Luonnos 24.10.2008

Valtioneuvoston asetus

tietoturvallisuudesta valtionhallinnossa 

Oikeusministerin esittelystä viranomaisten toiminnan julkisuudesta annetun lain (621/1999) 36 §:n nojalla säädetään:

1 luku

Yleiset säännökset 

1 §

Soveltamisala

Tässä asetuksessa säädetään viranomaisten toiminnan julkisuudesta annetun lain (621/1999) 18 §:ssä tarkoitetun hyvän tiedonhallintatavan toteuttamiseksi tarpeellisista tietoturvallisuustoimenpiteistä valtionhallinnon viranomaisissa.

2 §

Suhde muuhun lainsäädäntöön

	Viranomaisen asiakirjan julkisuudesta ja asiakirjan saamista koskevan pyynnön käsittelystä säädetään viranomaisten toiminnan julkisuudesta annetussa laissa (621/1999). Kansainvälisten tietoturvallisuusvelvoitteiden mukaisesti turvallisuusluokitellun tietoaineiston salassapitovelvollisuudesta säädetään kansainvälisistä tietoturvallisuusvelvoitteista annetun lain (588/2004) 6 §:ssä.	
	Tätä asetusta sovelletaan toisen maan viranomaiselta tai kansainväliseltä toimielimeltä saatujen tietoaineistojen tietoturvallisuuden toteuttamiseen, jollei kansainvälisessä tietoturvallisuusvelvoitteessa toisin määrätä tai säädetä taikka kansainvälisistä tietoturvallisuusvelvoitteista annetussa laissa (588/2004) tai sen nojalla toisin säädetä.  

3 §

Määritelmät

Tässä asetuksessa tarkoitetaan 

1) valtionhallinnon viranomaisella valtion hallintoviranomaisia ja muita valtion virastoja ja laitoksia; 
2) salassa pidettävällä asiakirjalla viranomaisten toiminnan julkisuudesta annetun lain 5 §:n 1 momentissa tarkoitettua asiakirjaa, joka mainitun lain tai muun lain mukaan on pidettävä salassa;
3) asiakirjan käsittelyllä asiakirjan vastaanottamista, laatimista, katselua, muuttamista, luovuttamista, kopiointia, hävittämistä, säilyttämistä ja arkistointia sekä muita asiakirjaan automaattisen tietojenkäsittelyn, äänen- ja kuvantoistolaitteiden tai muiden apuvälineiden avulla taikka muutoin kohdistuvia toimenpiteitä;
4) kansainvälisellä tietoturvallisuusvelvoitteella sellaista salassa pidettävän asiakirjan käsittelyä koskevaa ja Suomea sitovaan kansainväliseen sopimukseen sisältyvää määräystä sekä sellaista muuta Suomea koskevaa velvoitetta, jota Suomen on noudatettava; 
5) arkaluonteisilla henkilötiedoilla henkilötietolain (523/1999) 11 §:ssä tarkoitettuja henkilötietoja; 
6) biometrisillä tunnistetiedoilla henkilön tunnistamisessa käytettäviä, henkilön yksilöiviä tietoja, jotka perustuvat luonnollisen henkilön fysiologiseen ominaisuuteen tai käyttäytymiseen.  

2 luku

Tietoturvallisuuden yleiset lähtökohdat

4 §

Tietoturvallisuustoimenpiteiden tarkoitus ja muodot

Valtionhallinnon viranomaisten tietoturvallisuustoimenpiteiden tarkoituksena on turvata asiakirjojen ja tietojärjestelmien sekä niihin sisältyvien tietojen saatavuus, käytettävyys, suoja, eheys ja laatu. 
Tietoturvallisuuden toteuttamiseksi valtionhallinnon viranomaisen on huolehdittava toimenpiteistä asiakirjojen salassapidon varmistamiseksi, asiattoman pääsyn estämiseksi tietojärjestelmiin ja tietojen saannin ja käytettävyyden turvaamisesta eri tilanteissa, toimitilojen turvallisuudesta sekä henkilöstön luotettavuudesta ja asianmukaisten ohjeiden ja koulutuksen antamisesta henkilöstölle ja muille tietoaineistojen käsittelyyn liittyviä tehtäviä hoitaville. 
 Jos valtionhallinnon viranomainen on päättänyt luokitella asiakirjansa tietoturvallisuuden toteuttamiseksi, luokittelussa on noudatettava tässä asetuksessa säädettyjä perusteita. Valtionhallinnon viranomaisen on pidettävä huolta siitä, että sen laatimien tai saamien luokiteltujen asiakirjojen käsittelyssä noudatetaan luokittelua vastaavia tietoturvallisuustoimenpiteitä. 

