ILOMANTSIN KUNNAN TIETOTURVASUUNNITELMA

Transkriptio

1 ILOMANTSIN KUNNAN TIETOTURVASUUNNITELMA Organisaation hallitus hyväksynyt: xx.yy.2015 Hyväksytty YT-toimikunnassa: xx.yy.2015 Päivitetty: Päivittäjä: xxx

2 2 SISÄLTÖ 1. TIETOTURVASUUNNITELMAN TAUSTAA Yleistä Juridista taustaa HALLINNOLLISET TURVALLISUUSTOIMENPITEET JA JOHTAMINEN Tietototurvatoimenpiteiden arviointi Tietoturvariskien kartoitus ja arviointi Kunnan tietoturvatoiminnan arviointi Tietoturvapoikkeamien hallinta Sopimukset TIETOTURVATOIMENPITEET JA MENETTELYT Tietoaineistoturvallisuus Käsiteltävän tietoaineiston tietosuoja Tietojärjestelmien kuvaus ja luokittelu sekä tietoaineistojen luokitus Tiedostojen, asiakirjojen ja muiden tietovälineiden säilytys Tietoaineistojen ja -järjestelmien varmuuskopiointi Tietoaineistojen arkistointi ja suojakopioiden säilytys Tarpeettomien tietojen hävittäminen turvallisesti Siirrettävien tietovälineiden tietoturva Asiakkaiden tietojen salassapito ja tietosuoja Oikeus järjestelmien tietoihin ja käytöstä kerättäviin tietoihin Henkilöstöturvallisuus Fyysinen turvallisuus Laitteistoturvallisuus Ohjelmistoturvallisuus Tietoliikenneturvallisuus Tietoliikennelaitteiston luettelointi Käytön- ja verkonvalvonta Ongelmatilanteiden kirjaus ja muutoksenvalvonta Tietoturvapoikkeamat tietoliikenteessä Käyttöturvallisuus Järjestelmien ylläpito Etätyön ja -käytön tietoturva Tietotekninen valvonta Käyttöoikeuksien hallinta Haittaohjelmistoilta suojautuminen Sosiaalinen hakkerointi ULKOISTETTUJEN TIETOJENKÄSITTELYTOIMINTOJEN TURVALLISUUS TIETOTURVATOIMENPITEET HANKINTOJEN YHTEYDESSÄ Järjestelmäkehityksen turvallisuus TIETOTURVAN SEURANTA, VALVONTA, TARKASTUS JA TESTAUS TIETOTURVAKOULUTUS TIETOTURVAN KEHITTÄMINEN SUUNNITELMAN PÄIVITYS JA TOIMENPITEIDEN YLLÄPITO RAPORTOINTI JOHDOLLE LIITE 1: TIETOTURVASUUNNITELMAAN LIITTYVÄT DOKUMENTIT... 22

3 3 1. TIETOTURVASUUNNITELMAN TAUSTAA 1.1. Yleistä Ilomantsin kunnan tietoturvasuunnitelma perustuu kunnanhallituksen hyväksymän tietoturvapolitiikan määrittelemiin linjauksiin ja periaatteisiin sekä koko toiminnan kannalta tehtävien riskikartoituksien tuloksiin. Suunnitelmassa viedään politiikassa määriteltyjä tietoturvan toteutusmenetelmiä käytännön toimenpiteiden asteelle, josta ne edelleen tarkennetaan järjestelmä- ja palvelukohtaisiksi toimintaohjeiksi, henkilöstön toiminta- ja käyttäytymisohjeistuksiksi, tietoaineistojen käsittelyohjeiksi sekä toimintaohjeiksi keskeytymistilanteista toipumiseksi. Tehtyjen ohjeiden, kuten myös itse tietoturvasuunnitelman, ajantasaisuus tarkistetaan vähintään kerran vuodessa. Tietoturvasuunnitelmassa kuvailluilla tietoturvatoimenpiteillä pyritään täyttämään ja noudattamaan säädettyjä lakeja, asetuksia ja standardeja sekä luomaan toimintaympäristö, jossa Ilomantsin kunnan toiminnan kannalta olennaisin tieto, tietojärjestelmät, tietoliikenne, palvelut, henkilöstö sekä tietojen käytettävyys olisivat suojattuja ulkoisilta ja sisäisiltä tietoturvauhkilta Juridista taustaa Tietoturva tarkoittaa tietojen, palvelujen, järjestelmien ja tietoliikenteen suojaamista ja varmistamista niihin kohdistuvien riskien hallitsemiseksi lainsäädännöllisillä, hallinnollisilla, teknisillä ja muilla toiminnoilla sekä normaali- että poikkeusoloissa. Rekisterinpitäjän on toteutettava tarpeelliset tekniset ja organisatoriset toimenpiteet henkilötietojen suojaamiseksi asiattomalta pääsyltä tietoihin ja vahingossa tai laittomasti tapahtuvalta tietojen hävittämiseltä, muuttamiselta, luovuttamiselta, siirtämiseltä taikka muulta laittomalta käsittelyltä. (Henkilötietolaki (523/2004) 32, Tietojen suojaaminen.) Kaikissa tietojärjestelmätoiminnoissa tulee näiden ohjeiden lisäksi noudattaa yleisiä tietoturvatoimintoja ohjaavia säädöksiä, erikseen tehtyjä sopimuksia, EU-direktiivejä ja määriteltyjä standardeja. Yhtenä tietoturvapolitiikan perustana olevan hyvän tiedonhallintatavan määrittelee laki viranomaisten toiminnan julkisuudesta (621/1999) 18 : Viranomaisen tulee hyvän tiedonhallintatavan luomiseksi ja toteuttamiseksi huolehtia asiakirjojen ja tietojärjestelmien sekä niihin sisältyvien tietojen asianmukaisesta saatavuudesta, käytettävyydestä ja suojaamisesta sekä eheydestä ja muista tietojen laatuun vaikuttavista tekijöistä sekä tässä tarkoituksessa erityisesti: 1. pitää luetteloa käsiteltäviksi annetuista ja otetuista sekä ratkaistuista ja käsitellyistä asioista tai muutoin huolehtia siitä, että sen julkiset asiakirjat ovat vaivattomasti löydettävissä; 2. laatia ja pitää saatavilla kuvaukset pitämistään tietojärjestelmistä sekä niistä saatavissa olevista julkisista tiedoista, jollei tiedon antaminen ole vastoin 24 :n tai muun lain säännöksiä; 3. selvittää tietojärjestelmien käyttöönottoa sekä hallinnollisia ja lainsäädännöllisiä uudistuksia valmisteltaessa suunniteltujen toimenpiteiden vaikutus asiakirjojen julkisuuteen, salassapitoon ja suojaan sekä tietojen laatuun samoin kuin ryhtyä

