ICT-toiminnan varautuminen häiriö- ja erityistilanteisiin

ICT-toiminnan varautuminen häiriö- ja erityistilanteisiin Yleisohje Valtionhallinnon tietoturvallisuuden johtoryhmä 2/2009 VAHTI

ICT-toiminnan varautuminen häiriöja erityistilanteisiin Valtiovarainministeriön julkaisuja 2/2009 VAHTI

VALTIOVARAINMINISTERIÖ PL 28 (Snellmaninkatu 1 A) 00023 VALTIONEUVOSTO Puhelin 09 16001 (vaihde) Internet: www.vm.fi Taitto: Pirkko Ala-Marttila/VM-julkaisutiimi ISSN 1455-2566 (nid.) ISBN 978-951-804-949-7 (nid.) ISSN 1798-0860 (PDF) ISSN 978-951-804-950-3 (PDF) Edita Prima Oy Helsinki 2009

Esipuhe Tämän uuden VAHTI-yleisohjeen tavoitteena on parantaa ICT-varautumista erityisesti ministeriöissä ja hallinnonalojen organisaatioissa. Ohje on sisältönsä puolesta käyttökelpoinen kaikille ICT-varautumisen kanssa tekemisissä oleville organisaatiolle ja henkilöille. ICT-varautumiseen liittyviä linjauksia löytyy lisäksi osasta muita VAHTI-ohjeita. Yleisohje on valmisteltu VAHTIn ohjauksessa virkatyönä valtiovarainministeriön hallinnon kehittämisosastolla. Ennen julkaisua ohje oli laajalla lausuntokierroksella, jonka tuloksena ohjeen sisältöön tehtiin tarvittavat parannukset. Kommentteja saatiin yli 20 organisaatiolta. VAHTI päätti ohjeen julkaisemisesta kokouksessaan maaliskuussa 2009. Valtionhallinnon toiminta on verkostoitunutta sekä julkishallinnon sisällä että yhteiskunnan muiden toimijoiden kanssa myös kansainvälisesti. Hallinnon palvelut ja toiminnot rakentuvat tietoteknisten peruspalvelujen ja sovellusten sekä perusrekisterien ja muiden tietovarantojen varaan. Näiden toiminta riippuu korostuneesti tietoliikenteen toimivuudesta ja sähkön saatavuudesta. Tätä palveluverkostoa ylläpitää valtionhallinnon sisäisistä ja ulkoisista palvelutoimittajista muodostuva verkosto. Toiminnan ja palvelujen jatkuvuuden takaaminen ja tiedon turvaaminen edellyttävät palveluverkoston varautumista ICT-toiminnan häiriötilanteisiin. Keskeistä on varmistua, että palveluverkosto kykenee normaaliajan vakavissa häiriötilanteissa ja YETTS:n mukaisissa erityistilanteissa jatkamaan toimintaansa asetettujen vaatimusten mukaisesti. Normaaliolojen häiriötilanteita varten toteutetut toimintamallit ja ratkaisut ovat perusta erityistilanteiden hoitamiselle ja toiminnalle poikkeusoloissa. Valtionhallinnon organisaatioiden tulee kaikessa toiminnassaan ottaa huomioon tässä ohjeessa kuvatut ICT-varautumisen periaatteet. Keskeistä on, että kaikessa organisaatioiden, toimintojen, palveluiden ja järjestelmien kehittämisessä otetaan jo esitutkimusvaiheessa mukaan toiminnan jatkuvuuden hallinnan ja tiedon turvaamisen näkökulma. Tämä mahdollistaa kustannustehokkaan toiminnan tarpeista lähtevän varautumisen häiriötilanteisiin ja poikkeusoloihin. Ohjeen kaupallinen käyttö ja jäljentäminen ansaitsemistarkoituksessa on kielletty. Muussa hyödyntämisessä tulee tämä ohje mainita lähteenä.

