VAHTI Ohjejaosto - vuosi toimintaa



Samankaltaiset tiedostot
VAHTI-tilannekatsaus sekä VAHTI 2/2015 Ohje salauskäytännöistä -tilaisuus ICT-toimittajille

LUONNOSVERSIO VAHTI 2/2016. Toiminnan jatkuvuuden hallinta

Toiminnan jatkuvuuden hallinta

VÄESTÖREKISTERIKESKUKSEN DIGITURVAPALVELUT. Kirsi Janhunen, johtava asiantuntija, VRK

Toiminnan jatkuvuuden hallinta

Tietoturvapalvelut valtionhallinnolle

Miten varmennan ICT:n kriittisessä toimintaympäristössä?

Ajankohtaista JulkICT:stä Kirsi Janhunen VAHTI-päivä

Valtori Kehittäminen ja laatu

1. Johtaminen ja riskienhallinta 2. Toiminnan jatkuvuuden hallinta 3. Turvallisuus kehittämisessä 4. Turvallisuuden ylläpito 5. Seuranta ja arviointi

Valtorin tietoturvapalvelut ja VAHTI yhteistyö. Valtorin asiakaspäivä Johtava asiantuntija Pekka Ristimäki

Tietoturvallisuuden hallintajärjestelmä pähkinänkuoressa

Julkisen hallinnon digitaalisen turvallisuuden teemaviikko tiistai Sähköisen asioinnin tietoturvaseminaari

Jatkuvuuden varmistaminen

Tietosuojan osoitusvelvollisuutta edistävät työpajatilaisuudet

Toiminnan jatkuvuus - käytännön näkökulma

Kyberturvallisuus on digitalisaation edellytys ja mahdollistaja - miksi ja miten?

Luonnos - VAHTI-ohje 2/2016 Toiminnan jatkuvuuden hallinta

VAHTI Sähköisen asioinnin tietoturvaohjeen esittely (VM 25/2017)

Tietoturvapolitiikka

Tietosuojan osoitusvelvollisuutta edistävät työpajatilaisuudet

JUHTA: n toteuttamat tietosuojayhteishankkeet Työpaja # 4

VIRTU ja tietoturvatasot

Valtiovarainministeriön hallinnonalan johdon aamupäivä - puheenvuoroja digitalisaation johtamisesta kyberturvallisuus & riskienhallinta

Näkökulmia hallitusohjelmaan, digitalisaatioon ja toimintamme kehittämiseen - Mitä tulisi tehdä ja mitä teemme yhdessä, mikä on TIETOKEKOn ja

Seuraavaksi: VAHTI-pääsihteeri Kimmo Rousku, VM: Tietoturvallisuuden ja varautumisen roolit valtionhallinnossa

VAHTIn toiminta

Julkisen hallinnon kokonaisarkkitehtuurijaoston työsuunnitelma 2014

ICT-VARAUTUMINEN VALTIT-INFO

Luonnos - VAHTI-ohje 2/2016 Toiminnan jatkuvuuden hallinta. 1 Ohjeen soveltamisala, tavoitteet ja rajaukset. 2 Jatkuvuuden hallinnan säädösympäristö

Sisällysluettelo. Esipuhe Johdanto Tietoturvallisuuden rooli yritystoiminnassa... 17

Jatkuvuuden hallinta. Kiwa Inspecta. ISO Yleistietoa. Jarkko Puistovirta Tuotepäällikkö, Pääarvioija. BECP Certified ISO Lead Implementor

Virtu tietoturvallisuus. Virtu seminaari

Laatua ja tehoa toimintaan

Valmiuspäällikkö Sakari Ahvenainen. Valmiusohje ja ajankohtaista varautumisesta. Helsingin TIVA ja joukkoviestintäpooli (JVP)

Kuinka toimin erilaisissa häiriötilanteissa? Julkisen hallinnon digitaalisen turvallisuuden teemaviikko Erja Kinnunen, Verohallinto 2.10.

Sähköi sen pal l tietototurvatason arviointi

Miksi varautuminen on tärkeää? Näkökulmia toiminnan jatkuvuuden suunnitteluun

Espoon kaupunki Tietoturvapolitiikka

Toimintaohjeistus. Tietoturvallisuusohjeistus TIETOTURVASUUNNITELMAT

JULKISEN HALLINNON TIETOHALLINNON NEUVOTTELUKUNNAN ASIANTUNTIJAJAOSTON ASETTAMINEN

Tietosuojan osoitusvelvollisuutta edistävät työpajatilaisuudet

Kohdistettujen hyökkäysten torjunta lisää tervettä järkeä!

