Turvallisuus. Käytettävyys. Yhteistyö. Turvallisuusverkko ja sen asettamat vaatimukset palveluntuottajalle

Transkriptio

1 Turvallisuus. Käytettävyys. Yhteistyö. Turvallisuusverkko ja sen asettamat vaatimukset palveluntuottajalle Timo Saastamoinen Valtiovarainministeriö TUVE-pääsihteeri, TORI-hankepäällikkö

2 Tämäkö on julkisen hallinnon turvallisuusverkko TUVE? Korkea tietoturva Kallis ja vaikea käyttää EI OLE 2

3 TUVE- hankkeesta TUVE- toimintaan Valtion ylimmän johdon ja turvallisuusviranomaisten yhteinen, toimintavarma ja turvallinen IT-palvelukokonaisuus Ennen hanketta TUVE-hanke TUVE-toiminta Puolustusvoimat (PV) Oma viestintäverkko ja omat turvalliset IT-palvelut. Oma osittain kumppanoitu palvelutuotanto SM:n hallinnonala Omat ja kaupallisten palveluntuottajien ICTpalvelut ERVE VIRVE-operaattori, palvelun tarjoaminen viranomaisverkossa (VIRVE) turvallisuusviranomaislile ( M ) Tavoite: Turvata valtionjohdon ja turvallisuusviranomaisten johtamistoiminta ja viestintä kaikissa turvallisuustilanteissa sekä turvata kriittisen infran säilyminen valtion omistuksessa VM:n johtama, osallistujat VNK,SM, PLM, LVM, UM,STM, PV, ERVE Rakennettiin TUVE-tiedonsiirtoverkko, yhteiset salausratkaisut Perustettiin verkkopalveluoperaattoriksi Suomen Turvallisuusverkko OY, laadittiin lakiesitys ja valmisteltiin liikkeenluovutus PV:stä ERVEen (noin 150 henkeä ja 85 M ) Rakennetaan TUVE-käyttäjien yhteisiä STII-tason sähköisen tiedonkäsittelyn ja johtamisen palveluita Käynnistyy TUVE-lain tultua voimaan ( ) VM vastuuviranomainen, ohjaa palveluntuottajia ja toimintaa. Palveluntuottajina HALKTIK/VALTORI ja STUVE, kaupalliset toimijat alihankkijoina. Palvelutuotannon kustannukset katetaan asiakkailta perittävillä maksuilla kokonaisuus (2014) noin M /vuosi. Palveluiden käyttöön velvoitettu noin käyttäjää Kriittisen infran omistajuus, palveluiden, varautumisen ja turvallisuuden hallinta valtiolle 3

4 Turvallisuusverkkotoiminnan tarkoitus (HE 54/2013 vp) 1. Lain tarkoitus ja soveltamisala Tämän lain tarkoituksena on normaalioloissa ja niiden häiriötilanteissa sekä poikkeusoloissa varmistaa valtion ylimmän johdon ja yhteiskunnan turvallisuuden kannalta tärkeiden viranomaisten ja muiden toimijoiden yhteistoiminnan edellyttämän viestinnän häiriöttömyys ja jatkuvuus sekä turvata päätöksenteossa ja johtamisessa tarvittavan tiedon käytettävyys, eheys ja luottamuksellisuus. Tätä lakia sovelletaan julkisen hallinnon turvallisuusverkkoon, sen palveluihin ja palvelujen käyttöön sekä muuhun turvallisuusverkkotoimintaan. Turvallisuusverkkoon kuuluu viestintäverkko ja siihen välittömästi liittyvät laitetilat, laitteet ja muu infrastruktuuri sekä turvallisuusverkon yhteiset palvelut. Valtion johdon ja turvallisuusviranomaisten välisen viestinnän ja johtamisen turvaaminen kaikissa turvallisuustilanteissa 4

5 Mistä TUVE-laissa säädettäisiin? Ohjaus ja valvonta - yleishallinnollinen ohjaus (14 ) - omistajaohjaus (15 ja 18 ) - strateginen ohjaus (16 ja 17 ) - asiakasohjaus (19 ) Palvelutuotanto (tuottajat + integraattorit + tehtävät) - verkko- ja infrastruktuuripalvelut (6 ja 7 ) - tieto- ja viestintätekniset palvelut (8 ja 9 ) - integraatiopalvelut (10 ja 11 ) Erinäiset säännökset - henkilöstöturvallisuus (22 ) -- rakentaminen (23 ) -- tilojen ja laitteiden tarkastukset -- virka-apu Turvallisuusverkkotoiminta - lain tarkoitus ja soveltamisala (1 ) Varautuminen ja käytön tärkeysmäärittely - varautumisvelvollisuus (12 ) - palvelutuotannon ja käytön tärkeysmäärittely (13 ) Käyttövelvoite ja muu käyttö - käyttövelvoite (2 ) - käyttövelvoitteen kohteet (3 ) - muu käyttö (4 ) - laitteiden ja järjestelmien sijoittamisvelvollisuus (5 ) 5

