Päätös id8731759 1 (8) Allekirjoitettu 01.02.02 HALLINNON TIETOTEKNIIKKAKESKUS HALTIK TIETOTILINPÄÄTÖS 2011
Päätös id8731759 2 (8) Allekirjoitettu 01.02.02 1 Johdanto...3 1.1 Johdon katsaus...3 1.2 Hallinnon tietotekniikkakeskuksen raportointivelvollisuus ja oma tietosuojatyö...4 2 Käyttövaltuuksien hallinta...4 2.1 Yleistä...4 2.2 Merkittävien järjestelmien käyttövaltuuksien tunnuslukuja...5 2.3 Käyttäjien valtuustietojen ylläpito organisaatioittain...5 3 Verkonhallinta...5 3.1 Internet käyttö...5 3.2 Sähköpostin määrä (1000 kpl)...5 3.3 Tietoliikenneverkon käytettävyys % (kuukausikeskiarvo)...6 3.4 Tietoliikenneverkon datamäärät (GB)...6 3.5 Tietoliikenneverkon virustorjunta ja roskapostin esto (1000 kpl)...6 4 Järjestelmien ylläpito...6 4.1 Järjestelmien määrä...6 4.2 Lisäykset rekistereihin...6 4.3 Varmistukset...7 5 Poistoajot järjestelmittäin...7 6 Tietoturvapoikkeamat...7 7 HALTIKin turvallisuusselvitykset (kpl)...7
Päätös id8731759 3 (8) Allekirjoitettu 01.02.02 1 Johdanto 1.1 Johdon katsaus Vuosi 2011 oli HALTIKin neljäs toimintavuosi. Toiminnan tulokset ovat pääsääntöisesti tulossopimuksessa asetettujen tavoitteiden mukaiset. HALTIKin palvelutuotantotuotanto toteutettiin ilman pitkäkestoisia häiriöitä tai poikkeamia. Vuosi 2011 oli HALTIKin toinen toimintavuosi kokonaan nettobudjetoituna virastona. Palvelut tuotettiin asiakkaiden kanssa solmittujen palvelusopimusten mukaisesti. Palveluja tuotettiin Sisäasiainministeriölle, Poliisille, Rajavartiolaitokselle, Hätäkeskuslaitokselle, Maahanmuuttovirastolle, Joutsenon ja Oulun vastaanottokeskuksille, Valtion talous- ja henkilöstöhallinnon palvelukeskukselle, Valtiovarainministeriölle, Oikeusministeriölle, Ulkoasiainministeriölle, Tullille, Väestörekisterikeskukselle, Aluehallintovirastoille (AVI), elinkeino-, liikenne- ja ympäristökeskuksille (ELY) ja Suomen Erillisverkot Oy:lle. Vuonna 2011 suoritetun asiakastyytyväisyyskyselyn perusteella voidaan todeta, että asiakkaiden tyytyväisyys HALTIKin tuottamiin palveluihin on kehittynyt myönteisesti vuodesta 2008 alkaen. Vuoden 2010 kesäkuussa hyväksytyssä HALTIKin strategiassa todetaan, että HALTIKin perustehtävä on kehittää, hankkia, tuottaa ja ylläpitää sisäasiainministeriön hallinnonalan strategisena palvelukeskuksena hallinnonalan virastojen ja laitosten korkean käytettävyyden ja turvallisuuden tieto- ja viestintätekniset palvelut. Edelleen strategiassa todetaan, että HALTIKin päätehtävät ovat: Tuottaa sisäisen turvallisuuden keskeiset tietojärjestelmät ja säädetyt tai määrätyt turvallisuusverkon palvelut. Hankkia hallinnonalan yhteiset palvelut ja hallinnollisten palveluiden integraatiopalvelut sekä tuottaa ICT -asiantuntijapalvelut. HALTIKin toiminnan tavoitteiden saavuttamisen avaintekijät ovat korkea osaaminen ja kustannustehokkuus. HALTIKin osaamisen tavoitetila määräytyy HALTIKin strategian tavoitetilan perusteella, eli tulevaisuudessa edelleen HALTIKissa syvennetään osaamista sisäisen turvallisuuden ja maahanmuuton tieto- ja viestintäteknologiassa. Vuoden 2011 kevään aikana suoritettiin viraston ensimmäinen CAF itsearviointi. CAF - itsearvioinnin perusteella keskeisiksi kehittämishankkeiksi valittiin: TOKKA (Toiminnanohjausjärjestelmä) -hankkeen toteuttaminen, palvelutuotannon suunnitelmallisuuden lisääminen ja henkilöstön osaamisen kehittäminen. HALTIKin virkojen määrä vuoden 2011 lopussa oli 346 vakituista virkaa ja 105 määräaikaista virkasuhdetta. Vuonna 2011 otettiin käyttöön uusi toimitalo Rovaniemellä ja jatkettiin vuonna 2008 hyväksytyn toimipaikkasuunnitelman mukaista toimipaikkojen keskittämistä. HALTIK on kehittynyt ja edelleen kehittymässä yhä syvemmälle vakaaksi ja vakiintuneeksi, systemaattisesti toimintansa parantavaksi ja asiakkaiden valitsemia palveluita tuottavaksi palvelukeskukseksi.
