Julkishallinnon yhteentoimivat tietoliikenneratkaisut

Julkishallinnon yhteentoimivat tietoliikenneratkaisut Julkishallinnon yhteentoimivat tietoliikenneratkaisut 11.06.05.2013 Simo Tanner Kuntaliitto Simo.tanner@kuntaliitto.fi

Luonnos julkisen hallinnon tietoliikenneratkaisusta TUVE-työasema ERICA-järjestelmä Kuntien yhteinen verkko Yhteydet kuntien verkkoihin ASLI-liittymä n. 60 kpl Kunnan työasema Yhteydet internettiin Valtion yhteinen verkko Yhteydet virastoihin Kuntien yhteiset palvelut (Tiera ym.) Puolustusvoimien Operatiivinen verkko Yhteydet internettiin TUVE-verkko Yhteydet palvelutaloihin

Projektille asetetut vaatimukset Suomen Kuntaliitto on tehnyt yhteistyössä valtionvarainministeriön kanssa esiselvitysprojektin julkishallinnon yhteentoimivasta tietoliikenneratkaisusta. Projektin tuo tuotoksena syntyi: tavoiteratkaisun kuvaus (tehty) hankkeen rahoitusmalli (tehty) tunnistetut riskit (tehty) keskeiset vaatimukset (tehty, laajempi kuin edellytetty) hankkeen ohjausmalli (tehty) ratkaisun elinkaaritarkastelu (tehty) käyttövaiheen omistajuus (tehty) käyttövaiheen rahoitusmalli (esitys JUHTA:lle 11.6 kokoukseen) käyttövaiheen ohjausmalli (tehty) suunniteltujen käyttäjien sitouttaminen (prosessi aloitettu) 3

Projektin ohjausryhmä Tuomo Pigg puheenjohtaja Valtiovarainministeriö Olli Peltonen varapuheenjohtaja Valtiovarainministeriö Jari Nevalainen Turun kaupunki Jari Porrasmaa, Sosiaali- ja teveysministeriö Teemu Luukko SM/pelastusosasto Minna Bloigu SM:/hallintoyksikkö Petteri Aaltonen(Kristiina Lammila) Kuntien Tiera Oy Kari Hyvönen Kajaanin kaupunki Marko Monni Lahden kaupunki Simo Tanner Suomen Kuntaliitto Marko Holmavuo Istekki Oy Lisäksi projektilla oli projektiryhmä ja projektin avuksi oli palkattu projektipäällikkö, tietoliikenneasiantuntija, pelastus- ja sosiaali-ja terveystoimen asiantuntijoita. Kuntaliitto toimi projektin omistajana. Omistajan nimeämä vastuuhenkilö oli Simo Tanner. 4

Tietoliikenteen eri tasot julkishallinnossa Selvityksen kohteena Julkishallintoa yhdistävä kokonaisuus Kuntasektoria yhdistävä kokonaisuus Vain eräiden palveluiden osalta Seutua/aluetta yhdistävä kokonaisuus Kunnan sisäinen kokonaisuus 5

Esiselvityksen johtopäätökset Useat valtakunnallisesti käytössä ja kehitteillä olevat ohjelmistoratkaisut sekä palvelut tarvitsevat turvallista ja julkisenhallinnon ohjauksessa olevaa verkkoratkaisua. Alueellisella tasolla on edetty ja tehty toimivia ratkaisuja tietoliikenteen osalta. Ne ovat kuitenkin paikallisia ja lisääntyvä määrä valtakunnallisia ratkaisuja edellyttää alueellisten tietoliikenneverkkojen yhdistämistä toimivaksi kokonaisuudeksi. Kuntien ICT-palvelutuotannossa yhteistyö on lisääntynyt. Tätä yhteistyötä voidaan tukea tarjoamalle Kuntien käyttöön valtakunnallisesti toimiva tietoliikenneratkaisua, josta on hyvät yhteydet muihin julkishallinnon toimijoihin ja kansalliseen palveluväylään. 6

