viestintäverkkojen ja viestintäpalveluiden varmistaminen ...€¦ · sen uhka on pienentynyt, on...

Puolustustaloudellinen suunnittelukunta Tietoyhteiskuntasektori Tietoverkkopooli 2/2005

Viestintäverkkojen ja viestintäpalveluiden varmistaminen Opas käyttäjille

Viestintäverkkojen ja viestintäpalveluiden

varmistaminen

Ohjeita käyttäjille

Puolustustaloudellinen suunnittelukunta Tietoyhteiskuntasektori

Tietoverkkopooli 2/2005

© Puolustustaloudellinen suunnittelukunta

Tietoyhteiskuntasektori

Tietoverkkopooli

2/2005

PTS Tietoverkkopooli 2/2005 3/27 Viestintäverkkojen ja viestintäpalveluiden varmistaminen. Ohjeita käyttäjille.

Viestintäverkkojen ja viestintäpalveluiden varmistaminen

Ohjeita käyttäjille

Lukijalle 4

1. Varautumisen perusteita 5

1.1. Käsitteitä ja määritelmiä 5

1.2. Tietojärjestelmiin kohdistuvat uhkat 5

1.3. Tietoturvallisuus 9

1.4. Energian saannin turvaaminen 10

1.5. Toimintojen ulkoistaminen ja palvelun tuottajan valinta 11

1.6. Tietoturvaloukkauksista, vioista ja häiriöistä ilmoittaminen 12

2. Varautuminen 14

3. Toiminta normaaliolojen häiriötilanteissa 18

4. Valmiuden tehostaminen 20

5. Toiminta ja ohjaus poikkeusoloissa 22

5.1. Sähköisen viestinnän ja tiedonkäsittelyn sääntely ja säännöstely 23

6. Lainsäädäntö ja ohjeita 24

Lliite 1 Ulkoistamisen kartoitus 26

Lliite 2 Viestintäverkkojen ja viestintäpalveluiden varmistamislista 27

Lliite 3 Varautumiseen liittyviä www-osoitteita 28


Lukijalle

Tässä ohjeessa käsitellään käyttäjäorganisaatioiden varautumista niiden omiin kriittisiin prosesseihin sisältyvien tietojärjestelmien osalta.

Varautuminen tarkoittaa tässä kaikkia niitä toimenpiteitä, joiden avulla en-nakolta pyritään hallitsemaan toiminnan jatkuvuutta uhkaava tilanne sekä estämään haitalliset vaikutukset normaalioloissa, normaaliolojen häiriöti-lanteissa ja poikkeusoloissa.

Eräät liiketoimintaprosessit ovat keskeisiä ja kriittisiä yritysten menestymi-selle ja äärimmäisessä tapauksessa jopa olemassaololle. Näihin prosesseihin liittyy välttämättöminä osina tänä päivänä aina tietojärjestelmiä, joita voi-daan vastaavasti kutsua kriittisiksi järjestelmiksi. Kriittiset prosessit sietä-vät niille kullekin ominaiseen rajaan asti häiriötilanteita ja poikkeuksellisia tapahtumia kuten esimerkiksi sähkökatkoja.

Turvatakseen toimintansa kaikkien yritysten on tehtävä kriittisten prosessi-en jatkuvuuteen liittyvä tarveanalyysi tärkeiden järjestelmien toiminnalle välttämättömien tietojärjestelmien osalta. Niiden käytettävyys on varmis-tettava normaaliolojen häiriötilanteissa omin teknisin toimenpitein ja kau-pallisin sopimuksin. Tavoitteidensa mukaan yrityksen on laajennettava nämä toimenpiteet koskemaan myös poikkeusoloja.

Kriittisten prosessien omistajan on kyettävä määrittämään, kuinka suuren tietomäärän menettämisen, tietojärjestelmän tukeman prosessin käyttökat-kon tms. häiriön yritys kestää voidakseen jatkaa toimintaansa. Riskiarvion pohjalta määritellään yrityksen viestintäverkoille ja – palveluille asetettavat vaatimukset kuten tarvittavan tiedonsiirtokapasiteetin käytettävyys ja muut laatutekijät.

Verkostotaloudessa tällainen tarkastelu on ulotettava myös kaikkiin niihin omiin toimittajiin ja kumppaneihin, joiden palveluista yritysten kriittisten järjestelmien toiminta ja jatkuvuus ovat riippuvaisia.

Jos yritys on mukana yhteiskunnan toiminnan kannalta elintärkeiden toi-mintoihin liittyvissä prosesseissa, tulee sen varmistaa kriittisten järjestelmi-ensä tarvitsemat viestintäverkot ja viestintäpalvelut myös poikkeusoloissa.

Tämän ohjeen tarkoituksena on auttaa käyttäjää selvittämään

mitkä ovat kriittisiä toimintoja mitä uhkia niihin kohdistuu kuinka näihin on varauduttu mitä toimenpiteitä ne aiheuttavat ja kuka vastaa niihin varautumisesta.


1. Varautumisen perusteita

1.1. Käsitteitä ja määritelmiä

Käyttäjällä tarkoitetaan tässä ohjeessa käyttäjäorganisaatioita.

Yrityksellä tarkoitetaan yrityksiä ja julkisen sektorin hallinto- ja palveluor-ganisaatioita.

Tietojärjestelmällä tarkoitetaan tietokoneita ja sähköisen viestinnän verkko-ja sekä tietoja, joita niissä varastoidaan, käsitellään, haetaan tai välitetään.

Teleyrityksellä tarkoitetaan verkkoyritystä tai palveluyritystä, joka tarjoaa omistamaansa tai hallussaan olevaa viestintäverkkoa viestien siirtoon, jake-luun tai tarjolla pitoon tai itse siirtää, jakelee tai pitää tarjolla viestejä hal-lussaan olevassa tai käyttöönsä saamassa viestintäverkossa.

Tietoyhteiskunnan palvelu on etäpalvelu ilman, että osapuolet ovat yhtä ai-kaa läsnä. Palvelu toimitetaan sähköisesti eli lähettämällä ja vastaanotta-malla palvelutietoja sähköisesti käsittelevien laitteiden tai tietojen säilytyk-sen avulla. Palvelun lähettämiseen, siirtoon ja vastaanottamiseen käytetään yksinomaan johtimia, radioyhteyttä, optisia laitteita tai muita sähkömag-neettisia laitteita palvelun vastaanottajan henkilökohtaisesta pyynnöstä ta-pahtuvana tiedonsiirtona tavallisesti vastiketta vastaan.

Tietoyhteiskunnan palvelun tarjoajalla tarkoitetaan luonnollista henkilöä tai oikeushenkilöä, joka tarjoaa tietoyhteiskunnan palvelun.

1.2. Tietojärjestelmiin kohdistuvat uhkat

Tietojärjestelmät on ymmärrettävä laajasti, käsittäen kaikki tiedon tallen-tamiseen, siirtämiseen, kokoamiseen ja muuhun käsittelyyn käytettävät jär-jestelmät. Tietojen ja tietojärjestelmäpalveluiden saatavuus on nykyään edellytys lähes kaikkien prosessien toiminnalle.

Tietojärjestelmiin kohdistuu erityyppisiä uhkia tai niiden yhdistelmiä jo normaalioloissa. Uhkien vaikutuksia kohdistuu

tietojen eheyteen, jolloin ulkopuolinen voi valtuudettomasti muuttaa al-kuperäisiä tietoja tai viestien tai tapahtumien osapuolia sekä tapahtuma-aikoja koskevia tietoja

tietojen luottamuksellisuuteen, jolloin ulkopuolinen saa luvatta haltuun-sa salassa pidettävää tietoa

tietojen saatavuuteen, jolloin oikea tiedon käyttäjä ei saa haltuunsa tar-vitsemaansa tietoa tai tietopalvelua silloin, kun hän sitä tarvitsee


tietojärjestelmän hallintaan, jolloin tunkeutuja estää tai hidastaa esimer-kiksi palvelinten toimintaa tai järjestää tunkeutujille etuoikeuksia.

