Tietoturvan tavoitearkkitehtuuri ja sähköpostin siirrot pilvipalveluun

Kansliapäällikkö päätti hyväksyä liitteenä 1 olevat tietoturvan teknisen tavoitearkkitehtuurin linjaukset ja päätti kehottaa kanslian tietohallintoyksikköä valmistelemaan, koordinoimaan sekä ohjeistamaan linjausten toimeenpanoa.

Lisäksi kansliapäällikkö päätti, että sähköpostisiirtoja voidaan jatkaa paikallisesta Exchange-sähköpostiympäristöstä O365-pilvisähköpostipalveluun niiden henkilöiden osalta, jotka käsittelevät vain satunnaisesti salassa pidettäviä tietoja ja joiden ei ole tarpeellista käsitellä turvaluokiteltuja tietoja.

Toimialojen, liikelaitosten ja virastojen tulee huolehtia, että liitteenä 2 olevat pilvisähköpostin käytön ohjeet ja siihen liittyvät tiedon käsittelyn rajoitukset viestitään selkeästi koko henkilöstölle.

Helsingin kaupungin digitalisaatio-ohjelmassa on linjattu, että kaupunki tarjoaa työntekijöilleen modernit pilvipohjaiset toimistotyövälineet, jotka mahdollistavat tiedon helpomman jakamisen ja liikkuvan etätyön.

Tavoitearkkitehtuurissa on esitetty tavoitemalli, jonka avulla mahdollistetaan turvaluokiteltujen ja yleisen edun vuoksi salassa pidettävien tietojen tietoturvallinen käsittely ja näihin liittyvä työnteko ilman erillisiä salaimia tai muita erillisratkaisuja. Toisaalta mahdollistetaan kustannustehokas ja joustava työskentely sellaisille työntekijöille, joiden tehtävissä ei käsitellä tällaisia tietoja.

Erilaisille tietotyypeille kohdistuu erilaisia riskejä ja tietojen käsittely edellyttää aina tietojen luonteen perusteella tehtävää riskianalyysiä. Viranomaisen yleisen edun vuoksi salassa pidettävät tiedot sekä turvallisuusluokitellut tiedot vaativat erityisen käsittely-ympäristön, eikä näitä tietoja käsitellä ulkomailla. Valtaosa kaupungin toiminnassa käsiteltävästä tiedosta ei kuitenkaan ole yleisen edun vuoksi salassa pidettävää tietoa ja sitä voidaan käsitellä ulkomaalaisessa pilvipalvelussa, kunhan riskianalyysi on tehty.

Kaupungille on laadittu palvelutoiminnan tavoitteita tukeva tietoturvan tavoitearkkitehtuuri. Tarkoitukset on ollut laatia tekniset tietoturvavaatimukset, jotka täyttämällä tietoja voidaan suojata ja käsitellä vaatimusten mukaisesti, ja mahdollistaa vaatimusten täyttyessä tietojen käyttäminen pilvipalvelussa. Arkkitehtuurissa on otettu huomioon kaupungin suojattava kokonaisuus käsittäen koko it-infrastruktuurin.

Tavoitearkkitehtuurissa kaupungin toimistoympäristölle on laadittu vaatimukset, joiden perusteella tietojen käsittely voidaan toteuttaa tietoturvallisesti niin pilvipalvelussa kuin turvaluokitellussa käsittely-ympäristössä huomioiden näiden tietotyyppien erityisvaatimukset.