4 4 tarpeellisiin toimenpiteisiin tietoon liittyvien oikeuksien ja tiedon laadun turvaamiseksi sekä asiakirjojen ja tietojärjestelmien sekä niihin sisältyvien tietojen suojan järjestämiseksi; 4. suunnitella ja toteuttaa asiakirja- ja tietohallintonsa samoin kuin ylläpitämänsä tietojärjestelmät ja tietojenkäsittelyt niin, että asiakirjojen julkisuus voidaan vaivattomasti toteuttaa ja että asiakirjat ja tietojärjestelmät sekä niihin sisältyvät tiedot arkistoidaan tai hävitetään asianmukaisesti ja että asiakirjojen ja tietojärjestelmien sekä niihin sisältyvien tietojen suoja, eheys ja laatu turvataan asianmukaisin menettelytavoin ja tietoturvajärjestelyin ottaen huomioon tietojen merkitys ja käyttötarkoitus sekä asiakirjoihin ja tietojärjestelmiin kohdistuvat uhkatekijät ja tietoturvatoimenpiteistä aiheutuvat kustannukset; 5. huolehtia siitä, että sen palveluksessa olevilla on tarvittava tieto käsiteltävien asiakirjojen julkisuudesta sekä tietojen antamisessa ja käsittelyssä sekä niiden ja asiakirjojen ja tietojärjestelmien suojaamisessa noudatettavista menettelyistä, tietoturvajärjestelyistä ja tehtävänjaosta, samoin kuin siitä, että hyvän tiedonhallintatavan toteuttamiseksi annettujen säännösten, määräysten ja ohjeiden noudattamista valvotaan. Arkistotoimen tehtävistä on voimassa, mitä arkistolaissa (831/1994) tai sen nojalla säädetään tai määrätään. Hyvän tiedonhallintatavan toteuttaminen liittyy keskeisesti säännösten puitteissa myös tietoturvan toteutumiseen. Tietoturvan suunnittelun yhteydessä on hyvän tiedonhallintatavan toteuttamiseksi laadittava selvityksiä, joista on määrätty asetuksella n:o 1030/1999 viranomaisten toiminnan julkisuudesta ja hyvästä tiedonhallintatavasta (1 ): Viranomaisen on viranomaisten toiminnan julkisuudesta annetun lain (621/1999) kohdassa tarkoitettujen toimenpiteiden suunnittelua ja toteuttamista varten arkistolaissa (831/1994) tarkoitettua arkistonmuodostussuunnitelmaa hyväksi käyttäen selvitettävä ja arvioitava asiakirjansa ja tietojärjestelmänsä sekä niihin talletettujen tietojen merkitys samoin kuin asiakirja- ja tietohallintonsa. Toimenpiteiden tarvetta arvioitaessa on kiinnitettävä huomiota siihen, kuinka toteutetaan: 1. oikeus saada tietoja viranomaisten julkisista asiakirjoista; 2. velvollisuus tuottaa ja jakaa tietoja sekä antaa tietoja keskeneräisistä asioista; 3. henkilötietojen, erityisesti arkaluonteisten tietojen, suojaaminen; 4. salassa pidettäviksi säädettyjen tietojen suojaaminen; 5. tietojen käyttötarkoituksia koskevat rajoitukset; 6. tietojen käytettävyys, eheys ja laatu viranomaisen tehtävän hoidossa ja viranomaisten yhteistyössä; 7. tietojen laatu erityisesti käytettäessä niitä yksilöitä ja yhteisöjä koskevan päätöksenteon pohjana tai oikeuksien ja velvollisuuksien osoittajina. Hyvän tiedonhallintatavan toteuttamiseksi on lisäksi selvitettävä ja arvioitava tietojen saatavuuteen, käytettävyyteen, laatuun ja suojaan sekä tietojärjestelmien turvallisuuteen vaikuttavat uhat sekä niiden vähentämiseksi ja poistamiseksi käytettävissä olevat keinot ja niiden kustannukset sekä muut vaikutukset. Viranomaisen on 1 ja 2 momentissa tarkoitettujen selvitysten perusteella arvioitava ja toteutettava tarvittavat toimenpiteet hyvän tiedonhallintatavan toteuttamiseksi.

5 5 2. HALLINNOLLISET TURVALLISUUSTOIMENPITEET JA JOHTAMINEN Hallinnollinen turvallisuus on tietoturvan osa-alue, joka käsittää kunnan toimintalinjaukset, periaatteet, organisaatiojärjestelyt, henkilöstön tehtävien ja vastuiden määrittelyn, tietoturvaohjeistuksen ja - koulutuksen suunnittelun sekä tietoturvallisen toiminnan kehittämisen osaksi päivittäistä toimintaa. Lisäksi hallinnolliseen turvallisuuteen kuuluu tietoturvariskien kartoituksien järjestäminen säännöllisin väliajoin sekä muutostilanteissa (esim. uuden järjestelmän tai palvelun käyttöönotto) tarkoitukseen sopivilla työkaluilla ja menetelmillä. Ilomantsin kunnan tietoturvalinjaukset ja -periaatteet on kirjattu kunnan tietoturvapolitiikkaan, jonka kunnanhallitus on hyväksynyt. Tietoturvapolitiikassa on kuvattu myös tietoturvaan liittyvät organisaatiojärjestelyt sekä henkilöstön tehtävät ja vastuut. Yleisemmät em. määrittelyt kuvataan hallintosäännössä. Listaus eri toimintaalueisiin liittyvistä tietoturvaohjeistuksista on kirjattu tämän dokumentin (Tietoturvasuunnitelma) liitteeksi. Tietoturvakoulutuksen järjestämisperiaatteet ja tietoturvatoiminnan kehittäminen on kuvattu tämän dokumentin luvuissa 8 ja Tietototurvatoimenpiteiden arviointi Ilomantsin kunnassa toteutettavia tietoturvatoimenpiteitä arvioidaan kaksitasoisesti. Operatiivisella tasolla arviointia toteutetaan tietoturvariskien kartoituksella ja arvioinnilla, joiden avulla pyritään löytämään kunnan käytännön toiminnantasolla ilmeneviä tietoturvapuutteita ja suunnittelemaan puutteita korjaavat toimenpiteet. Organisaatiotasolla arviointia tehdään tietoturvan hallinnan kypsyystason ja varautumistason määrittämisellä organisaation hallinnon ja sen eri IT-toimintojen puitteissa Tietoturvariskien kartoitus ja arviointi Tietoturvatoimet perustetaan vaatimuksiin, joita toiminta ja palvelut asettavat tietojenkäsittelyn varmuudelle, käytettävyydelle, salassapidolle, laadulle ja toiminnan jatkuvuudelle sekä toimintaan kohdistuvien riskien arviointiin. Tietoturvariskien kartoituksella ja arvioinnilla arvioidaan riskit, niiden todennäköisyydet ja riskien toteutuessa aiheutuvat menetykset sekä vaihtoehtoisten turvallisuustoimien kustannukset/haitat. Samalla hahmotetaan taloudellisesti ja toiminnallisesti edullinen ratkaisu. Tietoturvariskien kartoitus ja arviointi tehdään säännöllisin väliajoin ja liitetään esim. muuhun työpaikalla tehtävään riskienarviointiin. Kartoitus tehdään myös muutettaessa oleellisesti toimintayksiköiden ICT-toimintaympäristöä, esim. valmisteltaessa merkittävien järjestelmien käyttöönottoa tai muutettaessa ICT-palvelujen järjestämistapaa tai mikäli kunnan johto katsoo sen tekemiseen olevan erityistä syytä Kunnan tietoturvatoiminnan arviointi Kuntien omistama Pohjois-Karjalan Tietotekniikkakeskus Oy (myöh. PTTK Oy) on määritellyt omassa tietoturvapolitiikassaan:

6 6 Yhtiön yleisempänä päämääränä on saavuttaa KATAKRI 3 -standardin määrittelemä tietoturvan ja varautumisen perustaso kaikessa toiminnassaan sekä korotettu taso kriittisiksi määritellyissä toimintaprosesseissa, tietojärjestelmissä ja palveluissa. Tästä johdateltuna määriteltäessä Ilomantsin kunnan kannalta kriittisiä toimintaprosesseja, tietojärjestelmiä tai palveluja käytetään ensisijaisesti periaatteita, jonka mukaan: - toimintaprosessit, tietojärjestelmät tai palvelut, jotka ovat Ilomantsin kunnan kannalta kriittisiä, ovat kriittisiä myös PTTK Oy:n toiminnan kannalta. - kaikki muu em. kohtien ulkopuolelle jäävä toiminta saatetaan ICT-varautumisen perustasolle, josta niitä voidaan tapauskohtaisesti nostaa tarvittaessa korotetulle tasolle Pyrkimyksenä on saattaa Ilomantsin kunnan ja PTTK Oy:n tietoturvatoiminnan kypsyysja varautumistasot vastaamaan toisiaan, minkä jälkeen Ilomantsin kunta voi yhdessä PTTK Oy:n kanssa vaatia vähintään samantasoista tietoturvatasoa yhteistyökumppaneiltaan sekä tulevissa hankinnoissa että sopimuksissa Tietoturvapoikkeamien hallinta Tietoturvallisuuteen poikkeamia aiheuttavat tilanteet voivat olla tahallisia tai tahattomia. Poikkeamien hallintaprosessi (kuva 1) on osa tietoturvan johtamisjärjestelmää ja riskien hallinnan osa-alue. Kuva 1. Tietoturvapoikkeamien hallintaprosessi. Kunnassa varaudutaan suunnitelmallisesti jo etukäteen suurimpiin riskeihin sekä suunnitellaan korjaavat toimenpiteet, toipuminen ja kriisiviestintä. Poikkeamien käsittely on osa normaalia toimintaa ja siihen liittyy määritelty prosessi. Tietoturvakäytännöt ja