Tietojärjestelmiin kohdistuvien uhkien aiheuttajia ovat oma henkilöstö, ul-kopuoliset toimijat tai järjestelmän tekniset virheet ja vaurioituminen sekä onnettomuudet. Ulkopuolisina toimijoina tietojärjestelmiin kohdistuvissa hyökkäyksissä ovat yksittäiset tai ryhminä toimivat hakkerit, rikollisjoukot, terroristijärjestöt, yksityiset yritykset ja valtiolliset organisaatiot.

Henkilöstöä voidaan huijata luovuttamaan järjestelmän tietoja kuten käyt-täjätietoja tai tietosisältöä ulkopuolisille tahoille. Tämänkaltainen ihmisten herkkäuskoisuuteen tai sinisilmäisyyteen perustuva ns. social engineering eli erehdyttäminen ja hyväksikäyttö voi tapahtua muun muassa puhelimit-se tai sähköpostilla, jolloin rikollinen tiedonhankkija esiintyy esimerkiksi atk-tuen henkilönä. Luovutettujen tietojen avulla tapahtuva tunkeutumi-nen järjestelmään tai järjestelmän väärinkäyttö on vaikea havaita.

Hyökkäykset voivat kohdistua itse tietoihin haittaohjelmilla, tietojärjestel-miin tunkeutumisilla ja niihin liittyvinä tietojen muuttamisilla tai ohjelmien käytön estämisillä.

Tunkeutumiset tai niiden yritykset yksityisten henkilöiden, yritysten ja vi-ranomaisten tietojärjestelmiin ovat jokapäiväisiä. Vakavaa haittaa ja talou-dellisia tappioita aiheuttavat yrityksiin kohdistuvat tietoturvarikkomukset. Lisäksi niihin liittyy uhka järjestelmän uskottavuuden menettämisestä ja tietotekniikkaan perustuvan toiminnon käytön lamaantumisesta. Yhteis-kunnan kannalta vaarallisimpia ovat vieraiden valtioiden laiton tiedustelu erilaisista tietoverkoista tai erilaisten järjestelmien ohjaustoiminnoista. Suu-ri osa tärkeistä tiedoista on saatavissa myös julkisista tai ainakin salaamat-tomista lähteistä, jos käytössä on hyvät tiedonkeruu-, kokoamis- ja ana-lysointijärjestelmät. Luvaton tiedonhankinta lisääntyy, jos yhteiskunta jou-tuu häiriötilanteeseen tai poikkeusoloihin. Hyökkääjä voi valmistella tule-via tunkeutumisyrityksiään jo normaalioloissa, muun muassa syöttämällä erilaisiin järjestelmiin tarvittaessa aktivoitavia haittaohjelmia.

Normaalioloissa toiminta tiedon eheyttä vastaan liittyy usein taloudelliseen rikollisuuteen, mutta tarkoituksena voi olla myös vahingonteko tai sabo-taasi tietovarantoja korruptoimalla. Propagandatarkoituksissa voidaan myös pyrkiä muuttamaan yleisessä käytössä olevia tietokantoja. Vakavissa häiriötilanteissa ja poikkeusoloissa voidaan erilaisiin tietokantoihin ja jär-jestelmiin yrittää syöttää väärää ja harhauttavaa tietoa.

Tietojen saatavuutta vastaan hyökätään maailmanlaajuisesti jatkuvasti ja tällaiset hyökkäykset ulottuvat yleensä myös Suomeen. Yksinkertaisimmin tämä tapahtuu levittämällä tietokoneviruksia, jotka muuttavat ja hävittävät tiedostoja sekä aiheuttavat jopa fyysisiä vaurioita laitteisiin. Tietokonevi-ruksien uhka laajenee nopeasti. Palvelimia voidaan hidastaa ja jopa lamaut-


taa ruuhkauttamalla niiden toiminta. Tällaiset hyökkäykset ovat lyhytaikai-sia, mutta voivat kriittisillä hetkillä vaikeuttaa olennaisesti tietojen saantia. Hyökkääjä voi hallita joitakin tietojärjestelmiä maan ulkopuolelta.

Haittaohjelmien aiheuttamat ongelmat tietojenkäsittelyn jatkuvuudelle ovat kasvussa. Useimmat haittaohjelmat eivät ole kohdistettu mitään tiet-tyä tahoa vastaan, vaan ohjelmat leviävät itsestään käyttäjien myötävaiku-tuksella tai automaattisesti kaikkiin haavoittuviin tietojärjestelmiin. Tähän saakka haittaohjelmilta suojautuminen on toteutettu virustorjuntaohjelmien avulla. Erityisesti automaattisesti leviävien matojen osalta virustorjuntaoh-jelmat päivittyvät liian hitaasti matojen leviämisnopeuteen nähden. Ma-doilta suojautumisen pääasiallisena keinona on pidettävä tietojärjestelmien haavoittuvuuksien nopeaa korjaamista. Tämä asettaa merkittäviä haasteita sovellusohjelmien testaamiseen ja toimittajien kanssa tehtäviin sopimuk-siin.

Suomessa on uhkana ammattimainen hyökkäys, joka kohdistuu kriittiseen infrastruktuuriin. Uutena ilmiönä ovat tulleet haavoittuvien kotikoneiden avulla luodut tietoturvaongelmien aiheuttamiseen koostetut ns. bot-verkot, joita tietomurtojen avulla pystyttäneet tahot tarjoavat käytettäväksi roska-postien levittämiseen tai erilaiseen perinteiseen rikollisuuteen kuten kiris-tämiseen ja petosten suorittamiseen.

Tietotekniset järjestelmät ovat riippuvaisia sähkön saannista. Normaa-lioloissakin esiintyy sähkökatkoksia. Vakavissa häiriötilanteissa ja poikke-usoloissa sähkön tuotanto, siirto ja jakelu voi häiriintyä pitkiksikin ajoiksi.

Tietojärjestelmien käytettävyys voi vaarantua hallitsemattomien muutosten vuoksi. Tietojärjestelmän osien tulee olla keskenään yhteensopivat. Järjes-telmän osan yhteensopivuuden voi vaarantaa jo ohjelmistokorjauksen asen-taminen. Kriittisillä tietojärjestelmillä tulee olla erillinen testausympäristö, jossa ohjelmamuutokset voidaan tarkistaa. Muutosten käyttöönotto saattaa vaatia järjestelmän käytön keskeytyksen. Sen vuoksi asennukset tulee ajoit-taa normaalin käyttöajan ulkopuolelle. Muutosten hallinta on tärkeä osa toimivaa järjestelmien kokoonpanon hallintaa.

Viranomaiset ja yritykset ulkoistavat suuria osia tietojärjestelmistään ja pääosa tiedonsiirrosta toteutetaan yksityisten yritysten järjestelmillä. Suuri osa eri alojen toiminnoista tehdään käyttäen avointa internet-verkkoa. Kaupallinen kilpailu ja tietojärjestelmien monimutkaistuminen muuttaa kä-sityksiä toimintavarmuudesta. Yritykselle on joskus halvempaa kestää häi-riöiden vaikutuksia kuin varmistaa järjestelmien lähes häiriötön toiminta. Liiketoiminnan suunnittelussa ei usein oteta huomioon normaaliolojen va-kavia häiriötilanteita eikä poikkeusoloja. Toisaalta kriisitilanteissa myös yksityiset yritykset hakeutuvat nopeasti kiinteään yhteistyöhön ja toistensa tukemiseen. Avainhenkilöstön vaihtuvuus voi aiheuttaa turvallisuusriskejä.


Viranomaisten ja yritysten vastuukysymykset häiriötilanteissa ja erityisesti niiden seurannaisvaikutuksissa ovat usein vaikeita ratkaista.

