KSC-henkilöstön rikostaustan tarkistaminen – soveltamisalan määrittely ja vaatimustenmukainen prosessi

KSC:n yhteydessä tehtävä henkilöstön rikostaustan tarkistaminen ei ole yleinen henkilöstöhallinnon tarkastus eikä auditointia edeltävä muodollisuus. Soveltamisalan on perustuttava yksilöityyn oikeusperustaan, organisaation asemaan sekä henkilön tosiasiallisiin tehtäviin ja käyttöoikeuksiin. Jos prosessi aloitetaan todistusten keräämisellä roolien luokittelun sijaan, seurauksena voi olla sekä tarkastusvelvoitteen piiriin kuuluvien henkilöiden jääminen tarkastamatta että rikostuomioita koskevien tietojen perusteeton käsittely. Siksi organisaation on ensin määritettävä, keitä voidaan tarkastaa ja millä perusteella. Tämän jälkeen vastuut tietojen hankinnasta, tuloksen arvioinnista ja käyttöoikeuspäätöksestä erotetaan toisistaan. Lopuksi tallennettavat tiedot rajataan siihen, mikä on välttämätöntä vaatimustenmukaisuuden osoittamiseksi.

Prosessi alkaa soveltamisalan määrittelystä, ei todistuksesta

Rikostaustan tarkistamista ei pidä käynnistää pyytämällä henkilöstöltä asiakirjoja. Johdon on ensin vahvistettava organisaation asema KSC-järjestelmässä ja yksilöitävä säännös, johon tiettyjä henkilöitä koskeva velvoite perustuu. Pelkkä viittaus NIS2-direktiiviin, auditointiin valmistautuminen tai tietoturvallisuuden hallintajärjestelmän rakentaminen ei oikeuta tarkastamaan kaikkia työntekijöitä, muita toimeksiantosuhteisia henkilöitä ja toimittajien henkilöstöä.

Prosessin rajat on määritettävä erikseen kunkin vaatimuksen lähteen perusteella. NIS2-direktiivi, Puolan kulloinkin voimassa oleva KSC-laki, täytäntöönpanosäännökset, toimialakohtainen sääntely, sopimusehdot ja sisäiset käyttöoikeusperiaatteet eivät ole keskenään samanarvoisia oikeus- tai vaatimuslähteitä. Jokaisen osalta on määritettävä organisatorinen, henkilöllinen ja ajallinen soveltamisala: keitä vaatimus koskee, millä perusteella ja mistä alkaen, sisältyykö siihen poikkeuksia ja milloin uusi arviointi on tehtävä. Jos menettely laaditaan ennen tämän analyysin valmistumista, organisaatio voi sekä jättää velvoitteen piiriin kuuluvia henkilöitä tarkastamatta että käsitellä rikostuomioita koskevia tietoja ilman asianmukaista perustetta.

Luokittelun tuloksena tulisi laatia tiivis muistio, jonka vaatimustenmukaisuudesta vastaava omistaja hyväksyy. Muistiossa kuvataan organisaation asema, oikeusperusta, analyysin päivämäärä ja siinä huomioitu lainsäädännön tila, soveltamisalaan kuuluvat roolit sekä perustellut poikkeukset. Ilmaus ”IT-henkilöstö” on liian yleinen. Erikseen on ratkaistava, kattaako vaatimus laajennetuilla oikeuksilla toimivat ylläpitäjät, poikkeamien käsittelijät, toimittajan henkilöstön sekä henkilöt, jotka sijaistavat näissä tehtävissä ajoittain. Samalla on nimettävä oikeudellisen analyysin omistaja ja seuraavan tarkastelun ajankohta, erityisesti lainsäädännön, toiminnan laajuuden tai käyttöoikeusmallin muuttuessa.

Tarkastusten rajauksen tulisi olla osa kokonaisuutta ”KSC-lain mukainen tietoturvallisuuden hallintajärjestelmä – soveltamisalan, omistajien ja toteutusaikataulun määrittely”. Järjestelmän soveltamisalan, prosessivastuiden ja laajennettujen käyttöoikeuksien roolien on perustuttava samaan organisaatiokarttaan. Vasta tämän jälkeen voidaan perustellusti ratkaista, koskeeko velvoite organisaatiota voimassa olevan oikeustilan perusteella, mikä säännös sallii rikostaustatiedon hankkimisen ja mihin henkilöstöryhmiin tarkastus voidaan kohdistaa.

