Katsaus tieto- ja kyberturvallisuuden tilanteeseen. Aku Hilve JUHTA

Transkriptio

1 Katsaus tieto- ja kyberturvallisuuden tilanteeseen Aku Hilve JUHTA

2 Tieto- ja kyberturvallisuuden ohjaus valtionhallinnossa Ohjaus JulkICT Yhteiset palvelut Palveluntarjoajat (VIP/Valtori, ViVi, HVK) Yhteistyö Valtionhallinnon tieto- ja kyberturvallisuuden johtoryhmä (VAHTI) Asiakkuus Ministeriöt, virastot Osasto JulkICT pp.kk.vvvv 3

3 Valtioneuvoston periaatepäätös 2009 Tietoturvallisuuden kehittämisen painopisteet Johtaminen Tietoturvallisuuden sisällyttäminen tulosohjaukseen Tietoturvallisuuden johtaminen, raportointi ja tarkastustoiminta Resursointi: tietoturvallisuuteen ja varautumiseen Tietoturvamittarien kehittäminen ja käyttö johtamisessa Kokonaisvaltaisuus ja läpäisy Ennaltaehkäisy ja varautuminen Tiedon ja sen arvon suojaaminen Osasto JulkICT pp.kk.vvvv 4

4 Yhteiskunnan turvallisuusstrategia...valtiovarainministeriö vastaa valtiohallinnossa näiden järjestelmien ja tietoverkkojen yleisestä ohjauksesta ja kehittämisestä. Valtiovarainministeriöllä on myös vastuu julkisen hallinnon tietoturvan ja ICTvarautumisen yleisestä ohjauksesta ja johtamisesta. Osasto JulkICT pp.kk.vvvv 5

5 Tietoturvallisuuden perustason yhteishankkeet VM edellyttää perustason auditointia 3 kk kuluessa hankkeen päättymisestä Hanke Päättymisajank ohta Virastojen lkm päättymis hetkellä Auditointi tilattu 2. ja 3. hankkeessa joitakin poikkeuslupia Auditointi tehty MMM hallinnonalalla jotkut virastot tilaavat auditoinnin suoraan, ei VIPin kautta Itsearviointi Perustaso saavutettu Yhteishanke 1 joulukuu Yhteishanke 2 maaliskuu Yhteishanke 3 toukokuu Yhteishanke 4 joulukuu Osasto JulkICT pp.kk.vvvv

6 Viestintäviraston arviointitoiminta / Selvitykset valtiovarainministeriön toimeksiannosta Valtiovarainministeriö voi pyytää valtionhallinnon tietoturvallisuudesta annettujen säännösten täytäntöönpanon seuraamiseksi sekä niiden kehittämiseksi Viestintävirastoa laatimaan selvityksen valtionhallinnon viranomaisten tietojärjestelmien tai tietoliikennejärjestelyjen yleisestä tietoturvallisuuden tasosta. Osasto JulkICT pp.kk.vvvv 11

7 VAHTI Valtiovarainministeriö on asettanut Valtionhallinnon tieto- ja kyberturvallisuuden johtoryhmän (VAHTI) hallinnon tietoturvallisuuden yhteistyön, ohjauksen ja kehittämisen elimeksi. VAHTI käsittelee valtionhallinnon tietoturvallisuutta koskevat säädökset, ohjeet, suositukset ja tavoitteet sekä muut tieto- ja kyberturvallisuuden linjaukset sekä ohjaa valtionhallinnon tietoturvatoimenpiteitä. Osasto JulkICT pp.kk.vvvv 12

8 VAHTIn toiminnasta VAHTI jory ja sihteeristö n. 35 htp/kk + hankkeet Kehittämis- ja yhteishankkeet Tt-asetuksen täytäntöönpano, haavoittuvuusskannaus, ohjeiden käännösryhmät, päätelaitteet, tietoturvakriteeristöt, arviointi, henkilöstö, tekninen jaos Valtionhallinnon tietoturvapäivä joulukuussa, seminaarit kesä- ja lokakuussa Julkaisut: VAHTI 1/2013 sovelluskehitys, VAHTI 2/2013 toimitilojen tietoturva, VAHTI 3/2013 Toimintakertomus, VAHTI 4/2013 Henkilöstön tietoturvaohje, VAHTI 5/2013 Päätelaitteiden tietoturvaohje Tietoturvallisuuden parantaminen mitatusti VAHTI-yhteistyön osallistumisaktiivisuuden korrelointi turvatasoon Osasto JulkICT pp.kk.vvvv 13

