ICT-toiminnanvarautuminenhäiriö- jaerityis-tilanteisiin

VAHT

I

2/2009

Yleisohje

Valtionhallinnon tietoturvallisuuden johtoryhmä

ICT-toiminnan varautuminen häiriö- ja erityistilanteisiin

2/2009 VAHT

I

Valt iovarainminister iön julkaisuja

VALTIOVARAINMINISTERIÖPL 28 (Snellmaninkatu 1 A) 00023 VALTIONEUVOSTOPuhelin 09 16001 (vaihde)Internet: www.vm.fiTaitto: Pirkko Ala-Marttila/VM-julkaisutiimi

ISSN 1455-2566 (nid.)ISBN 978-951-804-949-7 (nid.)

ISSN 1798-0860 (PDF)ISSN 978-951-804-950-3 (PDF)

Edita Prima OyHelsinki 2009

EsipuheTämän uuden VAHTI-yleisohjeen tavoitteena on parantaa ICT-varautumista erityisesti ministeriöissä ja hallinnonalojen organisaatioissa. Ohje on sisäl-tönsä puolesta käyttökelpoinen kaikille ICT-varautumisen kanssa tekemisissä oleville organisaatiolle ja henkilöille. ICT-varautumiseen liittyviä linjauksia löytyy lisäksi osasta muita VAHTI-ohjeita.

Yleisohje on valmisteltu VAHTIn ohjauksessa virkatyönä valtiovarainmi-nisteriön hallinnon kehittämisosastolla. Ennen julkaisua ohje oli laajalla lau-suntokierroksella, jonka tuloksena ohjeen sisältöön tehtiin tarvittavat paran-nukset. Kommentteja saatiin yli 20 organisaatiolta. VAHTI päätti ohjeen jul-kaisemisesta kokouksessaan maaliskuussa 2009.

Valtionhallinnon toiminta on verkostoitunutta sekä julkishallinnon sisällä että yhteiskunnan muiden toimijoiden kanssa myös kansainvälisesti. Hallin-non palvelut ja toiminnot rakentuvat tietoteknisten peruspalvelujen ja sovel-lusten sekä perusrekisterien ja muiden tietovarantojen varaan. Näiden toiminta riippuu korostuneesti tietoliikenteen toimivuudesta ja sähkön saatavuudesta. Tätä palveluverkostoa ylläpitää valtionhallinnon sisäisistä ja ulkoisista palve-lutoimittajista muodostuva verkosto.

Toiminnan ja palvelujen jatkuvuuden takaaminen ja tiedon turvaaminen edellyttävät palveluverkoston varautumista ICT-toiminnan häiriötilanteisiin. Keskeistä on varmistua, että palveluverkosto kykenee normaaliajan vakavissa häiriötilanteissa ja YETTS:n mukaisissa erityistilanteissa jatkamaan toimin-taansa asetettujen vaatimusten mukaisesti. Normaaliolojen häiriötilanteita var-ten toteutetut toimintamallit ja ratkaisut ovat perusta erityistilanteiden hoita-miselle ja toiminnalle poikkeusoloissa.

Valtionhallinnon organisaatioiden tulee kaikessa toiminnassaan ottaa huo-mioon tässä ohjeessa kuvatut ICT-varautumisen periaatteet. Keskeistä on, että kaikessa organisaatioiden, toimintojen, palveluiden ja järjestelmien kehittämi-sessä otetaan jo esitutkimusvaiheessa mukaan toiminnan jatkuvuuden hallin-nan ja tiedon turvaamisen näkökulma. Tämä mahdollistaa kustannustehok-kaan toiminnan tarpeista lähtevän varautumisen häiriötilanteisiin ja poikke-usoloihin.

Ohjeen kaupallinen käyttö ja jäljentäminen ansaitsemistarkoituksessa on kielletty. Muussa hyödyntämisessä tulee tämä ohje mainita lähteenä.

Lyhyesti VAHTIstaValtiovarainministeriö vastaa julkishallinnon tietoturvallisuuden ohjauksesta ja kehittämisestä. Ministeriö on asettanut Valtionhallinnon tietoturvallisuu-den johtoryhmän (VAHTI) hallinnon tietoturvallisuuden yhteistyön, ohjauk-sen ja kehittämisen elimeksi. VAHTI tukee toiminnallaan valtioneuvostoa ja valtiovarainministeriötä hallinnon tietoturvallisuuteen liittyvässä päätöksen-teossa ja sen valmistelussa.

VAHTIn tavoitteena on tietoturvallisuutta kehittämällä parantaa valtion-hallinnon toimintojen luotettavuutta, jatkuvuutta, laatua, riskienhallintaa ja varautumista sekä edistää tietoturvallisuuden saattamista kiinteäksi osaksi hallinnon toimintaa, johtamista ja tulosohjausta.

VAHTIssa käsitellään kaikki merkittävät valtionhallinnon tietoturvalinja-ukset ja tietoturvatoimenpiteiden ohjausasiat. VAHTI käsittelee valtionhallin-non tietoturvallisuutta koskevat säädökset, ohjeet, suositukset ja tavoitteet sekä muut tietoturvallisuuden linjaukset sekä ohjaa valtionhallinnon tietoturvatoi-menpiteitä. VAHTI edistää verkostomaisen toimintatavan kehittämistä julki-shallinnon tietoturvatyössä.

VAHTIn toiminnalla on parannettu valtion tietoturvallisuutta ja työn vai-kuttavuus on nähtävissä hallinnon ohella myös yrityksissä, kansalaistoimin-nassa ja kansainvälisesti. VAHTIn toiminnan tuloksena muun muassa on aikaansaatu erittäin kattava yleinen tietoturvaohjeisto (www.vm.fi/VAHTI). VAHTIn johdolla on menestyksellisesti toteutettu useita ministeriöiden ja viras-tojen tietoturvayhteishankkeita. VAHTI on valmistellut, ohjannut ja toteutta-nut valtion tietoturvallisuuden kehitysohjelman, jossa on aikaansaatu merkit-tävää kehitystyötä yhteensä 26 kehityskohteessa yli 300 hankkeisiin nimetyn henkilön toimesta.

VAHTI on saanut kolmena vuotena tunnustuspalkinnon esimerkillisestä toiminnasta Suomen tietoturvallisuuden parantamisessa.

Sisältö

Esipuhe . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5

Lyhyesti VAHTIsta . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6

Yhteenveto . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9

1 Johdanto . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 151.1 Yleistä . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .151.2 Säädösperusta . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .171.3 Turvallisuusympäristö ja arvio sen kehittymisestä . . . . . . . . . . . . . . . . . . . . . . .18

2 ICT-varautumisen ohjaus . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 212.1 ICT-varautumisen ohjauksen kehittäminen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .212.2 Valtiotason ohjaus . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .222.3 Ohjaus hallinnonaloilla . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .23

3 Vaatimusten asettaminen ICT-varautumiselle . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 253.1 ICT-varautumisen vaatimusten asettaminen. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .253.2 ICT-varautumisen, jatkuvuuden ja tietoturvan vaatimustasot . . . . . .27

4 Osaamisen hallinta . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 31

5 Palveluverkoston hallinta ja hyödyntäminen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 35

6 Tilannetietoisuus ja riskienhallinta. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 396.1 Tilannetietoisuuden kehittäminen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .396.2 Uhka- ja riskianalyysin kehittäminen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .416.3 Palvelujen ja ICT-infrastruktuurin jatkuvuuden hallinta . . . . . . . . . . . . .43

LiitteetLiite 1 Käytetyt lyhenteet . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .47Liite 2 Keskeisimmät ICT-varautumista ohjaavat säädökset ja ohjeet . . . . .51Liite 3 Vaatimukset jatkuvuuden hallinnalle ja tiedon turvaamiselle . . . . . .59Liite 4 Voimassaolevat VAHTI -julkaisut . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .65

9

Yhteenveto

ICT-varautumisen kehittämisen tavoitteena on, että

Organisaatiot kykenevät toiminnan tarpeiden mukaisesti takaamaan palve-•lujensa jatkuvuuden ja tiedon turvaamisen normaaliolojen häiriötilanteissa, YETTS-erityistilanteissa ja poikkeusoloissa.

Valtionhallinnossa sekä sen käyttämissä ja tuottamissa palveluissa on käytössä •yhtenäiset toteutusvaatimukset sekä keinot ja menetelmät vaatimusten täyt-tämiseen.

ICT-varautuminen on kustannustehokkaasti ja koordinoidusti kunkin hallin-•nonalan jokapäiväistä toimintaa.

ICT-varautuminen toteutetaan osana tietohallinnon, tietoturvallisuuden, tur-•vallisuuden ja yleisen varautumisen kokonaisuutta.

Yhteiskunnan elintärkeiden toimintojen strategia (YETTS1) määrit-telee yhteiskunnan elintärkeiksi toiminnoiksi seitsemän toimintoa: valtion johtaminen, kansainvälinen toiminta, valtakunnan sotilaallinen puolusta-minen, sisäisen turvallisuuden ylläpitäminen, talouden ja infrastruktuurin toimivuus, väestön toimeentuloturva ja toimintakyky ja henkinen kriisink-estävyys. Uhkamalleihin sisältyviin erityistilanteisiin on strategiassa nimetty tilanteen hallinnasta ja niihin varautumisesta vastaavat ministeriöt.

Ympäröivän yhteiskunnan, valtionhallinnon sekä uhkaympäristön kehi-tys vaikuttavat varautumistarpeisiin. Todennäköisyys kasvaa tilanteelle, jossa ympäristökatastrofi, suuronnettomuus ja inhimillisestä virheestä johtuva tai tahallisesti aiheutettu laaja tietotekniikkahäiriö sekoittavat yhteiskunnan toi-mintakyvyn. Erityisen haitallisia voimakkaat häiriöt ovat laman aikana, jolloin palveluja tuottavat ja ylläpitävät yritykset ja heidän alihankkijansa minimoivat kustannuksensa ja usein optimoivat riskirajoilla resurssiensa käytön.

1 Yhteiskunnan elintärkeiden toimintojen turvaamisen strategia, Valtioneuvoston peri- aatepäätös, 23.11.2006. www.yett.fi

10ICT-varautumisen näkökulmasta keskeisimmät trendit ovat:

Kehityslinja Kehityspiirteitä

Palvelut, prosessit, tuotantoketjut, tietojen yhteiskäyttö ja järjestelmät automatisoituvat, monimutkaistuvat, integroituvat ja verkottuvat voimakkaasti.

Toiminnan tehostaminen tietotekniikan avulla kasvaa – ja •myös riippuvuus. Syntyy voimakkaita riippuvuussuhteita, kuten sähkön tuo-•tannon riippuvuus tietoliikenteestä ja päinvastoin sekä or-ganisaatioiden väliset riippuvuudet.Järjestelmäkokonaisuuksien testaaminen ja auditointi vai-•keutuvat.Internetin merkitys myös valtionhallinnossa kasvaa mer-•kittävästi.Vaikeasti ennakoitavia, hallitsemattomia ja laajalle heijastu-•via haavoittuvuuksia syntyy yhä enemmän.Palvelutoimittajien hallinta sekä resurssien kohdennus ja •priorisointi häiriötilanteessa vaikeutuvat. Osaaminen ei kehity monimutkaistuvien ympäristöjen •tahdissa.

Palvelut hankitaan usean tuottajan palveluverkostolta

Vain pieni osa palvelutarpeesta kyetään hankkimaan omal-•ta sisäiseltä palveluntoimittajalta. Verkoston rakentaminen edellyttää toiminta- ja laatukri-•teerejä, jotta keskinäinen luottamus, yhteensopivuus ja tekninen toimivuus voidaan taata.ICT-palvelutoimittajien alihankinta lisääntyy, myös •Suomen ulkopuolelta.Vaatimusten määrittely ja hallinta sekä hankinta edellyttä-•vät yhä erikoistuvampaa osaamista kaikilla tasoilla.

ICT-palveluketjujen omistussuhteissa ja sopimusvastuissa tulee tapahtumaan jatkuvasti muutoksia.

Osaa kaupallisista palveluista ei voida toteuttaa Suomessa •ja osa perinteisesti Suomessa tuotetuista palveluista siirtyy ulkomaille, jolloin Suomen säädännöllistä kontrollia voi-daan saada vain osaan tuotantoketjuista.Palvelutuotanto, laitteistotoimitus ja komponenttien val-•mistus globalisoituvat, palvelutoimittajakentän muutokset yleistyvät ja henkilöstöjohtamisen haasteet lisääntyvät.Ohjauksessa kulttuurilliset, taloudelliset ja sopimukselliset •menetelmät korostuvat. Sopimusten kattavuuden ja laadun sekä niihin kuvattujen •toimintamallien dokumentoinnin merkitys kasvaa.

Uhkaympäristö muuttuu yllätyksellisemmäksi ja vakavammaksi

Ympäristökatastrofien, suuronnettomuuksien ja laajojen •tietoteknisten haavoittuvuuksien monimuotoisuus ja ka-saantumisen todennäköisyys kasvaa.Verkkohyökkäyksistä ja haittaohjelmien kehittämisestä on •muodostunut ammattimaista ja hyvin organisoitua palve-lutoimintaa.Kohdistettujen haittaohjelmien käyttö ja uusien järjestel-•mähaavoittuvuuksien hyödyntäminen tiedustelutoimin-nassa lisääntyy.

Kansainvälisen yhteistoiminnan ja ohjauksen merkitys kasvaa voimakkaasti

Syntyy uudenlaisia tietohallintoa ja tietotekniikkaa koske-•via tarpeita, mahdollisuuksia ja haasteita. Tarpeet yhteisiin käytäntöihin ja ohjaukseen lisääntyvät.•Kansainvälinen säädös- ja standardiohjaus kasvavat (EU, •OECD, NATO).

11

Valtionhallinnon ICT-varautumisen kehittäminen jakautuu keskitetysti toteutettaviin, keskitetysti ohjattuihin, mutta hallinnonaloilla tai kärkihank-keissa toteutettaviin sekä hallinnonaloilla itsenäisesti toteuttaviin toiminnan kehittämisprojekteihin ja hankkeisiin.

ICT-varautumisen tavoitteiden saavuttaminen ja palveluiden jatkuvuuden turvaaminen edellyttävät, että:

Vuoteen 2012 mennessä Ministeriöt ja virastot ovat määrittäneet, mille vaatimustasolle niiden •palvelut ja järjestelmät sijoittuvat sekä suunnitelleet ja käynnistäneet vaatimusten toteuttamisen.

ICT-varautumisen ohjaus on osana hallinnonalojen yleisiä ohjausme-•netelmiä.

Palveluverkoston vaatimusten hallinta ja sopimusmenettelyt on yhte-•näistetty.

Vuoden 2016 loppuun mennessä Organisaatiot saavuttavat vähintään ICT-varautumisen perustason ja •erikseen määritellyissä osissa, palveluissa ja järjestelmissä korotetun tai korkean tason.

