OIKEUSMINISTERIÖ			MUISTIO
Lainvalmisteluosasto			24.10.2008

ASETUS TIETOTURVALLISUUDESTA JA HYVÄSTÄ TIEDONHALLINTATAVASTA VALTIONHALLINNOSSA

1. Uudistuksen tausta ja tavoitteet ja pääasiallinen sisältö

Voimassa oleva asetus viranomaisten toiminnan julkisuudesta ja hyvästä tiedonhallintatavasta (1030/1999) annettiin 1 päivänä joulukuuta 1999 voimaan tulleen viranomaisten toiminnan julkisuudesta annetun lain (621/1999), jäljempänä julkisuuslaki, nojalla.  Asetukseen otettiin vuonna 2002 valtionhallinnon viestintää koskevat säännökset lisäämällä asetukseen uusi 2 a luku (A 380/2002).

Hallituksen esitys eduskunnalle laiksi viranomaisten toiminnan julkisuudesta annetun lain sekä kuntalain 50 §:n muuttamisesta (HE 20/2005 vp) annettiin eduskunnalle kevätkaudella 2005. Lait (495–496/2005) tulivat voimaan 1 päivänä lokakuuta 2005.  Uudistuksen avulla oli tarkoitus muun ohella määritellä aikaisempaa täsmällisemmät asetuksenantovaltuudet sekä antaa siten mahdollisuudet tietoturvallisuuden tehostamiseen valtionhallinnossa.    

Nyt annettavan asetuksen tavoitteena on luoda edellytykset tietoturvallisuuden parantamiseksi valtionhallinnossa.  Uudistuksen tarkoituksena on myös yhdenmukaistaa Suomea sitoviin kansainvälisiin sopimuksiin perustuvia ja kansallisia tietoturvallisuusvelvoitteita, erityisesti tietoaineistojen turvallisuusluokitusta.    

Uudistus toteutettaisiin antamalla kokonaan uusi asetus tietoturvallisuudesta ja hyvästä tiedonhallintatavasta valtionhallinnossa. Vastaisuudessa tietoturvallisuudesta ja valtionhallinnon viestinnästä säädettäisiin erillisissä asetuksissa. 

Annettavaksi ehdotettu asetus sisältäisi viisi lukua (yleiset säännökset, tietoturvallisuuden yleiset lähtökohdat, asiakirjojen luokittelu, asiakirjojen käsittelyä koskevat vaatimukset sekä voimaantulo- ja siirtymäsäännökset). 

2. Valmistelu ja sen lähtökohdat

Asetus on valmisteltu yhdessä valtiovarainministeriön valmistelemien asetuksen täytäntöönpanoa koskevien ohjeiden kanssa. Asetusluonnos ja luonnos annettavaksi käyttäjille suunnatuksi ohjeeksi olivat vuonna 2007 laajalla lausuntokierroksella. Tämän lisäksi asetusluonnosta on käsitelty lukuisissa Valtionhallinnon tietoturvallisuuden johtoryhmän (VAHTI) järjestämissä koulutus- ja keskustelutilaisuuksissa. Annettu palaute on otettu huomioon asetuksen jatkovalmistelussa.

Uudistusta käsiteltiin kansliapäällikkökokouksessa 2.6.2008. 

Valmistelussa keskeisenä lähtökohtana on ollut, että nyt annettava asetus ei aseta valtionhallinnon viranomaisille ehdotonta velvollisuutta luokitella tietoaineistojaan tietoturvallisuuden varmistamiseksi. Jos viranomainen päättää luokitella tietoaineistonsa, sen on noudatettava asetuksessa säädettäviä edellytyksiä. Siten asetus yhtenäistää viranomaiskäytäntöjä ja luo osaltaan pohjaa tietoturvallisuuden toteuttamiselle viranomaisten välisessä salassa pidettävien tietojen vaihdossa.  

2. Yksityiskohtaiset perustelut

2.1.  Asetuksen nimike ja soveltamisala

Uuden asetuksen nimikkeenä olisi asetus tietoturvallisuudesta valtionhallinnossa. Tietoturvallisuuden asiantuntijoiden piirissä on esiintynyt jossain määrin käsityksiä, joiden mukaan asetuksen nimike on liian laaja ottaen huomioon, että merkittävä osa säännöksistä koskee tietoaineistojen luokittelua. 