Johda myös riskejä riskienhallinta mahdollistaa #onnistuminen #menestyminen Valtiovarainministeriö

Tietoturvapoikkeamatilanteiden hallinta

Vihdin kunnan tietoturvapolitiikka

Valmius ja jatkuvuudenhallinta soterakenteissa Sari Vuorinen. Projektipäällikkö Kuntaliitto

Tietosuojahankkeen esittely ota tietosuojaasetuksen. Kuinka koulutan ja ohjeistan henkilöstöä tietosuojan osalta! Tuula Seppo, Kuntaliitto

Mitä apuja VAHTI tarjoaa julkisen hallinnon digitaalisen turvallisuuden kehittämiseen?

Ohje salauskäytännöistä

2. päivä. Etätehtävien purku Poikkeamat. Poikkeamat Auditoinnin raportointi Hyvän auditoijan ominaisuudet Harjoituksia

Palveluväylä tuotantoon! Marraskuun KaPA-päivä Kehittämispäällikkö Pauli Kartano / VM Hankepäällikkö Eero Konttaniemi / VRK

SFS-ISO/IEC Tietoturvallisuuden hallintajärjestelmät. Ohjeistusta. Riku Nykänen

Tietoturvakonsulttina työskentely KPMG:llä

Viitearkkitehtuurin suunnitteluprosessi. Ohje. v.0.7

Kertomusluonnoksesta annetut lausunnot 20/2018 Valtionhallinnon riskienhallinta ja toimintojen jatkuvuus 263/54/2017

Yritysturvallisuuden perusteet

Nimike Määrä YksH/EI-ALV Ale% ALV Summa

VIDEONEUVOTTELUPALVELUIDEN KÄYTTÖ JA YHTEENTOIMIVUUS JULKISHALLINNON PALVELUISSA

Muutoshistoria Versio Laatija Päiväys Muutokset Hyväksynyt 0.9 Juuso Mikkonen

Tietoturvapolitiikka

Tiedonkäsittelyn ohjaus ja sääntely valtionhallinnossa

Suomen kuntien vuoden 2015 tieto- ja kyberturvallisuutta koskeva kysely Tervetuloa vastaamaan kyselyyn!

VAHTI-seminaari: Toiminnan jatkuvuus & tietoturvapoikkeamien hallinta

Valtorin asiakasyhteistyö

Luotain-arviointi. Nykytila-arvio toiminnan osa-alueesta. Trust, Quality & Progress. Jatkuvuus Tietosuoja Tietohallinto Tietoturvallisuus

Mahdollisuuksien johtaminen

JUHTA: n toteuttamat tietosuojayhteishankkeet Kick off-tilaisuus ja 1. työpaja

Yliopiston johdon (hallintojohtaja) vastuulla on tietoturvallisuuden toteutuminen osana kokonaisturvallisuutta.

VAHTIn kesäseminaari Kimmo Rousku, VAHTI-pääsihteeri, Väestörekisterikeskus VAHTI

Miten valmistaudun tietosuoja-asetuksen vaatimuksiin?

Työpaja #10 lyhyt kertaus. #tuki2018 #stöd2018

Valtion ympärivuorokautisen tietoturvatoiminnan kehittämishanke (SecICT) Kimmo Janhunen SecICT-hankepäällikkö

JHS 166 JIT ehtojen tietosuojapäivitys

Häiriötilanteisiin varautuminen korkeakoulukentässä. Kari Wirman IT Valtakunnalliset IT-päivät Rovaniemi

SISÄASIAINMINISTERIÖN HALLINNONALAN TIETO TURVALLISUUDEN OHJAUSRYHMÄN TOIMINTASUUNNITELMA VUOSILLE

Kohti sisäisen turvallisuuden strategiaa

TIETOTURVAPOIKKEAMATILANTEIDEN HALLINTA

Kotikäyttökokeilut. Etäpalveluhanke, kevät Etäpalvelun koulutus- ja tiedotuspäivä

Tietoturvapolitiikka Porvoon Kaupunki

Tietoturvallisuuden hallinta: palautejärjestelmän vaatimukset ja toteutustavat. Diplomityöesitelmä Juha Kalander

Miten toteutetaan hyvä vesihuollon varautumissuunnitelma ja miten toimintaa häiriötilanteessa voidaan harjoitella? Lounais-Suomen vesihuoltopäivä

evare Jatkuvuuden hallinnan ja tiedon turvaamisen vaatimukset Lausuntokooste

Kansallinen kyberturvallisuusharjoitus miten harjoitus tekee mestarin?

