon varalta (SM:llä valtuudet teettää)26. Asetus vaarallisten kemikaalien teollisesta käsittelystä ja varastoinnista
29.1.1999/59- Varautumisvelvoite
27. Sijoitusrahastolaki 29.1.1999/48:- Varautumisvelvoite
28. Laki televisio- ja radiotoiminnasta 9.10.1998/744:- Varautumisvelvoite viranomaistiedotteiden välittämiseen
29. Kiinteistörahastolaki 19.12.1997/1173:- Varautumisvelvoite
30. Lääninhallituslaki 10.1.1997/22:- Lääninhallituksen tehtävä
5331. Laki metsäkeskuksista ja metsätalouden kehittämiskeskuksesta
18.12.1995/1474- Varautumisvelvoite virka-apuun pelastuslain tapauksissa
32. Terveydensuojeluasetus 16.12.1994/1280:- Vesilaitosten varautumisvelvollisuus
33. Terveydensuojelulaki 19.8.1994/763:- Varautumisvelvoitteita vesilaitoksille ja kunnalliselle terveydenhuol-
lolle34. Laki terveydenhuollon ammattihenkilöistä 28.6.1994/559
- Henkilöstöä koskeva varautumiseen liittyvä tieto35. Laki ulkomaisen luotto- ja rahoituslaitoksen toiminnasta Suomessa
30.12.1993/1608:- Varautumisvelvoite
36. Asetus Huoltovarmuuskeskuksesta 18.12.1992/1391:- Tehtävä
37. Laki huoltovarmuuden turvaamisesta 18.12.1992/1390:- Johtosuhteet (TEM)- Velvoite hallinnonaloille (ValmL)- HVK:n tehtävä
38. Valmiuslaki 22.7.1991/1080- Valtioneuvoston yhteensovittaminen- Hallinnonalojen velvollisuudet- Terveydenhuollon varautumisvelvoite
39. Laki arvo-osuusjärjestelmästä 17.5.1991/826:- Varautumisvelvoite
40. Ydinenergia-asetus 12.2.1988/161:- Varautumisvelvoite
41. Ydinenergialaki 11.12.1987/990- Varautumisvelvoite
42. Vakuutusyhtiölaki 28.12.1979/1062:- Varautumisvelvoite
43. Rikoslaki 19.12.1889/39:- Varautumista koskeva tieto vs. vakoilu- Ydinenergian varautuminen
54Viranomaisten määräyskokoelmat
1. Sosiaali- ja terveysministeriö 15.04.1992 D:35/02/92 Ohjeet varautumisesta normaaliaikojen häiriötilanteisiin ja poikkeus-
oloihin2. Sisäasiainministeriö 13.10.1999 SM-1999-00636/Tu-311, Sarja A:63 Määräys varautumisesta kemikaalionnettomuuksiin3. Liikenne- ja viestintäministeriö 10.02.1984 Rsot-3/ETS/C.8.12.0 TVL:N POIKKEUSOLOJEN TOIMINTAAN VARAUTUMISEN YLEIS-
OHJE4. Vakuutusvalvontavirasto 03.10.2005 9/002/2005 Ohje poikkeusoloihin varautumisesta kotimaisille vakuutusyhtiöille,
vakuutusyhdistyksille, kolmannen maan vakuutusyhtiöiden edustus-toille, Eläketurvakeskukselle ja lailla perustetuille eläkelaitoksille
5. Vakuutusvalvontavirasto 03.10.2005 11/002/2005 Ohje poikkeusoloihin varautumisesta eläkekassoille6. Vakuutusvalvontavirasto 03.10.2005 10/002/2005 Ohje poikkeusoloihin varautumisesta eläkesäätiöille7. Viestintäviraston määräykset viestintäverkkojen ja -palvelujen varmista-
misesta
Varautumista ohjaava VAHTI-ohjeisto
1. Arkaluonteiset kansainväliset tietoaineistot, VAHTI 4/20022. Asianhallinnan tietoturvallisuutta koskeva ohje, VAHTI 5/2006
- Luku 5: Loki- ja muutoshistoriatiedot.3. Haittaohjelmilta suojautumisen yleisohje, VAHTI 3/2004
- Liite 3: Käyttäjän pikaopas- Luku 5: Kuinka välttää tartunta- Luku 5.1: Työaseman turvalliset asetukset- Luku 5.2: Ohjelmistohaavoittuvuudet ja korjauspäivitykset- Luku 5.4: Organisaation verkon suojaaminen- Luku 5.5: Työskentely organisaation ulkopuolella
4. Henkilöstön tietoturvaohje, VAHTI 10/2006- Perusohjeet henkilöstölle- Koulutusmateriaali (Powerpoint)
5. Käyttövaltuushallinnon periaatteet ja hyvät käytännöt, VAHTI 9/2006- Luku 2.2: Käyttövaltuusrekisterin suunnnitteluvaatimus.- Luku 3: Hyvän käyttövaltuushallinnon edellytysten luominen.