Päätös id8731759 4 (8) Allekirjoitettu 01.02.02 1.2 Hallinnon tietotekniikkakeskuksen raportointivelvollisuus ja oma tietosuojatyö HALTIKista annetun asetuksen 2 :ssä säädetään, että tietotekniikkakeskuksen tulee raportoida sen toimialaan kuuluvien tietojen käsittelyä koskevista merkittävistä asioista sisäasiainministeriölle ja tietosuojavaltuutetulle vuosittain huhtikuun loppuun mennessä. Raportin sisältöön antaa oman erityispiirteensä HALTIKin rooli palveluntuottajana suhteessa järjestelmien tietosisällön omistajaan. Raportti kertoo HALTIKin toiminnan volyymeista sekä tietosuojan ja tietoturvan tapahtumista tunnusluvuin. Yleisesti tietotilinpäätöksen tavoitteena on sisältää keskeiset tietosuojaan ja -turvaan liittyvät organisaation tiedot. Siitä tulee näkyä analyysit organisaation tietovarannoista, tietojen kulusta, tilastotiedot kuten tunnusten määrä ja käyttöoikeustiedot, kuinka käyttöä valvotaan, väärinkäytökset, samoin siitä tulisi selvitä tietojenkäsittelyn ulkoiset uhat, hakkeroinnit, tietoturvaloukkaukset ja haittaohjelmat. Laatutyön osalta tietotilinpäätöksen tehtävänä on kertoa, onko tieto ajan tasalla, mitä vanhalle tiedolle tehdään, onko tietoa hävitetty ja onko tieto hävitetty turvallisesti. HALTIKin toimialaan kuuluvia keskeisiä tietotilinpäätöksellä raportoitavia merkittäviä sisäasiainministeriön hallinnonalaan liittyviä tietojenkäsittelytehtäviä ovat käyttövaltuuksien hallintatehtävät, sisäasiainministeriön verkon hallintatehtävät ja järjestelmien ylläpito. Turvallisuusselvityksien määrä on puolestaan HALTIKin omaan toimintaan liittyvä raportoitava asia. Raportointi rajataan siten, ettei raportissa mainita tietoja HALTIKin ylläpitämien rekisterien rekisterinpitäjien raportointivastuun piiriin kuuluvista seikoista. 2 Käyttövaltuuksien hallinta 2.1 Yleistä Käyttövaltuuksien hallinnointiin käytetään OIVA -järjestelmää. OIVAlla hallitaan kaikkien sisäministeriön hallinnonalan merkittävien tietojärjestelmien käyttöoikeuksia. OIVA -järjestelmässä käyttöoikeushakemus tehdään järjestelmässä määrätylle esimiehelle. Esimiehen hyväksynnän jälkeen hakemus menee tarvittaessa ennalta määrättyyn rooliperusteiseen hyväksyntäprosessiin ennen käyttöoikeuden teknistä toteutusta. Oikeuksien lisäyksen lisäksi OIVAn kautta hoidetaan myös oikeuksien poistot, yksikkömuutokset ja organisaatiomuutokset. Yhdestä järjestelmästä voi OIVAssa olla useampi rooli haettavana, vastaavasti yksi rooli voi sisältää useamman vaihtoehdon haettavasta oikeudesta. 2010 2011 Aktiivisten p-tunnusten määrä 21 600 21 650 Haettavissa olevat roolit 2 500 2169 Aktiiviset roolit 206 200 211 674