5 §

Tietoturvallisuustoimenpiteiden suunnittelu 

Valtionhallinnon viranomaisen on suunniteltava tietoturvallisuustoimenpiteet ottaen huomioon mitä viranomaisten velvollisuuksista hyvän tiedonhallintatavan toteuttamiseksi viranomaisten toiminnan julkisuudesta annetussa laissa säädetään. Suunnittelun pohjaksi laadittavista selvityksistä ja arvioista säädetään viranomaisten toiminnan julkisuudesta ja hyvästä tiedonhallintatavasta annetussa asetuksessa (1030/1999). 

6 §

Eri käsittelyvaiheiden huomioon ottaminen

Tietoturvallisuustoimenpiteet on suunniteltava ja toteutettava siten, että ne kattavat asiakirjan kaikki käsittelyvaiheet niiden laatimisesta tai vastaanottamisesta arkistointiin tai hävittämiseen mukaan lukien asiakirjan luovuttaminen ja siirtäminen sekä käsittelyn valvonta.

3 luku

Asiakirjojen luokittelu

7 §

Luokituksen perusteet

Salassa pidettävät asiakirjat tai niihin sisältyvät tiedot voidaan luokitella sen mukaan, minkälaisia tietoturvallisuutta koskevia vaatimuksia niiden käsittelyssä on tarpeen noudattaa. Luokittelu voidaan suorittaa myös siten, että tietoturvallisuutta koskevat vaatimukset kohdistetaan vain sellaisiin asiakirjan käsittelyvaiheisiin, joissa erityistoimenpiteet ovat suojattavan edun vuoksi tarpeen.  Luokitusta ei saa ulottaa sellaisiin asiakirjan osiin, joissa käsittelyvaatimusten noudattaminen ei suojattavan edun vuoksi ole tarpeen.
Muu kuin salassa pidettävä asiakirja voidaan luokitella vain 8 §:n 2 momentissa tarkoitetuissa tapauksissa. 

8 §

Käsittelyvaatimuksia osoittavat suojaustasot

Salassa pidettävien asiakirjojen luokittelussa käytetään seuraavia luokkia: 
1) suojaustaso I, jos asiakirjaan sisältyvän salassa pidettävän tiedon oikeudeton paljastuminen tai oikeudeton käyttö voi aiheuttaa erityisen suurta vahinkoa salassapitosäännöksessä tarkoitetuille yleisille eduille;
2) suojaustasotaso II, jos asiakirjaan sisältyvän salassa pidettävän tiedon oikeudeton paljastuminen tai oikeudeton käyttö voi aiheuttaa merkittävää vahinkoa salassapitosäännöksessä tarkoitetuille yleisille eduille;
3) suojaustaso III, jos asiakirjaan sisältyvän salassa pidettävän tiedon oikeudeton paljastuminen tai oikeudeton käyttö voi aiheuttaa vahinkoa salassapitosäännöksessä tarkoitetuille yleisille ja yksityisille eduille;
4) suojaustaso IV, jos asiakirjaan sisältyvän salassa pidettävän tiedon oikeudeton paljastuminen tai oikeudeton käyttö voi aiheuttaa haittaa salassapitosäännöksessä tarkoitetuille yleiselle tai yksityiselle edulle. 
Edellä 1 momentin 4 kohdassa tarkoitettuun suojaustasoon voidaan luokitella muukin kuin salassa pidettäväksi säädetty asiakirja, jos asiakirjan luovuttaminen on lain mukaan viranomaisen harkinnassa tai asiakirjaan sisältyviä tietoja saa lain mukaan käyttää tai luovuttaa vain määrättyyn tarkoitukseen ja jos tiedon oikeudeton paljastuminen voi aiheuttaa haittaa yleiselle tai yksityiselle edulle tai heikentää viranomaisen toimintaedellytyksiä.