6. Muutos ja tietoturvallisuus - alueellistamisesta ulkoistamiseen - hallittu prosessi, VAHTI 7/2006- Muutoksen johtaminen, tietoturvallisuus muutoshallinnassa
55- Ulkoistettavan tietojärjestelmän tietoturvallisuuden arviointimalli,
s. 61- Tietoturvallisuuden kuvaaminen prosesseissa- Liitteet 1A ja 1B: Turvallisuussopimusmalleja- Liite 5: Henkilötietojen käsittelyn tarkistuslista- Liite 6: Kumppanin tietoturvamenettelyiden tarkistuslista
7. Ohje riskien arvioinnista tietoturvallisuuden edistämiseksi valtionhallin-nossa, VAHTI 7/2003- Taulukko 5, s 47 – esimerkki riskien hallintasuunnitelmasta- Luku 3.2: Riskienarvioinnin malliprosessi- Liite 2: Tietoriskien tunnistamisen tarkistuslistoja
8. Osallistumisesta vaikuttamiseen - valtionhallinnon haasteet kansainvä-lisessä tietoturvatyössä, VAHTI 1/2007- Keskeiset kansainväliset foorumit
9. Tietoteknisten laitetilojen turvallisuussuositus, VAHTI 1/2002- Luku 3: IT-laitetilojen tietoturvatoimenpiteet osa-alueittain.
10. Tietoturvakouluttajan opas, VAHTI 11/200611. Tietoturvallisuudella tuloksia, Yleisohje tietoturvallisuuden johtamiseen
ja hallintaan, VAHTI 3/2007- Tietoturvapolitiikka, tietoturvallisuuden johtaminen ja keskeisim-
mät ohjausdokumentit- Kytkeytyminen tulosohjaukseen, vuosikello s. 31- Vastuiden organisointimalleja- Tietoturvasuunnitelman runko, s. 88- Tietoturvallisuuden raportointikäytännöt- Tukitoimintojen turvaaminen- Järjestelmäkehityksen ja muutoshallinnan turvallisuus- Jatkuvuuden ja erityistilanteiden hallinta- Tietoturvapoikkeamien hallinta- Luku 12.2: Toimitilojen luokitus.- Toipumissuunnitelman runko s. 91- Lliite 1: Mallipolitiikat ja suunnitelmarungot- Liite 2: Tietoturvavastuut rooleittain
12. Tietoturvallisuuden arviointi valtionhallinnossa, VAHTI 8/2006- Arviointiprosessin velvoitteet ja organisointi, johdon rooli arvioin-
nissa- Tietoturvallisuuden kytkeminen tulosohjaukseen- Arviointilomakkeet- Mitattavat kohteet, mittaustulokset ja tavoitteiden asettaminen
13. Tietoturvallisuus ja tulosohjaus, VAHTI 2/200414. Tietoturvapoikkeamatilanteiden hallinta, VAHTI 3/2005
- Hallinnan organisointi- CERT-yhteistoiminta
56- Luku 2.1.8. Tietojärjestelmien turvallinen ylläpito- Luku 2.2.4: Reagoinnin organisointi ja toimivaltuudet- Luku 2.2.5: Poikkeamatilanneharjoitukset- Luku 2.2.6: Poikkeamatilanteen viestintäsuunnitelman luonti- Poikkeamien jälkiraportointi ja todisteaineiston kerääminen
15. Tietoturvatavoitteiden asettaminen ja mittaaminen, VAHTI 6/2006 - Strategian tason tietoturvallisuuden hallintajärjestelmä- (Liike)toimintastrategian kytkeminen tietoturvallisuuden johtami-
seen- Tietoturvan tavoitteiden kytkeminen resurssiallokointiin- Luku 3: Tietoturvallisuuden tulosohjaus- Luku 4.4: Tietoturvatoiminnan mittarit- Luku 5.6: Esimerkki raportointimenettelyistä ja raportin sisällöstä
16. Tunnistaminen julkishallinnon verkkopalveluissa, VAHTI 12/2006- Luvut 4.2-4.3: Käyttäjien tunnistamisen luotettavuus ja Palvelutyyp-