Uuden sairaalan kokonaisturvallisuus. Juhana Suurnäkki FM, CISM

TIETOTILINPÄÄTÖS. Ylitarkastaja Arto Ylipartanen/ Tietosuojavaltuutetun toimisto. Terveydenhuollon ATK-päivät ; Jyväskylä

Potilasturvallisuuden johtaminen ja auditointi

VAHTI:n toimintakertomus vuodelta 2015

Valtori tänään ja huomenna Valtorin strategia. Valtorin asiakaspäivä Toimitusjohtaja Kari Pessi

JUHTA: n toteuttamat tietosuojayhteishankkeet Työpaja # 5

Lieksan kaupungin tietoturva- ja tietosuojapolitiikka 2019

KUJA2: Kuntien ja maakuntien jatkuvuudenhallinta -projekti. Aki Pihlaja Projektipäällikkö

JULKISEN HALLINNON DIGITAALISEN TURVALLISUUDEN KEHITTÄMISHANKE VÄESTÖREKISTERIKESKUS

Ulkoistamisen hallittu prosessi. Veli-Pekka Kuparinen valmiuspäällikkö

Kansallis-alueellisen kokonaisarkkitehtuurin kehittäminen, alueellisen kehittämisen tukeminen? Sinikka Ripatti

Onnistunut julkinen hankinta? ICT- Hankintafoorumi. Timo Valli Julkisen hallinnon tieto- ja viestintätekninen toiminto

Riskienhallinta Maanmittauslaitoksessa mitä pitkäaikainen kehittäminen on opettanut?

Miten vielä pitäisi edistää Avointa hallintoa? Johanna Nurmi

Tietosuojan osoitusvelvollisuutta edistävät työpajatilaisuudet

Sovelto Oyj JULKINEN

Transkriptio:

VAHTI Ohjejaosto - vuosi toimintaa 10.12.2015 VAHTI päivä Pekka Ristimäki, Juha Ilkka, Riitta Gröhn, Kimmo Janhunen JulkICT-toiminto, TORI-hanke

Sisältö VAHTI ohjejaoston yleinen esittely Tieto- ja kyberturvallisuuden hallintarakenteen uudistaminen Ohjehankkeiden esittely Tietoturvapoikkeamien hallinta Toiminnan jatkuvuuden hallinta Sähköisen asioinnin tietoturvallisuus 2

Keitä olemme Jaoston toimikausi 1.11.2014-31.12.2016 Pekka Ristimäki, Puheenjohtaja, Väestörekisterikeskus Minna Romppanen MML Tuija Lehtinen MML Pyry Heikkinen Tulli Mikko Siimes Valtori Mikko Viitaila Viestintävirasto Pentti Mykkänen VTV Aaro Hallikainen Helsingin kaupunki Juha Ilkka Valtioneuvoston kanslia Loka Riitta Gröhn Aalto yliopisto Marras Q4 Joulu H2 Tammi H1 Q1 Helmi Maalis Syys Huhti Q3 Q2 Elo Touko Heinä Kesä 3

Jaoston tavoitteita Tehdä VAHTI:lle esityksiä ohjeiston sisällöstä ja rakenteesta Valmistella uusien ohjehankkeiden asettaminen Seurata ja ohjata ohjehankkeiden etenemistä Edistää ohjekokonaisuutta tukevien sähköisten palvelujen kehittämistä 4

Keskeistä menneenä vuonna 2015 Asetuskirjeen mukaisesti vuoden 2015 osalta keskityttiin sisällön uudistamiseen. Ohjetyöryhmien valmistelu, käynnistys, ohjeistus ja seuranta VAHTI ohjeistuksen rakenteen muutoksen ja VAHTI portaalin valmistelu Turvallisuussopimus-mallipohjan päivitys (Hansel) Yhteistyön käynnistys JHS-jaoston kanssa Käyttäjäkysely VAHTI-ohjeiston osalta 5

Keskeistä tulevana vuonna 2016 Ohjetyöryhmät (3 kpl) jatkuu. Seuranta, ohjaus ja tuki. Uusiin ohjeisiin liittyvät seminaarit Tieto- ja kyberturvallisuuden hallintarakenteen päivittämisen hankeryhmä käynnistyy (sis. julkaisualustan toteutuksen) Ohjeiston ylläpitoprosessin toteutus Lisäksi käynnistetään (korkeintaan) kaksi uutta ohjetyöryhmää 6

Tieto- ja kyberturvallisuuden hallintarakenteen uudistaminen (Kirsi Janhunen VM, Pekka Ristimäki VRK)

Työryhmä Hankkeen toimikausi on 8.12.2015 31.12.2016 Kirsi Janhunen, VM, Puheenjohtaja Kimmo Rousku, VM Aarne Hummelholm, VM Jari Kallela, VM Pekka Niemi, VM (JHS) Pekka Ristimäki, VRK Kimmo Janhunen, ORK Pentti Mykkänen, VTV Timo Nuutinen, PLM Markku Pentikäinen, STUK Olli-Pekka Tieksola, MML Juha Vuojärvi, Vero 8