Keitä tarkastus koskee

Henkilöllistä soveltamisalaa eivät ratkaise tehtävänimike tai sopimussuhteen muoto. Ratkaisevaa on sovellettavan vaatimuksen sisältö suhteessa henkilön tosiasiallisiin tehtäviin, oikeuksiin ja vaikutukseen palvelun turvallisuuteen. Luokittelussa on huomioitava looginen ja fyysinen pääsy, mahdollisuus muuttaa määrityksiä, osallistuminen poikkeamien käsittelyyn, vaikutus toiminnan jatkuvuuteen sekä määräaikaiset ja hätätilanteissa käytettävät oikeudet. Roolia ei pidä sisällyttää tarkastukseen varmuuden vuoksi, jos se ei liity suojattuun palveluun, järjestelmään, tilaan tai säännöksessä määriteltyyn soveltamisalaan.

Keskeinen päätöksenteon väline on roolimatriisi, jota prosessin omistaja, tietoturvasta vastaava henkilö ja henkilöstöhallinto ylläpitävät yhdessä vaatimustenmukaisuudesta vastaavan omistajan kanssa. Matriisi on kytkettävä identiteetin- ja käyttöoikeuksien hallintaan sekä tehtävien eriyttämiseen. Pelkkä henkilöstöluettelo ei riitä. Lisäksi tarvitaan rekisterit laajennetuista käyttäjätileistä, hallinnollisista, fyysisistä ja hätätilanteiden käyttöoikeuksista sekä ulkopuolisista henkilöistä, joilla on tosiasiallinen pääsy soveltamisalaan kuuluviin järjestelmiin tai prosesseihin.

Toimittajan teknisellä ylläpitäjällä voi olla laajemmat oikeudet kuin organisaation omalla esihenkilöllä, vaikka hän ei ole organisaation työntekijä. Sopimusmuotoon perustuva luokittelu voisi siten jättää ulkopuolelle henkilön, jolla on olennainen vaikutus turvallisuuteen. Tämä ei kuitenkaan tarkoita, että ulkopuoliseen ylläpitäjään sovellettaisiin automaattisesti samaa menettelyä kuin työntekijään. Käsiteltävien tietojen laajuuden, vaatimuksen täyttymisen osoittamistavan ja arviointivastuun on perustuttava hyväksyttävään oikeusperustaan tai asianmukaisesti laadittuun sopimukseen. Määräaikaista ja hätätilanteessa käytettävää pääsyä on arvioitava mahdollisten toimenpiteiden laajuuden, ei oletetun käyttötiheyden perusteella.

Matriisin tulisi kattaa työntekijät, toimielinten jäsenet, muilla perusteilla työskentelevät henkilöt, ulkopuoliset ylläpitäjät sekä toimittajien ja alihankkijoiden henkilöstö, mutta ainoastaan sovellettavan vaatimuksen rajoissa. Matriisi on tarkistettava käyttöoikeusarkkitehtuurin, palvelun laajuuden, toimittajan tai sääntelyn muuttuessa. Laajennettujen roolien ja tosiasiallisen pääsyn omaavien ulkopuolisten henkilöiden määrä määrittää prosessin mittakaavan ja toimii lähtötietona kustannussuunnittelulle, jota käsitellään artikkelissa ”Mitä NIS2:n ja uKSC:n käyttöönotto maksaa – auditoinnin, dokumentaation, koulutusten ja suojausten budjetointi ilman kalliita virheitä”.

Missä kustannukset ja riskit syntyvät

Suurin riski ei liity rikostaustatiedon tekniseen hankkimiseen vaan siihen, että tarkastukset käynnistetään ilman yksiselitteistä perustetta, määriteltyä tarkoitusta ja rajattua soveltamisalaa. Rikostuomioita ja rikkomuksia koskevien tietojen käsittelyyn sovelletaan erityisiä vaatimuksia. Henkilön tavanomaista suostumusta tai henkilöstöpolitiikan yleistä kirjausta ei tule pitää automaattisena oikeutuksena tietojen hankkimiselle. Ennen tarkastustavan valintaa on määritettävä, mitä tietoja sovellettava säännös tosiasiallisesti edellyttää, keitä se koskee ja kuka vastaa tuloksen arvioinnista.

Kustannukset kasvavat, jos organisaatio pyytää kaikilta täydelliset asiakirjat, säilyttää niiden jäljennöksiä ilman vahvistettua säilytysaikaa, lähettää niitä tavallisella sähköpostilla tai antaa henkilöstöhallinnolle, esihenkilöille, turvallisuustoiminnolle ja auditoijille pääsyn tietoihin ilman käyttöoikeuksien eriyttämistä. Jokainen lisäkopio kasvattaa tietojen suojaamiseen, pääsynhallintaan, pyyntöjen käsittelyyn ja turvalliseen poistamiseen liittyvää työmäärää. Johdon ei siksi pidä seurata vain tehtyjen tarkastusten määrää, vaan myös asiakirjoihin pääsevien henkilöiden määrää ja tietojen tosiasiallisia säilytysaikoja.