ICT -varautumisen kehitysty ö

ICT-varautumisenkehitystyö

ICT-palvelujen jatkuvuus ja tietoturva

Valtion IT-strategia

YETT-Strategia

Hallinnonalojen kehitysty ö

Hallinnonalojen kehitystyö

erityistilanteet

ValtITk ä rkihankkeet

ValtITkärkihankkeet

Kehityslinjaukset

Huoltovarmuus-päätös

Vaatimukset

Ohjaus ja todentaminen

Palveluverkon hallinta ja hyödyntäminen

ICT-tilannetietoisuus

Uhka- ja riskianalyysi

Osaamisen varmistaminen ja harjoitustoiminta

Kehittämisalueet

Yhteiskunta

Globaali

Kansalaiset

Julkishallinto

Elinkeinoel ä m ä

Yhteiskunta

Globaali

Kansalaiset

Julkishallinto

Elinkeinoelämä

2009 2016

VNpp valtiontietoturvallisuus

> > > > > >

.

.

.

.

.

.

12ICT-varautumisen toteuttamisessa noudatetaan seuraavia periaatteita:

Valtiovarainministeriön johdolla ylläpidetään yhteisiä ICT-•palveluiden jatkuvuuden hallinnan ja tiedon turvaamisen vaatimuk-sia, jotka ulotetaan toiminnan vaatimusten mukaisesti koko palvelu-verkostoon.

Organisaatioiden on tunnistettava prosessiensa ja toimintojensa •kriittisyys ja asetettava niille käytettävyys- ja palvelutasovaatimukset.

ICT-varautuminen toteutetaan osana yleistä ohjausta, kuten TTS- ja •tulosohjaus.

Organisaatioissa otetaan ICT-varautumisen käytännön toteuttamista •tukevat yhtenäiset suunnittelumallit ja tarkistuslistat.

Uhka-arvioihin ja riskianalyyseihin perustuva varautuminen on •oltava sisällä kaikkea kehittämis- ja tuotantotoimintaa.

Työjärjestyksissä ja tehtäväkuvauksissa määritetään keskeisimpien •palveluiden jatkuvuuden hallintaan, tiedon turvaamiseen ja varautu-miseen liittyvät vastuut, tehtävät ja johtosuhteet.

Keskeisimmät valtionhallinnon yhteiset sekä usean hallinnonalan •toimintaan vaikuttavat kehittämistoimet ja palvelut toteutetaan kes-kitetysti.

Ministeriöt ja virastot vastaavat omien ydintoimintojensa varautumi-•sesta.

Hallinnonalat rahoittavat toimintansa edellyttämän varautumisen •kehyksestään.

Yhteistyötä ja vuorovaikutusta eri organisaatioiden ohjaamien varau-•tumiseen liittyvien hankkeiden välillä on ylläpidettävä tiiviisti.

13Seuraavaan taulukkoon on koottu keskeisiä osa-alueita, organisaatioiden

tulee tarkastella kehittäessään toimintansa ja palvelujensa häiriönsietokykyä.

Aihe Toimenpide

Ohjaava ohjeistus Lainsäädäntö, normit ja ohjeet on tunnettava. •ICT-varautuminen on otettava huomioon tietohallintoa koskevissa oh-•jeistuksessa, standardeissa ja teknisissä määräyksissä sekä niiden käy-tössä. YETTS -erityistilanteiden hoitaminen (toimivaltuudet, resurssien käyt-•tö) on huomioitava.Varautumissuunnitelmien dokumentointi ja toteutettavuus on var-•mistettava.

Vaatimusten asettaminen, resursointi ja todentaminen

ICT-varautumisen tulee olla sisäänrakennettuna organisaatioiden •ydintoimintaprosesseihin ja niitä tukevaan muuhun varautumiseenICT-varautumisen vastuut ja tehtävät on liitettävä TTS-prosessiin ja tu-•losohjaukseen (tavoitteet, resurssit, mittarit, raportointi), työjärjestyk-siin sekä johdon ja asiantuntijoiden tehtäväkuvauksiin.Palveluntuotantoketjuun on ulotettava oikein mitoitetut auditointi- ja •arviointimenettelyt. Vaatimuksia vastaavat tarkastusluettelot ja ohjeistot on oltava tarkas-•tus- ja controller-toiminnan osana. Tarkastajien ja auditoijien varautumisen ja tietoturvallisuuden erityis-•osaamista tulee kehittää.

Riskienhallinta Toimintaa tukevan ICT:n kehittämisessä ja ylläpidossa tulee hyödyntää •uhka- ja turvallisuustilannearviointia osana organisaation riskianalyy-siä, joka sisältää myös tulevaisuustarkastelut.On huomioitava muiden verkoston osapuolien suorituskyky- ja jatku-•vuusvaatimukset.

Palvelujen verkostoituminen ja sopimus-menettelyt

Palveluverkostot ja alihankintaketjut on tunnistettava•Mahdolliset rajoitteet palvelujen tuottamisessa ulkomailla on linjat-•tava.On määritettävä mille kriittisen palvelun osille asetetaan erityisvaati-•muksia; esimerkkinä käyttäjähallinnan toteutus Suomessa suomalai-sella henkilökunnalla.Sopimuksissa on otettava huomioon erityistilanteiden edellyttämät toi-•mittajien ja sisäisten palvelutuottajien vastuu- ja priorisointivaraukset.Yritysturvallisuussopimukset tulee laatia ja auditoida yhtenäisesti ja •systemaattisesti.Sisäisille ja ulkoisille palveluntuottajille on asetettava yhtäläiset vaa-•timukset.

Tilannetietoisuus ja kriittisten toimintojen tunnistaminen

Organisaatioiden on kyettävä kokoamaan ICT-varautumisen kehittä-•misen ja YETTS-erityistilanteen hoitamisen edellyttämät tilannetiedot koko palveluverkostosta.Toimintojen, palvelujen ja järjestelmien merkitys eri turvallisuustilan-•teissa on tunnistettava. Organisaatioiden palveluille ja järjestelmille on määritettävä varautu-•misen tavoitetaso, palvelutasovaatimukset ja tärkeysluokitukset myös YETTS-erityistilanteisiin. Kriittinen ICT ja sen kriittisimmät yksittäiset osat on tunnistettava ja •kuvattava.Kriittisten toimintojen ja järjestelmien ylläpito- ja resursointivastuut •on määritettävä.Tarvittavat varaukset omista ja toimittajan resursseista (VAP) on yllä-•pidettävä.

14Tietotekninen infrastruktuuri

Kriittisille tietojärjestelmille, -tietokannoille, rekistereille ja tietoliiken-•teelle on määriteltävä jatkuvasti ylläpidettävät palvelukohtaiset eri turvallisuustilanteiden käytettävyysvaatimukset sekä huomioitava ne sopimusrakenteissa.Palvelutasovaatimusten ja tärkeysluokittelujen mukaiset jatkuvuuden •hallinnan toimintaohjeet, menettelytavat ja tietotekniset ratkaisut on toteutettava.Kriittisten tietojärjestelmien toiminta tulee varmistaa siten, että ne on •sijoitettu sellaiseen tuotantoympäristöön, jossa rakenteet on suunni-teltu ja toteutettu häiriö- ja erityistilanteita sekä poik-keusoloja var-ten.Valtion hallitsemien suojattujen ja rakennettujen laitetilojen yhteis-•käyttöä on hyödynnettävä sijoittamalla niihin kriittisiä palveluja tuot-tavia tietojärjestelmiä, tietovarantoja ja tietoliikenneverkon laitteita se-kä tarvittaessa käyttöön otettavaa lisäkapasiteettia.On kehitettävä ja ylläpidettävä valmiutta varajärjestelyjen käyttöön-•ottoon.

Osaamistarpeet, koulutus ja harjoittelu

Kriittiset osaamistarpeet on tunnistettava ja luotava osaamisprofiilit, •joita hyödynnetään rekrytoinnissa, tehtäväkierrossa, koulutuksessa ja erityistilanteiden hallinnassa. Soveltuva koulutus on kartoitettava ja hyödynnettävä opetuslaitosten •ICT -varautumista tukevaa koulutustarjontaa. ICT -varautuminen on oltava osa organisaatioiden harjoituskokonai-•suutta.Yhteisten harjoituskehysten ja tilannekuvausten käyttöä on kehitet-•tävä organisaatioiden järjestämissä varautumis- ja valmiusharjoituk-sissa. Palveluketjun ja -verkoston toimintakykyä tulee testata säännöllisesti.•Harjoituksissa on hyödynnettävä poikkeusoloja varten luotuja toimiti-•loja ja muita järjestelyjä.Harjoituskokemuksia on systemaattisesti hyödynnettävä toiminnan •kehittämisessä.

15

1 Johdanto1.1 Yleistä

Tämän käsikirjan tarkoituksena on antaa organisaatioille yhteiset perus-teet helpottamaan ja yhtenäistämään ICT-toimintojensa häiriötilanteisiin ja poikkeusoloihin varautumisen suunnittelua ja toteutusta. Käsikirja helpottaa ICT-varautumisen sisällyttämistä osaksi jo olemassa olevia organisaation pro-sesseja ja työtapoja. Käsikirja pohjautuu valtiovarainministeriössä 1.10.2007- 30.6.2008 tehtyyn valtionhallinnon ICT-varautumisen esitutkimukseen2. Käsikirjan kohderyhmänä on organisaatioiden ylin johto sekä toimiala-, tietohallinto-, turvallisuus- tietoturva- ja valmiusjohto.

Käsikirjaa täydentää valtiovarainministeriön erillisenä asiakirjana julkai-sema ICT-palvelujen jatkuvuuden hallinnan, tiedon turvaamisen ja varautumisen toteutusvaatimukset. Tähän käsikirjaan liittyy myös huoltovarmuusorganisaa-tion (HVO) ”Sopimuksiin perustuva varautuminen” –hankkeessa tuotettava yritysverkoston sopimushallintaa ohjaava aineisto.

Yhteiskunnan elintärkeiden toimintojen turvaamisen strategian (YETTS) mukaan varautuminen käsittää kaikki ne toimenpiteet, joilla varmistetaan tehtävien mahdollisimman häiriötön hoitaminen kaikissa turvallisuusti-lanteissa. YETTS3 määrittelee yhteiskunnan elintärkeiksi toiminnoiksi seuraa-vat seitsemän (7) toimintoa:

Valtion johtaminen•Kansainvälinen toiminta •Valtakunnan sotilaallinen puolustaminen •Sisäisen turvallisuuden ylläpitäminen •Talouden ja infrastruktuurin toimivuus •Väestön toimeentuloturva ja toimintakyky•Henkinen kriisinkestävyys. •

2 Valtionhallinnon ICT-varautuminen, esitutkimusraportti http://www.vm.fi/vm/fi/04_julkai-sut_ja_asiakirjat/01_julkaisut/04_hallinnon_kehittaminen/20081113Valtio/name.js

3 Yhteiskunnan elintärkeiden toimintojen turvaamisen strategia, Valtioneuvoston peri-aatepäätös, 23.11.2006. www.yett.fi

16Strategiassa on myös kuvattu elintärkeiden toimintojen jatkuvuutta vaaran-

tavia uhkia. Uhkamalleihin sisältyviin erityistilanteisiin on strategiassa nimetty tilanteen hallinnasta ja niihin varautumisesta vastaavat ministeriöt.

ICT-toimintoja kehitettäessä on varauduttava normaaliolojen häiriö- ja eri-tyistilanteisiin. ICT-varautuminen on pääosin riskien hallintaan pohjautuvaa jatkuvuuden hallintaa, tiedon turvaamista sekä häiriö- ja erityistilanteiden hallintaa.

Kuva 1. ICT-varautuminen on jatkuvuuden hallintaa ja tiedon turvaamista

ICT-toiminnanjatkuvuuden hallinta

Riskien-hallinta

Häiriö- jaerityistilanteidenhallinta

ValmiusJohtaminen

Tilannetietoisuus

Tiedon turvaaminen

Häiriötilanttet

YETTS-erityistilanteet

ICT-varautuminen

Normaaliolot Poikkeusolot

ValmiussuunnitteluJatkuvuussuunnittelu

Tietojärjestelmä ratkaisut ja -palvelut koostuvat sovelluksista, tietovaran-noista, tietoverkoista, muusta ICT-infrastruktuurista ja niiden oheisjärjestelm-istä, tietoturvallisuudesta sekä niihin liittyvästä ylläpidosta, järjestelmähallin-nasta ja teknisestä tuesta. Tästä tietohallinnon ja tietotekniikan kokonaisuudesta käytetään lyhennettä ICT (Information and Communication Technology).

Kriittisiä ovat sellaiset ydintoimintoja tukevat ICT-rakenteet, jotka ovat välttämättömiä YETTS:n mukaisen erityistilanteen hoitamisessa ja joiden toimimattomuus estää usean keskeisen organisaation, järjestelmän tai palvelun toiminnan. Kriittisyyttä tarkastellaan yhteiskunnan, valtionhallinnon, hallinnonalan ja organisaation näkökulmista.

Keskeisiä ovat sellaiset ICT-rakenteet, joiden toimimattomuus vaikeuttaa merkittävästi organisaation tehtävien suorittamista, aiheuttaa merkittäviä taloudellisia tai muita vahin-koja tai heikentää henkilöstön turvallisuutta.

17Yhteiskunnan toiminta sisältää seuraava kuvan mukaisesti useita ulot-

tuvuuksia, joiden tulee toimia saumattomasti yhteen.

Kuva 2. Valtionhallinnon ICT-toiminta on osa yhteiskunnan ICT-palveluja

Kansainvälinen ympäristö(EU, NATO, OECD yms)

Alue- japaikallishallinto

Kansalaispalvelut

Palvelun tuottajat, talouselämä

Muu julkishallinto/yhteisöt

Valtion IT

Varautumisen yleisohjaus, VNOS, YETTS

1.2 Säädösperusta

Viranomaisten velvollisuus varautua poikkeusoloihin perustuu valmiuslakiin. Varautumista koskeva säädäntö määrittää valtionhallinnon tasoiset ja hallin-nonalakohtaiset vastuut. Säädännössä määrätään varautumisvelvoitteita tai tehtäviä erilaisille toiminnoille tai organisaatioille.

Ministeriöiden toimialasta ja asioiden jaosta niiden kesken säädetään lailla tai valtioneuvoston asetuksella. Yleiset ministeriöiden toimialasäännökset ja yhteensovittamisvelvollisuudet ovat valtioneuvoston asetuksena annetussa val-tioneuvoston ohjesäännössä (VNOS). Ministeriökohtaisissa valtioneuvoston asetuksissa on tarkemmat säännökset ministeriön tehtävistä. Eri alojen lain-säädännössä, laeissa, asetuksissa ja valtioneuvoston periaatepäätöksissä on eri-tyisiä säännöksiä ministeriöiden toimialaan kuuluvista asioista.