Lyhyesti VAHTIsta Valtiovarainministeriö vastaa julkishallinnon tietoturvallisuuden ohjauksesta ja kehittämisestä. Ministeriö on asettanut Valtionhallinnon tietoturvallisuuden johtoryhmän (VAHTI) hallinnon tietoturvallisuuden yhteistyön, ohjauksen ja kehittämisen elimeksi. VAHTI tukee toiminnallaan valtioneuvostoa ja valtiovarainministeriötä hallinnon tietoturvallisuuteen liittyvässä päätöksenteossa ja sen valmistelussa. VAHTIn tavoitteena on tietoturvallisuutta kehittämällä parantaa valtionhallinnon toimintojen luotettavuutta, jatkuvuutta, laatua, riskienhallintaa ja varautumista sekä edistää tietoturvallisuuden saattamista kiinteäksi osaksi hallinnon toimintaa, johtamista ja tulosohjausta. VAHTIssa käsitellään kaikki merkittävät valtionhallinnon tietoturvalinjaukset ja tietoturvatoimenpiteiden ohjausasiat. VAHTI käsittelee valtionhallinnon tietoturvallisuutta koskevat säädökset, ohjeet, suositukset ja tavoitteet sekä muut tietoturvallisuuden linjaukset sekä ohjaa valtionhallinnon tietoturvatoimenpiteitä. VAHTI edistää verkostomaisen toimintatavan kehittämistä julkishallinnon tietoturvatyössä. VAHTIn toiminnalla on parannettu valtion tietoturvallisuutta ja työn vaikuttavuus on nähtävissä hallinnon ohella myös yrityksissä, kansalaistoiminnassa ja kansainvälisesti. VAHTIn toiminnan tuloksena muun muassa on aikaansaatu erittäin kattava yleinen tietoturvaohjeisto (www.vm.fi/vahti). VAHTIn johdolla on menestyksellisesti toteutettu useita ministeriöiden ja virastojen tietoturvayhteishankkeita. VAHTI on valmistellut, ohjannut ja toteuttanut valtion tietoturvallisuuden kehitysohjelman, jossa on aikaansaatu merkittävää kehitystyötä yhteensä 26 kehityskohteessa yli 300 hankkeisiin nimetyn henkilön toimesta. VAHTI on saanut kolmena vuotena tunnustuspalkinnon esimerkillisestä toiminnasta Suomen tietoturvallisuuden parantamisessa.

Sisältö Esipuhe...5 Lyhyesti VAHTIsta...6 Yhteenveto...9 1 Johdanto... 15 1.1 Yleistä...15 1.2 Säädösperusta...17 1.3 Turvallisuusympäristö ja arvio sen kehittymisestä...18 2 ICT-varautumisen ohjaus... 21 2.1 ICT-varautumisen ohjauksen kehittäminen...21 2.2 Valtiotason ohjaus...22 2.3 Ohjaus hallinnonaloilla...23 3 Vaatimusten asettaminen ICT-varautumiselle...25 3.1 ICT-varautumisen vaatimusten asettaminen...25 3.2 ICT-varautumisen, jatkuvuuden ja tietoturvan vaatimustasot...27 4 Osaamisen hallinta... 31 5 Palveluverkoston hallinta ja hyödyntäminen... 35 6 Tilannetietoisuus ja riskienhallinta...39 6.1 Tilannetietoisuuden kehittäminen...39 6.2 Uhka- ja riskianalyysin kehittäminen...41 6.3 Palvelujen ja ICT-infrastruktuurin jatkuvuuden hallinta...43

Liitteet Liite 1 Käytetyt lyhenteet...47 Liite 2 Keskeisimmät ICT-varautumista ohjaavat säädökset ja ohjeet...51 Liite 3 Vaatimukset jatkuvuuden hallinnalle ja tiedon turvaamiselle...59 Liite 4 Voimassaolevat VAHTI -julkaisut...65

9 Yhteenveto ICT-varautumisen kehittämisen tavoitteena on, että Organisaatiot kykenevät toiminnan tarpeiden mukaisesti takaamaan palvelujensa jatkuvuuden ja tiedon turvaamisen normaaliolojen häiriötilanteissa, YETTS-erityistilanteissa ja poikkeusoloissa. Valtionhallinnossa sekä sen käyttämissä ja tuottamissa palveluissa on käytössä yhtenäiset toteutusvaatimukset sekä keinot ja menetelmät vaatimusten täyttämiseen. ICT-varautuminen on kustannustehokkaasti ja koordinoidusti kunkin hallinnonalan jokapäiväistä toimintaa. ICT-varautuminen toteutetaan osana tietohallinnon, tietoturvallisuuden, turvallisuuden ja yleisen varautumisen kokonaisuutta. Yhteiskunnan elintärkeiden toimintojen strategia (YETTS 1 ) määrittelee yhteiskunnan elintärkeiksi toiminnoiksi seitsemän toimintoa: valtion johtaminen, kansainvälinen toiminta, valtakunnan sotilaallinen puolustaminen, sisäisen turvallisuuden ylläpitäminen, talouden ja infrastruktuurin toimivuus, väestön toimeentuloturva ja toimintakyky ja henkinen kriisinkestävyys. Uhkamalleihin sisältyviin erityistilanteisiin on strategiassa nimetty tilanteen hallinnasta ja niihin varautumisesta vastaavat ministeriöt. Ympäröivän yhteiskunnan, valtionhallinnon sekä uhkaympäristön kehitys vaikuttavat varautumistarpeisiin. Todennäköisyys kasvaa tilanteelle, jossa ympäristökatastrofi, suuronnettomuus ja inhimillisestä virheestä johtuva tai tahallisesti aiheutettu laaja tietotekniikkahäiriö sekoittavat yhteiskunnan toimintakyvyn. Erityisen haitallisia voimakkaat häiriöt ovat laman aikana, jolloin palveluja tuottavat ja ylläpitävät yritykset ja heidän alihankkijansa minimoivat kustannuksensa ja usein optimoivat riskirajoilla resurssiensa käytön. 1 Yhteiskunnan elintärkeiden toimintojen turvaamisen strategia, Valtioneuvoston periaatepäätös, 23.11.2006. www.yett.fi