pien edellyttämä käyttäjän tunnistamisen luotettavuus.17. Turvallinen etäkäyttö turvattomista verkoista, VAHTI 2/200318. Tärkein tekijä on ihminen, henkilöstöturvallisuus osana tietoturvalli-
suutta, VAHTI 2/2008- Henkilöstöturvallisuuden säädäntö ja luokittelu- Henkilöresurssien hallinnan kytkeytyminen strategiasuunnitteluun
ja toiminnan ohjaukseen- Turvallisuuskulttuurin luominen- Luku 4.5: Valtuuttaminen- Luku 4.6.2: Turvallisuusselvitykset- Luku 4.7 Kansainvälinen henkilöturvallisuustodistus- Luku 4.10 Ostopalvelujen turvallisuus- Luku 4.12 Pääsyn hallinta ja tunnistaminen- Liite 5: Pääsyn hallinnan toteuttaminen EU määräyksen mukaisesti- Liite 4: Virastojen hakeutuminen turvallisuusselvitysmenettelyyn- Kumppaniverkoston turvallisuussopimukset ja niiden hallinta
19. Valtionhallinnon keskeisten tietojärjestelmien turvaaminen, VAHTI 5/2004- Luvut 4.3, 5.7 ja 10.6: Erityyppisten järjestelmien toipumisen erityis-
piirteitä- Luku 10: Ohjelmistoturvallisuus- Luku 12: Käyttöturvallisuus- Luku 12.4: Muutosten hallinta
20. Valtiohallinnon salauskäytäntöjen tietoturvaohje VAHTI 3/2008- Normien toteuttaminen salauskäytäntöjen avulla, Tiedon hallinnan
ja turvaamisen normit- Tiedon turvaamisen suunnitteluprosessimalli- Tietoturvallisuuden huomioiminen arkkitehtuurivalinnoissa
57- Riskienhallinnan COSO-viitekehyksen käyttö ja kytkentä COBIT-
malliin- Erityisesti tietoaineistojen ja palvelujen kontrollivaatimukset sekä
teknologiat21. Valtionhallinnon sähköpostin käsittelyohje, VAHTI 2/2005
- Liite 2: Sähköpostin käsittelysäännöt- Liite 5: Malli sähköpostilaatikon avauslomakkeeseen
22. Valtionhallinnon tietojärjestelmäkehityksen tietoturvallisuussuositus, VAHTI 3/2000
23. Valtion tietohallinnon Internet-tietoturvallisuusohje, VAHTI 1/2003 - Luku 3.2 Yhteys Internetiin
24. Valtion tietotekniikkahankintojen tietoturvallisuuden tarkistuslista, VAHTI 6/2001
Muita ohjeita ja suosituksia
1. Yhteiskunnan elintärkeiden toimintojen turvaamisen strategia, VN peri-aatepäätös 2006
2. Tietoturvaopas sähköisen palvelun tarjoajalle, LVM3. Viestintäviraston CERT.FI -ohjeet4. Pandemiaan varautuminen tietoverkko-/tietotekniikka-alan yrityksessä,
PTS 20075. Viestintä- ja sähkönjakeluverkkojen keskinäiset riippuvuudet, HVK
1/20066. Viestintäverkkojen ja viestintäpalveluiden varmistaminen. Opas käyttä-
jille, PTS 2/20057. Uhkakuva-analyysi 2005, PTS 20058. Viestintäverkkojen ja viestintäpalveluiden varmistaminen. Opas käyttä-
jille, PTS 2/20059. RATA 4.4b, Operatiivisten riskien hallinta
58
59
Vaatimukset jatkuvuuden hallinnalle ja tiedon turvaamiselleICT-toiminnan perusedellytys on sen luotettavuus ja turvallisuus Palvelujen on myös toimittava eri turvallisuustilanteissa niille asetettujen käytettävyys-vaatimusten mukaisesti. Häiriö- ja erityistilanteiden hallinta edellyttää tun-nistettuja ja yhtenäisesti sovittuja vaatimuksia koko palveluverkostossa. Julki-shallinnon palveluissa lähtökohtana on, että kaikkien toimijoiden tulee osal-taan täyttää nämä vaatimukset.
