Henkilöstöturvallisuus kriittisessä infrastruktuurissa toteutetaan yhdistämällä huolellinen taustatarkistusprosessi, jatkuva seuranta työsuhteen aikana sekä selkeä vastuunjako turvallisuusjohtamisessa. Kriittinen infrastruktuuri, kuten energiantuotanto, vesihuolto, terveydenhuolto ja tietoliikenneverkot, asettaa henkilöstöturvallisuudelle huomattavasti tiukemmat vaatimukset kuin tavallinen liiketoimintaympäristö. Tässä artikkelissa käymme läpi keskeisimmät kysymykset, jotka auttavat rakentamaan toimivan henkilöstöturvallisuuden kokonaisuuden.
Mitä erityisvaatimuksia kriittinen infrastruktuuri asettaa henkilöstöturvallisuudelle?
Kriittinen infrastruktuuri asettaa henkilöstöturvallisuudelle erityisvaatimuksia, jotka liittyvät luotettavuuden varmistamiseen, pääsynhallintaan ja tietoturvallisuuteen. Koska häiriöt kriittisessä infrastruktuurissa voivat vaikuttaa koko yhteiskunnan toimintaan, henkilöstöön kohdistuvat riskit on arvioitava ja hallittava huomattavasti tarkemmin kuin muilla toimialoilla.
Erityisvaatimukset koskevat useita eri osa-alueita. Ensinnäkin pääsynhallinnan on oltava roolipohjaista ja dokumentoitua: jokaisella työntekijällä tulee olla pääsy vain niihin tiloihin, järjestelmiin ja tietoihin, joita heidän tehtävänsä edellyttää. Toiseksi henkilöstöltä edellytetään usein turvallisuusselvityksiä, joiden laajuus vaihtelee toimialan ja tehtävän mukaan. Kolmanneksi sisäpiiriuhkien hallinta on kriittisessä infrastruktuurissa erityisen tärkeää, koska luottamukselliseen asemaan päässyt henkilö voi aiheuttaa merkittävää vahinkoa joko tahallaan tai huolimattomuudesta.
Lainsäädäntö ohjaa näitä vaatimuksia merkittävästi. Suomessa laki huoltovarmuuden turvaamisesta sekä EU:n NIS2-direktiivi asettavat velvoitteita kriittisen infrastruktuurin toimijoille, ja henkilöstöturvallisuus on yksi niiden keskeisistä osa-alueista. Vaatimusten täyttäminen edellyttää systemaattista lähestymistapaa, jossa turvallisuus on sisäänrakennettu osaksi henkilöstöprosesseja alusta alkaen.
Miten henkilöstön taustatarkistukset toteutetaan kriittisessä infrastruktuurissa?
Henkilöstön taustatarkistukset kriittisessä infrastruktuurissa toteutetaan vaiheistettuna prosessina, joka kattaa rekrytointivaiheesta lähtien henkilötietojen, rikostaustaan liittyvien tietojen sekä mahdollisten turvallisuusselvitysten hankkimisen. Tarkistusten laajuus määräytyy tehtävän kriittisyyden ja pääsyoikeuksien perusteella.
Rekrytointivaiheen tarkistukset
Rekrytointivaiheessa toteutettavat taustatarkistukset sisältävät tyypillisesti henkilöllisyyden varmentamisen, aiempien työtodistusten ja koulutustietojen tarkistamisen sekä suosittelijoiden kontaktoinnin. Kriittisessä infrastruktuurissa on tavallista tarkistaa myös luottotiedot tehtävissä, joihin liittyy taloudellinen vastuu tai pääsy arkaluonteisiin tietoihin.
Viranomaisselvitykset ja turvallisuusselvitykset
Tietyissä kriittisen infrastruktuurin tehtävissä edellytetään viranomaisten myöntämää turvallisuusselvitystä. Suomessa turvallisuusselvityksiä myöntää Suojelupoliisi, ja ne voivat olla eri tasoisia henkilöturvallisuusselvityksiä tehtävän vaatimuksista riippuen. Prosessi edellyttää hakijan suostumusta ja voi kestää useita viikkoja. Työnantajan on tärkeää huomioida tämä rekrytointiaikataulussa ja varmistaa, että selvitykset ovat kunnossa ennen kuin henkilö saa pääsyn kriittisiin järjestelmiin tai tiloihin.
