LAUSUNTO. Päiväys/Datum/Date Dnro/Dnr/Ind.no. Liikenteen turvallisuusviraston lausunto ICT-varautumisen vaatimuksista

Transkriptio

1 LAUSUNTO Päiväys/Datum/Date Dnro/Dnr/Ind.no. Trafi/22300/ /2011 Valtiovarainministeriö Viite/Referens/Ref VM/1814/ /2011 Mikael Kiviniemi, Aku Hilve Liikenteen turvallisuusviraston lausunto ICT-varautumisen vaatimuksista Valtiovarainministeriön pyynnöstä Liikenteen turvallisuusvirasto (jatkossa Trafi) lausuu asiassa seuraavaa: 1a) Yleistä luonnoksen versiosta 0.9 Dokumentti vaikuttaa kattavalta ja tarjoaa monilta osin käyvän tuen jatkuvuuden hallinnan kehittämiselle. Sisältö vaikuttaa korostavan Trafin jatkuvuuden hallinnan projektin osaltakin huomioitua kokonaisvaltaista katsontakantaa liiketoiminnan jatkuvuuden hallintaan, mukaan lukien sen rajapinnat valmiussuunnitteluun ja poikkeusolosuhteiden edellyttämiin toimenpiteisiin. Luonnokseen sisältyy kuitenkin myös ristiriitaisia elementtejä. Siinä käytetään runsaasti erilaisia ja käytännössä varmasti miltei kaikkia alaan liittyviä - termejä, joiden keskinäisiä suhteita ei määritellä laisinkaan. Esimerkiksi juuri valmiussuunnittelun suhdetta jatkuvuudenhallintaan ei määritellä. Samoin riskienhallinnan ja jatkuvuuden hallinnan rajapinta jää määrittämättä. Koska käsitteet ovat osin samansisältöisiä, saattaa tämä johtaa lukijaa harhaan tai aikaansaada kaksinkertaista työtä organisaatiossa. Tarkastelumme perusteella vaikuttaa epätarkoituksenmukaiselle, että jostakin syystä luonnoksessa ei vaikuteta juurikaan olevan hyödynnetty aiemmissa valtionhallinnon ICT-varautumista tai huoltovarmuuden kautta jatkuvuutta tarkastelevissa dokumenteissa tehtyjä, varsin selkeitä käsitemäärittelyjä. Esimerkkejä tällaisista dokumenteista ovat mm.: Valtionhallinnon ICT-varautuminen Jatkuvuuden hallinta ja tiedon turvaaminen: toteutusvaatimukset ( versio 2.0) Huoltovarmuuskeskuksen tuottamat Huovi-ohjeistukset Huoltovarmuuskeskuksen ohje valmiussuunnitelman laatimisesta (versio _yleinen) Seuraavassa on katkelma Huoltovarmuuskeskuksen 2009 ohjeesta valmiussuunnitelman laatimisesta. Dokumentti tuo esiin olennaisimpien käsitteiden keskinäiset suhteet havainnollistavalla tavalla. Valmiussuunnittelun avulla pyritään varmistamaan yrityksen toimintakyky normaaliolojen häiriö- ja erityistilanteissa sekä poikkeusoloissa. Valmiussuunnittelu ja jatkuvuussuunnittelu ovat tavoitteistaan johtuen käytännössä sama asia. Valmiussuunnittelu on lainsäädännön ja viranomaisten käyttämä termi hallinnon ja

