Varautumisen ohjeistus. Veli-Pekka Kuparinen valmiuspäällikkö

Transkriptio

1 Varautumisen ohjeistus Veli-Pekka Kuparinen valmiuspäällikkö

2 Varautumisen ohjeistus Lait ja asetukset LVM:n valmiusohjeet Viestintäviraston määräykset Viestintäviraston tietoturvaohjeistus PTS:n ja HVK:n julkaisut VAHTI-ohjeistus Varautumisen työvälineitä

3 Käsitteitä ja määritelmiä Varautuminen (contingency planning) = toiminta, jonka tarkoituksena on luoda ja ylläpitää organisaation riittävä valmius normaaliolojen häiriötilanteiden ja poikkeusolojen varalta Varautuminen käsittää suunnittelun sekä tarvittavat etukäteisvalmistelut. (VAHTI 4/2003 Valtionhallinnon tietoturvakäsitteistö ) etukäteisvalmisteluihin kuuluu esimerkiksi materiaalihankinnat henkilöstön varaaminen henkilöstön kouluttaminen

4 Käsitteitä ja määritelmiä Valmiussuunnitelma (preparedness plan) = poikkeusolojen varalta tehtävä varautumissuunnitelman osa Valmiussuunnitelmassa määritellään mm. tietojenkäsittelyn toimivuusvaatimukset eri tasoilla vahinkotilanteessa, palvelujen hallitun supistamisen vaiheet sekä toipumistoimenpiteet normaalioloihin palaamiseksi. (VAHTI 4/2003 Valtionhallinnon tietoturvakäsitteistö )

5 Varautumisohjeiston rakenne Normaaliolot Tavoite: Poikkeamien estäminen Normaaliolojen häiriötilanteet Tavoite: Ajan voittaminen Poikkeusolot Tavoite: Toimintakyvyn varmistaminen Toimintaohjeet Työmenetelmät Erilaiset politiikat Turvaohjeet Suojeluohjeet Turvallisuussuunnitelmat Toipuminen Häiriötilanteiden toimintaohjeet Tuotannon toipumissuunnitelma Järjestelmäkohtaiset palautumisohjeet Normaaliolojen ohjeistus luo pohjan poikkeustilanteiden hallintaa varten Poikkeusolo-ohjeet Valmiussuunnitelma Tuotannontekijöiden saatavuuden varmistamisjärjestelyt Johtamisjärjestelmän kuvaus Tuotannollinen yhteistyö (PTS/TSY/TIVA) Viranomaisyhteistyö lähde: Kari Wirman Ficom ry

6 Tärkeimmät säädösperusteet Valmiuslaki (1080/1991) Viestintämarkkinalaki (393/2003) Pelastuslaki (468/2003) Sähköisen viestinnän tietosuojalaki (516/2004) Valtioneuvoston asetus viestintämarkkinoihin liittyvästä varautumisvelvollisuudesta ja viranomaistiedotusten välittämisvelvollisuudesta ( ) Ministeriöiden julkaisemat valmiusohjeet ja Viestintäviraston määräykset

7 Viestintämarkkinalaki 90 Teleyrityksen on valmiussuunnittelulla ja poikkeusoloihin varautumisella huolehdittava siitä, että sen toiminta jatkuu mahdollisimman häiriöttömästi myös valmiuslaissa (1080/1991) tarkoitetuissa poikkeusoloissa sekä normaaliolojen häiriötilanteissa. 94 Teleyrityksellä on oikeus saada varautumisesta aiheutuneista kustannuksista korvausta huoltovarmuuden turvaamisesta annetussa laissa (1390/1992) tarkoitetusta huoltovarmuusrahastosta ainoastaan, jos kustannukset ovat teleyrityksen toiminnan luonne ja laajuus huomioon ottaen huomattavia tai, jos kustannukset aiheutuvat etuoikeutettujen tilaajien tietojärjestelmän ylläpitämisestä ja kustannukset aiheutuvat liikenne- ja viestintäministeriön pyynnöstä tilatuista teknisistä hyödykkeistä. Edellä 1 momentissa tarkoitettujen kustannusten korvaamisesta päättää liikenne- ja viestintäministeriön esityksestä Huoltovarmuuskeskus.

