JOENSUUN KAUPUNGIN Kaupunginhallitus hyväksynyt: xx.yy.2015 Hyväksytty YT-toimikunnassa: xx.yy.2015 Käsitelty tietohallintoryhmässä 10.02.2015 Päivitetty: 26.01.2015 Päivittäjä: Pekka Penttinen, tietohallintopäällikkö
2 SISÄLTÖ 1. N TAUSTAA... 3 1.1. Yleistä... 3 1.2. Juridista taustaa... 3 2. HALLINNOLLISET TURVALLISUUSTOIMENPITEET JA JOHTAMINEN... 5 2.1. Tietototurvatoimenpiteiden arviointi... 5 2.1.1. Tietoturvariskien kartoitus ja arviointi... 5 2.1.2. Kaupungin tietoturvatoiminnan arviointi... 6 2.2. Tietoturvapoikkeamien hallinta... 6 2.3. Sopimukset... 7 3. TIETOTURVATOIMENPITEET JA MENETTELYT... 8 3.1. Tietoaineistoturvallisuus... 8 3.1.1. Käsiteltävän tietoaineiston tietosuoja... 8 3.1.2. Tietojärjestelmien kuvaus ja luokittelu sekä tietoaineistojen luokitus... 8 3.1.3. Tiedostojen, asiakirjojen ja muiden tietovälineiden säilytys... 9 3.1.4. Tietoaineistojen ja -järjestelmien varmuuskopiointi... 10 3.1.5. Tietoaineistojen arkistointi ja suojakopioiden säilytys... 10 3.1.6. Tarpeettomien tietojen hävittäminen turvallisesti... 10 3.1.7. Siirrettävien tietovälineiden tietoturva... 10 3.1.8. Asiakkaiden tietojen salassapito ja tietosuoja... 11 3.1.9. Oikeus järjestelmien tietoihin ja käytöstä kerättäviin tietoihin... 12 3.2. Henkilöstöturvallisuus... 13 3.3. Fyysinen turvallisuus... 13 3.4. Laitteistoturvallisuus... 15 3.5. Ohjelmistoturvallisuus... 16 3.6. Tietoliikenneturvallisuus... 16 3.6.1. Tietoliikennelaitteiston luettelointi... 16 3.6.2. Käytön- ja verkonvalvonta... 16 3.6.3. Ongelmatilanteiden kirjaus ja muutoksenvalvonta... 17 3.6.4. Tietoturvapoikkeamat tietoliikenteessä... 17 3.7. Käyttöturvallisuus... 17 3.7.1. Järjestelmien ylläpito... 17 3.7.2. Etätyön ja -käytön tietoturva... 18 3.7.3. Tietotekninen valvonta... 18 3.7.4. Käyttöoikeuksien hallinta... 18 3.7.5. Haittaohjelmistoilta suojautuminen... 18 3.7.6. Sosiaalinen hakkerointi... 19 4. ULKOISTETTUJEN TIETOJENKÄSITTELYTOIMINTOJEN TURVALLISUUS... 19 5. TIETOTURVATOIMENPITEET HANKINTOJEN YHTEYDESSÄ... 19 5.1.1. Järjestelmäkehityksen turvallisuus... 20 6. TIETOTURVAN SEURANTA, VALVONTA, TARKASTUS JA TESTAUS... 20 7. TIETOTURVAKOULUTUS... 21 8. TIETOTURVAN KEHITTÄMINEN... 21 9. SUUNNITELMAN PÄIVITYS JA TOIMENPITEIDEN YLLÄPITO... 22 10. RAPORTOINTI JOHDOLLE... 22 LIITE 1: AN LIITTYVÄT DOKUMENTIT... 23
3 1. N TAUSTAA 1.1. Yleistä Joensuun kaupungin tietoturvasuunnitelma perustuu kaupunginhallituksen hyväksymän tietoturvapolitiikan määrittelemiin linjauksiin ja periaatteisiin sekä koko toiminnan kannalta tehtävien riskikartoituksien tuloksiin. Suunnitelmassa viedään politiikassa määriteltyjä tietoturvan toteutusmenetelmiä käytännön toimenpiteiden asteelle, josta ne edelleen tarkennetaan järjestelmä- ja palvelukohtaisiksi toimintaohjeiksi, henkilöstön toiminta- ja käyttäytymisohjeistuksiksi, tietoaineistojen käsittelyohjeiksi sekä toimintaohjeiksi keskeytymistilanteista toipumiseksi. Tehtyjen ohjeiden, kuten myös itse tietoturvasuunnitelman, ajantasaisuus tarkistetaan vähintään kerran vuodessa. Tietoturvasuunnitelmassa kuvailluilla tietoturvatoimenpiteillä pyritään täyttämään ja noudattamaan säädettyjä lakeja, asetuksia ja standardeja sekä luomaan toimintaympäristö, jossa Joensuun kaupungin toiminnan kannalta olennaisin tieto, tietojärjestelmät, tietoliikenne, palvelut, henkilöstö sekä tietojen käytettävyys olisivat suojattuja ulkoisilta ja sisäisiltä tietoturvauhkilta. 1.2. Juridista taustaa Tietoturva tarkoittaa tietojen, palvelujen, järjestelmien ja tietoliikenteen suojaamista ja varmistamista niihin kohdistuvien riskien hallitsemiseksi lainsäädännöllisillä, hallinnollisilla, teknisillä ja muilla toiminnoilla sekä normaali- että poikkeusoloissa. Rekisterinpitäjän on toteutettava tarpeelliset tekniset ja organisatoriset toimenpiteet henkilötietojen suojaamiseksi asiattomalta pääsyltä tietoihin ja vahingossa tai laittomasti tapahtuvalta tietojen hävittämiseltä, muuttamiselta, luovuttamiselta, siirtämiseltä taikka muulta laittomalta käsittelyltä. (Henkilötietolaki (523/2004) 32, Tietojen suojaaminen.) Kaikissa tietojärjestelmätoiminnoissa tulee näiden ohjeiden lisäksi noudattaa yleisiä tietoturvatoimintoja ohjaavia säädöksiä, erikseen tehtyjä sopimuksia, EU-direktiivejä ja määriteltyjä standardeja. Yhtenä tietoturvapolitiikan perustana olevan hyvän tiedonhallintatavan määrittelee laki viranomaisten toiminnan julkisuudesta (621/1999) 18 : Viranomaisen tulee hyvän tiedonhallintatavan luomiseksi ja toteuttamiseksi huolehtia asiakirjojen ja tietojärjestelmien sekä niihin sisältyvien tietojen asianmukaisesta saatavuudesta, käytettävyydestä ja suojaamisesta sekä eheydestä ja muista tietojen laatuun vaikuttavista tekijöistä sekä tässä tarkoituksessa erityisesti: 1. pitää luetteloa käsiteltäviksi annetuista ja otetuista sekä ratkaistuista ja käsitellyistä asioista tai muutoin huolehtia siitä, että sen julkiset asiakirjat ovat vaivattomasti löydettävissä;
4 2. laatia ja pitää saatavilla kuvaukset pitämistään tietojärjestelmistä sekä niistä saatavissa olevista julkisista tiedoista, jollei tiedon antaminen ole vastoin 24 :n tai muun lain säännöksiä; 3. selvittää tietojärjestelmien käyttöönottoa sekä hallinnollisia ja lainsäädännöllisiä uudistuksia valmisteltaessa suunniteltujen toimenpiteiden vaikutus asiakirjojen julkisuuteen, salassapitoon ja suojaan sekä tietojen laatuun samoin kuin ryhtyä tarpeellisiin toimenpiteisiin tietoon liittyvien oikeuksien ja tiedon laadun turvaamiseksi sekä asiakirjojen ja tietojärjestelmien sekä niihin sisältyvien tietojen suojan järjestämiseksi; 4. suunnitella ja toteuttaa asiakirja- ja tietohallintonsa samoin kuin ylläpitämänsä tietojärjestelmät ja tietojenkäsittelyt niin, että asiakirjojen julkisuus voidaan vaivattomasti toteuttaa ja että asiakirjat ja tietojärjestelmät sekä niihin sisältyvät tiedot arkistoidaan tai hävitetään asianmukaisesti ja että asiakirjojen ja tietojärjestelmien sekä niihin sisältyvien tietojen suoja, eheys ja laatu turvataan asianmukaisin menettelytavoin ja tietoturvajärjestelyin ottaen huomioon tietojen merkitys ja käyttötarkoitus sekä asiakirjoihin ja tietojärjestelmiin kohdistuvat uhkatekijät ja tietoturvatoimenpiteistä aiheutuvat kustannukset; 5. huolehtia siitä, että sen palveluksessa olevilla on tarvittava tieto käsiteltävien asiakirjojen julkisuudesta sekä tietojen antamisessa ja käsittelyssä sekä niiden ja asiakirjojen ja tietojärjestelmien suojaamisessa