7 7 periaatteet (tietoturvasuunnitelma ohjeistuksineen) kuvaa kunnan/kunnan käytössä olevat erilaiset suojautumiskeinot ja menetelmät, joilla tietoturvallisuutta ylläpidetään. Vakaviin tietoturvaongelmiin liittyviä ja nopeaa reagointia vaativia toimenpiteitä koordinoi tietoturvavastaava, joka ongelmien ilmetessä alkaa toteuttaa välittömästi ennalta suunniteltuja menettelyjä tietoturvaongelmien poistamiseksi. ICT-työryhmän tehtäviin kuuluu tietoturvallisuuteen liittyvien suunnitelmien ja ohjeistuksien katselmointi ja käytäntöön vienti. Henkilöstöä koskevat ohjeistukset katselmoidaan ja hyväksytetään myös yhteistyötoimikunnassa ennen niiden käyttöönottoa Sopimukset Hankintojen yhteydessä voi olla tarvetta solmia erillinen turvallisuussopimus. Siinä määritetään mm. sopimusosapuolien kesken jaettavien tietojen suojausperiaatteet ja salassapitoajat. Sopimuksilla pyritään estämään tietovuotoja ja -varkauksia toimitusten yhteydessä tai niiden jälkeen sekä varmistamaan, että toimitus vastaa kunnan tietoturvapolitiikkaa. Toimittajasta tehdään turvallisuusselvitys riippuen hankkeen tai palvelun kriittisyydestä. 3. TIETOTURVATOIMENPITEET JA MENETTELYT Tässä luvussa on käyty läpi, kuinka kunnassa toteutetaan tietoturvaa sen eri osaalueilla ja millaisin toimenpitein Tietoaineistoturvallisuus Tietoaineistoturvallisuus on tietoturvan osa-alue, johon kuuluu: - käsiteltävän tietoaineiston tietosuoja - tietoaineistojen ja tietojärjestelmien luokitus ja luettelointi - tiedostojen, asiakirjojen ja muiden tietovälineiden säilytys - tietoaineistojen ja -järjestelmien varmuuskopiointi - tietoaineistojen arkistointi ja suojakopioiden säilytys - tarpeettomien tietojen hävittäminen turvallisesti - siirrettävien tietovälineiden tietoturva (levyke, CD, USB - muistit) Käsiteltävän tietoaineiston tietosuoja Ilomantsin kunnassa käsitellään tietosuojan piiriin kuuluvaa tietoaineistoa, kuten henkilötietoja. Näiden tietojen tietosuojan toteutuminen varmistetaan tietoaineistojen luokituksilla, tietojen käsittelyn ohjeistuksilla tehdyn luokituksen mukaisesti, kyseisiä tietoaineistoja sisältävien tietojärjestelmien tarjoamilla suojauskeinoilla ja tietosuojakoulutuksilla arkaluonteista tietoa käsitteleville henkilöille. Lisäksi henkilörekistereitä sisältävistä järjestelmistä laaditaan julkisuuslain mukaiset tietosuojaselosteet.

8 Tietojärjestelmien kuvaus ja luokittelu sekä tietoaineistojen luokitus Tietojärjestelmien luettelointi ja luokittelu Ilomantsin kunnassa käytettävät tietojärjestelmät luetteloidaan ja luokitellaan kunnan toiminnan kannalta tärkeysjärjestykseen riskianalyysin avulla. Järjestelmien tärkeysluokkaan vaikuttavia tekijöitä ovat muun muassa niiden sisältämän tiedon tärkeysluokitus ja kunkin järjestelmän käytettävyysvaatimukset. Ilomantsin kunnassa käytettävä järjestelmien luokitustapa pohjautuu PTTK Oy:n käyttämään luokitukseen: 1. Erittäin kriittiset Järjestelmä sisältää/välittää toiminnan kannalta erittäin kriittistä tietoa tai, käyttökatko voi olla enintään 2h, käytettävyys 99,5 % kuukaudessa 2. Kriittiset Järjestelmä sisältää/välittää toiminnan kannalta kriittistä tietoa, käyttökatko voi olla enintään 4 tuntia, käytettävyys 99,0 % kuukaudessa 3. Tärkeät Järjestelmä sisältää/välittää toiminnan kannalta tärkeitä tietoja, käyttökatko voi olla enintään 8 tuntia arkipäivisin (korjausta jatketaan palveluajan ulkopuolella tarvittaessa), käytettävyys 95,0 % kuukaudessa 4. Normaalit Järjestelmä sisältää/välittää toiminnan kannalta tärkeitä tietoja, käyttökatko voi olla enintään 8 tuntia arkipäivisin (korjaus toteutetaan palveluaikana), käytettävyys 90 % kuukaudessa 5. Ei-kriittiset Järjestelmä ei sisällä/välitä toiminnan kannalta tärkeitä tietoja, käyttökatko voi olla enintään 2 vuorokautta (korjaus toteutetaan palveluaikana), käytettävyys 80 % kuukaudessa Tietoaineistojen luokitus Tietoaineisto voidaan jakaa julkiseen tai salassa pidettävään tietoon. Salassa pidettävä tieto on joko kokonaan tai osittain salassa pidettävää. Tietoturvatoimien oikean kohdistamisen vuoksi Ilomantsin kunnassa käsiteltävät tiedot käydään läpi ja luokitellaan tiedonohjaussuunnittelun yhteydessä. Kunnan eri yksiköiden käsittelemien tietojen luovutuksesta päättävät ne, joille on määritelty asiakirjan tai tietojen antamista koskeva päätösvalta. Luovutuksessa on otettava huomioon tietojen luokitus sekä julkisuuslain, henkilötietolain, potilaslain, asiakaslain ja muidenkin tietojen luovuttamiseen vaikuttavien säädösten ja määräysten asettamat ehdot.

9 Tiedostojen, asiakirjojen ja muiden tietovälineiden säilytys Normaaleihin työasioihin liittyvät tai niiden yhteydessä muodostuvat asiakirjat ja tiedostot tallennetaan verkkolevylle tai asianhallintajärjestelmään mahdollisuuksien mukaan päivittäin. Paperidokumentit skannataan tarvittaessa sähköiseen muotoon ja tallennetaan asianhallintaan tai johonkin muuhun tietojärjestelmään, minkä jälkeen paperiversiot tarvittaessa arkistoidaan. Tietoaineistojen asianhallintaan viemisen yhteydessä tehdään aineiston luokitus kohdan kuvaamalla tavalla ja tämän luokituksen perusteella voidaan määritellä ko. aineiston käsittely- ja säilytystavat. Muut tietovälineet kuten CD/DVD:t, videokasetit, jne. luetteloidaan ja luokitellaan ennen kuin ne laitetaan sopivaan säilytyspaikkaan. Ilomantsin kunnan henkilökunnan omien tiedostojen tallennuspaikkana toimivat jokaisen työntekijän henkilökohtaiset työhakemistot, jotka sijaitsevat tähän käyttöön tarkoitetulla verkkolevyllä. Työhakemistoihin liittyvät käytännöt on kirjattu erilliseksi ohjeistukseksi (käyttäjän tietoturvakäsikirja) Tietoaineistojen ja -järjestelmien varmuuskopiointi Asianhallintajärjestelmässä, muissa tietojärjestelmissä ja verkkolevyillä olevien tietoaineistojen varmuuskopiointi toteutetaan kyseiset toiminnot toteuttavien tietojärjestelmien varmuuskopiointien yhteydessä, joiden tarkempi suoritus on kuvattu järjestelmäkohtaisissa kuvauksissa Tietoaineistojen arkistointi ja suojakopioiden säilytys Kunnan toiminnan yhteydessä muodostuvat tietoaineistot arkistoidaan asiakirjahallinnon ohjeen mukaisesti Tarpeettomien tietojen hävittäminen turvallisesti Tietoaineistojen luokittelun yhteydessä määritetään ko. aineiston säilytysaika, jonka jälkeen aineiston ja siihen liittyvän muun tiedon voi poistaa kunnan tietojärjestelmistä. Tuhottavat paperidokumentit laitetaan niille erikseen varattuihin lukittuihin säiliöihin, joiden täyttyessä palvelua tarjoava turvayhtiö huolehtii säiliöiden noutamisesta ja dokumenttien tuhoamisesta. Kunnan käytöstä poistuville/uuteen käyttöön menevien työasemien, kiintolevyjen ja muiden talletusmedioiden tietojenhävittämiselle on luotu PTTK Oy:n puolesta käytäntö, jota kunnassa myös noudatetaan. Poistuvat tai uuteen käyttöön menevät työasemat sekä kiintolevyt käsitellään PTTK Oy:n toimesta käyttäen em. käytäntöjä.

