VTKK:n tietoturvatoimien kehityshistoria – suomalaisen digitaalisen turvallisuuden edelläkävijä

Valtion tietokonekeskus (VTKK) oli suomalaisen tietoturvallisuuden kehittämisen todellinen edelläkävijä. Organisaatio toimi ainutlaatuisella näköalapaikalla aikana, jolloin tietotekniikka, tietoliikenne ja tietoturvauhat kehittyivät nopeasti. VTKK:n rooli ulottui teknisestä turvaamisesta koko julkishallinnon tietoturvallisuuden ohjaamiseen ja konsultointiin.

1. Varhaiset vuodet – suojelusuunnitelmista kokonaisturvallisuuteen

VTKK laati jo vuonna 1971 ensimmäisen suojelusuunnitelmansa, joka sisälsi nykyisiä valmius- ja elpymissuunnittelun teemoja.

“Vuoden 1971 lopussa valmistui ensimmäinen VTKK:n suojelusuunnitelma, joka sisälsi nykyisiä sekä elpymis- että valmiussuunnittelun aiheita.”

Terminologia kehittyi myöhemmin toiminnan jatkuvuussuunnitteluksi ja edelleen kokonaisturvallisuudeksi, kun teknologia ja uhkakuvat monipuolistuivat. Nykyisin puhutaan laajemmasta kyberturvallisuudesta, jonka juuret ovat juuri näissä varhaisissa VTKK:n suunnitelmissa.

2. Turvallisuusorganisaation rakentaminen – TUJ ja TUR

1980-luvulla VTKK loi valtionhallinnon ensimmäisiä systemaattisia turvallisuusorganisaatioita:

• Turvallisuusjohtoryhmä (TUJ) – valmiustoimikunta ja turvatoimien strateginen ohjaaja
• Turvaryhmä (TUR) – katastrofijohtoryhmä ja operatiivinen turvatoimien kehittäjä

“Vuonna 1984 perustettiin turvallisuusjohtoryhmä (TUJ) ja turvaryhmä (TUR)… TUJ toimi VTKK:n valmiustoimikuntana ja TUR katastrofijohtoryhmänä.”

VTKK:n sisäinen ohjeistus (V1TURVA) oli uraauurtava ja siitä muodostui myöhemmin konsultointipaketti, jota räätälöitiin valtionhallinnon ja julkishallinnon tarpeisiin.

3. Yhteistyöverkostot – osaamisen ylivoimainen perusta

VTKK:n tietoturvatoimien vahvuus perustui laajaan verkostoitumiseen:

• Valtiovarainministeriön ATK‑turvaryhmä – VTKK:lla oli kaksi edustajaa, joista toinen toimi ryhmän sihteerinä.
• Helsingin Tietojenkäsittely-yhdistyksen tietoturvaryhmä – toi uusimmat yksityissektorin käytännöt VTKK:n käyttöön.
• Tietoturva ry:n perustaminen – VTKK oli mukana synnyttämässä kansallista tietoturvayhteisöä.

“Yhteistyöverkosto mahdollisti tilaisuudet ja kehitysmahdollisuudet, jotka johtivat uusien tietoturva-asioiden ja osaamisen edelläkävijyyteen.”

4. Fyysisen turvallisuuden edelläkävijä – Otaniemi ja Jyväskylän luola

VTKK:n toimitalot olivat aikansa huipputurvallisia:

Otaniemi, Espoo – EMP-suojattu palvelukeskus

• Suunniteltu erityisesti atk-palvelukeskuksen tarpeisiin
• Suojattu sähkömagneettiselta pulssilta (EMP)
• Kehittynyt kulunvalvonta, varavoima ja sisäverkko

“Merkittävin tekninen turvallisuusyksityiskohta oli tuotantotilojen suojaaminen EMP‑vaikutuksilta.”

Jyväskylän Roninmäen kalliosuoja

• EMP-suojattu luolasto
• Sijoituspaikka julkishallinnon kriittisille varajärjestelmille
• Myöhemmin ATK‑Varakeskus Oy:n varakoneympäristö

5. Katastrofiharjoitukset – ennen kuin niistä tuli valtavirtaa

VTKK toteutti katastrofi- ja häiriötilanneharjoituksia jo 1980–1990-luvuilla, vuosikymmeniä ennen kuin ne yleistyivät valtionhallinnossa.

“Jo viime vuosituhannen loppupuolella pidettiin katastrofiharjoituksia… 1990 pidettiin poistumisharjoitus kuvitteellisen tulipalon vuoksi.”

Harjoituksissa simuloitiin mm.:

• terroripommin räjähdys
• vesikaton romahtaminen
• keskustietokoneiden tuhoutuminen

Näistä kehittyi myöhemmin valtionhallinnon nykyiset TAISTO-, TIETO-, KYHA- ja VALHA‑harjoitukset, joiden juuret ovat VTKK:n pioneerityössä.