Kunta-/ alueverkko 1 Erikoissairaanhoito/ (Perusterveydenhuolto) Pelastus SoTe, perusterveydenhuolto Virastoverkko Kouluverkko Ensihoito SoTe Pelastus Tuve Virve ERICA KEJO KY-verkon peruspalvelut DNS, NTP VY-verkko palveluineen rekisterit karttatiedot ym. KanTA KanSa Soky Kansallinen palveluväylä ym. KY-verkon lisäpalvelut Internet SMTP, HTTP Julk. DNS palomuuri Virtuaalinen palomuuri IDS/IPS/DDS VPN Verkon valvonta Kunta-/alueverkko 2 KY-verkko Muut palveluntuottajat 7

KUNTATOIMIJOIDEN LIITOKSET (LUONNOS) Käyttäjät Poliisi ASKAkaapit IPsec VPN STUVE -verkko-operaattori ITU-T vaatimus 3 min / kk, 36 min / v, 99,99% STUVE- MPLS-reunaverkko (aggregation access) HALTIK -palvelu-operaattori / Integraattori IPsec Client yöasemat Raja HÄKE Pelastus Ensihoito SOSTER STUVE-MPLS kunta VRF (PeIP-verkko) Korkean varautumisen vaatimusten mukainen verkkoratkaisu Pelastuksen virtuaalinen verkko (kuntaverkoissa) GW GW GW IPsec VPN STUVE- MPLS- Perusverkko (Core ) IPsec keskittimet (clusterina) - ERICA - KEJO - Kunta portaalit -Yhteiset tietovarann ot KEJO/ MKR WLAN ASLI KY -verkko Kunta Rek. GW KYTKY WLAN IPsec client Paloasema, muu käyttö 8 OPERAATTORIN VERKKO (sähkökatkos: varoaika = 3h tai 6h) Ahvenanmaa GW GW Valtio Rek.

KY-verkon toteutusehdotus KY-verkko toteutetaan yhden operaattorin hallinnoimana. Operaattori vastaa liittymien rakentamisesta, loogisten yhteyksien muodostamisesta tilaajien välillä, KY-verkon sen olennaisten komponenttien (esim. verkon aktiivikomponentit, DNS, ym.) sekä peruspalveluiden ja (esim. valvonnasta, yhteyksien suorituskyvystä (läpäisy ja viiveet), palvelupisteestä sekä muutos-, häiriön ja ongelman hallinnassa ao. verkossa sekä muista palvelutuotannon vaatimista ja hallintamallin edellyttämistä menettelyistä. KY-verkon operaattori tarjoaa lisäpalveluna KY-verkon sisäisen toiminnan valvonnan lisäksi peruspalveluihin liittyvät kriittiset palvelut. Tämän lisäksi operaattori tarjoaa asiakkaan verkkoon ulottuvan vianselvityspalvelun, jota käytetään tarpeen vaatiessa asiakkaan pyynnöstä. 9

Lähtökohdat ja oletukset työn pohjaksi Käytettävissä oleva rahoitus on niukkaa. Ratkaisun tulee olla edullinen. Tavoitteena on yksittäisen kunnan kannalta nykyistä alempi kustannustaso Vältetään etupainotteisia investointeja ja rakentamista KY-verkon mahdollistaa valtion ylläpitämien perustietovarantojen käytön. Kuntien tietoliikenne yhteydet valtionhallintoon toteutetaan yhdistämällä KY-verkko ja VY-verkko toisiinsa. Liitynnän toimintavarmuus varmistetaan. Ratkaisu on avoin kaikille kuntatoimijoille. Ratkaisua ei saa sitoa tietyn palveluntarjoajan palveluihin, vaan siitä on oltava pääsy myös muiden palvelutuottajien palveluihin. Tämä ei kuitenkaan estä jotain tahoa toimimasta KY-verkkopalvelun tuottavaan operaattoriin nähden tilaajan roolissa, joka tekee lisäys-, muutos- ja poistotilauksia sekä valvoo ja ohjaa tuotettavaa palvelua. Ratkaisun tulee olla sellainen, että kaikki kunnalliset toimijat ja niille tietoteknisiä palveluja tarjoavat tahot voivat siihen liittyä tasapuolisin ehdoin. Hallintamallin tulee olla sellainen, että verkkoon liittyvien alueverkkojen käyttäjät saavat tukipalvelunsa oman organisaationsa tukipalvelusta. Julkishallinnon ICT:tä tulee tarkastella kokonaisuutena KY-verkkohanke toimii yhteystyössä julkiseen tietotekniikkaan liittyvien muiden toimijoiden kanssa ja tässä kehitettäviä ratkaisuja koordinoidaan näiden kanssa. Näitä ovat mm. turvallisuusverkko, valtion VY-verkko, VIA-palvelualusta, Kelan palvelut, kansallinen palveluväylä jne. 10