Annettavaan asetukseen sisältyy luku tietoturvallisuuden yleisistä lähtökohdista. Siinä säädettäisiin tietoturvallisuustoimenpiteiden tarkoituksesta ja muodosta, tietoturvallisuustoimenpiteiden suunnittelusta sekä tietoaineistojen eri käsittelyvaiheiden huomioon ottamisesta tietoturvallisuustyössä ns. informaation elinkaari -periaatteen mukaisesti. Asetukseen sisältyisi säännös myös toimitiloihin liittyvistä turvallisuusvaatimuksista (14 §) ja siinä otetaan huomioon henkilöstöturvallisuudesta erikseen annettu säännöstö (13 § 3 mom.). Siten asetuksen nimikettä ei voida rajoittaa koskemaan vain tietoaineistojen suojaa. 

Annettavassa asetuksessa säänneltäisiin tietoturvallisuuden kehittämiseen tähtäävistä velvoitteista valtionhallinnon viranomaisissa. Valtionhallinnon viranomaisilla tarkoitettaisiin valtion hallintoviranomaisia ja muita valtion virastoja ja laitoksia sekä tuomioistuimia ja muita lainkäyttöviranomaisia (3 § 1 k).  

Tietoturvallisuussäännökset koskisivat ensisijaisesti vain salassa pidettäviä tietoaineistoja. Tietyissä tilanteissa säännöksiä voitaisiin soveltaa myös sellaisiin asiakirjoihin, joissa olevien tietojen käyttöön liittyy lailla säädettyjä rajoituksia (7 §, 8 § 2 mom.).

2. 2. Asetuksen soveltamisala ja suhde muuhun sääntelyyn

Annettava asetus ei aiheuta muutosta viranomaisten asiakirjojen julkisuuteen ja salassapitoon, vaan nämä määräytyisivät julkisuuslain ja erityissäännösten perusteella (2 § 1 mom.). 

Kansainvälisiin tietoturvallisuusvelvoitteisiin sovellettaisiin edelleenkin kansainvälistä tietoturvallisuusvelvoitteista annettua lakia (588/2004) sekä niistä tehtyjä Suomea sitovia sopimuksia ja muita säädöksiä (2 § 2 mom.). 

2. 2. Tietoturvallisuuden kehittäminen 

Tietoturvallisuuden kehittämistä koskevat erityissäännökset sisältyvät ehdotetun asetuksen 2 – 4 lukuihin.  Tietoturvallisuustyö pohjautuisi hyvän tiedonhallintatavan toteuttamiseksi laadittavaan tietoaineistojen kartoitukseen ja arviointiin. Tämän selvitys- ja arviointityön pohjalta olisi määriteltävissä, minkälaisia suojaustarpeita viranomaisen tietoaineistoihin liittyy. 

Ehdotetussa 2 luvussa olisivat yleiset säännökset tietoturvallisuuden kehittämisestä. Asetuksessa määriteltäisiin tietoturvallisuustyön tarkoitus ja muodot (4 §) sekä tietoaineistojen elinkaaren, ts. eri käsittelyvaiheiden huomioon ottaminen (6 §).  Tietoturvallisuustyön muotoja olisivat tietoaineistojen luokittelu, luokittelua vastaavien käsittelyvaatimusten toteuttaminen, toimitilojen turvallisuus, henkilöstön luotettavuudesta huolehtiminen sekä asianmukaisten ohjeiden antaminen henkilöstölle ja muille tietojenkäsittelyyn osallistuville. Julkisuuslain muutoksen johdosta asetuksella voidaan nyt säätää myös toimitilojen turvallisuudesta. Henkilöstön luotettavuuden varmistamiseksi käytettävissä olevat keinot sen sijaan ilmenevät turvallisuusselvityksistä annetusta laista (177/2002) ja rikosrekisterilaista (770/1993).

Tietoaineistojen luokittelua koskevassa 3 luvussa määriteltäisiin luokituksen perusteet ja käsittelyvaatimuksia osoittavat suojaustasot sekä säädettäisiin luokitusmerkinnöistä ja niiden vastaavuudesta kansainvälisiin turvallisuusluokkiin. 

Luokittelun perusteita koskevilla säännöksillä pyritään luomaan kullekin viranomaiselle parhaiten sopivat luokittelutavat; luokittelu voidaan kohdistaa myös rajoitettuna tiettyyn tietoaineiston käsittelyvaiheeseen. Ehdotetuissa säännöksissä kiellettäisiin luokituksen ulottaminen sellaisiin asiakirjan osiin, joissa käsittelyvaatimusten noudattaminen ei suojattavan edun vuoksi ole tarpeen (7 §).