noudatettavista menettelyistä, tietoturvajärjestelyistä ja tehtävänjaosta, samoin kuin siitä, että hyvän tiedonhallintatavan toteuttamiseksi annettujen säännösten, määräysten ja ohjeiden noudattamista valvotaan. Arkistotoimen tehtävistä on voimassa, mitä arkistolaissa (831/1994) tai sen nojalla säädetään tai määrätään. Hyvän tiedonhallintatavan toteuttaminen liittyy keskeisesti säännösten puitteissa myös tietoturvan toteutumiseen. Tietoturvan suunnittelun yhteydessä on hyvän tiedonhallintatavan toteuttamiseksi laadittava selvityksiä, joista on määrätty asetuksella n:o 1030/1999 viranomaisten toiminnan julkisuudesta ja hyvästä tiedonhallintatavasta (1 ): Viranomaisen on viranomaisten toiminnan julkisuudesta annetun lain (621/1999) 18.1 4 kohdassa tarkoitettujen toimenpiteiden suunnittelua ja toteuttamista varten arkistolaissa (831/1994) tarkoitettua arkistonmuodostussuunnitelmaa hyväksi käyttäen selvitettävä ja arvioitava asiakirjansa ja tietojärjestelmänsä sekä niihin talletettujen tietojen merkitys samoin kuin asiakirja- ja tietohallintonsa. Toimenpiteiden tarvetta arvioitaessa on kiinnitettävä huomiota siihen, kuinka toteutetaan: 1. oikeus saada tietoja viranomaisten julkisista asiakirjoista; 2. velvollisuus tuottaa ja jakaa tietoja sekä antaa tietoja keskeneräisistä asioista; 3. henkilötietojen, erityisesti arkaluonteisten tietojen, suojaaminen; 4. salassa pidettäviksi säädettyjen tietojen suojaaminen; 5. tietojen käyttötarkoituksia koskevat rajoitukset; 6. tietojen käytettävyys, eheys ja laatu viranomaisen tehtävän hoidossa ja viranomaisten yhteistyössä; 7. tietojen laatu erityisesti käytettäessä niitä yksilöitä ja yhteisöjä koskevan päätöksenteon pohjana tai oikeuksien ja velvollisuuksien osoittajina. Hyvän tiedonhallintatavan toteuttamiseksi on lisäksi selvitettävä ja arvioitava tietojen saatavuuteen, käytettävyyteen, laatuun ja suojaan sekä tietojärjestelmien
5 turvallisuuteen vaikuttavat uhat sekä niiden vähentämiseksi ja poistamiseksi käytettävissä olevat keinot ja niiden kustannukset sekä muut vaikutukset. Viranomaisen on 1 ja 2 momentissa tarkoitettujen selvitysten perusteella arvioitava ja toteutettava tarvittavat toimenpiteet hyvän tiedonhallintatavan toteuttamiseksi. 2. HALLINNOLLISET TURVALLISUUSTOIMENPITEET JA JOHTAMINEN Hallinnollinen turvallisuus on tietoturvan osa-alue, joka käsittää kaupungin toimintalinjaukset, periaatteet, organisaatiojärjestelyt, henkilöstön tehtävien ja vastuiden määrittelyn, tietoturvaohjeistuksen ja - koulutuksen suunnittelun sekä tietoturvallisen toiminnan kehittämisen osaksi päivittäistä toimintaa. Lisäksi hallinnolliseen turvallisuuteen kuuluu tietoturvariskien kartoituksien järjestäminen säännöllisin väliajoin sekä muutostilanteissa (esim. uuden järjestelmän tai palvelun käyttöönotto) tarkoitukseen sopivilla työkaluilla ja menetelmillä. Joensuun kaupungin tietoturvalinjaukset ja -periaatteet on kirjattu kaupungin tietoturvapolitiikkaan, jonka kaupunginhallitus on hyväksynyt. Tietoturvapolitiikassa on kuvattu myös tietoturvaan liittyvät organisaatiojärjestelyt sekä henkilöstön tehtävät ja vastuut. Yleisemmät em. määrittelyt kuvataan hallintosäännössä. Listaus eri toimintaalueisiin liittyvistä tietoturvaohjeistuksista on kirjattu tämän dokumentin (Tietoturvasuunnitelma) liitteeksi. Tietoturvakoulutuksen järjestämisperiaatteet ja tietoturvatoiminnan kehittäminen on kuvattu tämän dokumentin luvuissa 8 ja 9. 2.1. Tietoturvatoimenpiteiden arviointi Joensuun kaupungissa toteutettavia tietoturvatoimenpiteitä arvioidaan kaksitasoisesti. Operatiivisella tasolla arviointia toteutetaan tietoturvariskien kartoituksella ja arvioinnilla, joiden avulla pyritään löytämään kaupungin käytännön toiminnantasolla ilmeneviä tietoturvapuutteita ja suunnittelemaan puutteita korjaavat toimenpiteet. Organisaatiotasolla arviointia tehdään tietoturvan hallinnan kypsyystason ja varautumistason määrittämisellä organisaation hallinnon ja sen eri IT-toimintojen puitteissa. 2.1.1. Tietoturvariskien kartoitus ja arviointi Tietoturvatoimet perustetaan vaatimuksiin, joita toiminta ja palvelut asettavat tietojenkäsittelyn varmuudelle, käytettävyydelle, salassapidolle, laadulle ja toiminnan jatkuvuudelle sekä toimintaan kohdistuvien riskien arviointiin. Tietoturvariskien kartoituksella ja arvioinnilla arvioidaan riskit, niiden todennäköisyydet ja riskien toteutuessa aiheutuvat menetykset sekä vaihtoehtoisten turvallisuustoimien kustannukset/haitat. Samalla hahmotetaan taloudellisesti ja toiminnallisesti edullinen ratkaisu. Tietoturvariskien kartoitus ja arviointi tehdään säännöllisin väliajoin ja liitetään esim. muuhun työpaikalla tehtävään riskienarviointiin. Kartoitus tehdään myös muutettaessa
6 oleellisesti toimintayksiköiden ICT-toimintaympäristöä, esim. valmisteltaessa merkittävien järjestelmien käyttöönottoa tai muutettaessa ICT-palvelujen järjestämistapaa tai mikäli kaupungin johto katsoo sen tekemiseen olevan erityistä syytä. 2.1.2. Kaupungin tietoturvatoiminnan arviointi Kuntien omistama Pohjois-Karjalan Tietotekniikkakeskus Oy (myöh. PTTK Oy) on määritellyt omassa tietoturvapolitiikassaan: Yhtiön yleisempänä päämääränä on saavuttaa KATAKRI 3 -standardin määrittelemä tietoturvan ja varautumisen perustaso kaikessa toiminnassaan sekä korotettu taso kriittisiksi määritellyissä toimintaprosesseissa, tietojärjestelmissä ja palveluissa. Tästä johdateltuna määriteltäessä Joensuun kaupungin kannalta kriittisiä toimintaprosesseja, tietojärjestelmiä tai palveluja käytetään ensisijaisesti periaatteita, jonka mukaan: - toimintaprosessit, tietojärjestelmät tai palvelut, jotka ovat Joensuun kaupungin kannalta kriittisiä, ovat kriittisiä myös PTTK Oy:n toiminnan kannalta. - kaikki muu em. kohtien ulkopuolelle jäävä toiminta saatetaan ICT-varautumisen perustasolle, josta niitä voidaan tapauskohtaisesti nostaa tarvittaessa korotetulle tasolle Pyrkimyksenä on saattaa Joensuun kaupungin ja PTTK Oy:n tietoturvatoiminnan kypsyys- ja varautumistasot vastaamaan toisiaan, minkä jälkeen Joensuun kaupunki voi yhdessä PTTK Oy:n kanssa vaatia vähintään samantasoista tietoturvatasoa yhteistyökumppaneiltaan sekä tulevissa hankinnoissa että sopimuksissa. 2.2. Tietoturvapoikkeamien hallinta Tietoturvallisuuteen poikkeamia aiheuttavat tilanteet voivat olla tahallisia tai tahattomia. Poikkeamien hallintaprosessi (kuva 1) on osa tietoturvan johtamisjärjestelmää ja riskien hallinnan osa-alue.
