Espoon kaupunki Pöytäkirja 96. Valtuusto Sivu 1 / Valtuustokysymys kyberturvallisuuden järjestämisestä ja uhkiin varautumisesta

Koko: px

Aloita esitys sivulta:

Download "Espoon kaupunki Pöytäkirja 96. Valtuusto 08.06.2015 Sivu 1 / 1. 96 Valtuustokysymys kyberturvallisuuden järjestämisestä ja uhkiin varautumisesta"

Liisa Siitonen
8 vuotta sitten
Katselukertoja:

1 Valtuusto Sivu 1 / / /2015 Kaupunginhallitus Valtuustokysymys kyberturvallisuuden järjestämisestä ja uhkiin varautumisesta Valmistelijat / lisätiedot: Juha Kalander, puh Jani Savolainen, puh Jukka Pitkänen, puh etunimi.sukunimi@espoo.fi Päätösehdotus Kaupunginhallitus Valtuusto merkitsee tiedoksi selostuksen vastauksena Kurt Bymanin ja 18 muun valtuutetun esittämään valtuustokysymyksen kyberturvallisuuden järjestämisestä ja uhkiin varautumisesta ja toteaa kysymyksen loppuunkäsitellyksi. Päätös Oheismateriaali Selostus Valtuusto: Kaupunginhallituksen ehdotus hyväksyttiin yksimielisesti. - Valtuustokysymys Valtuustokysymys Valtuutettu Kurt Byman ja 18 muuta allekirjoittajaa ovat jättäneet seuraavan kysymyksen: Internet ja digitalisoitumisen vallankumous leviää kaikille elämän alueille ja yhä useampi järjestelmä ja laite on yhteydessä verkkoon. Kaupungin hallinnon, arkiston, teknisen-, sivistys-, sosiaali- ja terveystoimen järjestelmät ja laitteet ovat kiinteässä yhteydessä internettiin vuorokauden ympäri. Internet-rikollisuus on yhteiskunnan nopeimmin kasvavista ongelmista. Kyseessä voi olla vakava haitanteko, vaaraan aiheuttaminen, terveysuhka, tietojen urkinta tai petos. Valtuuston työjärjestyksen mukaan kysymyksenä tiedustelemme, onko kaupunginhallitus tietoinen kaikista riskeistä, mitä ylläkerrottuun liittyy? Miten kaupungin kyberturvallisuus on järjestetty ja miten uhkiin on varauduttu? Taustaa Sanastokeskuksen Kokonaisturvallisuuden sanaston (2014) mukaan kyberturvallisuus on tila, jossa kybertoimintaympäristössä yhteiskunnan

fi Päätösehdotus Kaupunginhallitus Valtuusto merkitsee tiedoksi selostuksen vastauksena Kurt Bymanin ja 18 muun valtuutetun 13.4.

2 Valtuusto Sivu 2 / 2 elintärkeille toiminnoille ja muille kyberympäristöstä riippuvaisille toiminnoille koituvat uhkat ja riskit ovat hallinnassa. Kybertoimintaympäristö on toimintaympäristö, joka muodostuu yhdestä tai useammasta sähköisessä muodossa olevan datan tai informaation käsittelyyn tarkoitetusta tietojärjestelmästä. Espoon kaupunkikonsernissa riskeillä tarkoitetaan epävarmuustekijöitä, tapahtumia tai tapahtumaketjuja joiden toteutuessa Espoo-konserni tai sen yksikkö ei saavuta sille asetettuja tavoitteita ja/tai kokee huomattavia menetyksiä. Kansallisessa kyberturvallisuusstrategiassa (valtioneuvoston periaatepäätös ) todetaan, että kyberturvallisuus perustuu koko yhteiskunnan tietoturvallisuuden järjestelyihin. Espoon kaupungissa tietoturvallisuuden järjestelyt kuvataan kaupunkikonsernin tietoturvapolitiikassa, jossa korostetaan johtamista ja riskienhallintaa. Vastauksessa kyberturvallisuus rajataan Espoon kaupungin tietoturvan hallintaan ja toteuttamiseen. Vastaus valtuustokysymykseen Espoon kaupunki on tietoinen tietotekniikan käyttöön ja sen käyttöympäristöön (kyberympäristöön) kohdistuvista uhkista ja riskeistä. Koska kaikkia riskejä ei voi ennakolta tietää, niin kaupungissa on seuraavia periaatteita riskeihin varautumisessa ja palvelujen toimintakyvyn takaamiseksi: Kyberturvallisuuden järjestäminen ja varautuminen uhkiin on johtamista ja riskienhallintaa. Keskeiset osa-alueet ovat: hyvä riskienhallinta, hyvä kokonaisarkkitehtuuri, hyvä toimittajien hallinta ja hyvä henkilöstön osaaminen. Valtuusto on päättänyt Espoon kaupunkikonsernin sisäisen valvonnan ja riskienhallinnan perusteista, jotka astuivat voimaan Näiden perusteiden toimeenpanoa ohjaa riskienhallintapolitiikka (kaupunginhallitus ), joka kuvaa riskienhallinnan tavoitteet, periaatteet ja käytännön toteuttamisen. Tietoturvariskien hallinta on osa riskienhallintaa ja tietoturvapolitiikassa kuvataan vastuut ja tietoturvariskien hallintaprosessi. Kaupungin valmiussuunnitteluohjeessa ( ) edellytetään toimialoja ottamaan huomioon palveluiden riippuvuus tietotekniikasta ja sen toimivuudesta. Yllämainittujen toteuttaminen on osa johtamista. Kokonaisarkkitehtuuri tarkoittaa toiminnan, tiedon, järjestelmien ja teknologian muodostaman kokonaisuuden hallintaa. Kokonaisarkkitehtuuri on keskeinen johtamisen työkalut kun toimintaa ja palveluja tai (ja tietojärjestelmiä) kehitetään. Kokonaisarkkitehtuurin avulla voidaan mm. välttää toimittajaloukkujen syntymistä ja varmistaa kyberturvallisuutta. Kokonaisarkkitehtuuriperiaatteet sisältävät vaatimuksen tietoturvan toteuttamisesta, jota vaatimusta ratkaisukehityksessä toteutetaan. Tietoturvateknologiaan liittyvissä valinnoissa huomioidaan teknologian kypsyys, elinkaari, käytön laajuus sekä tuen ja asiantuntemuksen löytyminen.