Valtioneuvosto on hyväksynyt uudet huoltovarmuuden tavoitteet. Päätök-sen perusteluissa todetaan turvallisuuspoliittisen tilanteemme muuttuneen pysyväisluonteisesti paremmaksi ja merikuljetuksiimme kohdistuvan po-tentiaalisen uhkan vähentyneen merkittävästi. Näin ollen ei ole enää oletet-tavaa, että joutuisimme tilanteeseen, jossa ulkopuolisten hyödykkeiden saa-tavuus olisi kokonaan tai miltei kokonaan keskeytyksissä pitkän aikaa. Si-ten ei ole enää tarvetta varautua huoltovarmuutta kehitettäessä sellaiseen totaaliseen sulkutilanteeseen kuin vielä joitain vuosia sitten.

Sodassa johtamisjärjestelmät ja niiden osana tiedonkäsittely ja tiedonsiirto ovat ensisijaisia vihollisen maaleja. Samalla kun laajamittaisen hyökkäyk-sen uhka on pienentynyt, on yllättävä ja intensiivinen strateginen isku noussut varteenotettavaksi sotilaalliseksi uhkakuvaksi. Hyökkäyksiä voidaan tehdä joko fyysisesti tai sähkömagneettisen säteilyn avulla. Keinoja ovat esimerkiksi tietojärjestelmien sähkön saannin estämi-nen, laitteisiin kohdistuva fyysinen tuhoaminen sekä suurtehomikroaalto-aseiden (HPM) tai ydinräjähdyksellä aikaansaatavan sähkömagneettisen pulssin (EMP) käyttäminen tietokonelaitteiden ja yleensä elektronisten komponenttien saattamiseksi toimintakyvyttömiksi. Laitteen tuhoaminen sähkömagneettisella pulssilla ei ole aina tarpeen, vaan usein riittää hetkellinen toimintakyvyttömyys. Esimerkiksi prosessiteolli-suuden automaatiojärjestelmien hetkellinenkin häiriö voi johtaa vakaviin seurauksiin. HPM-ase voidaan kuljettaa kannettavassa laukussa tai paketti-autolla helposti atk-tilojen ulkoseinän viereen. HMP-ase voi olla sotilaiden lisäksi myös jonkin terroristijärjestön käytössä. Kohde ei todennäköisesti, ainakaan heti, tunnista joutuneensa hyökkäyksen kohteeksi, sillä epäilyt kohdistunevat ensin ohjelmalliseen vikaan tai laitteen muuhun luonnolli-seen vikaantumiseen. Näin ollen tekijä voi päästä karkuun ja pahimmassa tapauksessa uusia teon, koska siihen ei edelleenkään osata varautua.

Huoltovarmuuden kannalta yhteiskunnan ja talouden tekninen haavoittu-vuus on skenaariossa uhka, johon ei ole tähän saakka kohdistettu riittävästi huomiota. Teknisten järjestelmien huoltovarmuuteen on panostettava ai-kaisempaa enemmän. Yhteiskunnan toimivuuden kannalta kriittisen infra-struktuurin varmistaminen on huoltovarmuuden kehittämisen erityinen kohdealue. Tämä edellyttää yhä enemmän huomion kohdistamista myös normaaliolojen huoltovarmuuden turvaamiseen, koska varautumisessa ei enää voida tehdä selkeää eroa normaaliolojen häiriöiden ja poikkeusolojen välillä.


Puolustustaloudellisen suunnittelukunnan tietoyhteiskuntasektori laatii muutos- ja uhka-analyysiraportteja. Tilanteen kiristyessä näiden raporttien merkitys korostuu uhkien ja tilanteen kehittymisen arvioinnissa.

Tietoyhteiskuntasektorin laatimat julkiset selvitykset, suositukset ja ohjeet julkaistaan Huoltovarmuuskeskuksen sivuilla www.huoltovarmuus.fi. Sa-lassa pidettävien ohjeiden jakelusta vastaa puolustustaloudellinen suunnit-telukunta.

1.3. Tietoturvallisuus

Normaalioloissa uhkien syinä ovat usein puutteet tietoturvallisuuden hal-linnollisissa menettelyissä kuten toimintaperiaatteissa ja ohjeissa, ihmisten aiheuttamat tahattomat tai tahalliset häiriöt, laitteiden ja ohjelmistojen viat ja puutteet, fyysisen turvallisuuden ja toimitilaturvallisuuden puutteelli-suudet sekä puutteet poikkeavien tapahtumien havainnoinnissa, käytön valvonnassa ja vastatoimenpiteissä. Puutteellisesta tietoturvallisuudesta ai-heutuvat vahingot voivat muuttua järjestelmissä vakaviksi vaurioiksi, liike-toiminnan keskeytyksiksi tai mittaviksi taloudellisiksi menetyksiksi.

Mahdollisia vahinkoja ovat esimerkiksi

logistiikkaketjujen menetys tietovarastojen ja niiden eheyden menetykset käytettävyyden lasku, häiriöt palveluissa ja tuotannossa virheet tietojen ja tuotteiden laadussa tietosuojan rikkoutuminen kilpailuedun menetys, luotettavuuden heikkeneminen asiakasmenetykset työmotivaation lasku keskitettyihin resursseihin, palvelimiin, verkkoaikaan, nimi- ja hakemis-

topalveluihin ja järjestelmän osiin kohdistuvat vaikutukset.

Tietoturvallisuuden kehittäminen ja ylläpito ovat osa yrityksen toiminnan suunnittelua ja toteuttamista. Sen taso ja sisältö määräytyvät yrityksen joh-don määrittelemien tavoitteiden mukaisesti. Esimerkkejä käytetyistä viite-malleista ovat valtion tietoturvallisuustyön yleisohje sekä eräät standardit, esimerkiksi ISO 17799 ja BS 7799.

Käyttäjän keskeisistä tietoturvallisuuden hallinta- ja ohjauskäytännöistä ovat esimerkkeinä varautumissuunnitelma, tiedonkäsittelyn turvaamis-suunnitelma ja toipumissuunnitelma. Suunnitelmiin sisältyy organisaation tiedonkäsittelyriippuvuuden, tietotekniikan käyttöön liittyvien uhkateki-jöiden ja riskien arviointi sekä niiden hallinnan edellyttämien turvaamis-, toipumis- ja varautumistoimenpiteiden määrittely ja niiden toteuttamis-suunnitelmat normaalioloista poikkeusoloihin.


Tietoturvallisuuden tavoitteita ovat

tietoturvallisuus perustuu johdon vahvistamaan politiikkaan tai periaat-teisiin

järjestelmissä käsiteltävät tiedot on luokiteltu eheys-, luottamuksellisuus- ja käytettävyysvaatimusten mukaan

tietojärjestelmiin, verkkoihin, tiedostoihin ja palveluihin pääsevät vain valtuudet omaavat henkilöt, pääsy on valvottu ja luvaton tunkeutumi-nen estetty

järjestelmähallintaan on menettelyt tietojenkäsittelytiloihin ja -laitteille eivät ulkopuoliset pääse ja laitteistot

on suojattu fyysisiltä vahingoilta tiedonsiirto on suojattu siten, etteivät yhteydet ole fyysisten vahinkojen,

tunkeutumisen tai tiedon paljastumisen kohteena varmuus- ja suojakopioinnilla on varmistettu tietojen jatkuva saatavuus avainhenkilöiden työhönotolle ja sijaisuuksien järjestelylle on luotettavat

menettelyt henkilöstö on koulutettu tehtävien vaatimusten mukaan ja tätä osaamista

ylläpidetään järjestelmällisesti. Henkilöstö on myös tehtäviinsä motivoi-tu

ulkoistettujen palvelujen turvallisuudelle on asetettu vaatimukset ja nii-den toteutumista valvotaan

turvallisuus on sisällytetty laite- ja ohjelmistohankinnan periaatteisiin kattavaan käytönvalvontaan on olemassa seuranta ja raportointi.