Nykytilanne VAHTI ohjeita > 40kpl viimeiseltä 15 vuodelta (pdf ja kirjat) Ohjeet osittain vanhentuneita ja niissä esiintyy päällekkäisyyksiä www.vahtiohje.fi käytettävyys ja toiminnallisuudet eivät ole riittävät, vaan palvelu pohjautuu yksittäisiin erillisiin VAHTI-ohje dokumentteihin Epäselvyyksiä ja eri tulkintoja siitä, mitkä ovat velvoittavat ja pakolliset VAHTI-vaatimukset Osittain edellisestä johtuen ei ole selkeää auditointikriteeristöä ja -ohjeistusta 9

Hankkeen tavoitteet Kyseessä mittava uudistus, joka sisältää myös sähköisen julkaisualustan toteuttamisen Työryhmän tavoitteet: määritetään ja toteutetaan uusi tieto- ja kyberturvallisuuden hallintarakenne määritetään ja toteutetaan rakennetta ja sisältöä tukeva julkaisualusta (portaali) selkiytetään julkishallinnon tieto- ja kyberturvallisuuden vaatimuksia ja niiden velvoittavuutta Portaali pyritään toteuttamaan yhteistyössä JUHTAn kanssa (JHS VAHTI) 10

Hallintamallin rakenteen osat (luonnos) Säädökset Määräykset ja velvoittavat vaatimukset Ohjeet Suositukset Muu tukimateriaali 11

Hallintamallin rakenteen osat (luonnos) Säädökset ja määräykset Lait, asetukset ja velvoittavat määräykset. Nämä toimivat tietoturvallisuuden hallinnan perustana. Tieto- ja kyberturvallisuusvaatimukset Tieto- ja kyberturvallisuuden hallinnan velvoittavat vaatimukset. Vaatimukset numeroidaan niin, että niihin voidaan viitata tarvittaessa sopimusasiakirjoissa. (Organisaatioon kohdistuvat vaatimukset, tekniset vaatimukset ja hankinnoissa käytettävät vaatimukset) Ohjeet Konkreettiset ja käytännönläheiset ohjeet suunnitteluun ja toteutukseen. Auditoinnista kootaan oma ohje, johon tulee liitteeksi auditointikriteeristö. Suositukset Ohjeita tarkentavat suositukset. Muu tukimateriaali Ratkaisupankki (sisältää hyviä käytänteitä ja esimerkkejä) Työkalut Koulutusmateriaali 12

Ylätason osa-alueet (luonnostelua) Johtaminen ja riskienhallinta Tieto- ja kyberturvallisuuden vaatimusten todentaminen Toimintaympäristön turvallisuus Tietojenkäsittelyn turvallisuus Tietosuoja Toiminnan jatkuvuuden varmistaminen Jatkuvuudenhallinta Varautuminen Häiriönhallinta 11.12.2015 Valtori - Etunimi Sukunimi 13

Kysymyksiä?

OHJEHANKKEIDEN ESITTELY

Tietoturvapoikkeamien hallinta (Juha Ilkka, VNK)

Tietoturvapoikkeaman hallinta -työryhmä Juha Ilkka, VNK, pj. Tuija Lehtinen, MML Pyry Heikki, Tulli Kirsi Janhunen, VM Anssi Sahlman, Vero Harri Mäntylä, PLM Kristiina Grönroos, SYKE Jarna Hartikainen, Viestintävirasto Paul Kinnunen, Liikennevirasto Mika Raappana, Haltik VAHTI-päivä - 10.12.2015 Juha Ilkka 17

Tietoturvapoikkeamien hallinta -työryhmä Työryhmän toiminnan painopisteenä on tietoturvapoikkeamia koskevien ohjeiden uudistaminen ja yhdistäminen Uudistettavia ohjeita ovat VAHTI 3/2005, tietoturvapoikkeamatilanteiden hallinta VAHTI 6/2009, kohdistetut hyökkäykset Lisäksi sisältöä ohjeeseen tuovat mm. VAHTI 2/2009, ICT-toiminnan varautuminen häiriö- ja erityistilanteisiin VAHTI 3/2004, haittaohjelmilta suojautumisen yleisohje VAHTI-päivä - 10.12.2015 - Pekka Ristimäki 18

Tietoturvapoikkeamat VAHTI-ohjeissa Ei liity 9 14 Mainintoja Liittyy 9 11 On merkittävä VAHTI-päivä - 10.12.2015 - Pekka Ristimäki 19

Yleiset linjaukset ohjeelle Kompakti ohje asiantuntijoille Ohjeessa huomioidaan kansallisten normien & ohjeiden lisäksi myös kv-vaatimukset VAHTI-ohjeet Katakri Neuvoston turvallisuuspäätös Information Assurance Security Guidelines on CIS Security Incident Handling ISO 27001 ja ISO 27035 NIST Computer Security Incident Handling Guide NIST Guide to Cyber Threat Information Sharing VAHTI-päivä - 10.12.2015 - Pekka Ristimäki 20