Toinen merkittävä riski on tuloksen arviointikriteerien puuttuminen. Tarkastuksessa ilmenevä tieto ei saa johtaa esihenkilön tapauskohtaiseen improvisointiin eikä arvioon, joka ei perustu kyseiseen rooliin sovellettavaan vaatimukseen. Henkilöstöhallinto voi hankkia asiakirjan asianmukaisesti, mutta prosessi on silti puutteellinen, ellei ole määritetty, kuka arvioi tiedon merkityksen, millä perusteella pääsystä päätetään ja onko jäljennöksen säilyttäminen tarpeen. Menettelyssä on määriteltävä eskalointitapa sekä reagointisuunnitelma valvontasuunnitelmassa – toimenpiteet prosessin poiketessa hyväksytyistä rajoista.

Tarkastuksen toteuttamista koskeva näyttö on erotettava asiakirjan sisällön säilyttämisestä. Sovellettavasta perusteesta ja näyttövelvoitteesta riippuen voi riittää, että tallennetaan tarkastuspäivä, tarkastuksen laajuus, arviointiin valtuutettu henkilö, luokittelutulos ja pääsyä koskeva päätös ilman todistuksen koko sisällön tallentamista. Jos jäljennös on välttämätön, sen vastaanottajat, suojaustoimet ja poistamisajankohta on määritettävä. Näin tietojen minimointi yhdistyy vaatimustenmukaisuuden osoittamiseen eikä oikeudellista analyysia korvata asiakirjojen keräämisellä varmuuden vuoksi.

Prosessi roolin luokittelusta pääsyn hyväksymiseen

Prosessin on käynnistyttävä ennen rikostaustatietojen hankkimista. Ensin prosessin omistaja luokittelee roolin, yksilöi voimassa olevan oikeusperustan ja määrittää tarkastuksen edellytetyn laajuuden. Sen jälkeen organisaatio informoi henkilöä tietojen käsittelyn tarkoituksesta, menettelystä ja periaatteista, valitsee hyväksyttävän tietolähteen ja varmistaa henkilöllisyyden. Seuraavat päätösportit ovat tuloksen arviointi, pääsypäätös, käyttöoikeuksien myöntäminen ja valvontatallenteen muodostaminen.

Jokaiselle toimelle on nimettävä vastuuhenkilö, vaaditut lähtötiedot, määräaika sekä toimintatapa tilanteisiin, joissa asiakirja puuttuu, määräaika ylittyy tai tulos vaatii lisäselvitystä. Muodollinen tarkastus ei vielä ole operatiivinen päätös. Henkilöstöhallinto voi informoida työntekijää, vastaanottaa asiakirjan ja vahvistaa tietojen täydellisyyden, mutta sen ei tule yksin päättää järjestelmän tai infrastruktuurin käyttöoikeudesta.

Lopullisen päätöksen tulisi kuulua nimetylle liiketoimintaroolille, tavallisesti järjestelmän omistajalle tai kyseisestä operatiivisesta alueesta vastaavalle henkilölle, yhteistyössä turvallisuustoiminnon kanssa. Jos tulos on tulkinnanvarainen tai sallittavan tietojenkäsittelyn laajuus on epäselvä, asia on siirrettävä oikeudellisen toiminnon tai tietosuojasta vastaavan henkilön arvioitavaksi. Vastuiden eriyttäminen estää sekä käyttöoikeuden automaattisen myöntämisen pelkän asiakirjan esittämisen perusteella että esihenkilön vapaan tulkinnan.

Päätöskriteerit on hyväksyttävä ennen ensimmäistä ongelmatapausta. Menettelyssä on määriteltävä, kuka arvioi tulkinnanvaraisen tilanteen, mitä tietoja arvioinnissa saa huomioida, voidaanko käyttöoikeuksia rajata ja miten perustelut kirjataan paljastamatta sisältöä tarpeettoman laajalle vastaanottajajoukolle. Uusi työntekijä voi esimerkiksi suorittaa koulutukset ja organisatoriset tehtävät, mutta hänelle ei pidä antaa laajennettua käyttäjätiliä tai pääsyä suojattuun ympäristöön ennen päätöstä. Jos tilapäinen pääsy ylipäätään sallitaan, se edellyttää erillistä hyväksyntää, rajattua laajuutta, päättymisajankohtaa ja valvontaa. Tilapäistä pääsyä ei saa käyttää tarkastuksen kiertämiseen.