181.3 Turvallisuusympäristö ja arvio sen kehittymisestä

Valtionhallinnon kaikki toiminta on verkostoitunutta sekä julkishallinnon sisällä että yhteiskunnan muiden toimijoiden kanssa myös kansainvälisesti. Hallinnon palvelut ja toiminnot rakentuvat tietoteknisten peruspalvelujen ja sovellusten sekä perusrekisterien ja muiden tietovarantojen varaan. Näiden toiminta riippuu korostuneesti tietoliikenteen toimivuudesta ja sähkön saata-vuudesta. Tätä palveluverkostoa ylläpitää valtionhallinnon sisäisistä ja ulkoi-sista palvelutoimittajista muodostuva verkosto.

Kuva 3. Turvallisuusympäristön hallinta edellyttää yhteistoimintaa

YhteiskuntaGlobaaliympäristö

Infrastruktuurin käytettävyys

YhteiskuntaGlobaaliympäristö

Infrastruktuurin käytettävyys

KansalaisetJulkishallinto

Elinkeinoelämä

ICT-palvelut

CERT-FI24/7

Oma toiminta

Palveluntuottajat -

Tilanne-tietoisuus

•Uhkien tunnistaminen ja seuranta •Riskien hallinta•Häiriötilanteet•YETTS -erityistilanteet

•Uhkien tunnistaminen ja seuranta •Riskien hallinta•Häiriötilanteet•YETTS- erityistilanteet

Turvallisuusympäristön

muutokset

Valtionhallinnon, hallinnonalojen, virastojen ja kuntien toiminnan ja palve-lujen jatkuvuuden takaaminen ja tiedon turvaaminen edellyttävät palveluverko-ston varautumista ICT-toiminnan häiriötilanteisiin. Normaaliolojen häiriöti-lanteita varten toteutetut toimintamallit ja ratkaisut ovat perusta erityistilante-iden hoitamiselle ja toiminnalle poikkeusoloissa.

Todennäköisyys tilanteelle, jossa samanaikaisesti tapahtuu useita erityyp-pisiä häiriötilanteita kasvaa jatkuvasti. Tämän päivän tietotekniselle toimint-aympäristölle on tyypillistä uhkien äkillinen realisoituminen sekä niiden vai-kutusten nopea ja ennalta arvaamaton laajentuminen.

Häiriö voi syntyä luonnonilmiöstä, onnettomuudesta, sähkökatkosta, tietojärjestelmävirheestä, laatuvirheestä, tietoliikennekatkosta, laiteviasta, toim-inta- tai käyttövirheestä, tietokatkosta tai väärinymmärryksestä. Häiriö voidaan aiheuttaa myös tahallisesti, kuten tietoverkkoon (ml. laitteisiin, järjestelmiin) kohdistettu vahingonteko, ilkivalta tai tietoverkkohyökkäys. Tietoteknisesti tai fyysisesti heikosti suojattu palvelu (mukaan luettuina järjestelmät, sovel-lukset, tietoverkot, tieto) voi olla tietojen urkinnan tai muun rikollisen toim-

19innan kohde; tietojärjestelmän haltuunotonyritys tai palvelun lamauttaminen. Järjestäytyneen rikollisuuden ja valtiollisen tiedustelutoiminnan kohdistamien haittaohjelmien kautta luottamuksellisia tietoja voi joutua asiaankuulumatto-mille tahoille.

Yhtenä keskeisenä haasteena häiriötilanteissa on osaavan henkilöstön tav-oitettavuus ja saatavuus. Osaamisen saatavuuteen ja käytettävyyteen oman riskinsä voi muodostaa myös työtaistelutoimet, yritysten myynti, agressiiviset henkilöstön värväämiset kilpailevista organisaatioista sekä lamasta johtuvat henkilöstön irtisanomiset.

Kuva 4. Uhkat kohdistuvat koko palveluverkostoon

Virasto y

Järjes-telmä A

Järjes-telmä B Perus-

rekisteri

Tietovaranto

Palvelujentuottajat

Ministeriö x

ÄkillisyysEnnakoimattomuusEskaloituminen

?

YETTS -erityistilanne

Normaaliolojen häiriöt

Palvelujenkäyttäjät

Sidosryhmät

sekuntteja – minuutteja – tunteja – vuorakausia -- viikkojapaikallinen – alueellinen – valtakunnallinen -- globaali

Kunta z

Uhkaympäristö

Häiriöt eri turvallisuustilanteissa ovat samantyyppisiä, mutta niiden kohde, laatu ja vaikutus voivat vaihdella. Häiriö- ja erityistilanteet voivat vaikuttaa suoraan tietotekniseen kokonaisuuteen tai välillisesti ICT:n tukirakenteisiin (esimerkiksi henkilöstöön). Erityistilanteiden hoitamiseen liittyvät kansalais-ten ja yhteiskunnan tarpeet saattavat myös asettaa lisävaatimuksia sähköisille palveluille ja tietojärjestelmille.

20Seuraavassa taulukossa on karkea arvio YETTS-erityistilanteista niiden

ICT-vaikutuksen pohjalta.

YETTS uhkamalli ICT-vaikutusSähköisen infrastruktuurin häiriintyminen A

Väestön terveyden ja toimeentulon vakava häiriintyminen D/C

Taloudellisen toimintakyvyn vakava häiriintyminen D/C

Suuronnettomuudet ja luonnon aiheuttamat onnettomuudet B/A

Ympäristöuhkat C

Terrorismi sekä järjestäytynyt ja muu vakava rikollisuus B/A

Väestöliikkeisiin liittyvät uhkat D

Poliittinen, taloudellinen ja sotilaallinen painostus B

Sotilaallisen voiman käyttö A

Selite:A = vaikutus kohdistuu suoraan ICT-infrastruktuuriinB = vaikutus kohdistuu ICT-infrastruktuurille välttämättömiin tukirakenteisiin ja heikentävät

ICT:n käytettävyyttäC = Erityistilanteen hoitaminen aiheuttaa merkittäviä erityisvaatimuksia valtiohallinnon

ICT:n toiminnalle ja käytettävyydelleD = Tilanteen hoitaminen asettaa erityisvaatimuksia hallinnonalan sisäiselle ICT:lle

Organisaatioiden on analysoitava tehtäviään ja toimintaansa YETTS-eri-tyistilanteiden suhteen ja tuotettava tästä tarpeet toimintansa jatkuvuuden hallinnalle sekä vaatimukset ennakolta tehtäville suojaamis- ja varmentamis-toimenpiteille.

21

2 ICT-varautumisen ohjaus2.1 ICT-varautumisen ohjauksen kehittäminen

Tavoite ICT-varautumisen ohjauksen kehittämisessä:

ICT-varautuminen on kiinteä osa valtion tietohallinnon kehittämistä ja toteut-•tamista ohjaavissa strategioissa ja muissa asiakirjoissa.

ICT-varautumiselle asetetaan kaikilla tasoilla selkeät tavoitteet, resurssit ja mit-•tarit osana normaalia tulosohjausprosessia ja tarkastustoimintaa.

Tavoiteltava hyöty

ICT-varautumisen kytkeminen tiiviisti tulosohjausprosessiin mahdollistaa tar-•peisiin perustuvien tavoitteiden asettamisen, oikein mitoitettujen resurssien osoittamisen sekä saavutettujen tulosten todentamisen.

Mahdollistaa järjestelmien toteuttamisen hallinnonaloilla kokonaistaloudelli-•sesti siten, että niiden toiminta jatkuu hallitusti sekä häiriötilanteissa että vai-keissa erityistilanteissa.

ICT-varautumisen toimenpiteiden ohjaaminen ja raportointi toteutetaan nor-maalin toiminnanohjauksen yhteydessä. Tätä on muun muassa strateginen suunnittelu, arkkitehtuurien määrittäminen, toiminnan ja talouden suunnit-telu, laatujärjestelmä, hankeohjaus ja hankintojen ohjaus. Tukevia toimintoja ovat muun muassa raportointi sekä tarkastustoiminta, kuten controller-toi-minta, sisäinen tarkastus ja erilaiset auditoinnit.

Kehitettäessä ICT-varautumisen ohjausta virastoissa osana muuta toimin-nan ohjausta tulee ottaa huomioon seuraavat asiakokonaisuudet:- ohjaavat säädökset ja niiden kehittämistarpeet- ICT-varautumisen huomioiminen strategia-asiakirjoissa, TTS, TA- ja

tulosohjausprosessissa sekä työjärjestyksissä ja tehtäväkuvauksissa- hankeohjaus ja hankintaprosessit.

222.2 Valtiotason ohjaus

Varautumisen kokonaisohjauksesta vastaa valtioneuvoston kanslia ja kukin ministeriö oman hallinnonalansa osalta. Yhteensovittaminen valtioneuvos-tossa virkamiestasolla tapahtuu ministeriöiden kansliapäällikkö- ja valmius-päällikkökokouksissa.

Valtion yhteistä IT-toimintaa ja ICT-varautumista ohjaa valtiovarainminis-teriö tukenaan valtion IT-johtoryhmä. VAHTI-johtoryhmässä koordinoidaan valtionhallinnon tietoturvallisuuden johtamista ja kehittämistä VAHTI-ohjeis-ton avulla. Hallinnonalat ohjeistavat lisäksi omaa toimintaansa.

Turvallisuus- ja puolustuspoliittisesta selonteosta ja Yhteiskunnan elintärke-iden toimintojen strategiasta on johdettavissa suoraan ja välillisesti velvoitteita varautumisen toteuttamiselle.

Seuraavassa kuvassa on esitetty varautumisen toteutuksen ohjauksen osa-alueita.

Kuva 5. Ohjauselementit

Todennus:• VTV• controller• sis. tark.• harjoitukset

Jatkuvuuden hallinta

Erityistilanteen hallinta Toipuminen

Perusteet:• säädökset• työjärjestys• toiminta-

Strategiat:• Hallitus-

ohjelma• VNS• YETTS

Toiminnan ohjaus:• TTS, TA• tulosohjaus• tuotannon

• raportointi

Kehittämisen ohjaus:• arkkitehtuuri• kärkihankkeet• hankeohjaus• hankinta

Tilannetietoisuus

Toimeenpanonohjaus

VARAUTUMINEN

ICT-VARAUTUMINENTietohallinto - Turvallisuus – Tietoturva - Valmius

ohjaustapa

MinisteriötVirastot

232.3 Ohjaus hallinnonaloilla

Ministeriössä hallinnonalan varautumisesta vastaa kansliapäällikkö. Valmi-uspäälliköksi nimetään ministeriön ylimpään johtoon kuuluva virkamies. Tietohallintojohto vastaa ICT-varautumisen toteuttamisesta tietohallinnon osa-alueella. Varautumista toteutetaan myös yleisen turvallisuuden ja tieto-turvallisuuden osa-alueilla. Valmiusjohdon sekä tietoturva-, turvallisuus- ja tietohallintojohdon roolien ja vastuiden ICT-varautumisen johtamisessa tulee virastoissa olla selkeitä ja näkyä työjärjestyksissä ja tehtäväkuvauksissa.

Hallinnonalojen ja virastojen tehtävien hoitaminen edellyttää useimmiten yhteistoimintaa muiden hallinnonalojen, virastojen ja yhteiskunnan kanssa. Kukin ministeriö vastaa lakisääteisin tehtäviinsä liittyen myös talouselämän ohjauksesta. Huoltovarmuuskeskus (HVK) tukee ministeriöitä varautumisen kehittämisessä siltä osin, kuin se koskee elinkeinoelämää

Osaamisen ja tiedonkulun varmistamiseksi normaaliolon toimintamalli ei saisi merkittävästi muuttua häiriötilanteiden ja poikkeusolojen johtamisessa. Kukin virasto ja laitos vastaavat itse varautumisen toimenpiteistä hallinnonal-ansa ohjeiden ja omien tarpeidensa mukaisesti. ICT-varautumisen toteuttamista ohjataan myös virastojen väliseen yhteistoimintaan ja keskinäisiin sopimuksiin perustuen. Keskeistä on varmistua, että suunnitellut ja toteutetut toiminnot ja palvelut vastaavat asetettuja vaatimuksia ja solmittuja sopimuksia. Laadusta ja toimivuudesta on kyettävä varmistumaan ennalta. Keskeisinä elementteinä tässä ovat controller-toiminta, sisäinen tarkastus sekä kokonaisuuden kaik-kiin osa-alueisiin kohdistuva auditoinnit. Tarkastustoiminnan ja auditoinnin on kohdistuttava sekä sisäisiin että ulkoisiin toimintoihin ja ulotuttava syvälle palvelua tuottavaan palveluketjuun tai -verkostoon.

24

25

3 Vaatimusten asettaminen ICT-varautumiselle

3.1 ICT-varautumisen vaatimusten asettaminen

Tavoite ICT-varautumisen vaatimusten yhtenäistämisessä ja kehittämisessä:

ICT-varautumisen vaatimukset vastaavat normaaliolojen häiriötilanteiden, eri-•tyistilanteiden ja poikkeusolojen tarpeisiin.

Hallinnonalat tunnistavat osana omia prosessejaan palvelujensa kriittisyyden •ja määrittävät niiden sijoittumisen eri vaatimustasoille.

Valtionhallinnon palvelut on toteutettu vaatimustasojen mukaisesti.•

Vaatimukset, vaatimustasot ja niiden noudattaminen tarkastetaan VM:n johta-•mana YETTS:n tarkastamiseen liittyen säännöllisesti.

Tavoiteltava hyöty:

Vaatimustasot yhdenmukaistavat ICT:n toteuttamista ja mahdollistavat yhteis-•mitallisten tavoitteiden ja resurssien kohdentamisen ja varautumisen toteu-tuksen seurannan.

Verkostoituneessa ympäristössä vaatimusten noudattaminen mahdollistaa teh-•tyjen ratkaisujen monistamisen sekä resurssien kustannustehokkaan käytön ja erityistilanteiden hallinnan.

ICT-varautumisen perustan luovat toiminnalliset vaatimukset, joissa on huo-mioitu myös YETT-strategiassa kuvatut erityistilanteet. Virastojen on oman toimintansa kannalta arvioitava ICT-palveluille asetettavia vaatimuksia. Täl-löin on otettava huomioon, suunniteltava ja ohjeistettava mm seuraavat asiat:- perus-, korotetun ja korkean tason vaatimukset, kontrollit ja mittarit- toteutussuunnitelman realistisuus- toteutuksen ohjaus, itsearvioinnit ja raportoinnit - auditoinnit, tarkastus- ja controller-toiminta.

26Organisaation johto vastaa palveluiden kriittisyyden määrittämisestä. Kriit-

tisimmät ja keskeisimmät tietotekniikan varassa olevat ydintoiminnot on kuvat-tava. Näistä on johdettava selkeät jatkuvuusvaatimukset palveluille. Tietojärjest-elmäratkaisut ja -palvelut tulee varmistaa tunnistettujen vaatimusten mukai-sesti tavanomaisten häiriöiden lisäksi myös erilaisia vakavia häiriöitä ja poik-keusoloja kestävillä järjestelyillä.

ICT-varautumisen toteuttamisen kannalta organisaatioiden tulee kriittis-esti arvioida: - Miten organisaatiossa analysoidaan ydintehtävien, kriittisten toimintojen,

niiden tarvitsemien tietoteknisten palvelujen ja hallinnonalojen välisten ICT-toimintojen riippuvuuksien kannalta YETTS:n erityistilanteiden hal-lintakyky?

