Hallinnon tietotekniikakeskus Allekirjoitettu id8143368 1 (8) 26.04.2011 HAL/2011/136 HALLINNON TIETOTEKNIIKKAKESKUS HALTIK TIETOTILINPÄÄTÖS 2010 Hallinnon tietotekniikkakeskus Rantavitikantie 33, PL 56, 96301 ROVANIEMI kirjaamo@haltik.fi Puh. +358 71 878 0151, Faksi +358 71 878 7500
2 (8) 1 Johdanto... 3 1.1 Johdon katsaus... 3 1.2 Hallinnon tietotekniikkakeskuksen raportointivelvollisuus ja oma tietosuojatyö... 4 2 Käyttövaltuuksien hallinta... 4 2.1 Yleistä... 4 2.2 Merkittävien järjestelmien käyttövaltuuksien tunnuslukuja... 5 2.3 Käyttäjien valtuustietojen ylläpito organisaatioittain... 5 3 Verkonhallinta... 5 3.1 Internet käyttö... 5 3.2 Sähköpostin määrä (1000 kpl)... 5 3.3 Tietoliikenneverkon käytettävyys % (kuukausikeskiarvo)... 6 3.4 Tietoliikenneverkon datamäärät (GB)... 6 3.5 Tietoliikenneverkon virustorjunta ja roskapostin esto (1000 kpl)... 6 4 Järjestelmien ylläpito... 6 4.1 Järjestelmien määrä... 6 4.2 Lisäykset rekistereihin... 6 4.3 Varmistukset... 7 4.4 Poistoajot järjestelmittäin... 7 5 Tietoturvapoikkeamat... 7 6 Turvallisuusselvitykset (kpl)... 7 7 Raportoitaviin tietojenkäsittelytehtäviin käytetyt henkilöresurssit... 8
3 (8) 1 Johdanto 1.1 Johdon katsaus Vuosi 2010 oli HALTIKin kolmas toimintavuosi. HALTIKin palvelujen tuotanto ja kehityshankkeet toteutettiin ilman pitkäkestoisia häiriöitä tai poikkeamia. Samalla vuosi 2010 oli HALTIKin ensimmäinen toimintavuosi kokonaan nettobudjetoituna virastona. Palvelut tuotettiin asiakkaiden kanssa solmittujen palvelusopimusten mukaisesti. Palveluja tuotettiin sisäasiainministeriölle, Poliisille, Rajavartiolaitokselle, Hätäkeskuslaitokselle, Maahanmuuttovirastolle, Joutsenon ja Oulun vastaanottokeskuksille, valtion talous- ja henkilöstöhallinnon palvelukeskukselle, valtiovarainministeriölle, oikeusministeriölle, ulkoasiainministeriölle, Tullille, Väestörekisterikeskukselle, aluehallintovirastoille, elinkeino-, liikenne- ja ympäristökeskuksille ja Suomen Erillisverkot Oy:lle. Vuonna 2010 suoritetun asiakastyytyväisyyskyselyn perusteella voidaan todeta, että asiakkaat ovat edelleen hyvin kriittisiä HALTIKin tuottamien palvelujen suhteen. Kehittämistoimenpiteiksi sovittiin johtamisen ja viestinnän kehittäminen. Tuotettujen palveluiden laskutus perustui toteumaan. HALTIKin talouden toteuma vuonna 2010 oli 42 miljoonaa euroa. Vuonna 2010 HALTIKissa kehitettiin merkittävästi tuloksellisuuden laskentatointa ja erityisesti kustannusten kohdentamisen seurantaa asiakkaille, palveluille ja projekteille. HALTIKin laskutusteho vuonna 2010 oli 75,36 %, mikä on erittäin hyvä tulos nettobudjetoidulle virastolle. HALTIKin perustehtävä on kuluneiden kolmen vuoden aikana selkiytynyt. Vuoden 2010 kesäkuussa hyväksytyssä HALTIKin strategiassa todetaan, että HALTIKin perustehtävä on kehittää, hankkia, tuottaa ja ylläpitää sisäasiainministeriön hallinnonalan strategisena palvelukeskuksena hallinnonalan virastojen ja laitosten korkean käytettävyyden ja turvallisuuden tieto- ja viestintätekniset palvelut. Edelleen strategiassa todetaan, että HALTI- Kin päätehtävät ovat: Tuottaa sisäisen turvallisuuden keskeiset tietojärjestelmät ja säädetyt tai määrätyt turvallisuusverkon palvelut. Hankkia hallinnonalan yhteiset palvelut ja hallinnollisten palveluiden integraatiopalvelut sekä tuottaa ICT asiantuntijapalvelut. HALTIKin toiminnan tavoitteiden saavuttamisen avaintekijät ovat korkea osaaminen ja kustannustehokkuus. HALTIKin osaamisen tavoitetila määräytyy strategian tavoitetilan perusteella eli tulevaisuudessa edelleen HALTIKissa syvennetään osaamista sisäisen turvallisuuden ja