7 Kuva 1. Tietoturvapoikkeamien hallintaprosessi. Kaupungissa varaudutaan suunnitelmallisesti jo etukäteen suurimpiin riskeihin sekä suunnitellaan korjaavat toimenpiteet, toipuminen ja kriisiviestintä. Poikkeamien käsittely on osa normaalia toimintaa ja siihen liittyy määritelty prosessi. Tietoturvakäytännöt ja periaatteet (tietoturvasuunnitelma ohjeistuksineen) kuvaa kaupungin käytössä olevat erilaiset suojautumiskeinot ja menetelmät, joilla tietoturvallisuutta ylläpidetään. Vakaviin tietoturvaongelmiin liittyviä ja nopeaa reagointia vaativia toimenpiteitä koordinoi tietoturvavastaava, joka ongelmien ilmetessä alkaa toteuttaa välittömästi ennalta suunniteltuja menettelyjä tietoturvaongelmien poistamiseksi. Tietohallintopäällikön tehtäviin kuuluu tietoturvallisuuteen liittyvien suunnitelmien ja ohjeistuksien katselmointi ja käytäntöön vienti. Henkilöstöä koskevat ohjeistukset katselmoidaan ja hyväksytetään myös yhteistyötoimikunnassa ennen niiden käyttöönottoa. 2.3. Sopimukset Hankintojen yhteydessä voi olla tarvetta solmia erillinen turvallisuussopimus. Siinä määritetään mm. sopimusosapuolien kesken jaettavien tietojen suojausperiaatteet ja salassapitoajat. Sopimuksilla pyritään estämään tietovuotoja ja -varkauksia toimitusten yhteydessä tai niiden jälkeen sekä varmistamaan, että toimitus vastaa kaupungin tietoturvapolitiikkaa. Toimittajasta tehdään turvallisuusselvitys riippuen hankkeen tai palvelun kriittisyydestä.
8 3. TIETOTURVATOIMENPITEET JA MENETTELYT Tässä luvussa on käyty läpi, kuinka kaupungissa toteutetaan tietoturvaa sen eri osaalueilla ja millaisin toimenpitein. 3.1. Tietoaineistoturvallisuus Tietoaineistoturvallisuus on tietoturvan osa-alue, johon kuuluu: - käsiteltävän tietoaineiston tietosuoja - tietoaineistojen ja tietojärjestelmien luokitus ja luettelointi - tiedostojen, asiakirjojen ja muiden tietovälineiden säilytys - tietoaineistojen ja -järjestelmien varmuuskopiointi - tietoaineistojen arkistointi ja suojakopioiden säilytys - tarpeettomien tietojen hävittäminen turvallisesti - siirrettävien tietovälineiden tietoturva (levyke, CD, USB - muistit) 3.1.1. Käsiteltävän tietoaineiston tietosuoja Joensuun kaupungissa käsitellään tietosuojan piiriin kuuluvaa tietoaineistoa, kuten henkilötietoja. Näiden tietojen tietosuojan toteutuminen varmistetaan tietoaineistojen luokituksilla, tietojen käsittelyn ohjeistuksilla tehdyn luokituksen mukaisesti, kyseisiä tietoaineistoja sisältävien tietojärjestelmien tarjoamilla suojauskeinoilla ja tietosuojakoulutuksilla arkaluonteista tietoa käsitteleville henkilöille. Lisäksi henkilörekistereitä sisältävistä järjestelmistä laaditaan julkisuuslain mukaiset tietosuojaselosteet. Henkilö- ja asiakastietojen käsittelyssä noudatetaan erityistä tarkkuutta ja tietojen lähettämisessä sähköisesti tulee käyttää suojattuja yhteyksiä, esimerkiksi suojattua sähköpostia. 3.1.2. Tietojärjestelmien kuvaus ja luokittelu sekä tietoaineistojen luokitus Tietojärjestelmien luettelointi ja luokittelu Joensuun kaupungissa käytettävät tietojärjestelmät luetteloidaan ja luokitellaan kaupungin toiminnan kannalta tärkeysjärjestykseen riskianalyysin avulla. Järjestelmien tärkeysluokkaan vaikuttavia tekijöitä ovat muun muassa niiden sisältämän tiedon tärkeysluokitus ja kunkin järjestelmän käytettävyysvaatimukset. Joensuun kaupungissa käytettävä järjestelmien luokitustapa pohjautuu PTTK Oy:n käyttämään luokitukseen: 1. Erittäin kriittiset Järjestelmä sisältää/välittää toiminnan kannalta erittäin kriittistä tietoa tai, käyttökatko voi olla enintään 2h, käytettävyys 99,5 % kuukaudessa 2. Kriittiset
9 Järjestelmä sisältää/välittää toiminnan kannalta kriittistä tietoa, käyttökatko voi olla enintään 4 tuntia, käytettävyys 99,0 % kuukaudessa 3. Tärkeät Järjestelmä sisältää/välittää toiminnan kannalta tärkeitä tietoja, käyttökatko voi olla enintään 8 tuntia arkipäivisin (korjausta jatketaan palveluajan ulkopuolella tarvittaessa), käytettävyys 95,0 % kuukaudessa 4. Normaalit Järjestelmä sisältää/välittää toiminnan kannalta tärkeitä tietoja, käyttökatko voi olla enintään 8 tuntia arkipäivisin (korjaus toteutetaan palveluaikana), käytettävyys 90 % kuukaudessa 5. Ei-kriittiset Järjestelmä ei sisällä/välitä toiminnan kannalta tärkeitä tietoja, käyttökatko voi olla enintään 2 vuorokautta (korjaus toteutetaan palveluaikana), käytettävyys 80 % kuukaudessa Tietoaineistojen luokitus Tietoaineisto voidaan jakaa julkiseen, julkaistavaan tai salassa pidettävään tietoon. Salassa pidettävä tieto on joko kokonaan tai osittain ja pysyvästi tai määräajan salassa pidettävää. Tietoturvatoimien oikean kohdistamisen vuoksi Joensuun kaupungilla käsiteltävät tiedot käydään läpi ja luokitellaan tiedonohjaussuunnittelun yhteydessä. Kaupungin eri yksiköiden käsittelemien tietojen luovutuksesta päättävät ne, joille on määritelty asiakirjan tai tietojen antamista koskeva päätösvalta. Luovutuksessa on otettava huomioon tietojen luokitus sekä julkisuuslain, henkilötietolain, potilaslain, asiakaslain ja muidenkin tietojen luovuttamiseen vaikuttavien säädösten ja määräysten asettamat ehdot. 3.1.3. Tiedostojen, asiakirjojen ja muiden tietovälineiden säilytys Normaaleihin työasioihin liittyvät tai niiden yhteydessä muodostuvat asiakirjat ja tiedostot tallennetaan verkkolevylle, asianhallintajärjestelmään tai muihin tietojärjestelmiin mahdollisuuksien mukaan päivittäin. Paperidokumentit skannataan tarvittaessa sähköiseen muotoon ja tallennetaan asianhallintaan tai johonkin muuhun tietojärjestelmään, minkä jälkeen paperiversiot tarvittaessa arkistoidaan. Tietoaineistojen asianhallintaan viemisen yhteydessä tehdään aineiston luokitus kohdan 3.1.2 kuvaamalla tavalla ja tämän luokituksen perusteella voidaan määritellä ko. aineiston käsittely- ja säilytystavat. Muut tietovälineet kuten CD/DVD:t, videokasetit, jne. luetteloidaan ja luokitellaan ennen kuin ne laitetaan sopivaan säilytyspaikkaan. Joensuun kaupungin henkilökunnan omien tiedostojen tallennuspaikkana toimivat jokaisen työntekijän henkilökohtaiset työhakemistot, jotka sijaitsevat tähän käyttöön