2 sen virastojen, liikelaitosten ja yhtiöiden varautumisesta ja jatkuvuussuunnittelu yritysten toimintaa. Valmiussuunnittelu eroaa merkittävimmin jatkuvuussuunnittelusta siinä, että se sisältää varautumisen kaikkein vakavimpiin olosuhteisiin kuten sodanuhka ja sota. Valmiussuunnittelu jatkuu siitä, mihin jatkuvuussuunnittelu päättyy, kohti yhä vaikeampia turvallisuustilanteita. 2/10 Käsitteiden sisällöstä saattaa olla näkemyseroja riippuen organisaatiosta ja taustana olevasta vaatimuksesta/ohjeistuksesta/standardista, mutta tärkeintä on se, että niiden sisältö on vahvistettu ja niiden käyttö konsistenttia. Tämänkaltainen perusteellinen käsitteiden määrittely tukee yhteisen ymmärryksen muodostumista ja ennaltaehkäisee epätarkoituksenmukaista osaoptimointia ja päällekkäistä kehitystyötä. Toisena kriittisenä havaintona on luonnoksen perustuminen jatkuvuuden hallintaa ja tietoturvaa koskevien yleismaailmallisten standardien kuten ISO 27001, ISO 22301, BS25999 sijasta laatujohtamisen malleihin EFQM ja CAF. Esimerkiksi yllä kuvattu valtiohallinnon ICT-varautumisen vaatimukset vuodelta 2009 vaikuttaa nojaavan nimenomaan ISO- ja BS-standardeihin niin käsitemäärittelyn kuin menetelmällisen perustansa puolesta. Tällä tavoin sen osalta on varmistettu yhdenmukaisuus myös kansainvälisten sidosryhmien käyttämiin malleihin ja käsitteisiin.

3 3/10 1b) Vaatimuskortit Alla on kommentteja koskien yksittäisiä vaatimuskortteja. Osa-alue Määritelmä Kommentit STRATEGINEN OHJAUS 1.1: Organisaatiolla on tiedossa toimintaansa ja palveluihinsa liittyvä ICT-varautumista ohjaava lainsäädäntö ja muut normit ja nämä on huomioitu varautumisen linjauksissa ja toiminnassa Organisaatiolla on menettely ICT-varautumisen vaatimusten tunnistamiseksi ja näiden muutosten viemiseksi toiminnan suunnitteluun. Lainsäädäntö ja normit määrittelevät minimitason ICT-varautumisen ja jatkuvuuden hallinnan toteuttamiselle, jonka lisäksi on huomioitava organisaation toiminnan erityispiirteiden asettamat vaatimukset. Varautumiseen liittyvän vaatimuskokonaisuuden (ml. pakottavat ja suosittavat vaatimukset) seuranta ja siinä tapahtuvien muutosten kanavointi tietoturvan ja jatkuvuuden hallintaan on olennaista vastuuttaa tarkoituksenmukaiselle taholle. STRATEGINEN OHJAUS 1.2: ICT-varautumisen linjaukset on määritetty toiminnan asettamien vaatimusten perusteella. Pohjana toiminnan vaikuttavuusanalyysi (Business Impact Analysis) Linjaukset, tavoitteet ja resurssit ICT-varautumiselle tarkistetaan toiminnan suunnittelun vuosikellon mukaisesti. ORGANISOINTI 1.3: Häiriötilanteiden hallinta on linjattu, organisoitu ja huomioitu ohjausmalleissa Organisaation johto varmistaa, että toiminta- ja johtamismallit sekä toipumissuunnitelmat riskiarvioidenperusteella todennäköisimmistä häiriötilanteista palautumiseen on määritetty : Jatkuvuussuunnitelmassa on esim. tapahtumamallien kautta kuvattuina tarvittavat toipumisjärjestelyt ja niiden johtaminen. Toipuminen sovitaan palvelukohtaisesti järjestelmän käyttöpalveluntoimittajan kanssa. Käytännössä tämän linjauksen ilmaiseminen tapahtuu jatkuvuuden hallinnan politiikassa ja hallintomalliasiakirjassa Häiriötilanteiden yhtenäinen

