Kansallisarkisto SÄHKE2-AUDITOINNIT PALVELUKUVAUS. v. 1.0 ( )

Transkriptio

1 1 (9) Kansallisarkisto SÄHKE2-AUDITOINNIT PALVELUKUVAUS v. 1.0 ( ) VERSIOHISTORIA Versio Päivämäärä Tekijä Sisältö Mikko Eräkaski ensimmäinen julkaistu versio

2 2 (9) Sisältö: 1. Yleistä SÄHKE2-auditoinneista SÄHKE2-auditointien tilaaminen Valtionhallinnon organisaatiot Muut kuin valtionhallinnon organisaatiot SÄHKE2-sovellusauditointi Auditoinnin sisältö Auditointiin valmistautuminen Raportointi SÄHKE2-toiminta-auditointi Auditoinnin sisältö Auditointiin valmistautuminen Raportointi... 9

3 3 (9) 1. Yleistä SÄHKE2-auditoinneista SÄHKE2-normin mukaista sähköisen säilyttämisen lupaa voidaan hakea operatiiviselle tietojärjestelmälle tai säilytysjärjestelmälle. Lähtökohtaisesti lupaa haetaan aina operatiiviselle tietojärjestelmälle, jossa aineisto muodostuu. Mikäli luvan kohteena on säilytysjärjestelmä, tulee organisaatiolla olla myös operatiivinen tietojärjestelmä, jossa säilytettävä aineisto on muodostunut. SÄHKE2-mukainen lupa edellyttää aina ulkopuolisen tahon toimittamia SÄHKE2-auditointeja. Toiminta-auditointi toimitetaan organisaatiossa aina kun lupaa haetaan. Sovellusauditointi toimitetaan SÄHKE2-normin mukaiselle tietojärjestelmälle, mikäli luvan kohteena olevalla tietojärjestelmällä ei ole SÄHKE2-sertifikaattia SÄHKE2-auditointien tulee olla valmiita ennen kuin organisaatio voi hakea arkistolaitokselta sähköisen säilyttämisen lupaa. Lupahakemuksen liitteenä arkistolaitokseen on toimitettava raportit suoritetuista SÄHKE2-auditoinneista. Lisätietoja: Sähköisen säilyttämisen lupa: SÄHKE2-sertifiointi: Yhteystiedot: Kansallisarkiston tutkimuksen ja kehittämisen vastuualue: kehittämispäällikkö Mikko Eräkaski, puh kehittämispäällikkö Armi Helenius, puh Valtion IT-palvelukeskus tietoturvapalvelut: Palvelujen tilaukset: Palveluihin liittyvät kysymykset:

4 4 (9) 2. SÄHKE2-auditointien tilaaminen Arkistolaitos ei tee SÄHKE2-auditointeja, vaan auditoinnit toimittaa aina ulkopuolinen toimija. Auditointeja suorittavan taho tulee olla puolueeton, eikä se saa olla millään tavalla osallisena auditoinnin kohteena olevan kokonaisuuden kehittämisessä tai ylläpidossa. 2.1 Valtionhallinnon organisaatiot Valtionhallinnon organisaatiot tilaavat SÄHKE2-auditoinnit aina valtion ITpalvelukeskukselta (VIP). Auditoinnin kulut maksaa työn tilannut organisaatio. Arkistolaitoksen kautta ei voi tilata auditointeja. Valtionhallinnon organisaatiolle auditoinnit ovat kiinteähintaiset: SÄHKE2-sovellusauditointi: 3720 SÄHKE2-toiminta-auditointi: Muut kuin valtionhallinnon organisaatiot Muiden kuin valtionhallinnon organisaatioiden tulee teettää SÄHKE2-auditointi yksityisellä toimijalla. Organisaatiot voivat olla yhteydessä valtion ITpalvelukeskukseen ja tiedustella auditointeja suorittavien tahojen yhteystietoja. Valtion IT-palvelukeskuksella on lista niistä auditoijista, jotka ovat suorittaneet hyväksytysti arkistolaitoksen antaman SÄHKE2-auditointikoulutuksen. Arkistolaitos hyväksyy lähtökohtaisesti vain sen kouluttamien SÄHKE2-auditoijien raportit sähköisen säilyttämisen lupahakemusta varten. Auditoinnin kulut maksaa aina työn tilannut organisaatio ja auditoinnin hinnasta sovitaan organisaation ja auditoijan kesken. Arkistolaitoksen kautta ei voi tilata auditointeja. Auditointi on suositeltavaa tilata noin 1 2 kuukautta etukäteen. Tilaaminen: Valtion IT-palvelukeskus tietoturvapalvelut: Palvelujen tilaukset: ttpalvelut.vip@valtiokonttori.fi Palveluihin liittyvät kysymykset: tietoturva.vip@valtiokonttori.fi