10 tarkoitetulla verkkolevyllä. Työhakemistoihin liittyvät käytännöt on kirjattu erilliseksi ohjeistukseksi (käyttäjän tietoturvakäsikirja). 3.1.4. Tietoaineistojen ja -järjestelmien varmuuskopiointi Asianhallintajärjestelmässä, muissa tietojärjestelmissä ja verkkolevyillä olevien tietoaineistojen varmuuskopiointi toteutetaan kyseiset toiminnot toteuttavien tietojärjestelmien varmuuskopiointien yhteydessä, joiden tarkempi suoritus on kuvattu järjestelmäkohtaisissa kuvauksissa. 3.1.5. Tietoaineistojen arkistointi ja suojakopioiden säilytys Kaupungin toiminnan yhteydessä muodostuvat tietoaineistot arkistoidaan asiakirjahallinnon ohjeen mukaisesti. 3.1.6. Tarpeettomien tietojen hävittäminen turvallisesti Tietoaineistojen luokittelun yhteydessä määritetään ko. aineiston säilytysaika, jonka jälkeen aineiston ja siihen liittyvän muun tiedon voi poistaa kaupungin tietojärjestelmistä. Tuhottavat paperidokumentit laitetaan niille erikseen varattuihin lukittuihin säiliöihin, joiden täyttyessä palvelua tarjoava turvayhtiö huolehtii säiliöiden noutamisesta ja dokumenttien tuhoamisesta. Kaupungin käytöstä poistuville/uuteen käyttöön menevien työasemien, kiintolevyjen ja muiden talletusmedioiden tietojenhävittämiselle on luotu PTTK Oy:n puolesta käytäntö, jota kaupungilla myös noudatetaan. Poistuvat tai uuteen käyttöön menevät työasemat sekä kiintolevyt käsitellään PTTK Oy:n toimesta käyttäen em. käytäntöjä. 3.1.7. Siirrettävien tietovälineiden tietoturva Yleisenä periaatteena on, ettei työtiedostoja ja -asiakirjoja viedä työpaikan ulkopuolelle eikä salaiseksi luokiteltua aineistoa luovuteta vastoin sovittuja ja lakisääteisiä luovutuskäytäntöjä. Salaiseksi luokitellun aineiston käsittelyssä tulee noudattaa erityistä varovaisuutta. Kuitenkin on tilanteita, jolloin mm. sähköisessä muodossa olevia työtiedostoja tarvitaan esim. koulutus-, esittely- tai kokoustilanteissa työpaikan ulkopuolella. Tällöin noudatetaan seuraavia periaatteita: - CD/DVD levyjä tai levykkeitä käytettäessä varmistutaan, ettei tietoväline tai sen sisältämä tieto joudu ulkopuolisten tahojen haltuun - USB-muistitikkua käytettäessä suositellaan käyttämään joko tikun omaa salausta tai erillistä salausohjelmaa Jos usb-tikun mukana ei tule salausominaisuutta, saa erillisen salausohjelman ja siihen liittyvän käyttökoulutuksen pyydettäessä PTTK Oy:ltä.
11 Älypuhelimet Älypuhelimiin voidaan nykyisin tallentaa merkittävät määrät tietoja, mikä merkitsee esim. puhelimen kadotessa todellista tietoturvauhkaa. Tämän vuoksi työtiedostojen ja salasanojen tallentaminen puhelimeen tai siinä olevaan erilliseen muistikorttiin ei ole sallittu. Työpuhelimet suojataan suojakoodilla ja muistikortit salasanalla. Älypuhelimet voidaan liittää PTTK Oy:n hallinnoimaan etähallintajärjestelmään, jonka avulla puhelin saadaan lukittua tai tyhjennettyä etänä laitteen katoamis-/varkaustapauksissa. Samalla henkilöstöä kehotetaan noudattamaan puhelinkäyttäytymisohjeistuksessa (käyttäjän tietoturvakäsikirja) mainittua erityistä varovaisuutta soittaessaan/vastatessaan työpuheluita työpaikan ulkopuolella olevissa julkisissa ympäristöissä. 3.1.8. Asiakkaiden tietojen salassapito ja tietosuoja Joensuun kaupunki noudattaa asiakkaidensa tietoaineistoja käyttäessään niitä salassapito- ja tietosuojamäärityksiä, joita kyseisiä asioita koskien on määritelty JHS 166 liitteen 2 (JIT 2007 Yleiset ehdot) luvun 26 kohdissa 1-6 sekä luvun 27 kohdissa 1-5. JHS 166 liite 2 (JIT 2007 Yleiset ehdot) 26 SALASSAPITO (1) Tilaaja noudattaa julkisyhteisönä viranomaisten toiminnan julkisuudesta annetussa laissa (621/1999) sekä muussa lainsäädännössä olevia salassapitoa ja julkisuutta koskevia säännöksiä. (2) Sopijapuolet pitävät toisiltaan saamansa luottamukselliseksi merkityn tai muuten luottamukselliseksi tai liikesalaisuudeksi katsottavan aineiston salassa eivätkä käytä tietoja muihin kuin sopimuksen mukaisiin tarkoituksiin. Tilaajalla on kuitenkin velvollisuus noudattaa kohdan 26(1) mukaisia velvoitteitaan. Sopijapuolet vastaavat, että kaikki heidän palveluksessaan olevat samoin kuin alihankkijat noudattavat tätä määräystä. Sopijapuolella on oikeus vaatia perustellusta syystä erillisen salassapitositoumuksen allekirjoittamista niiltä toisen sopijapuolen tai tämän alihankkijan palveluksessa olevilta, jotka sopimuksen toteuttavat. Tämä määräys on voimassa myös sopimuksen päättymisen jälkeen. (3) Salassapitovelvollisuus ei koske tietoa, joka on yleisesti saatavilla tai julkista tai jonka sopijapuoli on saanut laillisesti haltuunsa muuten kuin toiselta sopijapuolelta. (4) Sopijapuolet huolehtivat omilla vastuualueillaan, että tietosuojaa ja salassapitoa koskevat säädökset ja viranomaisten antamat määräykset otetaan huomioon. (5) Jos sopimus tai toimeksianto päättyy tai purkautuu, sopijapuoli palauttaa tai toisen sopijapuolen suostumuksella hävittää toisen sopijapuolen luottamuksellisen aineiston. Aineistoa ei saa hävittää, mikäli laki tai viranomaisten määräykset vaativat säilyttämistä. (6) Sopijapuolella on oikeus käyttää toimituksen yhteydessä hankkimaansa ammattitaitoa ja kokemusta.