- Mikä on organisaation johdon ja tietohallintojohdon välinen yhteistyö ja vastuunjako määritettäessä organisaation toiminnan tarpeita, ICT-varau-tumisen vaatimuksia ja tehtäviä sekä varautumisen luomia mahdollisuuk-sia toiminnalle?

- Miten ICT-varautumista tulee toteuttaa hallinnollisessa ja teknisessä rakenteessa ottaen huomioon järjestelmien ja palvelujen elinkaari sekä eri-tyistilanteet?

Kuva 6. Vaatimusten muodostaminen toiminnan tarpeista

Valtioneuvoston ohjaus

Ydintehtävät

Toiminta-analyysiKeskeinen toiminto/prosessiTärkeät sidosryhmätVälttämätön palvelu ja tieto

Strategiat, ohjausasiakirjat• Toiminnan tarpeet ICT:lle• Palvelutasovaatimukset

esitutkimus määrittelysuunnittelutoteutus

Osa

amin

enO

saam

inen

YETTS-ERITYISTILANTEET

käyttöylläpitohäiriön hallintapalautuminen

Varautumisen toteutus palvelussa

Jatk

uvuu

den

halli

nta

Sotilaallisen voiman käyttöPoliittinen, taloudellinen ja

sotilaallinen painostusVäestöliikkeisiin liittyvät uhkat

Terrorismi sekä järjestäytynyt jamuu vakava rikollisuus

YmpäristöuhkatSuuronnettomuudet ja

luonnon aiheuttamat onnettomuudetTaloudellisen toimintakyvyn vakava häiriintyminen

Väestön terveyden ja toimeentuloturvanvakava häiriintyminen

Sähköisen infrastruktuurin häiriintyminen

Johtaminen ja yhteistoimintatoiminta - tietohallinto - tietotekniikka

Sähköiset palvelutTietovarannot ja rekisterit

- sisäiset - ulkoiset - yhteiset -

Tietotekniset peruspalvelutTietotekninen infrastruktuuri

Tukevat rakenteet

Stra

tegi

set-

ja

ydin

teht

ävät

ICT-palvelun jatkuvuus

Strategiset tehtävät

27Palvelujen käyttäjistä ja ylläpitäjistä koostuviin palveluverkostoihin osallis-

tuu hallinnon eri osapuolia, kansalaisia, yhteisöjä, yrityksiä ja ICT-palveluntuot-tajia. Keskeistä on varmistua, että koko palveluverkosto kykenee sekä normaa-liajan häiriötilanteissa että YETTS:n mukaisissa erityistilanteissa jatkamaan toimintansa asetettujen vaatimusten mukaisesti.

Organisaation tulee varmistua, että vaatimukset periytyvät ulkoiselle tai sisäiselle sopimuskumppanille ja että nämä huolehtivat niiden periytymisestä alihankkijoilleen.

Kuva 7. Vaatimusten välittyminen toimintaverkostossa

Käyttäjä Hankkija Myyjä Integraattori Toteutus ja ylläpito

Tarpeiden ja vaatimusten välittyminen ??

Onko palvelut ja järjestelmät toteutettu toiminnan tarpeita vastaavasti?

Yritys CYritys B

Yritys A

Yritys D

Yritys FYritys E

Rajoitteiden/riskien välittyminen ??

Onko ylläpitoon liittyvät käyttö- ja tukipalvelut sekä tarvittavat resurssitkäytettävissä myös erityistilanteissa ja poikkeusoloissa?

3.2 ICT-varautumisen, jatkuvuuden ja tietoturvan vaatimustasot

Kriittisten toimintojen jatkuvuusvaatimukset edellyttävät toiminnallisten ja teknisten vaatimusten asettamista normaaliolojen häiriö- ja erityistilanteiden sekä poikkeusolojen varalle. Valtionhallinnossa otetaan käyttöön yhtenäiset jatkuvuuden, tiedon turvaamisen ja ICT-varautumisen vaatimukset. Vaati-muksille määritetään kontrollit ja mittarit itsearviointia, raportointia, audi-tointia ja tarkastustoimintaa tukemaan. Vaatimukset ryhmitetään kolmelle tasolle: perus, korotettu ja korkea. Vaatimuksia asetetaan organisaation toi-minnalle, palveluille ja ICT:n toteuttamiselle seuraavan kuvan mukaisesti.

28Kuva 8 Esimerkki ICT-varautumisen vaatimustasoista, sekä niitä tukevat tietoliikenneratkaisuista ja palveluyksiköistä ja palveluista

Palvelu-toimit-tajat

VIP

Hallinnonpalvelu-yksiköt

Julkinentietoliikenne

Valtion

turvallinen

tietoliikenne-

ratkaisu

Vaatimukset ja kontrollit

PERUSTASO

KOROTETTU TASO

välivaiheen tilanne organisaatioiden,palvelujen ja järjestelmien siirtyessäperustasolle

KORKEA TASO

• verkostoituneen sähköisen asioinnin minimi• riittävä palautuminen normaaliolojen

häiriötilanteissa

• toteutettavissa normaaleilla kaupallisilla palveluilla ja sopimuksilla

• kriittisten toimintojen minimitaso• nopea palautuminen vaikeissa

erityistilanteissa

• toiminta poikkeusoloissa • erityisvaatimuksia omalle osaamiselle

S IIRTYMÄ TASO

TUVE

Tietoliikenne PalveluyksikötPalvelut

Turvallisuus-ja pelastusalan

operatiivisetpalvelut

Perus-rekisterit,

potilastieto-järjestelmät

Hallinto-palvelut

PVJJK

HALTIK

•

Jokaisen julkishallinnon organisaation sekä näiden yhteistyökumppanien ja palvelujen on täytettävä perustason vaatimukset. Organisaation on määritettävä mitkä sen palveluista ja järjestelmistä edellyttävät korotettua tai korkeaa tasoa. Tässä arvioinnissa on otettava huomioon myös palvelua käyttävien sidosryh-mien tarpeet. Ministeriöt päättävät hallinnonalansa korkealle tasolle sijoitet-tavista järjestelmistä. Valtionhallinnon yhteisten sekä usean hallinnonalan toimintaan vaikuttavien palvelujen ja järjestelmien sijoittaminen korkealle ja korotetulle tasolle koordinoidaan keskitetysti VM:n johtamana.

Perustaso mahdollistaa turvallisesti normaalin, voimakkaasti verkostoi-tuneen hallinnon toiminnan. Normaaliolojen häiriötilanteista selviydytään toiminnan vaatimuksia vastaavasti yhtenäistetyillä, normaaleilla palveluso-pimuksilla. Taso vastaa normaalin liikeyrityksen laadukasta toimintaa. Perusta-solle sijoittuvat esimerkiksi asianhallinnan ja henkilöstöhallinnon järjestelmät. Perustason toteuttaminen ei aiheuta merkittäviä lisäkustannuksia, mikäli vaa-timukset otetaan huomioon esitutkimusvaiheesta alkaen kehitettäessä organ-isaatiorakenteita, toimintamalleja, palveluita ja järjestelmiä.

Korotettu taso on tarkoitettu organisaation kriittisille toiminnoille. Vaa-timusten kontrollit on tiukennettu vastaamaan verkostoitumisen ja YETT-strategian erityistilanteiden asettamia vaatimuksia. Vain osa organisaation toiminnasta, palveluista ja järjestelmistä on tarkoituksen mukaista toteuttaa tällä tasolla. Korotetun tason järjestelmiä ovat esimerkiksi potilastietojärjest-elmä ja perusrekisterit. Myös sähköposti tai organisaation joku muu sanoman

29välitysjärjestelmä on hyvä sijoittaa korotetulle tasolle erityistilanteiden toim-intaa varmistamaan.

Korkea taso vastaa poikkeusolojen ja laajojen vaikeiden erityistilanteiden tarpeita. Korkean vaatimustason järjestelmiä ovat esimerkiksi turvallisuusvi-ranomaisten operatiiviset järjestelmät. Korkean tason vaatimukset asettavat merkittäviä lisävaatimuksia organisaation toiminnalle, osaamiselle ja järjest-elmien toteutukselle.

30

31

4 Osaamisen hallinta

Tavoite osaamisen hallinnan kehittämisessä:

Kriittisten toimintojen osaamistarpeet on tunnistettu. •

Osaamisen saatavuus ja käytettävyys palveluverkostossa on suunniteltu ja •ylläpidetty tavalla palvelutasovaatimusten mukaisesti häiriö- ja erityistilanteet huomioiden.

Henkilöstöön kohdistuvat vaatimukset on määritetty ja nämä on huomioitu teh-•täväkuvauksissa, tehtäväkierrossa, rekrytoinnissa sekä koulutusjärjestelyissä.

Tavoiteltava hyöty:•

Kriittisen toiminnan edellyttämä osaaminen on käytettävissä häiriö- ja erityis-•tilanteissa.

Kyetään hyödyntämään valtionhallinnon organisaatioissa ja palvelutoimittajilla •olevaa erityisosaamista poikkihallinnollisesti.

Osaamista kyetään varmistamaan ja kehittämään henkilöstömuutosten sekä •muuttuvien uhkakuvien ja vaatimusten mukaisesti.

Harjoitustoiminnalla kyetään kehittämään ja varmentamaan palveluketjun toi-•mivuutta erityistilanteissa.

Osaamisen hallinnan kehittämisessä on huomioitava seuraavat osa-alueet:- Osaamistarpeet ja saatavuus

ydintoimintojen osaamistarpeet, osaamisprofiilit•resurssikartoitus, erityisosaajien saatavuus•osaamispoolien, -verkostojen ja –keskusten tarve.•

- Koulutus- ja harjoitustoimintakoulutuskartta soveltuvasta koulutuksesta, koulutussuunnitelmat•erityiskurssien tarve•koulutus- ja harjoitteluympäristöt•harjoitustoiminta, tilannekuvausrekisterit.•

32Organisaatioiden on tunnistettava keskeisimpien palvelujensa sekä niitä

mahdollistavien ICT-palvelujen ja –järjestelmien edellyttämät toiminnan jat-kuvuuteen liittyvät osaamistarpeet. Usein tukijärjestelmän ja erikoiskompo-nenttien edellyttämä syväosaaminen on saatavissa vain valmistajan asiantun-tijoilta ulkomailta. Korkean tason järjestelmissä on varmistettava, että myös poikkeusoloissa on Suomessa tarkka tekninen dokumentaatio ja minimimäärä syväosaamista. Kussakin turvallisuustilanteessa ko. hetkellä käytössä olevat ja käyttöön saatavat osaamisresurssit on kyettävä selvittämään.

Varautuminen erityistilanteisiin asettaa vaatimuksia osaamiselle palvelu-prosessin kaikissa vaiheissa: ohjaus ja johtaminen, suunnittelu, määrittely ja kil-pailutus, toteuttaminen, palvelujen käyttö ja ylläpito, häiriötilanteiden hallinta ja palvelun palauttaminen. Organisaation oman henkilöstön osaaminen yhdessä palvelua tuottavan toimittajaverkoston osaamisen kanssa muodostavat perustan varautumiselle. Mitoituksessa on huomioitava osaamisen määrä, laatu, ylläpito, tekninen tukeminen, palveluverkostolta edellytettävä osaaminen ja osaamisen täydentämismahdollisuudet erilaisissa tilanteissa. Vaikeissa erityistilanteissa henkilöstön käyttötarve on huomattavan suuri, mutta käyttöön saatavat hen-kilöresurssit ovat usein huomattavasti normaalitilannetta vähäisemmät.

Osaaminen ja sille kohdistettavat vaatimukset vaihtelevat riippuen hallinnon tasosta ja toimialasta. Vaatimukset ulottuvat tietohallinnon henkilöstön lisäksi myös ylimpään johtoon ja tietotekniikan käyttäjiin.

Seuraavassa taulukossa on esimerkki osaamisvaatimusten asettamisesta.Organisaatioiden tulisi luoda kartta eri tehtävien edellyttämästä osaamisesta

sekä tarvittavasta lisäkoulutuksesta. Osaamisen kehittämistä tukevat tietotur-van, yritysturvallisuuden ja informaatiosodankäynnin koulutukset.

Toiminnan jatkuvuuden hallintakykyä organisaatioissa ja palveluverko-stoissa arvioidaan jatkuvuussuunnitelmien mukaisten menettelytapojen tes-tauksilla ja harjoituksilla, kuten valmiusharjoituksilla. Valtionhallinnon laa-jojen harjoitusten, kuten VALHA- ja TIETO -harjoitukset sekä hallinnonala- ja virastokohtaisten harjoitusten tulee muodostaa yhtenäinen kokonaisuus. Tähän tulee liittää koko palveluketjun/-verkoston tarkastelu sekä kriittisten palvelujen todellisen toteutumisen tutkimus- ja testaustoiminta. On muistettava, että yri-tyksillä voi olla palveluverkostossa monia erilaisia rooleja, kuten yhteiskunnalle elintärkeän palvelun huoltovarmuuskriittinen tuottaja, ICT-palvelurakenteiden ja palvelujen ylläpitäjä, substanssitoimija osana julkishallinnon verkostoitunutta toimintaa tai tuotetun palvelun hyödyntäjä.

33Taulukko 1. Esimerkki henkilöstöryhmille asetettavista osaamistarpeista

Toiminto/ prosessi

Säädös-pohja

Varautu- minen

Tietohal- linnon johtaminen

Tietotek- niikan johtaminen

Tietotekniikan ja –turvalli-suuden erityis- kysymykset

Turvalli-suus jatietoturva

Valtionhallinto

Ylin johto

Yleisjohto

ICT-johto

Valmiusjohto

Palveluyksikkö

Palvelutoimittaja

Konsultointi

Järjestelmätuotanto

Käyttöpalvelu

Selite:

Syvä asiantuntemus, mahdollistaa substanssin suunnittelun ja ohjauksen

Hyvät perustiedot, mahdollistaa hyödyntämisen ja toimintojen suunnittelun ja ohjauksen

Yleiskäsitys, mahdollistaa hyödyntämiseen osallistumisen

Ei erityisvaatimuksia

34

35

5 Palveluverkoston hallinta ja hyödyntäminen

Tavoite palveluverkoston hallinnan ja hyödyntämisen kehittämiselle:

Valtionhallinnon ja kriittisten palvelujen tuottajaverkoston yhteistoiminta on •saumatonta ja pitkäjänteistä.

Yhteistoimintaa ohjaavat yhteiset tavoitteet, vaatimukset ja periaatteet. •

Sopimusrakenteet sekä yritysten että valtionhallinnon palveluyksiköiden kanssa •ovat yhdenmukaiset koko valtionhallinnossa ja tärkeimmiltä osin keskitetysti toteutetut.

Sopimuksissa otetaan myös huomioon erityistilanteet ja poikkeusolot.•

Tavoiteltava hyöty:

Yhdenmukaistetaan ja parannetaan palvelujen jatkuvuutta.•

Mahdollistetaan palvelusopimusten ulottaminen kaikkiin erityistilanteisiin.•

Helpotetaan palvelusopimusten laadintaa ja kontrollointia.•

Luodaan palveluntuotannon ohjausmahdollisuus eri hallinnon tasoille; valtion-•hallinnon kokonaisuudesta hankkeisiin.