4 4/10 perusohjeistus on koulutettu ja ulotettu sopimusvelvoittein palveluverkostoon. Jatkuvuussuunnittelu tulee ulottaa myös kolmansien osapuolien ylläpitämiin järjestelmiin. ORGANISOINTI 1.4: ICT-varautuminen on organisoitu ja vastuutettu osaksi normaalia johtamista, toimintaa sekä kumppanuusverkoston hallintaa Organisaation johto on määritellyt organisaation tehtävien, palvelujen ja resurssien käytön priorisoinnin häiriötilanteissa. Tapa toteuttaa tämä kuvataan hallintomallissa. Tehtävien, palvelujen ja resurssien käytön priorisoinnin perustuminen realistisiin oletuksiin ei ole mahdollista ilman perusteellista liiketoiminnan vaikuttavuusanalyysia (BIA). ORGANISOINTI 1.5: Varautumiselle ja jatkuvuuden hallinnalle on asetettu tavoitteisiin nähden riittävät resurssit ICT-varautumisen resursointi häiriötilanteita ja poikkeusoloja varten on huomioitu viraston budjetissa sekä toiminta- ja taloussuunnittelussa. Muun muassa riittävät henkilöresurssit huomioitava jatkuvuussuunnitelmia laadittaessa. Tarvittavat hankinnat ym. lisäkustannukset huomioitava budjetissa. YHTEISTYÖ, VIESTINTÄ JA RAPORTOINTI 1.6: Varautumisen ja jatkuvuuden hallinnan suunnittelu toteutetaan ydin- ja tukitoimintojen yhteistyönä Ydintoimintojen palvelujen hallinta häiriö- ja erityistilanteiden varalta suunnitellaan yhdessä tukitoimintojen, keskeisten sidosryhmien ja palveluntuottajien kanssa. Tässä kohdassa tärkeä huomio: jatkuvuudenhallinta on toteutettava niin, että kaikki tarvittavat ydin- ja tukitoiminnot ovat mukana. Ei riitä, että yksittäisessä ydinpalvelun osassa on varauduttu jatkuvuusuhkiin. Lisäksi ulkopuoliset palveluntuottajat on otettava mukaan varautumiseen. Esimerkkejä vaatimusten soveltamisen tueksi: Keskeisten tukitoimintojen, kuten tietohallinnon, henkilöstöhallinnon ja kiinteistöhuollon edustajat osallistuvat myös organisaation jatkuvuussuunnitteluun. Toimialan henkilöstö osallistuu jatkuvuuden hallinnan käsittelyyn osa-alueensa näkökulmasta. Palveluntuottajien kanssa koordinoidaan vuosittain heidän tilanteensa ja se, miten he

5 5/10 toteuttavat turvallisuussopimuksen mukaista jatkuvuudenhallintaa. YHTEISTYÖ, VIESTINTÄ JA RAPORTOINTI 1.7: Organisaation johto seuraa varautumisen kehittämistä ja jatkuvuussuunnittelua sekä näihin liittyvien toimenpiteiden vaikutuksia ja kustannuksia Organisaation johdolle raportoidaan toimintaympäristön muutosten vaikutuksesta sekä varautumiseen ja häiriötilanteiden hallintaan liittyvistä kehittämistarpeista ja - toimenpiteistä. Huomiona, että jatkuvuuden hallinta kuuluu myös organisaation johdolle niin kuin tässä sanotaan. Jatkuvuuden hallintaa ei voida menestyksellisesti toteuttaa ilman johdon sitoutumista. STRATEGIAT JA SUUNNITTELU: SUUNNITTELU RISKIENHALLINNAN AVULLA 2.1: Organisaation ja toimintaympäristön vuorovaikutus otetaan toiminnassa huomioon. Perustaso Yhteiskunnan turvallisuusstrategian uhkamallien mukaisten häiriöiden vaikutus tärkeimpiin palveluihin ja tietojen käsittelyyn on tunnistettu ja arvioitu. Turvallisuusstrategian uhkamallit huomioitava projektin aikana (osana riskianalyysin päivitystä ja jatkuvuussuunnitelmien laadintaa). (Tässäkin kohdassa puhutaan palveluista -> palvelunäkökulma otettava huomioon kun määritellään jatkuvuussuunnitelmia) Organisaation toiminnan kannalta keskeisistä toimintaympäristöistä sekä niihin liittyvistä palveluista, järjestelmistä ja toimijoista on ajantasainen dokumentaatio Organisaation johto käsittelee ja arvioi ydintoimintojen ICTriippuvuuksia vähintään kerran vuodessa. STRATEGIAT JA SUUNNITTELU: SUUNNITTELU RISKIENHALLINNAN AVULLA 2.2: Riskienhallinnan tulokset ohjaavat varautumisen kehittämistä Riskienhallinnan tulosten ja toimenpiteiden vaikuttavuusarvioinnin tuloksena määritetään ja dokumentoidaan Mitä tarkoittaa riskienhallinnan tulokset? Pitäisikö olla riskianalyysin tulokset? Näin ilmeisesti on ja riskienhallinnalla tarkoitettaneen riskienhallintaprosessin tuloksia. Toimenpiteiden vaikuttavuusarvioinnin käytännön toteutus jää auki.