10 Siirrettävien tietovälineiden tietoturva Yleisenä periaatteena on, ettei työtiedostoja ja -asiakirjoja viedä työpaikan ulkopuolelle eikä salaiseksi luokiteltua aineistoa luovuteta vastoin sovittuja ja lakisääteisiä luovutuskäytäntöjä. Kuitenkin on tilanteita, jolloin mm. sähköisessä muodossa olevia työtiedostoja tarvitaan esim. koulutus-, esittely- tai kokoustilanteissa työpaikan ulkopuolella. Tällöin noudatetaan seuraavia periaatteita: - CD/DVD levyjä tai levykkeitä käytettäessä varmistutaan, ettei tietoväline tai sen sisältämä tieto joudu ulkopuolisten tahojen haltuun - USB-muistitikkua käytettäessä tikulla oleva salassa pidettävä tieto salataan käyttämällä joko tikun omaa salausta tai erillistä salausohjelmaa Jos usb-tikun mukana ei tule salausominaisuutta, saa erillisen salausohjelman ja siihen liittyvän käyttökoulutuksen pyydettäessä PTTK Oy:ltä. Älypuhelimet Älypuhelimiin voidaan nykyisin tallentaa merkittävät määrät tietoja, mikä merkitsee esim. puhelimen kadotessa todellista tietoturvauhkaa. Tämän vuoksi työtiedostojen ja salasanojen tallentaminen puhelimeen tai siinä olevaan erilliseen muistikorttiin ei ole sallittu. Työpuhelimet suojataan suojakoodilla ja muistikortit salasanalla. Älypuhelimet voidaan liittää PTTK Oy:n hallinnoimaan etähallintajärjestelmään, jonka avulla puhelin saadaan lukittua tai tyhjennettyä etänä laitteen katoamis-/varkaustapauksissa. Samalla henkilöstöä kehotetaan noudattamaan puhelinkäyttäytymisohjeistuksessa (käyttäjän tietoturvakäsikirja) mainittua erityistä varovaisuutta soittaessaan/vastatessaan työpuheluita työpaikan ulkopuolella olevissa julkisissa ympäristöissä Asiakkaiden tietojen salassapito ja tietosuoja Ilomantsin kunta noudattaa asiakkaidensa tietoaineistoja käyttäessään niitä salassapito- ja tietosuojamäärityksiä, joita kyseisiä asioita koskien on määritelty JHS 166 liitteen 2 (JIT 2007 Yleiset ehdot) luvun 26 kohdissa 1-6 sekä luvun 27 kohdissa 1-5. JHS 166 liite 2 (JIT 2007 Yleiset ehdot) 26 SALASSAPITO (1) Tilaaja noudattaa julkisyhteisönä viranomaisten toiminnan julkisuudesta annetussa laissa (621/1999) sekä muussa lainsäädännössä olevia salassapitoa ja julkisuutta koskevia säännöksiä. (2) Sopijapuolet pitävät toisiltaan saamansa luottamukselliseksi merkityn tai muuten luottamukselliseksi tai liikesalaisuudeksi katsottavan aineiston salassa eivätkä käytä tietoja muihin kuin sopimuksen mukaisiin tarkoituksiin. Tilaajalla on kuitenkin velvollisuus noudattaa kohdan 26(1) mukaisia velvoitteitaan. Sopijapuolet vastaavat, että kaikki heidän palveluksessaan olevat samoin kuin alihankkijat noudattavat tätä määräystä. Sopijapuolella on oikeus vaatia perustellusta syystä erillisen salassapitositoumuksen allekirjoittamista niiltä toisen sopijapuolen tai tämän alihankkijan palveluksessa olevilta, jotka sopimuksen toteuttavat. Tämä määräys on voimassa myös sopimuksen päättymisen jälkeen.

11 11 (3) Salassapitovelvollisuus ei koske tietoa, joka on yleisesti saatavilla tai julkista tai jonka sopijapuoli on saanut laillisesti haltuunsa muuten kuin toiselta sopijapuolelta. (4) Sopijapuolet huolehtivat omilla vastuualueillaan, että tietosuojaa ja salassapitoa koskevat säädökset ja viranomaisten antamat määräykset otetaan huomioon. (5) Jos sopimus tai toimeksianto päättyy tai purkautuu, sopijapuoli palauttaa tai toisen sopijapuolen suostumuksella hävittää toisen sopijapuolen luottamuksellisen aineiston. Aineistoa ei saa hävittää, mikäli laki tai viranomaisten määräykset vaativat säilyttämistä. (6) Sopijapuolella on oikeus käyttää toimituksen yhteydessä hankkimaansa ammattitaitoa ja kokemusta. 27 TIETOTURVA JA TIETOSUOJA (1) Toimittajan on noudatettava viranomaisten toiminnan julkisuudesta annetussa laissa (621/1999) tarkoitettua hyvää tiedonhallintatapaa sekä sopijapuolten mahdollisesti sopimia muita tietoturvajärjestelyjä tietoturvallisuudesta ja tietosuojasta huolehtimiseksi. (2) Toimittajan on huolehdittava, että sen omistamat laitteet sekä palvelutuotannon tilat on asianmukaisesti suojattu tietoturvariskejä vastaan ja että suojaukseen ja tiedonvarmistukseen liittyviä menettelyjä noudatetaan. Tilaajan on huolehdittava vastaavin tavoin omista tiloistaan. (3) Toimittaja noudattaa henkilötietolain (523/1999) edellyttämää hyvää tietojen käsittelytapaa ja tietojen suojaamista koskevia säännöksiä sekä muuta tietosuojaa koskevaa lainsäädäntöä. (4) Toimittaja huolehtii käsittelemiensä tietojen asianmukaisesta suojaamisesta laittoman tai tapaturmaisen häviämisen tai hävittämisen varalta. (5) Toimittaja ja tilaaja voivat erikseen sopia laite- ja ohjelmistotoimittajien tietoturvaan liittyvien päivitystoimenpiteiden toteuttamisesta. Toimittaja pyrkii seuraamaan aktiivisesti julkaistuja tiedotteita ja tekemään tilaajalle toimintasuosituksia tältä osin Oikeus järjestelmien tietoihin ja käytöstä kerättäviin tietoihin Tietoja kerättäessä ja käsiteltäessä noudatetaan lakia yksityisyyden suojasta työelämässä (759/2004) ja sähköisen viestinnän tietosuojalakia (516/2004) vuoden 2009 muutoksineen (125/2009). Kunta on järjestänyt tietojärjestelmät henkilöstön käyttöön kunnan toimintaan kuuluvaa tiedonvälitystä varten. Näin ollen Ilomantsin kunnalla on oikeus määrätä henkilöille annettujen, järjestelmien käyttöön oikeuttavien tunnusten käytöstä. Tietojärjestelmien tietoturvan valvonnan, tietojen varmistamisen ja toiminnan kehittämisen sekä tietojärjestelmien hallinnan tarpeisiin niiden käytöstä voidaan kerätä tietoja, jotka on kuvattu kyseisestä tietojärjestelmästä tehdyn selosteen yhteydessä. Tietojärjestelmien ja niiden sisällön turvallisuuden varmistamista sekä järjestelmien toiminnan ylläpitämistä varten niiden vastuuhenkilöillä on oikeus valvoa järjestelmien käyttöä ja tarvittaessa päästä käsiksi järjestelmien sisältämiin viesteihin ja muihin tietoihin sekä lukea, kopioida, siirtää ja tuhota niitä. Kunnalla on tekijänoikeus kaikkiin palvelusuhteessa tai siihen verrattavissa olevan henkilöstön laatimiin, tietojärjestelmissä oleviin, kunnan toimintaan liittyviin tietoihin ja viesteihin. Tietojärjestelmien tietojen ja viestien käyttö, kopiointi ja siirto on sallittu vain kunnan toimintaan liittyvien tehtävien hoitamiseksi.

