Tietoturvatasot

Asettaminen	
	
Valtiovarainministeriö (VM) käynnistää tällä päätöksellä Tietoturvatasot –hankkeen, joka toteutetaan vuosina 2008-2011. VM on tänään asettanut Tietoturvatasot -hankkeen ohjausryhmän, hankeryhmän sekä tietoturvatasojen osan I raadin. 	

Toimikausi	
	
Tietoturvatasot –hankkeen osan I toimikausi on 28.2.2008-31.12.2008.	

Tausta	
	
Hanketta valmistelleen esitutkimuksen yhteydessä keväällä 2007 VM:n työryhmä laati tietoturvatasoja kuvaavan käsitemallin. Mallilla kuvataan tietoturvallisuuden perustaso sekä perustasoa korkeammat tasot. Perustaso on tietoturvatasojen minimitaso, joka kaikkien hallinnon organisaatioiden tulee ylittää. Käsitemalli on julkaistu esitutkimuksen aineistoissa VM:n kotisivuilla .

Määriteltyjen tietoturvatasojen avulla hallitaan oman organisaation tietoturvallisuutta. Tietoturvallisuudelle voidaan asettaa kehittämistavoitteet (tulostavoitteet). Tietoturvatasojen avulla voidaan asettaa tietoturvallisuuden hallinnalle ja kehittämiselle mitattavat tavoitteet (mittarit). Tavoitteiden toteutumista seurataan osana tulosohjausta.

Tietoturvatasot koskevat hallintoa, hallinnon sidosryhmiä sekä palveluntoimittajia. Tietoturvatasojen avulla pystytään yhteismitallisesti kuvaamaan oman organisaation tietoturvataso –myös sidosryhmille. Yhtenäisesti määritellyillä ja toteutetuilla tietoturvatasoilla edistetään poikkihallinnollista yhteistyötä. Tietoturvatasoilla voidaan asettaa palvelutoimittajille kulloinkin hankinnan kohteena oleviin palveluihin oikeassa suhteessa olevat tietoturvallisuusvaatimukset.

Hanke tukee Yhteiskunnan elintärkeiden toimintojen turvaamisen strategian (YETT) toimeenpanoa sekä useita hallinnon hankkeita, mm. Huoltovarmuuskeskuksen HUOVI-hanketta, valtiovarainministeriön Virkamiehen tunnistaminen (VirTu) ja Varautuminen (VARe)-hankkeita.	

Tietoturvatasot –hankekokonaisuuden yleiset tavoitteet vuosille 2008 - 2011 	
	
Tavoitteena on, että kaikki hallinnon organisaatiot täyttävät vaiheittain 1.1.2011 alkaen tietoturvallisuuden hallinnan sekä tietoon kohdistuvat perustason vaatimukset. Hankekokonaisuuden tulosten käyttöönotolla ja hyvän hallintotavan mukaisesti:

•	Julkishallinnon kokonaisturvallisuus paranee.

•	Hallinto sekä palvelut saatetaan vähintään yhteismitalliselle perustasolle. Tietoturvatasojen avulla jatkossa organisaatioiden (tieto)turvallisuus on mitattavissa ja auditoitavissa yhtenäisellä tavalla. Kumppaneiden tietoturvatasot tunnetaan sekä oma tietoturvataso voidaan osoittaa sidosryhmille.

•	Organisaatioiden välinen turvallinen tietojenvaihto mahdollistuu. Organisaatiot voivat tietoturvatasojen avulla luottaa toisiinsa sekä sidosryhmiinsä.

•	Tietoturvavaatimusten asettaminen hankittaville palveluille helpottuu ja yhtenäistyy. Palvelutoimittajille saadaan selvät tietoturvavaatimukset. 

•	Mahdollisuus yhtenäiseen hankittujen palvelujen auditointiin tuo organisaatioille ja koko julkiselle hallinnolle säästöjä sekä parantaa laatua.

•	Tarjottavilla apuvälineillä tuetaan organisaation tietoturvallisuuden hallintaa. Tietoturvatasojen käyttöönotolla tietoturvallisuuden vastuunjako ja roolit selvenevät organisaatiossa. 