maahanmuuton tieto- ja viestintäteknologiassa. Vuoden 2010 keväällä valtiovarainministeriön asettamien periaatteiden mukaisesti tehdyssä selvityksessä todettiin, että HALTIKin tuottaman työasemapalvelun hinta on 1100 euroa/työasema/vuosi, kun valtion maksama keskiarvohinta tästä palvelusta on 1300 euroa/työasema/vuosi. HALTIKin työasemapalvelun kustannus siis alentaa valtion maksamaa keskiarvohintaa, vaikka palvelultamme odotetaan korkeaa tietoturvallisuutta ja varautumista. Aluepalveluyksikön henkilöstö, joka pääasiassa huolehtii työasemapalvelun tuottamisesta voi hyvillä mielin olla ylpeitä sekä työn laadukkuudesta että kustannustehokkuudesta. Myös HALTIKin henkilötyön tuntihinta on hyvin edullinen, korkeimman luokan asiantuntijatyömme hinta vuonna 2010 oli ainoastaan 77 euroa/h.
4 (8) HALTIKin virkojen määrä vuoden 2010 lopussa oli 345 vakituista ja 69 määräaikaista virkaa. Toimintavuoden alussa HALTIKissa aloitti uutena yksikkönä sisäasiainhallinnon palvelukeskuksesta siirretty yhteyspalveluyksikkö. Vuonna 2010 myös jatkettiin vuonna 2008 hyväksytyn toimipaikkasuunnitelman mukaista toimipaikkojen keskittämistä sekä uuden toimitalon rakentamista Rovaniemelle. 1.2 Hallinnon tietotekniikkakeskuksen raportointivelvollisuus ja oma tietosuojatyö HALTIKista annetun asetuksen 2 :ssä säädetään, että tietotekniikkakeskuksen tulee raportoida sen toimialaan kuuluvien tietojen käsittelyä koskevista merkittävistä asioista sisäasiainministeriölle ja tietosuojavaltuutetulle vuosittain huhtikuun loppuun mennessä. Raportin sisältöön antaa oman erityispiirteensä HALTIKin rooli palveluntuottajana suhteessa järjestelmien tietosisällön omistajaan. Raportti kertoo HALTIKin toiminnan volyymeista sekä tietosuojan ja tietoturvan tapahtumista tunnusluvuin. Yleisesti tietotilinpäätöksen tavoitteena on sisältää keskeiset tietosuojaan ja -turvaan liittyvät organisaation tiedot. Siitä tulee näkyä analyysit organisaation tietovarannoista, tietojen kulusta, tilastotiedot kuten tunnusten määrä ja käyttöoikeustiedot, kuinka käyttöä valvotaan, väärinkäytökset, samoin siitä tulisi selvitä tietojenkäsittelyn ulkoiset uhat, hakkeroinnit, tietoturvaloukkaukset ja haittaohjelmat. Laatutyön osalta tietotilinpäätöksen tehtävänä on kertoa, onko tieto ajan tasalla, mitä vanhalle tiedolle tehdään, onko tietoa hävitetty ja onko tieto hävitetty turvallisesti. HALTIKin toimialaan kuuluvia keskeisiä tietotilinpäätöksellä raportoitavia merkittäviä tietojenkäsittelytehtäviä ovat käyttövaltuuksien hallintatehtävät, sisäasiainministeriön verkon hallintatehtävät, järjestelmien ylläpito sekä järjestelmien tietosisällön ylläpito-, säilyttämis- ja hävittämistehtävät. Raportointi rajataan siten, ettei raportissa mainita tietoja HALTIKin ylläpitämien rekisterien rekisterinpitäjien raportointivastuun piiriin kuuluvista seikoista. 2 Käyttövaltuuksien hallinta 2.1 Yleistä Käyttövaltuuksien hallinnointiin käytetään OIVA -järjestelmää. OIVAlla hallitaan kaikkien sisäministeriön hallinnonalan merkittävien tietojärjestelmien käyttöoikeuksia. OIVA -järjestelmässä käyttöoikeushakemus tehdään järjestelmässä määrätylle esimiehelle. Esimiehen hyväksynnän jälkeen hakemus menee tarvittaessa ennalta määrättyyn rooliperusteiseen hyväksyntäprosessiin ennen käyttöoikeuden teknistä toteutusta. Oikeuksien lisäyksen lisäksi OIVAn kautta hoidetaan myös oikeuksien poistot, yksikkömuutokset ja organisaatiomuutokset. OIVAssa ylläpidetään 2010 joulukuun tiedon mukaan 2.500 erilaista käyttöoikeutta, 21.600 aktiivista p-tunnusta ja 206.200 aktiivista roolia. Yhdestä järjestelmästä voi OIVAssa olla useampi rooli haettavana, vastaavasti yksi rooli voi sisältää useamman vaihtoehdon haettavasta oikeudesta. HALTIK on laatinut vuonna 2010 OIVAn rekisteriselosteen. Lisäksi helmikuussa 2010 hallinnonalan virastoja on pyydetty tietojen ajantasaisuuden varmistamiseksi tarkasta-