9 § 

Luokitusmerkintöjä koskevat yleiset säännökset 

	Suojaustasoa osoittavan merkinnän yhteyteen voidaan merkitä tieto asiakirjan salassapidosta ottaen huomioon, mitä viranomaisen toiminnan julkisuudesta annetun lain 25 §:ssä säädetään. Velvollisuudesta tehdä asiakirjaan salassapitomerkintä on voimassa, mitä mainitussa lainkohdassa säädetään. 
 Suojaustasoa osoittava merkintä on tehtävä selvästi ja oikein asiakirjaan, ja luokitus on säilytettävä vain niin kauan, kuin se tietojen suojan vuoksi on tarpeen. 
Tässä asetuksessa tarkoitetut merkinnät voidaan tehdä asiakirjaan liitettävään erilliseen asiakirjaan, jos merkintöjen tekeminen tai muuttaminen asiakirjaan ei ole teknisesti mahdollista tai jos luokkaa vastaavat käsittelyvaatimukset ovat tarpeen vain tietyn lyhyehkön ajan. 
Kun asiakirjan luokitukselle ei enää ole perusteita lain tai tämän asetuksen mukaan tai luokitusta on tarpeen muuttaa, luokituksen poistamisesta on tehtävä asianmukainen merkintä asiakirjaan, jollei luokituksen muuttaminen tai poistaminen asiakirjaa vahingoittamatta ole muutoin mahdollista. Jos suojaustasoa I – III edellyttävä asiakirja on saatu toiselta valtionhallinnon viranomaiselta, luokitusmerkintää ei saa muuttaa ilman asiakirjan antaneen viranomaisen lupaa.     

10 § 

Turvallisuusluokitusmerkintää koskevat erityissäännökset 

	Jos asiakirjan tai siihen sisältyvän tiedon oikeudeton paljastuminen tai oikeudeton käyttö voi aiheuttaa vahinkoa kansainvälisille suhteille, valtion turvallisuudelle, maanpuolustukselle tai muille yleisille eduille viranomaisten toiminnan julkisuudesta annetun lain 24 §:n 1 momentin 2, 7 – 10 kohdassa tarkoitetulla tavalla, salassa pidettävän asiakirjan suojaustasoa koskevan merkinnän yhteyteen tai sen sijasta voidaan tehdä erityinen turvallisuusluokitusmerkintä. 
	 Turvallisuusluokitusmerkintä tehdään seuraavasti:     
1) suojaustasoon I kuuluvaan asiakirjaan merkinnällä ”erittäin salainen”;
2) suojaustasoon II kuuluvaan asiakirjaan merkinnällä ”salainen”; 
3) suojaustasoon III kuuluvaan asiakirjaan merkinnällä ”luottamuksellinen”;
4) suojaustasoon IV kuuluvaan asiakirjaan merkinnällä ”käyttö rajoitettu”.
	Turvallisuusluokitusmerkintää ei saa käyttää muissa kuin 1 momentissa tarkoitetuissa tapauksissa, jollei asiakirja liity kansainväliseen yhteistyöhön tai kuulu kansainvälisistä tietoturvallisuusvelvoitteista annetun lain soveltamisalan piiriin.

11 §

Turvallisuusluokituksen vastaavuus kansainvälisiä velvoitteita toteutettaessa
 
Jollei kansainvälisestä tietoturvallisuusvelvoitteesta muuta johdu, turvallisuusluokitusmerkintää ”erittäin salainen” vastaa kansainvälisten sopimusten luokka ”top secret” tai sitä vastaava muun kielinen ilmaisu; merkintää ”salainen” vastaa ”secret” tai sitä vastaava muun kielinen ilmaisu; merkintää ”luottamuksellinen” vastaa ”confidential” tai sitä vastaava muun kielinen ilmaisu ja merkintää ”käyttö rajoitettu” sopimusten luokkaa ”restrected” tai muu sitä vastaava ilmaisu. 