6 6/10 ICT-varautumisen, jatkuvuuden hallinnan ja tiedon turvaamisen toteutustavat häiriötilanteiden ja poikkeusolojen varalle. STRATEGIAT JA SUUNNITTELU: SUUNNITTELU RISKIENHALLINNAN AVULLA 2.3: Varautumistoimenpiteet tukevat organisaation ydintoiminnan tavoitteita. Perustaso Ydintoimintojen ja -prosessien suojattavat palvelut ja järjestelmät on tunnistettu ja sijoitettu perus-, korotetulle tai korkealle tasolle ydintoimintojen tai -prosessien vaatimusten mukaisesti. Hyvä huomio; varautumistoimenpiteet tulee suunnitella ydintoiminnan/ ydinprosessien/ ydinpalveluiden tavoitteiden näkökulmasta, ei yksittäisen tukifunktion/tukipalvelun näkökulmasta. Kriittiset palvelut tulee määritellä projektin aikana Organisaatio kykenee priorisoimaan kriittiset palvelut häiriötilanteissa muiden palveluiden edelle. STRATEGIAT JA SUUNNITTELU: SUUNNITTELU RISKIENHALLINNAN AVULLA 2.4: Häiriötilanteiden hallinnan ja poikkeusolojen menettelyt on dokumentoitu, koulutettu ja harjoiteltu Kriittisimmille palveluille on laadittu järjestelmäkohtaiset ohjeet ja avainhenkilöille on koulutettu toiminta keskeisimmissä häiriötilanteissa. Eteneminen kriittisiksi arvioiduista palveluista prosessien kautta tietopääomaan ja järjestelmiin. Palvelu-fokus tulee huomioida jatkuvuussuunnittelussa myös käsitteenä. Korotetulla tasolla kriittisten palveluiden joukko on supistettu kriittisimpien palveluiden osajoukoksi. Osajoukko varmasti edellyttää määrittelemistä, ellei sen käytöstä luovuta. HENKILÖSTÖ: OSAAMISEN JA TIETOISUUDEN KEHITTÄMINEN 3.2: Organisaatio kannustaa henkilöstöä noudattamaan ja kehittämään hyvää jatkuvuuden hallinnan ja tiedon turvaamisen toimintamallia Henkilöstö osallistuu häiriö- ja erityistilanteiden vaikutuksien arviointiin ja hallintakeinojen kehittämiseen. Kannustaminen lähtee ylimmästä johdosta -> politiikka ja viestintä. Huomioitavaa: Keskeisimmät henkilöt ydinpalveluista otettava mukaan suunnitteluun, ei ainoastaan tukitoimintojen henkilöstöä. Kokonaiskuvan varmistamiseksi tulee varmistaa harjoituksen heterogeeninen kokoonpano. HENKILÖSTÖ: OSAAMISEN JA TIETOISUUDEN 3.4: Avainroolit ja -henkilöt on tunnistettu ja varajärjestelyt on suunniteltu. Ydinpalveluiden avainhenkilöt on jatkuvuuden näkökulmasta määritettävä (sikäli kuin se on kevään aikana mahdollista - ei