5 5 (9) 3. SÄHKE2-sovellusauditointi Jos luvan kohteena olevalla tietojärjestelmällä on voimassaoleva SÄHKE2- sertifikaatti, ei SÄHKE2-sovellusauditointia toimiteta. SÄHKE2-sovellusauditointi voi kohdentua operatiiviseen tietojärjestelmään, jolla tarkoitetaan tietojärjestelmää, jossa asiakirjatieto syntyy, sitä käsitellään ja muokataan. Operatiivisessa tietojärjestelmässä syntyvä, muodostuva ja käsiteltävä asiakirjatieto saa eamsiin määritellyt oletusmetatietoarvot. SÄHKE2-vaatimusten mukaisesti operatiivisessa tietojärjestelmässä tulee olla myös määräajan säilytettävien asiakirjatietojen hävittämistoiminnallisuus sekä siirtotoiminnallisuus, joka on pakollinen vaatimus valtionhallinnon organisaatioille. säilytysjärjestelmään, jolla tarkoitetaan tietojärjestelmää, jossa tietoa ei enää käsitellä tai muokata, vaan sinne tallennetun tiedon käsittely on päättynyt. SÄHKE2-vaatimusten mukaisessa säilytysjärjestelmässä tulee olla myös määräajan säilytettävien asiakirjatietojen hävittämistoiminnallisuus sekä siirtotoiminnallisuus, joka on pakollinen vaatimus valtionhallinnon organisaatioille. Molemmille järjestelmätyypeille on olemassa omat kriteerit, jotka on julkaistu arkistolaitoksen verkkosivuilla. HUOM! Lähtökohtaisesti lupaa haetaan aina operatiiviselle tietojärjestelmälle, jossa aineisto muodostuu. Mikäli luvan kohteena on säilytysjärjestelmä, tulee organisaatiolla olla myös operatiivinen tietojärjestelmä, jossa säilytettävä aineisto on muodostunut. eams-järjestelmälle / tiedonohjausjärjestelmälle ei toimiteta omaa SÄHKE2- sovellusauditointia, vaan tiedonohjauksen toteutuminen tarkastetaan toimintaauditoinnisssa (ks. luku 4.). Sovellusauditointia ei voida toimittaa järjestelmätoimittajan tms. tiloissa, vaan se tulee toteuttaa siinä teknisessä ympäristössä, jossa itse järjestelmän tuotantokäyttö tapahtuu. Suositeltavaa on tilata ja toimittaa SÄHKE2-sovellusauditointi ennen SÄHKE2- toiminta-auditointia.