12 27 TIETOTURVA JA TIETOSUOJA (1) Toimittajan on noudatettava viranomaisten toiminnan julkisuudesta annetussa laissa (621/1999) tarkoitettua hyvää tiedonhallintatapaa sekä sopijapuolten mahdollisesti sopimia muita tietoturvajärjestelyjä tietoturvallisuudesta ja tietosuojasta huolehtimiseksi. (2) Toimittajan on huolehdittava, että sen omistamat laitteet sekä palvelutuotannon tilat on asianmukaisesti suojattu tietoturvariskejä vastaan ja että suojaukseen ja tiedonvarmistukseen liittyviä menettelyjä noudatetaan. Tilaajan on huolehdittava vastaavin tavoin omista tiloistaan. (3) Toimittaja noudattaa henkilötietolain (523/1999) edellyttämää hyvää tietojen käsittelytapaa ja tietojen suojaamista koskevia säännöksiä sekä muuta tietosuojaa koskevaa lainsäädäntöä. (4) Toimittaja huolehtii käsittelemiensä tietojen asianmukaisesta suojaamisesta laittoman tai tapaturmaisen häviämisen tai hävittämisen varalta. (5) Toimittaja ja tilaaja voivat erikseen sopia laite- ja ohjelmistotoimittajien tietoturvaan liittyvien päivitystoimenpiteiden toteuttamisesta. Toimittaja pyrkii seuraamaan aktiivisesti julkaistuja tiedotteita ja tekemään tilaajalle toimintasuosituksia tältä osin. 3.1.9. Oikeus järjestelmien tietoihin ja käytöstä kerättäviin tietoihin Tietoja kerättäessä ja käsiteltäessä noudatetaan lakia yksityisyyden suojasta työelämässä (759/2004) ja sähköisen viestinnän tietosuojalakia (516/2004) vuoden 2009 muutoksineen (125/2009). Kaupunki on järjestänyt tietojärjestelmät henkilöstön käyttöön kaupungin toimintaan kuuluvaa tiedonvälitystä varten. Näin ollen Joensuun kaupungilla on oikeus määrätä henkilöille annettujen, järjestelmien käyttöön oikeuttavien tunnusten käytöstä. Tietojärjestelmien tietoturvan valvonnan, tietojen varmistamisen ja toiminnan kehittämisen sekä tietojärjestelmien hallinnan tarpeisiin niiden käytöstä voidaan kerätä tietoja, jotka on kuvattu kyseisestä tietojärjestelmästä tehdyn selosteen yhteydessä. Tietojärjestelmien ja niiden sisällön turvallisuuden varmistamista sekä järjestelmien toiminnan ylläpitämistä varten niiden vastuuhenkilöillä on oikeus valvoa järjestelmien käyttöä ja tarvittaessa päästä käsiksi järjestelmien sisältämiin viesteihin ja muihin tietoihin sekä lukea, kopioida, siirtää ja tuhota niitä. Kaupungilla on tekijänoikeus kaikkiin palvelusuhteessa tai siihen verrattavissa olevan henkilöstön laatimiin, tietojärjestelmissä oleviin, kaupungin toimintaan liittyviin tietoihin ja viesteihin. Tietojärjestelmien tietojen ja viestien käyttö, kopiointi ja siirto on sallittu vain kaupungin toimintaan liittyvien tehtävien hoitamiseksi. Tietojärjestelmien käytöstä kerättävän tiedon (lokitiedot) säilytysaika vaihtelee mm. varmuuskopioiden säilytysaikojen tai muuten erikseen säädetyn mukaisesti.
13 3.2. Henkilöstöturvallisuus Henkilöstöturvallisuuden perustana on osaava ja sitoutunut henkilöstö, jolle tietoturvavastuut ja tehtävät on selkeästi kuvattu toimenkuvissa. Tietoturvan osalta toimenkuvat ja vastuut on kuvattu Joensuun kaupungin tietoturvapolitiikassa. Lisäksi tarvitaan riittävällä tasolla määritellyt prosessit, joissa kuvataan työtehtävät niin tarkasti, että avainhenkilöriskien syntyminen vältetään. Avainhenkilöriskien kartoituksessa ja hallinnassa tunnistetaan toiminnan kannalta avainhenkilöt sekä varmistetaan heidän käytettävyytensä organisaation palveluksessa eri tilanteissa. Näihin otetaan kantaa erityisesti toipumis-, varautumis- ja valmiussuunnittelun yhteydessä kuten myös VAP-varausten (vapautettu asepalveluksesta sodan aikana) tekemiseen, joka on osa riittävien henkilöresurssien varmistamista osana poikkeusoloihin liittyvässä valmiussuunnittelussa. Valmiussuunnittelussa otetaan huomioon lomat, poissaolot, työnkierto ja väliaikaisjärjestelyt riittävän hyvin sekä lisäksi valmennetaan henkilöstö poikkeusoloihin. Vaaralliset työyhdistelmät pyritään tunnistamaan ja poistamaan, jotta organisaation toiminnan suojaksi rakennettuja menetelmiä ei voida havaitsematta kiertää. Keskeisiä asioita ovat työhönottoon, toimenkuvien olennaisiin muutoksiin ja palvelussuhteen loppumiseen liittyvät prosessit. Tehtävien vaativuudesta tai luottamuksellisuudesta riippuen rekrytoitavan henkilön tausta, sopivuus ja osaaminen on selvitettävä ennen työhönottoa. Työhönoton yhteydessä henkilö allekirjoittaa työsopimuksen, johon sisältyy myös vaitiolositoumus ja viranhaltijan osalta asia huomioidaan virkamääräystä annettaessa.. Perehdytyksen yhteydessä tulee käydä läpi kaupungin tietoturvaohjeistus. 3.3. Fyysinen turvallisuus Fyysisen turvallisuuden tarkoituksena on turvata organisaation häiriötön toiminta kaikissa olosuhteissa niiden erityistarpeet ja riskit huomioon ottaen. Tähän tietoturvan osa-alueeseen kuuluvat mm. kulunvalvonta, kameravalvonta, muu tekninen valvonta ja vartiointi sekä palo-, vesi-, sähkö-, ilmastointi- ja murtovahinkojen torjunta. Lisäksi huomioidaan ovien lukitukset, paloturvakaapit, tietojärjestelmien sähkön saannin varmistaminen sekä henkilöiden, laitteiden ja aineistojen suojaaminen erilaisia tuhoja vastaan. Seuraavassa on lueteltu toimenpiteitä fyysisen turvallisuuden toteuttamiseksi. Tietojenkäsittely-ympäristön kehittäminen ja ylläpito Joensuun kaupungin tietojenkäsittely-ympäristön muodostavat laitteet, lähiverkko, tietoliikenneyhteydet ja ohjelmat sekä varsinaiset työtiedostot. Kaupungin päivittäisessä toiminnassa huolehditaan siitä, että tietojenkäsittely-ympäristön palvelutaso, automaatioaste, tehokkuus ja toipumiskyky erilaisista häiriöistä vastaavat jatkuvasti toiminnan tarpeita ja vaatimuksia. Laitetilat ja niiden sijainti Kaupungissa varmistutaan siitä, että tärkeät tietojenkäsittely- ja tietoliikennelaitteet (palvelimet, reitittimet, kytkimet) sijoitetaan omaan palo-, murto- ja vesivahingoilta turvassa olevaan tilaansa, jossa niiden riittävän häiriötön toiminta ja tarvittavien
