VTV:n IT-foorumi, ohjelma12:00Puheenjohtajan avaus, ylijohtaja Marjatta Kimmonen, VTV12:10Overall picture of the EUROSAI IT-Working Group and its functions Head of the Competence Centre IT Auditing Massimo Magnini, Swiss Federal Audit Office12:50VTV:n IT-tarkastustoiminta ja sen tuloksiaTilintarkastuspllikk Pentti Mykknen ja johtava toiminnantarkastaja Tomi Voutilainen13:20Eduskunnan oikeusasiamiehen laillisuusvalvonnan havaintoja IT-toiminnastaEsittelijneuvos Jorma Kuopus, eduskunnan oikeusasiamiehen kanslia13:50Kahvitauko14:20Julkisen hallinnon IT-toiminnan kehittmistilanne ja IT-tarkastuksen vaikutukset kehittmiseen Ylijohtaja Silja Hiironniemi, valtiovarainministeri14:40Kohti turvallista, tehokasta ja verkottunutta julkisen toiminnan shkist hallintaa Pjohtaja Tuomas Pysti, VTV15:00Paneelikeskustelu valtionhallinnon IT-toiminnan ja tarkastuksen haasteistaPuheenjohtajana ylijohtaja Marjatta KimmonenPaneelikeskustelun osallistujat:- Pjohtaja Tuomas Pysti, VTV- Ylijohtaja Silja Hiironniemi, VM- Esittelijneuvos Jorma Kuopus, EOA- Valtioneuvoston controller Soili Vasikainen, VM16:10Puheenjohtajan ptssanatYlijohtaja Marjatta Kimmonen

IT-tarkastustoiminta Valtiontalouden tarkastusvirastossaPentti Mykknen/VTV 6.11.2008Tomi Voutilainen/VTV 6.11.2008

IT-tarkastus VTV:ssaRiskianalyysi

IT-tarkastus VTV:ssaIT-tarkastuksia voidaan kohdentaa joko jompaankumpaan osaan tai tarkastus voi koskea kumpaakin osa-aluetta.Tarkastustoiminnassa kiinnitetn huomiota ainakin tarkastuskohteen toiminnan taloudel-lisuuteen, tuottavuuteen, tarkoituksenmukai-suuteen, laillisuuteen ja hyvn hallintoon. IT-tarkastusta voidaan kohdentaa joko toimintayksikn tekemien periaatteiden ja linjausten mukaan tai tarkastuskohtaisesti. Linjauksiin perustuen tarkastuksia voidaan kohdentaa eri nkkulmia kytten.

IT-tarkastus VTV:ssaNkkulmina voivat olla tarkastuskohteen taloudelliset ja toiminnalliset riskit, toiminnan ja tietojen laatu, valvontamenettelyt, tietoturva, tietosuoja, arkkitehtuurit sek yhteentoimivuus. Tarkastukset voidaan mys kohdentaa tarkastuskohtaisesti ainakin kolmelle eri toimintatasolle valtiokonserni, virasto ja sovellus/jrjestelmtasolle.

IT-toiminnan tarkastusToiminnantarkastuksen toimintayksikk

IT-toiminnan tarkastus Keskittyy valtion IT-toiminnan tarkastamiseenKeskeit kohteita ovat:Yksittiset IT-hankkeet tai hankekokonaisuudet tietyn aiheen ymprillIT-toiminnan organisointiIT-hankinnatIT-hankehallinta/projektinhallintaUlkoistaminenToiminnan suunnitelmallisuus (IT-strategiat, verkkopalvelustrategiat, TTS, tulossopimukset)Kustannus-/hyty (tuottavuus)Lisksi toimialaan kuuluu tietoyhteiskunta-asiat laajemminkinResurssit 2 henkil