6 6 (9) 3.1 Auditoinnin sisältö Sovellusauditointi keskittyy SÄHKE2-normissa esitettyjen tietojärjestelmältä vaadittavien ominaisuuksien todentamiseen. Auditoijan suorittaman auditointityön laajuus on 4 henkilötyöpäivää, joka jakautuu seuraavasti: 1 htp, esityöt: aloituskokous ja auditoija perehtyy organisaation toimittamaan aineistoon. 2 htp, auditointitilaisuus: todennetaan käytännössä, että auditointikriteeristön vaatimukset toteutuvat tietojärjestelmässä. 1 htp: loppuyhteenveto: auditoija tuottaa auditointitilaisuuden ja havaintojen pohjalta raportin, joka sisältää mahdollisen esityksen jatkotoimenpiteistä. Mikäli auditointia ei saada sovituilla auditointikerroilla toimitettua, tulee organisaation ja auditoijan sopia keskenään uusinta-auditoinnista eli uudesta auditointikerrasta. Yleensä uusinta-auditointi joudutaan toimittamaan, jos järjestelmässä ei ole kaikki toiminnallisuudet vielä valmiina katsottavaksi tai organisaation valmistautuminen auditointitilaisuuteen on ollut puutteellista. Uuteen auditointikertaan liittyvä työmäärä ja kustannukset eivät sisälly alkuperäisen auditoinnin kustannuksiin ja työmäärään, vaan niistä sovitaan aina erikseen auditoijan ja organisaation kesken. 3.2 Auditointiin valmistautuminen Auditointiprosessi alkaa kun organisaatio ja auditoija pitävät yhteisen aloituskokouksen, jossa sovitaan itse auditointitilaisuuden ajankohta ja ohjelma. Lisäksi auditoija voi antaa organisaatiolle tarkempia ohjeita auditointiin valmistautumiseksi. Aloituskokous voidaan järjestää mm. puhelinpalaverina. Organisaation tulee perehtyä sovellusauditoinnin kriteereihin ja täyttää kriteerit etukäteen itsearvioinnin tyyppisesti. Organisaation tulee toimittaa esitäytetty kriteeristö auditoijalle hyvissä ajoin ennen varsinaista auditointitilaisuutta. Auditointitilaisuudessa todennetaan auditointikriteeristössä esitettyjen vaatimusten toteutuminen tietojärjestelmässä. Tämä edellyttää, että käytössä on tuotantoversiota vastaava testiympäristö. Organisaation tulee luoda järjestelmään (testiympäristöön) riittävän monipuolista aineistoa, joilla kaikki kriteereissä esitetyt toiminnallisuudet voidaan todentaa. Testiaineiston on hyvä sisältää mm. määräajan säilytettäviä asiakirjallisen tiedon käsittelyprosesseja ja asiakirjoja salasssa pidettäviä asiakirjallisen tiedon käsittelyprosesseja ja asiakirjoja asiakirjoja, joista on tallennettu useita eri versioita asiakirjallisen tiedon käsittelyprosessi, joka sisältää asiakirjoja, joilla on eri säilytysaikoja asiakirjallisen tiedon käsittelyprosesseja, asiakirjoja ja toimenpiteitä, joiden tehtäväryhmää voidaan vaihtaa