9 Mittarien muutos keskimäärin +5,2% TIETOTURVALLISUUDEN HALLINTA JA JOHTAMINEN prosentteja organisaatioista Varmuuskopioiden suunnitelmallinen hallinta Vakavista tietoturvapoikkeamista johdolle raportointi Sovittu käyttövaltuuksien hallintaperiaatteet Huonotasoisten salasanojen käytön esto Tunnukset/ valtuudet käyttövaltuushallintaperiaatteiden mukaisesti Tietoturvavastaava (osa/ kokopäiväinen) Tietoturvapoikkeamien käsittely organisoitu/ vastuutettu Keskeiset osa-alueet kattava tietoturvaohjeisto Erilliset tietojenkäsittelyn toimintaympäristöt Eriytetty tietoverkon eri suojaustasoa vaativat osat (+ rajoitus) Tietoturvapolitiikka JulkICT pp.kk.vvvv Tietoturvallisuus Osasto arvioitu VAHTI-ohjeisiin/ pp. 14

10 TIETOTURVALLISUUDEN HALLINTA JA JOHTAMINEN prosentteja organisaatioista jatkuu Tietoturvavastuut kuvattu tehtäväkuvauksissa Tietoturvatavoitteet tulosohjauksessa IDS (=havainnointiohjelmisto) käytössä Rekisteriselosteet verkkosivuilla Järjestelmämääritysten tietoturvavaatimusten auditointi Ydintoimintojen riskien arviointi ja dokumentointi Riskienhallintapolitiikka Ydinprosesseissa tietoturvatavoitteet Toipumissuunnitelma Jatkuvuussuunnitelma Kokopäivätoiminen tietoturvavastaava Jatkuvuussuunnitelma harjoiteltu Osasto JulkICT pp.kk.vvvv 15

11 Johtajuus Osasto JulkICT pp.kk.vvvv 16

12 Prosenttia vastaajista Tietoturvaongelmien yleisyys valtionhallinnossa Haittaohjelmat estäneet järjestelmien käyttöä Erityistoimia vaatineet hyökkäykset Kohdistetut hyökkäykset Vuosi Osasto JulkICT pp.kk.vvvv 17

13 Havainnointikeinoja Lokiseuranta 22 % 25 % Valvontaohjelmistot (verkon, applikaatioiden) IDS/IPS-järjestelmät 10 % 10 % 16 % 17 % Yhteistyöverkostot (mm. CERT, FUNET, VNK) Palvelutoimittajien ilmoitukset ja raportointi Muut Osasto JulkICT pp.kk.vvvv 18

14 Tietoturvallisuusasetuksen 5 :n vaatimusten toteutus 0 % 13 % 54 % 33 % Kaikki osat Suurin osa Ei täyty Ei tietoa Osasto JulkICT pp.kk.vvvv 19

15 Onko tehty luokituspäätöstä? Päätös % 15 % 15 % 2 % Päätös tehty Ei luokitella Ei vielä päätöstä Onko organisaatiossa tehty päätös tietoaineistojen luokituksesta? 66 % 13 % 19 % Päätös vuonna 2011 Päätös tehty vuonna Ei luokitella Ei vielä päätöstä 2 % Osasto JulkICT pp.kk.vvvv 20

16 SecICT-hanke Valtion johto (valtioneuvosto, ministeriöt) Valtiovarainministeriön ICT-varautumisen, tietoturvallisuuden ja kyberturvallisuuden ohjaus Vntike Vntiken tilannekuva Muut viranomaiset, koordinoijat ja tukiorganisaatiot Muut tilannekuvat 1. Valtion ympärivuorokautinen tietoturvatoiminto (VM:n alainen toiminto) Tilannekuvajärjestelmä Valvonta- ja raportointitoiminto (vakavien tietoturvapoikkeamien ennaltaehkäisy ja valvonta, valtion tilannekuvan kokoaminen ja jakaminen) GovSOC-toiminto (vakavien tietoturvatapahtumien koordinointi) 2. Tilanneportaali GovHUOVI ViVi Viestintäviraston tilannekuva Valtion ICT-palvelukeskuksen asiakkaat Valtion ICT-palvelukeskus (palvelukeskuksen SOC-palvelut) 3. Muut julkisen hallinnon ICT-palvelukeskusten asiakkaat ja keskeiset toimijat Muiden julkisen hallinnon palvelukeskusten tietoturvatoimijat Viestintäviraston GovCERT- ja GovHAVARO-palvelut Muut valtion tietoturvapalvelut Kirsi Janhunen, JulkICT Osasto JulkICT pp.kk.vvvv

17 SecICT-hankkeen lähtökohdat Valtioneuvoston periaatepäätöksessä valtionhallinnon tietoturvallisuuden kehittämisestä todetaan, että Suomen valtionhallinnon tulee saada aikaiseksi ja riittävän vahvasti resursoiduksi ympärivuorokautinen tietoturvallisuuden valvonta- ja reagointikyky tarkemmin määriteltävässä laajuudessa. VAHTIssa tehty pohjatyö on dokumentoitu VAHTIn julkaisuihin 4/2006 ja 5/2008. (VNpp, VAHTI 7/2009) Valtion sähköistä tietojenkäsittely-ympäristöä ja siihen liittyviä ICT-palveluita ylläpidetään usein monen toimijan yhteistyöllä. Tällaisesta keskinäisriippuvaisesta ympäristöstä tulee pyrkiä muodostamaan valtion keskeisten toimintojen osalta ajantasaista tilannekuvaa. Kriittisten riippuvuuksien tunnistaminen, ongelmien vaikutusten laajuuden arviointi sekä valmiudet tilanteiden hallintaan tulee järjestää etukäteen. Osasto JulkICT pp.kk.vvvv 22