Vaatimuksiin liittyy perus-, korotetun ja korkeantason kontrolleja, joilla säädellään palveluverkoston toimijoiden ja ICT-palvelujen kypsyyttä roolinsa mukaiseen. Tähän liitteeseen on koottu julkishallinnon ICT-palveluihin ja nii-den palveluverkostoon kuuluvien organisaatioiden ICT-toiminnan jatkuvuuden ja tiedon turvaamisen vaatimukset. Vaatimuksia ja niihin liittyviä kontrolleja mittareineen ylläpidetään erillisenä kokonaisuutena.
Vaatimukset organisaation jatkuvuuden hallinnan, tiedon turvaamisen ja varautumisen kypsyydelle
1 JOHTAMINEN1.1 Strateginen ohjaus ja organisointi
Organisaatio on tunnistanut ydintoimintoihinsa liittyvät jatkuvuuden •ja erityistilanteiden hallintaa sekä tiedon turvaamista ohjaavat keskei-set tekijät, velvoitteet ja riippuvuudet.Jatkuvuuden hallinnan ja tiedon turvaamisen vaatimukset on määri-•tetty ydintoiminnan asettamien vaatimusten perusteella.Erityistilanteiden hallinta on organisoitu, ohjeistettu ja huomioitu oh-•jaus- ja toimintamalleissa.Jatkuvuuden hallinta ja tiedon turvaaminen on organisoitu ja vastuu-•tettu osana normaalia johtamista, toimintaa sekä kumppanuusverkos-ton hallintaa.Jatkuvuussuunnittelu ja varautumisen koordinointi on vastuutettu.•Jatkuvuuden hallinnalle ja tiedon turvaamiselle on asetettu tavoittei-•siin nähden riittävät resurssit.
Liite 3
601.2 Yhteistyö, viestintä ja raportointi
Jatkuvuuden hallinnan ja tiedon turvaamisen suunnittelu toteutetaan •ydin- ja tukitoimintojen yhteistyönä.
CERT.FI-yhteistoiminta on toimivaa ja vastaa organisaation tavoitteita •ja velvoitteita.
Viestinnän ja raportoinnin vastuut ja toimintamalli keskeisimpien si-•dosryhmien kanssa on määritetty ja organisoitu.
Tieto uhkaympäristöstä, varautumisen tilanteesta, kehittämistoimen-•piteiden toteutumisesta ja kustannuksista välitetään organisaation johdolle.
2 TOIMINNANOHJAUS JA TOIMINTAMALLIT2.1 Toiminnan suunnittelu riskienhallinnan avulla
Toimintaympäristön ja organisaation vuorovaikutus toiminnassa on •huomioitu.
Riskienhallinnalla ohjataan suojaamistoimenpiteiden toteutusta.•
Riskienhallinnan tulokset ohjaavat jatkuvuuden hallinnan ja tiedon •turvaamisen kehittämistä.