Yleiset linjaukset ohjeelle Valtorin erityisasema pyritään huomioimaan Painopisteenä kohdistetut hyökkäykset ICT:n yleisiä poikkeamia ei käsitellä yksityiskohtaisesti VAHTI-päivä - 10.12.2015 - Pekka Ristimäki 21

Ohjeen sisällöstä Ohjeen tavoitteena on luoda viitekehys, jonka mukaan tietoturvapoikkeamia yleisellä tasolla selvitetään valtionhallinnossa. Toimintatapojen yhtenäistämisellä varmistetaan, että yhteistyö eri organisaatioiden välillä on sujuvaa poikkeamien selvityksessä ja reagoinnissa. VAHTI-päivä - 10.12.2015 - Pekka Ristimäki 22

Tietoturvapoikkeamiin varautuminen Ennaltaehkäisy Reagointi Toipuminen Reagoiminen poikkeaman ilmettyä Toipuminen poikkeaman ilmettyä Tietoturvapolitiikka Suunnitelmat ja ohjeet Koulutus Vastuut Seuranta, valvonta ja raportointi Ulkoistaminen ja alihankinta Riskienhallinta Tietojärjestelmien turvallinen ylläpito Yhteistyö organisaatioiden välillä Suojattavan tiedon kartoittaminen Omien järjestelmien tunteminen Tietoturvapoikkeamatyypit Tietoturvapoikkeamasta tietorikokseen Reagoinnin organisointi ja toimivaltuudet Poikkeamatilanneharjoituks et Viestintäsuunnitelman luonti Informaation kulun hallinta poikkeamatilanteessa Tilannetietoisuus Harjoittelu Jatkuvuussuunnittelu Toipumissuunnittelu Valmiussuunnittelu YTS Havaitseminen Tapahtumapäiväkirja Tapahtuma-analyysi Lähteen määrittäminen Eristämistekniikasta päättäminen Tekniset toimenpiteet poikkeamatilanteissa Todisteaineiston turvaaminen Viestintä reagoinnin aikana Havainnointi verkossa lainsäädännön asettamat rajoitukset Havaitsemisen menetelmät Normaali-toiminnan palauttaminen Raportointi ja tapauksesta oppiminen Tiedottaminen ja muu viestintä Onnistuneen toipumisen edellytykset Riskienhallinta (suojattavat kohteet) Tilannetietoisuuden rakentaminen VAHTI-päivä - 10.12.2015 Juha Ilkka 23

Tietoturvapoikkeamiin varautuminen Poikkeaman havaitseminen ja analysointi Reagoiminen poikkeaman ilmettyä Toipuminen poikkeamatilanteesta Viestintä ja päätöksenteko Tietoturvapoikkeamien hallinnan edellytykset Toiminnan organisointi ja toimivaltuudet Viranomaisyhteistyö Tiedon kulku poikkeamatilanteissa Havaitseminen Tiedon kerääminen Tapahtuma-analyysi Päätös poikkeamaan reagoimisesta Poikkeaman kokonaisarviointi Viestintä reagoinnin aikana Vastuiden organisointi (CSIRT) Reagoinnin suunnittelu Normaalitoiminnan palauttaminen Raportointi ja tapauksesta oppiminen Tiedottaminen ja muu viestintä Tekniset toimet poikkeamatilanteissa Todisteaineiston turvaaminen Päätös normaalitilanteeseen siirtymisestä VAHTI-päivä - 10.12.2015 Juha Ilkka 24

Tietoturvapoikkeaman selvitysprosessi Varautuminen Havaitseminen ja analysointi Reagointi Toipuminen ja oppiminen VAHTI-päivä - 10.12.2015 - Pekka Ristimäki 25

Tietoturvapoikkeamien hallinta Ryhmä on kuullut seuraavia tahoja UM KRP Valtori Viestintävirasto (tulossa) JulkICT/SecICT (tulossa) Tavoitteena muodostaa kuva niistä tiedoista ja tekijöistä, joita poikkeaman selvityksessä olisi hyvä ottaa huomioon VAHTI-päivä - 10.12.2015 - Pekka Ristimäki 26

Toiminnan jatkuvuuden hallinta (Riitta Gröhn, Aalto-yliopisto)

Työryhmän asettaminen Jatkuvuuden hallinnan työryhmän tehtävät ovat seuraavat Uudistaa VAHTIn jatkuvuuden hallintaa koskevat ohjeet Valmistella suunnitelma uuden ohjeen jalkauttamiseksi ja käynnistää tarvittavat toimenpiteet Edistää hyviä käytäntöjä jatkuvuuden hallinnassa ja tarvittavassa yhteistyössä Valmistelee VAHTIlle ja valtiovarainministeriölle esityksiä jatkuvuuden hallinnan kehittämiseksi Toimeenpanee VAHTIn ja sen puheenjohtajan työryhmälle antamat tehtävät Työryhmän toiminnan painopisteenä on jatkuvuuden hallintaa ja ICT-varautumista koskevien ohjeiden uudistaminen ja yhdistäminen Työryhmän toimikausi on 6.5.2015 31.12.2016