Lähtökohdat ja oletukset työn pohjaksi Jatkossa tietoliikenteelle asetettavat vaatimukset kasvavat mm. videon ja puheensiirron yleistyessä ja siirrettävien tietomassojen kasvaessa. Kriittisissä järjestelmissä käytettävyysvaatimukset saattavat olla erittäin korkeat. Ratkaisun tulee tukea kasvavia reaaliaikaisuus- ja kapasiteetti- ja käytettävyystarpeita. Yhteiskunta on riippuvainen tietoverkkoyhteyksistä sekä normaalioloissa että poikkeustilanteissa. KY-verkon tulee tukea kuntatoimijoiden vaatimia varautumistasoja. Kunnissa käytetään valtion tietovarantoja, joita säätelevät monet lait ja säädökset, erityisesti tietoturva-asetus KY-verkon tulee tukea valtion materiaalin suojaustasoja vastaavia tietoturvatasoa. Erityisesti ratkaisun on sovelluttava vähintään tietoturvan perustason järjestelmän osaksi ja siinä tulee varautua korotetun tietoturvatason vaatimuksiin. Ratkaisun on tuettava valtion tietojärjestelmien muita vaatimuksia. 11

KY-verkon toimintaperiaatteita KY-verkon tavoitteena on tarjota kaikille Suomen kuntatoimijoille ja näille palveluja tarjoaville organisaatioille nopea, luotettava, turvallinen ja helposti hallittavissa oleva verkko. Tietohallintolaissa nimettyihin tietovarastoihin on helpompi toteuttaa yhtenäinen ratkaisu, mikäli kuntien tietoliikenneverkot voidaan liittää valtion VY-verkkoon yhden valvotun liitännän kautta ja siinä tapahtuvaa liikennöinti on valvottu päästä päähän. KY-verkon avulla tilaajat voivat eri tekniikoita käyttäen läpinäkyvästi, siirrettävän liikenteen sisällöstä riippumatta» kytkeytyä toisiinsa,» kytkeytyä valtion virastoihin, laitoksiin, tietovarantoihin ja tietopalveluihin,» kytkeytyä Internetin palveluihin,» muodostaa tietyn tilaajaryhmän käsittäviä loogisesti suljettuja kokonaisuuksia, kuten seutuverkkoja tai muita yhteenliittymiä,» tarjota palveluita toisilleen sekä KY-verkon että internetin kautta. Palvelu tukee kaikkia kuntien käyttämiä sovelluksia, pois lukien eräät valmiusviranomaisten (hätäkeskukset, pelastuslaitokset, terveydenhuollon ensihoitoyksiköt) käyttöön tarkoitetut sovellukset sekä korkeaa tietoturvatasoa vaativat sovellukset. Verkon on tuettava näiden sovellusten hyvinkin erilaisia tarpeita esimerkiksi seuraavien ominaisuuksien suhteen:» siirtonopeus» viive ja viiveen vaihtelu» käytettävyys ja luotettavuus 12