•	Tietojenkäsittely on hallittua ja asiointi on turvallista hallinnon palveluissa. Kansalaiset ja yritykset voivat luottaa laadukkaaseen ja turvalliseen tietojen käsittelyyn.

Hankekokonaisuuden osat	
	
Tietoturvatasot-hankekokonaisuuden osat ovat:

I    Tietoturvatasojen perustason määrittäminen

II   Vaikuttavien normien, standardien ja hyvien käytäntöjen kuvaaminen

III  Tietoturvatasojen yhteydet muihin luokitteluihin sekä hyödyntämisen tutkiminen

IV  Organisaatioiden kypsyyden ja tietoturvatason arviointi sekä parantaminen

Ensimmäisenä käynnistetään osa I ja muut osat asetetaan myöhemmin.	

Tehtävät	
	
Osassa I käynnistetään tietoturvatasojen valmistelu. Erityisesti painotetaan perustason vaatimuksiin ja soveltamisen tukemiseen hallinnossa. Päätehtävät vuonna 2008 ovat:

Tietoturvatasojen perustason määrittäminen

1.	Määritetään sekä valmistellaan päätettäväksi hallinnolle yhteiset, tärkeät ja turvattavat kohteet tietoturvallisuuden kannalta. Näitä ovat esimerkiksi palvelut, perustietorekisterit, osaaminen ja resurssit.

2.	Määritetään ja valmistellaan päätettäväksi valittujen turvattavien kohteiden turvaamistavoitteet ja vastuut perustasolla.

Tietoturvatasojen raportoinnin ja tulosohjauksen tukeminen

3.	Laaditaan ehdotus, millä tietoturvallisuuden hallinnan keinoilla ja mahdollisilla yhteisillä palveluilla tavoitteet saavutetaan.

4.	Määritetään vaatimukset, joilla päätetyt perustason tietoturvatavoitteet saavutetaan.

5.	Laaditaan ehdotus, miten tietoturvatasot liitetään tulosohjaukseen ja –raportointiin

Pilotointi ja tietoturvatasojen soveltaminen hallinnossa

6.	Kootaan, täydennetään ja testataan kehittämistyökalut sekä soveltamisohjeet tietoturvatasojen saavuttamiseksi.

7.	Koulutetaan avainhenkilöitä tietoturvatasojen saavuttamiseksi.

Pilottiorganisaatiot

Hankkeen tuloksia otetaan vaiheittain käyttöön valituissa pilottiorganisaatioissa. Pilottiorganisaatiot soveltavat tasojen mukaista tietoturvallisuuden hallintaa omassa toiminnassaan. Tavoitetilana on, että hallinnon organisaatiot ovat kyvykkäitä (tieto)turvallisuuden hallinnassa. Ydintoiminnan kannalta valittujen turvattavien kohteiden hallintaprosessien on toimittava suunnitellusti. Tietoturvallisuuden hallinnan edellytyksenä ovat hyvän hallinnon periaatteet. Tähän tietoturvallisuuden kehittämistyöhön tarjotaan pilottiorganisaatioille apuvälineitä sovellettavaksi. 

Pilottiorganisaatiot ovat ulkoasiainministeriö (UM), sisäasiainministeriön palvelukeskus (Palke), Ilmatieteen laitos (IL), Verohallitus sekä Joensuun kaupunki.

Hanke aloittaa valmistelun perustasovaatimusten saattamiseksi velvoittavaksi määräykseksi julkishallintoon. Hankkeen tehtävät on kuvattu laajasti esitutkimuksen liitteessä 3.

Organisointi

Ohjausryhmä:

Leena Honka, valtion IT-johtaja, pj, valtiovarainministeriö
Mikael Kiviniemi, neuvotteleva virkamies, varapuheenjohtaja, valtiovarainministeriö 
Eeva Björklund, tietohallintopäällikkö, Ilmailulaitos
Kari Santalahti, ylitarkastaja, poliisin tietoturvapäällikkö, sisäasiainministeriö
Ari Uusikartano, tietohallintojohtaja, ulkoasiainministeriö

Ohjausryhmän tehtävänä on ohjata hanketta, informoida sidosryhmiä, päättää etenemisestä ja sisällön suuntaamisesta. Ohjausryhmä hyväksyy hankkeen tulokset. 