12 12 Tietojärjestelmien käytöstä kerättävän tiedon (lokitiedot) säilytysaika vaihtelee mm. varmuuskopioiden säilytysaikojen tai muuten erikseen säädetyn mukaisesti Henkilöstöturvallisuus Henkilöstöturvallisuuden perustana on osaava ja sitoutunut henkilöstö, jolle tietoturvavastuut ja tehtävät on selkeästi kuvattu toimenkuvissa. Tietoturvan osalta toimenkuvat ja vastuut on kuvattu Ilomantsin kunnan tietoturvapolitiikassa. Lisäksi tarvitaan riittävällä tasolla määritellyt prosessit, joissa kuvataan työtehtävät niin tarkasti, että avainhenkilöriskien syntyminen vältetään. Avainhenkilöriskien kartoituksessa ja hallinnassa tunnistetaan toiminnan kannalta avainhenkilöt sekä varmistetaan heidän käytettävyytensä organisaation palveluksessa eri tilanteissa. Näihin otetaan kantaa erityisesti toipumis-, varautumis- ja valmiussuunnittelun yhteydessä kuten myös VAP-varausten (vapautettu asepalveluksesta sodan aikana) tekemiseen, joka on osa riittävien henkilöresurssien varmistamista osana poikkeusoloihin liittyvässä valmiussuunnittelussa. Valmiussuunnittelussa otetaan huomioon lomat, poissaolot, työnkierto ja väliaikaisjärjestelyt riittävän hyvin sekä lisäksi valmennetaan henkilöstö poikkeusoloihin. Vaaralliset työyhdistelmät pyritään tunnistamaan ja poistamaan, jotta organisaation toiminnan suojaksi rakennettuja menetelmiä ei voida havaitsematta kiertää. Keskeisiä asioita ovat työhönottoon, toimenkuvien olennaisiin muutoksiin ja palvelussuhteen loppumiseen liittyvät prosessit. Tehtävien vaativuudesta tai luottamuksellisuudesta riippuen rekrytoitavan henkilön tausta, sopivuus ja osaaminen on selvitettävä ennen työhönottoa. Työhönoton yhteydessä henkilö allekirjoittaa työsopimuksen, johon sisältyy myös vaitiolositoumus ja viranhaltijan osalta asia huomioidaan virkamääräystä annettaessa. Kunnassa on käytössä erillinen tietoturvasitoumus. Perehdytyksen yhteydessä tulee käydä läpi kunnan tietoturvapolitiikka ohjeistuksineen Fyysinen turvallisuus Fyysisen turvallisuuden tarkoituksena on turvata organisaation häiriötön toiminta kaikissa olosuhteissa niiden erityistarpeet ja riskit huomioon ottaen. Tähän tietoturvan osa-alueeseen kuuluvat mm. kulunvalvonta, kameravalvonta, muu tekninen valvonta ja vartiointi sekä palo-, vesi-, sähkö-, ilmastointi- ja murtovahinkojen torjunta. Lisäksi huomioidaan ovien lukitukset, paloturvakaapit, tietojärjestelmien sähkön saannin varmistaminen sekä henkilöiden, laitteiden ja aineistojen suojaaminen erilaisia tuhoja vastaan. Seuraavassa on lueteltu toimenpiteitä fyysisen turvallisuuden toteuttamiseksi. Tietojenkäsittely-ympäristön kehittäminen ja ylläpito Ilomantsin kunnan tietojenkäsittely-ympäristön muodostavat laitteet, lähiverkko, tietoliikenneyhteydet ja ohjelmat sekä varsinaiset työtiedostot. Kunnan päivittäisessä toiminnassa huolehditaan siitä, että tietojenkäsittely-ympäristön palvelutaso,

13 13 automaatioaste, tehokkuus ja toipumiskyky erilaisista häiriöistä vastaavat jatkuvasti toiminnan tarpeita ja vaatimuksia. Laitetilat ja niiden sijainti Kunnassa varmistutaan siitä, että tärkeät tietojenkäsittely- ja tietoliikennelaitteet (palvelimet, reitittimet, kytkimet) sijoitetaan omaan palo-, murto- ja vesivahingoilta turvassa olevaan tilaansa, jossa niiden riittävän häiriötön toiminta ja tarvittavien tietovälineiden riskitön käsittely on varmistettu. Lisäksi huolehditaan, että laitteet ovat rakenteeltaan käyttötarkoitukseen sekä käyttöolosuhteisiin sopivat. Paloturvallisuus Laitteiden turvallisen sijoituksen lisäksi myös tietovälineitä säilytetään paloturvalliseen säilytykseen tarkoitetussa tietovälinekaapissa. Laitetilojen ulkopuolella syttyneen tulipalon aiheuttaman savun ja noen pääsy esimerkiksi keskusilmastoinnin kautta laitetiloihin ja laitteisiin estetään. Lisäksi huolehditaan riittävästä ja elektronisten laitteiden sammuttamiseen tarkoitetusta alkusammutuskalustosta ja henkilöstön alkusammutuskoulutuksesta. Murto-, varkaus- ja ilkivaltaturvallisuus Laitetilaan asennetaan hälytyksen siirrolla varustettu rikosilmoitinlaitteisto. Hälytys siirretään sellaiseen paikkaan, että kuori-, tila- ja kohdesuojauksen antaman ajan puitteissa voidaan saapua paikalle, ennen kuin vahinkoa on päässyt tapahtumaan. Vesivahinkoturvallisuus Varmistetaan, että tärkeät tietojenkäsittely- ja tietoliikennelaitteet sekä puhelinvaihteet on nostettu riittävän ylös lattiapinnasta, mikäli laitetiloissa on lattialle kertyvän vuoto- tai sammutusveden mahdollisuus. Lisäksi sprinklatuissa tiloissa laitteet sijoitetaan siten, ettei vikalaukeaminen kastele laitteita. Sähköilmiöturvallisuus Tärkeiden laitteiden virransyöttö suojataan ja varmistetaan UPS-laitteilla ja tieto- ja teleliikenneyhteydet varustetaan ylijännitesuojilla varsinkin taajamien ulkopuolella. Maakuntaan yhteinen toimintamalli yhdessä PTTK Oy:n kanssa. Virustorjunta Tietokonevirusten tunnistus- ja torjuntavalmiudesta huolehditaan PTTK Oy:n toimesta riittävän usein päivitetyn virustorjuntaohjelman sekä käyttäjille annettavien toimintaohjeiden avulla. Toimitilaturvallisuus Vähimmäisvaatimukset tilaturvallisuutta lisääville toimille ja järjestelmille määräytyvät turvallisuustarpeiden perusteella, jotka voi kohdistua alueeseen, rakennukseen, tilaryhmään tai tilaan. Usein toimitilojen hallinta ja turvallisuusjärjestelyjen toteutus on kiinteistöhallinnon tai rakennuksen omistajan tehtävä. Ilomantsin kunta nojautuukin em. turvallisuusalueiden toteutuksessa toimipistekohteisiinsa tehtyihin pelastus- ja turvallisuussuunnitelmiin, jotka kyseisten kiinteistöjen hallinnoija tai omistaja on niille tehnyt.