8 Valtioneuvoston asetus viestintämarkkinoihin liittyvästä varautumisvelvollisuudesta ja viranomaistiedotteiden välittämisvelvollisuudesta (838/ ) Televisio- ja radiotoiminnasta annetun lain 7 :n 1 momentissa tarkoitetun ohjelmistoluvan nojalla radioverkossa toimiva teleyritys sekä Yleisradio Oy ovat velvollisia huolehtimaan siitä, että radioverkossa välitettävien hätätiedotteen välitysjärjestelmään liittyvä laite on asianmukaisesti kytketty järjestelmään ja toiminnassa. 6. Viranomaistiedotteet poikkeusoloissa Hätätiedotteen välitysjärjestelmän toiminnasta ja viranomaistiedotteista valmiuslaissa (1080/1991) tarkoitetuissa poikkeusoloissa säädetään erikseen. 7 Varautumissuunnitelma Liikenne- ja viestintäministeriön päätöksessään nimeämät, yhteiskunnan johtamisen tai turvallisuuden taikka elinkeinoelämän toimintakyvyn varmistamisen kannalta merkityksellisessä asemassa olevat teleyritykset ovat velvollisia laatimaan varautumissuunnitelman normaaliolojen häiriötilanteita sekä valmiuslaissa tarkoitettuja poikkeusoloja varten.

9 Valtioneuvoston asetus viestintämarkkinoihin liittyvästä varautumisvelvollisuudesta ja viranomaistiedotteiden välittämisvelvollisuudesta (838/ ) Liikenne- ja viestintäministeriön on 1 momentissa tarkoitettua velvollisuutta asettaessaan otettava huomioon teleyrityksen teleliikenteen merkitys yhteiskunnan kannalta, teleyrityksen hallitsemien viestintäverkkojen maantieteellinen sijainti, teleyrityksen toiminta-alue, teleyrityksen liikevaihto, teleyrityksen työntekijöiden lukumäärä sekä muut näihin rinnastettavat, 1 momentissa esitettyjen tavoitteiden saavuttamisen kannalta merkittävät seikat. Varautumissuunnitelmassa on kuvattava varautumisen kohteena oleva toiminta sekä ne toimenpiteet, joilla toiminnan jatkuvuus varmistetaan. Edellä 1 momentissa tarkoitetun teleyrityksen on tehtävä varautumissuunnitelman mukaiset etukäteisvalmistelut normaaliolojen häiriötilanteita sekä poikkeusolojen varten. 8. Voimaantulo Tämä asetus tulee voimaan 15 päivänä lokakuuta Tällä asetuksella kumotaan asetus sähköisen viestinnän varautumisesta (1297/1997) sekä asetus Yleisradio Oy:n velvollisuudesta välittää viranomaistiedotuksia (871/1994).

10 LVM:n valmiusohjeet Valmiusohje 1/2003: Viestintäverkkojen ja palvelujen turvaaminen = Viestintäalan varautumisen perusteos. Valmiusohje 1/2001: Sähköisen joukkoviestinnän varautuminen ja toiminta poikkeusoloissa = uusittavana voimaan tänä syksynä Valmiusohje 1/2004: Ohje viranomaistiedotusten lähettämisestä = uusittavana