7 7/10 KEHITTÄMINEN Perustaso Avaintehtävät on tunnistettu ja niihin on nimetty varahenkilö tai henkilöt Kriittisistä tehtävistä vastuulliset avainhenkilöt on koulutettu toimimaan häiriötilanteissa. välttämättä kokonaisuudessaan tämän projektin osana, koska pääpaino tulee olemaan tietohallinnolla/-järjestelmillä, mutta lopullisessajatkuvuussuunnitelmassa se on välttämätöntä) Kriittisten tehtävien suorittamiseksi on suunniteltu ja valmisteltu erityistilanteiden vaihtoehtoiset toimintatavat ja henkilöstön varajärjestelyt Avainhenkilöstö harjoittelee säännöllisesti ylläpitämään kriittisiä toimintoja erityistilanteissa. KUMPPANUUDET JA RESURSSIT: SOPIMUSTEN HALLINTA 4.1: Organisaation toiminnalle välttämättömät kumppanit, alihankkijat ja resurssit on tunnistettu Palveluverkosto on tärkeimmiltä osiltaan kuvattu ja jatkuvuudenhallinnan toimintaperiaatteet on sovittu ja koulutettu. Huomioitavaa: riippuvuus ulkopuolisista toimijoista on selvitettävä kunkin ydinpalvelun osalta ja määriteltävä tarvittavat toimenpiteet Ydintoiminnan ja sen jatkuvuuden edellyttämien verkoston palvelujen ja muiden resurssien saatavuus häiriötilanteissa ja poikkeusoloissa on selvitetty. KUMPPANUUDET JA RESURSSIT: SOPIMUSTEN HALLINTA 4.2: Sopimuksissa on vaatimukset toiminnan varautumiselle, jatkuvuuden hallinnalle ja tiedon turvaamiselle sekä niiden toteuttamiselle Sopimusosapuolten kanssa tarkastellaan sopimuksen toteutumista ja jatkuvuudenhallinnan tarpeita vuosittain. Huomioitavaa, että voimassa olevat sopimukset on hyvä käydä läpi ja pyrkiä tekemään tarvittavat lisäykset/muutokset niihin. Uusissa sopimuksissa pakottavasti huomioitava jatkuvuuden hallinta. Jatkuvuuden hallinta on aiheellista ottaa sopimusryhmän agendalle vähintään kerran vuodessa.

8 8/10 KUMPPANUUDET JA RESURSSIT: VARMISTAMINEN ERITYISTILANTEISSA 4.3: Kriittisen toiminnan jatkuvuuden ja tiedon turvaamisen hallintavelvoite on ulotettu keskeiseen toimittajaverkostoon Tärkeimpien palvelujen tuotanto ja ylläpito kyetään priorisoimaan palveluverkostossa ICT-järjestelmien valvonnan, hallinnan ja ylläpitämisen yhteistoimintamallit keskeisessä toimittajaverkostossa on organisoitu ja sovittu. Tärkeää asiaa. Olisiko hyvä jossain määritellä mitä on kriittinen toiminta, ydintoiminnot, tärkeimmät palvelut ym.? Nyt näitä kaikkia käytetään ehkä hieman sekaisin. Mitä pikemmin käsitemäärittely tehdään, sitä helpompaa jatkuvuuden hallinnasta on organisaatioon viestiä. Ulkoistettujen palveluiden kohdalla priorisointi saattaa edellyttää sopimusmuutoksia. ICT-JATKUVUUDEN HALLINTA: ICT- PALVELUJEN TURVAAMINEN 5.2: Ydintoimintojen palvelutuotanto on varmistettu ja ydintoiminnoilla on varamenettelyt Ydintoimintojen palvelutuotannon ja hallinnan prosesseissa on sovittu, ohjeistettu ja koulutettu häiriötilanteiden hallinta sekä varamenettelyt Keskeisten palvelujen varavoimansaanti häiriötilanteissa on toteutettu. ks. edellinen kohta Varautumisen käytännön taso määritetään vaikuttavuusanalyysin avulla määritettyjen ja johdon vahvistamien RTO (Recovery Time Objective) ja RPO (Recovery Point Objective) -parametrien perusteella. Koulutustarve edellyttää Trafin henkilöiden ohella toimittajien asiantuntijoiden kouluttamista. Tämä pitää ottaa huomioon sopimuksissa. ICT-JATKUVUUDEN HALLINTA: ICT- PALVELUJEN TURVAAMINEN 5.3: Kriittisten toimintojen tarvitsemat tiedot on turvattu häiriötilanteissa Tietoaineistojen käyttö häiriötilanteissa on suunniteltu, dokumentoitu, toteutettu ja testattu Organisaatiossa otetaan kriittisistä järjestelmistä varmistusten lisäksi suojakopioita, joita säilytetään toisessa rakennuksessa eri palotilassa kun varsinaisia tietoja. Kriittisten järjestelmien/tietojen suojakopiot huomioitava suunnitelmia tehdessä. Asettaa velvoitteen erityisten suojakopioiden tekemiseen varmistusten rinnalle. Säilytyspaikan suhteen on asetettu vaatimus suojakopioiden säilyttämisestä toisessa rakennuksessa eri palotilassa,kun yleensä vaatimus on muotoa eri palotilassa. Tämä korostaa myös kuljetusjärjestelyjen turvatasovaatimusta. Nämä kaikki tulee ottaa huomioon uusissa/uusittavissa sopimuksissa. ICT-JATKUVUUDEN HALLINTA: TIEDON TURVAAMINEN 5.4: Uhkien realisoituminen estetään käyttämällä fyysisen turvallisuuden menetelmiä ICT- Tietohallinnon palvelujen hoitaminen muista tiloista käsin huomioitava suunnitelmissa.