4 luku

Asiakirjojen 
käsittelyä koskevat vaatimukset

12 §

Yleiset käsittelyvaatimukset

Valtionhallinnon viranomaisen on pidettävä huolta, että asiakirjojen laadinnassa toteutetaan mahdollisuuksien mukaan sellaiset asiakirjan rakenteet, joiden avulla voidaan samanaikaisesti toteuttaa asiakirjan julkisuus ja siihen sisältyvien salassa pidettävien tietojen suoja. 
Salassa pidettävää asiakirjaa käsiteltäessä on toteutettava asianmukaiset toimenpiteet siten, että 
1) asiakirjojen tietojenkäsittely- ja säilytystilat ovat riittävästi valvottuja ja suojattuja; 
2) tietojärjestelmiin pääsy on valvottua sekä luvaton tunkeutuminen niihin estetään käytettävissä olevin keinoin; 
3) asiakirjoja käyttävät, muuttavat ja muutoin käsittelevät vain ne, joiden tehtäviin asian käsittely kuuluu ja että käyttöoikeudet rajataan muutoinkin asianmukaisesti ja käyttöä valvotaan riittävästi; 
4) tietoja asiakirjoista luovuttavat vain ne, joiden tehtäväksi siitä huolehtiminen kuuluu; 
5) tietoverkoissa siirrettävä tieto salataan tarpeen mukaan. 
Valtionhallinnon viranomaisen velvollisuudesta huolehtia tietojen suojaamisesta annettaessa salassa pidettäviä tietoja toimeksiantotehtävän suorittamista varten on voimassa, mitä viranomaisten toiminnan julkisuudesta annetun lain 26 §:n 2 momentissa säädetään. 

13 §

Luokitellun asiakirjan  
 käsittelyoikeudet ja niiden luettelointi

Suojaustasoa I–III edellyttävän asiakirjan käyttöoikeus voidaan antaa vain henkilölle, jolla työtehtäviensä vuoksi on tarve saada tietoja asiakirjasta tai muutoin käsitellä sitä ja joka tuntee asiakirjojen käsittelyä koskevat velvoitteet. Jollei kansainvälisestä tietoturvallisuusvelvoitteesta muuta johdu, valtionhallinnon viranomaisen on pidettävä luetteloa niistä työtehtävistä, joissa on oikeus käsitellä suojaustasoa I tai II edellyttäviä asiakirjoja tai suojaustasoa III tai IV edellyttäviä asiakirjoja, jotka on talletettu henkilörekisteriin. Valtionhallinnon viranomainen voi pitää luetteloa myös niistä henkilöistä, joilla on oikeus käsitellä edellä tarkoitettuja asiakirjoja.  
 Valtionhallinnon viranomaisen on pidettävä huolta, että henkilö, joka ei enää toimi työtehtävissä, joihin oikeus luokiteltujen asiakirjojen käsittelyyn perustuu, palauttaa asiakirjat tai hävittää ne asianmukaisella tavalla. 
Henkilöturvallisuusselvitysten laadinnasta ja henkilöstön luotettavuuden varmistamiseksi käytettävistä muista menetelmistä on voimassa, mitä lailla erikseen säädetään.

14 §

Toimitiloihin ja asiakirjojen säilyttämiseen 
 liittyvät turvallisuusvaatimukset
	
Valtionhallinnon viranomaisen on pidettävä huolta, että tilat, joissa säilytetään tai muutoin käsitellään luokiteltuja asiakirjoja, suojataan asianmukaisesti sähköisellä lukituksella, kulunvalvonnalla ja muilla toimenpiteillä luvattoman pääsyn estämiseksi tiloihin ja siellä oleviin tietoaineistoihin. 
Henkilöt, joille annetaan pääsy toimitiloihin, joissa säilytetään tai muutoin käsitellään suojaustasoa I tai II edellyttäviä asiakirjoja, tulee olla tunnistettavissa. Suojaustasoa I ja II edellyttävät asiakirjat on säilytettävä sellaisessa kassakaapissa tai muussa lukittavassa kaapissa, holvissa tai tilassa, joka on paloturvallinen.
Henkilöt, joille annetaan pääsy arkistoon taikka tietokonekeskukseen tai muihin tietojärjestelmien ylläpidon tai tietoliikenteen toimivuuden kannalta merkityksellisiin toimitiloihin, joissa säilytetään tai käsitellään suojaustasoa III edellyttäviä asiakirjoja tai suojaustasoa IV edellyttäviä valtakunnalliseen henkilörekisteriin talletettuja asiakirjoja, tulee olla tunnistettavissa. 