11 Viestintäviraston määräykset Viestintäviraston tekniset määräykset koskevat teleyrityksiä ja ovat osa velvoittavaa säädäntöä Viestintäviraston oikeuksista antaa määräyksiä on säädetty laeissa (VML, SVTsL) yksityiskohtaisesti, ei yleistä määräyksenantovaltuutta Määräysten lisäksi Viestintävirasto antaa suosituksia ja ohjeita, joiden säädännöllinen status ei ole velvoittava, vaan ohjeistava Määräysten kokonaismäärä n. 25 kpl, joista viidessä (5) pääpaino tietoturvallisuudessa Määräykset valmistellaan pääsääntöisesti työryhmissä, joissa alueen toimijat ovat mahdollisimman laajasti edustettuina (coregulation)

12 Määräys 48 B/2004 M Määräys viestintäverkon fyysisestä suojaamisesta Uusittu VML II:n myötä kesällä 2003 ja SVTsL:n voimaantulon myötä syksyllä 2004, parhaillaan uusittavana Tilojen tärkeysluokitus (määräys 27 D/2003 M) Perustason tilat Tärkeät tilat Erittäin tärkeät tilat Määräykset osa-alueet Rakenteellinen suojaus, ovirakenteet, lukitus, murtosuojaus Kulunvalvonta, videovalvonta, rikosilmoitusjärjestelmä, olosuhdehälytykset Paloilmoitus

13 Viestintäviraston määräys 9B/2004 ja suositus SMS 9B Tietoturvaloukkausten sekä vika ja häiriötilanteiden ilmoittamisvelvollisuudesta Varautumisen kannalta lähinnä seuraavat kolme merkitystä: Ilmoitukset ovat raaka-ainetta Viestintäviraston ylläpitämään toimialansa tilannekuvaan. Viestintäviraston on mahdollisimman aikaisessa vaiheessa tiedettävä merkittävistä tietoturvaloukkauksista sekä viestintäverkkojen merkittävistä vika- ja häiriötilanteista, jotta sen on mahdollista ja hyödyllistä puuttua tarvittavin toimenpitein tilanteeseen. Viestintäverkkojen ja palvelujen mahdolliset tekniset puutteet ja määräystenvastaisuudet tulevat Viestintäviraston tietoon ja saadaan viimeistään sitä kautta korjatuksi.

14 Viestintäviraston määräys 27E/2004 ja suositus SMS 27 Viestintäverkon rakenteesta, liityntäpisteistä, tärkeysluokittelusta ja varmistamisesta Teleyrityksen on määriteltävä ja pidettävä ajan tasalla tiedot omien viestintäverkkojensa ja palveluidensa tärkeistä ja erittäin tärkeistä siirto- ja välitysjärjestelmistä, niiden osista sekä tiloista, joissa on tällaisia järjestelmiä. Tehonsyötön varmistamiseksi teleyritysten on lisäksi määriteltävä ja pidettävä ajan tasalla tiedot omien viestintäverkkojensa ja palveluidensa merkittävistä keskittimistä, tukiasemista, siirtojärjestelmistä ja vastaavista

15 Määräysuudistuksia Määräys 11 B/2004 M: Sähköpostipalvelujen tietoturva Uudistaminen käynnissä, uusi määräys voimaan 1H/2008 Sähköpostipalvelun tarjoajan ja Internet-yhteyspalvelun tarjoajan roolijakoa selkiytetään Lähtevän ja saapuvan liikenteen käsittely erotetaan selkeämmin omiksi kokonaisuuksiksi Määräys 47 B/2004 M: Teleyritysten tietoturvasta Uusiminen aloitetaan loppuvuodesta Pääpaino nykyistä enemmän hallinnollisessa turvallisuudessa Määräys 48 B/2004 M: Viestintäverkon fyysisestä suojaamisesta Sulautetaan osaksi viestintäverkkojen ja palvelujen varmistamista koskevaa määräystä