Tietoturvallisuuden toteutumiselle ovat tärkeitä

johdon päätökset turvallisuuden suuntaviivoista ja vaatimuksista ylimmän ja yksiköiden johdon asettamat toimintojen ja tietojärjestelmien

palvelutasovaatimukset tulosvastuullisten esimiesten vastuu toimintojensa turvallisuudesta yksityiskohtaisiin turvallisuussuunnitelmiin perustuvat toimenpiteet henkilökunnan perehdyttäminen ja kouluttaminen halutun turvallisuus-

tietoisuuden saavuttamiseksi turvallisuuden kehittäminen osana järjestelmäkehitystä.

1.4. Energian saannin turvaaminen

Energian saatavuus on kriittinen uhka tietojärjestelmille ja viestintäverkoil-le. Muun muassa hajautetussa verkossa tietojenkäsittelyn eheys edellyttää luotettavaa sähkönsyöttöä kaikkiin kriittisen järjestelmän osiin. Tärkeiden tietoteknisten keskusten virransyöttö on pyrittävä varmistamaan esimer-kiksi kahdesta eri muuntajapiiristä. Tietojärjestelmien hallitun alasajon mahdollistamiseksi sähkönsaanti voidaan varmistaa UPS-laitteilla.


Lyhytaikaisetkin sähkökatkot saattavat aiheuttaa tietoteknisten laitteiden fyysisiä rikkoutumisia tai esimerkiksi tietokantojen eheyden menetyksiä. Sähkön saannin varmistamisella tulisikin huolehtia siitä, ettei liiketoimin-nan kannalta tärkeiden kriittisiin komponentteihin kohdistu missään olo-suhteissa lyhytaikaisia tai hallitsemattomia sähkönsyötön pettämisestä ai-heutuvia alasajoja. On syytä muistaa, että myös varajärjestelmät voivat vi-kaantua. Tämän vuoksi järjestelmiä ei tule koskaan sijoittaa pelkästään yk-sittäisen UPS-järjestelmän taakse ja on myös syytä selvittää miten vikaan-tunut varajärjestelmä voidaan ohittaa tarvittaessa.

Poikkeusoloissa energian tuotannossa ja jakelussa on olosuhteista riippuvia häiriöitä, jotka rajoittavat energian saantia ja tekevät jakelun epäsäännölli-seksi. Tämän vuoksi poikkeusolojen energiansaanti vaatii erillistä suunnit-telua ja valmistelua. Kriittisten järjestelmien jatkuva sähkönsaanti on var-mistettava omin varavoimakonein. Tämä edellyttää niitä varten varattuja tiloja, laitteita ja polttoaineen saannin varmistamista. Viranomainen valvoo ja säännöstelee energianjakelua ja -käyttöä.

Tuotannon valmiussuunnitelman yhteydessä laaditaan energiahuollon valmiussuunnitelma, joka sisältää kaikkien energiamuotojen tarpeet. Poik-keusolojen tietojärjestelmien tarvitseman sähkön turvaaminen liitetään myös energiahuollon valmiussuunnitelmaan.

1.5. Toimintojen ulkoistaminen ja palvelun tuottajan valinta

Käyttäjäorganisaatio vastaa ulkoistamiensa palveluiden turvaamisesta ja valmiudesta. Tämä edellyttää palvelun ulkoistajan ja palvelun toimittajan välisten velvoitteiden tarkkaa määrittelyä ja niiden jakoa, tehtävämääritte-lyä sekä tietoturvallisuussuunnitelmaa, jotta haluttu tietoturvallisuuden ta-so saavutetaan ja säilytetään. Osan turvallisuustehtävistä voi hoitaa vain yritys itse, mutta osaan tarvitaan välttämättä palveluyrityksen apua.

Tietotekniikan palveluyrityksen tulee varautumissuunnitelmaa laatiessaan tietää asiakkaansa valmiusvaatimuksista. Vaatimukset tulee käsitellä jo palvelusopimusta tehtäessä ja sisällyttää tarvittavassa laajuudessa palvelu-sopimukseen tai erilliseen turvallisuussopimukseen. Palvelun tilaajan tulee valvoa valmiuden toteutumista esimerkiksi säännöllisin tarkastuksin.

Ulkoistajan tulee varmistaa toipumissuunnittelun yhteydessä, miten palve-luyritys huolehtii samanaikaisesti eri asiakkaidensa varajärjestelmän käy-töstä ja käynnistyksestä. Ulkoistamisen yhteydessä ja turvallisuussopimus-ta tai - suunnitelmia laadittaessa selvitettäviä ja sovittavia seikkoja ovat

käyttöhenkilöstön valinta ja hallinta turvallisuustapahtumien ja rikkomusten raportointi toimeksiantajalle


toimeksiantajan yhteyshenkilöiden ja heidän toimintavaltuuksiensa to-teaminen.

Liitteessä 1 on esitetty ulkoistamisessa huomioitavia asioita.

1.6. Tietoturvaloukkauksista, vioista ja häiriöistä ilmoittaminen

Käyttäjät ilmoittavat teknisistä ongelmista tietojärjestelmissään, viestintä-verkoissaan ja viestintäpalveluissaan palveluntuottajilleen niin normaa-lioloissa, normaaliolojen häiriötilanteissa kuin poikkeusoloissakin.

Havaitsemistaan tietoturvauhkista ja -loukkauksista käyttäjän on syytä il-moittaa myös Viestintävirastossa toimivalle CERT-FI:lle (Computer Emer-gency Response Team FICORA) www.ficora.fi/suomi/tietoturva/cert.htm. CERT-FI pyrkii toiminnassaan toteuttamaan yleisen CERT-toiminnan peri-aatteita sekä edistämään tietoyhteiskunnan turvallisuutta ennaltaehkäise-vällä tietoturvallisuustyöllä. Viestintävirasto yhdistää eri lähteistä saamis-taan tiedoista ajankohtaista tietoturvallisuuden tilannekuvaa erityisesti sähköisen viestinnän toimivuuden ja viestintäverkkojen tietoturvallisuusti-lanteen kannalta. Kaikki saadut tiedot käsitellään julkisuuslain mukaisesti. Ajantasaisen tilannekuvan tarkoituksena on antaa käyttäjille tietoa tietotur-vallisuuden kehityksestä ja ajankohtaisista uhkista.

Tilannekuvan jakelusta vastaa pääosin viraston www-sivuston CERT-osio sekä postituslistat varoitusten ja ohjeiden osalta. Vaihtoehtoisena tiedotus-kanavana toimii myös YLEn Teksti-TV (sivut 818 ja 819). Jatkossa voidaan käyttää myös muita jakelukanavia kuten tekstiviestejä. CERT-FI:n yhteystiedot:

Sähköposti [email protected] Puhelin (09) 6966 510 Faksi (09) 6966 515 Postiosoite

Viestintävirasto CERT-FI PL 313 00181 Helsinki

Tyypillisimpiä tietotekniikkarikoksia ovat tietomurto, tietojärjestelmän lu-vaton käyttö, tietovahingon aiheuttaminen, tietojenkäsittelypetos ja vaaran aiheuttaminen tietojenkäsittelylle. Käyttäjän epäillessä tällaisen rikoksen tapahtuneen hänen tulee tehdä normaali rikosilmoitus paikalliselle poliisil-le. Poliisi tekee mahdollisen päätöksen esitutkinnan aloittamisesta ja kytkee tutkintaan tarvittaessa myös keskusrikospoliisin tai suojelupoliisin.


Keskusrikospoliisi (KRP) on erikoistunut vaativaan rikostorjuntaan ja -tutkintaan. Niihin kuuluu mm. rikosten ennalta estäminen, seuranta, tut-kinta ja tutkintamenetelmien kehittäminen. Keskusrikospoliisissa toimii tie-totekniikkarikoksiin erikoistunut tutkintaryhmä. Sen tehtävänä on mm. tutkia tietotekniikkarikoksia, kouluttaa muuta poliisikuntaa selvittämään tietotekniikkaympäristössä toteutettuja rikoksia sekä avustaa tarvittaessa viranomaisia elektronisen todistusaineiston hankinnassa ja käsittelyssä.