14 tietovälineiden riskitön käsittely on varmistettu. Lisäksi huolehditaan, että laitteet ovat rakenteeltaan käyttötarkoitukseen sekä käyttöolosuhteisiin sopivat. Paloturvallisuus Laitteiden turvallisen sijoituksen lisäksi myös tietovälineitä säilytetään paloturvalliseen säilytykseen tarkoitetussa tietovälinekaapissa. Laitetilojen ulkopuolella syttyneen tulipalon aiheuttaman savun ja noen pääsy esimerkiksi keskusilmastoinnin kautta laitetiloihin ja laitteisiin estetään. Lisäksi huolehditaan riittävästä ja elektronisten laitteiden sammuttamiseen tarkoitetusta alkusammutuskalustosta ja henkilöstön alkusammutuskoulutuksesta. Murto-, varkaus- ja ilkivaltaturvallisuus Laitetilaan asennetaan hälytyksen siirrolla varustettu rikosilmoitinlaitteisto. Hälytys siirretään sellaiseen paikkaan, että kuori-, tila- ja kohdesuojauksen antaman ajan puitteissa voidaan saapua paikalle, ennen kuin vahinkoa on päässyt tapahtumaan. Vesivahinkoturvallisuus Varmistetaan, että tärkeät tietojenkäsittely- ja tietoliikennelaitteet sekä puhelinvaihteet on nostettu riittävän ylös lattiapinnasta, mikäli laitetiloissa on lattialle kertyvän vuoto- tai sammutusveden mahdollisuus. Lisäksi sprinklatuissa tiloissa laitteet sijoitetaan siten, ettei vikalaukeaminen kastele laitteita. Sähköilmiöturvallisuus Tärkeiden laitteiden virransyöttö suojataan ja varmistetaan UPS-laitteilla ja tieto- ja teleliikenneyhteydet varustetaan ylijännitesuojilla varsinkin taajamien ulkopuolella. Maakuntaan yhteinen toimintamalli yhdessä PTTK Oy:n kanssa. Virustorjunta Tietokonevirusten tunnistus- ja torjuntavalmiudesta huolehditaan PTTK Oy:n toimesta riittävän usein päivitetyn virustorjuntaohjelman sekä käyttäjille annettavien toimintaohjeiden avulla. Toimitilaturvallisuus Vähimmäisvaatimukset tilaturvallisuutta lisääville toimille ja järjestelmille määräytyvät turvallisuustarpeiden perusteella, jotka voi kohdistua alueeseen, rakennukseen, tilaryhmään tai tilaan. Usein toimitilojen hallinta ja turvallisuusjärjestelyjen toteutus on kiinteistöhallinnon tai rakennuksen omistajan tehtävä. Joensuun kaupunki nojautuukin em. turvallisuusalueiden toteutuksessa toimipistekohteisiinsa tehtyihin pelastus- ja turvallisuussuunnitelmiin, jotka kyseisten kiinteistöjen hallinnoija tai omistaja on niille tehnyt.
15 Taulukko 2. Tilaturvallisuusluokitusmallit Pääosa Joensuun kaupungin toiminnoista ja säilytettävästä omaisuudesta on sellaista, että niiden suojaus on järjestettävä vähintään turvallisuusvyöhykeluokan 4 toimenpitein. Hallinnollinen osa toiminnoista voidaan sijoittaa vyöhykkeen 3 alle. Konesalit palvelimineen ja tietoliikenteeseen liittyvät verkkotekniset laitetilat sijoittuvat vähintään vyöhykkeelle 2. Tärkeysluokituksen perusteella organisaatiolla on tilaturvallisuuden turvallisuusvyöhykeluokka, joka linjaa vähimmäisvaatimukset koko tilaturvallisuudelle. Turvallisuuskartoituksessa otetaan huomioon tiloissa säilytettävä tieto ja sen luokitus sekä tiloissa tapahtuva toiminta ja niihin kohdistuvat riskit. Turvallisuuskartoituksen perusteella alueille, rakennuksille, tilaryhmille, tiloille ja kohteille voidaan määritellä tästä poikkeava suojausluokka. 3.4. Laitteistoturvallisuus Laitteistoturvallisuudella tarkoitetaan laitteistojen suojausta, asennusta, ylläpitoa ja poistoa sekä niihin liittyvää hallinnointia, jossa määritellään laitteiden omistaja ja turvaluokka sekä laitteiden valvonta ja niiden kapasiteettien suunnittelu. Ylipäätään laitteistoturvallisuudella turvataan laitteiston elinkaarta, johon myös kuuluvat asennuksen, takuun ja ylläpidon lisäksi erilaiset tukipalvelut ja -sopimukset sekä laitteiston turvallinen poisto elinkaaren lopussa.
16 Kaupunki käyttää laitteiston elinkaareen liittyvissä palvelusopimuksissa palvelun tasoa määritteleviä rajoja ja vasteaikoja, joiden sopimisella voidaan vaikuttaa tietoturvatason ylläpidettävyyteen ja tietoturvapoikkeamiin reagointiin. Palvelusopimusten vasteaikoihin tukeutumalla voidaan vähentää varastoitavaa varalaitteistoa, mutta toisaalta riippuvuus toimittajan kyvystä toimia vasteaikojen puitteissa kasvaa. 3.5. Ohjelmistoturvallisuus Ohjelmistoturvallisuudella tarkoitetaan käyttöjärjestelmien, varus- ja työkaluohjelmistojen sekä muiden ohjelmistojen ja sovellusten tunnistamis-, suojausominaisuuksia, valvonta- ja lokimenettelyjä sekä ohjelmistojen ylläpitoon ja päivitykseen liittyviä turvallisuustoimenpiteitä. Ohjelmistojen turvallisuutta ylläpidetään ohjelmistojen käytönaikaisien ja ohjelmiston palvelualustan (käyttöjärjestelmän ja mahdollisten väli- ja apuohjelmistojen) turvaasetusten määrittelyllä sekä käyttäjien koulutuksella ja ohjeistuksella. Ohjelmistoturvallisuutta toteutetaan myös muita teknisiä turvakeinoja käyttämällä. Käyttäjien ja muiden ohjelmien pääsyä ohjelman sisältämään tietoon rajoitetaan tietoverkon eriyttämisellä, parantamalla ohjelmistoympäristön turvallisuutta. mm. turvapäivityksiä ja -ohjelmia asentamalla sekä käyttämällä järjestelmien turvaominaisuuksia. 3.6. Tietoliikenneturvallisuus Tietoliikenneturvallisuuteen sisältyvät mm. tietoliikennelaitteiston kokoonpano, luettelointi, ylläpito ja muutosten valvonta, ongelmatilanteiden kirjaus, käytön valvonta, verkon hallinta, viestinnän salaus ja varmistaminen, merkittävien tietoturvapoikkeamien tarkkailu, kirjaus ja selvittäminen sekä tietoliikenneohjelmien testaus ja hyväksyminen. 3.6.1. Tietoliikennelaitteiston luettelointi Joensuun kaupungin käyttämät ja PTTK Oy:n hallinnoimat tietoliikennelaitteet kuvataan laiteluetteloon, johon määritetään laitteiden kokoonpanot ja määritykset sekä ylläpito- ja muutostilanteisiin liittyvät toimenpiteet. Verkon dokumentointia ylläpidetään toimipisteittäin piirretyin loogisin verkkokuvin ja laiteluetteloin. 3.6.2. Käytön- ja verkonvalvonta Tietoliikennelaitteisiin liittyvät käytön- ja verkonvalvonta toteutetaan erillisellä verkonvalvontajärjestelmällä, jonka piiriin valvottavat kohteet liitetään. Verkonvalvonta toteutetaan PTTK Oy:n taholta käyttäen keskitettyä verkonvalvontajärjestelmää, josta verkon häiriötilanteissa saadaan lähtemään hälytykset sähköpostilla sekä SMStekstiviestein määritellyille vastaanottajille.