Espoon kaupunkikonsernissa riskeillä tarkoitetaan epävarmuustekijöitä, tapahtumia tai tapahtumaketjuja joiden toteutuessa Espoo-konserni tai sen yksikkö ei saavuta sille asetettuja tavoitteita ja/tai

3 Valtuusto Sivu 3 / 3 Päätöshistoria Kaupunginhallitus Toimittajien ja sopimusten asianmukainen hallinta on tieto- ja kyberturvallisuuden ehdoton edellytys, koska tietojärjestelmät ovat toimittajien laitetiloissa ja operoinnissa. Kilpailutuksissa ja sopimuksissa Espoo vaatii kaikilta toimittajilta kaupungin tietoturvapolitiikan hyväksymistä ja noudattamista. Sopimuksiin sisällytetään myös toimittajan velvollisuudet tietoturvan varmistamiseksi ja tietoturvauhkiin reagoimiseksi. Kaupungin IT-infrastruktuuri perustuu omaan verkkoon, josta on suorat yhteydet toimittajien konesaleihin. Kaikki tietoliikenne valvotaan ja kontrolloidaan nykyaikaisin palomuurein. Infrastruktuurin ja palvelujen tuotannossa ja kehittämisessä Espoo käyttää suuria, globaaleja palveluntarjoajia, joiden palvelut ovat käytössä laajalti sekä yksityisellä että julkisella sektorilla. Näillä on hyvin vakiintuneet ja tehokkaat tavat kyberturvallisuudesta huolehtimiseen. Keskeisimpiä Espoon palvelutarjoajia ovat: - Fujitsu Finland Oy, joka toimittaa palvelin-, konesali- ja pilvipalvelut, - CGI Suomi Oy, joka toimittaa loppukäyttäjäpalvelut, joita ovat HelpDesk- ja laitteiden elinkaaripalvelut, - DNA Oy, joka vastaa Espoon tietoliikenneverkon ylläpidosta, - Tieto Oy, joka toimittaa keskeiset terveydenhuollon järjestelmät. Kaikki uudet järjestelmät käyvät läpi tietoturva-auditoinnin ennen tuotantoon siirtoa. Auditointi tehdään kolmannen, tietoturvaan erikoistuneen osapuolen toimesta. Järjestelmille tehdään myös säännöllisiä tietoturvatarkistuksia, joiden tiheys riippuu järjestelmän kriittisyydestä. Henkilöstö on keskeisessä asemassa kyberturvallisuuden toteuttamisessa ja uhkiin varautumisessa. Digitalisoitumisen myötä toimintaympäristö muuttuu merkittävästi. Enää ei ole selkeää rajaa organisaation verkon ja internetin välillä, töitä tehdään ajasta ja paikasta riippumatta ja työvälineet ovat omia tai työnantajan. Tämä edellyttää organisaatiolta merkittävää koulutukseen panostamista käyttäjien tietoturvaosaamisen ja -ymmärryksen lisäämiseksi. Espoon kaupungissa on tässä paljon kehitettävää. Johtamista tuetaan yhteistyöverkostoilla. Keskeisiä verkostoja kyber- ja tietoturvallisuuden hallinnassa ovat: riskienhallinnan ohjausryhmä, tietoturvaryhmä, kokonaisarkkitehtuuriryhmä, IT-kehittämisjohtoryhmä ja valmiussuunnittelun ohjausryhmä. Päätösehdotus Kaupunginjohtaja Jukka Mäkelä Kaupunginhallitus ehdottaa, että valtuusto merkitsee tiedoksi selostuksen vastauksena Kurt Bymanin ja 18 muun valtuutetun esittämään

5.2015 189 Toimittajien ja sopimusten asianmukainen hallinta on tieto- ja kyberturvallisuuden ehdoton edellytys, koska tietojärjestelmät ovat toimittajien laitetiloissa ja operoinnissa.

4 Valtuusto Sivu 4 / 4 valtuustokysymyksen kyberturvallisuuden järjestämisestä ja uhkiin varautumisesta ja toteaa kysymyksen loppuunkäsitellyksi. Päätös Kaupunginhallitus: Esittelijän ehdotus hyväksyttiin yksimielisesti. Tiedoksi

5 Valtuusto Sivu 5 / 5

Samankaltaiset tiedostot

Espoon kaupunkikonsernin tietoturvapolitiikka 25.5.2015

Espoon kaupunkikonsernin tietoturvapolitiikka 25.5.2015 Espoon kaupunki 2015 Tietoturvapolitiikka 1 (7) Yhteenveto Tietoturvapolitiikka on kaupunginhallituksen ja kaupunginjohdon tahdonilmaisu tietoturvan