10 ICT-varautumisen näkökulmasta keskeisimmät trendit ovat: Kehityslinja Palvelut, prosessit, tuotantoketjut, tietojen yhteiskäyttö ja järjestelmät automatisoituvat, monimutkaistuvat, integroituvat ja verkottuvat voimakkaasti. Palvelut hankitaan usean tuottajan palveluverkostolta ICT-palveluketjujen omistussuhteissa ja sopimusvastuissa tulee tapahtumaan jatkuvasti muutoksia. Uhkaympäristö muuttuu yllätyksellisemmäksi ja vakavammaksi Kansainvälisen yhteistoiminnan ja ohjauksen merkitys kasvaa voimakkaasti Kehityspiirteitä Toiminnan tehostaminen tietotekniikan avulla kasvaa ja myös riippuvuus. Syntyy voimakkaita riippuvuussuhteita, kuten sähkön tuotannon riippuvuus tietoliikenteestä ja päinvastoin sekä organisaatioiden väliset riippuvuudet. Järjestelmäkokonaisuuksien testaaminen ja auditointi vaikeutuvat. Internetin merkitys myös valtionhallinnossa kasvaa merkittävästi. Vaikeasti ennakoitavia, hallitsemattomia ja laajalle heijastuvia haavoittuvuuksia syntyy yhä enemmän. Palvelutoimittajien hallinta sekä resurssien kohdennus ja priorisointi häiriötilanteessa vaikeutuvat. Osaaminen ei kehity monimutkaistuvien ympäristöjen tahdissa. Vain pieni osa palvelutarpeesta kyetään hankkimaan omalta sisäiseltä palveluntoimittajalta. Verkoston rakentaminen edellyttää toiminta- ja laatukriteerejä, jotta keskinäinen luottamus, yhteensopivuus ja tekninen toimivuus voidaan taata. ICT-palvelutoimittajien alihankinta lisääntyy, myös Suomen ulkopuolelta. Vaatimusten määrittely ja hallinta sekä hankinta edellyttävät yhä erikoistuvampaa osaamista kaikilla tasoilla. Osaa kaupallisista palveluista ei voida toteuttaa Suomessa ja osa perinteisesti Suomessa tuotetuista palveluista siirtyy ulkomaille, jolloin Suomen säädännöllistä kontrollia voidaan saada vain osaan tuotantoketjuista. Palvelutuotanto, laitteistotoimitus ja komponenttien valmistus globalisoituvat, palvelutoimittajakentän muutokset yleistyvät ja henkilöstöjohtamisen haasteet lisääntyvät. Ohjauksessa kulttuurilliset, taloudelliset ja sopimukselliset menetelmät korostuvat. Sopimusten kattavuuden ja laadun sekä niihin kuvattujen toimintamallien dokumentoinnin merkitys kasvaa. Ympäristökatastrofien, suuronnettomuuksien ja laajojen tietoteknisten haavoittuvuuksien monimuotoisuus ja kasaantumisen todennäköisyys kasvaa. Verkkohyökkäyksistä ja haittaohjelmien kehittämisestä on muodostunut ammattimaista ja hyvin organisoitua palvelutoimintaa. Kohdistettujen haittaohjelmien käyttö ja uusien järjestelmähaavoittuvuuksien hyödyntäminen tiedustelutoiminnassa lisääntyy. Syntyy uudenlaisia tietohallintoa ja tietotekniikkaa koskevia tarpeita, mahdollisuuksia ja haasteita. Tarpeet yhteisiin käytäntöihin ja ohjaukseen lisääntyvät. Kansainvälinen säädös- ja standardiohjaus kasvavat (EU, OECD, NATO).

11 Kehittämisalueet.... Vaatimukset Ohjaus ja todentaminen Palveluverkon hallinta ja hyödyntäminen ICT-tilannetietoisuus Uhka- ja riskianalyysi Osaamisen varmistaminen ja harjoitustoiminta 2009 > > > > > > 2016 ValtIT kärkihankkeet Hallinnonalojen kehitystyö ö ICT-varautumisen kehitystyö ö ICT-palvelujen jatkuvuus ja tietoturva Kansalaiset Kansalaiset Elinkeinoelämä äm ä Julkishallinto Julkishallinto Yhteiskunta Yhteiskunta Globaali Globaali erityistilanteet Kehityslinjaukset YETT -Strategia Valtion IT-strategia Huoltovarmuuspäätös VNpp valtion tietoturvallisuus Valtionhallinnon ICT-varautumisen kehittäminen jakautuu keskitetysti toteutettaviin, keskitetysti ohjattuihin, mutta hallinnonaloilla tai kärkihankkeissa toteutettaviin sekä hallinnonaloilla itsenäisesti toteuttaviin toiminnan kehittämisprojekteihin ja hankkeisiin. ICT-varautumisen tavoitteiden saavuttaminen ja palveluiden jatkuvuuden turvaaminen edellyttävät, että: Vuoteen 2012 mennessä Ministeriöt ja virastot ovat määrittäneet, mille vaatimustasolle niiden palvelut ja järjestelmät sijoittuvat sekä suunnitelleet ja käynnistäneet vaatimusten toteuttamisen. ICT-varautumisen ohjaus on osana hallinnonalojen yleisiä ohjausmenetelmiä. Palveluverkoston vaatimusten hallinta ja sopimusmenettelyt on yhtenäistetty. Vuoden 2016 loppuun mennessä Organisaatiot saavuttavat vähintään ICT-varautumisen perustason ja erikseen määritellyissä osissa, palveluissa ja järjestelmissä korotetun tai korkean tason.

