Turvallisuusluokiteltu tieto henkilöstöturvallisuudessa tarkoittaa tietoa, jonka luvaton paljastuminen tai väärinkäyttö voisi aiheuttaa vahinkoa kansalliselle turvallisuudelle, julkiselle edulle tai yksittäiselle organisaatiolle. Luokitellun tiedon käsittely edellyttää henkilöstöltä erityistä luotettavuuden arviointia, sovittuja menettelytapoja ja usein viranomaisen myöntämää turvallisuusselvitystä. Tässä artikkelissa käymme läpi luokittelun käytännön vaikutukset, Suomessa käytössä olevat luokat sekä sen, mitä väärinkäytöksistä voi seurata.
Miten turvallisuusluokittelu vaikuttaa henkilöstön tietojenkäsittelyyn?
Turvallisuusluokittelu asettaa henkilöstölle konkreettisia velvoitteita siitä, miten salassa pidettävää tietoa saa käsitellä, säilyttää ja jakaa. Käytännössä tämä tarkoittaa, että luokiteltuun tietoon pääsee käsiksi vain henkilö, jolla on siihen tarvittava lupa ja todellinen tarve tietää. Luokittelun taso määrittää, kuinka tiukat suojatoimet vaaditaan.
Henkilöstöturvallisuuden näkökulmasta luokittelu vaikuttaa useaan arjen toimintoon. Asiakirjoja ei voi lähettää tavallisessa sähköpostissa, niitä ei voi tulostaa suojaamattomaan tilaan eikä niistä voi puhua julkisissa tiloissa. Tietokoneet, joilla luokiteltua tietoa käsitellään, on usein pidettävä erillään muusta tietoliikenneverkosta.
Organisaatioilla on velvollisuus ohjeistaa henkilöstöä luokitellun tiedon oikeaoppisesta käsittelystä. Perehdytys, kirjalliset ohjeet ja säännölliset koulutukset ovat keskeisiä keinoja varmistaa, että jokainen tietää omat vastuunsa. Tietoturvaluokittelu ei siis ole pelkästään tekninen kysymys, vaan se koskettaa suoraan jokaisen työntekijän päivittäistä toimintaa.
Mitä eri turvallisuusluokkia Suomessa käytetään?
Suomessa julkishallinnon asiakirjojen turvallisuusluokittelu perustuu neljään tasoon, jotka on määritelty kansainvälisten käytäntöjen ja kansallisen lainsäädännön pohjalta. Luokat ovat ylhäältä alaspäin: erittäin salainen, salainen, luottamuksellinen ja käyttö rajoitettu. Jokainen taso kuvastaa sitä, kuinka vakavia seurauksia tiedon luvattomasta paljastumisesta voisi aiheutua.
Julkishallinnon neljä luokkaa
Erittäin salainen on korkein luokka, ja sen piiriin kuuluvan tiedon paljastuminen voisi aiheuttaa erittäin vakavaa vahinkoa kansalliselle turvallisuudelle. Salainen-luokan tiedon paljastuminen voisi aiheuttaa vakavaa vahinkoa, kun taas luottamuksellinen-luokka kattaa tiedon, jonka paljastuminen olisi haitallista. Käyttö rajoitettu on matalin luokka, ja se koskee tietoa, jonka leviäminen voisi aiheuttaa haittaa.
Yksityisen sektorin luokittelu
Yksityisellä sektorilla ei ole lakisääteistä velvollisuutta käyttää näitä neljää luokkaa, mutta monet yritykset soveltavat vastaavaa logiikkaa omissa tiedonluokittelukäytännöissään. Erityisesti puolustus-, energia- ja finanssialalla toimivat yritykset voivat sopimuksellisesti sitoutua käsittelemään viranomaisten turvallisuusluokiteltua tietoa samojen sääntöjen mukaisesti kuin julkishallinto.
Kenelle turvallisuusselvitys vaaditaan luokitellun tiedon käsittelyssä?
Turvallisuusselvitys vaaditaan henkilöltä, jonka tehtäviin kuuluu pääsy luokiteltuun tietoon tai kriittisiin järjestelmiin, joiden väärinkäyttö voisi vaarantaa turvallisuuden. Selvityksen tarkoituksena on arvioida henkilön luotettavuus ennen kuin hänelle myönnetään pääsy arkaluonteiseen tietoon. Suomessa selvityksen tekee Suojelupoliisi tai muu toimivaltainen viranomainen.
Turvallisuusselvitys voidaan tehdä kolmella tasolla: perustason selvitys, henkilöturvallisuusselvitys ja laaja henkilöturvallisuusselvitys. Taso määräytyy sen mukaan, kuinka korkeasti luokiteltua tietoa henkilö työssään käsittelee. Perustason selvitys riittää useimmissa tapauksissa, mutta erittäin salaisen tai salaisen tason tietoon pääsy edellyttää laajempaa tarkastelua.
Selvitys ei ole kertaluonteinen toimenpide. Henkilöstöturvallisuuden hyvä hallinta tarkoittaa, että selvitykset uusitaan säännöllisesti ja että henkilön elämäntilanteen merkittävät muutokset arvioidaan uudelleen. Työnantajan vastuulla on huolehtia siitä, että luokitellun tiedon parissa työskentelevällä henkilöstöllä on aina voimassa oleva ja asianmukainen selvitys.
Mitä seurauksia luokitellun tiedon väärinkäytöstä voi olla?
Luokitellun tiedon väärinkäytöstä voi seurata rikosoikeudellisia, hallinnollisia ja työsuhteeseen liittyviä seurauksia. Vakavimmillaan kyse voi olla valtiopetoksesta tai vakoilusta, joista voidaan tuomita vankeusrangaistus. Lievemmissä tapauksissa seuraukset voivat olla varoitus, työsuhteen päättyminen tai turvallisuusselvityksen peruuttaminen.
Suomen rikoslaki tunnistaa useita tekoja, jotka voivat liittyä luokitellun tiedon luvattomaan paljastamiseen tai käyttöön. Salassapitorikkomus, tietovuoto ja virkavelvollisuuden rikkominen ovat esimerkkejä teoista, joista voidaan asettaa syyte. Myös tahaton tietovuoto voi johtaa seuraamuksiin, jos henkilö on laiminlyönyt noudattaa hänelle asetettuja velvoitteita.
Organisaatiolle väärinkäytöksestä voi koitua merkittävää mainevahinkoa, sopimussakkojen riski sekä viranomaisten asettamia sanktioita. Siksi ennakoiva henkilöstöturvallisuuden hallinta on keskeinen osa kokonaisvaltaista riskienhallintaa. Me Takanalla autamme yrityksiä rakentamaan selkeät käytännöt luokitellun tiedon hallintaan, jotta henkilöstö tietää tarkalleen, mitä heiltä odotetaan ja miten toimia oikein.