Yleisen tietoturvallisuusohjeen kehittäminen poliisin henkilöstölle

Abstract

Poliisin tietoturvallisuus perustuu viranomaisen toiminnan julkisuudesta annetun lain ja asetuksen lisäksi useisiin muihin lakeihin. Poliisihallinnossa käsitellään runsaasti sekä julkista että salassa pidettävää tietoa, joten tietoturvallisuus on hoidettava asianmukaisesti. Tietoturvallisuus on jokaisen organisaatiossa työskentelevän velvollisuus ja se on juuri niin hyvä kuin on sen heikoin lenkki.

Poliisihallinnossa on lukuisia erilaisia ohjeita ja määräyksiä, joilla ohjataan tietoturvallisuutta. Ongelmana on se, että nämä ohjeet ja määräykset sijaitsevat hajallaan eri paikoissa ja niitä on joskus hyvin hankalaa ellei jopa mahdotonta löytää silloin kun niitä tarvittaisiin.

Tämän kehittämistyön tavoitteena on tuottaa poliisihallintoon yleinen tietoturvallisuusohje henkilöstön käyttöön. Tietoturvallisuusohjeeseen kootaan yhteen henkilöstön kannalta keskeisimmät tietoturvallisuusmääräykset ja –ohjeet. Ohje laaditaan sellaiseen muotoon, että sitä voidaan käyttää valtakunnallisesti, riippumatta poliisilaitoksesta tai poliisin yksiköstä. Tietoturvallisuusohjeen toteutuksessa pyritään ohjeiden käytännönläheisyyteen ja selkeyteen, sekä siihen, että ohjeet eivät ole ristiriidassa olemassa olevien ohjeiden ja määräysten kanssa.

Tietoturvallisuusohjeen kehittäminen on toteutettu tutkimuksellisena kehittämistyönä, joka lähtee organisaation kehittämistarpeesta. Kehittämistyötä varten käytiin läpi aiheeseen liittyvä materiaali ja määriteltiin poliisin henkilöstön kannalta keskeiset viitekehykset, käsitteet ja määritelmät, joiden pohjalta laadittiin yleinen tietoturvallisuusohje poliisin henkilöstölle.

Tietoturvallisuusohje sisältää tavanomaiset, jokapäiväiseen työhön liittyvät ohjeet ja määräykset, jotka ovat valtakunnallisesti käytettävissä, riippumatta poliisilaitoksesta tai yksiköstä. Ohjeen avulla on mahdollista kehittää ja yhdenmukaistaa poliisin tietoturvakäytäntöjä. Ohje auttaa lisäämään henkilöstön tietoturvatietoutta ja sitä voidaan myös käyttää apuna henkilöstölle suunnatun tietoturvakoulutuksen suunnittelussa.

Aikataulusyistä tietoturvallisuusohjeen käyttöönotto on kesken, eikä kehittämistyön toimivuutta ole mahdollista vielä arvioida.

The data security of the police force is not only based upon the law that governs openness of police activity, but also upon other legislation. The police administration is required to process a great deal of both public and secure information therefore data protection needs to be fit for purpose. Data security is the responsibility of each and every individual that works in the organization, and is only as strong as its weakest link.

The police administration has various existing rules to regulate the protection of data. The problem is that the material that contains these rules is scattered in many locations and is sometimes difficult, if not impossible, to find when the need arises.

The purpose of this project is to create a general data security manual for the administration. It will consist of the most relevant instructions for data security in a form that is universal, and is applicable regardless of the unit or its geographical location. The guidelines used in constructing the manual are practicality and clarity, and the need to avoid conflict with the current instructions.

This project has been carried out as research and development that is based upon the organization’s need to evolve. The essential concepts, with key attributes and frameworks, were determined and the general data security manual was designed around them.

The data security manual consists of rules and regulations for everyday work, and is applicable nationwide. With this manual it is possible to develop and standardise the various data security procedures of the police force. It also increases the general awareness and knowledge of the subject and will be a useful tool in structuring data security training.

For timetable reasons the data security manual is in the process of being introduced; therefore the performance cannot be evaluated as yet.