12 ICT-varautumisen toteuttamisessa noudatetaan seuraavia periaatteita: Valtiovarainministeriön johdolla ylläpidetään yhteisiä ICTpalveluiden jatkuvuuden hallinnan ja tiedon turvaamisen vaatimuksia, jotka ulotetaan toiminnan vaatimusten mukaisesti koko palveluverkostoon. Organisaatioiden on tunnistettava prosessiensa ja toimintojensa kriittisyys ja asetettava niille käytettävyys- ja palvelutasovaatimukset. ICT-varautuminen toteutetaan osana yleistä ohjausta, kuten TTS- ja tulosohjaus. Organisaatioissa otetaan ICT-varautumisen käytännön toteuttamista tukevat yhtenäiset suunnittelumallit ja tarkistuslistat. Uhka-arvioihin ja riskianalyyseihin perustuva varautuminen on oltava sisällä kaikkea kehittämis- ja tuotantotoimintaa. Työjärjestyksissä ja tehtäväkuvauksissa määritetään keskeisimpien palveluiden jatkuvuuden hallintaan, tiedon turvaamiseen ja varautumiseen liittyvät vastuut, tehtävät ja johtosuhteet. Keskeisimmät valtionhallinnon yhteiset sekä usean hallinnonalan toimintaan vaikuttavat kehittämistoimet ja palvelut toteutetaan keskitetysti. Ministeriöt ja virastot vastaavat omien ydintoimintojensa varautumisesta. Hallinnonalat rahoittavat toimintansa edellyttämän varautumisen kehyksestään. Yhteistyötä ja vuorovaikutusta eri organisaatioiden ohjaamien varautumiseen liittyvien hankkeiden välillä on ylläpidettävä tiiviisti.

13 Seuraavaan taulukkoon on koottu keskeisiä osa-alueita, organisaatioiden tulee tarkastella kehittäessään toimintansa ja palvelujensa häiriönsietokykyä. Aihe Ohjaava ohjeistus Vaatimusten asettaminen, resursointi ja todentaminen Riskienhallinta Palvelujen verkostoituminen ja sopimusmenettelyt Tilannetietoisuus ja kriittisten toimintojen tunnistaminen Toimenpide Lainsäädäntö, normit ja ohjeet on tunnettava. ICT-varautuminen on otettava huomioon tietohallintoa koskevissa ohjeistuksessa, standardeissa ja teknisissä määräyksissä sekä niiden käytössä. YETTS -erityistilanteiden hoitaminen (toimivaltuudet, resurssien käyttö) on huomioitava. Varautumissuunnitelmien dokumentointi ja toteutettavuus on varmistettava. ICT-varautumisen tulee olla sisäänrakennettuna organisaatioiden ydintoimintaprosesseihin ja niitä tukevaan muuhun varautumiseen ICT-varautumisen vastuut ja tehtävät on liitettävä TTS-prosessiin ja tulosohjaukseen (tavoitteet, resurssit, mittarit, raportointi), työjärjestyksiin sekä johdon ja asiantuntijoiden tehtäväkuvauksiin. Palveluntuotantoketjuun on ulotettava oikein mitoitetut auditointi- ja arviointimenettelyt. Vaatimuksia vastaavat tarkastusluettelot ja ohjeistot on oltava tarkastus- ja controller-toiminnan osana. Tarkastajien ja auditoijien varautumisen ja tietoturvallisuuden erityisosaamista tulee kehittää. Toimintaa tukevan ICT:n kehittämisessä ja ylläpidossa tulee hyödyntää uhka- ja turvallisuustilannearviointia osana organisaation riskianalyysiä, joka sisältää myös tulevaisuustarkastelut. On huomioitava muiden verkoston osapuolien suorituskyky- ja jatkuvuusvaatimukset. Palveluverkostot ja alihankintaketjut on tunnistettava Mahdolliset rajoitteet palvelujen tuottamisessa ulkomailla on linjattava. On määritettävä mille kriittisen palvelun osille asetetaan erityisvaatimuksia; esimerkkinä käyttäjähallinnan toteutus Suomessa suomalaisella henkilökunnalla. Sopimuksissa on otettava huomioon erityistilanteiden edellyttämät toimittajien ja sisäisten palvelutuottajien vastuu- ja priorisointivaraukset. Yritysturvallisuussopimukset tulee laatia ja auditoida yhtenäisesti ja systemaattisesti. Sisäisille ja ulkoisille palveluntuottajille on asetettava yhtäläiset vaatimukset. Organisaatioiden on kyettävä kokoamaan ICT-varautumisen kehittämisen ja YETTS-erityistilanteen hoitamisen edellyttämät tilannetiedot koko palveluverkostosta. Toimintojen, palvelujen ja järjestelmien merkitys eri turvallisuustilanteissa on tunnistettava. Organisaatioiden palveluille ja järjestelmille on määritettävä varautumisen tavoitetaso, palvelutasovaatimukset ja tärkeysluokitukset myös YETTS-erityistilanteisiin. Kriittinen ICT ja sen kriittisimmät yksittäiset osat on tunnistettava ja kuvattava. Kriittisten toimintojen ja järjestelmien ylläpito- ja resursointivastuut on määritettävä. Tarvittavat varaukset omista ja toimittajan resursseista (VAP) on ylläpidettävä.