16 Viestintäviraston CERT-FI verkkosivut ja palvelut > CERT-FI lyhyesti CERT-FI on Viestintävirastossa toimiva kansallinen tietoturvaviranomainen, jonka tehtävänä on tietoturvaloukkausten ennaltaehkäisy, havainnointi, ratkaisu sekä tietoturvauhkista tiedottaminen. Ilmoita tietoturvaloukkauksesta CERT-FI PL Helsinki Puh: (09) Fax: (09) 6966 Tietoturva nyt! Päivitä PHP PHP-projekti on julkaissut PHP-ohjelmointikieleen päivityksen, joka korjaa kielestä useita ohjelmistovirheitä ja Lisääntynyt saapuva SMTP-liikenne suomalaisten palveluntarjoajien verkoissa CERT-FI on saanut tiedon, että eräät suomalaiset internet-palveluntarjoajat ovat havainneet viime päivinä poikkeuksellisen paljon saapuvaa SMTP-liikennettä Vuoden sadas haavoittuvuustiedote julkaistu CERT-FI on tänään julkaissut vuoden Näytä kaikki kirjoitukset» Haavoittuvuudet /2007 Päivitys PHP-ohjelmointikieleen Verkkosovellusten tekoon usein käytetystä ohjelmointikieli PHP:stä on julkaistu uusi versio, joka korjaa kielestä yli 120 ohjelmistovirhettä ja 11 haavoittuv /2007Haavoittuvuus Yahoo! Messenger-ohjelmiston ActiveX-komponentissa Yahoo! Messenger -pikaviestiohjelmistoon liittyvästä ActiveX-komponenteista (YVerInfo.dll) on löydetty puskurin ylivuotohaavoittuvuus. Haavoittuvuus mahdolli /2007Haavoittuvuuksia Cisco CallManager ja Unified Communications Manager -järjestelmissä Cisco CallManager ja Unified Communications Manager -järjestelmien kirjautumissivuista on löydetty haavoittuvuuksia. Haavoittuvuudet ovat Cross-site Scriptin... Näytä kaikki haavoittuvuudet»sivua päivitetty Tulostusversio

17 Puolustustaloudellinen suunnittelukunnan ja Huoltovarmuuskeskuksen ohjeet ja julkaisut Viestintäverkkojen ja viestintäpalvelujen varmistaminen, Opas käyttäjille Tietoyhteiskuntasektorin julkaisu 2/2005 Viestintä- ja sähkönjakeluverkkojen keskinäiset riippuvuudet Tietoverkko- ja voimatalouspoolin raportti, 2006 Kansallinen varautumissuunnitelma influenssaepidemiaa varten STM:n varautumissuunnitelma ohjaa varautumista influenssapandemiaan,

18 Tietojärjestelmäjaoston julkaisu 4/2002 New Yorkin WTC terrori-isku ja toiminnan jatkuvuus Opit suomalaisille yrityksille ja julkishallinnolle Puolustustaloudellinen suunnittelukunta Helsinki 2002

19 Valtionhallinnon tieto-turvallisuuden johtoryhmän (VAHTI) ohjeisto VAHTI 1/2007 Osallistumisesta vaikuttamiseen - valtionhallinnon haasteet kansainvälisessä tietoturvatyössä VAHTI 12/2006 Tunnistaminen julkishallinnon verkkopalveluissa VAHTI 11/2006 Tietoturvakouluttajan opas VAHTI 10/2006 Henkilöstön tietoturvaohje VAHTI 9/2006 Käyttövaltuushallinnon periaatteet ja hyvät käytännöt VAHTI 8/2006 Tietoturvallisuuden arviointi valtionhallinnossa

20 Varautumisen työvälineitä Puolustustaloudellinen suunnittelukunta TIETOTEKNIIKAN TURVALLISUUS JA TOIMINNAN VARMISTAMINEN TIETOJÄRJESTELMÄJAOSTON OHJE 1/2002 Helsinki 2002

21 TietoVasu tietojenkäsittelyn varautumissuunnitelma 2005

22 Kriisinsietokyky perustuu normaalioloissa luotuihin materiaalisiin henkisiin toiminnallisiin ja teknistaloudellisiin voimavaroihin = varautuminen