Kuinka henkilöstöturvallisuuden jatkuvuus varmistetaan työsuhteen aikana?
Henkilöstöturvallisuuden jatkuvuus työsuhteen aikana varmistetaan säännöllisellä koulutuksella, pääsynhallinnan ajantasaisella ylläpidolla, poikkeamien seurannalla sekä selkeillä toimintamalleilla työsuhteen päättymisen varalle. Taustatarkistus rekrytointivaiheessa ei yksin riitä, sillä henkilön tilanne ja käyttäytyminen voivat muuttua työsuhteen kuluessa.
Jatkuvaan henkilöstöturvallisuuteen kuuluvat keskeisesti seuraavat toimenpiteet:
- Säännöllinen turvallisuuskoulutus: Henkilöstön on tunnettava organisaation turvallisuuspolitiikat ja osattava toimia oikein poikkeustilanteissa. Koulutus tulee päivittää säännöllisesti.
- Pääsynhallinnan tarkistukset: Pääsyoikeudet tulee katselmoida vähintään vuosittain tai aina roolin muuttuessa. Tarpeettomat oikeudet on poistettava viipymättä.
- Poikkeamien seuranta: Epätavallinen käyttäytyminen, kuten yöaikaiset kirjautumiset tai suurten tietomäärien siirrot, tulee tunnistaa ja tutkia systemaattisesti.
- Offboarding-prosessi: Työsuhteen päättyessä kaikki pääsyoikeudet on poistettava välittömästi, laitteet palautettava ja tarvittavat tietoturvatoimenpiteet suoritettava.
Erityistä huomiota kannattaa kiinnittää niin sanottuun sisäpiiriuhkaan. Tutkimukset osoittavat johdonmukaisesti, että merkittävä osa tietoturvapoikkeamista aiheutuu organisaation sisältä, tahallisesti tai vahingossa. Ennaltaehkäisevä lähestymistapa, johon kuuluu avoin turvallisuuskulttuuri ja matala kynnys ilmoittaa havainnoista, on tehokkain keino hallita tätä riskiä.
Kuka vastaa henkilöstöturvallisuuden johtamisesta kriittisessä infrastruktuurissa?
Henkilöstöturvallisuuden johtamisvastuu kriittisessä infrastruktuurissa jakautuu organisaation johdon, HR:n, tietoturva- ja turvallisuustoimintojen sekä linjaesihenkilöiden kesken. Kokonaisvastuu on kuitenkin aina organisaation ylimmällä johdolla, joka vastaa siitä, että turvallisuusjohtaminen on resursoitu ja organisoitu asianmukaisesti.
Käytännössä vastuunjako toimii parhaiten, kun se on kirjattu selkeästi:
- Ylin johto vastaa turvallisuuspolitiikasta, resursoinnista ja kokonaisvastuusta viranomaisille.
- Turvallisuuspäällikkö tai CISO vastaa käytännön turvallisuusjohtamisesta, prosesseista ja kehittämisestä.
- HR toteuttaa rekrytointiin ja työsuhteen hallintaan liittyvät turvallisuustoimenpiteet.
- Linjaesihenkilöt vastaavat omien tiimiensä turvallisuuskulttuurista ja poikkeamien havaitsemisesta arjessa.
Monilla kriittisen infrastruktuurin organisaatioilla ei ole riittävästi sisäistä osaamista kaikkien henkilöstöturvallisuuden osa-alueiden hallintaan. Tällöin ulkopuolinen kumppani voi tuoda merkittävää lisäarvoa. Me Takanalla autamme organisaatioita rakentamaan selkeän ja toimivan turvallisuusjohtamisen rakenteen, jossa vastuut ovat kirkkaita ja prosessit toimivat arjessa. Henkilöstöturvallisuus on parhaimmillaan osa organisaation kokonaisvaltaista riskienhallintaa, ei erillinen saareke muun toiminnan rinnalla.