14 Tietotekninen infrastruktuuri Osaamistarpeet, koulutus ja harjoittelu Kriittisille tietojärjestelmille, -tietokannoille, rekistereille ja tietoliikenteelle on määriteltävä jatkuvasti ylläpidettävät palvelukohtaiset eri turvallisuustilanteiden käytettävyysvaatimukset sekä huomioitava ne sopimusrakenteissa. Palvelutasovaatimusten ja tärkeysluokittelujen mukaiset jatkuvuuden hallinnan toimintaohjeet, menettelytavat ja tietotekniset ratkaisut on toteutettava. Kriittisten tietojärjestelmien toiminta tulee varmistaa siten, että ne on sijoitettu sellaiseen tuotantoympäristöön, jossa rakenteet on suunniteltu ja toteutettu häiriö- ja erityistilanteita sekä poik-keusoloja varten. Valtion hallitsemien suojattujen ja rakennettujen laitetilojen yhteiskäyttöä on hyödynnettävä sijoittamalla niihin kriittisiä palveluja tuottavia tietojärjestelmiä, tietovarantoja ja tietoliikenneverkon laitteita sekä tarvittaessa käyttöön otettavaa lisäkapasiteettia. On kehitettävä ja ylläpidettävä valmiutta varajärjestelyjen käyttöönottoon. Kriittiset osaamistarpeet on tunnistettava ja luotava osaamisprofiilit, joita hyödynnetään rekrytoinnissa, tehtäväkierrossa, koulutuksessa ja erityistilanteiden hallinnassa. Soveltuva koulutus on kartoitettava ja hyödynnettävä opetuslaitosten ICT -varautumista tukevaa koulutustarjontaa. ICT -varautuminen on oltava osa organisaatioiden harjoituskokonaisuutta. Yhteisten harjoituskehysten ja tilannekuvausten käyttöä on kehitettävä organisaatioiden järjestämissä varautumis- ja valmiusharjoituksissa. Palveluketjun ja -verkoston toimintakykyä tulee testata säännöllisesti. Harjoituksissa on hyödynnettävä poikkeusoloja varten luotuja toimitiloja ja muita järjestelyjä. Harjoituskokemuksia on systemaattisesti hyödynnettävä toiminnan kehittämisessä.

15 1 Johdanto 1.1 Yleistä Tämän käsikirjan tarkoituksena on antaa organisaatioille yhteiset perusteet helpottamaan ja yhtenäistämään ICT-toimintojensa häiriötilanteisiin ja poikkeusoloihin varautumisen suunnittelua ja toteutusta. Käsikirja helpottaa ICT-varautumisen sisällyttämistä osaksi jo olemassa olevia organisaation prosesseja ja työtapoja. Käsikirja pohjautuu valtiovarainministeriössä 1.10.2007-30.6.2008 tehtyyn valtionhallinnon ICT-varautumisen esitutkimukseen 2. Käsikirjan kohderyhmänä on organisaatioiden ylin johto sekä toimiala-, tietohallinto-, turvallisuus- tietoturva- ja valmiusjohto. Käsikirjaa täydentää valtiovarainministeriön erillisenä asiakirjana julkaisema ICT-palvelujen jatkuvuuden hallinnan, tiedon turvaamisen ja varautumisen toteutusvaatimukset. Tähän käsikirjaan liittyy myös huoltovarmuusorganisaation (HVO) Sopimuksiin perustuva varautuminen hankkeessa tuotettava yritysverkoston sopimushallintaa ohjaava aineisto. Yhteiskunnan elintärkeiden toimintojen turvaamisen strategian (YETTS) mukaan varautuminen käsittää kaikki ne toimenpiteet, joilla varmistetaan tehtävien mahdollisimman häiriötön hoitaminen kaikissa turvallisuustilanteissa. YETTS 3 määrittelee yhteiskunnan elintärkeiksi toiminnoiksi seuraavat seitsemän (7) toimintoa: Valtion johtaminen Kansainvälinen toiminta Valtakunnan sotilaallinen puolustaminen Sisäisen turvallisuuden ylläpitäminen Talouden ja infrastruktuurin toimivuus Väestön toimeentuloturva ja toimintakyky Henkinen kriisinkestävyys. 2 Valtionhallinnon ICT-varautuminen, esitutkimusraportti http://www.vm.fi/vm/fi/04_julkaisut_ja_asiakirjat/01_julkaisut/04_hallinnon_kehittaminen/20081113valtio/name.js 3 Yhteiskunnan elintärkeiden toimintojen turvaamisen strategia, Valtioneuvoston periaatepäätös, 23.11.2006. www.yett.fi