Hankeryhmä:

Minna Romppanen, tietoturva-asiantuntija, pj, valtiovarainministeriö
Jani Arnell, turvallisuuspäällikkö, Viestintävirasto
Iris Karhuketo, ylitarkastaja, oikeushallinnon tietotekniikkakeskus
Lauri Karppinen, IT-erityisasiantuntija, Tietosuojavaltuutetun toimisto
Erja Kinnunen, tietoturvapäällikkö, Ajoneuvohallintokeskus
Mats Kommonen, tietoturvapäällikkö, Turun yliopisto
Markus Peuhkuri, laboratorioinsinööri, Teknillinen korkeakoulu
Petri Puhakainen, turvallisuusjohtaja, Verohallitus
Antti Savolainen, tietoturvallisuuspäällikkö, ulkoasiainministeriö

Hankeryhmän tehtävänä on huolehtia hankkeen osan I tehtävien toteuttamisesta ja tavoitteiden saavuttamisesta sekä laatia vuosittainen työsuunnitelma. Hankeryhmä seuraa ja ohjaa raadin työskentelyä, käsittelee ohjausryhmälle esiteltävät asiat sekä pitää yhteyttä hankkeen sidosryhmiin.

Tietoturvataso-raati osalle I:

Kari Alvila, tietohallintopäällikkö, Joensuun kaupunki
Timo Erjansola, erityisasiantuntija, oikeusministeriön tietohallintoyksikkö
Juha-Matti Heimonen, tietoturva-asiantuntija, Tampereen yliopisto
Jaakko Hartikka, kehityspäällikkö, Lääkelaitos
Armi Helenius, ylitarkastaja, Kansallisarkisto
Hellevi Huhanantti, tietoturvapäällikkö, Väestörekisterikeskus
Jari Huhtamäki, liikenne- ja viestintäministeriö
Jorma Huttunen, erikoissuunnittelija, Etelä-Suomen lääninhallitus
Kalevi Hyytiä, tietoturvallisuuspäällikkö, Puolustusvoimat
Lauri Karppinen, IT-erityisasiantuntija, Tietosuojavaltuutetun toimisto
Paul Kinnunen, tietoturva-asiantuntija, Ratahallintokeskus
Pirkko Kilpeläinen, tietoturvallisuuspäällikkö, Ilmatieteen laitos
Tuija Kyrölä, valmiuspäällikkö, Huoltovarmuuskeskus
Tuija Lehtinen, tietoturvapäällikkö, Maaseutuvirasto
Karolina Lehto, lakimies, Ajoneuvohallintokeskus
Kari Likovuori, järjestelmäasiantuntija, työ- ja elinkeinoministeriö
Minna Manninen, tietoturvapäällikkö, Teknillinen korkeakoulu, kauppakorkeakoulu
Olavi Manninen, johtaja, Kuopion yliopisto/tietotekniikkakeskus
Timo Mannonen, sovellussuunnittelija, Tilastokeskus
Eija Mikkonen, tietohallintosuunnittelija, sisäasiainhallinnon palvelukeskus
Raimo Mäenpää, atk-suunnittelija, oikeushallinnon tietotekniikkakeskus
Riitta Mäkinen, projektipäällikkö, Helsingin kaupunki
Tommi Oikarinen, projektipäällikkö, valtiovarainministeriö/KuntaIT
Marit Olander, tietohallintopäällikkö, Valtioneuvoston kanslia
Harri Pekkarinen, kehittämispäällikkö, sisäasiainhallinnon palvelukeskus
Kai Pirttijärvi, tietoturvapäällikkö, TE-keskusten tietohallinnon kehittämispalvelut/THKP
Harri Pulsa, merenkuluntarkastaja, Merenkulkulaitos
Maarit Puhto, tietohallintopäällikkö, Stakes
Lauri Päivärinta, lääninarkistonhoitaja, Itä-Suomen lääninhallitus
Veli-Pekka Rajajärvi, tietoturvapäällikkö, Rajavartiolaitoksen esikunta
Juha Röning, osastonjohtaja, Oulun yliopisto
Kristian Salmi, atk-suunnittelija, Elintarvikevirasto
Leena Soikkeli, tietoturvapäällikk,ö Kansaneläkelaitos
Jari Suutari, arkistonhoitaja, Kansanterveyslaitos
Seppo Sundberg, turvallisuusjohtaja, Valtiokonttori
Olli-Pekka Tieksola, tietoturvallisuuspäällikkö, MMM/Tike
Juhani Tikkanen, yksikönjohtaja, Kansallisarkisto
Harri Toivonen, DI, Merenkulkulaitos
Pekka Toivonen, tietoliikenneasiantuntija, Merenkulkulaitos
Sirkka Tuomi, projektipäällikkö, Tiehallinto
Tero Tuominen, IT-koordinaattori, Merenkulkulaitos
Maarit Turunen, sisäinen tarkastaja, Valtiokonttori
Markus Uomala, neuvotteleva virkamies, Merenkulkulaitos
Pauli Viljakainen, atk-suunnittelija, Helsingin hovioikeus
Topi Ylinen, tietoturvallisuuspäällikkö, Finavia/Ilmailulaitos

