2003
Valtionhallinnon on kiinnitettävä enemmän huomiota fyysiseen tietoturvallisuuteen
Tarkastuskertomus 59/2003: Fyysinen tietoturvallisuus sosiaali- ja terveysministeriön hallinnonalalla Tarkastusvirasto on selvittänyt fyysisen...
Tarkastuskertomus 59/2003: Fyysinen tietoturvallisuus sosiaali- ja terveysministeriön hallinnonalalla
Tarkastusvirasto on selvittänyt fyysisen tietoturvallisuuden hoitamista ja riskitekijöiden torjumista sosiaali- ja terveysministeriön hallinnonalalla. Tarkastuksessa ei tullut esiin omaisuuteen kohdistuneita vakavia vahinkoja. Esimerkiksi toimitilojen ja tietojen suojauksessa esiintyi kuitenkin puutteita. Suurin osa tarkastuksessa havaituista puutteista on korjattu jo tarkastuksen aikana.
Valtioneuvoston periaatepäätöksen mukaan ministeriöiden velvollisuutena on tietoturva-asioissa aktiivisesti informoida, ohjata sekä seurata ja valvoa alaisensa hallinnon tietoturvallisuustoimenpiteitä. Ministeriöiden tehtävänä on myös tietoturvallisuutta koskevien tarkempien ohjeiden antaminen. Sosiaali- ja terveysministeriön hallinnonalalla ei ole kuitenkaan annettu tällaisia tarkentavia ohjeita. Joidenkin hallinnonalan virastojen ja niiden toimitilojen suojausluokan määräytymisessä oli tulkinnanvaraisuuksia ja epäselvyyksiä, minkä lisäksi monista virastoista puuttui kokonaan työpapereiden käsittelyä koskeva ohjeistus.
Tietoturvallisuutta koskevia havaintoja ja tiedossa olevia tietoturvauhkia ei sosiaali- ja terveysministeriön hallinnonalalla ole tarkastuksen mukaan käyty läpi riittävän systemaattisesti. Tarkastusviraston mukaan ministeriöt eivät voi tarpeeksi hyvin vastata hallinnonalansa tietoturvallisuudesta, jos ne eivät saa käyttöönsä riittävästi tietoa alaistensa virastojen tietoturvasta. Tarkastusvirasto korostaa järjestelmällisen riskikartoituksen ja asianmukaisen tiedonkulun merkitystä valtionhallinnon tietoturva-asioiden ohjauksessa yleisestikin.
Suurin osa tarkastuksessa havaituista puutteista korjattiin jo tarkastuksen aikana. Osa korjauksista on kuitenkin lykkääntynyt tai jäänyt tekemättä muun muassa tarvittavien suurten investointien takia. Tarkastusvirasto huomauttaa, että puutteiden korjaaminen ei aina välttämättä edellytä investointeja teknisiin ratkaisuihin. Tietoturvaa voidaan usein parantaa koulutuksen, valvonnan ja tiedottamisen avulla. Virasto pitää tärkeänä, että koko valtionhallinnossa kiinnitetään jatkossa enemmän huomiota fyysiseen tietoturvallisuuteen ja siinä esiintyvien puutteiden korjaamiseen.
Lisätietoja: Atk-erikoistutkija Tuomo Salminen, p. 09 432 5794