16 Strategiassa on myös kuvattu elintärkeiden toimintojen jatkuvuutta vaarantavia uhkia. Uhkamalleihin sisältyviin erityistilanteisiin on strategiassa nimetty tilanteen hallinnasta ja niihin varautumisesta vastaavat ministeriöt. ICT-toimintoja kehitettäessä on varauduttava normaaliolojen häiriö- ja erityistilanteisiin. ICT-varautuminen on pääosin riskien hallintaan pohjautuvaa jatkuvuuden hallintaa, tiedon turvaamista sekä häiriö- ja erityistilanteiden hallintaa. Kuva 1. ICT-varautuminen on jatkuvuuden hallintaa ja tiedon turvaamista Normaaliolot ICT-varautuminen YETTS-erityistilanteet Häiriötilanttet Poikkeusolot ICT-toiminnan jatkuvuuden hallinta Riskienhallinta Valmius Johtaminen Tilannetietoisuus Tiedon turvaaminen Häiriö- ja erityistilanteiden hallinta Jatkuvuussuunnittelu Valmiussuunnittelu Tietojärjestelmä ratkaisut ja -palvelut koostuvat sovelluksista, tietovarannoista, tietoverkoista, muusta ICT-infrastruktuurista ja niiden oheisjärjestelmistä, tietoturvallisuudesta sekä niihin liittyvästä ylläpidosta, järjestelmähallinnasta ja teknisestä tuesta. Tästä tietohallinnon ja tietotekniikan kokonaisuudesta käytetään lyhennettä ICT (Information and Communication Technology). Kriittisiä ovat sellaiset ydintoimintoja tukevat ICT-rakenteet, jotka ovat välttämättömiä YETTS:n mukaisen erityistilanteen hoitamisessa ja joiden toimimattomuus estää usean keskeisen organisaation, järjestelmän tai palvelun toiminnan. Kriittisyyttä tarkastellaan yhteiskunnan, valtionhallinnon, hallinnonalan ja organisaation näkökulmista. Keskeisiä ovat sellaiset ICT-rakenteet, joiden toimimattomuus vaikeuttaa merkittävästi organisaation tehtävien suorittamista, aiheuttaa merkittäviä taloudellisia tai muita vahinkoja tai heikentää henkilöstön turvallisuutta.

17 Yhteiskunnan toiminta sisältää seuraava kuvan mukaisesti useita ulottuvuuksia, joiden tulee toimia saumattomasti yhteen. Kuva 2. Valtionhallinnon ICT-toiminta on osa yhteiskunnan ICT-palveluja Varautumisen yleisohjaus, VNOS, YETTS Kansainvälinen ympäristö (EU, NATO, OECD yms) Valtion IT Palvelun tuottajat, talouselämä Alue- ja paikallishallinto Muu julkishallinto/ yhteisöt Kansalaispalvelut 1.2 Säädösperusta Viranomaisten velvollisuus varautua poikkeusoloihin perustuu valmiuslakiin. Varautumista koskeva säädäntö määrittää valtionhallinnon tasoiset ja hallinnonalakohtaiset vastuut. Säädännössä määrätään varautumisvelvoitteita tai tehtäviä erilaisille toiminnoille tai organisaatioille. Ministeriöiden toimialasta ja asioiden jaosta niiden kesken säädetään lailla tai valtioneuvoston asetuksella. Yleiset ministeriöiden toimialasäännökset ja yhteensovittamisvelvollisuudet ovat valtioneuvoston asetuksena annetussa valtioneuvoston ohjesäännössä (VNOS). Ministeriökohtaisissa valtioneuvoston asetuksissa on tarkemmat säännökset ministeriön tehtävistä. Eri alojen lainsäädännössä, laeissa, asetuksissa ja valtioneuvoston periaatepäätöksissä on erityisiä säännöksiä ministeriöiden toimialaan kuuluvista asioista.