2.2 Palvelujen jatkuvuuden suunnitteluToiminnan jatkuvuuden hallinnan ja tiedon turvaamisen toimenpi-•teet tukevat organisaation ydintoiminnan tavoitteita.
Palvelujen jatkuvuuden ja tiedon turvaamisen toteutus toimintaver-•kostossa on suunniteltu ja sovittu.
Palveluiden jatkuvuuden hallinta erityistilanteissa on suunniteltu ja •valmisteltu.
Yhteistoiminnan ja viestinnän toteuttaminen erityistilanteissa on •suunniteltu ja valmisteltu.
3 HENKILÖSTÖN JA HENKILÖRESURSSIEN HALLINTA3.1 Osaamistarpeet ja osaamisen kehittäminen
Jatkuvuuden hallinnan ja tiedon turvaamisen osaamiselle on asetet-•tu rooli- tai tehtäväkohtaiset vaatimukset, osaamistaso tunnetaan ja osaamista kehitetään.
Organisaatio kannustaa henkilöstöä noudattamaan ja kehittämään •hyvää jatkuvuuden hallinnan ja tiedon turvaamisen toimintamallia.
Organisaatiossa on sovittu tapa toimia valvonnassa, turvallisuuspoik-•keamissa ja väärinkäytöstilanteissa.
613.2 Henkilöstöresurssien hallinta
Avainroolit ja -henkilöt on tunnistettu ja varajärjestelyt on suunni-•teltu.
Henkilöstö ja sen käyttö on suunniteltu ja mitoitettu ydintoimintojen •jatkuvuuden hallinnan ja tiedon turvaamisen edellyttämällä tavalla.
Kriittisten toimintojen häiriöiden hallintaohjeet on laadittu, koulutet-•tu ja toiminta harjoiteltu.
4 KUMPPANUUSVERKOSTO4.1 Sopimusten hallinta
Organisaation tuotannolle kriittiset kumppanit, alihankkijat ja re-•surssit on tunnistettu.
Sopimuksissa on vaatimukset toiminnan jatkuvuuden hallinnalle ja •tiedon turvaamiselle sekä niiden toteuttamiselle.
4.2 Toiminnan varmistaminen erityistilanteissaKriittisen toiminnan jatkuvuuden ja tiedon turvaamisen hallintavel-•voite on ulotettu keskeiseen toimittajaverkostoon.
Yhteistoiminta kumppanien kanssa häiriö- ja erityistilanteiden hallit-•semiseksi on organisoitu ja vastuutettu.
5 PROSESSIT JA JÄRJESTELMÄYMPÄRISTÖT5.1 ICT-jatkuvuuden hallinta5.1.1 ICT-johtaminen
ICT-suunnittelussa otetaan huomioon jatkuvuuden hallintaan, tiedon •turvaamiseen ja varautumiseen vaikuttavat keskeiset tekijät.
ICT-toteutuksen jokaisessa osa-alueessa ja vaiheessa otetaan huomi-•oon keskeiset jatkuvuuden tekijät.
5.1.2 ICT-palvelutKriittisten ja keskeisten toimintojen sähköiset palvelut on turvattu •häiriö- ja erityistilanteissa.
ICT-palvelujen suojaamiskäytännöt on toteutettu. •
Yhteiset tietotekniset palvelut on varmistettu.•
Kriittisten ja keskeisten palvelujen toteutus ja ylläpito on varmistettu.•5.1.3 Käyttöpalvelut
Tuotannon jatkuvuuden, tiedon turvaamisen ja varautumisen perus-•teet on määritetty.
Ydintoimintojen palvelutuotanto on varmistettu.•
625.1.4 Tietovarannot ja rekisterit
Tietovarantojen eheys, käytettävyys, luottamuksellisuus, käytön hal-•linta ja palautus on varmistettu.
Kriittisten toimintojen vaatimat tietovarannot ja -palvelut on turvattu •häiriö- ja erityistilanteissa.
5.1.5 Tietoteknisen infrastruktuurin ja sen tukipalvelujen toteuttaminenICT-infrastruktuuri on toteutettu dokumentoitujen vaatimusten mu-•kaisesti.
