Pelastuslaitosten tietoturvallisuuden

Transkriptio

1 Pelastuslaitosten tietoturvallisuuden kehittäminen Kumppanuusverkoston kehittämishanke Pasi Hintikka valmiuspäällikkö, Oulu-Koillismaan pelastuslaitos projektipäällikkö, Pelastuslaitosten tietoturvallisuuden kehittäminen

2 Kehittämishankkeen tavoitteet Lisääntyvä yhteistoiminta ja verkottuminen edellyttävät, että pelastuslaitosten toiminta tietoturvallisuuden suhteen on yleisesti hyväksyttävällä tasolla. Edistetään pelastustoimen tietoturvapolitiikan toteutumista siten, että toimialan sisällä noudatetaan yhtenäisiä, muiden viranomaisten kanssa yhteismitallisia tietoturvallisuutta ohjaavia määrittelyjä. Keskeinen tavoite määritellä pelastustoimen tietoturvapolitiikka (-periaatteet), jota noudattamalla pelastuslaitokset voivat saavuttaa a) tietoturvallisuuden perustason ja b) määritellyillä toiminnan osa-alueilla (yhteistoiminta: järjestelmähankkeet) korotetun tason.

3 Hankkeen tuki pelastuslaitoksille Hankkeen keskeisimpänä tehtävänä vuosien aikana on valmistella ja julkaista tietoturvallisuuden kehittämistä pelastuslaitoksissa tukevaa aineistoa: 1. Pelastustoimen yhteinen tietoturvapolitiikka (-periaatteet), mahdollistaa mm. tietoturvatyön muiden viranomaisten kanssa 2. Käsikirja tietoturvallisuuden kehittämiseksi pelastuslaitoksissa, sisältää toteutuksessa sovellettavat mallisuunnitelmat ja malliohjeet 3. Tietoturvallisuuden koulutusmateriaalit eri osaamisvaatimusten ja opiskelumenetelmien mukaan (verkkokoulutus, kouluttajajohtoinen opetus) 4. Hankkeen tavoitteiden jalkauttaminen (saattaminen käytäntöön) pelastuslaitosten omissa toimintaympäristöissä

4 Tietoturvasuunnitelma ja tietoturvaohjeet Käsikirjan sisältämässä mallisuunnitelmassa ja malliohjeissa kuvataan turvallisuusratkaisujen toteutustavat. Turvallisuusratkaisujen vaatimusten lähtökohtana on henkilöstön, tietojen ja materiaalin suojaaminen sekä toiminnan jatkuvuus. Turvallisuusratkaisujen päämääränä on suojata mahdollisilta uhkilta sekä minimoida vahingot kaikissa olosuhteissa, ottaen huomioon toiminnallisuudesta tulevat vaatimukset. Keskeistä on varmistaa pelastustoiminnan kyky johtaa ja tuottaa palveluita kaikissa tilanteissa. Tietoturvasuunnitelmassa kuvatut turvallisuusratkaisut jalkautetaan pelastuslaitoksessa käynnistämällä Käsikirjassa kuvatut toimeenpanon vaiheet.

5 Jalkauttaminen - Pelastuslaitosten toimet 1. tarvittavat hallinnolliset toimenpiteet (johdon sitoutuminen ja ymmärrys, vastuiden määrittely) Tietoturvallisuuspäällikön ja tietoturvavastaavien nimeäminen, tehtävien osoittaminen 2. henkilöstön kouluttaminen (uusi kulttuuri, osaamisen lisääminen, sitoutuminen) Tiedottaminen, Yleinen ja/tai tehtävänmukainen koulutus (soveltuva oppimismenetelmä) 3. ohjeiden käyttöönotto (turvallisuusratkaisujen ja toimintatapojen päivittäminen) Riskienarviointi Luokittelut (tiedot, järjestelmät, tehtävät, henkilöstö) Turvallisuuden osa-alueita koskevat vaatimukset (fyysinen-, henkilöstö-, tekninen-, käyttö- ja tietoaineistoturvallisuus) tarkastellaan ja verrataan nykytilannetta vaatimuksiin kuinka vaatimuksiin vastataan, aloitetaan tarvittavat kehittämistoimet 4. arviointi- ja hyväksyntämenettelyt Tietoturvaratkaisujen itsearviointi Jatkuva seuranta ja kehittäminen, Reagointi poikkeamiin Ulkoinen arviointi (auditointi) toiminnan vakiinnuttua

6 Tietoturvallisuus Tärkeää muistaa erilaisten tietojen käsittelyssä Pelastuslaitosten tietoturvallisuuden kehittämishanke