6 Hallinnon turvallisuusverkko TUVE: Suomalainen tapa mahdollistaa johtaminen ja viranomaisyhteistyö Käyttäjät n henkilöä Tuottajat n. 400 henkilöä Tilaajat/Ohjaajat n. 100M /v Puolustusvoimat Poliisi Hätäkeskus Rajavartiolaitos STM / Ensihoito Maahanmuuttovirasto Kunnalliset pelastus- ja Sos.Ter-viranomaiset HALTIK Keskukset Puolustusvoimien johtamisjärjestelmäkeskus Siirto Verkko- ja tieto- ja viestintäteknisten palveluiden keskitetty hallinta Siirto VM Strateginen, taloudellinen, varautumisen ja turvallisuuden ohjaus TUVEneuvottelukunta SM, PLM, PV, UM, LVM, VNK, STM, HVK,Kuntaliitto Omistajaohjaus VNK Omistajuus, korkean varautumisen ja turvallisuuden palveluiden hallinta

7 TUVE-ohjaus VM STRATEGIA TALOUS Neuvottelukunta ICT-VARAUTUMINEN TURVALLISUUS VALMIUS TIETO- JA VIESTINTÄ- TEKNISETPALVELUT INTEGRAATIO- PALVELU VERKKO- JA INFRASTRUKTUURI- PALVELUT

8 Vaatimukset palveluntuottajalle Hallinnollinen, toiminnallinen ja taloudellinen erottaminen Laitetilat ja laiteet sijaittava Suomessa ja palvelut tuotettava Suomessa Laitteet ja tietojärjestelmät oltava TUVE-laitetiloissa Voi käyttää alihankintaa VM:n päättämässä laajuudessa Vastaa alihankkijan toiminnasta kuin omastaan Varautumisvelvollisuus Puolustustilalaissa tarkoitetuissa poikkeusoloissa puolustusvoimat päättää turvallisuusverkon ensisijaisuus-, kiireellisyys- ja tärkeysmäärittelystä Kustannukset katetaan palvelumaksuilla Henkilöstöön kohdistuu rikosoikeudellinen virkavastuu Oikeus saada virka-apua Tietojärjestelmät ja tietoliikenneratkaisut on arvioitava 3 vuoden kuluessa lain voimaantulosta 8

9 TIETOTURVALLISUUS JA VARAUTUMINEN Tietoturvallisuus Varautumisen vaatimustaso Korkea taso Korotettu taso Suojaustaso Turvallisuusluokitusmerkintä Perustaso Avoin taso I Erittäin salainen Ei tiedonsiirtoa tietoverkossa II III IV Salainen Luottamuksellinen Käyttö rajoitettu TUVE Korkea varautuminen ja/tai suojaustaso II Korotettu varautuminen ja/tai suojaustaso III Perustason varautuminen ja suojaustaso IV Jokaisen julkishallinnon viranomaisorganisaation on saavutettava ICTvarautumisen perustaso Julkinen Perustason varautuminen ja julkinen tieto TUVE:ssa varautumisvaatimukset ovat etusijalla 9

10 Korkea varautuminen 1/2 ICT-varautuminen VAHTI 2/2012 Korkea taso Korkea taso täyttää yhteiskunnan turvallisuusstrategian uhkamallien mukaisiin laajoihin häiriötilanteisiin ja poikkeusoloihin varautumisen tarpeet erityisturvallisuutta vaativissa toiminnoissa. Korkean vaatimustason järjestelmiä ovat esimerkiksi hallinnon turvallisuusverkko ja turvallisuusviranomaisten operatiiviset järjestelmät. Korkealle tasolle sijoitetaan palveluja ja järjestelmiä, joiden tulee toimia ympärivuorokautisesti ja joiden pienetkin palvelukatkokset aiheuttavat vakavia toiminnallisia häiriöitä tai erittäin huomattavia taloudellisia vaikutuksia. Korkea taso asettaa merkittäviä lisävaatimuksia organisaation toiminnalle, osaamiselle ja järjestelmien toteutukselle. 10

11 Korkea varautuminen 2/2 Korkean tason järjestelmät ovat jatkuvan ympärivuorokautisen valvonnan, hallinnan ja viankorjauksen piirissä. Korkean tason järjestelmät edellyttävät myös tilaaja- ja käyttäjäorganisaatioilta järjestelyjä, joilla taataan kyky nopeaan päätöksentekoon häiriötilanteissa. Korkealla tasolla on erityisesti varmistettava tietoliikenteen toimivuus, tiedon, palvelujen, ylläpidon ja osaamisen saatavuus ja toiminta Suomen lainsäädännön alaisuudessa poikkeusolot huomioon ottaen. Korkealle tasolle sijoitettavien palvelujen tulee toimia, vaikka tietoliikenneyhteydet ulkomaille olisivat poikki. Korkean tason palveluissa on erikseen määritettävä, mitkä tiedot on säilytettävä ja mitkä hallintatoimet on toiminnan kriittisyyden tai poikkeusoloihin varautumisen kannalta toteutettava Suomessa. Korkean varautumistason järjestelmät tulee rakentaa siten, ettei yhden konesalin tai tietoliikenneyhteyden tuhoutuminen lamauta järjestelmän toimintaa. Korkean tason ICT-varautumisen todentamiseen tulee käyttää NCSA-FI:n hyväksymää toimijaa. 11

12 Korkean varautumisen vaatimukset palveluntuottajalle Johtamisvalmius ja vastuut Suunnitelmavalmius Henkilöstön toimintavalmius Resurssivalmius, palveluntoimittamisen ketjujen valmius ICT-jatkuvuudenhallinnan 24/7/365 valmius Mittaaminen/arviointi, raportointi ja jatkuva kehittäminen 12

13 TUVE-TOIMINNASSA LUOTTAMUS ON ANSAITTAVA TRUST BUT VERIFY