Toimitilat tietoturvallisuuden korotetulle tasolle valtionhallinnossa

Abstract

Valtionhallinnon organisaatiot, joissa käsitellään salassa pidettäviä tietoja jotka aiheuttavat paljastuessaan tai väärin käytettäessä vahinkoa yleiselle tai yksityiselle edulle, ovat velvollisia luomaan tietojen käsittelylle tavallista tiukemmat suojaustoimenpiteet. Tämä opinnäytetyö on suunnattu kaikille sellaisille organisaatioille, joita tämä velvoite koskee, sekä toimeksiannon antaneelle salassa pysyvälle kohdeorganisaatiolle.

Tämän opinnäytetyön tarkoituksena oli luoda yksi valtionhallinnon organisaatioiden hyödynnettäväksi tarkoitettu toimenpidesuunnitelma ja yksi kohdeorganisaation hyödynnettäväksi tarkoitettu salassa pidettävä toimenpidesuunnitelma siitä, miten organisaation toimitilat saadaan tietoturvallisuuden korotetulle tasolle. Korotetun tason vaatimukset määräytyvät VAHTI 2/2013 toimitilojen tietoturvaohjeen sekä tietoturva-asetuksen (681/2010) pohjalta. Säädösympäristö luo tälle työlle muutenkin vahvan viitekehyksen, minkä lisäksi tutkimusmenetelmänä käytetyn kirjallisuuskatsauksen pohjalta erinäiset kirjalliset lähteet ja kriteeristöt ovat vaikuttaneet tietoperustaan.

Muita tutkimusmenetelmiä olivat haastattelut ja benchmarking. Haastatteluilla hankittiin tietoa kohdeorganisaation tilanteesta ja edellytyksistä toimitilojen tietoturvallisuuden suhteen, ja benchmarkingilla etsittiin hyviä käytäntöjä ja kokemuksia muista valtionhallinnon organisaatioista. Tuloksien perusteella rakennettiin toimenpidesuunnitelmat.

Tuloksissa käy ilmi, että toimitilojen tietoturvallisuuden korottamisessa tulisi ottaa vahvasti huomioon riskiarviointi eikä noudattaa sokeasti VAHTI-kriteeristöjä. Lisäksi on tärkeää huo-mioida henkilöstön merkitys toimitilojen turvallisuuden ylläpidossa, sillä fyysiset suojaustoimenpiteet ovat tehokkaimmillaan, kun henkilöstö toimii oikein. Nämä asiat on pyritty huomioimaan toimenpidesuunnitelmissa. VAHTI-säännösympäristö muuttuu vuoden vaihteessa, ja se tulee varmasti tarjoamaan tälle työlle monia jatkokehitysmahdollisuuksia.

Organizations that are in the State Administration are obliged to protect their information with more significant actions if they process information that would cause damage when revealed. This thesis is aimed at those organizations and additionally to the target organization which gave this assignment. The target organization’s name is not revealed in this thesis.

The purpose of this thesis was to create one public action plan for the organizations of the State Administration and another confidential action plan for the target organization which will not be published. The purpose of the action plans is to show how an organization can get their premises to higher information security protection level. The requirements of the higher level come from VAHTI 2/2013 instructions and from the information security regulation (681/2010). The regulatory environment in addition to the literature review create a strong frame of reference to this thesis.

Other research methods in this thesis are interviews and benchmarking. The interviews were held to collect information about the information security status of the target organization. Benchmarking was used to collect good ideas and experiences from other organizations in the State Administration. The results of these research methods were the baseline of the action plans.

The results show that risk assessment should have a bigger part in the process when trying to reach higher information security protection level in the premises. Therefore organizations should not follow blindly VAHTI instructions. The results also show the significance of the actions of personnel. The physical protection methods are at their best only when the personnel acts accordingly. These factors have shaped the action plans and in the future, when VAHTI instructions go through some big changes, they will likely provide many possibilities for further development.