Kielteistä tilannetta varten tarvitaan ennalta määritelty reagointisuunnitelma: käyttöoikeuksien keskeyttäminen, eskalointi nimetyille päätöksentekijöille, sijaisjärjestely, vaikutusten arviointi toiminnan jatkuvuuteen sekä asian hallittu päättäminen. Logiikan on oltava sama kuin reagointisuunnitelmassa yleensä: määritelty tapahtuma käynnistää ennalta määrätyn toimenpiteen, vastuun ja tallenteen. Rekrytoinnin ja roolinvaihdoksen yhteydessä hyödyllinen vertailukohta on artikkeli Uuden laatuinsinöörin tai ISO-vastuuhenkilön perehdytysprosessin rakentaminen, erityisesti päätösporttien ja vastuiden vahvistamisen osalta.

Valvontatallenteesta on voitava jäljittää roolin luokittelu, tarkastuksen peruste ja laajuus, henkilöllisyyden vahvistamispäivä, tietolähde, arvioija, päätös, käyttöoikeuden myöntämispäivä sekä mahdollinen eskalointi. Lisäksi on määritettävä uuden arvioinnin käynnistävät tapahtumat, erityisesti roolin tai käyttöoikeuslaajuuden muutos, sekä käyttöoikeuksien poistaminen henkilön lähtiessä organisaatiosta. Prosessin vaikuttavuutta kuvaavat ennen kaikkea aika luokittelusta päätökseen, ennen vaaditun tarkastuksen valmistumista myönnettyjen käyttöoikeuksien määrä sekä puuttuvasta asiakirjasta tai tulkinnanvaraisesta tuloksesta johtuvien eskalointien määrä.

Dokumentointi ja uudelleentarkastus

Prosessin dokumentoinnin tarkoitus on mahdollistaa päätösten perusteiden ja vaikutusten jäljitettävyys, ei muodostaa rikostaustatietojen arkistoa. Tallenteesta tulee käydä ilmi, miksi rooli kuului tarkastuksen piiriin, milloin tarkastus tehtiin, kuka ratkaisi asian ja mikä oli operatiivinen lopputulos: pääsyn myöntäminen, rajaaminen tai epääminen. Tämä ei automaattisesti tarkoita lähdeasiakirjan jäljennöksen säilyttämistä. Päätös jäljennöksen säilyttämisestä on erotettava metatietojen säilyttämisestä, ja sen on perustuttava voimassa olevaan oikeusperustaan, käsittelytarkoitukseen ja säilytyksen rajoittamisen periaatteeseen.

Yhtenäisen tallennekokonaisuuden tulisi sisältää:

• roolimatriisi ja soveltamisalan perustelut;
• tehtyjen tarkastusten rekisteri;
• tietojen käsittelyvaltuudet ja pääsynhallintasäännöt;
• hyväksytyt säilytysajat;
• eskalointiprotokolla;
• näyttö toimittajien velvoitteiden toteutumisesta.

Näillä elementeillä on oltava yhteinen omistaja, versionhallinta ja yhteys tietoturvallisuuden hallintajärjestelmän dokumenttien hallintaan. Jos tiedot ovat hajallaan henkilöstöhallinnossa, turvallisuustoiminnossa ja hankinnassa, prosessin kattavuuden osoittaminen vaikeutuu. Tietovarastossa ylläpidetään mallipohjia, järjestelmätason päätöksiä ja sääntöjen muutoshistoriaa. Henkilökohtaisiin tapauksiin liittyvät tiedot annetaan vain valtuutettujen henkilöiden käyttöön. Organisatorisena vertailukohtana voidaan käyttää artikkelia Sisäisen laatutietovaraston rakentaminen niin, ettei tiimin osaaminen katoa.

Tallenne voi sisältää roolin luokittelu-, tarkastus- ja päätöspäivän, sovelletun perusteen tunnisteen, käyttöoikeuden myöntämispäivän sekä suunnitellun tarkastelupäivän. Jos tarkastuksen toteutuksen ja operatiivisen tuloksen vahvistaminen riittää, todistuksen jäljennöstä ei pidä säilyttää varmuuden vuoksi. Poistamismenettelyn on katettava myös viestien liitteet, työkansiot ja toimittajien hallinnoimat resurssit. Valvonnan vaikuttavuutta voidaan arvioida seuraamalla niiden roolien osuutta, joilla on ajantasainen perustelu prosessin soveltamisesta, sekä hyväksytyn säilytysajan ylittäneiden tallenteiden määrää.