Tietoja keskusrikospoliisin tietotekniikkarikosten torjunnasta ja tunnus-merkistöstä löytyy osoitteesta www.poliisi.fi/krp. Suojelupoliisin toimialaan kuuluvat valtion turvallisuuteen liittyvät asiat, muun muassa vakoilun ja terrorismin torjunta.


2. Varautuminen

Käyttäjäorganisaation toimintamahdollisuudet normaalioloissa, normaa-liolojen häiriötilanteissa ja poikkeusoloissa riippuvat käytössä olevien tieto-järjestelmien teknisistä rakenteista sekä niiden käyttöön ja ylläpitoon liitty-vistä järjestelyistä. Pääsääntö on, että käyttäjät vastaavat itse toimintansa turvaamisesta ja varautumisesta.

Käyttäjän tulee tietojärjestelmien toiminnan turvaamiseksi varmistaa omin toimenpitein vastuullaan olevien järjestelmien osien toiminta. Tämä tarkoit-taa käytännössä vastaavien varmistusmenetelmien käyttöä kuin mitä te-leyritykset soveltavat yleisten viestintäverkkojen varmistamisessa.

Käyttäjän omat tietojärjestelmät ja niiden palvelut suositellaan toteutetta-vaksi siten, että ne täyttävät VAHTI- ohjeiden ja Viestintäviraston antamat viestintäverkkojen rakennetta ja fyysistä turvallisuutta koskevat määräyk-set myös niiltä osin kuin kyseiset määräykset eivät ole käyttäjää velvoitta-via. Liikenne- ja viestintäministeriön valmiusohjeet täydentävät edellä mainittuja teknisiä määräyksiä lähinnä varautumiseen liittyvien hallinnol-listen järjestelyjen osalta.

Verkkojen toiminta tulee normaalioloissa varmistaa puheen, datan tai ku-van siirtoon käytettävän verkon osalta huomioon ottaen käyttäjän kriittis-ten prosessien vaatimukset. Tarkastelussa otetaan huomioon myös käyttä-jän vastuulla olevan sisäverkon tekninen toteutus ja käyttäjän verkkojen liittyminen yleisiin viestintäverkkoihin. Varmistaminen sisältää myös verkkojen toimintaan ja käyttöön keskeisesti liittyvät laitteet. Kriittisten jär-jestelmien sähkön saanti tulee varmistaa. Käyttäjän tulee normaaliolojen häiriötilanteiden ja poikkeusolojen suunni-telmissaan tarkastella erikseen tiedonsiirtoon käytettävien verkkojen toi-minnan varmistaminen. Tarkastelun voi suorittaa osana koko tietojärjes-telmän toimintakyvyn arviointia.

Varautumisen vaatimukset on otettava huomioon laadittaessa tietojärjes-telmiin tai teletoimintaan liittyviä sopimuksia. Näin varmistetaan tietojär-jestelmäalan toimittajan palvelujen saatavuus kaikissa tilanteissa. Samalla sopimukset muodostavat perusteen omien resurssien mitoittamiselle toi-mittajan resursseja täydentämään tai korvaamaan.

Tavoitteena on, että käyttäjät hankkivat varautumisen edellyttämät tiedon-siirtoyhteydet jo normaalioloissa. Tämän takia käyttäjien tulee pyrkiä hankkimaan sijainniltaan ja suorituskyvyltään kaikkia tilanteita varten riit-tävät tiedonsiirtoyhteydet. Sellaiset julkiset organisaatiot, jotka perustavat


poikkeusoloissa uusia toimipaikkoja ja toimielimiä voivat tehdä yhteysva-rauksia. Yhteyksiä varaava käyttäjä on itse vastuullinen määrittelemään tiedonsiirtotarpeensa.

Mikäli käyttäjä katsoo tarvitsevansa poikkeusoloissa lisäyhteyksiä, nämä yhteysvaraukset on tilattava teleyritykseltä. Varattavista yhteyksistä varaa-ja toimittaa teleyritykselle tarvittavat tiedot sovitussa muodossa. Käyttäjän tulee yhteysvarauksista sovittaessa esittää yksityiskohtaiset tiedonsiirto- ja liittymätarpeensa yhteysvarauksina yhteydet toteuttavalle teleyritykselle.

Tietoyhteiskunnan palveluiden tarjoajat ovat vastuussa tuotantoympäris-tönsä toimivuudesta. Teleyritykset vastaavat yleisten viestintäverkkojen ja viestintä-palveluiden toiminnasta. Teleyritysten vastuulla on lakiin perus-tuen varmistaa tehtäviensä mahdollisimman häiriötön hoitaminen normaa-liolojen häiriötilanteissa ja poikkeusoloissa.

Teleyritysten merkitys yhteiskunnan johtamiselle, turvallisuudelle tai elin-keinoelämän toimintakyvyn varmistamiselle vaihtelee teleyrityksestä riip-puen. Tämän vuoksi kaikille teleyrityksille ei ole asetettu samantasoista va-rautumisvelvollisuutta.

Teleyrityksen lakisääteinen varautumisvelvollisuus koskee yleisiä viestin-täverkkoja ja niissä tarjottavia yleisiä viestintäpalveluita. Tämä velvollisuus ei välttämättä kata kokonaan käyttäjän tietojärjestelmiin liittyviä ja käyttä-jän hallitsemia viestintäverkkoja ja niiden palveluja.

Liikenne- ja viestintäministeriö antaa teleyrityksille varautumisvelvolli-suutta koskevia ohjeita samoin kuin ohjeita yleisestä varautumissuunnitte-lusta. Viestintävirasto antaa teleyrityksen varautumisvelvollisuutta koske-via tarkempia teknisiä määräyksiä etuoikeustoiminteesta, hätätilakytken-nästä, taajuuksien käytöstä, tietoturvaloukkausten ehkäisystä ja muista vas-taavista teknisistä kysymyksistä.

Viestintävirasto antaa viestintäverkkojen ja viestintäpalvelujen laatuvaati-muksia ja yhteensopivuutta koskevia määräyksiä myös normaaliolojen häi-riötilanteita ja poikkeusoloja varten.

Palveluiden turvaaminen tapahtuu viranomaisten sekä teleyritysten ja muiden alalla toimivien yritysten yhteistyön avulla. Kriittisten tietojärjes-telmien toiminnan jatkuvuus kaikissa oloissa varmistetaan suunnittelun ja käytännön valmistelujen avulla.

Tietojärjestelmäalan palveluiden varmistaminen on usean eri toimijan teh-tävä

palveluiden käyttäjien vastuulla on huolehtia omassa hallinnassaan ole-vien verkkojen ja järjestelmien toiminnasta.


käyttäjän tulee tietojärjestelmien toiminnan turvaamiseksi omin toimen-pitein varmistaa vastuullaan olevien järjestelmien osien toiminta sekä sopimuksin varmistaa toisten osapuolten hallussa olevien järjestelmän osien toiminta

palvelua tarjoavan osapuolen tulee toteuttaa sopimuksen edellyttämät toimenpiteet hallussaan olevien verkkojen ja järjestelmien osalta.

Ohjelmistotuotteiden huoltovarmuuden varmistaminen on vaikeaa, mikäli ohjelmiston lähdekoodia ei ole saatavilla. Perinteisen suljetun lähdekoodin ohjelmistojen osalta huoltovarmuutta voidaan parantaa sopimalla lähde-koodin turvatallennusmenettelystä. Tällaisessa tilanteessa voidaan varmis-taa lähdekoodin saatavuus esimerkiksi poikkeusoloissa tai toimittajan jou-tuessa selvitystilaan. Liiketoimintakriittisten sovellutusten osalta tulisi pyr-kiä siihen, että lähdekoodi on asiakkaan käytettävissä. Mikäli tästä ei päästä sopimukseen, vähimmäisvaatimuksena tulee pitää asiakaskohtaisten räätä-löintien lähdekoodin turvatallennusta.