7 Tiedon julkisuus ja salassapito Viranomaisen hallussa olevat asiakirjat ja muut tallenteet ovat julkisia, jollei niiden julkisuutta ole välttämättömien syiden vuoksi lailla erikseen rajoitettu. Jokaisella on oikeus saada tieto julkisesta asiakirjasta ja tallenteesta. (Perustuslaki 12 ) Viranomaisen asiakirja tai jokin asiakirjan sisältämä tieto on pidettävä salassa, jos se on laissa erikseen säädetty salassa pidettäväksi siitä on lailla säädetty vaitiolovelvollisuus se on sopimuksen perusteella salassa pidettävä. Viranhaltijoita, työntekijöitä ja toimialan tehtäviä hoitavia koskee vaitiolovelvollisuus ja tietojen hyväksikäyttökielto (Pelastuslaki, Laki terveydenhuollon ammattihenkilöistä). Käyttöön saatuja salassa pidettäviä ja arkaluonteisia tietoja voi käyttää vain työtehtävien hoitamisessa. Salassa pidettäväksi merkittyä tai sellaiseksi ymmärrettävää tietoa ei saa ilmaista sivullisille. Sivullisia ovat kaikki, joilla ei ole oikeutta tai tarvetta saada salassa pidettävää tietoa haltuunsa, tietoonsa tai pääsyä salassa pidettävään tietoon.

8 Tiedon luokittelu ja käsittely Salassa pidettävä tieto luokitellaan tiedon oikeudettomasta paljastumisesta tai käytöstä aiheutuvan haitan tai vahingon perusteella neljään eri suojaustasoon. Osa salassa pidettävästä aineistosta kuuluu turvallisuusluokituksen piiriin kun tiedon oikeudettomasta paljastumisesta tai käytöstä voi aiheutua vahinkoa kansainvälisille suhteille, valtion turvallisuudelle, maanpuolustukselle tai muulle yleiselle edulle viranomaisten toiminnan julkisuudesta annetun lain 24 :n 1 momentin 2 ja 7 10 kohdassa tarkoitetulla tavalla. Salassa pidettävien tietojen käytössä, luovutuksessa ja käsittelyssä noudatettava erityisiä sääntöjä ja rajoituksia. Käyttöperiaatteet määrittelee omistaja tai rekisterin pitäjä tiedon luokituksen perusteella. Käytössä voi olla tehtävien suorittamiseen liittyviä organisaation omia tai sidosryhmien järjestelmiä sekä niissä käsiteltävää ja säilytettävää tietoa. Järjestelmiä ovat tieto- ja viestiliikennejärjestelmät, johtamisjärjestelmät sekä erilaiset rekisterit ja tietovarannot. Järjestelmät voivat sisältää salassa pidettäviä henkilötietoja tai operatiivisia tietoja. Henkilötietojen salassapidon määrittelee julkisuuslaki ja -asetus henkilötietolain mukaisesti.

9 Käyttöoikeudet, -välineet ja -ympäristö Tietoon ja tietojärjestelmiin tarvitaan pääsyoikeus. Järjestelmien käyttöoikeus on henkilökohtainen ja se on yhdistetty työtehtävään. Vastaat henkilökohtaisesti käyttäjätunnisteen käytöstä. Älä luovuta käyttäjätunnuksia, salasanoja, toimikorttia tai PIN-koodeja toisen henkilön käyttöön. Työtehtävien hoitoon tarkoitettuja päätelaitteita ovat työasema sekä erilaiset mobiililaitteet, kuten radiot, puhelimet, tietokoneet, tabletit ja muistilaitteet. Vastaat käyttäjänä omasta tai haltuusi uskotusta päätelaitteesta. Säilytä tieto ja laitteet turvallisessa paikassa. Käsittele ja kuljeta vain ohjeiden mukaan. Työskennellessä oman toimipisteen ulkopuolella, tulee tietojen käsittelyssä noudattaa erityistä huolellisuutta. Kaikkia tehtäviä ei voida suorittaa tietoturvallisesti organisaation ulkopuolella. Joidenkin järjestelmien etäkäyttö voi olla kielletty tai estetty. Henkilön omilla toimenpiteillä ja menettelytavoilla on suurin merkitys työympäristön turvallisuuteen. Huolehdi, että laitteistot, ohjelmistot, tietoliikenneyhteydet ovat ja pysyvät vain sinun käytössäsi käyttäjätunnisteet ovat vain sinun hallussasi ja tiedossasi mukana on vain välttämätön määrä tietoaineistoa, joka on jatkuvasti asianmukaisesti suojattua.

10 Jokaisen vastuu ja velvollisuus Tietoturvallisuudesta huolehtiminen on jokaisen työntekijän velvollisuus. Ilmoitusvelvollisuus liittyy oikeuteen päästä tietoon tai käyttää järjestelmiä. Tietoturvallisuuteen liittyvistä ongelmista, suojauspuutteista tai niiden epäilyistä on velvollisuus välittömästi ilmoittaa. Oman vastuun rajaamiseksi ja mahdollisen vahingon pienentämiseksi on ilmoitettava hallussa olevan laitteen, tunnisteen tms. katoamisesta tai varkaudesta. On hyvä muistaa, että tietojärjestelmien ja rekisterien oikeudeton käyttö voi johtaa vahingonkorvausvastuuseen tai rikosoikeudellisiin seuraamuksiin. Tietoturvatoimenpiteillä turvataan yksilön, yhteisön ja yhteiskunnan etuja. Tietoturvallisuus on juuri niin hyvä kuin sen heikoin lenkki ei siis vain tekniikkaa, vaan myös toimintatavoillamme ja asenteilla on merkitystä.