ICT-infrastruktuuria ylläpidetään dokumentoidulla tavalla.•
Tukipalveluilla turvataan ICT-palvelujen tuottaminen.•
5.2 Tietoturvallisuuden hallinta5.2.1 Tietoaineistojen hallinta ja raportointi
Tietoaineistojen turvallisuus hallitaan koko elinkaaren ajan.•
Tietoturvallisuuden tilasta raportoidaan tietoturvavastaavalle.•5.2.2 Tietojenkäsittely-ympäristöjen hallinta
Omaisuuden hallinnalla tunnistetaan organisaation vastuulla oleva •ICT sen turvallisuudesta huolehtimiseksi.
Tietojenkäsittely-ympäristöjen käyttöönotto ja käytöstä poisto toteu-•tetaan turvallisesti.
Tietojenkäsittely-ympäristöt päivitetään hallitusti, jotta estetään haa-•voittuvuuksien hyväksikäyttö ja tietoturvaongelmien synty.
5.2.3 Tiedon turvaaminenTurva-alueiden muodostamisella ja niiden välisellä suodatuksella var-•mistetaan, että tieto kulkee tietoverkosta toiseen vain valtuutetusti.
Pääsynvalvonnan keinoilla varmistetaan, että tietoon pääsevät käsiksi •vain valtuutetut käyttäjät.
Käyttäjätunnusten ja käyttövaltuuksien on oltava yhdistettävissä niitä •käyttävään henkilöön tai henkilöihin.
Organisaation tietovarannot on suojattu haittaohjelmasuojauksella.•
Tietoturvallisuusriskien realisoituminen on estetty käyttämällä myös •sopivia fyysisen turvallisuuden menetelmiä ympäristön suojaami-seen.
5.2.4 Häiriötilanteiden hallintaVarmuuskopioinnilla estetään tiedon hallitsematon katoaminen or-•ganisaatiosta ja vähennetään erilaisten häiriötilanteiden vaikutusta organisaation toimintaan.
63Tietoturvapoikkeamien valvonnalla mahdollistetaan niiden havaitse-•minen ja selvittäminen.
Tietojärjestelmiä kohtaaviin häiriöihin on varauduttu niiden nopean •palautumisen varmistamiseksi.
5.2.5 Tietojärjestelmäkehityksen ja sovellusylläpidon hallintaTietojärjestelmäkehityksen ja sovellusylläpidon hallinnassa huomioi-•daan tietoturvavaatimukset.
6 MITTAAMINEN Jatkuvuuden hallinnan ja tiedon turvaamisen toteutumista ja tarkoi-•tuksenmukaisuutta seurataan ja arvioidaan.
Toimintaa kehitetään arviointitulosten perusteella.•
64
65
Voimassa olevat VAHTI -julkaisut
VAHTI 2/2009 ICT-toiminnan varautuminen häiriö- ja erityistilanteisiin, yleisohje
VAHTI 1/2009 VAHTIn toimintakertomus vuodelta 2008VAHTI 9/2008 Hankkeen tietoturvaohjeVAHTI 8/2008 Valtionhallinnon tietoturvasanastoVAHTI 7/2008 Informationssäkerhetsanvisningar för personalenVAHTI 6/2008 Tietoturvallisuus on asenne - Selvitys julkishallinnon tieto-
turvakoulutustarpeistaVAHTI 5/2008 Valtion ympärivuorokautisen tietoturvavalvonnan hanke-esi-
tysVAHTI 4/2008 Valtionhallinnon tietoturva-arviointipoolin toimintara-
porttiVAHTI 3/2008 Salauskäytäntöjä koskeva tietoturvaohjeVAHTI 2/2008 Tärkein tekijä on ihminen - Henkilöstöturvallisuus osana tie-
toturvallisuutta VAHTI 1/2008 Toimintakertomus 2007VAHTI 3/2007 Tietoturvallisuudella tuloksia - Yleisohje tietoturvallisuuden