KY-verkon toimintaperiaatteita Verkon on mahdollistettava IP-puhe- ja videoneuvotteluyhteydet tarjoamalla liikenteen luokittelua, riittävän suurta läpäisyä ja riittävän pieniä viiveitä. Verkon rakenteen on myös mahdollistettava Microsoft Active Directory palvelu Verkon tulee olla skaalautuva käyttäjä-, liittymä- ja liikennemäärien suhteen sekä yksittäisen liittymän, verkon ja sen komponenttien osalta. Verkossa on mahdollista luoda eri tarkoituksiin loogisia verkkoja esimerkiksi organisaation, luottamustason, liikenteen tyypin tai verkon käyttötarkoituksen mukaan. Kuntatoimijan kannalta KY-verkko voi toimia kuntatoimijan nykyisen liitännän täydennyksenä tarjoten yhteydet eri palveluihin, varayhteytenä nykyiselle yhteydelle tarjoten yhteyden samoihin palveluihin olevan yhteyden kanssa sekä ainoana yhteytenä tarjoten yhteyden kaikkiin haluttuihin palveluihin. Liittyjillä tulee olla mahdollisuus käyttää omaa palomuuriaan, mutta myös käyttää KYverkossa tarjottua, virtuaalista palomuuria. Kaikissa tapauksissa liittyjällä tai sen valtuuttamalla on mahdollisuus ylläpitää ja hallinnoida omaa palomuurisäännöstöään. KY-verkko tukee ICT-varautumisen vaatimuksia (VAHTI 2/2012) erityistasolle saakka. Erityisesti vaaditaan, että palvelujen verkko-, palvelin- ja laiteympäristöt ovat kahdennettuja. Järjestelmässä ei saa olla yhtä, koko järjestelmään vaikuttavaa vikaantumispistettä (single point of failure). Tilaajayhteys on pystyttävä haluttaessa tilaamaan kahdennettuna eri fyysisiä reittejä pitkin. KY-verkko toteuttaa verkon puolesta tietoturvan perustason (VAHTI 2/2010, 3/2013). Siihen on mahdollista toteuttaa tarvittaessa korotetun tietoturvatason alueita. 13

Verkon sisäinen toiminta Palveluntarjoajien väliset yhteydet onnistuvat helposti. Palveluun pääsyyn riittää muurin avaus. Palomuuria hallinnoi palvelun omistaja. Verkko toimii hajautettuna reitittimenä ja tarjoaa loogiset yhteydet (MPLS VPN) joka kunnasta joka palveluun (hubspoke-topologia) Palveluntarjoaja 1 Palveluntarjoaja 2 Lisäpalvelut Peruspalvelut Internet Peruskytkennän lisäksi tarjolla on lisäpalveluita - Internet - palomuuri - VPN Asiakas voi ottaa Internet-yhteydet ja palomuurin myös palveluna. Asiakkaiden keskinäiset yhteydet onnistuvat helposti. Asiakkaalla on ao. operaattorin fyysinen yhteys. Jos ao. operaattorin liitäntä on jo olemassa, uutta ei tarvitse tehdä. Asiakas voi käyttää myös omaa Internetyhteyttään. Kunta A Seutuverkko B Kunta C Internet 14

Kustannus hyötyarvio kuntien kannalta KY-verkkoon liittymisen kynnys halutaan pitää matalana, ei liittyminen vaadi liittyjältä suuria erillisiä investointeja vaan liittymis- ja käyttöönottokustannukset muodostuvat pääosin fyysisen tietoliikenneyhteyden hinnasta joka ennakkoarvioiden mukaan tulisi olemaan kahdennetulle 100Mbit/100Mbit yhteydelle noin 700-1000 /kk. Lisäkustannuksia tulee mahdollisista peruspalvelun lisäksi otetuista palveluista kuten mm. palomuuripalveluista. Edellä mainittu liityntäkustannus voidaan asteittaan korvata suurelta osin purkamalla ja parantamalla olemassa olevia yhteyksiä siirtämällä niitä KY-verkon kautta toteutettavaksi. Mikäli näin menetellään, jäävät nettokustannukset vähäisiksi tai niitä ei synny lainkaan, vaan KYverkkoon liittyminen voidaan rahoitta purkamalla vanhoja yhteyksiä. Suurin hyöty saadaan mahdollisuudesta tietoliikenteen päästä-päähän valvonnalla. Varovainen arvio säästöistä on, mikäli valvonnan piirissä on 30 prosenttia työasemista, 2,4 M vuodessa. Toinen suuri hyöty on VY-verkkoon liittäminen yhden valvotun pisteen avulla. Sen kautta saada huomattavasti helpommin ja hallitummin käyttöön yhteisiä tietovarantoja ja luodaan edellytykset tiedon paremmalle yhteiskäytölle. Kansalliseen Palveluväylään liittämiseen tarvitaan satojen eri liittymien sijaan yksi yhteinen liittymä. Kuntien sen kautta saamat palvelut ja sinne tarjottavien tietovarantoliittymien yhteyksien valvontaa voidaan myös valvoa tietoliikenteen toimivuuden osalta. Avoimen Internetin kautta tämä ei ole mahdollista. Edellä mainittujen laadullisten parannuksien arvioimista rahallisena hyötynä ei tämän selvityksen aikana ole voitu tehdä. Hallinnon ja sen asiakkaiden palvelun saatavuus kuitenkin parantuu huomattavasti. 15