Kehitettäessä yhteistoimintaa sisäisten ja ulkoisten palvelutuottajien kanssa on otettava huomioon ainakin seuraavan kuvassa esitetyt asiat.

36

Palveluverkoston hyödyntäminen ja hallinta

-ICT-varautumisen hallinta palvelusopimuksissaPalveluun liittyvän tuotantoketjun hallinta

alihankintaverkon kuvaukset, riippuvuusanalyysit

toimittaja-analyysit, auditointiraportti

turvallisuusselvitykset, tietoturvakäytännöt

yhteistoimintamalli

yhtenäinen sopimuskäytäntö

SLA :t, mallisopimukset

sopimushallintamalli alihankintaverkolle

Kuva 9. Palveluverkoston hyödyntäminen ja hallinta

KäyttäjätMinisteriötVirastotLaitokset

ASIAKASKENTTÄ PALVELUTOIMITTAJAT

Sisäisethankkijat

Palvelukes-kukset

Tietohallin-toyksiköt

Toimittajat Alihankkijat

Tukipalvelut

Valtiohallinto

Integraattorit

Käyttöpalvelut

Konsultointi

Palveluyksikkö

Ohjelmistokehitys

Help Desk

Muut

Kaivuuty öt

Tilahuolto

Rakentaminen

Siivous

Materiaali

ICT-tukiVartiointi

Varastot

Logistiikka

Laitetoimitus

Tukipalvelut

Järjestelmät

Operaattorit

Valtionhallinnon toiminta, tietotekninen infrastruktuuri ja palvelut verkot-tuvat ja rakentuvat muun yhteiskunnan palvelujen varaan. Ne ovat vahvasti riippuvaisia ulkoisista palvelutoimittajista ja näiden tuotantorakenteista sekä palvelutuottajien välisistä verkostoista, alihankintaketjuista ja sopimussuhteista. Yritysten toiminnan lähtökohtana ovat liiketoiminnalliset perusteet, sopimukset sekä näihin liittyvä riskienhallinta. Yritysten tarjoamat palvelut on mitoitettu hyvin usein normaaliolojen häiriötilanteisiin ja niitä rajaavat toimitusehtojen force majeure -kohdat.

Organisaatioiden on kyettävä hahmottamaan kriittisten palvelujensa riip-puvuudet eri tuotannon tekijöistä ja toisista prosesseista, jotta vaatimukset ja toimenpiteet kyetään mitoittamaan ja kohdentamaan oikein. Tärkeää on myös tunnistaa, kuinka kriittisiä käsiteltävät ja välitettävät tiedot ovat yhteiskunnan elintärkeiden toimintojen kannalta.

Palveluketjua on esitetty seuraavassa kuvassa.

Kuva 10. Esimerkki palveluketjun rakenteesta

37Organisaatioiden on huolehdittava kriittisten palvelujen jatkuvuudesta nor-

maaliolojen häiriötilanteiden lisäksi myös YETT-strategian mukaisissa erity-istilanteissa ja poikkeusoloissa. Vakavissa erityistilanteissa palvelutoimittajat joutuvat priorisoimaan erityisesti jatkuvuuteen ja palautumiseen liittyviä käyt-täjien tarpeita voimakkaasti. Priorisointi perustuu pääsääntöisesti sopimuseh-toihin ja niistä aiheutuviin sanktioihin.

Palveluja kilpailutettaessa on vaatimuksissa ja valintakriteereissä otettava huomioon palvelun jatkuvuuden ja tiedon turvaamisen näkökulmat. Resurssien käytettävyys eri turvallisuustilanteissa tulee varmistaa. Omistajamuutokset, globalisoituminen sekä EU:n vapaa työvoiman ja henkilötietojen liikkuvuus asettavat erityisiä vaatimuksia sopimusmenettelyille ja yritysverkoston hallin-nalle. Tämän tulee näkyä palvelusopimuksissa, alihankintasopimuksien hal-linnassa sekä koko sopimusjärjestelmän ja palveluntoimittajien toimintamallin arvioinnissa, katselmoinnissa, auditoinnissa ja raportointikäytännöissä. Palve-luntarjoajat on sopimuksin velvoitettava huolehtimaan varautumisvaatimusten siirtämisestä alihankkijaverkostonsa sopimuksiin.

Sopimusvelvoitteiden valvonta ja auditointi on sovittava. Viranomaiset eivät voi ohjata priorisointia ilman poikkeusolojen säädännön valtuuksia. Mikäli kriittisten toimintojen jatkuvuus vakavissa turvallisuustilanteissa edellyttää kansallista ohjausta ja osaamista, tulisi palveluketjujen keskeisten osien ja toi-mintojen olla kattavasti Suomen säädännön ja käytäntöjen piirissä ja useim-miten myös Suomessa toteutettuja. Keskeisten toimintojen ulkomailla toteutet-tavat palvelut on voitava tarvittaessa siirtää Suomeen olemassa olevia resursseja ja osaamista vahvistamalla.

38

39

6 Tilannetietoisuus ja riskienhallinta

6.1 Tilannetietoisuuden kehittäminen

Tavoite ICT-varautumisen tilannetietojen kehittämisessä:

Hallinnonaloilta ja virastoista saadaan yhdenmukainen ICT-tilannetieto osana •normaalia raportointia ja tilastointia.

Päätöksenteon perustaksi kyetään tuottamaan häiriö- ja erityistilanteiden hal-•linnan edellyttämä tieto hallinnonalojen järjestelmistä ja niiden merkityksestä erityistilanteessa sekä käyttöön saatavista resursseista.

Tavoiteltava hyöty:

Tilannetietojen kokoamisella ja analysoinnilla mahdollistetaan hallinnonaloilta, •virastoista ja ulkopuolisilta toimijoilta saatavan tilannetiedon yhdistely, analy-sointi ja jakaminen sekä ICT-varautumisen kehittämisen ohjauksen että häiriö-tilanteisiin liittyvän päätöksenteon tueksi.

Tilannekuvan keräämisellä parannetaan tietohallinnon ja tietotekniikan suunnit-•telua siten, että riittävän aikaisessa vaiheessa kehitetään kokonaisuutena myös varautumiseen ja jatkuvuuteen liittyviä perusedellytyksiä.

Mahdollistetaan käytettävissä olevilla resursseilla toiminnan tarpeiden mukai-•nen, luotettava ja kustannustehokas lopputulos.

ICT-varautumisen näkökulmasta tilannetietoisuudessa keskeistä on tietojen kokoaminen ja esittäminen sekä kyky niiden käsittelyyn ja analysointiin. Kes-keisiä tarvittavia tietokokonaisuuksia on esitetty seuraavassa kuvassa.

40Kuva 11. Tilannetietoisuuden tietosisältöä ICT-varautumisen kannalta

Tilannetietoisuus

ICT-tilannetietojenICT-tilannetietojen kokoaminen, käsittely, analysointi ja välittäminen

Voimassa olevat ohjausasiakirjat

säädöspohja, strategiatohjeetarkkitehtuurikartta

Raportointitiedot

auditointiraportti

laitetilaraporttitietoverkkoraportti

riskiraportti

Palvelu- ja järjestelmätilannevaatimusten mukaisuus

järjestelmärekisterikäyttöpalvelurekisterikalustorekisteriSLA tilanne

Tapahtumatiedottapahtumarekisteri

uhkarekisteri

Tärkeysluokitukset japriorisointi

tärkeysluokitus

riippuvuuskuvaus

Suunnittelu ja muutostiedotICT hankerekisteri

Palveluverkostosopimusrekisteri

turvallisuussopimusvarautumisvaatimustoimittajariskitalihankintakuvaus

Päätöksenteko

johtamismallitukijärjestelmät

viestintä

Resurssitilanneosaamisrekisteri

kapasiteettiraportti

avainhenkilörekisteri

Toimintojen, järjestelmien ja palvelujen, sekä näiden suojaamis-, toipumis- ja vastatoimenpiteiden kehittämisen tarvitsema valtiohallinnon yhtenäinen tilannekuva muodostuu virastojen ja hallinnonalojen kokoamista tiedoista. Tietoja tuottavat käyttäjäorganisaatiot, kunnat, palveluyksiköt, ulkoiset palve-luntuottajat ja sidosryhmät sekä ohjausta, kehittämistä ja tutkimusta suoritta-vat organisaatiot. Tietoa käytössä olevasta tietotekniikasta ja sen käyttötavoista on kerättävä systemaattisesti.

Organisaatioiden on kyettävä erityistilanteissa lähes reaaliaikaisesti muo-dostamaan palvelukohtainen tilannekuva. Viestintäviraston CERT.FI-yksikkö muodostaa yhteiskuntaa koskevaa tietoteknistä haavoittuvuus- ja uhkatilan-nekuvaa. Näistä on kyettävä kokoamaan hallinnonalan ja valtion ICT-toim-innan tilannekuva, joka on kyettävä esittämään ja jakamaan valtionhallinnon sisällä eri tilannekuvajärjestelmissä. Valtionhallinnon yhteinen 24/7-toimin-non merkitys oikea-aikaiselle reagoinille ja haittavaikutusten minimoimiselle on merkittävä.

Tilannetietoisuus on myös perusedellytys totuudenmukaiselle ja oikea-aikaiselle sisäiselle ja ulkoiselle viestinnälle.

416.2 Uhka- ja riskianalyysin kehittäminen

Tavoite ICT-varautumisen uhka- ja riskianalyysin kehittämisessä:

Uhka-arvion ja riskienhallinnan yhtenäistämiseksi on käytössä yhteinen prosessi •ja ohjeistus, jotka palvelevat valtionhallinnon, virastojen sekä poikkihallinnol-listen toimintojen tasoa.

Uhka-arvioon liittyvien tietojen jatkuva systemaattinen kerääminen ja analy-•sointi sekä riskienhallintaa että oman toiminnan kehittämistä varten on toteu-tettu.

Tavoiteltava hyöty:

Yhtenäistämällä uhka- ja riskiarviointimenettelyjä säästetään suunnittelutyötä, •yhtenäistetään toimintamalleja, kohdennetaan varautumisen toimenpiteet ja resurssit kokonaisuuden kannalta tasapainoisesti ja tarkoituksenmukaisesti

Mahdollistetaan myös kansainvälisesti verkostoituneet palvelut tunnistetulla •ja hyväksyttävällä riskitasolla.

Kehittämisalueen sisältö on: - kriittisen ICT:n tunnistaminen: palvelut, järjestelmät, prosessit ja resurssit- riskien hallintaa tukevat prosessit ja työkalut: uhka-arvio, haavoittuvuus-,

vaikuttavuus- ja riskianalyysi sekä jatkuvuussuunnittelu- tutkimustoiminta: uhkaympäristö, teknologiahaavoittuvuudet, yritysver-

kostot, analyysit.

Kiinteänä organisaation toiminnan osana on varauduttava ICT-riskeihin ja niistä aiheutuvien häiriötilanteiden hallintaan. Riskianalyysissä yhdistyvät uhkien tunnistaminen, uhkien toteutumisen todennäköisyyden ja vaikutusten arviointi, suojaustoimenpiteiden toimivuuden arviointi sekä tarvittavien lisä-suojausten ja jäännösriskien arviointi.

Varautumisen perustaksi on laadittava uhka-arvio ja siihen liittyvät haavoit-tuvuusanalyysit. Uhka-arvion tulee perustua ajantasaiseen tietoon uhka-ympäristöstä, uhkien kohdistumisesta suojattavaan toimintaan, haavoittuvuuk-sista sekä mahdollisuuksista suojautua uhkia vastaan. Organisaatioiden on arvioitava erilaisten uhkien todennäköisyys, kesto ja laajuus sekä aiheutuvat välittömät ja välilliset tekniset, toiminnalliset, taloudelliset ja henkilöstövai-kutukset. Tietoteknisen infrastruktuurin tilanne ennen uhan kohdistumista vaikuttaa huomattavasti seurausten merkittävyyteen. Tällaisia tekijöitä ovat muun muassa olemassa olevat haavoittuvuudet, toteutetut suojaukset, toimin-nan korvattavuus, infrastruktuurin ja ylläpitoresurssien käytettävyys ja käyt-töaste, sekä muu tapahtumaympäristö Suomessa ja tietotekniikkatoimittajille oleellisessa kansainvälisessä ympäristössä.

42

Suojaus-toimenpiteet

(ICT-varautumisentasot)

Suojaus-toimenpiteet

(ICT-varautumisentasot)

Riskien-hallinta

Häiriötilanteenhallinnan

toimenpiteet

Häiriötilanteenhallinnan

toimenpiteet

Palautumisentoimenpiteet

Palautumisentoimenpiteet

Todentaminen:Raportointi

auditointi,

Todentaminen:Raportointi

auditointi , sis. tarkastus

• VN:n selonteot• YETTS• Uhkaskenaariot• ICT-häiriöt

• Säädäntö• VN:n

ohjesääntö jaohjeet

• Hallitusohjelma• Ulkoiset

riippuvuudet

Toiminnan ja talouden suunnittelu

Riski- / uhka-analyysi

Riski- / uhka-analyysi

Organisaation ja toiminnon

uhka-arvio

Organisaation ja toiminnon

uhka-arvio

Organisaation toiminnan analyysitehtävät ja suojattavat

asiat

Organisaation toiminnan analyysi

tehtävät ja suojattavatasiat

Käytettävissäolevat resurssit

Käytettävissäolevat resurssit

Jäännös-riskit

Jäännös-riskit

Riskianalyysistä ja vaatimusympäristöstä voidaan johtaa vaatimukset ICT-varautumiselle sekä määrittää ennalta valmisteltavat suojaustoimenpiteet, toi-mintatapa häiriötilanteiden hallitsemiseksi sekä toiminnan palauttamiseksi normaaliksi.

Verkostoituneen toiminnan turvaaminen edellyttää yhtenäisiä uhka-arvion perusteita, uhka-arvioita, riskienhallinnan menetelmiä sekä systemaattista prosessia näiden hallintaan. Perusteita uhka-arvioon luo hallitusohjelma, hal-lituksen strategia-asiakirja (HSA), valtioneuvoston selonteko turvallisuus- ja puolustuspolitiikasta, YETT-strategia sekä muut hallinnonaloja ohjaavat val-tioneuvoston periaatepäätökset.

Riskienhallinnan kokonaisuutta havainnollistetaan seuraavassa kuvassa.

Kuva 12. Riskienhallintaprosessi ICT-varautumisen näkökulmasta

Yhtenäisellä uhka-arviorakenteella mahdollistetaan toimenpiteiden oikea ja kustannustehokas kohdentaminen. Uhka-arvio on edellytys riskianalyysin sekä valmius- ja jatkuvuussuunnittelun toteuttamiselle. Muodostuvan proses-sin tulee kytkeytyä organisaation strategia-asiakirjojen valmisteluun, toimin-nan ja talouden suunnitteluun sekä hankehallintaan. Riskianalyysin tulee olla säännöllinen ja aina suurissa muutostilanteissa toistettava prosessi.