5 (8) maan henkilöstönsä tiedot. Koska HALTIK on OIVA -järjestelmän tekninen ylläpitäjä, kuuluu rekisterinpitäjän tehtävät kullekin asiakasvirastolle oman tietosisältönsä osalta. 2.2 Merkittävien järjestelmien käyttövaltuuksien tunnuslukuja Ylläpidettyjen käyttäjätunnusten määrä 2008 2009 2010 Patja 32 450 31 939 33 269 Poliisikone (Halti, LTJ/ATJ, Kuvaminttu, 13 232 14 241 14 692 PoliTrip) EPRI 2 522 2 409 2 563 Kansallinen Schengen 12 847 13 147 13 201 2.3 Käyttäjien valtuustietojen ylläpito organisaatioittain Käyttöoikeuksien hallintajärjestelmä on sisäasiainministeriön virastojen järjestelmä. Yksityiskohtainen tilastotieto kuuluu järjestelmän rekisterinpitäjien raportointivelvollisuuden piiriin. 3 Verkonhallinta 3.1 Internet käyttö HALTIKin verkonhallintapalvelut vastaa asioista, jotka koskevat sisäasiainministeriön runkoverkkoa ja siinä tuotettuja palveluita. Verkonhallintapalvelu tuottaa tilastoaineistoa SMCore -runkoverkon ja sen palveluiden käytöstä. Keskeisiä seurattavia toimintoja ovat Internet käyttö, sähköpostin määrä, käytettävyys, datamäärät, virustorjunta ja roskapostin esto sekä hyökkäyksien torjunta. 2008 2009 2010* Sivuhakujen kappalemäärä (1000 kpl) 1.328.899 1.902.145 2.170.760 Haetun datan määrä Gigatavuina (GB) 31 601 38 390 35 306 *Net Tracker oli pois toiminnasta loka - joulukuun 2010 aikana, jolloin raportointitietoa ei saatu kerättyä. Syyskuun loppuun 2010 mennessä kasvua vuoden 2009 vastaavaan lukuun oli 62,2 %. Haetun datan määrässä oli vastaavasti kasvua 28,4 %. 3.2 Sähköpostin määrä (1000 kpl) Teamware (2009 toukokuun loppuun) 2008 2009 Vastaanotetut 17 149 5 869* Lähetetyt 11 857 1 430* * = muutoksen suuruus johtuu uuden sähköpostijärjestelmän (Exchange) käyttöönotosta
6 (8) EXCHANGE (2009 kesäkuun alusta lukien) 2009 2010 Ulkopuolelta tullut 337 5 416 Ulkopuolelle lähtenyt 104 1 895 Sisäinen liikenne 1 085 14 771 3.3 Tietoliikenneverkon käytettävyys % (kuukausikeskiarvo) 2008 2009 2010 Sisäpuolen palomuuri 99,85 99,98 99,86 Ulkopuolen palomuuri 99,81 99,97 99,94 VIRVE- verkko 99,82 99,95 99,85 Runkoverkko 99,65 99,89 99,87 Konesaliverkko 99,89 99,95 99,86 VOIP 99,90 99,98 99,93 3.4 Tietoliikenneverkon datamäärät (GB) 2008 2009 2010 Ulkopuolen palomuuri 94 075 78 178 109 436 Etäkäyttö 634 518 400 Palvelumuurit - 9 282 11 006 3.5 Tietoliikenneverkon virustorjunta ja roskapostin esto (1000 kpl) 2008 2009 2010 Havaitut http-virukset 2,8 6,9 7,2 Havaitut sähköpostivirukset 71,9 9,3 3,9 Estetyt roskasähköpostit 64 600,0 27 221,2 23 484,8 4 Järjestelmien ylläpito 4.1 Järjestelmien määrä HALTIK tuotti vuonna 2008 31 valtakunnallista järjestelmää ja vuonna 2009 samoin 31 järjestelmää. Vuonna 2010 valtakunnallisten järjestelmien määrä oli 33. 4.2 Lisäykset rekistereihin Hätäkeskuslaitoksen sekä Rajavartiolaitoksen rekistereiden tietosisältöjä koskeva raportointi kuuluu ko. virastojen raportointivelvollisuuteen. Poliisin järjestelmien, esimerkiksi Patja -järjestelmän yksityiskohtainen tieto kuulutuslajeittain (etsintäkuulutettu henkilö, tekotapa, kadonnut henkilökuulutus, kiinniotettu henkilö, matkustuskielto, rikoksesta epäilty, yjt -kiinniotto, tuntematon vainaja, turvallisuustiedot, lähestymiskieltoon määrätty, lähestymiskiellolla suojeltavat, ajoneuvokuulutukset, omaisuuskuulutukset) kuuluu poliisin raportointivelvollisuuteen.