IT-toiminnan tarkastus ToiminnantarkastuksetUlosoton tietojrjestelmhanke 110/2005 Shkisten asiointipalvelujen kehittminen julkishallinnossa 120/2006Alueellisten tietoyhteiskuntahankkeiden toteutus 158/2008 Tunnistuspalveluiden kehittminen ja kytt julkisessa hallinnossa 161/2008Ajoneuvohallintokeskuksen tietojrjestelmhankkeet (tekeill)Liiketoiminnan shkistminen ja yrityksille tarjottavat shkiset palvelut (tekeill)Puolustushallinnon atk-jrjestelmien kyttnotto (tekeill)Sosiaali- ja terveydenhuollon tietojrjestelmhankkeet (tekeill)

IT-tarkastus VTV:ssaRiskianalyysi

Tietohallinnon organisointi, resursointi ja johtaminenValtion IT-toiminnan tosiasiallisen konserniohjauksen vahvistaminen taloudellisen ohjauksen tehostaminen, jolla listn konserniohjauksen tehokkuutta ja vaikuttavuutta sek IT-toiminnan johtamisjrjestelmn mallintaminen ja kyttnotto.Julkisen hallinnon IT-toiminnan ohjauksen tulisi perustua tietoiseen sntelymalliin. Nykyinen sekamalli on tehoton. Johtamisjrjestelmn pit olla selke ja ketter siten, ett selkeit ohjaavia elementtej on vain muutama. Ohjaus- ja ptsvastuiden sek -vlineiden mrittely ja kyttnotto kuka ptt, mist ptt ja mill perusteilla

Tietohallinnon organisointi, resursointi ja johtaminenHankkeiden suunnittelujrjestelmss asetettujen tavoitteiden tulisi olla pitkjnteisi. Tavoitteet tulisi asettaa selkess suhteessa rahoitukseen ja resursseihin nhden, jonka jlkeen ptetn aikatauluista.tavoiteasettelun kypsyyden arviointi

Julkiseen hallintoon tulisi luoda yhteinen IT-palveluiden kustannuslaskentamalli

IT-tarkastus VTV:ssaRiskianalyysi

Hyv tietohallintotapaIT-hankeohjausmallien yhtenistminen osana IT-sntelymallien kehittmist.Useasta ohjeistajasta ja suosittelijasta yhteen toimielimeen.Pllekkisest seurannasta ja raportoinnista tulisi pst eroon hankkeiden seurantaan oma jrjestelm, joka palvelee mahdollisimman monia eri kytttarkoituksia.Yhteistymallien kehittminen eri viranomaisten vlill osana IT-hankkeiden suunnittelujrjestelmn uudistamista.

Hyv tietohallintotapaHallinnon oman IT-osaamisen turvaaminen osana suunnittelujrjestelmn uudistamista. Asiantuntijuuden liiallisesta ulkoistamisesta pitisi pst eroon ja pitkaikaisia asiantuntijuutta vaativia ulkoistuksia pitisi vltt kokonaan osaamisen siirto hallintoon.Tavoitteena tulisi olla pyrkimys ohjeistus- ja selvityskulttuurista kytnnn toteutuksiin IT-toiminnan yleinen tehostaminen.

IT-tarkastus VTV:ssaRiskianalyysi

KehittminenTavoitteiden asettamisessa on otettava huomioon mrllisten tavoitteiden lisksi mys toteutustapa.Kustannusseurantaa tulee tehostaa ja keskitt ohjelmia ja strategioita toteutettaessa.Hankkeiden tavoitteet ja toimenpiteet tulee olla selkesti yhdistettviss toisiinsa.Ohjelmia ja strategioita toteutettaessa on kiinnitettv huomiota tavoitteiden toteutuksen alueelliseen tai hallinnonalakohtaiseen koordinointiin sek tytntnpanon ohjaukseen. Tietoyhteiskunta-avustuksia myntville viranomaisille tulee laatia selket ohjeet siit, mink tyyppiset hankkeet tukevat ohjelmien ja strategioiden tavoitteita. Avustusten myntmismenettelyiden ja -ehtojen tulee olla yhtenisi ja selkeit.Yhteniset laadunvarmistusmenetelmt