Yhteisen prosessin tulee käyttää perusteinaan YETT-strategian mukaisia erityistilanteita ja hallinnonalojen erityistehtäviä sekä sitoa nämä hallinnon-aloilla toteutettaviin jatkuvuuden ja häiriötilanteiden hallinnan sekä palau-tumisen toimenpiteisiin.

436.3 Palvelujen ja ICT-infrastruktuurin jatkuvuuden

hallinta

Jatkuvuuden hallintaprosessi kattaa toiminnan vaatimukset, riskienhallinnan, ennakoivien toimenpiteiden toteutuksen, häiriötilanteiden hallinnan sekä toi-minnan toipumisen toimenpiteet. Toteutuvat häiriötilanteet poikkeavat usein ennakkovalmistelujen perustana olleesta uhkakuvasta. Tilanteiden ennakoin-tiin tulee kuitenkin varautua toteuttamalla ennalta ehkäiseviä, estäviä, havait-sevia sekä laajenemista rajoittavia ja korjaavia toimia ja ratkaisuja. Toimenpi-teiden nopea käynnistäminen ja joustava toteutus mahdollistavat merkittä-västi nopeutuvan ja tehostuvan reagoinnin, häiriöiden vaikutuksen pienen-tämisen ja palvelujen nopean Organisaatioissa on ylläpidettävä uhka-arvion edellyttämä päätöksentekokyky ja -rakenne, tilannetietoisuus sekä ennakko-varautuminen, dokumentaatio ja ohjeistus.

Palvelukohtaisesti on määritettävä haluttu palvelutaso sekä taso, jonka alapuolella tehtävien hoitaminen vaarantuu. On määritettävä myös aika, minkä yksittäinen palvelu tai järjestelmä voi olla pois käytöstä (minimitason alapuolella) siten, että aiheutuneet haitat ovat kohtuudella korjattavissa.

Kustannustehokkuus edellyttää ennakoivien toimenpiteiden mitoittamista hallinnonalan ja valtionhallinnon kokonaisuuden ja organisaation oman toim-innan kannalta oikein. Toiminnasta vastaavat osapuolet asettavat ja priorisoivat jatkuvuusvaatimukset. Korkean käytettävyystason palveluntarjoajia on mark-kinoilla vähän ja palvelun hinta nousee usein merkittävästi tiukennettaessa vasteaika- ja muita tietoturva- ja jatkuvuudenhallintavaatimuksia.

Kuva 13. Jatkuvuuden hallinta ICT-varautumisen kannalta

Normaali

Riskien hallintaJatkuvuus-

Päätöksenteko

-Tapahtumienhallinta

ToipuminenToipuminen

aika

Uudelleen aloittaminen

Jatkuvuussuunnitelman keinojen käyttö

Minimi

Toiminnan edellyttämäpalvelutaso

Vaikutuksen pienentäminen

Toipumisen nopeuttaminen

suunnittelu

Kriisin hallinta

44Palvelujen suunnitteluvaiheessa on määritettävä ja hankintavaiheessa sovit-tava eri osapuolten vastuut ja velvoitteet häiriötilanteissa:- ennakoivat palvelutoiminnan riskienhallinnan toimenpiteet- palvelun käytettävyystasot ja muut vaatimukset- vaihtoehtoiset menettelyt ja toipumistehtävät häiriötilanteissa ja poikkeus-

oloissa.

Poikkeusolojen varalle on tehtävä valmiussuunnitelmia jatkuvuussuunnit-teluun liittyen. Kriittisissä ja keskeisissä valtakunnallisissa tieto- ja viestintäjär-jestelmissä yksittäisen kohteen lamautuminen tai vaurio ei saa lamauttaa koko järjestelmää. Tietojärjestelmät ja tietovarannot on hajautettava ja replikoitava maantieteellisesti vähintään kahteen paikkaan. Varatilojen, -järjestelmien ja -laitteiden tulisi olla säännöllisesti käytössä, jotta niiden toimivuus häiriöti-lanteissa voidaan varmistaa.

Sähköisten palvelujen ja niitä tuottavien tietojärjestelmien tärkeys ilmaist-aan palvelusopimuksen käytettävyysvaatimuksina ja asetettuina sanktioina. Erityistilanteissa palvelujen ja tietojärjestelmien toiminnan palauttamisjärj-estys määräytyy niille luotavan tärkeysluokituksen mukaan. Tärkeysluokitus voi pohjautua ennalta tehtyyn luokitukseen, mutta jokaisen erityistilanteen hoitaminen saattaa edellyttää tilannekohtaista tärkeysjärjestyksen tarkistamista. Tärkeysluokittelu edellyttää myös järjestelmien välisten riippuvuuksien ja tuki-järjestelmien tunnistamista, kuvaamista ja dokumentoimista, jotta varmistut-aan palvelukokonaisuuden toimivuudesta palautuksen jälkeen.

Yhteiskunnan toimivuudelle kriittisiä tietojärjestelmissä on varmistettava, että niihin liittyvän ohjauksen, ylläpidon, järjestelmähallinnan ja teknisen tuen osaaminen säilyy Suomessa tai ohjaus- ja hallintakyky kyetään tarvittaessa palauttamaan sovitussa aikataulussa Suomeen. Sovellusten tietovarantojen tulee olla Suomessa. Tietojärjestelmät ja niiden muodostamat kokonaisuudet tulee dokumentoida.

Palvelutasoja ja -vaatimuksia määritettäessä tulee ottaa huomioon tuki- ja palveluvelvoitteet kaikille osapuolille. Sähköisten palvelujen ja tietovarantojen käytön edellyttämät erityistilanteisiin varautumisen vaatimukset tulee sisäl-lyttää palvelutasosopimuksiin. Organisaatioiden on huolehdittava sopimusten ylläpidosta ja vaatimusten toteutumisen todentamisesta raportointi- ja tarkas-tusmenettelyillä.

45Kuva 14. Jatkuvuuden hallinta on yhteistoimintaa koko palveluverkostossa

Ennaltaehkäisy

- säädökset, ohjeet- arkkitehtuuriratkaisut- tietoturva, auditoinnit- sopimusmallit- osaaminen- harjoittelu/testaus

CERT-FI, 24/7

Oma toiminta

Palveluntuottajat-

Tilanne-tietoisuus

Reagointi, hallinta

SuunnitelmatSopimuksetResurssit

MääräLaatuOsaaminenSaatavuus

YhteistoimintaHarjoittelu

Häiriö-tilanne

Globaaliympäristö

Infrastruktuurin käytettävyys

KansalaisetJulkishallinto

Elinkeinoelämä

ICT-palvelut

Yhteiskunta

Palvelua tuottavissa organisaatioissa varautumisen ja jatkuvuuden hallinnan suunnittelu sisältää seuraavat asiakokonaisuudet: - vaatimukset palveluille ja toiminnan toipumiselle- toiminnalliset prioriteetit palveluille ja riskienhallintapäätökset- tilannetieto tietoteknisten ratkaisujen nykytilanteesta- häiriötilanteiden hallinnan prosessien määritykset, resurssit, toimivaltuu-

det ja päätöksentekomekanismit - menettelyiden ja vastuiden dokumentointi- toipumisen toteuttamisen mekanismit ja resurssit - osaavan, koulutetun ja harjoitelleen henkilöstön.

46

47

LYHENNE SELITE

CCPC NATO Civil Communications Planning Committee, NATO:n tietoliikenne-komitea -HVK

CERT.FI CERT-FI on Viestintävirastossa toimiva kansallinen tietoturvaviranomai-nen, jonka tehtävänä on tietoturvaloukkausten ennaltaehkäisy, havain-nointi, ratkaisu sekä tietoturvauhkista tiedottaminen.

CI engl. Critical Infrastructure kriittinen infrastruktuuri

CIIP engl. Critical Information Infrastructure ProtectionKriittisen tietoteknisen infrastruktuurin suojaaminen.

CIP engl. critical infrastructure protection Kriittisen infrastruktuurin turvaaminen

ECIIP European Critical Information Infrastructure Protection

EPCIP European Programme for Critical Infrastructure Protection

HÄKE Hätäkeskuslaitos

HALTIK Hallinnollinen tietopalvelukeskus, sisäasiainministeriön keskitetty palvelu-keskus, joka tarjoaa palveluja muille turvallisuusviranomaisille

HANSEL Valtion keskitetty hankintayksikkö

HO Hallitusohjelma

HSA Hallituksen strateginen asiakirja. Hallitusohjelman toteuttamissuunnitel-ma, jota päivitetään määrävälein

HUOVI Huoltovarmuuskeskuksen hanke yritysten varautumistilanteen kartoitta-miseksi.

HVK Huoltovarmuuskeskus

HVN Huoltovarmuusneuvosto

HVO Huoltovarmuusorganisaatio. Yleisnimitys huotovarmuusneuvoston, sen alaisten sektorien ja poolien sekä huoltovarmuuskeskuksen muodosta-masta kokonaisuudesta

ICTIT

Information and Communications Technology, Informaatio ja kommuni-kaatiotekniikka,Yleiskäsite tietohallinnolle ja tietotekniikalleRinnakkainen käsitteen IT kanssa..

INFOSOC DG Information Society and Media of the European Commission

JIT-2007 Julkisten IT-hankintojen yleiset ehdot

JUHTA Valtiovarainministeriön yhteydessä julkisen hallinnon tietohallinnon neu-vottelukunta (JUHTA), joka edistää julkisen hallinnon tietoyhteiskuntake-hitystä ministeriöiden ja Suomen Kuntaliiton pysyvänä yhteistyö- ja neu-votteluelimenä.

Liite 1

Lyhenteet

48KIEKU Valtiokonttorin toteuttama kehittämisohjelma, joka on käynnistetty val-

tion talous- ja henkilöstöhallinnon palvelukyvyn ja tuottavuuden paran-tamiseksi.

KuntaIT Kuntien tietohallintoyhteistyön vahvistamiseksi ja tiivistämiseksi perustet-tu toiminta, jonka tarkoituksena on parantaa palvelutoiminnan ja IT:n yh-teensovittamista sekä vahvistaa IT-toiminnan kokonaishallintaa. KuntaIT-yksikkö toimii valtiovarainministeriön hallinnon kehittämisosastolla ja sitä ohjaa kuntien ja valtion edustajista koostuva neuvottelukunta, JUHTA.

NSA National Security Authority, kansallinen turvallisuusviranomainen. Suomessa ulkoasiainministeriössä.

OTTK Oikeushallinnon tietotekniikkakeskus

PTS Puolustustaloudellinen Suunnittelukunta, 2008 lopetettu huoltovarmuu-den suunnitteluorganisaatio

PVJJK Puolustusvoimien johtamisjärjestelmäkeskus

SLA Service Level Agreement, palvelutasosopimus

SOPIVA Sopimuksiin perustuva varautuminen, Huoltovarmuuskeskuksen elekt-roniikka, tietoyhteiskunta ja tietotekniikkapoolien varautumiseen liittyvä nelivaiheinen hanke 2006 – 2009

TA Talousarvio, usein myös budjetti, TAE talousarvioesitys

TIETO Kahden vuoden välein järjestettävä tietotekniikka-alan keskeinen valmi-usharjoitus

TIVA Tietotekniikka-alan valmiusryhmä

TPAK Turvallisuus- ja puolustusasiain komitea.

TTS Toiminta- ja taloussuunnitelma. Keskipitkän aikavälin vuosittain päivitet-tävä toiminnan ja talouden suunnitelma, joka muodostaa perustan val-tionhallinnon suunnittelulle ja vuosittaiselle budjetille.

TUVE Turvallisuusviranomaisten verkkohanke. Käynnistymässä oleva poikkihal-linnollinen ICT-hanke erityisen turvallisen tietoliikenneverkon rakentami-seksi.

VAHTI Valtionhallinnon tietoturvallisuuden johtoryhmä

VALDA Valtionhallinnon dokumentinhallintajärjestelmä, poikkihallinnollinen han-ke

VALHA Valtionhallinnon säännöllisesti toimiva laaja valmiusharjoitus

ValtITjory Valtion IT-johtoryhmä

ValtIT Valtion IT [-johtaja, -johtamisyksikkö, -hanke]

VARE Valtion ICT-varautumisen esiselvityshanke

VARe Valtion ICT-varautumisen toteutus- ja koordinointihanke

VAVK Valtion tietotekniikan varakeskus. –HVK

VERO Verohallinto

VIP Valtion IT-palvelukeskus

VIRTU Virkamiehen tunnistaminen, tietoturvahanke

VITKO Valtion IT-koordinaatioryhmä, ministeriöiden tietohallintojohdosta koos-tuva yhteistoimintaryhmä

VIVI Viestintävirasto, liikenne- ja viestintäministeriön alainen virasto

49VK Valtiokonttori, valtiovarainministeriön alainen virasto

VN Valtioneuvosto

VNOS Valtioneuvoston ohjesääntö

VNp Valtioneuvoston päätös

VNpp Valtioneuvoston periaatepäätös

YETT Yhteiskunnan elintärkeät toiminnot

YETTS Yhteiskunnan elintärkeiden toimintojen turvaamisen strategia, Valtioneuvoston periaatepäätös 2006

YKÄ Arjen tietoyhteiskuntaohjelman kuuluva esitutkimus ”Yhteiskunnan kriit-tisten tieto- ja viestintäinfrastruktuurin käytettävyys”

50

51Liite 2

Keskeisimmät ICT-varautumista ohjaavat säädökset ja normit

Lait ja asetukset

1. Asevelvollisuuslaki 28.12.2007/1438 91§ (asevelvollisuusrekisteri):- Asevelvollisten ja siviilipalveluksen suorittaneiden tietojen ylläpitä-

minen mm. varautumista vasten2. Laki vapaaehtoisesta maanpuolustuksesta 11.5.2007/556 7§:

- Maanpuolustusyhdistys voi järjestää mm. varautumiskoulutusta- Viranomaisella mahdollisuus kutsua jäseniä varautumistyöhön

3. Valtioneuvoston asetus valtioneuvoston kansliasta 4.4.2007/393 1§:- VNK:n tehtävä 24) valtioneuvoston turvallisuuspalvelut, turvallisuu-

teen liittyvän yleisen tilannekuvan kokoaminen ja valtioneuvoston yhteinen poikkeusoloihin varautuminen

4. Laki luottolaitostoiminnasta 9.2.2007/121 123§:- Luottolaitosten varautumisvelvollisuus

5. Maatalousyrittäjän eläkelaki 22.12.2006/1280 132§:- Maatalousyrittäjien eläkelaitoksen toiminnan jatkuminen poikkeus-

oloissa6. Laki vesikulkuneuvorekisteristä 10.11.2006/976 1§:

- Valtakunnallista vesikulkuneuvorekisteriä pidetään mm. varautu-mista varten

- Tietojen luovuttaminen viranomaisille7. Oikeusministeriön työjärjestys 27.7.2006/670 71§:

