Dno 340/31/2013	
			
Valtiovarainministeriö					
					10.10.2013

Lausuntopyyntönne
VM047:22/2007

Valtiontalouden tarkastusviraston lausunto VM:n päätelaitteiden tietoturvaohjeluonnoksesta

Valtiovarainministeriö on 16.9.2013 päivätyllä lausuntopyynnöllä (VM047:22/2007) pyytänyt valtiontalouden tarkastusviraston (jäljempänä tarkastusvirasto) lausuntoa päätelaitteiden tietoturvaohjeesta. Ohjeen tarkoituksena on edesauttaa valtionhallinnon ja tarvittaessa myös muun julkishallinnon päätelaitteiden saattamista valtionhallinnon tietoturvallisuusasetuksen edellyttämille tietoturvatasoille sekä yhdenmukaistaa valtionhallinnon päätelaitteiden suojauskäytäntöjä salassa pidettävien tietojen käsittelyssä.

Tarkastusvirasto toteaa lausuntonaan, joka pohjautuu käyttäjänäkökulmaan, seuraavaa:

Yleisenä huomiona on, että ohjeessa on käsitelty ajankohtaisia ja tärkeitä asioita. Sitä tulisi visualisoida, jotta siinä mainitut asiat olisivat selkeämmin esitetty. Ohjeessa oli selkeästi mainittu se mitä kohtia vanhoissa ohjeissa päivitetään.

Lopullisessa ohjeessa pitäisi ottaa huomioon viestintäviraston valmisteilla oleva linjaus operaattoripalveluiden käytön turvallisuudesta. Pilvipalveluiden osalta olisi tarkemmin linjattava mm. esimerkkien avulla suojausluokitellun datan tallentamista pilvipalveluihin. Nyt aihetta oli käsitelty liian suppeasti. Ohjeessa pitäisi mainita NCSA-fi:n julkaisema lista hyväksytyistä salausratkaisuista luokitelluille aineistoille ja kertoa sen soveltamisesta salaustuotteiden valintaan valtionhallinnossa.

Ohjeessa tulisi ottaa kantaa siihen käytäntöön, mikä joissakin virastoissa on käytössä: päätelaitteen rekisteröimiseen käytetään muuta kuin työsähköpostiosoitetta.

Ohjeessa pitäisi nykyistä selkeämmin tuoda esille se, että kaikkiin laitteisiin ei saa virustentorjuntaa, palomuuria tai niiden massamuisteja ei voi salata. Tämä olisi hyvä huomioida erityisesti esitetyissä esimerkeissä.  Ohjeessa pitäisi selkeämmin tuoda esille se, mitä laitteita mikin esitetty vaatimus koskee.

Esitetyllä sitoumus- ja suostumuslomakkeella ei todellista hyötyä sanktiomielessä. Nykyinen virkamieslaki on riittävä. Näitä lomakkeita ei siis kannattaisi mainita tässä ohjeessa. Laitteiden turvalliseen käyttöön sitouttamisen voisi tehdä muullakin tavalla mobiililaitteiden käyttökoulutuksen yhteydessä.

Ohjeen kohdan 8.4 esimerkit ovat kokonaisuutena toimivia. Perustason esimerkissä on kuitenkin vaikea uskoa, että jossakin organisaatiossa on hankittu tabletit ainoastaan sähköpostin ja joidenkin www-sovellusten käyttämiseen. Esimerkissä voisi ottaa kantaa esimerkiksi omien appsien asentamiseen ja käyttämiseen, laitteen rekisteröimiseen valmistajan palveluun ja pilvipalvelun käyttöön. Kaikissa esimerkeissä voisi korostaa haitta- ja virustentorjuntaohjelmien asennusten pakollisuutta. BYOD-laitteen osalta olisi hyvä olla esimerkki milloin laitteen saa kytkeä viraston tuotantokäytössä olevaan sisäiseen lähiverkkoon ja milloin ei.

Hallintojohtaja Mikko Koiranen

ICT-päällikkö Juhani Heimsch