9 9/10 ympäristön suojaamiseen Organisaatiolla on testattu suunnitelma ICT-palvelujen tuotannon siirtämisestä toisiin tiloihin mikäli nykyiset tilat muuttuvat käyttökelvottomiksi. Vasta testattuun suunnitelmaan voidaan luottaa jatkuvuuden hallintakeinona. Käytännössä ICT-palveluja koskeva varatilavaatimus koskee paitsi Trafia myös sen toimittajia. Tämä pitää ottaa huomioon sopimuksissa, jolloin pitää määritellä myös varatiloihin liittyvät vaatimukset. Periaatteessa varatilat voivat olla toimittajakohtaisia tai Trafi-tasoisia. ICT-JATKUVUUDEN HALLINTA: HÄIRIÖTILANTEIDEN HALLINTA 5.5: Tiedonsiirron toimivuudesta huolehditaan palvelujen kriittisyysluokittelun edellyttämällä tavalla Tietoliikennelaitteiden, - yhteyksien ja kytkentäpisteiden sijainti on otettu huomioon suojausluokittelussa Valtionhallinnon keskeisimmät palvelut tukeutuvat VY-verkon ratkaisuihin Organisaatio on yhdessä palveluntoimittajan kanssa analysoinut, suunnitellut ja sopinut tietoliikennepalvelujen priorisoinnin ja muutokset häiriötilanteissa. Tässäkin huomioitava, että puhutaan palveluiden kriittisyysluokittelusta. Jatkuvuuden hallinnan kannalta tärkeää muistaa palveluiden aikakriittisyys ts. kaikki mikä on tärkeää, ei välttämättä ole automaattisesti kriittistä. Kriittisimpiä palveluntoimittajia tulisi osallistaa jatkuvuussuunnitelmien laadintaan ja testaukseen. Tässä korostetaan yhdessä tekemistä mikä on positiivinen ja käytännönläheinen poikkeama VIP:n Excelin vaatimuksiin; molempia sopijapuolia tarvitaan! ICT-JATKUVUUDEN HALLINTA: HÄIRIÖTILANTEIDEN HALLINTA 5.6: Tietojärjestelmien häiriöihin on varauduttu nopean palautumisen varmistamiseksi Organisaatiolla on tärkeimmistä järjestelmistä kirjalliset toipumissuunnitelmat Kriittisten palvelujen verkko-, palvelin- ja laiteympäristöt varmennetaan esimerkiksi kahdentamalla. ks. edellinen kohta Ilman kirjallista toipumissuunnitelmaa ja sitä tukevaa yksityiskohtaista järjestelmädokumentaatiota järjestelmien palauttaminen on joko mahdotonta tai jää parhaimmillaankin yhden tai kahden henkilöresurssin ja näiden hiljaisen tiedon varaan. Kriittisten palveluiden ryhmän mahdollisissa muutostilanteissa tulee huomioida kahdennusvaatimus.

10 10/10 Risto Knuuti Johtava asiantuntia, riskienhallinta Tietohallinto