- Valmiussihteerin tehtävä8. Laki Pelastusopistosta 21.7.2006/607 1§:

- Tehtävä antaa mm. varautumiseen liittyvää koulutusta9. Rautatielaki 29.6.2006/555 61§:

- Varautumisvelvoite ja varautumisen johtosuhde10. Laki Eläketurvakeskuksesta 19.5.2006/397 15§:

- Varautumisvelvoite11. Elintarvikelaki 13.1.2006/23 46§:

- Varautumisvelvoite, oma toiminta ja ilmoitusvelvollisuus12. Laki Ilmailulaitoksesta 29.12.2005/1245 5§:

- Varautumisvelvoite

5213. Ilmailulaki 29.12.2005/1242 161§:

- Varautumisvelvoite mm. kaupallista lentotoimintaa harjoittaville14. Alusliikennepalvelulaki 5.8.2005/623 19§:

- Varautumisvelvoite VTS-toiminnalle15. Laki vaarallisten kemikaalien ja räjähteiden käsittelyn turvallisuudesta

3.6.2005/390:- Varautumisvelvoite

16. Pelastuslaki 13.6.2003/468 1§:- Väestönsuojelun varautumisvelvoite

17. Viestintämarkkinalaki 23.5.2003/393:- Teleyritysten varautumisvelvoite

18. Valtioneuvoston ohjesääntö 3.4.2003/262:- Kansliapäällikön yleinen tehtävä (huolehtia ministeriön ja sen hal-

linnonalan yleisestä turvallisuudesta sekä varautumisesta)19. Laki turvallisuusselvityksistä 8.3.2002/177:

- Turvallisuuselvitysten tekemisen peruste20. Laki radiotaajuuksista ja telelaitteista 16.11.2001/1015:

- Varautumisvelvoite21. Postipalvelulaki 6.4.2001/313:

- Varautumisvelvoite22. Tasavallan presidentin asetus toimivallan jaosta sotilaskäskyasioissa

17.3.2000/282.- PEpäll:n, Merivkom:n, Ilmavkom:n, MpAkom., Slpääll:n tehtävä

yhteensovittamisesta puolustusvoimissa23. Ympäristönsuojelulaki 4.2.2000/86:

- Varautumisvelvoite24. Laki viranomaisten toiminnan julkisuudesta 21.5.1999/621:

- Asiakirjojen salassapitoperusteet25. Laki maahanmuuttajien kotouttamisesta ja turvapaikanhakijoiden vas-

taanotosta 9.4.1999/493:- Varautumisvelvoite työvoima- ja elinkeinokeskuksille Suomeen

suuntautuvan joukkopaon varalta (SM:llä valtuudet teettää)26. Asetus vaarallisten kemikaalien teollisesta käsittelystä ja varastoinnista

29.1.1999/59- Varautumisvelvoite

27. Sijoitusrahastolaki 29.1.1999/48:- Varautumisvelvoite

28. Laki televisio- ja radiotoiminnasta 9.10.1998/744:- Varautumisvelvoite viranomaistiedotteiden välittämiseen

29. Kiinteistörahastolaki 19.12.1997/1173:- Varautumisvelvoite

30. Lääninhallituslaki 10.1.1997/22:- Lääninhallituksen tehtävä

5331. Laki metsäkeskuksista ja metsätalouden kehittämiskeskuksesta

18.12.1995/1474- Varautumisvelvoite virka-apuun pelastuslain tapauksissa

32. Terveydensuojeluasetus 16.12.1994/1280:- Vesilaitosten varautumisvelvollisuus

33. Terveydensuojelulaki 19.8.1994/763:- Varautumisvelvoitteita vesilaitoksille ja kunnalliselle terveydenhuol-

lolle34. Laki terveydenhuollon ammattihenkilöistä 28.6.1994/559

- Henkilöstöä koskeva varautumiseen liittyvä tieto35. Laki ulkomaisen luotto- ja rahoituslaitoksen toiminnasta Suomessa

30.12.1993/1608:- Varautumisvelvoite

36. Asetus Huoltovarmuuskeskuksesta 18.12.1992/1391:- Tehtävä

37. Laki huoltovarmuuden turvaamisesta 18.12.1992/1390:- Johtosuhteet (TEM)- Velvoite hallinnonaloille (ValmL)- HVK:n tehtävä

38. Valmiuslaki 22.7.1991/1080- Valtioneuvoston yhteensovittaminen- Hallinnonalojen velvollisuudet- Terveydenhuollon varautumisvelvoite

39. Laki arvo-osuusjärjestelmästä 17.5.1991/826:- Varautumisvelvoite

40. Ydinenergia-asetus 12.2.1988/161:- Varautumisvelvoite

41. Ydinenergialaki 11.12.1987/990- Varautumisvelvoite

42. Vakuutusyhtiölaki 28.12.1979/1062:- Varautumisvelvoite

43. Rikoslaki 19.12.1889/39:- Varautumista koskeva tieto vs. vakoilu- Ydinenergian varautuminen

54Viranomaisten määräyskokoelmat

1. Sosiaali- ja terveysministeriö 15.04.1992 D:35/02/92 Ohjeet varautumisesta normaaliaikojen häiriötilanteisiin ja poikkeus-

oloihin2. Sisäasiainministeriö 13.10.1999 SM-1999-00636/Tu-311, Sarja A:63 Määräys varautumisesta kemikaalionnettomuuksiin3. Liikenne- ja viestintäministeriö 10.02.1984 Rsot-3/ETS/C.8.12.0 TVL:N POIKKEUSOLOJEN TOIMINTAAN VARAUTUMISEN YLEIS-

OHJE4. Vakuutusvalvontavirasto 03.10.2005 9/002/2005 Ohje poikkeusoloihin varautumisesta kotimaisille vakuutusyhtiöille,

vakuutusyhdistyksille, kolmannen maan vakuutusyhtiöiden edustus-toille, Eläketurvakeskukselle ja lailla perustetuille eläkelaitoksille

5. Vakuutusvalvontavirasto 03.10.2005 11/002/2005 Ohje poikkeusoloihin varautumisesta eläkekassoille6. Vakuutusvalvontavirasto 03.10.2005 10/002/2005 Ohje poikkeusoloihin varautumisesta eläkesäätiöille7. Viestintäviraston määräykset viestintäverkkojen ja -palvelujen varmista-

misesta

Varautumista ohjaava VAHTI-ohjeisto

1. Arkaluonteiset kansainväliset tietoaineistot, VAHTI 4/20022. Asianhallinnan tietoturvallisuutta koskeva ohje, VAHTI 5/2006

- Luku 5: Loki- ja muutoshistoriatiedot.3. Haittaohjelmilta suojautumisen yleisohje, VAHTI 3/2004

- Liite 3: Käyttäjän pikaopas- Luku 5: Kuinka välttää tartunta- Luku 5.1: Työaseman turvalliset asetukset- Luku 5.2: Ohjelmistohaavoittuvuudet ja korjauspäivitykset- Luku 5.4: Organisaation verkon suojaaminen- Luku 5.5: Työskentely organisaation ulkopuolella

4. Henkilöstön tietoturvaohje, VAHTI 10/2006- Perusohjeet henkilöstölle- Koulutusmateriaali (Powerpoint)

5. Käyttövaltuushallinnon periaatteet ja hyvät käytännöt, VAHTI 9/2006- Luku 2.2: Käyttövaltuusrekisterin suunnnitteluvaatimus.- Luku 3: Hyvän käyttövaltuushallinnon edellytysten luominen.

6. Muutos ja tietoturvallisuus - alueellistamisesta ulkoistamiseen - hallittu prosessi, VAHTI 7/2006- Muutoksen johtaminen, tietoturvallisuus muutoshallinnassa

55- Ulkoistettavan tietojärjestelmän tietoturvallisuuden arviointimalli,

s. 61- Tietoturvallisuuden kuvaaminen prosesseissa- Liitteet 1A ja 1B: Turvallisuussopimusmalleja- Liite 5: Henkilötietojen käsittelyn tarkistuslista- Liite 6: Kumppanin tietoturvamenettelyiden tarkistuslista

7. Ohje riskien arvioinnista tietoturvallisuuden edistämiseksi valtionhallin-nossa, VAHTI 7/2003- Taulukko 5, s 47 – esimerkki riskien hallintasuunnitelmasta- Luku 3.2: Riskienarvioinnin malliprosessi- Liite 2: Tietoriskien tunnistamisen tarkistuslistoja

8. Osallistumisesta vaikuttamiseen - valtionhallinnon haasteet kansainvä-lisessä tietoturvatyössä, VAHTI 1/2007- Keskeiset kansainväliset foorumit

9. Tietoteknisten laitetilojen turvallisuussuositus, VAHTI 1/2002- Luku 3: IT-laitetilojen tietoturvatoimenpiteet osa-alueittain.

10. Tietoturvakouluttajan opas, VAHTI 11/200611. Tietoturvallisuudella tuloksia, Yleisohje tietoturvallisuuden johtamiseen

ja hallintaan, VAHTI 3/2007- Tietoturvapolitiikka, tietoturvallisuuden johtaminen ja keskeisim-

mät ohjausdokumentit- Kytkeytyminen tulosohjaukseen, vuosikello s. 31- Vastuiden organisointimalleja- Tietoturvasuunnitelman runko, s. 88- Tietoturvallisuuden raportointikäytännöt- Tukitoimintojen turvaaminen- Järjestelmäkehityksen ja muutoshallinnan turvallisuus- Jatkuvuuden ja erityistilanteiden hallinta- Tietoturvapoikkeamien hallinta- Luku 12.2: Toimitilojen luokitus.- Toipumissuunnitelman runko s. 91- Lliite 1: Mallipolitiikat ja suunnitelmarungot- Liite 2: Tietoturvavastuut rooleittain

12. Tietoturvallisuuden arviointi valtionhallinnossa, VAHTI 8/2006- Arviointiprosessin velvoitteet ja organisointi, johdon rooli arvioin-

nissa- Tietoturvallisuuden kytkeminen tulosohjaukseen- Arviointilomakkeet- Mitattavat kohteet, mittaustulokset ja tavoitteiden asettaminen

13. Tietoturvallisuus ja tulosohjaus, VAHTI 2/200414. Tietoturvapoikkeamatilanteiden hallinta, VAHTI 3/2005

- Hallinnan organisointi- CERT-yhteistoiminta

56- Luku 2.1.8. Tietojärjestelmien turvallinen ylläpito- Luku 2.2.4: Reagoinnin organisointi ja toimivaltuudet- Luku 2.2.5: Poikkeamatilanneharjoitukset- Luku 2.2.6: Poikkeamatilanteen viestintäsuunnitelman luonti- Poikkeamien jälkiraportointi ja todisteaineiston kerääminen

15. Tietoturvatavoitteiden asettaminen ja mittaaminen, VAHTI 6/2006 - Strategian tason tietoturvallisuuden hallintajärjestelmä- (Liike)toimintastrategian kytkeminen tietoturvallisuuden johtami-

seen- Tietoturvan tavoitteiden kytkeminen resurssiallokointiin- Luku 3: Tietoturvallisuuden tulosohjaus- Luku 4.4: Tietoturvatoiminnan mittarit- Luku 5.6: Esimerkki raportointimenettelyistä ja raportin sisällöstä

16. Tunnistaminen julkishallinnon verkkopalveluissa, VAHTI 12/2006- Luvut 4.2-4.3: Käyttäjien tunnistamisen luotettavuus ja Palvelutyyp-

pien edellyttämä käyttäjän tunnistamisen luotettavuus.17. Turvallinen etäkäyttö turvattomista verkoista, VAHTI 2/200318. Tärkein tekijä on ihminen, henkilöstöturvallisuus osana tietoturvalli-

suutta, VAHTI 2/2008- Henkilöstöturvallisuuden säädäntö ja luokittelu- Henkilöresurssien hallinnan kytkeytyminen strategiasuunnitteluun

ja toiminnan ohjaukseen- Turvallisuuskulttuurin luominen- Luku 4.5: Valtuuttaminen- Luku 4.6.2: Turvallisuusselvitykset- Luku 4.7 Kansainvälinen henkilöturvallisuustodistus- Luku 4.10 Ostopalvelujen turvallisuus- Luku 4.12 Pääsyn hallinta ja tunnistaminen- Liite 5: Pääsyn hallinnan toteuttaminen EU määräyksen mukaisesti- Liite 4: Virastojen hakeutuminen turvallisuusselvitysmenettelyyn- Kumppaniverkoston turvallisuussopimukset ja niiden hallinta

19. Valtionhallinnon keskeisten tietojärjestelmien turvaaminen, VAHTI 5/2004- Luvut 4.3, 5.7 ja 10.6: Erityyppisten järjestelmien toipumisen erityis-

piirteitä- Luku 10: Ohjelmistoturvallisuus- Luku 12: Käyttöturvallisuus- Luku 12.4: Muutosten hallinta

20. Valtiohallinnon salauskäytäntöjen tietoturvaohje VAHTI 3/2008- Normien toteuttaminen salauskäytäntöjen avulla, Tiedon hallinnan

ja turvaamisen normit- Tiedon turvaamisen suunnitteluprosessimalli- Tietoturvallisuuden huomioiminen arkkitehtuurivalinnoissa

57- Riskienhallinnan COSO-viitekehyksen käyttö ja kytkentä COBIT-

malliin- Erityisesti tietoaineistojen ja palvelujen kontrollivaatimukset sekä

teknologiat21. Valtionhallinnon sähköpostin käsittelyohje, VAHTI 2/2005

- Liite 2: Sähköpostin käsittelysäännöt- Liite 5: Malli sähköpostilaatikon avauslomakkeeseen

22. Valtionhallinnon tietojärjestelmäkehityksen tietoturvallisuussuositus, VAHTI 3/2000

23. Valtion tietohallinnon Internet-tietoturvallisuusohje, VAHTI 1/2003 - Luku 3.2 Yhteys Internetiin

24. Valtion tietotekniikkahankintojen tietoturvallisuuden tarkistuslista, VAHTI 6/2001

Muita ohjeita ja suosituksia

1. Yhteiskunnan elintärkeiden toimintojen turvaamisen strategia, VN peri-aatepäätös 2006

2. Tietoturvaopas sähköisen palvelun tarjoajalle, LVM3. Viestintäviraston CERT.FI -ohjeet4. Pandemiaan varautuminen tietoverkko-/tietotekniikka-alan yrityksessä,

PTS 20075. Viestintä- ja sähkönjakeluverkkojen keskinäiset riippuvuudet, HVK

1/20066. Viestintäverkkojen ja viestintäpalveluiden varmistaminen. Opas käyttä-

jille, PTS 2/20057. Uhkakuva-analyysi 2005, PTS 20058. Viestintäverkkojen ja viestintäpalveluiden varmistaminen. Opas käyttä-

jille, PTS 2/20059. RATA 4.4b, Operatiivisten riskien hallinta

58

59

Vaatimukset jatkuvuuden hallinnalle ja tiedon turvaamiselleICT-toiminnan perusedellytys on sen luotettavuus ja turvallisuus Palvelujen on myös toimittava eri turvallisuustilanteissa niille asetettujen käytettävyys-vaatimusten mukaisesti. Häiriö- ja erityistilanteiden hallinta edellyttää tun-nistettuja ja yhtenäisesti sovittuja vaatimuksia koko palveluverkostossa. Julki-shallinnon palveluissa lähtökohtana on, että kaikkien toimijoiden tulee osal-taan täyttää nämä vaatimukset.