Asetuksen 8 §:ssä olisi säännökset käsittelyvaatimuksia osoittavista suojaustasoista. Nykyisen asetuksen mukaan tasoluokkia on pääsäännön mukaan kolme. Ehdotuksen mukaan suojaustasoluokkia olisi neljä. Näin luokitus vastaisi kansainvälistä käytäntöä.  Mitä vahingollisempia seurauksia tietoaineiston luvattomasta paljastamisesta aiheutuisi, sitä tarkempia käsittelyvaatimuksia olisi noudatettava ja sitä korkeampaan suojaustasoluokkaan aineisto sijoitetaan. Suojaustasomäärittelyn yhtenäisyyteen on tarkoitus kiinnittää huomiota mm. uudistuksen täytäntöönpanokoulutuksessa. 

Luokittelu voisi pääsäännön mukaan kohdistua vain salassa pidettäviksi säädettyihin asiakirjoihin (7 §). Muu kuin salassa pidettävä asiakirja voidaan luokitella ehdotetun 8 §:n 2 momentin mukaisesti ensinnäkin, jos asiakirjan luovuttaminen on lain mukaan viranomaisen harkinnassa. Tämä viittaa tilanteisiin, joissa asiakirja ei ole vielä tullut julkiseksi julkisuuslain 6 ja 7 §:n mukaisesti. Toiseksi luokittelu olisi mahdollista, jos asiakirjaan sisältyviä tietoja saa lain mukaan käyttää tai luovuttaa vain määrättyyn tarkoitukseen. Säännös olisi sovellettavissa esimerkiksi viranomaisten henkilörekistereihin, joista tiedon luovuttaminen on yleensä mahdollista vain tiettyjä käyttötarkoituksia varten. Kummassakin edellä kuvatussa tilanteessa lisäedellytyksenä olisi, että tiedon oikeudeton paljastuminen voi aiheuttaa haittaa yleiselle tai yksityiselle edulle tai heikentää viranomaisen toimintaedellytyksiä.

 Luokitusmerkintöjen tekemisestä säädettäisiin asetuksen 9 ja 10 §:ssä. Suojaustasoa osoittavan merkinnän yhteyteen voitaisiin merkitä tieto asiakirjan salassapidosta ottaen huomioon, mitä viranomaisen toiminnan julkisuudesta annetun lain 25 §:ssä säädetään (9 § 1 mom.). Luokitusmerkintä voitaisiin tehdä asiakirjaan tai asiakirjaan liitettävään erilliseen asiakirjaan (9 § 3 mom.). Myös luokituksen muuttamisesta tai poistamisesta olisi tehtävä asianmukaiset merkinnät. Jos suojaustasoa I – III edellyttävä asiakirja on saatu toiselta valtionhallinnon viranomaiselta, luokitusmerkintää ei saisi muuttaa ilman asiakirjan antaneen viranomaisen lupaa.     

Luokittelumerkintään voitaisiin liittää turvallisuusluokitusta koskeva ilmaisu silloin, kun kysymys on keskeisten yleisten etujen suojaamisesta tai jos asiakirja liittyy kansainvälisten tietoturvallisuusvelvoitteiden toteuttamiseen (10 §). Turvallisuusluokituksen merkitsemistä koskevilla säännösehdotuksilla on pyritty toteuttamaan kansainvälisiä tietoturvallisuusvelvoitteita vastaava luokitustapa. Turvallisuusluokitus on tarkoitettu osoittamaan sitä, että kysymys on keskeisten yleisten etujen (maanpuolustus, kansainväliset suhteet, tietoturvallisuus) suojan kannalta erityisen merkityksellisistä tietoaineistoista.  Kansainvälistä käytäntöä vastaavalla tavalla turvallisuusluokitus rajattaisiin vain näihin tietoaineistoihin. 

Luokiteltavien tietoaineistojen käsittelyvaatimuksia koskevassa 4 luvussa olisi säännökset yleisistä käsittelyvaatimuksista (12 §), jotka olisivat sovellettavissa riippumatta siitä, onko viranomainen luokitellut tietoaineistonsa vai ei.