14 14 Taulukko 2. Tilaturvallisuusluokitusmallit Pääosa Ilomantsin kunnan toiminnoista ja säilytettävästä omaisuudesta on sellaista, että niiden suojaus on järjestettävä vähintään turvallisuusvyöhykeluokan 4 toimenpitein. Hallinnollinen osa toiminnoista voidaan sijoittaa vyöhykkeen 3 alle. Konesalit palvelimineen ja tietoliikenteeseen liittyvät verkkotekniset laitetilat sijoittuvat vähintään vyöhykkeelle 2. Tärkeysluokituksen perusteella organisaatiolla on tilaturvallisuuden turvallisuusvyöhykeluokka, joka linjaa vähimmäisvaatimukset koko tilaturvallisuudelle. Turvallisuuskartoituksessa otetaan huomioon tiloissa säilytettävä tieto ja sen luokitus sekä tiloissa tapahtuva toiminta ja niihin kohdistuvat riskit. Turvallisuuskartoituksen perusteella alueille, rakennuksille, tilaryhmille, tiloille ja kohteille voidaan määritellä tästä poikkeava suojausluokka Laitteistoturvallisuus Laitteistoturvallisuudella tarkoitetaan laitteistojen suojausta, asennusta, ylläpitoa ja poistoa sekä niihin liittyvää hallinnointia, jossa määritellään laitteiden omistaja ja turvaluokka sekä laitteiden valvonta ja niiden kapasiteettien suunnittelu. Ylipäätään laitteistoturvallisuudella turvataan laitteiston elinkaarta, johon myös kuuluvat asennuksen, takuun ja ylläpidon lisäksi erilaiset tukipalvelut ja -sopimukset sekä laitteiston turvallinen poisto elinkaaren lopussa. Kunta käyttää laitteiston elinkaareen liittyvissä palvelusopimuksissa palvelun tasoa määritteleviä rajoja ja vasteaikoja, joiden sopimisella voidaan vaikuttaa tietoturvatason ylläpidettävyyteen ja tietoturvapoikkeamiin reagointiin. Palvelusopimusten vasteaikoihin

15 15 tukeutumalla voidaan vähentää varastoitavaa varalaitteistoa, mutta toisaalta riippuvuus toimittajan kyvystä toimia vasteaikojen puitteissa kasvaa Ohjelmistoturvallisuus Ohjelmistoturvallisuudella tarkoitetaan käyttöjärjestelmien, varus- ja työkaluohjelmistojen sekä muiden ohjelmistojen ja sovellusten tunnistamis-, suojausominaisuuksia, valvonta- ja lokimenettelyjä sekä ohjelmistojen ylläpitoon ja päivitykseen liittyviä turvallisuustoimenpiteitä. Ohjelmistojen turvallisuutta ylläpidetään ohjelmistojen käytönaikaisien ja ohjelmiston palvelualustan (käyttöjärjestelmän ja mahdollisten väli- ja apuohjelmistojen) turvaasetusten määrittelyllä sekä käyttäjien koulutuksella ja ohjeistuksella. Ohjelmistoturvallisuutta toteutetaan myös muita teknisiä turvakeinoja käyttämällä. Käyttäjien ja muiden ohjelmien pääsyä ohjelman sisältämään tietoon rajoitetaan tietoverkon eriyttämisellä, parantamalla ohjelmistoympäristön turvallisuutta. mm. turvapäivityksiä ja -ohjelmia asentamalla sekä käyttämällä järjestelmien turvaominaisuuksia Tietoliikenneturvallisuus Tietoliikenneturvallisuuteen sisältyvät mm. tietoliikennelaitteiston kokoonpano, luettelointi, ylläpito ja muutosten valvonta, ongelmatilanteiden kirjaus, käytön valvonta, verkon hallinta, viestinnän salaus ja varmistaminen, merkittävien tietoturvapoikkeamien tarkkailu, kirjaus ja selvittäminen sekä tietoliikenneohjelmien testaus ja hyväksyminen Tietoliikennelaitteiston luettelointi Ilomantsin kunnan käyttämät ja PTTK Oy:n hallinnoimat tietoliikennelaitteet kuvataan laiteluetteloon, johon määritetään laitteiden kokoonpanot ja määritykset sekä ylläpito- ja muutostilanteisiin liittyvät toimenpiteet. Verkon dokumentointia ylläpidetään toimipisteittäin piirretyin loogisin verkkokuvin ja laiteluetteloin Käytön- ja verkonvalvonta Tietoliikennelaitteisiin liittyvät käytön- ja verkonvalvonta toteutetaan erillisellä verkonvalvontajärjestelmällä, jonka piiriin valvottavat kohteet liitetään. Verkonvalvonta toteutetaan PTTK Oy:n taholta käyttäen keskitettyä verkonvalvontajärjestelmää, josta verkon häiriötilanteissa saadaan lähtemään hälytykset sähköpostilla sekä SMStekstiviestein määritellyille vastaanottajille Ongelmatilanteiden kirjaus ja muutoksenvalvonta PTTK Oy:n hallinnoimiin tietoliikennelaitteisiin kohdistuvat ongelmien selvitys- ja määritysmuutospyynnöt välitetään ServiceDesk järjestelmän kautta PTTK Oy:n tietoliikennettä ylläpitävälle henkilöstölle. Samalla pyynnöistä jää järjestelmään

16 16 vikatikettikirjaus sekä ongelman ratkaisukuvaus, joita voidaan hyödyntää samanlaisten ongelmien ratkaisussa jatkossa Tietoturvapoikkeamat tietoliikenteessä Tietoliikennelaitteiden käytöstä ja palomuurin kautta kulkeneesta liikenteestä kirjautuu lokitietoja, joita käytetään ainoastaan tietoturvapoikkeamien selvityksessä (kts. luku 2.2) ja niiden ennaltaehkäisevien toimenpiteiden suunnittelun apuna. Jos poikkeamien selvityksen yhteydessä havaitaan kunnan tietoturvapolitiikkaa vastaan olevia tapahtumia, niistä raportoidaan kunnan tietoturvasta vastaaville osapuolille Käyttöturvallisuus Käyttöturvallisuudella luodaan ja ylläpidetään tietotekniikan turvallisen käytön vaatimat toimintaolosuhteet. Tämä toteutetaan huolehtimalla mm. toimivuuden valvonnasta, käyttöoikeuksien hallinnasta, käytön ja lokien valvonnasta, ohjelmistotukeen, ylläpito-, kehittämis- ja huoltotoimintoihin liittyvistä turvallisuustoimenpiteistä, varmuuskopioinnista sekä häiriöraportoinnista. Järjestelmien käyttöturvallisuuden taso perustuu järjestelmässä olevien tietojen luokitukseen Järjestelmien ylläpito Ammattitaitoinen tietojärjestelmien ylläpito toteuttaa ja parantaa omalta osaltaan tietoturvallisuutta pitämällä järjestelmät ajantasaisena ja tuntemalla niiden normaalin tilan. Näin ehkäistään ennalta poikkeustilanteita ja minimoidaan niiden vaikutuksia. Hyvä ylläpitokäytäntö on selkeästi ohjeistettua ja tehtävät vastuutettu. PTTK Oy:n ylläpitämät järjestelmät, niihin liittyvät menettelytavat ja toimenpiteet dokumentoidaan sekä dokumentaatiota päivitetään tarpeen mukaan. Ulkoistettu ylläpito Ylläpitävän tahon ja järjestelmän omistajan välillä täytyy olla selkeä sopimus siitä, mitkä ovat kummankin vastuut ja minkä tasoisena ylläpitopalvelu toteutetaan. Sopimus sisältää palvelutasoa ja vasteaikoja määrittäviä rajoja. Ulkoistettujen ylläpito- ja etenkin tietoturvapalveluiden sisällön, eri tilanteiden vasteaikojen, eskaloinnin ja toiminnan häiriötilanteissa tai jopa poikkeusoloissa tulee olla tarkasti määriteltyjä. Järjestelmästä vastuusta olevalta ylläpitäjältä edellytetään riittävää koulutusta ja hänen tietonsa järjestelmän osista tulee olla ajan tasalla. Nämä asiat sisällytetään kunnan tekemiin palvelusopimuksiin Etätyön ja -käytön tietoturva Kunnan johdolla on ohjaus- ja seurantavastuu etätyön turvallisesta järjestämisestä. Etätyöstä sovitaan aina kirjallisesti ja sitä varten laaditaan etätyön erityispiirteitä vastaavat tietoturvaohjeet (käyttäjän tietoturvakäsikirja). Työntekijöiden ja johdon valmiudet etätyöhön varmistetaan turvallisuustietoisuuden lisäämisellä, motivoinnilla ja koulutuksella.