Työryhmän linjauksia Keskitytään työssä TOIMINNAN jatkuvuuteen, ei ICT-toiminnan Ei korvata uudella ohjeella ICT-varautumisen vaatimuksia Laaditaan menettelytapaohje Hyödynnetään ohjeessa ISO 22301 Jatkuvuuden hallinnan standardia Rakenne Käsitteistö Standardi julkaistiin suomeksi 6.10.2015 Pyritään laatimaan keskeytysvaikutusanalyysiin BIA-työväline

Sisällysluettelo 0 Johdanto (VAHTI) 1 Ohjeen soveltamisala, tavoitteet ja rajaukset 2 Jatkuvuuden hallinnan säädösympäristö 3 Jatkuvuussuunnittelun käsitteet ja määritelmät 3.1 Varautuminen 3.2 Varautumissuunnittelu 3.3 Valmiussuunnittelu 3.4 Jatkuvuussuunnittelu 3.5 Toipumissuunnittelu 3.6 Toiminnan vaikutusanalyysi (BIA) 3.7 Toipumisaika (RTO) 3.8 Toipumispiste (RPO) 3.9 Vapautus aseellisesta palveluksesta (VAP) 3.10 Häiriötilanne 3.11 Jatkuvuuden hallinnan vuosikello

Sisällysluettelo 4 Organisaation toimintaympäristö 4.1 Organisaation ja sen toimintaympäristön tunteminen 4.2 Sidosryhmien tarpeet ja vaatimukset 4.3 Jatkuvuuden hallintajärjestelmän komponentit ja järjestelmän piirissä olevan toiminnan määrittäminen 5 Johtaminen 5.1 Jatkuvuuden hallinnan periaatteet 5.2 Organisointi 5.3 Jatkuvuuden hallinnan roolit, vastuut ja sidosryhmät

Sisällysluettelo 6 Jatkuvuuden hallinnan suunnittelu 6.1 Riskien tunnistaminen ja arviointi 6.2 Jatkuvuussuunnittelun tavoitteet 7 Jatkuvuuden hallinnan tukitoiminnot 7.1 Henkilöstö ja osaaminen 7.2. Osaamisen ja tietoisuuden kehittäminen 7.3 Viestintä ja yhteistyömallit 7.4 Jatkuvuuden hallinnan dokumentointi 7.5 Tuotannontekijät 7.6 Organisaatioiden väliset palvelut ja sopimukset

Sisällysluettelo 8 Toiminnan jatkuvuus käytännössä 8.1 Toiminnan suunnittelu ja ohjaus 8.2 Toimintaympäristön riskianalyysit ja skenaariot 8.3 Toiminnan vaikutusanalyysi (BIA) 8.4 Toiminnan jatkuvuuden strategia ja toimintojen priorisointi 8.5 Järjestelmien ja palvelujen luokittelu 8.6 Palautumistavoitteiden määrittely 8.7 Ohjelmistojen ja lisenssien hallinta 8.8 Järjestelmien toipumistoimenpiteet 8.9 Häiriötilanteen johtaminen ja ohjaus 8.10 Tilannekuvan luominen ja ylläpito

Sisällysluettelo 8.11 Toipumisen edellyttämät tilat ja varatilat 8.12 Toiminta toipumistilanteessa 8.13 Palvelutuottajan tehtävät, vastuut ja velvollisuudet 8.14 Toimittajien ja alihankkijoiden ohjaus ja hallinta 8.15 Sopimukset ja palvelutasot 8.16 Sisäinen ja ulkoinen viestintä häiriötilanteessa 8.17 Testaaminen, harjoittelu ja koulutus 8.18 Suunnitelmien säilytys 9 Jatkuvuuden hallinnan mittaaminen ja arviointi 9.1 Seuranta, mittaaminen ja arviointi 9.2 Sisäinen ja ulkoinen auditointi 9.3 Johdon katselmointi

Sisällysluettelo 10 Jatkuvuuden hallinnan kehittäminen 10.1 Suunnitelmien ylläpito, päivitys ja kehitys Liite 1. Jatkuvuuden hallinnan vuosikello (esimerkki) Liite 2. Laajavaikutteisen häiriön prosessin työnkulku (esimerkki) Liite 3. Palvelun jatkuvuussuunnitelman sisällysluettelorunko (esimerkki) Liite 4. Järjestelmän toipumissuunnitelman sisällysluettelorunko (esimerkki)