Huoltovarmuuden kannalta avoimeen lähdekoodiin perustuvia ratkaisuja voidaan pitää ongelmattomimpana tapauksena. Tämä ei kuitenkaan poista normaaleja vaatimuksia toimittajan ja sen henkilökunnan luotettavuuden varmistamisesta. Erityisesti liiketoimintakriittisten sovellusten osalta tulee huolehtia siitä, ettei merkittäviä avainhenkilöriippuvuuksia pääse synty-mään.

Varautumisessa on otettava huomioon muun muassa häiriöttömän toimin-nan vaatimukset laadittaessa teletoimintaan tai tietotekniikkaan liittyviä sopimuksia. Sopimukset laaditaan niin, että ne ovat soveltuvin osin voi-massa myös poikkeusoloissa. Näin varmistetaan tietojärjestelmäalan toimit-tajan palvelujen saatavuus kaikissa tilanteissa. Samalla sopimukset muo-dostavat perusteen omien resurssien mitoittamiselle toimittajan resursseja täydentämään tai korvaamaan.

Liiketoimintakriittiset sovellukset ja niiden käyttöpalvelut on yhä useam-min toteutettu usean eri yhteistyökumppanin toimesta. Vaikka kunkin osa-alueen palveluntarjoajan varahenkilöistä ja varajärjestelmistä olisikin sovit-tu, voi kokonaisuuden kannalta kriittiseksi tekijäksi muodostua käyttäjän palvelukokonaisuudesta vastaavan henkilöstön varmistaminen. Nämä henkilöt ovat vastuussa palveluntarjoajien välisen yhteistyön koordinoin-nista, joka saattaa muodostua kriittiseksi tekijäksi häiriötilanteissa.

Käyttäjäorganisaation on suoritettava riskikartoitus toimitilojensa ja henki-löstönsä fyysisestä turvallisuudesta.

Liitteeseen 2 on koottu tarkistuslista viestintäverkkojen ja viestintäpalve-luiden varmistamisesta.


Varautumissuunnitelma

Varautumissuunnitelmassa tulee käsitellä muun muassa seuraavia asioita

varautumissuunnittelun tavoitteet ja vastuu- sekä henkilöjärjestelyt arviot erilaisten häiriötilanteiden vaikutuksista yrityksen toimintaan yrityksen johtaminen normaaliolojen häiriötilanteissa ja poikkeusoloissa;

organisaatio ja toimivaltuudet varatilojen varustaminen kaikissa oloissa ylläpidettävien toimintojen määrittely tilojen riskikartoitukset henkilöstön tavoitettavuus henkilöstön varaaminen varautumiskoulutus energian saannin varmistaminen materiaalinen varautuminen: tietotekniikan varaosat, tarvikkeet, poltto-

ja voiteluaineet, ajoneuvo- ja työkonevarausmenettelyt alihankinta- ja ostopalveluriippuvuudet ja niihin liittyvät sopimukset

myös henkilöstön osalta viestintäverkkojen ja – palveluiden varmistaminen turvallisuustoimenpiteet ja pelastaminen yhteistoiminnan järjestelyt: menettelyt, yhteyshenkilöt varautumisen ylläpito- ja tarkastamismenettelyt varautumistilanteen seuranta ja raportointi tiedottaminen.

Koko yritystä koskeva varautumissuunnitelma voi koostua eri liiketoimin-taryhmien ja/tai – yksiköiden ja/tai konserniin kuuluvien yhtiöiden varau-tumissuunnitelmista.


3. Toiminta normaaliolojen häiriötilanteissa

Erikoistuminen ja toimintojen keskittyminen, verkottuminen ja tukeutumi-nen yhtämittaista toimintaa vaativiin järjestelmiin kasvattaa jo normaali-oloissa joillakin aloilla kriittisten liiketoimintaprosessien häiriöalttiutta. Käyttäjän omasta toiminnasta riippumatta saattaa tietojärjestelmiin kohdis-tua ulkopuolelta sellaisia häiriöitä ja keskeytyksiä, jotka aiheutuvat tietojär-jestelmien haavoittuvuuksista ja johtavat häiriötilanteisiin.

Tällaisten tilanteiden seurauksia ovat muun muassa

kansainvälisten verkkojen yli hoidettavien palvelujen ja asiakaspalvelu-jen, jatkuvien asiakasyhteyksien sekä verkon yli tapahtuvien ylläpito- ja huoltopalvelujen keskeytyminen

sähköpostiyhteyksien menetys tietovarastojen vahingoittuminen sekä muut eheyden ja käytettävyyden

menetykset muutoksista aiheutuvat häiriöt.

Käyttäjäorganisaation toimenpiteet edellyttävät toimintojen sopeuttamista kulloinkin vallitsevaan tilanteeseen. Huomioon on otettava muun muassa seuraavat resurssit

henkilökunta laitteet ohjelmistot ulkopuoliset palvelut rahoitus.

Tietojärjestelmien toimittajien palveluiden saatavuus on varmistettava pal-velutasosopimuksilla. Sopimuksissa pitää sopia vähintään seuraavat asiat

häiriöiden poistamiseen ja vikojen korjaukseen liittyvät vasteajat ja kii-rehtimismahdollisuudet

varaosien ja korvaavien laitteiden saatavuus yhteydenpitokanavat ja -menettelyt häiriöiden korjaamiseen liittyvät järjestelyt paikanpäällä tai kaukokäyt-

töisesti etätyönä informaatio tapahtumien kulusta ja eritoten arviot häiriön kestosta.

Häiriöiden korjaamiseen liittyvät toimenpiteet, etenkin korjauksen nopeut-tamiseen liittyvät järjestelyt, saattavat aiheuttaa merkittäviä lisäkustannuk-sia normaaliin käytön ja ylläpidon kustannustasoon verrattuna, mikä tulee ottaa huomioon poikkeavien tilanteiden toimintatapoja suunniteltaessa. Tarvittaessa toimintojen yhteensovittamisessa käyttäjän on oltava yhtey-dessä tietojärjestelmäalan palveluntuottajiin ja viranomaisiin.


Viestintävirasto seuraa normaaliolojen häiriötilanteissa tehostetusti viestin-täverkkojen ja viestintäpalvelujen laatua ja antaa tarvittaessa täydentäviä teknisiä määräyksiä, päätöksiä ja ohjeita. Tarvittaessa normaaliolojen häi-riötilanteissa Viestintävirasto tehostaa yhteistyötä sidosryhmien kanssa.


4. Valmiuden tehostaminen

Kansainvälisen tilanteen tai laajan kansallisen kriisitilanteen kiristyessä te-hostetaan toiminnan varmistamisessa sähköisten viestintä- ja tietojärjestel-mien sekä niiden palvelujen turvallisuutta. Näin pyritään estämään vaka-vat seuraukset viranomaisten ja elinkeinoelämän toimintaan sekä kansa-laisten turvallisuuteen.

Kiristyneen tilanteen vaikutuksista saa tietoja tilannekuvista ja esimerkiksi puolustustaloudellisen suunnittelukunnan tietoyhteiskuntasektorin laati-mista muutos- ja uhka-analyysi-raporteista.

Valmiuden tehostamisen tarkoituksena on käyttäjän toiminnan kannalta kriittisten tietojärjestelmien toiminnan varmistaminen sellaisissakin tilan-teissa, joissa järjestelmien käyttöön ja ylläpitoon liittyvien kaupallisten so-pimusten mukaisten palveluiden tai yhteyksien saatavuudesta ei ole var-muutta. Tavoitteena on varmistaa, että kriittiset järjestelmät pystytään pi-tämään toimintakykyisinä mahdollisimman pitkään.