Hankeryhmän kanssa yhteistyössä toimii asiantuntijaraati. Raatilaisten roolina on toimia kommentoijina ja laadunvarmistajina. Raati koostuu pilottiorganisaatioiden edustajista, esitutkimuksen seurantaryhmästä jatkavista jäsenistä sekä sidosryhmien edustajista. Osan I raadin jäsenet on kuvattu liitteessä 1.

Tietoturvatasomäärittelyt ja perustason vaatimukset testataan hallinnossa ja raati toimii tärkeänä linkkinä hallintoon. Käytännössä raadin tehtävänä on tuottaa työsuunnitelman mukaisesti perusturvatason määritykset vuoden 2008 aikana. Raatia informoidaan säännöllisesti hankkeen etenemisestä. Työpajoihin osallistujia kutsutaan ensisijaisesti tukiryhmänä toimivasta raadista ja sieltä voidaan valita henkilöitä katselmoimaan tuloksia. Raatilaisilla on pääsy työryhmäohjelmistoon sekä oikeus saada etukäteen luonnosaineistoa. Raatilaisten tehtävänä on antaa palautetta ja tuoda esiin organisaatioiden tarpeita. Raadin jäsenten arvioitu työmäärä osan I aikana on noin 10 htp.

Hanke toimii valtiovarainministeriön ohjauksessa ja yhteistyössä koko hallinnon kanssa. Tietoturvatasot toimivat yhdessä valtionhallinnon tietoturvallisuuden johtoryhmän VAHTIn hankkeiden kanssa ja VAHTI ohjaa hankkeen sisältöä. Hankkeessa voidaan käyttää ulkopuolisia asiantuntijoita Valtion IT-toiminnan johtamisyksikön hyväksymissä puitteissa.	

Kustannukset ja rahoitus	

Valtiovarainministeriö maksaa hankkeesta aiheutuvat ulkoiset menot momentilta 28.01.21. Työ tehdään virkatyönä. Kukin organisaatio vastaa edustajiensa matkakustannuksista.	

	
	Alivaltiosihteeri	Juhani Turunen	
	
	Ylijohtaja, osastopäällikkö	Silja Hiironniemi	

	

JAKELU	
	Ohjausryhmä
Hankeryhmä
Valtioneuvoston hankerekisteri
Ministeriöt, virastot ja laitokset
Hankkeeseen osallistuvat organisaatiot ja yksiköt
	
TIEDOKSI	
	VAHTI
Valtion IT-johtoryhmä
Valtion IT-koordinaatioryhmä
JUHTA
Kuntaliitto