Jatkuvuussuunnittelun käsitteet ja määritelmät Toiminnan vaikutusanalyysi (BIA) Business Impact Analysis eli (liike)toiminnan vaikutusanalyysi pyrkii selvittämään ja kuvaamaan erilaisten haitallisten tekijöiden vaikutukset tarkastelun alla olevaan liiketoimintaprosessiin. Vaikutusanalyysi on pohjana toiminnan jatkuvuutta uhkaavien riskien arvioinnille sekä toimintojen väliselle priorisoinnille. Toipumisaika (RTO) RTO = Recovery Time Objective tarkoittaa tavoitellun toipumisajan määrittelyä. Toipumisaika määrittelee sen ajan, sekunteina, tunteina tai päivinä, jonka kuluessa kyseessä oleva asia tai toiminto tulee saada palautettua toimintaan. Toipumispiste (RPO) RPO = Recovery Point Objective tarkoittaa tavoitellun toipumispisteen määrittelyä. Toipumispiste määrittelee sen tilan, johon toiminta, tieto tai järjestelmä tulee saada palautettua. Organisaatiossa on varauduttava eri järjestelyin myös siihen, että palautushetki ei välttämättä ole juuri sama kuin vakavan häiriön alkamishetki.

Toiminnan vaikutusanalyysi (BIA) Toiminnan tuntemus on keskeistä vaikutusanalyysin kannalta. Kun toimintaympäristö, suojattavat kohteet ja niihin liittyvät ydinprosessit ja -toiminnot tunnetaan, voidaan ne luokitella kerättyjen tietojen perusteella kriittisyysluokkiin. Vaikutusanalyysissä on kyse siitä, että pyritään selvittämään erilaisten riskien toteutumisen toiminnalliset vaikutukset, joiden perusteella voidaan valita jatkuvuuden turvaamiseen ja toipumistilanteisiin oikeat ja riittävät toimenpiteet. Vaikutusanalyysia tehdessä voidaan käyttää esimerkiksi seuraavia rahallisia tai laadullisia tekijöitä arvioitaessa vaikutuksia toiminnalle: Toiminnalliset / palvelun saatavuusvaikutukset (laadullinen) Kansalaisen luottamus viranomaiseen (laadullinen) Julkisuuskuva, uskottavuus, brändi (laadullinen) Organisaation lakisääteiset tehtävät (rahallinen / laadullinen) Mahdolliset sanktiot jotka tulevat palvelun toimimattomuuden seurauksena (rahallinen) Korjaustyöt ja toimintojen palauttaminen normaalitilaan (rahallinen) Työpanoksen menetys keskeytyksen vuoksi (rahallinen) Asiakastuen kuormittuminen (rahallinen / laadullinen) Taloudelliset vaikutukset (rahallinen) Tulonmenetys palvelun toimimattomuuden vuoksi (tulonmenetys/liikevaihdon menetys, ei voida tilata, ostaa, prosessoida, toimittaa, laskuttaa) (rahallinen).

Toiminnan vaikutusanalyysi (BIA) Edellä mainittuja tekijöitä on vaikea vertailla keskenään. Vertailun helpottamiseksi ja kriittisyysluokan arvioimiseksi voidaan käyttää erilaisia työkaluja ja malleja. Valtionhallinnossa vaikutusanalyysien tekemiseen on laadittu erilaisia työkaluja. Vaikutusanalyysityökalu (Jatkuvuus-BIA-tyokalu.xlsx) on kehitetty ja toteutettu Valtion tieto- ja viestintätekniikkakeskuksen (Valtori) toimesta valtionhallinnon korotetun tietoturvatasojen yhteishankkeen (KoTVa) aikana. Työkalu on tarkoitettu järjestelmään tai palveluun kohdistuvien odottamattomien häiriöiden ja niiden vaikutusten arviointityökaluksi.

Hankkeen eteneminen Kokoontuminen kuukausittain + pidetty ylimääräinen BIAkokous Ohjeluonnos pyritään saamaan valmiiksi vuoden 2015 aikana Lausuntokierros ja viimeistely keväällä 2016 Jalkautusseminaari keväällä 2016, mahdollisesti yhdessä muiden ohjehankkeiden kanssa

Sähköisen asioinnin tietoturvallisuus (Kimmo Janhunen, ORK)

Sähköisen asioinnin tietoturvallisuus - työryhmä Kimmo Janhunen, Oikeusrekisterikeskus, pj. Kimmo Mäkinen, VM, vpj. Ari-Pekka Lehtonen, Tulli Heli Westerberg, Vero Aulikki Pakanen, PLM Mikko Viitaila, Viestintävirasto Aaro Hallikainen, Helsingin kaupunki Pauli Paatsola, KEHA-keskus Topi Laamanen, MML Tuomo Salminen, VTV VAHTI-päivä - 10.12.2015 Kimmo Janhunen 41