18 1.3 Turvallisuusympäristö ja arvio sen kehittymisestä Valtionhallinnon kaikki toiminta on verkostoitunutta sekä julkishallinnon sisällä että yhteiskunnan muiden toimijoiden kanssa myös kansainvälisesti. Hallinnon palvelut ja toiminnot rakentuvat tietoteknisten peruspalvelujen ja sovellusten sekä perusrekisterien ja muiden tietovarantojen varaan. Näiden toiminta riippuu korostuneesti tietoliikenteen toimivuudesta ja sähkön saatavuudesta. Tätä palveluverkostoa ylläpitää valtionhallinnon sisäisistä ja ulkoisista palvelutoimittajista muodostuva verkosto. Kuva 3. Turvallisuusympäristön hallinta edellyttää yhteistoimintaa Turvallisuusympäristön muutokset Uhkien tunnistaminen ja ja seuranta Riskien hallinta Häiriötilanteet YETTS- - erityistilanteet Oma toiminta Palvelun tuottajat- CERT-FI 24/7 Tilannetietoisuus Infrastruktuurin käytettävyys ICT-palvelut Kansalaiset Julkishallinto Elinkeinoelämä Yhteiskunta Globaaliympäristö Valtionhallinnon, hallinnonalojen, virastojen ja kuntien toiminnan ja palvelujen jatkuvuuden takaaminen ja tiedon turvaaminen edellyttävät palveluverkoston varautumista ICT-toiminnan häiriötilanteisiin. Normaaliolojen häiriötilanteita varten toteutetut toimintamallit ja ratkaisut ovat perusta erityistilanteiden hoitamiselle ja toiminnalle poikkeusoloissa. Todennäköisyys tilanteelle, jossa samanaikaisesti tapahtuu useita erityyppisiä häiriötilanteita kasvaa jatkuvasti. Tämän päivän tietotekniselle toimintaympäristölle on tyypillistä uhkien äkillinen realisoituminen sekä niiden vaikutusten nopea ja ennalta arvaamaton laajentuminen. Häiriö voi syntyä luonnonilmiöstä, onnettomuudesta, sähkökatkosta, tietojärjestelmävirheestä, laatuvirheestä, tietoliikennekatkosta, laiteviasta, toiminta- tai käyttövirheestä, tietokatkosta tai väärinymmärryksestä. Häiriö voidaan aiheuttaa myös tahallisesti, kuten tietoverkkoon (ml. laitteisiin, järjestelmiin) kohdistettu vahingonteko, ilkivalta tai tietoverkkohyökkäys. Tietoteknisesti tai fyysisesti heikosti suojattu palvelu (mukaan luettuina järjestelmät, sovellukset, tietoverkot, tieto) voi olla tietojen urkinnan tai muun rikollisen toim-

19 innan kohde; tietojärjestelmän haltuunotonyritys tai palvelun lamauttaminen. Järjestäytyneen rikollisuuden ja valtiollisen tiedustelutoiminnan kohdistamien haittaohjelmien kautta luottamuksellisia tietoja voi joutua asiaankuulumattomille tahoille. Yhtenä keskeisenä haasteena häiriötilanteissa on osaavan henkilöstön tavoitettavuus ja saatavuus. Osaamisen saatavuuteen ja käytettävyyteen oman riskinsä voi muodostaa myös työtaistelutoimet, yritysten myynti, agressiiviset henkilöstön värväämiset kilpailevista organisaatioista sekä lamasta johtuvat henkilöstön irtisanomiset. Kuva 4. Uhkat kohdistuvat koko palveluverkostoon Palvelujen tuottajat Uhkaympäristö Sidosryhmät? Äkillisyys Ennakoimattomuus Eskaloituminen Järjestelmä A Järjestelmä B Tietovaranto Perusrekisteri Palvelujen käyttäjät Normaaliolojen häiriöt Ministeriö x Virasto y paikallinen alueellinen valtakunnallinen -- globaali sekuntteja minuutteja tunteja vuorakausia -- viikkoja Kunta z YETTS - erityistilanne Häiriöt eri turvallisuustilanteissa ovat samantyyppisiä, mutta niiden kohde, laatu ja vaikutus voivat vaihdella. Häiriö- ja erityistilanteet voivat vaikuttaa suoraan tietotekniseen kokonaisuuteen tai välillisesti ICT:n tukirakenteisiin (esimerkiksi henkilöstöön). Erityistilanteiden hoitamiseen liittyvät kansalaisten ja yhteiskunnan tarpeet saattavat myös asettaa lisävaatimuksia sähköisille palveluille ja tietojärjestelmille.