7 7 (9) hävittämiskriteerit täyttäviä asiakirjallisen tiedon käsittelyprosesseja ja asiakirjoja (säilytysaika umpeutunut) siirtokriteerit täyttäviä asiakirjoja (pysyvästi säilytettäviä ja käsittelyprosessiltaan päättyneitä) Listan jokaista kohtaa varten ei tarvitse luoda erillistä asiakirjallisen tiedon käsittelyprosessia tai asiakirjaa. Testiaineiston luonti on tärkeää, jotta itse auditointitilaisuus sujuu mahdollisimman jouhevasti. Auditointitilaisuuden sujuvuuden varmistamiseksi tulisi olla mahdollisuus useampaan yhtäaikaiseen yhteyteen järjestelmään, esim. siten että sisällöllisen pääkäyttäjän / kirjaajan oikeuksilla näytetään metatietojen luomista ja muuttamista eri roolien mukaisin katselijan ja käyttäjän oikeuksin katsotaan tietojen näkyvyyttä ja muokkaamista Raportointi Auditoija on velvollinen tuottamaan raportin auditoinnin tuloksista kahden viikon kuluessa siitä kun itse auditointi on katsottu päätetyksi. Raportissa auditoija ei ota kantaa siihen voidaanko tietojärjestelmälle myöntää sähköisen säilyttämisen lupa, vaan sen sijaan raportissa esitetään: auditoinnin keskeiset havainnot yksityiskohtaiset puutteet ja poikkeamat auditointikriteereihin sekä organisaation mahdollinen arvio korvaavista toimenpiteistä Auditointiraportin liitteenä on aina kriteeristö, jota vasten auditointi on tehty ja siinä on auditoijan merkinnät kunkin kriteerin täyttymisestä. Auditoija toimittaa auditointiraportin aina suoraan organisaatiolle eli auditoinnin tilaajalle, ei arkistolaitokselle. Organisaatiolla on raportin saatuaan kaksi viikkoa aikaa esittää raportin sisällöstä huomautuksia auditoijalle. Mikäli huomautuksia ei tänä aikana esitetä, katsotaan organisaation hyväksyneen raportin. Auditointiraportteja tulee käsitellä kaikkien osapuolten toimesta salassa pidettävänä aineistona (suojaustaso III), koska ne sisältävät yksityiskohtaista tietoa eri tietojärjestelmistä ja niiden tietoturva- ym. ratkaisuista. Organisaatio toimittaa auditointiraportin sähköisen säilyttämisen lupahakemuksen liitteenä arkistolaitokseen.

8 8 (9) 4. SÄHKE2-toiminta-auditointi SÄHKE2-normin mukaisen sähköisen säilyttämisen lupaprosessin osana suoritetaan aina toiminta-auditointi lupaa hakevalle organisaatiolle. Toiminta-auditoinnissa tarkastellaan miten organisaation toiminnassa toteutuvat SÄHKE2-vaatimukset. Auditoinnissa selvitetään organisaation eamsin hyödyntämistä metatietojen lähteenä, käsittelyvaiheiden määrittelyä, käyttöoikeuspolitiikkaa, asiakirjatiedon käsittelyä, metatietojen tuottamista ja hallinnointia sekä asiakirjatiedon hävittämistä tietojärjestelmässä. Keskeinen vaatimus kaikilla osa-alueilla on, että organisaatiolla on sovitut käytännöt ja määritellyt vastuut eri toimintoja ja tilanteita varten. Auditoija selvittää näiden käytäntöjen olemassaoloa suullisin haastatteluin ja dokumentaatioon tutustuen. Lisäksi toiminta-auditoinnissa todennetaan määrättyjen vaatimusten toteutuminen luvan kohteena olevasta tietojärjestelmästä. Toiminta-auditointia varten on olemassa vain yksi kriteeristö ja se on sama kaikille SÄHKE2-mukaisille järjestelmille. Kriteerit on julkaistu arkistolaitoksen verkkosivuilla: Auditoinnin sisältö Auditoijan suorittaman auditointityön laajuus on 2 henkilötyöpäivää, joka jakautuu seuraavasti: 0,5 htp esityöt: aloituskokous ja auditoija tutustuu organisaation toimittamaan aineistoon. 1 htp auditointitilaisuus: todennetaan käytännössä auditointikriteeristön vaatimusten toteutuminen dokumentaatioon tutustuen, haastatteluin ja tietojärjestelmästä. 0,5 htp loppuyhteenveto: auditoija tuottaa auditointitilaisuuden pohjalta raportin, joka sisältää mahdollisen esityksen jatkotoimenpiteiksi. Mikäli auditointia ei saada sovitulla auditointikerralla toimitettua, tulee organisaation ja auditoijan sopia keskenään uusinta-auditoinnista eli uudesta auditointikerrasta. Yleensä uusinta-auditointi joudutaan toimittamaan, jos organisaatio ei ole valmistautunut auditointiin riittävän hyvin tai läheskään kaikki kriteereissä esitetyistä asioista ei ole vielä kunnossa. Uuteen auditointikertaan liittyvä työmäärä ja kustannukset eivät sisälly alkuperäisen auditoinnin kustannuksiin ja/tai työmäärään, vaan niistä sovitaan aina auditoijan ja organisaation kesken.

