Valtion tietohallintotoimintojen ulkoistamisen tietoturvallisuussuositus

VAHTI 2/1999

Valtion tietohallintotoimintojen ulkoistamisen tietoturvallisuussuositus
13.09.1999 | pdf, 144 Kt

Tiivistelmä

Valtionhallinnon tietohallinnosta annetun asetuksen (155/88, muutettu 1401/92) 1 ja 2 §:n ja valtioneuvoston ohjesäännön (1522/1995) sekä valtion tietoturvallisuuden kehittämistä koskevan valtioneuvoston periaatepäätöksen (VM 1/73/93) ja valtion tietohallinnon kehittämistä koskevan valtioneuvoston päätöksen (VM 115/00/94) perusteella valtiovarainministeriö antaa oheisen tietoturvallisuuden varmistamiseen ja kehittämiseen liittyvän suosituksen, joka on laadittu valtiovarainministeriön asettaman valtionhallinnon tietoturvallisuuden johtoryhmän toimesta.

Tämä asiakirja, jonka Valtionhallinnon tietoturvallisuuden johtoryhmän asettama ulkoistamisen tietoturvallisuusjaosto on valmistellut, sisältää valtionhallinnon tietohallintotoimintojen ulkoistamisen tietoturvallisuutta koskevia suosituksia.

Suositus on tarkoitettu ministeriöiden, valtion virastojen ja laitosten johdolle sekä näiden tietohallinnosta ja tietoturvallisuudesta ja yleisestä turvallisuudesta vastaaville. Suositus sisältää linjauksia, joiden yhteenveto esitetään sivuilla 9-11, mm. seuraavilta alueilta:

ulkoistamisen edellytykset
tietoturvallisuuden eri osa-alueet ja ulkoistamisen vaikutus niihin
tietoturvallisuus ulkoistamisen eri vaiheiden aikana
sopimuksiin kirjattavat tietoturvallisuusasiat
varautuminen poikkeusoloihin
vastuunjakokysymykset viraston ja palvelutoimittajan kesken.

Suosituksen linjaukset tulee virastossa ottaa huomioon toimintojen, tietohallinnon ja tietoturvallisuuden hoitamisessa, suunnittelussa ja kehittämisessä. Erityisesti suositukset on syytä ottaa huomioon tietohallintopalvelujen hankinnoissa, tietojenkäsittelyn kehittämisessä sekä sopimuksia tehtäessä ja uusittaessa. Suositus on tarkoitettu käytettäväksi sekä tietohallintopalvelujen ulkoistamista suunniteltaessa että nykyisiä ulkoistamissopimuksia tarkistettaessa ja uudelleen kilpailutettaessa. Virastojen tulee esimerkiksi ennen ulkoistamissopimusten tekoa määritellä riittävän tarkasti ulkoistamisen kohde sekä lisäksi kattavasti käsitellä siihen liittyvät edellytykset, riskit ja muut tietoturvallisuusasiat.

Kokonaisvastuu toiminnoista ja tietoturvallisuudesta säilyy virastolla ulkoistuksesta huolimatta, vaikka palveluntoimittaja vastaa virastolle tuottamistaan palveluista sovituilta osin. Viraston johdon on päätöksillään ja tietoturvapolitiikalla asetettava tietoturvallisuusvaatimukset oman viraston ja palvelutoimittajien toiminnalle. Tietoturvallisuuden saavuttaminen ja säilyttäminen virastoissa ja laitoksissa edellyttää omaa osaamista, selkeää organisointia ja vastuuttamista sekä toimivaa viraston ja toimittajan välistä työnjakoa. Tietoturvallisuus koskee viraston koko henkilöstöä ja ulkoistamisen elinkaaren kaikkia vaiheita.

Suositusta tullaan päivittämään saatavan palautteen mukaisesti. Kehittämisehdotukset voidaan osoittaa valtiovarainministeriön hallinnon kehittämisosastolle, PL 286, 00171 Helsinki (hko@vm.vn.fi)