15 §

Luokitellun asiakirjan käsittely 
viranomaisen toimitilojen ulkopuolella

Luokiteltuja asiakirjoja ei saa säilyttää tai muutoin käsitellä valtionhallinnon viranomaisen toimitilojen ulkopuolella, jollei viranomaisen luvasta, toimeksiannosta tai antamista ohjeista muuta johdu.  

16 §

Tietojärjestelmiä koskevat turvallisuusvaatimukset

Valtionhallinnon viranomainen voi sallia suojaustasoa I edellyttävien asiakirjojen tallettamisen vahvasti suojattuna erilliseen työasemaan tai tietovälineeseen taikka tietojärjestelmään vain, jos viranomainen on varmistanut, että ne täyttävät korkean tietoturvallisuustason vaatimukset.
Suojaustasoa II edellyttäviä asiakirjoja saa tallettaa vain sellaiseen valvottuun verkkoon kuuluvalle työasemalle, joka ei ole yhteydessä muihin verkkoihin, jollei valtionhallinnon viranomainen ole varmistanut, että käsittelyn turvallisuus voidaan muutoinkin taata korkean tietoturvallisuustason mukaisesti. 
 Suojaustasoa II tai III edellyttäviä asiakirjoja taikka suojaustasoa IV edellyttäviä arkaluonteisia tietoja tai biometrisiä tunnistetietoja sisältäviä henkilörekisteriin talletettuja asiakirjoja ei saa käsitellä suojaamattomana käyttöoikeusrajoitteisen verkon ulkopuolella. 
Mitä 1–3 momentissa säädetään asiakirjan tallettamisesta, sovelletaan myös muuhun asiakirjan käsittelyyn, jollei 17–20 §:stä muuta johdu. 

17 §

Luokitellun asiakirjan kopiointi

Suojaustasoa I edellyttävää asiakirjaa ei saa kopioida ilman sen laatineen viranomaisen antamaa lupaa. Suojaustasoa I tai II edellyttävän asiakirjan kopiot on luetteloitava. Asiakirjan sähköisessä kopioinnissa tietovälineelle on ottava huomioon, mitä 16 §:n 2 momentissa säädetään asiakirjan tallettamisen edellytyksistä. 	Luokitellun asiakirjan kopioon on tehtävä sama merkintä kuin mikä on tehty alkuperäiseen asiakirjaan, jollei luokitus muutoin jo ilmene asiakirjan kopiosta. Valtionhallinnon viranomainen voi päättää, että suojaustasoa III tai IV edellyttävään asiakirjaan ei ole tarpeen tehdä merkintää, jos asiakirjaa ei luovuteta ulkopuolisille ja asiakirjaa viranomaisessa käsittelevillä on tieto asiakirjan käsittelyssä noudatettavista vaatimuksista.  

18 §

Luokitellun asiakirjan välittäminen

Suojaustasoa I edellyttävä asiakirja on toimitettava henkilökohtaisesti tai kuriirin välityksellä. Suojaustasoa II tai III edellyttävä asiakirja saadaan välittää postitse tai valtionhallinnon viranomaisen tavanomaisen asiakirjojen välitysjärjestelmän kautta läpinäkymättömään sisäkuoreen sijoitettuna. 
Suojaustasoa I tai II edellyttävän asiakirjan luovutus on kirjattava.  

