Valtiovarainministeriö 
PL 28 
00023 VALTIONEUVOSTO

Valtiovarainministeriön VAHTI lausuntopyyntö VM047:00/2007

LAUSUNTO LUONNOKSESTA VALTIONHALLINNON TIETOTURVALLISUUDEN KEHITYSOHJELMAKSI VUOSILLE 2010 - 2015

Suojelupoliisi esittää luonnoksesta valtionhallinnon tietoturvallisuuden kehitysohjelmasta lausuntonaan seuraavaa.

1.	Kehitysohjelman sisältö, toimenpiteet, painotukset ja kannanotot

Tietoturvallisuuden merkitys on koko ajan entisestään korostunut kaikissa valtionhallinnon tietoprosesseissa ja -projekteissa. Tietoturvallisuuden käsite on laajentunut koskemaan tietotyön turvallisuutta myös johtamisen ja työprosessien tasolla.

VAHTIn rooli valtionhallinnon tietoturvatyön keskeisenä koordinoijana, ohjaajana ja kehittäjänä on vahvistunut viime vuosina. Päätoiminen tietoturvallisuustyöhön kohdistettu henkilöresurssi on ollut pienehkö mutta tätä on kompensoinut merkittävästi VAHTIn verkostomainen työskentelytapa. Lukuisat, jopa sadat tietoturvan parissa työskentelevät henkilöt eri hallinnonaloilta ja virastoista ovat halunneet osallistua VAHTIn työhön kehittäen samalla omaa osaamistaan ja parantaen laajasti valtionhallinnon tietoturvallisuutta merkittävien raporttien ja ohjeiden muodossa.

Nyt lausunnolla olevaa kehittämisohjelmaa leimaa pyrkimys keskittää tietoturvallisuuden ohjausresursseja valtiovarainministeriöön, jossa olisi toisaalta myös budjettivalta hankkeiden toteutukseen.

Kiistatonta on, että tietoturvallisuuden auditointi vaatii lisäresurssointia. Tämä olisi kuitenkin keskittämisen sijaan mahdollista toteuttaa muodostamalla sertifioiduista auditoijista valtion auditointipooli, johon VAHTI:lla olisi keskitetty ohjaus. Auditoijat työskentelisivät edelleen lähettävän viraston henkilöinä, joka olisi heidän varsinainen palkanmaksajansa. Malli mahdollistaisi joustavan resurssien käytön ja säilyttäisi tuntemuksen varsinaiseen toteuttavaan tietoturvatyöhön. Mikäli auditointiresurssit keskitetään, on vaarana auditoijien etääntyminen varsinaisesta operatiivisesta tietoturvatyöstä. On myös huomioitava että auditoinnissa voitaisiin hyödyntää myös kaupallisia palveluntarjoajia, jolloin resurssien käyttö voisi olla joustavaa. 

2. Suojelupoliisin edellytykset kehittämisohjelman toimeenpanoon

Suojelupoliisin toiminnassa tietoturvallisuus on priorisoitu hyvin korkealle ja se on jo suurelta osin toteuttanut kehittämisohjelmassa esille tuotuja painopistealueita. Myös erilaisia tietoturvallisuuteen keskittyviä kohdistettuja auditointeja on suoritettu. Suojelupoliisin toiminnan erikoislaadun vuoksi tietojärjestelmiin ja -prosesseihin kohdistuvia tarkastuksia joudutaan kuitenkin rajoittamaan. 

Suojelupoliisi tekee perusmuotoisia ja laajoja turvallisuusselvityksiä yrityksille ja viranomaisille. Turvallisuusselvitysmenettelyn piiriin on hakeutunut sekä yrityksiä että viranomaisia, molempia noin 60. Viime vuosina suojelupoliisi on tehnyt vuosittain noin 8000 perusmuotoista turvallisuusselvitystä.
 
Viime vuonna suojelupoliisi oli vahvasti mukana sisäisen turvallisuuden ohjelman toisen vaiheen toimenpiteenä toteutetun kansallisen turvallisuusauditointikriteeristön laatimisessa.  Suojelupoliisi on ollut ja on edelleenkin kiinteästi mukana myös oikeusministeriössä käynnissä olevassa turvallisuusselvityslain (Laki henkilöiden ja yritysten taustojen selvittämisestä) uudistamistyössä. Lakiuudistus tulee valmistuttuaan vaikuttamaan sekä suojelupoliisin henkilö- että yhteisöturvallisuusselvityksiin. 

3. Kehitysohjelman hyödyt

Kehitysohjelmassa esitetyt toimenpiteet ovat niin kattavat, että niiden toteutuessa tietoturva olisi keskeinen osa valtionhallinnon konserniajattelua, jota varten kehitettäisiin joukko tietoturvallisuuden mittareita. Aikataulutavoitteeksi näille mittareille esitetään vuotta 2013. 

Tämä tavoitevuosi tarkoittaisi kohtuullisen nopeaa toteutusvaihetta, joka vaatii mittavia resursseja. Ellei näitä resursseja saada tai ne jäävät vähäisiksi, kehitystyö varmasti hidastuu ja tavoite karkaa ajallisesti kauemmaksi. Tästä syystä olisi keskeistä jakaa näinkin suuri ohjelma eri vaiheisiin, jotta projekti voitaisiin viedä hallitun porrastetusti läpi niin sisällön kuin kustannusten osalta. 

Liitteessä 1 olevat kehitysohjelman toteutumisen seurantamittarit ovat yleisellä tasolla olevia toteamuksia tyyliin ”johtamispanosta” ja ”konsultointia”. Selkeät tavoitepäivämääriin sidotut yksityiskohtaisesti täsmennetyt välitavoitteet olisivat myös kehitysohjelman etenemisen oma mittari.  Kehitysohjelmassa mainittu ”pienten askelten malli” voisi olla sopiva pohja tällaisen vaiheistuksen luomiseksi. 

4. Kehitysohjelman edellyttämät toimenpiteet sekä kustannusvaikutukset

Kehitysohjelman täysimääräinen toteuttaminen suojelupoliisissa edellyttäisi arviolta yhden henkilötyövuoden työpanosta koko kehitysohjelman ajaksi ja päätoimisen tietoturvavastaavan viran perustamista.

5. Ilmoitukset hankkeisiin osallistumisesta

Suojelupoliisi pyrkii osallistumaan valtion tietoturvayhteistyöhän käytettävissä olevien voimavarojen mukaisesti. Päätökset osallistumisesta tehdään tapauskohtaisesti.

Apulaispäällikkö		Petri Knape

Tietohallintopäällikkö		Matti Viirret

Jakelu 		valtiovarainministerio@vm.fi.

Tiedoksi		Neuvotteleva virkamies Mikael Kiviniemi
		Tietoturvallisuusasiantuntija Juhani Sillanpää