Toimenpidevelvoitteiden laajuus olisi pääsäännön mukaan riippuvainen siitä, mihin luokkaan tietoaineisto kuuluu.   Käsittelyvaatimuksia koskevien säännösten perustana on käytetty nykyisin valtiovarainministeriön ohjeisiin sisältyviä käsittelyvaatimuksia sekä kansainvälisiin sopimuksiin sisältyviä määräyksiä.  

Luokiteltujen tietoaineistojen käyttöoikeuden antamisessa tulisi noudattaa periaatetta, jonka mukaan salassa pidettäviä tietoja saa antaa vain niille, joille työtehtäviensä vuoksi on tarve tiedonsaantiin (13 §).  Toimitilojen turvallisuudesta tulisi huolehtia ulkoisen suojauksen avulla sekä edellyttämällä, että tiloissa, joissa käsitellään kahteen korkeimpaan suojaustasoon kuuluvia aineistoja, voidaan tunnistaa siellä liikkuvat henkilöt (14 §).  

Luokiteltuja asiakirjoja saisi pääsäännön mukaan käsitellä vain viranomaisen tiloissa. Käsittely toimitilojen ulkopuolella edellyttäisi aina viranomaisen lupaa, toimeksiantoa tai ohjeita, joissa asetetaan edellytykset aineistojen käsittelylle (15 §). 

Tietojärjestelmien tietoturvallisuusvaatimuksia koskevilla säännöksillä (16 §) pyritään takaamaan se, että luokiteltuja tietoja käsitellään vain sellaisissa tietojärjestelmissä, joissa voidaan taata tarvittava suoja. Korkeinta suojaustasoa edellyttävien asiakirjojen tallettaminen olisi esimerkiksi mahdollista vahvasti suojattuna erilliseen työasemaan tai tietovälineeseen taikka tietojärjestelmään vain, jos viranomainen on varmistanut, että ne täyttävät korkean tietoturvallisuustason vaatimukset. Onkin huomattava, että säännökset edellyttävät, että viranomainen osoittaa, minkälaisiin tietojärjestelmiin eri suojausluokkiin kuuluvia tietoja saa tallettaa. 

Luvussa olisi myös säännökset luokitellun asiakirjan kopioinnista (17 §), välittämisestä (18 §) ja siirtämisestä tietoverkossa (19 §) sekä sen käsittelyn kirjaamisesta (21 §).  Salassa pidettävien tietojen suojaamiseksi olisi huolehdittava asianmukaisesta arkistoinnista tai hävittämisestä (21 §). Ehdotettujen säännösten mukaan korkeinta suojaustasoa edellyttäviä asiakirjoja saisi välittää vain henkilökohtaisesti tai kuriirin välityksellä eikä niitä pääsäännön mukaan saisi välittää tietoverkossa.  Alinta suojaustasoa edellyttävät asiakirjat sen sijaan voitaisiin lähettää postitse sekä välittää tietoverkossa viranomaisen päättämällä tavalla.  

2.4. Voimaantulo ja täytäntöönpano

Asetuksen on tarkoitus tulla voimaan 1.6.2009.  Asetusehdotukseen ei sisälly ehdotonta tietoaineistojen luokittelupakkoa.  Tämän vuoksi asetukseen ei ole tarpeen ottaa yleistä velvoitteiden voimaantulon siirtymäaikaa koskevaa säännöstä. Siirtymäsäännöksissä määriteltäisiin toimitilojen turvallisuusvaatimukset ja säädettäisiin atk-järjestelmien luokittelua koskevasta siirtymäajasta sekä siitä, mikä vaikutus kumottavan asetuksen mukaan tehdyillä luokitusmerkinnöillä on uuden asetuksen tultua voimaan. Siirtymäsäännöksillä on osaltaan pyritty siihen, että viranomaiset voisivat sopeuttaa tietoturvallisuuden kehittämisen muuhun kehittämistoimintaansa, mikä vähentää uusista velvoitteista aiheutuvia erityiskustannuksia. 

Asetuksen täytäntöönpanon ohjausta on tarkoitus tehostaa valtiovarainministeriön antamilla ohjeilla. Ohjeissa määriteltäisiin mm. luokitusmerkintöjen tekemisestä. Ne annetaan välittömästi asetuksen antamisen jälkeen.  Ohjeiden lisäksi on tarkoitus järjestää uudistuksesta koulutusta erityisesti tietoturvallisuudesta ja hallinnosta vastaaville henkilöstöryhmille.