7.6.2010, Dnro 12/020/2010

VALTIOVARAINMINISTERIÖ		        
Hallinnon kehittämisosasto
VAHTI

VM:n lausuntopyyntö VM047:00/2007, 19.5.2010

Ilmatieteen laitoksen lausunto tietoturvallisuuden kehitysohjelmasta

Kokonaisuutena valtionhallinnon tietoturvallisuuden kehitysohjelma on haasteellinen ja tavoitteellinen painottuen konsernin ohjaukseen ja tietoturvallisuuden liittämiseen organisaation johtamiseen ja tietoturvapalvelujen tarjoamiseen hallinnon laajuisesti, mikä sinällään on hyvä asia.

Kehittämisohjelmassa tulee esille tietoturvallisuuden tärkeitä osa-alueita ja niiden kehittämistä. Organisaation tietoturvallisuuden kehittämisen edellyttävänä tekijänä on, että organisaatiossa on käytössä riskienhallintamenettelyt. Kehitysohjelmassa on mainittu riskikartoitusmenetelmien kehittäminen, prosessien arvioiminen riskienhallinnan avulla sekä koulutuksen avulla riskienarviointivalmiuksien kehittäminen. Kehitysohjelmassa on hyvä painottaa tätä osa-aluetta ja mahdollisesti tarjota yhteinen hanke aiheesta.

Tietoturvallisuuden kehityksessä on hyvä painottaa tietoturvallisuuden kehityksen lisäksi toiminnan laadun kehittämistä. Molemmat osa-alueet tukevat toisiaan. Ilmatieteen laitoksella on jo osittain käytössä laatujärjestelmä ja seuraavien vuosien strategiasuunnittelussa ylin johto on painottanut myös laatujärjestelmän laajempaa käyttöönottoa. 

VAHTIn tietoturvallisuuden kehitysohjelma on vuoden 2015 loppuun saakka. Ilmatieteen laitoksen toiminta ja toiminnan jatkuvuus on tärkeää yhteiskunnan elintärkeiden toimintojen kannalta ja laitoksessa panostetaan varautumiseen ja jatkuvuuden hallintaan. Tietoturvallisuuden kehitysohjelma tukee näitä tavoitteita. Laitoksen toiminta perustuu meteorologisen alan erikoisosaamiseen, 24/7 operatiiviseen toimintaan ja tutkimukseen. Tämän kaiken mahdollistaa laitoksessa in-house toimiva ja ylläpidettävä tietotekniikka, asianmukaiset olosuhteet ja laitoksen palveluksessa toimivat erikoisasiantuntijat. Ilmatieteen näkökulmasta tietoturvallisuutta tulee kehittää kytkemällä tietoturvallisuus kiinteämmin kaikkiin laitoksen toimintaprosesseihin ja kehittää koko henkilöstön tietoturvaosaamista. Laitoksen toiminnan kannalta katsottuna ei ole nähtävissä, että esimerkiksi pienestä määrästä ylläpitohenkilöistä voitaisiin irroittaa ja kouluttaa tietoturvaosaajia valtionhallinnon yhteiseen käyttöön. 

Laitoksen kannalta VAHTIn tietoturvallisuuskehitysohjelman toimeenpano vaatii luonnollisesti lisäresurssointia sekä työaikaa omalta henkilöstöltä että budjettirahoitusta. 

Työasemien ulkoistamisesta
•	Laitoksessa tehdään sisäisesti laajaa tuotekehitystä ja tutkimusta.  Molemmat toiminnot vaativat työasemaympäristöltä sekä laite- että ohjelmistopuolelta kyseisiä tehtäviä tukevia erikoisominaisuuksia. Koko laitoksen henkilöstöllä ei voi olla käytössä tietyn standardin mukaiset työasemat.
•	Myös laitoksen työasemien tukitoiminnot palvelevat joustavasti laitoksen asiakkaiden tarpeita.
•	Laitoksen työasemien ulkoistaminen toisi merkittävää kustannuspainetta ylöspäin.

Tietoturvallisuuden kehitysohjelman toimeenpanosta tulee kustannuksia työaikaresurssien käytöstä, koulutuksesta, tietoturvapalvelujen käytöstä, ostohankinnoista ja mahdollisista ulkoistamisista. Kokonaiskustannusten arviointia perustuen laajaan tietoturvallisuuden kehitysohjelmaan on mahdotonta tehdä tässä vaiheessa ilman tarkennettuja projekteja tai tehtäviä. Kaiken tukitoiminnan ulkoistaminen, minkä tulee tukea 24/7 toimintaa, tuo todennäköisesti huomattavasti lisäkustannuksia.

Jos konserniohjauksessa vedetään tiukka linja ja korostetaan jotakin toimintaa, on se toisaalta pois, jos resurssia ei korvata täysin. Tämä saattaa heikentää substanssitoimintaa ja sen kehittämistä, jolla kuitenkin suurin tuottavuusvaikutus euroina mitattaessa.

Ilmatieteen laitos suhtautuu myönteisesti VAHTIn kehityshankkeisiin osallistumisiin niissä rajoissa, kun omat resurssit antavat myöden ja kun laitos kokee, että kyseiseen hankkeeseen on tarjolla asiantuntijaresurssi. 

Pirkko Kilpeläinen				Kimmo Aaltonen

Tietoturvallisuuspäällikkö			Tietohallintopäällikkö