IT-tarkastus VTV:ssRiskianalyysi

HankintamenettelytTietojrjestelmien vaatimusmrittelyt tulee laatia huolellisesti siten, ett ne eivt suosi tietty toimittajaa tai ett tosiasialliset mrittelyt tehdn vasta kilpailutuksen jlkeen muutoksenhallinnan kauttaYhteishankintoja koskevia menettelyj tulisi selkeytt.Tietojrjestelmpalveluja hankittaessa on selvitettv eri vaihtoehdot hankinnan suorittamiseksi sek pyrittv yhteishankintoihin. Valittu hankintamalli pit pysty perustelemaan.Viranomaisten ei tulisi ryhty laajoihin tietojrjestelmhankkeisiin ilman yhteistyt kuin selkesti omalla ydintoimialallaan.Hankintatapojen moninaisuus tulee olemaan jatkossa haaste hankintayksikille mik tapa tulee olemaan kokonaisuudessaan halvin usean toimijan ja vliportaan ongelma

(Tieto)JrjestelmtarkastusTilintarkastuksen toimintayksikk

IT-tarkastus VTV:ssaTuottaa lisarvoa tilintarkastukselleOma ryhm tilintarkastuksessa1 + 5 erikoistunutta tarkastajaaVuodesta 1994 lukienn. 10 tarkastusta vuosittainTarkastuksia tehty lhes joka hallinnonalan virastoissa, viime vuosina mys palvelukeskuksissa Vkiraportit psntisesti luottamuksellisia julkisuuskain 24 :n perusteellaKeskeiset havainnot raportoidaan tilintarkastuksen vuosiyhteenvedossa ja tilintarkastuskertomuksessa

Keskeinen viitekehys

Lait ja asetuksetLaki ja asetus valtion talous- arviostaJulkisuuslaki ja asetusErillislainsdnt

VK:n mrykset ja ohjeetKoneellisten tietovlineiden kyttminen kirjanpidossaKoneellisin menetelmin pidetyn kirjanpidon menetelmkuvaus Valtionhallinnon tietoturva-ohjeistusVN periaateptksetVAHTI:n ohjeet ja suosituksetStandardit, suositukset ja mallitINTOSAI, ISACA, ISO/IEC2*JHS-suositukset Cobit, ITIL

IT-tarkastus VTV:ssaTuotantokytss olevat jrjestelmtTarkastetaan ovatko jrjetelmn ja sen toimintaympriston liittyvt sisisen valvonnan menettelyt, tietoturvallisuus ja riskit asianmukaiset

IT-tarkastus VTV:ssRiskianalyysi

IT-tarkastus VTV:ssaKeskeisi jrjestelmst tarkastettavia kohteita mm.: Kyttvaltuushallinta ja kyttoikeudet Looginen suojaus Dokumentaatio Kontrollit Kytettvyys Liittymt Tietojen silytys, arkistointi

Kyttvaltuushallinta / looginen suojaus

Kyttjien todentaminen Kyttjn aitouden varmista- minen

Kyttoikeudet ja valtuudet Oikeus kytt jrjestelmn ohjelmia, psy tietoihin Kyttjlle mynnetyt oikeu- det nimetyn jrjestelmn kyttn, tietoihin Sisnkirjautumismenette- lyt (salasanat, SSO tms.) Salasanojen muoto, henkil- kohtaisuus, vaihtaminen, silytys Kyttjtunnukset Hallinnointi (mynt, muu- tos, poisto, dokumentointi) Vain tytehtviss tarvitta- viin tietoihin Tehtvien eriyttminen (riskialttiit tyyhdistelmt!) Tarkastaminen, lokit

Dokumentaatio

Sopimukset Hankinta Yllpito Huolto Kyttpalvelu

Prosessi-/jrjestelmkuvaukset Menetelmkuvaus Prosessikuvaukset Rekisteriselosteet Muut dokumentit Tietoturvadokumentit Kytettvyysraportointi Olemassa- ja voimassa olo, yllpito, ajantasaisuus; snnstenmukaisuus (mm. sopimukset), vastuiden mrittely; tarkastusoikeus ja auditoinnit; ulkoistetut osiot!