20 Seuraavassa taulukossa on karkea arvio YETTS-erityistilanteista niiden ICT-vaikutuksen pohjalta. YETTS uhkamalli Sähköisen infrastruktuurin häiriintyminen Väestön terveyden ja toimeentulon vakava häiriintyminen Taloudellisen toimintakyvyn vakava häiriintyminen Suuronnettomuudet ja luonnon aiheuttamat onnettomuudet Ympäristöuhkat Terrorismi sekä järjestäytynyt ja muu vakava rikollisuus Väestöliikkeisiin liittyvät uhkat Poliittinen, taloudellinen ja sotilaallinen painostus Sotilaallisen voiman käyttö ICT-vaikutus Selite: A = vaikutus kohdistuu suoraan ICT-infrastruktuuriin B = vaikutus kohdistuu ICT-infrastruktuurille välttämättömiin tukirakenteisiin ja heikentävät ICT:n käytettävyyttä C = Erityistilanteen hoitaminen aiheuttaa merkittäviä erityisvaatimuksia valtiohallinnon ICT:n toiminnalle ja käytettävyydelle D = Tilanteen hoitaminen asettaa erityisvaatimuksia hallinnonalan sisäiselle ICT:lle A D/C D/C B/A C B/A D B A Organisaatioiden on analysoitava tehtäviään ja toimintaansa YETTS-erityistilanteiden suhteen ja tuotettava tästä tarpeet toimintansa jatkuvuuden hallinnalle sekä vaatimukset ennakolta tehtäville suojaamis- ja varmentamistoimenpiteille.

21 2 ICT-varautumisen ohjaus 2.1 ICT-varautumisen ohjauksen kehittäminen Tavoite ICT-varautumisen ohjauksen kehittämisessä: ICT-varautuminen on kiinteä osa valtion tietohallinnon kehittämistä ja toteuttamista ohjaavissa strategioissa ja muissa asiakirjoissa. ICT-varautumiselle asetetaan kaikilla tasoilla selkeät tavoitteet, resurssit ja mittarit osana normaalia tulosohjausprosessia ja tarkastustoimintaa. Tavoiteltava hyöty ICT-varautumisen kytkeminen tiiviisti tulosohjausprosessiin mahdollistaa tarpeisiin perustuvien tavoitteiden asettamisen, oikein mitoitettujen resurssien osoittamisen sekä saavutettujen tulosten todentamisen. Mahdollistaa järjestelmien toteuttamisen hallinnonaloilla kokonaistaloudellisesti siten, että niiden toiminta jatkuu hallitusti sekä häiriötilanteissa että vaikeissa erityistilanteissa. ICT-varautumisen toimenpiteiden ohjaaminen ja raportointi toteutetaan normaalin toiminnanohjauksen yhteydessä. Tätä on muun muassa strateginen suunnittelu, arkkitehtuurien määrittäminen, toiminnan ja talouden suunnittelu, laatujärjestelmä, hankeohjaus ja hankintojen ohjaus. Tukevia toimintoja ovat muun muassa raportointi sekä tarkastustoiminta, kuten controller-toiminta, sisäinen tarkastus ja erilaiset auditoinnit. Kehitettäessä ICT-varautumisen ohjausta virastoissa osana muuta toiminnan ohjausta tulee ottaa huomioon seuraavat asiakokonaisuudet: - ohjaavat säädökset ja niiden kehittämistarpeet - ICT-varautumisen huomioiminen strategia-asiakirjoissa, TTS, TA- ja tulosohjausprosessissa sekä työjärjestyksissä ja tehtäväkuvauksissa - hankeohjaus ja hankintaprosessit.

22 2.2 Valtiotason ohjaus Varautumisen kokonaisohjauksesta vastaa valtioneuvoston kanslia ja kukin ministeriö oman hallinnonalansa osalta. Yhteensovittaminen valtioneuvostossa virkamiestasolla tapahtuu ministeriöiden kansliapäällikkö- ja valmiuspäällikkökokouksissa. Valtion yhteistä IT-toimintaa ja ICT-varautumista ohjaa valtiovarainministeriö tukenaan valtion IT-johtoryhmä. VAHTI-johtoryhmässä koordinoidaan valtionhallinnon tietoturvallisuuden johtamista ja kehittämistä VAHTI-ohjeiston avulla. Hallinnonalat ohjeistavat lisäksi omaa toimintaansa. Turvallisuus- ja puolustuspoliittisesta selonteosta ja Yhteiskunnan elintärkeiden toimintojen strategiasta on johdettavissa suoraan ja välillisesti velvoitteita varautumisen toteuttamiselle. Seuraavassa kuvassa on esitetty varautumisen toteutuksen ohjauksen osaalueita. Kuva 5. Ohjauselementit Ministeriöt Virastot VARAUTUMINEN ICT-VARAUTUMINEN Tietohallinto - Turvallisuus Tietoturva - Valmius Tilannetietoisuus Jatkuvuuden hallinta Erityistilanteen hallinta Toipuminen Toimeenpanon ohjaus Todennus: VTV controller sis. tark. harjoitukset Strategiat: Hallitusohjelma VNS YETTS Perusteet: säädökset työjärjestys toimintatapa Toiminnan ohjaus: TTS, TA tulosohjaus tuotannon ohjaus raportointi Kehittämisen ohjaus: arkkitehtuuri kärkihankkeet hankeohjaus hankinta