johtamiseen ja hallintaan VAHTI 2/2007 Älypuhelinten tietoturvallisuusVAHTI 1/2007 Osallistumisesta vaikuttamiseen – valtionhallinnon haasteet
kansainvälisessä tietoturvatyössä VAHTI 12/2006 Tunnistaminen julkishallinnon verkkopalveluissaVAHTI 11/2006 Tietoturvakouluttajan opasVAHTI 10/2006 Henkilöstön tietoturvaohjeVAHTI 9/2006 Käyttövaltuushallinnon periaatteet ja hyvät käytännötVAHTI 8/2006 Tietoturvallisuuden arviointi valtionhallinnossa VAHTI 7/2006 Muutos ja tietoturvallisuus, alueellistamisesta ulkoistamiseen
– hallittu prosessi VAHTI 6/2006 Tietoturvatavoitteiden asettaminen ja mittaaminen VAHTI 5/2006 Asianhallinnan tietoturvallisuutta koskeva ohjeVAHTI 4/2006 Selvitys valtionhallinnon ympärivuorokautisen tietoturvatoi-
minnan järjestämisestäVAHTI 3/2006 Selvitys valtionhallinnon tietoturvaresurssien jakamisesta VAHTI 2/2006 Electronic-mail Handling Instruction for State GovernmentVAHTI 1/2006 VAHTIn toimintakertomus vuodelta 2005 VAHTI 3/2005 Tietoturvapoikkeamatilanteiden hallinta
Liite 4
66VAHTI 2/2005 Valtionhallinnon sähköpostien käsittelyohjeVAHTI 1/2005 Information Security and Management by ResultsVAHTI 5/2004 Valtionhallinnon keskeisten tietojärjestelmien turvaaminenVAHTI 4/2004 Datasäkerhet och resultatstyrningVAHTI 3/2004 Haittaohjelmilta suojautumisen yleisohjeVAHTI 2/2004 Tietoturvallisuus ja tulosohjausVAHTI 1/2004 Valtionhallinnon tietoturvallisuuden kehitysohjelma
2004-2006VAHTI 7/2003 Ohje riskien arvioinnista tietoturvallisuuden edistämiseksi
valtionhallinnossaVAHTI 5/2003 Datasäkerhetsanvisning för användarenVAHTI 5/2003 User s Information Security InstructionVAHTI 3/2003 Tietoturvallisuuden hallintajärjestelmän arviointisuositusVAHTI 2/2003 Turvallinen etäkäyttö turvattomista verkoistaVAHTI 1/2003 Valtion tietohallinnon Internet-tietoturvallisuusohjeVAHTI 4/2002 Arkaluonteisten kansainvälisten aineistojen käsittelyohjeVAHTI 3/2002 Etätyön tietoturvaohje VAHTI 1/2002 Tietoteknisten laitetilojen turvallisuussuositusVAHTI 6/2001 Tietotekniikkahankintojen tietoturvallisuustarkistuslista VAHTI 4/2001 Sähköisten palveluiden ja asioinnin tietoturvallisuuden yleis-
ohje VAHTI 2/2001 Valtionhallinnon lähiverkkojen tietoturvallisuussuositusVAHTI 3/2000 Tietojärjestelmäkehityksen tietoturvallisuussuositusVAHTI 2/2000 Valtion tietoaineistojen käsittelyn tietoturvaohje
Ohjeisto löytyy VAHTIn Internet-sivuilta http://www.vm.fi/vahti. Ohjeita saa tilattua laatikoittain edullisesti painotalo Editasta. Yllämainittujen julkaisu-jen lisäksi VAHTIn toiminnasta kertovia raportteja löytyy VAHTIn verkko-sivuilta.
VALTIOVARAINMINISTERIÖSnellmaninkatu 1 A
PL 28, 00023 ValtioneuvostoPuhelin (09) 160 01
Telefaksi (09) 160 33123www.vm.fi
2/2009VAHTI
huhtikuu 2009
IISSN 1455-2566 (nid.)ISBN 978-951-804-949-7 (nid.)
ISSN 1798-0860 (PDF)ISSN 978-951-804-950-3 (PDF)