17 3.6.3. Ongelmatilanteiden kirjaus ja muutoksenvalvonta PTTK Oy:n hallinnoimiin tietoliikennelaitteisiin kohdistuvat ongelmien selvitys- ja määritysmuutospyynnöt välitetään ServiceDesk järjestelmän kautta PTTK Oy:n tietoliikennettä ylläpitävälle henkilöstölle. Samalla pyynnöistä jää järjestelmään vikatikettikirjaus sekä ongelman ratkaisukuvaus, joita voidaan hyödyntää samanlaisten ongelmien ratkaisussa jatkossa. 3.6.4. Tietoturvapoikkeamat tietoliikenteessä Tietoliikennelaitteiden käytöstä ja palomuurin kautta kulkeneesta liikenteestä kirjautuu lokitietoja, joita käytetään ainoastaan tietoturvapoikkeamien selvityksessä (kts. luku 2.2) ja niiden ennaltaehkäisevien toimenpiteiden suunnittelun apuna. Jos poikkeamien selvityksen yhteydessä havaitaan kaupungin tietoturvapolitiikkaa vastaan olevia tapahtumia, niistä raportoidaan kaupungin tietoturvasta vastaaville osapuolille. 3.7. Käyttöturvallisuus Käyttöturvallisuudella luodaan ja ylläpidetään tietotekniikan turvallisen käytön vaatimat toimintaolosuhteet. Tämä toteutetaan huolehtimalla mm. toimivuuden valvonnasta, käyttöoikeuksien hallinnasta, käytön ja lokien valvonnasta, ohjelmistotukeen, ylläpito-, kehittämis- ja huoltotoimintoihin liittyvistä turvallisuustoimenpiteistä, varmuuskopioinnista sekä häiriöraportoinnista. Järjestelmien käyttöturvallisuuden taso perustuu järjestelmässä olevien tietojen luokitukseen. 3.7.1. Järjestelmien ylläpito Ammattitaitoinen tietojärjestelmien ylläpito toteuttaa ja parantaa omalta osaltaan tietoturvallisuutta pitämällä järjestelmät ajantasaisena ja tuntemalla niiden normaalin tilan. Näin ehkäistään ennalta poikkeustilanteita ja minimoidaan niiden vaikutuksia. Hyvä ylläpitokäytäntö on selkeästi ohjeistettua ja tehtävät vastuutettu. PTTK Oy:n ylläpitämät järjestelmät, niihin liittyvät menettelytavat ja toimenpiteet dokumentoidaan sekä dokumentaatiota päivitetään tarpeen mukaan. Ulkoistettu ylläpito Ylläpitävän tahon ja järjestelmän omistajan välillä täytyy olla selkeä sopimus siitä, mitkä ovat kummankin vastuut ja minkä tasoisena ylläpitopalvelu toteutetaan. Sopimus sisältää palvelutasoa ja vasteaikoja määrittäviä rajoja. Ulkoistettujen ylläpito- ja etenkin tietoturvapalveluiden sisällön, eri tilanteiden vasteaikojen, eskaloinnin ja toiminnan häiriötilanteissa tai jopa poikkeusoloissa tulee olla tarkasti määriteltyjä. Järjestelmästä vastuusta olevalta ylläpitäjältä edellytetään riittävää koulutusta ja hänen tietonsa järjestelmän osista tulee olla ajan tasalla. Nämä asiat sisällytetään kaupungin tekemiin palvelusopimuksiin.
18 3.7.2. Etätyön ja -käytön tietoturva Esimiehellä on ohjaus- ja seurantavastuu etätyön turvallisesta järjestämisestä. Etätyöstä sovitaan aina kirjallisesti ja sitä varten laaditaan etätyön erityispiirteitä vastaavat tietoturvaohjeet (käyttäjän tietoturvakäsikirja). Työntekijöiden ja johdon valmiudet etätyöhön varmistetaan turvallisuustietoisuuden lisäämisellä, motivoinnilla ja koulutuksella. 3.7.3. Tietotekninen valvonta Tietoturvan tietotekninen valvonta koostuu järjestelmien tilan ja käytön seurannasta. Se voi olla reaaliaikaista tarkkailua (esimerkiksi onko tietty palvelu jatkuvasti tavoitettavissa) tai laitteiden ja järjestelmien kirjaamiin tapahtumalokitietoihin perustuvaa poikkeavien tapahtumien havainnointia. Kaupungin toiminnassa valvonta toteutetaan tietojen luokituksen ja palvelujen kriittisyyden edellyttämässä laajuudessa PTTK Oy:n toimesta. Esimerkiksi palveluja, joiden jatkuva käytettävyys on luokiteltu kriittisiksi, valvotaan ympäri vuorokauden. Toisia palveluja valvotaan työajalla ja automaattiset hälytykset kutsuvat päivystäjän paikalle tarvittaessa myös työajan ulkopuolella. Erilaisia ohjelmistoja voidaan käyttää tietoturvapoikkeamien havaitsemiseen suuresta käyttötapahtumamassasta. Valvonnan helpottamiseksi valvontajärjestelmät voivat tuottaa tosiaikaista tilannekuvaa koko tietojärjestelmästä ja kerätä tietoa sekä hälyttää hyväksytyt raja-arvot ylittäneistä tapahtumista. Tietoturvapoikkeamien todentamisessa käytetään hyväksi lokitietoja. Lokien kerääminen ja tallentaminen järjestetään niin, että niitä ei päästä muuttamaan tai poistamaan tietomurtojen yhteydessä. Osa lokien sisältämästä tiedosta on säädösten mukaan luottamuksellista ja suojataan valtuuttamattomalta käsittelyltä. Henkilöstön toiminnan valvontaa ja valvontatiedon käsittelyä säädellään lailla. Työntekijöiden teknisen valvonnasta sovitaan henkilöstön kanssa yhteistoimintamenettelyssä. Tekniseen valvontaan liittyen uhkia seurataan. Suomessa Viestintävirasto CERT-FI antamia varoituksia tietoturvauhkista. 3.7.4. Käyttöoikeuksien hallinta Tietojärjestelmien käyttäjien työrooleihin perustuva käyttöoikeuksien ja -valtuuksien ajantasainen hallinta on tietoturvallisuuden perusedellytyksiä. Toimenpiteiden avulla varmistetaan, että valtuutetut käyttäjät pääsevät käsiksi ainoastaan siihen tietoon, johon heillä on työtehtävien ja niihin liittyvien vastuiden mukaiset pääsyoikeudet. Käyttöoikeuksien määrittely on kaupungin organisaatiossa olevien esimiesten vastuulla ja he siis vastaavat alaistensa käyttöoikeuksien oikeellisuudesta eri työtehtävissä. 3.7.5. Haittaohjelmistoilta suojautuminen Joensuun kaupungissa käytetään virustorjuntaohjelmistoa suojaamaan työasemia viruksilta, vakoilu- ja muilta haittaohjelmilta. Internet-liikenteen karkeaa suodatusta tehdään palomuurien avulla ja sähköpostisuodatuksessa käytetään PTTK Oy:n