19 §

Luokitellun asiakirjan  
 siirtäminen tietoverkossa

Suojaustasoa I edellyttävää asiakirjaa ei saa siirtää tietoverkossa. Siirtäminen on kuitenkin sallittua valtionhallinnon viranomaisen luvalla viranomaisen ja sen hallinnonalaan kuuluvien eri yksiköiden välillä, jos asiakirjan toimittaminen ei 18 §:ssä säädetyllä tavalla ole mahdollista matkustusvaikeuksien ja muiden poikkeuksellisten olosuhteiden vuoksi ja jos asiakirja liittyy asiaan, jonka käsittely edellyttää asiakirjan nopeaa toimittamista.
Valtionhallinnon viranomainen voi sallia suojaustasoa II tai III edellyttävän asiakirjan siirtämisen tietoverkossa vain, jos se on varmistunut, että käytössä oleva tietojärjestelmä ja tietoverkkojen osat täyttävät korkean tason tietoturvallisuusvaatimukset. Sama koskee suojaustasoa IV edellyttäviä arkaluonteisia tietoja tai biometrisiä tunnistetietoja sisältäviä henkilörekisteriin talletettuja asiakirjoja. 
Suojaustasoa IV edellyttäviä muita kuin 2 momentissa tarkoitettua asiakirjoja saa siirtää valtionhallinnon viranomaisen päättämällä tavalla. 

20 §

Luokitellun asiakirjan käsittelyn kirjaaminen

Suojaustasoa I–III edellyttävien asiakirjojen sekä suojaustasoa IV edellyttävien henkilörekisteriin talletettujen asiakirjojen käsittely tulee kirjata sähköiseen lokiin, tietojärjestelmään, asianhallintajärjestelmään, manuaaliseen diaariin tai asiakirjaan. 
Mitä 1 momentissa säädetään, ei koske sellaisia valmisteluvaiheen versioita, jotka ovat vain niiden laatijan käytettävissä. 

21 §

Luokitellun asiakirjan 
 arkistointi ja hävittäminen

	 Luokiteltujen asiakirjojen arkistoinnissa noudatetaan arkistolakia ja sen nojalla annettuja säännöksiä ja määräyksiä sekä viranomaisen arkistolain mukaisesti laatimaa arkistonmuodostussuunnitelmaa.
	 Tarpeettomaksi käyneen suojaustasoa I tai II edellyttävän asiakirjan kopio tulee hävittää, jollei sitä palauteta asiakirjan laatineelle viranomaiselle. Hävittämisen saa suorittaa vain henkilö, jonka viranomainen on tähän tehtävään määrännyt. Asiakirjan valmisteluvaiheen versiot voi kuitenkin hävittää ne laatinut henkilö. 
	Paperimuotoinen asiakirja on tuhottava suojaustasoa vastaavalla tavalla. Sähköisesti talletettu asiakirja on vastaavasti tuhottava työasemalta, tietojärjestelmästä tai tietovälineeltä sekä pidettävä huolta, että tietojärjestelmien käytön yhteydessä syntyneet väliaikaistiedostot poistetaan riittävän usein. 

5 luku

Siirtymä- ja voimaantulosäännökset

22 §

Voimaantulo

Tämä asetus tulee voimaan    päivänä    kuuta 200 , ja sillä kumotaan viranomaisten toiminnan julkisuudesta ja hyvästä tiedonhallintatavasta 12 päivänä marraskuuta 1999 annetun asetuksen (1030/1999) 2 ja 3 §. 

23 §

Siirtymäsäännökset

Asiakirjoja, jotka on luokiteltu ennen tämän asetuksen voimaantuloa, käsitellään tässä asetuksessa säädettyjen vaatimusten mukaisesti, jollei ole ilmeistä, että luokitukselle ei tämän asetuksen mukaan enää ole perusteita. 
Mitä luokituksen muuttamisesta tai poistamisesta tehtävästä merkinnästä säädetään tämän asetuksen 9 §:n 4 momentissa, sovelletaan ennen tämän asetuksen voimaantuloa tehtyyn luokitukseen vain silloin, kun luokiteltu asiakirja luovutetaan ulkopuoliselle. Ennen asetuksen voimaan tuloa tehty automaattisen tietojenkäsittelyn avulla käsiteltävien asiakirjojen luokittelu on kuitenkin saatettava tämän asetuksen mukaiseksi viiden vuoden kuluessa asetuksen voimaantulosta.  
Valtionhallinnon viranomaisen tämän asetuksen voimaan tullessa käytössä olevien toimitilojen on täytettävä edellä 16 §:ssä säädetyt vaatimukset tilojen turvallisuudelle viiden vuoden kuluessa tämän asetuksen voimaantulosta. Sama koskee toimitiloja, jotka on otettu käyttöön ennen kuin on kulunut kaksi vuotta tämän asetuksen voimaantulosta. 

 _____________________

Helsingissä        päivänä     kuuta    20   .