Päätös id8731759 5 (8) Allekirjoitettu 01.02.02 Oikeuksien lisäyksen lisäksi OIVAn kautta hoidetaan myös oikeuksien poistot, yksikkömuutokset ja organisaatiomuutokset. 2.2 Merkittävien järjestelmien käyttövaltuuksien tunnuslukuja Ylläpidettyjen käyttäjätunnusten määrä Patja 31 939 33 269 33 555 Poliisikone (Halti, LTJ/ATJ, Kuvaminttu, 14 241 14 692 14 583 PoliTrip) EPRI 2 409 2 563 2516 Kansallinen Schengen 13 147 13 201 12 976 2.3 Käyttäjien valtuustietojen ylläpito organisaatioittain Käyttöoikeuksien hallintajärjestelmä on sisäasiainministeriön virastojen järjestelmä. Yksityiskohtainen tilastotieto kuuluu järjestelmän rekisterinpitäjien raportointivelvollisuuden piiriin. 3 Verkonhallinta 3.1 Internet käyttö HALTIKin verkonhallintapalvelu vastaa asioista, jotka koskevat sisäasiainministeriön runkoverkkoa ja siinä tuotettuja palveluita. Verkonhallintapalvelu tuottaa tilastoaineistoa SMCore -runkoverkon ja sen palveluiden käytöstä. Keskeisiä mittareita ovat Internet käyttö, sähköpostin määrä, käytettävyys, datamäärät, virustorjunta ja roskapostin esto sekä hyökkäyksien torjunta. 3.2 Sähköpostin määrä (1000 kpl) Sivuhakujen kappalemäärä (milj. kpl) 1.902 3. 817 4.621 Haetun datan määrä Gigatavuina (GB) 38 390 60 158 78 761 Teamware (2009 toukokuun loppuun) 2008 2009 Vastaanotetut 17 149 5 869* Lähetetyt 11 857 1 430* * = muutoksen suuruus johtuu uuden sähköpostijärjestelmän (Exchange) käyttöönotosta
Päätös id8731759 6 (8) Allekirjoitettu 01.02.02 EXCHANGE (2009 kesäkuun alusta lukien) Ulkopuolelta tullut 337 5 416 6 930 Ulkopuolelle lähtenyt 104 1 895 1 867 Sisäinen liikenne 1 085 14 771 16 307 3.3 Tietoliikenneverkon käytettävyys % (kuukausikeskiarvo) Sisäpuolen palomuuri 99,98 99,86 99,82 Ulkopuolen palomuuri 99,97 99,94 99,93 VIRVE- verkko 99,95 99,85 99,86 Runkoverkko 99,89 99,87 99,92 Konesaliverkko 99,95 99,86 99,93 VOIP 99,98 99,93 99,93 3.4 Tietoliikenneverkon datamäärät (GB) Ulkopuolen palomuuri 78 178 109 436 163 386 Etäkäyttö 518 400 480 Palvelumuurit 9 282 11 006 9 352 3.5 Tietoliikenneverkon virustorjunta ja roskapostin esto (1000 kpl) Havaitut http-virukset 6,9 7,2 5,4 Havaitut sähköpostivirukset 9,3 3,9 15,1 Estetyt roskasähköpostit 27 221,2 23 484,8 16 991,2 4 Järjestelmien ylläpito 4.1 Järjestelmien määrä HALTIK tuotti vuonna 2009 31 valtakunnallista järjestelmää. Vuonna 2010 ja 2011 valtakunnallisten järjestelmien määrä oli 33. 4.2 Lisäykset rekistereihin Hätäkeskuslaitoksen sekä Rajavartiolaitoksen rekistereiden tietosisältöjä koskeva raportointi kuuluu ko. virastojen raportointivelvollisuuteen. Poliisin järjestelmien, esimerkiksi Patja -järjestelmän yksityiskohtainen tieto kuulutuslajeittain (etsintäkuulutettu henkilö, tekotapa, kadonnut henkilökuulutus, kiinniotettu henkilö, matkustuskielto, rikoksesta epäilty, yjt -kiinniotto, tuntematon vainaja, turvallisuustiedot, lähestymiskieltoon määrätty, lähestymiskiellolla suojeltavat, ajoneuvokuulutukset, omaisuuskuulutukset) kuuluu poliisin raportointivelvollisuuteen.