7 (8) 4.3 Varmistukset Palvelimet varmistetaan kerran vuorokaudessa. Poikkeuksen tekee mm. Exchange palvelimet joista tehdään lisävarmistus kaksi kertaa virka-aikana. Varmistus kohdistuu koko palvelimeen, elleivät sovellusvastuuhenkilöt ole rajoittaneet varmistettavan tietosisällön kohteita. Varmistukset toteutetaan pääasiassa Tivoli Storage Manager ohjelmistolla. Säilytysajat on määritetty järjestelmäkohtaisesti. 4.4 Poistoajot järjestelmittäin Hätäkeskuslaitoksen, Poliisin järjestelmien sekä Rajavartiolaitoksen rekistereiden yksityiskohtainen poistotietoa koskeva raportointi kuuluu ko. virastojen raportointivelvollisuuteen. 5 Tietoturvapoikkeamat HALTIK raportoi sisäasiainministeriölle kolmannesvuosittain tietototurvallisuudesta ministeriön raportointikäytännön mukaisesti. Raportoitavat tietoturvallisuuden osa-alueet ovat: - hallinnollinen tietoturvallisuus - henkilöstöturvallisuus - fyysinen turvallisuus - tietoliikenneturvallisuus - laitteistoturvallisuus - ohjelmistoturvallisuus - tietoaineistoturvallisuus - käyttöturvallisuus - tietoturvallisuushankkeet ja tietoturvallisuuden kehittäminen - varautuminen ja valmiussuunnittelu. 6 Turvallisuusselvitykset (kpl) HALTIK teettää viraston uudesta henkilöstöstä sekä virastolle palvelua tuottavien yritysten palvelun tuottamiseen osallistuvasta henkilöstöstä turvallisuusselvityslain mukaisen turvallisuusselvityksen. 2008 2009 2010 Suppeat turvallisuusselvitykset 41 242 659 Perusmuotoiset turvallisuusselvitykset 585 700 854 Laajat turvallisuusselvitykset - 1 - Turvallisuusselvitysten määrän kasvu vuosina 2009 ja 2010 johtuu pääosin TUVE hankkeesta ja Rovaniemen toimitilan rakennushankkeesta.
8 (8) 7 Raportoitaviin tietojenkäsittelytehtäviin käytetyt henkilöresurssit Resurssikuvauksen tavoitteena on luoda kuva siitä henkilöresurssimäärästä henkilötyövuosina, jonka virasto käyttää tietoturvaan liittyviin tehtäviin. Vertailutietoa vuodelta 2008 ei ole käytettävissä. 2009 2010 Tietoturvatyö 4,1 2,6 Rekisterien tietosisällön valvonta 2,2 3,1 Käyttöoikeuksien hallinta 7,5 2,4 Verkonhallinta 6,2 5,3 Järjestelmien ylläpito 25,5 51,0 ALLEKIRJOITUKSET Johtaja Hallintojohtaja Tuija Kuusisto Mauri Posio Asiakirja on sähköisesti allekirjoitettu asiankäsittelyjärjestelmässä. Haltik 28.04.2011 klo 09.59. Allekirjoituksen oikeellisuuden voi todentaa kirjaamosta. JAKELU TIEDOKSI hallintojohtaja Janne Kerkelä, SM/Hallinto-osasto neuvotteleva virkamies Tiina Ferm, SM/Hallinto-osasto tietosuojavaltuutettu Reijo Aarnio, Tietosuojavaltuutetun toimisto tietohallintopäällikkö Tapani Hämäläinen, POHA rekisterinpitopäällikkö Jari Råman, POHA