18 Hankkeen tavoitteet 1. Valtion keskeisiin toimintoihin kohdistuvien vakavien sekä laajavaikutteisten tietoturvapoikkeamien ennaltaehkäisyn ja hallinnan kehittäminen. 2. Valtion toiminnan kannalta keskeisen tietoturvallisuuden tilannekuvan hallinnan kehittäminen. 3. Valtionhallinnolle tuotettavien ICT-palveluiden tietoturvallisuuden valvonnan ja ohjauksen kehittäminen. Osasto JulkICT pp.kk.vvvv 23

19 Keskeiset hankkeessa kehitettävät toiminnot ja palvelut GovCERT-toiminnalla tarkoitetaan tietoturvaloukkausten ennaltaehkäisyyn, havainnointiin ja ratkaisuun tähtääviä toimia sekä tietoturvauhkista tiedottamista. GovHAVARO on Viestintäviraston CERT-FI:n tuottama teknisten tietoturvaloukkausten havainnointi- ja varoituspalvelu. GovHUOVI on HVK:n tuottama tilannekuvaportaalipalvelu GovSOC tietoturvallisuuden operointikeskuspalvelu, joka sijaitsee Valtion IT-palvelukeskuksessa (myöh. TORI) Huom! Tähän on tehty ohjausryhmä jälkeen täsmennys. Valtion ympärivuorokautinen tietoturvatoiminto on VM:n alainen valvonta- ja hallintatoiminto, jonka tehtävänä on Keskeisiin valtion toimintoihin kohdistuvien vakavien tietoturvapoikkeamien ennaltaehkäisy ja valvonta. Vakavien, laajojen ja poikkihallinnollista yhteistyötä vaativien tietoturvatapahtumien koordinointi. (GovSOC-toiminta) Valtion toiminnan kannalta keskeisen tietoturvallisuuden tilannekuvan kokoaminen ja jakaminen. Osasto JulkICT pp.kk.vvvv 24

20 SecICT-hanke, painopisteet (kuva päivitetty) Valtion johto (valtioneuvosto, ministeriöt) Valtiovarainministeriön ICT-varautumisen, tietoturvallisuuden ja kyberturvallisuuden ohjaus Vntike Vntiken tilannekuva 1. Valtion ympärivuorokautinen tietoturvatoiminto (VM:n alainen toiminto) Valvonta- ja raportointitoiminto (vakavien tietoturvapoikkeamien ennaltaehkäisy ja valvonta, valtion tilannekuvan kokoaminen ja jakaminen) GovSOC-toiminto (vakavien tietoturvatapahtumien koordinointi) Muut viranomaiset, koordinoijat ja tukiorganisaatiot Tilannekuvajärjestelmä 2. Tilanneportaali GovHUOVI Muut tilannekuvat ViVi Valtion ICT-palvelukeskuksen asiakkaat 3. Muut julkisen hallinnon ICT-palvelukeskusten asiakkaat ja keskeiset toimijat Viestintäviraston tilannekuva Valtion ICT-palvelukeskus (palvelukeskuksen SOC-palvelut) Muiden julkisen hallinnon palvelukeskusten tietoturvatoimijat Viestintäviraston GovCERT- ja GovHAVARO-palvelut Muut valtion tietoturvapalvelut Kirsi Janhunen, JulkICT Osasto JulkICT pp.kk.vvvv

21 Osasto JulkICT pp.kk.vvvv 27

22 L O K A Yhteistyökokoukset Kansallisen TPO:n eteneminen Esitykset sihteeristölle -> Koonnoksen tarkastelu Lisäehdotukset TK-sihteeristötarkastelu M A R R A S TK:lle kokousmateriaali 4.11 TK: luonnoskäsittely Muokkaus: Priorisointi ja budjetointi, oma kierto Marraskuu vkot Viestintä ministeriöiden kanssa valinnoista Marraskuu vkot J O U L U T A M M I TK:lle kokousmateriaali 2.12 TK: luonno s 9.12 Luonnos lausunnoille VN viestintäjohtajat: suunnitelma Kybertehtävätlausuntojen määräaika TPO-lausuntojen määräaika H E L M I - M A A L I S TK:lle kokousmateriaali 3.3 TK: päätös kybertehtävistä 10.3 TK:lle kokousmateriaali 3.3 TK: oma päätös TPO:sta 10.3 Käsittely TP- UTVA/muut 28.3 Kansallinen TPO 28 Osasto JulkICT pp.kk.vvvv 28