6. Tekninen tietoturva – TEMPEST, Top Secret ja varakonepalvelut

VTKK oli teknisen tietoturvan edelläkävijä:

TEMPEST ja hajasäteilysuojaus

• Suojaus sähkömagneettiselta hajasäteilyltä
• Estettiin tietojen “salakatselu” laitteiden säteilystä

Top Secret -pääsynhallinta (1986–)

• IBM‑mainframeympäristöjen valvonta
• Käyttäjätunnusten auditointi ja valtuushallinta
• Ensimmäisiä laajoja pääsynhallintaratkaisuja Suomessa

ATK‑Varakeskus Oy (1990–)

• VTKK:n ja IBM:n yhteisyritys
• Varakonepalvelut ja elvytyssuunnitelmat
• Huoltovarmuuskriittisten järjestelmien turvaaminen

7. VAHTI ja julkishallinnon tietoturvan ohjaus

VTKK:n asiantuntijat olivat keskeisessä roolissa VAHTI‑toiminnan synnyssä:

• VTKK:n konsultti toimi ATK‑turvaryhmän sihteerinä
• VTKK osallistui ja pilotoi valtionhallinnon tietoturvaohjeistuksen laadintaan
• Ohjeistus kattoi kaikki kahdeksan VAHTI‑osa-aluetta (hallinnollinen, henkilöstö-, fyysinen, tietoliikenne-, ohjelmisto-, tietoaineisto-, käyttö- ja laitteistoturvallisuus)

“Valtionhallinnon yhteinen tietoturvallisuusohjeisto kattoi kaikki tietoturvallisuuden osa-alueet… VTKK:n turvallisuusohjeistus noudatti samoja periaatteita.”

8. Sähköinen tunnistaminen – SID-hankkeen pioneerityö

1990-luvulla VTKK oli mukana SID‑hankkeessa, jossa määriteltiin vahvan sähköisen tunnistamisen tekninen perusta. Vaikka käyttöönotto viivästyi, työ loi pohjan:

• virkakortille
• HST-varmenteelle
• mobiilivarmenteelle
• nykyiselle vahvan tunnistamisen infrastruktuurille

9. Perintö – tietoturvasta kyberturvallisuuteen

VTKK:n pioneerityö loi perustan suomalaiselle:

• tietoturvakonsultoinnille
• valtionhallinnon ohjeistukselle
• varautumis- ja valmiustoiminnalle
• kokonaisturvallisuuden ja kyberturvallisuuden kehitykselle

“VTKK:laisilla on ollut ainutlaatuinen etuoikeus seurata näköalapaikalta kokonaisen sukupolven syntyä digitaaliseen maailmaan.”

VAHTIn alkuvaiheen toiminta

VAHTIn juuret ulottuvat 1980–1990‑lukujen vaihteeseen, jolloin valtiovarainministeriön atk‑toimisto käynnisti järjestelmällisen tietoturvatyön. Kaarlo Korvolan johtama VM:n Atk‑turvaryhmä loi perustan valtionhallinnon yhtenäiselle tietoturvakulttuurille: ohjeistusta kehitettiin, tietoturvapäiviä järjestettiin ja käytäntöjä jalkautettiin virastoihin. Yhteistyö PTS:n Atk‑toimikunnan kanssa yhdisti tietoturvan ja poikkeusoloihin varautumisen.

1990‑luvun valtioneuvoston päätökset ja VM:n suositukset nostivat tietoturvan osaksi valtion ohjausta. VAHTI-julkaisusarja vakiinnutti ohjeistuksen ja tuki virastojen arjen turvallisuustyötä. Internetin yleistyminen toi uusia vaatimuksia, ja sähköinen henkilökortti sekä virkakortti vahvistivat tunnistamisen ja sähköisen allekirjoituksen roolia.

Korvolan mukaan tietoturva ja tietosuoja ovat aina kulkeneet rinnakkain, ja tuloksellinen työ edellyttää laajaa yhteistyötä sekä jalkauttamista käyttäjätasolle. Hänen näkemyksensä muodostavat edelleen VAHTIn toiminnan peruslinjan.

Lue lisää VAHTIn syntyhistoriasta ja varhaisista vuosista

---

VAHTI‑verkoston työ vaikutti merkittävästi JUHTA‑suosituksiin kunnallishallinnolle. VAHTI toi valtionhallinnon tietoturvan, tietosuojan ja riskienhallinnan rakenteet kunnille, ja JUHTA sovitti ne osaksi JHS‑suosituksia. Yhteiset JUHTA/VAHTI‑hankkeet tuottivat kunnille konkreettisia työkaluja, kuten GDPR‑itsearvioinnin, tietoturva‑ ja tietosuojasovelluksia sekä työpajamalleja. VAHTIn ohjeistus, barometrit ja jalkauttamisen periaatteet loivat kunnille yhtenäisen turvallisuuskäsityksen, joka näkyy suoraan JUHTA‑suosituksissa. Yhteistyö teki valtion ja kuntien digitaalisesta turvallisuudesta yhtenäisen kokonaisuuden.

Lue lisää Tietoturvallisuuden kehittämisestä

Turvatoimet VTKKsta TUVEen