Kontrollit, ohjaustiedot

Jrjestelmn sisltmt (ohjel-malliset) kontrollit Muotomrisyystarkis- tukset Kyttoikeuskontrollit Lokit, virhelistat Manuaalisesti suoritettavat Tydentvt ohjelmallisia kontrollejaOhjaustiedot Toimintoja ohjaavia para- metrej Input output Kontrollien olemassaolo ja toimivuus; dokumentointi (ohjaustieto-listaukset), ohjaustietojen hallinnointi ja tarkastaminen; vastuut;lokien tarkastaminen; odotusten mukainen toiminta ja lopputulos

IT-tarkastus VTV:ssRiskianalyysi

Yllpito-, testaus ja tietojen varmistusmenettelyt

Yllpito ja testaus Menettelyt ohjeistuksen mukaisuus

Vastuut, (virasto, ohjelmiston toimittaja, palvelukeskus) Dokumentointi Versioiden ja muutosten hal- linnointi Testauslaitejrjestelyt

Tietojen varmistusmenettelyt Menettelyt ohjeistuksen mukaisuus Dokumentointi Vastuut Valvontamenettelyt Varmuuskopioiden silytys Varmuuskopioiden palau- tusten testaus

IT-tarkastus VTV:ssRiskianalyysi

Organisointi, resursointi ja johtaminen

IT-toimintojen vastuu- ja varahenkiljrjestelytKytttoiminnasta vastaavat ja varahenkiltTarkasteltavan jrjestelmn vastuu- ja varahenkiltMuut vastuu- ja varahenkilt (esim. tietoturvallisuus, tieto- liikenne, varmistukset, fyysinen turvallisuus)Kytn suunnitteluKeskeytys- ja virhetilanteiden hallinnointiOhjeistus ja muu dokumentaatioPerustiedot kytss olevista laitteista, tietoliikenteest (verkot yms.), sovelluksista/ohjelmista, tietokannoista

IT-tarkastus VTV:ssRiskianalyysi

Ulkoistaminen

SopimuksetVastuut, tyjako ja organisointiOhjeistus ja muu dokumentaatioKyttvaltuushallinta ja kyttoikeudetTietoturvallisuusSisisen valvonnan menettelytVirhetilanteiden hallinta

Tarkastusten perusteella kehitettv ja parannettavaa

Kytt-oikeudet (yllpito, tarkastaminen ym.)Looginen suojaus (salasana- menettelyt ym.)Menetelmkuvaus (sislt)Ohjaustiedot (hallinnointi ja tarkastaminen ym.)OhjeistusSopimukset (snnsten mukaisuus, tietoturvallisuus, palvelutaso ym.)

Tehtv-/tyyhdistelmt (erit. riskialttiit yhdistelmt)Tietoturvadokumentit, luokitukset, riskianalyysitTietojen arkistointi,silytys ja hvittminenVastuiden mrittelyYllpito ja testausmenettelyt

IT-tarkastusta kehitetn VTV:ssa ITAR (IT-tarkastuksen koordinaatioryhm)Keskeinen tehtv IT-tarkastusten suunnittelun ja toteuttamisen koordinointi Edustus kaikista yksikist; vetjn ylijohtaja 3 alatyryhmTarkastusprosessien ja vlineiden kehittminenIT-tarkastusosaaminen ja sen kehittminenStandardien, mallien ja menetelmien lpikyminen (esim. JHS, ISO, CobiT yms.)IT-tarkastusyhteisty (mm. IT-foorumi)

KIITOS!