Päätös id8731759 7 (8) Allekirjoitettu 01.02.02 4.3 Varmistukset Palvelimet varmistetaan kerran vuorokaudessa. Poikkeuksen tekee mm. Exchange palvelimet joista tehdään lisävarmistus kolme kertaa. Varmistus kohdistuu koko palvelimeen, elleivät sovellusvastuuhenkilöt ole rajoittaneet varmistettavan tietosisällön kohteita. Varmistustiedostojen säilytysajat on määritetty järjestelmäkohtaisesti. 5 Poistoajot järjestelmittäin Hätäkeskuslaitoksen, Poliisin järjestelmien sekä Rajavartiolaitoksen rekistereiden yksityiskohtainen poistotietoa koskeva raportointi kuuluu ko. virastojen raportointivelvollisuuteen. 6 Tietoturvapoikkeamat HALTIK raportoi sisäasiainministeriölle kolmannesvuosittain tietototurvallisuudesta ministeriön raportointikäytännön mukaisesti. Raportoitavat tietoturvallisuuden osa-alueet ovat: - hallinnollinen tietoturvallisuus - henkilöstöturvallisuus - fyysinen turvallisuus - tietoliikenneturvallisuus - laitteistoturvallisuus - ohjelmistoturvallisuus - tietoaineistoturvallisuus - käyttöturvallisuus - tietoturvallisuushankkeet ja tietoturvallisuuden kehittäminen - varautuminen ja valmiussuunnittelu. 7 HALTIKin turvallisuusselvitykset (kpl) HALTIK teettää viraston uudesta henkilöstöstä sekä virastolle palvelua tuottavien yritysten palvelun tuottamiseen osallistuvasta henkilöstöstä turvallisuusselvityslain mukaisen turvallisuusselvityksen. Personal Security Clearance (PSC) teetetään ulkomailla työskentelevistä ulkomaalaisista henkilöistä, jotka työskentelevät virastolle palvelua tuottavien yritysten lukuun. Suppeat turvallisuusselvitykset 242 659 229 Perusmuotoiset turvallisuusselvitykset 700 854 1320 Laajat turvallisuusselvitykset 1 - - PSC -selvitykset (UM) - - 14 Turvallisuusselvitysten määrän kasvu vuosina 2009 ja 2010 johtuu pääosin TUVE hankkeesta ja Rovaniemen toimitilan rakennushankkeesta. Vuoden 2011 perusmuotoisten selvitysten suuri määrä johtuu samoin Rovaniemen toimitilan rakennushankkeesta.
Päätös id8731759 8 (8) Allekirjoitettu 01.02.02 ALLEKIRJOITUKSET Johtaja Hallintolakimies Tuija Kuusisto Anssi Virtanen Asiakirja on sähköisesti allekirjoitettu asiankäsittelyjärjestelmässä. Haltik klo 12.36. Allekirjoituksen oikeellisuuden voi todentaa kirjaamosta. JAKELU TIEDOKSI Sisäasiainministeriö, kirjaamo hallintojohtaja Janne Kerkelä, SM/Hallinto-osasto neuvotteleva virkamies Tiina Ferm, SM/Hallinto-osasto tietosuojavaltuutettu Reijo Aarnio, Tietosuojavaltuutetun toimisto ICT-johtaja Timo Valli, VM tietohallintopäällikkö Tapani Hämäläinen, POHA rekisterinpitopäällikkö Jari Råman, POHA