9 9 (9) 4.2 Auditointiin valmistautuminen Auditointiprosessi alkaa kun organisaatio ja auditoija pitävät yhteisen aloituskokouksen, jossa sovitaan itse auditointitilaisuuden ajankohdasta ja ohjelmasta. Lisäksi auditoija voi antaa organisaatiolle tarkempia ohjeita auditointiin valmistautumiseksi. Aloituskokous voidaan järjestää mm. puhelinpalaverina. Organisaation tulee perehtyä toiminta-auditoinnin kriteereihin ja täyttää kriteerit etukäteen itsearvioinnin tyyppisesti. Lisäksi organisaation tulee järjestää auditoinnin kannalta kaikki relevantti dokumentaatio valmiiksi. Auditoijalle on hyvä toimittaa etukäteen mm. (sovitaan aina tapauskohtaisesti auditoijan kanssa): Raportti organisaatiossa suoritetusta tietoturvatason arvioinnista Näyte / osa organisaation eamsista Organisaation asiakirjahallinnon ohje / käsikirja (soveltuvin osin). Toiminta-auditointiin kuuluu vain yksi auditointitilaisuus, minkä vuoksi on tärkeää, että organisaatio valmistautuu tilaisuuteen huolella ja varmistaa kaikkien keskeisten henkilöiden osallistumisen auditointitilaisuuteen (mm. järjestelmän pääkäyttäjä, tietoturvasta vastaava henkilö, eamsista vastaava tms.). Erilaisen materiaalin jälkikäteinen tutkiminen tai yksittäisen asiantuntijan jälkikäteinen haastattelu ei kuulu auditoinnin normaalin työmäärän piirin, vaan voi johtaa uusinta-auditointiin. Auditointitilaisuudessa organisaation on valmistauduttava näyttämään tarvittavaa dokumentaatiota auditoijalle sekä esittämään tiettyjen toiminnallisuuksien toteutuminen tietojärjestelmästä. 4.3 Raportointi Auditoija on velvollinen tuottamaan raportin auditoinnin tuloksista kahden viikon kuluessa siitä kun itse auditointi on katsottu päätetyksi. Raportissa auditoija ei ota kantaa siihen voidaanko sähköisen säilyttämisen lupa myöntää. Sen sijaan raportissa esitetään: auditoinnin keskeiset havainnot yksityiskohtaiset puutteet ja poikkeamat auditointikriteereihin sekä organisaation mahdollinen arvio korvaavista toimenpiteistä Auditointiraportin liitteenä on aina kirteeristö, jota vasten auditointi on tehty ja siinä on auditoijan merkinnät kunkin kriteerin täyttymisestä. Auditoija toimittaa auditointiraportin aina suoraan organisaatiolle eli auditoinnin tilaajalle, ei arkistolaitokselle. Organisaatiolla on raportin saatuaan kaksi viikkoa aikaa esittää raportin sisällöstä huomautus auditoijalle. Mikäli huomautuksia ei tänä aikana esitetä, katsotaan organisaation hyväksyneen raportin. Auditointiraportteja tulee käsitellä kaikkien osapuolten toimesta salassa pidettävänä (suojaustaso III) aineistona, koska ne sisältävät yksityiskohtaista tietoa eri tietojärjestelmistä ja niiden tietoturva- ym. ratkaisuista. Organisaatio toimittaa auditointiraportin sähköisen säilyttämisen lupahakemuksen liitteenä arkistolaitokseen.