Sähköisen asioinnin tietoturvallisuus - työryhmä Työryhmän tehtävänä on uudistaa ja yhdistää sähköiseen asiointiin liittyviä VAHTI-ohjeita sekä edistää tietoturvakulttuuria näihin liittyvien ratkaisujen kehittämisessä, ylläpidossa ja käytössä Uudistettavia ohjeita ovat VAHTI 4/2001, Sähköisen palveluiden ja asioinnin tietoturvallisuuden yleisohje VAHTI 12/2006, Tunnistaminen julkishallinnon verkkopalveluissa VAHTI-päivä - 10.12.2015 Kimmo Janhunen 42

Linjauksia työryhmälle Asioinnin eri tahojen huomiointi: kansalainen, yritys tai toinen viranomainen asioi julkishallinnon sähköisissä palveluissa Rajaus asiointipalveluihin (vähemmän taustapalveluita ja -järjestelmiä) Huomioidaan ja ohjataan kansallisen palveluarkkitehtuurin KAPA-hankkeen sekä Valtorin palveluiden oikeaan ja tarkoituksen mukaiseen ja tietoturvalliseen käyttöön Vältettävä päällekkäisyyttä ja tehtävä tiivistä yhteistyötä KAPA-hankkeen kanssa Tuoda esiin CASE-esimerkkejä ja oppeja (+ ja -) VAHTI-päivä - 10.12.2015 Kimmo Janhunen 43

Sähköisen asioinnin tietoturvallisuus - työryhmä Työryhmä on kuullut seuraavia tahoja VM/KAPA-hanke TEM/KAPA-hankkeen roolit ja valtuutuspalvelu (ROVA) Työryhmän edustamien organisaatioiden nykytilaa ja tulevaisuusnäkymiä sähköisen asioinnin, tunnistamisen sekä ICT-arkkitehtuurien ratkaisuista Työryhmän tavoitteena on laatia laajasti hyödynnettäviä malleja sekä nostaa esiin huomioitavia aiheeseen liittyviä palveluita, asioita ja riskejä VAHTI-päivä - 10.12.2015 Kimmo Janhunen 44

Sisällöstä ja suunnitelmista Laaditaan sähköisen asioinnin viitearkkitehtuuri Olemassa olevien ja kehitteillä olevien palveluiden asemointi Tietoturvallisuuden huomioimisen ja tunnistamisen tarkentaminen sähköisen asioinnin palveluiden kehittämisessä CASE-esimerkkien kautta jaetaan oppeja Yhtenäistämällä ratkaisujen suunnittelua ja kehittämistä, hyödyntämällä yhteisiä alustoja ja palveluita saavutetaan paremmin yhteensopivia asiointipalveluita sekä vältetään päällekkäistä tekemistä ja ratkaisuja tai niiden osia. VAHTI-päivä - 10.12.2015 Kimmo Janhunen 45

Sisällöstä ja suunnitelmista Tarve laatia selkeitä ja yleispäteviä kuvia kehittämistä varten ainakin viitearkkitehtuurista palvelunäkökulmasta sekä ympäristön teknisemmästä näkökulmasta (mahdollisesti CASE-esimerkkien kautta) Aiemmin käytetyt asioinnin luokitukset ovat edelleen olemassa ja tarpeen, mutta nykyisin asiointipalveluiden rajat hämärtyvät sekä palvellaan useampia käyttötapauksia kuin aiemmin VAHTI-päivä - 10.12.2015 Kimmo Janhunen 46

Sisällöstä ja suunnitelmista Salassa pidettävä tieto Matala eheys Luokittelun sijaan kuutio Palautejärjestelmä X (Palaute ja kansalaisten osallistuminen) Yksisuuntainen Säätietojärjestelmä (Tietopalvelu ja tiedottaminen) E Korkea eheys D A B C Julkinen tieto Toimeentulotuen hakupalvelu (Salassa pidettävä vuorovaikutteinen asiointi) Vuorovaikutteinen Luvan hakujärjestelmä (Vuorovaikutteinen asiointi) Demokratia.fi (Kansalaisten aktiivinen osallistuminen) VAHTI-päivä - 10.12.2015 Kimmo Janhunen 47

Sisällysluettelon luonnos Johdanto Sähköiset asiointipalvelut Sähköisen asiointipalvelun viitearkkitehtuuri Riskienhallinta Tunnistaminen sähköisissä asiointipalveluissa Luottamus asiointipalvelun tietoturvallisuuteen CASE-esimerkit VAHTI-päivä - 10.12.2015 Kimmo Janhunen 48

Kiitos! Jos organisaatiollasi on hyviä tai muutoin tarpeellisia oppeja muille toimijoille sähköisen asioinnin tiimoilta, olethan yhteydessä kimmo.janhunen@om.fi Mitä muuta odottaisit tulevalta VAHTI sähköisen asioinnin tietoturva-ohjeistukselta? Kiitos! VAHTI-päivä - 10.12.2015 Kimmo Janhunen 49