19 hallinnoimaa maakunnallista suodatusjärjestelmää. Työasemien suojaamisesta tehdään erillinen ohjeistus. 3.7.6. Sosiaalinen hakkerointi Tietojen uteleminen on yleinen tiedustelutapa. Henkilö saattaa esittää puhelimitse joukon merkityksettömiltä tuntuvia kysymyksiä. Kun näitä kysymyksiä tehdään riittävän usealle henkilölle organisaatiossa, välittyy kysyjälle yleiskuva organisaation toiminnasta, ja sen heikoista kohdista. Tarkemmat ohjeet sosiaalisen hakkeroinnin ja tietojen utelemisen torjunnasta ovat käyttäjän tietoturvakäsikirjassa. 4. ULKOISTETTUJEN TIETOJENKÄSITTELYTOIMINTOJEN TURVALLISUUS Ulkoistamisen edellytyksenä on kaupungin tietoturvavaatimuksista johdettujen menettelyjen ulottaminen ulkoistettujen palvelujen toimittajaan. Vaatimukset ja tavoitteet on sovittava ulkoistamisprosessin alussa ja ne on kirjattava tehtävään palvelusopimukseen. Toimintojen ja palvelujen ulkoistaminen edellyttää organisaation ja toimittajan välisten velvoitteiden jakoa, tehtävämäärittelyä ja suunnitelmaa, jotta haluttu tietoturvallisuuden taso voidaan saavuttaa ja säilyttää koko ulkoistamisprosessin ajan. Kokonaisvastuu toiminnoista säilyy organisaatiolla, vaikka palveluntoimittaja vastaa organisaatiolle tuottamistaan palveluista. Palvelujen yhteydessä on siis niiden sisällöstä riippuen tarkistettava tietoturvatarpeet ja laadittava tarvittaessa salassapito- tai turvallisuussopimus. 5. TIETOTURVATOIMENPITEET HANKINTOJEN YHTEYDESSÄ Palvelukokonaisuuden, tietoteknisen laitteen tai tietojärjestelmän hankintaan liittyy tuotteen tietoturvavaatimusten määrittely ja tietoturvaominaisuuksien arviointi. Keskeiset vaatimukset määritellään ja esitetään selkeästi jo tarjouspyyntövaiheessa ja tietoturvatekijät sisällytetään tarjouksen vertailu- ja valintaperusteisiin. Tietoturvavaatimusten toteutuminen voi olla hankinnan ehdoton edellytys. Hankintojen yhteydessä tarkasteltavia tekijöitä ovat: - turvallisuusvaatimukset palveluille - järjestelmähallinta, ohjelmistojen tarjoamat turvallisuusominaisuudet ja valvontamenettelyt, eheys, luottamuksellisuus, käytettävyys, todennus ja kiistämättömyys - riittävän yhtenäisen, korvaavan laitekannan ja käyttöjärjestelmien yhteensopivuuden luominen - palvelu-, huolto-, laite- ja ohjelmistotoimittajien osaaminen ja voimavarat - nopean huollon ja varaosapalvelujen varmistaminen - varalaitteiden saatavuuden varmistaminen sopimuksissa. - Merkittävien järjestelmähankintojen yhteydessä varmistetaan laite-, ohjelmisto- ja tukipalveluyrityksen mahdollisuudet toimituksiin myös poikkeusoloissa.
20 5.1.1. Järjestelmäkehityksen turvallisuus Tietojärjestelmähankkeiden yhteydessä varmistetaan tietoturvan sisällyttäminen hankkeeseen ja uuteen tietojärjestelmään. Tietoturva liittyy tietojärjestelmän muutoksiin ja kehittymiseen tietojärjestelmän koko elinkaaren ajan. Myös järjestelmän teknisten ja hallinnollisten rajapintojen turvallisuus varmistetaan. Hankkeen alussa tehtävällä riskien arvioinnilla suunnataan tietoturvatoimenpiteet kehitystyön kohteena olevan järjestelmän luonteen mukaisesti. Tietojärjestelmän esitutkimusvaiheessa määritellään tärkeysluokitus, turvallisuustarpeet ja -taso sekä asetetaan tietoturvavaatimukset. Tietojärjestelmän testaus suunnitellaan sekä hallinnolliselta että tekniseltä kannalta. Testit voivat kohdistua joko kertaluonteisesti osaan tai koko järjestelmään tai säännöllisesti tuotantoympäristöön, jolloin voidaan testata vähitellen järjestelmässä tapahtuvia pieniäkin muutoksia. Hallinnollisia tietoturvatarkastuksia ovat erilaiset vaatimusmäärittely- ja suunnitelmakatselmoinnit sekä ratkaisujen varmentamiset tietoturva-asiantuntijoita käyttäen. Teknisiä tarkastuksia ovat katselmoinnit erityisesti ohjelmistojen tai järjestelmien kriittisiin toimintoihin liittyen. 6. TIETOTURVAN SEURANTA, VALVONTA, TARKASTUS JA TESTAUS Kaupungin tietoturvasta vastaavan henkilön tehtävänä on vuosittain koostaa tiedot toteutuneista tietoturvatoimista ja tietoturvan muutoksista sekä niiden perusteella raportoida kaupungin johdolle havainnoista sekä toimenpiteistä. Seurannalla pyritään selvittämään ja mittaamaan, missä määrin tietoturvatoimilla saavutetaan haluttu vaikutus. Tietoturvaongelmista (esimerkiksi hyökkäysepäilyt) tulee ilmoittaa välittömästi esimiehelle ja kaupungin tietoturvavastaavalle. Merkittävistä tietoturvarikkomuksista ja niiden epäilyistä tulee tietoturvavastaavan raportoida ylimmälle johdolle. Seurannan organisointivaatimusten vuoksi luodaan selkeä vastuuttaminen myös toimintayksiköiden pääkäyttäjätasoisten vastuuhenkilöiden osalta. Lisäksi koordinoinnin ja seurannan kannalta järjestetään keskusten ja liikelaitosten tietoturvavastuuhenkilöiden raportointi kaupungin tietoturvavastaavalle. Tietoturvan seuraamiseksi luodaan valvontamenettelyt ja raportointitapa olennaisten tapahtumien sekä tietoturvatason ja valmiuksien raportoimiseksi aina ylimmälle johdolle asti. Tietoturvan toteutumisen tarkastusta ja testausta tehdään luvussa 2.1 mainituin toimenpitein vähintään kerran vuodessa tai aina kun siihen havaitaan erityistä tarvetta. Havaittaessa vakava tietoturvaongelma, siitä laitetaan välittömästi tieto tietoturvavastaavalle. Näiden kaltaisiin tapahtumiin varaudutaan varautumissuunnitelmassa, jossa on kuvattu mm. käynnistettävät vastatoimenpiteet.