Valmiuden tehostamisen edellyttämät toimenpiteet tulee suunnitella etukä-teen. Ne tulee kuvata jossakin käyttäjän suunnittelujärjestelmään kuulu-vassa suunnitelmassa. Tällainen suunnitelma voi olla esimerkiksi

varautumissuunnitelma turvallisuussuunnitelma jatkuvuussuunnitelma pelastussuunnitelma valmiussuunnitelma.

Toimitilojen fyysisen turvallisuuden varmistaminen on tärkeä toimenpide valmiutta tehostettaessa. Varmistamisen keinoja on kuvattu muun muassa Viestintäviraston määräyksissä ja niiden soveltamissuosituksissa sekä val-tiovarainministeriön VAHTI-ohjeissa.

Käyttäjäorganisaation on tehostettava tärkeiden kohteidensa valvontaa. Kohteiden turvallisuus- ja suojausjärjestelyt on testattava. Valmistelut mahdollisten varasijoituspaikkojen käyttöönottamiseksi on käynnistettävä.

Käyttäjän tulee tarkistaa henkilöstön ja varahenkilöstön määrän kattavuus ja ammattitaidon riittävyys. Henkilöstön hälyttämistä ja tavoitettavuutta sekä erityistehtäviä häiriötilanteissa tulee harjoitella.

Käyttäjän on varmistettava suunnitelman mukaisen toiminnan jatkuvuu-den kannalta välttämättömien varaosien ja -laitteiden saatavuus.

Alihankkijoiden palveluiden saatavuudesta poikkeusoloissa tulee sopia erikseen. Käyttäjän on tehostettava yhteistyökumppaneiden ja alihankki-


joiden välistä viestintää heidän toimintavalmiutensa ja resurssien saata-vuuden varmistamiseksi. Lisäksi käyttäjäorganisaation on varauduttava antamaan tietoja viranomaisille lain edellyttämällä tavalla.

Tietojenkäsittelyn valmiutta tehostettaessa tulee kiinnittää erityistä huo-miota etäyhteyksien tietoturvaan. Esimerkiksi ulkopuolisten kumppanien huoltoyhteyksien osalta on suositeltavaa siirtyä menettelyyn, jossa yhteys voidaan muodostaa vain kullakin yhteyskerralla erikseen siitä sovittaessa. Tietojärjestelmien käyttöoikeuksiin tulee kiinnittää erityistä huomiota ja niiden inventointia on syytä tehostaa.

Suurin osa käytössä olevista yritysohjelmista on peräisin Suomen ulkopuo-lelta. Valmiutta tehostettaessa erilaisten päivitysten asennuksiin tulee suh-tautua erityisellä varovaisuudella ja ne tulee testata rajatussa testausympä-ristössä ennen käyttöönottoa. Valmistajalta on syytä tiedustella, voiko kor-jauksen asentamisen sijasta käyttää muuta toimenpidettä kuten ympäristön asetuksiin tehtävää muutosta ongelman ratkaisukeinona. Valmiutta tehos-tettaessa tulee tietenkin myös testata toteutetut varajärjestelyt ja selvittää niiden käyttöönottoon kyseisessä tilanteessa sisältyvät riskit.

Tietoliikenteen ja tietojenkäsittelyn jatkuvuuden varmistamiseksi on ryh-dyttävä toimiin välttämättömien huolto- ja korjaustoimenpiteiden nopean toteuttamisen varmistamiseksi. Henkilöstön tehtäviä on priorisoitava toi-minnan jatkuvuuden takaamiseksi. Varmuuskopiointimenettelyjä ja var-muuskopioiden toimivuuden testausta tulee tehostaa. Tietoliikenne- ja tie-tojärjestelmien varajärjestelmien toiminta on varmistettava. Palvelujen tuot-tamisessa mahdollisesti tarvittavan varavoiman saatavuus on varmistetta-va.


5. Toiminta ja ohjaus poikkeusoloissa

Poikkeusoloja ovat valmiuslaissa ja puolustustilalaissa säädetyt tilanteet, joiden hallitseminen ei ole mahdollista viranomaisten säännönmukaisin toimivaltuuksin ja resurssein. Yhteiskunnan elintärkeiden toimintojen tur-vaamiseksi pitää ottaa huomioon myös tällä hetkellä vähemmän todennä-köiset poikkeusolot.

Poikkeusolojen valmiuden tavoitteina ovat

yrityksen oman toiminnan turvaaminen poikkeusolojen vaikutuksista huolimatta

valtiovallan asettamien poikkeusolojen valmiusvaatimusten täyttäminen yrityksen toiminnan kannalta

yrityksen toiminnan kannalta välttämättömän tietojenkäsittelyn ylläpito resurssien vähentyessä

tietojenkäsittelyn korvaavien järjestelmien käyttöönotto tarvittaessa edellytysten luominen häiriötilanteista elpymiselle palaaminen normaaliin toimintaan.

Poikkeusolojen valmiuden kehyksinä ovat

poikkeusolojen liike- ja tuotantotoiminnan tason määrittely poikkeusolojen tietohallinnon määrittely poikkeusolojen tuotantotason ja

toiminnan turvaamiseksi tietojenkäsittelyn sopeuttaminen vähentyneiden resurssien mahdollis-

tamalle tasolle häiriötilanteisiin luotu valmius ja sen suuntaaminen poikkeusolojen toi-

mintojen säilyttämiseen valtiovallan säännöstelyllä ja ohjauksella asetetut toiminnan puitteet erityisesti ulkomaisten tietojenkäsittelypalveluiden, tiedonsiirtoyhteyksi-

en ja tukipalvelujen puutteet Internet-yhteyksien mahdollinen puuttuminen tietojenkäsittelyn perusedellytysten varmistaminen suojakopioin kriisistä

elpymiseksi. varautuminen toimimaan muualla ja luopumaan tietotekniikan käytöstä.

Poikkeusoloissa toiminnan jatkaminen ja ylläpitäminen riittävällä tasolla on osaltaan riippuvainen myös käytettävissä olevista tietojärjestelmien ja tieto-liikenteen resursseista.

Yhteiskunnan turvallisuuden ja kansalaisten toimeentulon kannalta tärkei-den käyttäjien viestintäpalvelut turvataan erityistoimenpitein ja äärimmäi-sissä tilanteissa tarvittaessa muiden käyttäjien palvelua rajoittamalla.


5.1. Sähköisen viestinnän ja tiedonkäsittelyn sääntely ja säännös-tely

Viestintämarkkinalain ja sähköisen viestinnän tietosuojalain mukaan säh-köisen viestinnän yleinen ohjaus ja kehittäminen kuuluvat liikenne- ja vies-tintäministeriölle. Poikkeusoloissa tai muussa sellaisessa tilanteessa, jossa maan sähköiseen viestintään ja tietojärjestelmiin kohdistuu vakavia uhkia, tehostetaan minis-teriön normaaliolojen toimintaa ohjaavana, kehittävänä ja koordinoivana elimenä. Siltä osin kuin normaalioloissa käytettävissä olevat valtuudet osoittautuvat riittämättömiksi, ministeriö antaa valtioneuvoston sille val-miuslain perusteella myöntämien valtuuksien puitteissa määräyksiä säh-köisen viestinnän ja tietojärjestelmien sääntelystä, säännöstelystä ja uudel-leenjärjestelyistä. Ministeriö toimii tiiviissä yhteistyössä operatiivisesta toiminnasta pääasiallisesti vastaavan Viestintäviraston kanssa.

Rajoitukset ja säännöstely voidaan kohdentaa viestintäverkkoihin ja vies-tintäpalveluihin sekä tietojärjestelmien kriittisiin materiaaleihin ja energian saantiin.

Tiedonkäsittelyn säännöstely-yksikkö (TSY) perustetaan valtiovarainminis-teriön yhteyteen poikkeusolojen tietotekniikkapalveluja koskevaa säänte-lyä, säännöstelyn toimeenpanoa ja valmistelutehtäviä varten.

Säännöstely voidaan kohdentaa käyttäjiin, tietotekniikkapalveluja tuotta-viin yrityksiin, huoltoyrityksiin sekä laite- ja ohjelmistotoimittajiin.