17 Tietotekninen valvonta Tietoturvan tietotekninen valvonta koostuu järjestelmien tilan ja käytön seurannasta. Se voi olla reaaliaikaista tarkkailua (esimerkiksi onko tietty palvelu jatkuvasti tavoitettavissa) tai laitteiden ja järjestelmien kirjaamiin tapahtumalokitietoihin perustuvaa poikkeavien tapahtumien havainnointia. Kunnan toiminnassa valvonta toteutetaan tietojen luokituksen ja palvelujen kriittisyyden edellyttämässä laajuudessa PTTK Oy:n toimesta. Esimerkiksi palveluja, joiden jatkuva käytettävyys on luokiteltu kriittisiksi, valvotaan ympäri vuorokauden. Toisia palveluja valvotaan työajalla ja automaattiset hälytykset kutsuvat päivystäjän paikalle tarvittaessa myös työajan ulkopuolella. Erilaisia ohjelmistoja voidaan käyttää tietoturvapoikkeamien havaitsemiseen suuresta käyttötapahtumamassasta. Valvonnan helpottamiseksi valvontajärjestelmät voivat tuottaa tosiaikaista tilannekuvaa koko tietojärjestelmästä ja kerätä tietoa sekä hälyttää hyväksytyt raja-arvot ylittäneistä tapahtumista. Tietoturvapoikkeamien todentamisessa käytetään hyväksi lokitietoja. Lokien kerääminen ja tallentaminen järjestetään niin, että niitä ei päästä muuttamaan tai poistamaan tietomurtojen yhteydessä. Osa lokien sisältämästä tiedosta on säädösten mukaan luottamuksellista ja suojataan valtuuttamattomalta käsittelyltä. Henkilöstön toiminnan valvontaa ja valvontatiedon käsittelyä säädellään lailla. Työntekijöiden teknisen valvonnasta sovitaan henkilöstön kanssa yhteistoimintamenettelyssä. Tekniseen valvontaan liittyen uhkia seurataan. Suomessa Viestintävirasto CERT-FI antamia varoituksia tietoturvauhkista Käyttöoikeuksien hallinta Tietojärjestelmien käyttäjien työrooleihin perustuva käyttöoikeuksien ja -valtuuksien ajantasainen hallinta on tietoturvallisuuden perusedellytyksiä. Toimenpiteiden avulla varmistetaan, että valtuutetut käyttäjät pääsevät käsiksi ainoastaan siihen tietoon, johon heillä on työtehtävien ja niihin liittyvien vastuiden mukaiset pääsyoikeudet. Käyttöoikeuksien määrittely on kunnan organisaatiossa olevien esimiesten vastuulla ja he siis vastaavat alaistensa käyttöoikeuksien oikeellisuudesta eri työtehtävissä Haittaohjelmistoilta suojautuminen Ilomantsin kunnassa käytetään virustorjuntaohjelmistoa suojaamaan työasemia viruksilta, vakoilu- ja muilta haittaohjelmilta. Internet-liikenteen karkeaa suodatusta tehdään palomuurien avulla ja sähköpostisuodatuksessa käytetään PTTK Oy:n hallinnoimaa maakunnallista suodatusjärjestelmää. Työasemien suojaamisesta tehdään erillinen ohjeistus Sosiaalinen hakkerointi Tietojen uteleminen on yleinen tiedustelutapa. Henkilö saattaa esittää puhelimitse joukon merkityksettömiltä tuntuvia kysymyksiä. Kun näitä kysymyksiä tehdään riittävän usealle henkilölle organisaatiossa, välittyy kysyjälle yleiskuva organisaation

18 18 toiminnasta, ja sen heikoista kohdista. Tarkemmat ohjeet sosiaalisen hakkeroinnin ja tietojen utelemisen torjunnasta ovat käyttäjän tietoturvakäsikirjassa. 4. ULKOISTETTUJEN TIETOJENKÄSITTELYTOIMINTOJEN TURVALLISUUS Ulkoistamisen edellytyksenä on kunnan tietoturvavaatimuksista johdettujen menettelyjen ulottaminen ulkoistettujen palvelujen toimittajaan. Vaatimukset ja tavoitteet on sovittava ulkoistamisprosessin alussa ja ne on kirjattava tehtävään palvelusopimukseen. Toimintojen ja palvelujen ulkoistaminen edellyttää organisaation ja toimittajan välisten velvoitteiden jakoa, tehtävämäärittelyä ja suunnitelmaa, jotta haluttu tietoturvallisuuden taso voidaan saavuttaa ja säilyttää koko ulkoistamisprosessin ajan. Kokonaisvastuu toiminnoista säilyy organisaatiolla, vaikka palveluntoimittaja vastaa organisaatiolle tuottamistaan palveluista. Palvelujen yhteydessä on siis niiden sisällöstä riippuen tarkistettava tietoturvatarpeet ja laadittava tarvittaessa salassapito- tai turvallisuussopimus. 5. TIETOTURVATOIMENPITEET HANKINTOJEN YHTEYDESSÄ Palvelukokonaisuuden, tietoteknisen laitteen tai tietojärjestelmän hankintaan liittyy tuotteen tietoturvavaatimusten määrittely ja tietoturvaominaisuuksien arviointi. Keskeiset vaatimukset määritellään ja esitetään selkeästi jo tarjouspyyntövaiheessa ja tietoturvatekijät sisällytetään tarjouksen vertailu- ja valintaperusteisiin. Tietoturvavaatimusten toteutuminen voi olla hankinnan ehdoton edellytys. Hankintojen yhteydessä tarkasteltavia tekijöitä ovat: - turvallisuusvaatimukset palveluille - järjestelmähallinta, ohjelmistojen tarjoamat turvallisuusominaisuudet ja valvontamenettelyt, eheys, luottamuksellisuus, käytettävyys, todennus ja kiistämättömyys - riittävän yhtenäisen, korvaavan laitekannan ja käyttöjärjestelmien yhteensopivuuden luominen - palvelu-, huolto-, laite- ja ohjelmistotoimittajien osaaminen ja voimavarat - nopean huollon ja varaosapalvelujen varmistaminen - varalaitteiden saatavuuden varmistaminen sopimuksissa. - Merkittävien järjestelmähankintojen yhteydessä varmistetaan laite-, ohjelmisto- ja tukipalveluyrityksen mahdollisuudet toimituksiin myös poikkeusoloissa Järjestelmäkehityksen turvallisuus Tietojärjestelmähankkeiden yhteydessä varmistetaan tietoturvan sisällyttäminen hankkeeseen ja uuteen tietojärjestelmään. Tietoturva liittyy tietojärjestelmän muutoksiin ja kehittymiseen tietojärjestelmän koko elinkaaren ajan. Myös järjestelmän teknisten ja hallinnollisten rajapintojen turvallisuus varmistetaan. Hankkeen alussa tehtävällä riskien arvioinnilla suunnataan tietoturvatoimenpiteet kehitystyön kohteena olevan järjestelmän luonteen mukaisesti. Tietojärjestelmän