Uudelleentarkastuksen ajankohtaa ei pidä määrittää mielivaltaisen kalenterin perusteella. Tarkastusväli voi perustua sovellettavaan säännökseen, roolin luonteeseen, sopimusehtoihin tai dokumentoituun riskinarviointiin. Määräaikaistarkastuksesta riippumatta menettelyssä on määritettävä uuden arvioinnin käynnistävät tapahtumat, erityisesti tehtävän vaihtuminen, oikeuksien laajentaminen, rooliin palaaminen tauon jälkeen tai oikeudellisten tai sopimusperusteisten vaatimusten olennainen muutos. Tietojen ajantasaisuus ei välttämättä edellytä täydellisen asiakirjan säännöllistä hankkimista. Prosessissa on määriteltävä laillinen ja oikeasuhtainen tapa tilan vahvistamiseen kulloinkin voimassa olevan oikeusperustan ja organisaatiolle sallitun tietojen käsittelylaajuuden mukaisesti.

Auditointivalmiuden testaus

Valmiuden arviointia ei pidä aloittaa tarkastamalla, onko menettely olemassa, vaan jäljittämällä todellisia tapauksia. Otokseen tulisi sisällyttää vähintään tarkastuksen piiriin kuuluvassa tehtävässä toimiva työntekijä, roolia vaihtanut henkilö, ulkopuolinen ylläpitäjä ja hätätilanteen käyttöoikeutta koskeva tapaus. Auditoijan tulisi jäljittää jokaisessa tapauksessa koko ketju voimassa olevasta oikeusperustasta ja roolin luokittelusta tietojen hankkimisen ja pääsypäätöksen kautta tosiasiallisesti aktiivisiin käyttöoikeuksiin.

Vähimmäistesti sisältää rooliluettelon vertaamisen käyttöoikeusrekisteriin sekä päätösten kattavuuden, tarkastusten oikea-aikaisuuden, tallenteiden käyttöoikeuksien rajauksen ja säilytyskäytäntöjen asianmukaisuuden tarkistamisen. Lisäksi on simuloitava tilanne, jossa asiakirja puuttuu, tulos on tulkinnanvarainen tai tarkastus viivästyy. Organisaation on pystyttävä osoittamaan, että se voi keskeyttää pääsyn, käynnistää eskaloinnin ja nimetä ratkaisuun valtuutetun henkilön. Tietoturvallisuuden hallintajärjestelmän sisäisten auditointien tiheyden ja eskalointikynnyksen on vastattava riskiä ja voimassa olevasta perusteesta johtuvia vaatimuksia, ei pelkästään auditointikalenteria.

Tyypilliset järjestelmätason poikkeamat syntyvät prosessien rajapinnoissa. Näitä ovat osoitetun perusteen puuttuminen, tehtäväluettelon ja tosiasiallisten käyttöoikeuksien välinen ristiriita, alihankkijoiden jääminen soveltamisalan ulkopuolelle, pääsyn myöntäminen ennen tarkastuksen valmistumista, määrittelemätön säilytysaika tai dokumentoidun eskalointimenettelyn puuttuminen. Asianmukainen henkilöstötallenne ei riitä, jos ulkopuolisen ylläpitäjän käyttäjätili jää aktiiviseksi sopimuslaajuuden muututtua tai hänen oikeuksiaan laajennetaan ilman uutta luokittelua.

Johdolle on raportoitava koontitietoja, ei rikostuomioita koskevien tietojen sisältöä. Hyödyllisiä mittareita ovat niiden aktiivisten käyttöoikeuksien osuus, joille tarkastus vaaditaan ja joista on voimassa oleva päätös, ennen tarkastuksen valmistumista myönnettyjen käyttöoikeuksien määrä, tarkastelujen oikea-aikaisuus sekä järjestelmätason syyn mukaan luokiteltujen poikkeamien määrä. Mittareiden tulee johtaa resursointia, korjauksia ja eskalointia koskeviin päätöksiin artikkelissa Johdon prosessimittareiden rakentaminen niin, ettei laatujärjestelmä jää taulukoiden tasolle kuvatun lähestymistavan mukaisesti.

Auditointivalmius tarkoittaa kykyä osoittaa menettelyn olemassaolon lisäksi sen soveltamisalan oikeasuhtaisuus, päätösten yhdenmukaisuus ja prosessin vaikuttavuus. Testin tulokset on vietävä tietoturvallisuuden hallintajärjestelmän sisäiseen auditointiin ja johdon katselmukseen. Samalla on nimettävä toimenpiteen omistaja, asetettava puutteen korjaamisen määräaika ja arvioitava vaikutus aktiivisiin käyttöoikeuksiin.