Uusi tietojärjestelmä ja käytännöt vahvistavat digitaalista turvallisuutta
Digitaalinen turvallisuus, eli tietoturva, tietosuoja, kyberturva, riskienhallinta, toiminnan jatkuvuus ja varautuminen on otettu huomioon rakennetun ympäristön tietojärjestelmässä.
Luotettavampi lokitieto
Rakennetun ympäristön tiedon määrä ja käyttö lisääntyvät jatkuvasti. Tietojärjestelmiin kertyvän käyttäjä- eli lokitiedon parantaminen on tärkeää koko yhteiskunnan turvallisuuden kannalta. Sen avulla nähdään, kuka tietoa käsittelee ja mitä järjestelmässä on tehty.
Näin tänään
Rakennetun ympäristön tietoja käsittelevät yhä useammat toimijat ja henkilöt sadoissa eri järjestelmissä. Eri tahojen ylläpitämiin järjestelmiin tallentuvan lokitiedon tarkkuus ja sisältö vaihtelevat suuresti, eikä keskitettyä lokitietoa käyttäjistä ja tiedon ympärillä tapahtuvasta toiminnasta ole olemassa.
Näin tulevaisuudessa
Valtakunnallisen rakennetun ympäristön tietojärjestelmän ansiosta tietoa ei jatkossa täydy toimittaa useaan paikkaan. Tähän järjestelmään jää aina vahvistettu lokitieto siitä, kuka on käynyt hakemassa jotakin tietoa ja mitä tiedolla on tehty. Järjestelmä myös hälyttää, jos lokitiedoissa havaitaan poikkeavaa toimintaa, kuten esimerkiksi erikoisen suurten tietomäärien lataamista. Näin voidaan tarvittaessa toimittaa nopeasti tieto epäilyttävästä toiminnasta turvallisuusviranomaisille ja pääsyoikeuksia tietoihin voidaan tarvittaessa muuttaa nopeastikin.
Laki edellyttää lokitiedon säilyttämistä noin kahden vuoden ajan, Ryhti-tietojärjestelmässä lokitiedot säilytetään viisi vuotta.
Käyttöoikeuksien hallinta paranee
Rakennettuun ympäristöön liittyy paljon yhteiskunnan turvallisuuden kannalta kriittistä tietoa. Siksi myös tietoa käyttävien tunnistaminen ja käyttöoikeuksien nykyistä tarkempi hallinta on tärkeää.
Näin tänään
Eri toimijoilla on hyvin vaihtelevat käytännöt tietojärjestelmien käyttöoikeuksien jakamiseen ja hallintaan. Kirjautuminen ei useinkaan edellytä vahvaa tunnistautumista ja organisaatioilla saattaa olla käytössä yhteiskäyttötunnuksia, jolloin tiedon todellista käyttäjää ei tiedetä. Lisäksi henkilöllä saattaa olla pääsy laajempaan tietoon, kuin hänen tehtävänsä edellyttäisi, esim. kirjastonhoitajalla voi olla pääsy kaavoittajan puolustusvoimia käsittelevään tietoon. Myös käyttäjätunnusten ylläpidossa on aukkoja, esimerkiksi pois lähtevien tunnuksia ei aina välttämättä huomata poistaa tai se ei tapahdu automaattisesti.
Näin tulevaisuudessa
Käyttöoikeuksien tehokas hallinta on toimivan tietoturvan ehdoton edellytys. Rakennetun ympäristön tietojärjestelmään kirjautuminen edellyttää aina vahvaa, kaksivaiheista tunnistautumista. Käyttöoikeus rajataan aina luonnolliseen henkilöön, eikä esim. yhteiskäyttötunnuksia ole saatavilla. Jatkossa myös varmennetaan käyttöoikeuksien rajauksilla, että henkilö pääsee järjestelmässä käsiksi vain siihen tietoon, joka on hänelle oleellinen. Keskitetysti hallinnoidut käyttöoikeudet pysyvät nykyistä paremmin ajan tasalla.
Tiedon sulkeminen nopeutuu kriittisessä tilanteessa
Rakennetun ympäristön tietoa on saatavilla avoimesti lukemattomista eri lähteistä. Yhteiskunnan avoimuuden kannalta tämä on tärkeää ja arvokasta, mutta voi olla kriisitilanteessa riski, joka vaatii nopeaa reagointia.
Näin tänään
Kunnat vastaavat omasta rakennetun ympäristön tiedostaan, eli esimerkiksi ajantasaisen kartan näyttämisestä karttatietopalvelussaan. Jos syntyisi yleistä turvallisuutta uhkaava tilanne, jossa karttatieto on keskeisessä roolissa, tämä tieto olisi tärkeää sulkea nopeasti pois saatavilta. Tällöin turvallisuusviranomaisten on oltava erikseen yhteydessä tätä tietoa hallinnoivaan henkilöön kyseisellä alueella. Tiedon vetäminen pois saatavilta veisi kriittisessä tilanteessa paljon aikaa.
Näin tulevaisuudessa
Turvallisuustilanteen niin vaatiessa, voidaan valtakunnallisesta järjestelmästä sulkea vaarantunut tieto saman tien pois saatavilta. Tieto voidaan jälleen myös nopeasti vapauttaa takaisin käyttöön uhan poistuttua.
Keskitetty tiedonhallinta vapauttaa esimerkiksi kunnan tietoturvasta vastaavien aikaa muuhun työhön, kun yleinen turvallisuustilanne ei vaadi tältä osin jatkuvaa tarkkailua. Näin resursseja voi kohdentaa muuhun työhön.
Tiedon siirto on turvallisempaa
Rakennetun ympäristön tietoa toimitetaan joka päivä lukuisiin eri järjestelmiin. Tiedon siirtämiseen sisältyy aina riskejä – niin teknisiä kuin inhimillisiäkin.
Näin tänään
Nykytilanteessa esimerkiksi kunta joutuu toimittamaan rakennetun ympäristön tietoja monessa eri muodossa monelle eri viranomaiselle. Tietoja voidaan osittain jo toimittaa sähköisiä rajapintoja pitkin, mutta hyvin usein tiedonsiirto tapahtuu myös perinteiseen tapaan sähköpostin liitteenä.
Prosessi on kankea ja teknisen tai inhimillisen virheen riski on aina olemassa. Tieto ei välttämättä päädy ehjänä oikeaan paikkaan, vaan se voi rikkoutua matkalla ja esiintyä lopulta hyvin erilaisena eri tahoilla.
Näin tulevaisuudessa
Ryhti-tietojärjestelmään tieto siirretään teknisen rajapinnan kautta, jossa on validointipalvelu välissä. Yhdellä tallennuksella tieto siirtyy tai päivittyy automaattisesti oikeaan paikkaan ilman välikäsiä. Vakiomuotoisten, yhteentoimivien tietomallien myötä tietoturvaa pystytään hallitsemaan paljon paremmin, ja tietoturva kulkee käyttäjän mukana.
Kun tiedot tulevaisuudessa toimitetaan ja päivitetään vain yhteen paikkaan, myös tiedon eheys säilyy varmemmin. Kun tiedon siirtotilanteet vähenevät, myös niihin liittyvät inhimilliset ja teknisen riskit luonnollisesti vähenevät.