Vaatimuksiin liittyy perus-, korotetun ja korkeantason kontrolleja, joilla säädellään palveluverkoston toimijoiden ja ICT-palvelujen kypsyyttä roolinsa mukaiseen. Tähän liitteeseen on koottu julkishallinnon ICT-palveluihin ja nii-den palveluverkostoon kuuluvien organisaatioiden ICT-toiminnan jatkuvuuden ja tiedon turvaamisen vaatimukset. Vaatimuksia ja niihin liittyviä kontrolleja mittareineen ylläpidetään erillisenä kokonaisuutena.

Vaatimukset organisaation jatkuvuuden hallinnan, tiedon turvaamisen ja varautumisen kypsyydelle

1 JOHTAMINEN1.1 Strateginen ohjaus ja organisointi

Organisaatio on tunnistanut ydintoimintoihinsa liittyvät jatkuvuuden •ja erityistilanteiden hallintaa sekä tiedon turvaamista ohjaavat keskei-set tekijät, velvoitteet ja riippuvuudet.Jatkuvuuden hallinnan ja tiedon turvaamisen vaatimukset on määri-•tetty ydintoiminnan asettamien vaatimusten perusteella.Erityistilanteiden hallinta on organisoitu, ohjeistettu ja huomioitu oh-•jaus- ja toimintamalleissa.Jatkuvuuden hallinta ja tiedon turvaaminen on organisoitu ja vastuu-•tettu osana normaalia johtamista, toimintaa sekä kumppanuusverkos-ton hallintaa.Jatkuvuussuunnittelu ja varautumisen koordinointi on vastuutettu.•Jatkuvuuden hallinnalle ja tiedon turvaamiselle on asetettu tavoittei-•siin nähden riittävät resurssit.

Liite 3

601.2 Yhteistyö, viestintä ja raportointi

Jatkuvuuden hallinnan ja tiedon turvaamisen suunnittelu toteutetaan •ydin- ja tukitoimintojen yhteistyönä.

CERT.FI-yhteistoiminta on toimivaa ja vastaa organisaation tavoitteita •ja velvoitteita.

Viestinnän ja raportoinnin vastuut ja toimintamalli keskeisimpien si-•dosryhmien kanssa on määritetty ja organisoitu.

Tieto uhkaympäristöstä, varautumisen tilanteesta, kehittämistoimen-•piteiden toteutumisesta ja kustannuksista välitetään organisaation johdolle.

2 TOIMINNANOHJAUS JA TOIMINTAMALLIT2.1 Toiminnan suunnittelu riskienhallinnan avulla

Toimintaympäristön ja organisaation vuorovaikutus toiminnassa on •huomioitu.

Riskienhallinnalla ohjataan suojaamistoimenpiteiden toteutusta.•

Riskienhallinnan tulokset ohjaavat jatkuvuuden hallinnan ja tiedon •turvaamisen kehittämistä.

2.2 Palvelujen jatkuvuuden suunnitteluToiminnan jatkuvuuden hallinnan ja tiedon turvaamisen toimenpi-•teet tukevat organisaation ydintoiminnan tavoitteita.

Palvelujen jatkuvuuden ja tiedon turvaamisen toteutus toimintaver-•kostossa on suunniteltu ja sovittu.

Palveluiden jatkuvuuden hallinta erityistilanteissa on suunniteltu ja •valmisteltu.

Yhteistoiminnan ja viestinnän toteuttaminen erityistilanteissa on •suunniteltu ja valmisteltu.

3 HENKILÖSTÖN JA HENKILÖRESURSSIEN HALLINTA3.1 Osaamistarpeet ja osaamisen kehittäminen

Jatkuvuuden hallinnan ja tiedon turvaamisen osaamiselle on asetet-•tu rooli- tai tehtäväkohtaiset vaatimukset, osaamistaso tunnetaan ja osaamista kehitetään.

Organisaatio kannustaa henkilöstöä noudattamaan ja kehittämään •hyvää jatkuvuuden hallinnan ja tiedon turvaamisen toimintamallia.

Organisaatiossa on sovittu tapa toimia valvonnassa, turvallisuuspoik-•keamissa ja väärinkäytöstilanteissa.

613.2 Henkilöstöresurssien hallinta

Avainroolit ja -henkilöt on tunnistettu ja varajärjestelyt on suunni-•teltu.

Henkilöstö ja sen käyttö on suunniteltu ja mitoitettu ydintoimintojen •jatkuvuuden hallinnan ja tiedon turvaamisen edellyttämällä tavalla.

Kriittisten toimintojen häiriöiden hallintaohjeet on laadittu, koulutet-•tu ja toiminta harjoiteltu.

4 KUMPPANUUSVERKOSTO4.1 Sopimusten hallinta

Organisaation tuotannolle kriittiset kumppanit, alihankkijat ja re-•surssit on tunnistettu.

Sopimuksissa on vaatimukset toiminnan jatkuvuuden hallinnalle ja •tiedon turvaamiselle sekä niiden toteuttamiselle.

4.2 Toiminnan varmistaminen erityistilanteissaKriittisen toiminnan jatkuvuuden ja tiedon turvaamisen hallintavel-•voite on ulotettu keskeiseen toimittajaverkostoon.

Yhteistoiminta kumppanien kanssa häiriö- ja erityistilanteiden hallit-•semiseksi on organisoitu ja vastuutettu.

5 PROSESSIT JA JÄRJESTELMÄYMPÄRISTÖT5.1 ICT-jatkuvuuden hallinta5.1.1 ICT-johtaminen

ICT-suunnittelussa otetaan huomioon jatkuvuuden hallintaan, tiedon •turvaamiseen ja varautumiseen vaikuttavat keskeiset tekijät.

ICT-toteutuksen jokaisessa osa-alueessa ja vaiheessa otetaan huomi-•oon keskeiset jatkuvuuden tekijät.

5.1.2 ICT-palvelutKriittisten ja keskeisten toimintojen sähköiset palvelut on turvattu •häiriö- ja erityistilanteissa.

ICT-palvelujen suojaamiskäytännöt on toteutettu. •

Yhteiset tietotekniset palvelut on varmistettu.•

Kriittisten ja keskeisten palvelujen toteutus ja ylläpito on varmistettu.•5.1.3 Käyttöpalvelut

Tuotannon jatkuvuuden, tiedon turvaamisen ja varautumisen perus-•teet on määritetty.

Ydintoimintojen palvelutuotanto on varmistettu.•

625.1.4 Tietovarannot ja rekisterit

Tietovarantojen eheys, käytettävyys, luottamuksellisuus, käytön hal-•linta ja palautus on varmistettu.

Kriittisten toimintojen vaatimat tietovarannot ja -palvelut on turvattu •häiriö- ja erityistilanteissa.

5.1.5 Tietoteknisen infrastruktuurin ja sen tukipalvelujen toteuttaminenICT-infrastruktuuri on toteutettu dokumentoitujen vaatimusten mu-•kaisesti.

ICT-infrastruktuuria ylläpidetään dokumentoidulla tavalla.•

Tukipalveluilla turvataan ICT-palvelujen tuottaminen.•

5.2 Tietoturvallisuuden hallinta5.2.1 Tietoaineistojen hallinta ja raportointi

Tietoaineistojen turvallisuus hallitaan koko elinkaaren ajan.•

Tietoturvallisuuden tilasta raportoidaan tietoturvavastaavalle.•5.2.2 Tietojenkäsittely-ympäristöjen hallinta

Omaisuuden hallinnalla tunnistetaan organisaation vastuulla oleva •ICT sen turvallisuudesta huolehtimiseksi.

Tietojenkäsittely-ympäristöjen käyttöönotto ja käytöstä poisto toteu-•tetaan turvallisesti.

Tietojenkäsittely-ympäristöt päivitetään hallitusti, jotta estetään haa-•voittuvuuksien hyväksikäyttö ja tietoturvaongelmien synty.

5.2.3 Tiedon turvaaminenTurva-alueiden muodostamisella ja niiden välisellä suodatuksella var-•mistetaan, että tieto kulkee tietoverkosta toiseen vain valtuutetusti.

Pääsynvalvonnan keinoilla varmistetaan, että tietoon pääsevät käsiksi •vain valtuutetut käyttäjät.

Käyttäjätunnusten ja käyttövaltuuksien on oltava yhdistettävissä niitä •käyttävään henkilöön tai henkilöihin.

Organisaation tietovarannot on suojattu haittaohjelmasuojauksella.•

Tietoturvallisuusriskien realisoituminen on estetty käyttämällä myös •sopivia fyysisen turvallisuuden menetelmiä ympäristön suojaami-seen.

5.2.4 Häiriötilanteiden hallintaVarmuuskopioinnilla estetään tiedon hallitsematon katoaminen or-•ganisaatiosta ja vähennetään erilaisten häiriötilanteiden vaikutusta organisaation toimintaan.

63Tietoturvapoikkeamien valvonnalla mahdollistetaan niiden havaitse-•minen ja selvittäminen.

Tietojärjestelmiä kohtaaviin häiriöihin on varauduttu niiden nopean •palautumisen varmistamiseksi.

5.2.5 Tietojärjestelmäkehityksen ja sovellusylläpidon hallintaTietojärjestelmäkehityksen ja sovellusylläpidon hallinnassa huomioi-•daan tietoturvavaatimukset.

6 MITTAAMINEN Jatkuvuuden hallinnan ja tiedon turvaamisen toteutumista ja tarkoi-•tuksenmukaisuutta seurataan ja arvioidaan.

Toimintaa kehitetään arviointitulosten perusteella.•

64

65

Voimassa olevat VAHTI -julkaisut

VAHTI 2/2009 ICT-toiminnan varautuminen häiriö- ja erityistilanteisiin, yleisohje

VAHTI 1/2009 VAHTIn toimintakertomus vuodelta 2008VAHTI 9/2008 Hankkeen tietoturvaohjeVAHTI 8/2008 Valtionhallinnon tietoturvasanastoVAHTI 7/2008 Informationssäkerhetsanvisningar för personalenVAHTI 6/2008 Tietoturvallisuus on asenne - Selvitys julkishallinnon tieto-

turvakoulutustarpeistaVAHTI 5/2008 Valtion ympärivuorokautisen tietoturvavalvonnan hanke-esi-

tysVAHTI 4/2008 Valtionhallinnon tietoturva-arviointipoolin toimintara-

porttiVAHTI 3/2008 Salauskäytäntöjä koskeva tietoturvaohjeVAHTI 2/2008 Tärkein tekijä on ihminen - Henkilöstöturvallisuus osana tie-

toturvallisuutta VAHTI 1/2008 Toimintakertomus 2007VAHTI 3/2007 Tietoturvallisuudella tuloksia - Yleisohje tietoturvallisuuden

johtamiseen ja hallintaan VAHTI 2/2007 Älypuhelinten tietoturvallisuusVAHTI 1/2007 Osallistumisesta vaikuttamiseen – valtionhallinnon haasteet

kansainvälisessä tietoturvatyössä VAHTI 12/2006 Tunnistaminen julkishallinnon verkkopalveluissaVAHTI 11/2006 Tietoturvakouluttajan opasVAHTI 10/2006 Henkilöstön tietoturvaohjeVAHTI 9/2006 Käyttövaltuushallinnon periaatteet ja hyvät käytännötVAHTI 8/2006 Tietoturvallisuuden arviointi valtionhallinnossa VAHTI 7/2006 Muutos ja tietoturvallisuus, alueellistamisesta ulkoistamiseen

– hallittu prosessi VAHTI 6/2006 Tietoturvatavoitteiden asettaminen ja mittaaminen VAHTI 5/2006 Asianhallinnan tietoturvallisuutta koskeva ohjeVAHTI 4/2006 Selvitys valtionhallinnon ympärivuorokautisen tietoturvatoi-

minnan järjestämisestäVAHTI 3/2006 Selvitys valtionhallinnon tietoturvaresurssien jakamisesta VAHTI 2/2006 Electronic-mail Handling Instruction for State GovernmentVAHTI 1/2006 VAHTIn toimintakertomus vuodelta 2005 VAHTI 3/2005 Tietoturvapoikkeamatilanteiden hallinta

Liite 4

66VAHTI 2/2005 Valtionhallinnon sähköpostien käsittelyohjeVAHTI 1/2005 Information Security and Management by ResultsVAHTI 5/2004 Valtionhallinnon keskeisten tietojärjestelmien turvaaminenVAHTI 4/2004 Datasäkerhet och resultatstyrningVAHTI 3/2004 Haittaohjelmilta suojautumisen yleisohjeVAHTI 2/2004 Tietoturvallisuus ja tulosohjausVAHTI 1/2004 Valtionhallinnon tietoturvallisuuden kehitysohjelma

2004-2006VAHTI 7/2003 Ohje riskien arvioinnista tietoturvallisuuden edistämiseksi

valtionhallinnossaVAHTI 5/2003 Datasäkerhetsanvisning för användarenVAHTI 5/2003 User s Information Security InstructionVAHTI 3/2003 Tietoturvallisuuden hallintajärjestelmän arviointisuositusVAHTI 2/2003 Turvallinen etäkäyttö turvattomista verkoistaVAHTI 1/2003 Valtion tietohallinnon Internet-tietoturvallisuusohjeVAHTI 4/2002 Arkaluonteisten kansainvälisten aineistojen käsittelyohjeVAHTI 3/2002 Etätyön tietoturvaohje VAHTI 1/2002 Tietoteknisten laitetilojen turvallisuussuositusVAHTI 6/2001 Tietotekniikkahankintojen tietoturvallisuustarkistuslista VAHTI 4/2001 Sähköisten palveluiden ja asioinnin tietoturvallisuuden yleis-

ohje VAHTI 2/2001 Valtionhallinnon lähiverkkojen tietoturvallisuussuositusVAHTI 3/2000 Tietojärjestelmäkehityksen tietoturvallisuussuositusVAHTI 2/2000 Valtion tietoaineistojen käsittelyn tietoturvaohje

Ohjeisto löytyy VAHTIn Internet-sivuilta http://www.vm.fi/vahti. Ohjeita saa tilattua laatikoittain edullisesti painotalo Editasta. Yllämainittujen julkaisu-jen lisäksi VAHTIn toiminnasta kertovia raportteja löytyy VAHTIn verkko-sivuilta.

VALTIOVARAINMINISTERIÖSnellmaninkatu 1 A

PL 28, 00023 ValtioneuvostoPuhelin (09) 160 01

Telefaksi (09) 160 33123www.vm.fi

2/2009VAHTI

huhtikuu 2009

IISSN 1455-2566 (nid.)ISBN 978-951-804-949-7 (nid.)

ISSN 1798-0860 (PDF)ISSN 978-951-804-950-3 (PDF)