19 19 esitutkimusvaiheessa määritellään tärkeysluokitus, turvallisuustarpeet ja -taso sekä asetetaan tietoturvavaatimukset. Tietojärjestelmän testaus suunnitellaan sekä hallinnolliselta että tekniseltä kannalta. Testit voivat kohdistua joko kertaluonteisesti osaan tai koko järjestelmään tai säännöllisesti tuotantoympäristöön, jolloin voidaan testata vähitellen järjestelmässä tapahtuvia pieniäkin muutoksia. Hallinnollisia tietoturvatarkastuksia ovat erilaiset vaatimusmäärittely- ja suunnitelmakatselmoinnit sekä ratkaisujen varmentamiset tietoturva-asiantuntijoita käyttäen. Teknisiä tarkastuksia ovat katselmoinnit erityisesti ohjelmistojen tai järjestelmien kriittisiin toimintoihin liittyen. 6. TIETOTURVAN SEURANTA, VALVONTA, TARKASTUS JA TESTAUS Kunnan tietoturvasta vastaavan henkilön tehtävänä on vuosittain koostaa tiedot toteutuneista tietoturvatoimista ja tietoturvan muutoksista sekä niiden perusteella esitellä kunnan johdolle kuvaus tietoturvan tilasta. Seurannalla pyritään selvittämään ja mittaamaan, missä määrin tietoturvatoimilla saavutetaan haluttu vaikutus. Tietoturvaongelmista (esimerkiksi hyökkäysepäilyt) tulee ilmoittaa välittömästi esimiehelle ja kunnan tietoturvavastaavalle. Merkittävistä tietoturvarikkomuksista ja niiden epäilyistä tulee tietoturvavastaavan raportoida ylimmälle johdolle. Seurannan organisointivaatimusten vuoksi luodaan selkeä vastuuttaminen myös toimintayksiköiden pääkäyttäjätasoisten vastuuhenkilöiden osalta. Lisäksi koordinoinnin ja seurannan kannalta järjestetään toimialojen tietoturvavastuuhenkilöiden raportointi kunnan tietoturvavastaavalle. Tietoturvan seuraamiseksi luodaan valvontamenettelyt ja raportointitapa olennaisten tapahtumien sekä tietoturvatason ja valmiuksien raportoimiseksi aina ylimmälle johdolle asti. Tietoturvan toteutumisen tarkastusta ja testausta tehdään luvussa 2.1 mainituin toimenpitein vähintään kerran vuodessa tai aina kun siihen havaitaan erityistä tarvetta. Havaittaessa vakava tietoturvaongelma, siitä laitetaan välittömästi tieto kunnan ICTtyöryhmälle, johdolle sekä asiakkaille. Näiden kaltaisiin tapahtumiin varaudutaan varautumissuunnitelmassa, jossa on kuvattu mm. käynnistettävät vastatoimenpiteet. 7. TIETOTURVAKOULUTUS Tietoturvakoulutus sisällytetään henkilökunnan muuhun koulutukseen ja järjestelmien käyttöönottokoulutuksiin. Tämän lisäksi järjestetään erityiskoulutusta pääkäyttäjille ja vastuullisille rekisterinhoitajille, erityisesti muutostilanteissa. Kunnassa kootaan verkkolevylle tietoturvan eri osa-alueisiin liittyviä ohjeistuksia ja suunnitelmia, jotka ovat aina kunnan henkilökunnan tarkasteltavissa. Henkilökunnalle tehdään lisäksi pääsääntöiset ohjeistukset sisältävä loppukäyttäjän käsikirja ja uusien henkilöiden perehdyttämiseen liittyvä tietoturvapaketti, joka sisältää kunnassa

20 20 noudatettavat keskeisimmät periaatteet ja käytännöt. Henkilökunnan tietoturvaosaaminen varmistetaan sähköisen koulutusympäristön avulla (Granite). 8. TIETOTURVAN KEHITTÄMINEN Tietoturvan kehittäminen on jatkuva prosessi, joka alkaa kunnan tietoturvariskien arvioinnilla. Riskien kartoituksen jälkeen mietitään nykyisen varautumisen riittävyyttä. Jo tehdyt ja tulevaisuudessa toteutettavat toimenpiteet kirjataan tietoturvasuunnitelmaa päivitettäessä. Suunnitelma kattaa kaikki ne järjestelmälliset toimenpiteet, joiden avulla kunta varautuu tietoturvariskien toteutumiseen. Tavoitteena on toiminnan kehittäminen entistä tietoturvallisemmaksi. Koska olosuhteet muuttuvat jatkuvasti, myös tietoturvan kehittäminen on jatkuvaa ja järjestelmällistä riskien ja nykyisten varautumistoimenpiteiden riittävyyden arviointia. Tietoturvallisessakin ympäristössä voidaan havaita uusi äkillinen uhka, joka edellyttää välittömiä toimenpiteitä. Uudet tietoturvauhkat sekä niiden myötä kunnan tietoturvakäytäntöihin tehtävät muutokset kirjataan tietoturvasuunnitelmaan päivityksen yhteydessä. Kunnan tietoturvan kehittämisen tulee tapahtua suunnitelmallisesti. Kehittäminen voi edetä esimerkiksi seuraavan prosessin mukaisesti: Kuva 1. Toiminnan kehittämisprosessi. Päivittäisen toiminnan kehittämisen tavoitteena on ottaa tietoturva huomioon kunnan kaikessa toiminnassa. Ensisijaisesti pyritään estämään inhimillisestä toiminnasta aiheutuvia tietoturvavahinkoja parantamalla jokapäiväisen toiminnan tietoturvallisuutta kehittämällä jatkuvasti omia toimintatapoja ohjeiden, ohjauksen ja koulutuksen avulla. Tyypillisiä päivittäiseen toimintaan liittyviä riskejä ovat erilaiset poikkeustilanteet, kuten loma-ajat ja sijaisjärjestelyt. Ongelmia saattavat aiheuttaa myös esimerkiksi tietämättömyys tietojen varmuuskopiointiin tai tilojen suojaamiseen liittyvistä asioista, tietojen lähettäminen tai luovuttaminen väärille henkilöille, puutteellisesta ohjeistuksesta tai koulutuksesta aiheutuvat tiedon menetykset ja aineelliset vahingot. Arvioitavia asioita voivat olla esimerkiksi: Huolehditaanko loma ym. sijaisten ja ulkopuolisten työntekijöiden perehdyttämisestä?

21 21 Tiedotetaanko tietoturvallisuuteen liittyvistä muutoksista aina henkilöstölle ja kaikille sidosryhmille? Tuntevatko työntekijät omat vastuunsa ja velvoitteensa tietoturvaan liittyvissä asioissa? Onko tietoturvakoulutuksesta ja -ohjeistuksesta huolehdittu? Kehen otetaan yhteyttä tietoturvaan liittyvissä asioissa? Kuka vastaa tietoturvan kehittämisestä? 9. SUUNNITELMAN PÄIVITYS JA TOIMENPITEIDEN YLLÄPITO Suunnitelmaa tarkastellaan ja päivitetään vähintään kerran kahdessa vuodessa tai tarpeen mukaan. Päivitetty versio käsitellään kunnanhallituksessa. Pääsääntöisesti suunnitelmia ylläpitää kunnan tietoturvavastaava PTTK Oy:n avustamana. Tietoturvasuunnitelmaan liittyvillä ohjeistuksilla viedään suunnitellut toimenpiteet käytännön asteelle ja näitä ohjeistuksia voidaan päivittää aina tarvittaessa ilman kuntahallinnon käsittelyä. Ohjeistuksien muutokset voidaan laittaa kuitenkin tiedoksi, joko kuntajohdon kokouksien yhteyteen tai esim. sähköpostilla. 10. RAPORTOINTI JOHDOLLE Olennaisiin tietoturvadokumentteihin tulevat muutokset hyväksytetään aina kunnan johdolla, jotta johto pysyy ajan tasalla tietoturvaan liittyvistä muutoksista. Kunnan tietoturvavastaavan tehtävänä on vuosittain koostaa tiedot toteutuneista tietoturvatoimista ja tietoturvan muutoksista sekä niiden perusteella esitellä johdolle kuvaus tietoturvan tilasta ja lähiaikoina toteutettavista kehitystoimenpiteistä.