Esiselvityksen päätösehdotukset Selvityksen aikana on käsitelty julkishallinnon verkkokokonaisuutta. Työn aikana on tullut ilmeiseksi se, että jatkossakin valtionhallinnon ja kuntien tietoliikenneverkkoja tulee suunnitella kokonaisuutena. Työn aikana on hahmoteltu ratkaisukokonaisuutta. Ehdotamme, että JulkICT-yksikkö käynnistää tietoliikenteen viitearkkitehtuurityön, jossa kokonaisuus on kuvattu tarkemmalla tasolla. Turvallisuusverkko sisältyy edellä mainittuun kokonaisuuteen. Tähän mennessä kuntien edustajat eivät ole osallistuneet ko. ratkaisun toteutuksen ohjaukseen. Selvitystyön aikana on käynyt ilmeiseksi, että kuntien osallistuminen on tuon selkeää lisäarvoa ehdotettuihin ratkaisuihin ja on löydetty selkeä kustannustehokas tapa toteuttaa kuntien kriittiset tietoliikenneratkaisut. Jatkossa tuleekin turvata kuntien riittävä edustus Tuve-verkon ohjauksessa, jotta tämä kuntien kannalta myönteinen kehitys voidaan turvata. Ehdotamme, että käynnistetään kuntien olemassa olevia verkkoja yhdistävän tietoliikenneverkon kilpailutus. Kilpailutuksessa kiinnitetään erityistä huomiota verkkokokonaisuuden hallintamalliin sekä tietoliikenneverkon valvontaan, sillä se on suuri hyötytekijä ratkaisun käyttöönotossa. Kilpailutuksen jälkeen palvelu rahoitetaan käyttäjiltä perittävällä palvelumaksulla. Ratkaisun toteuttamista varten esitetään, että JUHTA puoltaisi KY-verkon toteuttamista varten korkeintaan 239 413 euron suuruisen rahoituksen myöntämistä. Resurssien tarkempi kohdentaminen esitetty esitutkimusraportissa. 16

Ehdotus julkishallinnon verkkokokonaisuuden ohjaamisesta Valtionvarainministeriön ja Kuntaliiton näkemyksen mukaan JulkICT-yksikön tulisi valmistella ehdotus ja ottaa vastuu julkishallinnon verkkokokonaisuuden strategisesta ohjauksesta. 17

Helm i Maali s Huhti Esiselvitysvaihe Tarjouspyynnön valmistelu Koko tarjouspyynnön luonnos Touk o Kesä Tekninen vuoropuh elu Hankintailmoit us + osallistujien hakeminen Oltava valmiina kriteerit vallittaville osallistujille II-vaiheen aikataulu Hein ä Osalli stum is Ilmoi tukse n jättä mine n 4 vkoa Elo Syysk uu Lokak uu Marras Neuvottelumenettely, 3-4 keskustelukumppania 12 viikkoa, plus lomakausi, edellytys että valmistelun aikana vähintään kaksi tapaamista jo esiselvitysvaiheessa kaikkien kanssa Kriteerien täyttymisen varmistamin en ja osallistujien valinta, Kaikki mukaan, ei valitusaikaa Kilpailutusvaihe Tarjouspyynnön viimeistely Joulu Tarjou s vaihe 4 vkoa Tarjouspyynnö n julkaisu Tammi Tarjou s ten vertail u 4 vkoa Hankintapäät ös Helmi Huhti Puitesopimus Neuvottelut + valitusaika 3 + 4 vkoa Sopimuksen allekirjoitus Touko Kesä Käyttöönottovaihe Operaattorin suorittama käyttöönotto 8 vkoa Palvelukäsikirjat Verkonvalvonta Palvelutarjoajien liittyminen 8 vkoa Perusliittymät Palvelutalot Asiakaskohtaiset Palvelusopimus neuvottelut Heinä Elo Asiakaskohtainen käyttöönotto 8 vkoa