Poikkeusoloissa lääninhallitusten yhteyteen perustettavat tietojärjestelmä-alan valmiusyksiköt (TIVA-yksiköt) toimivat annettujen valtuuksien puit-teissa Viestintäviraston ja tiedonkäsittelyn säännöstely-yksikön alueorgani-saatioina.


6. Lainsäädäntö ja ohjeita

Sähköistä viestintää koskevia lakeja on osoitteessa www.mintc.fi.

Sähköisen viestinnän tietosuojasta ja uuden lain tuomista muutoksista, muun muassa lain perusteella uusituista tietoturvamääräyksistä löytyy Viestintäviraston sivustolta osoitteesta www.ficora.fi.

Viestintäviraston voimassa olevat tekniset määräykset, suositukset määrä-ysten soveltamisesta ja standardiluettelot löytyvät osoitteesta www.ficora.fi kohdasta Teletoiminta/Teletoimintamääräykset (www.ficora.fi/suomi/tele/n2540.htm). Viestintäviraston voimassa olevat suositukset löytyvät osoitteesta www.ficora.fi kohdasta Teletoiminta/Standardointi/Kansalliset telealan suositukset (www.ficora.fi/suomi/tele/suositus.htm). Viestintäviraston CERT.FI varoitukset ja ohjeet ovat osoitteessa www.ficora.fi kohdassa Tietoturva/Tietoturvaloukkausten havainnointi ja ratkaisu (CERT-FI) (www.ficora.fi/suomi/tietoturva/cert.htm)

Viestintäviraston määräyksiä, ohjeita ja suosituksia päivitetään säännölli-sesti. Määräyksen tunnuksessa oleva kirjain kertoo määräysversion. Esi-merkiksi, kun määräys 27 C/2002 M päivitettiin vuonna 2004, uuden versi-on tunnukseksi tuli 27 D/2004 M. Kunkin määräyksen ja suosituksen voi-massa olevan version voi tarkistaa Viestintäviraston www-sivuilta.

Valtiovarainministeriön antamat valtion tietohallinnon, tietojenkäsittelyn ja tietoturvallisuuden yleiset ohjeet ovat osoitteessa www.vm.fi/vahti

Esimerkiksi Valtion tietohallintotoimintojen ulkoistamisen tietoturvallisuussuositus, VAHTI 2/1999 (uusittavana) Valtion viranomaisen tietoturvallisuustyön yleisohje, VAHTI 1/2001 Valtion tietotekniikkahankintojen tietoturvallisuuden tarkistuslista, VAHTI 6/2001 Toimet tietoturvaloukkaustilanteissa, VAHTI 7/2001 (uusittavana) Tietoteknisten laitetilojen turvallisuussuositus, VAHTI 1/2002 Käyttäjän tietoturvaohje, VAHTI 5/2003 Tietoturvallisuuden hallintajärjestelmän arviointisuositus, VAHTI 3/2003

Standardit BS 7799-1.fi ja BS 7799-2.fi sekä ISO 17799:2000 löytyvät osoit-teesta www.sfs.fi. Standardit ovat maksullisia.


Elinkeinoelämän varautumisohjeita ja suosituksia löytyy Huoltovarmuus-keskuksen kotisivuilla www.huoltovarmuus.fi. ja Elinkeinoelämän keskus-liiton (EK) kotisivuilta www.ytnk.fi.

Liitteeseen 3 on koottu varautumiseen liittyviä www-osoitteita.


Liite 1 Ulkoistamisen kartoitus

Kysymys Kyllä Ei EOS Huomiot

Onko yrityksenne liiketoimintaan liittyviä prosesseja tai niiden osia ulkoistettu?

Onko ulkoistus tehty yhden vai useamman kumppanin kanssa?

Ovatko kumppanit korvattavissa toisella palveluntar-joajalla?

Oletteko varmistaneet palveluntarjoajan tietoturvalli-suuden tason?

Oletteko varmistaneet palveluntarjoajilta riittävät henkilöresurssit erilaisissa häiriötilanteissa?

Oletteko varmistuneet palveluntarjoajan henkilökun-nan luotettavuudesta turvallisuusselvitysmenettelyllä?

Seuraatteko palveluntarjoajien taloudellista asemaa?

Oletteko tehneet erilliset turvallisuussopimukset kriit-tisten palveluntarjoajien kanssa?

Ovatko ulkoistetut palvelut luokiteltu niiden liiketoi-mintakriittisyyden perusteella?

Ovatko palvelusopimuksien vaste- ja palveluajat mi-toitettu palveluiden kriittisyyden mukaisesti?

Ovatko palvelusopimukset tasapainossa palvelutason suhteen?

Muodostavatko ulkoistetuista palveluista vastuussa olevat henkilöt organisaatiossanne avainhenkilöriskin?

Onko näille avainhenkilöille nimetyt varahenkilöt?


Liite 2 Viestintäverkkojen ja viestintäpalveluiden varmistamislista Kysymys

Kyllä Ei EOS Huomiot

Onko yrityksellänne liiketoiminnan kannalta kriitti-siä tietoliikenneyhteyksiä?

Onko näille yhteyksille hankittu varayhteydet?

Ovatko varayhteydet saman operaattorin toimitta-mia kuin varsinaiset yhteydet?

Ovatko toteutettu varayhteydet fyysisesti eri reittiä kuin varsinainen yhteys?

Onko tietoliikennepalveluista tehty turvallisuusso-pimus?

Onko käyttöönne varattu nimettyjä resursseja häi-riötilanteissa tai poikkeusoloissa

Onko näille resursseille toimivat varahenkilöjärjes-telyt?

Onko Internet-yhteys liiketoiminnan kannalta kriit-tinen (sähköposti, www)?

Onko Internet-yhteys varmistettu?

Onko käytössä useita yhteyden tarjoajia?

Onko käytössänne omat IP-osoitteet?

Onko Internet-yhteyden automaattinen uudelleen reititys käytössä?

Ovatko ulkoistetun IT-palvelun tarjoajan ja yrityk-senne väliset yhteydet varmistettu?

Onko käytössä olevat varayhteydet testattu käytän-nössä?


Liite 3 Varautumiseen liittyviä www- osoitteita

Liikenne- ja viestintäministeriö http://www.mintc.fi

Viestintävirasto http://www.ficora.fi

Valtiovarainministeriö http://www.vm.fi/vahti

Sisäasiainministeriö http://www.intermin.fi

Keskusrikospoliisi http://www.poliisi.fi/krp

Suojelupoliisi http://www.poliisi.fi/supo

Puolustusministeriö http://www.mil.fi

Ulkoasianministeriö http://www.formin.fi

Työministeriö http://www.mol.fi

Kauppa- ja teollisuusministeriö http://www.ktm.fi

Puolustustaloudellinen suunnittelukunta http://www.huoltovarmuus.fi

Huoltovarmuuskeskus http://www.huoltovarmuus.fi

TE- keskukset http://www.te-keskus.fi

Etelä-Suomen lääninhallitus http://www.laaninhallitus.fi/etela

Länsi-Suomen lääninhallitus http://www.laaninhallitus.fi/lansi

Itä-Suomen lääninhallitus http://www.laaninhallitus.fi/ita

Oulun lääninhallitus http://www.laaninhallitus.fi/oulu

Lapin lääninhallitus http://www.laaninhallitus.fi/lappi

Elinkeinoelämän keskusliitto/ yritysturvallisuus-toimisto http://www.ytnk.fi

Suomen Standardisoimisliitto SFS

http://www.sfs.fi

Julkaisun voi tilata osoitteesta Huoltovarmuuskeskus Pohjoinen Makasiinikatu 7 A 00130 Helsinki Puh. (09) 6689 151 [email protected] www.huoltovarmuus.fi Helsinki 2005

viestintäverkkojen ja viestintäpalveluiden varmistaminen ...€¦ · sen uhka on pienentynyt, on...

Documents