EU-R –asiakirjojen sähköisen jakelujärjestelmän ylläpito- ja tukipalveluiden hankinta

Hankinnan kohteena on EU:n turvaluokiteltujen asiakirjojen (R-UE/EU-R) aineiston käsittelyyn ja siirtoon liittyvän järjestelmän hankintasopimuksen jatkaminen koskien järjestelmän ylläpito- ja tukipalveluita.

Hankinnan kohteena on EU:n turvaluokiteltujen asiakirjojen (R-UE/EU-R) aineiston käsittelyyn ja siirtoon liittyvien ylläpito- ja tukipalveluiden hankinta. VNK on tehnyt 3.11.2017 hankintapäätöksen koskien EU:n turvaluokiteltujen asiakirjojen (R-UE/EU-R) aineiston käsittelyyn ja siirtoon liittyvien ulkoministeriön hallinnoimien järjestelmien laajennusta valtioneuvoston käyttöön siten, että ko. asiakirjoja pystyy lukemaan ja käsittelemään myös mobiilityöasemilla. Hankinta käsitti laajan kokonaisuuden teknisiä järjestelmiä, jotka rakennettiin ja toteutettiin hankinnan aikana sekä näihin liittyviä ylläpito- ja tukipalveluita. Hankinnan tarkka kuvaus on esitetty hankintapäätöksessä VNK/519/05/2017. Hankinta tehtiin Insta DefSec Oy:ltä (y-tunnus: 1597850-3). Hankinnasta tehtiin EU-tasoinen suorahankintailmoitus. Sopimus Instan kanssa allekirjoitettiin tammikuussa 2018 ja sopimus on ollut voimassa 31.12.2020 saakka määräaikaisena ja jatkuen siitä eteenpäin toistaiseksi voimassa olevana. Hankinnan ennakoitu arvo laskettiin kolmen vuoden mittaisen sopimuksen perusteella. Ennakoitu arvo oli 700 000 euroa, joka on nyt käytetty. Järjestelmää laajennettiin Extranet –yhdyskäytävää koskevalla osuudella 7.6.2018. Tämän lisähankinnan arvo oli 95500 euroa. Koska alkuperäisessä hankinnassa arvioitu hankinnan arvo on nyt käytetty, tehdään tarvittavista tuki- ja ylläpitopalveluista uusi toistaiseksi voimassa oleva hankintapäätös. Hankinnan arvo on laskettu neljän vuoden ajalta, mikä on putu-lain 18 §:n mukainen menettely toistaiseksi voimassa olevien sopimusten kohdalla. Valtioneuvoston kanslialla on rakennettuun järjestelmään laajat käyttöoikeudet. Insta DefSec Oy:ltä hankittu järjestelmä koostuu tietoliikenteen salausratkaisusta sekä työasema-, palvelin- ja käyttäjävarmenteiden hallintajärjestelmästä. Molemmat toteutukset on hankittu sisältäen tarvittavat laitteistot, ohjelmistot sekä niiden hallinnan ja ylläpidon. Näiden lisäksi Extranet-yhdyskäytävän yhteydessä on hankittu kyseisen ratkaisun ylläpito. Nyt kyseessä olevassa hankinnassa on tarkoitus hankkia järjestelmälle tarvittavat ylläpito- ja tukipalvelut alkuperäisessä hankintapäätöksessä arvioidun kolmen vuoden ylittäviltä osin. Sopimuksen on tarkoitus olla voimassa toistaiseksi. Ylläpito- ja tukipalvelut koostuvat seuraavista palveluista, jotka on kuvattu hankintapäätöksen liitteessä 1 (salassa pidettävä) tarkemmin: - Tietoliikenteen salauspalvelu - Varmennepalvelu - Yhdyskäytäväratkaisun ylläpito ja tuki sisältäen mm. - PoC / QA ympäristön jatkuva tuki ja ylläpitopalvelu - VPN - palvelu

Hankinta tehdään suorahankintana PUTU -lain 22 § 1 momentin 3) kohdan ”teknisestä tai yksinoikeuden suojaamiseen liittyvästä syystä vain tietty toimittaja voi toteuttaa hankinnan” perusteella. Hallituksen esityksessä (HE 76/2011) PUTU-lain 22 § 1 momentin 3 kohtaa on perusteltu mm. seuraavalla tavalla: ”Pykälän 3 kohdan mukaan suorahankinta olisi mahdollinen, jos vain tietty toimittaja voisi toteuttaa hankinnan teknisestä tai yksinoikeuden suojaamiseen liittyvästä syystä. Teknisenä syynä kyseeseen voisi tulla esimerkiksi […] erityiset yhteentoimivuuteen tai turvallisuuteen liittyvät vaatimukset, jotka on täytettävä, jotta voidaan varmistaa puolustusvoimien tai muiden turvallisuusviranomaisten yhteistoiminta muiden viranomaisten kanssa sekä rauhan aikana, että mahdollisessa kriisitilanteessa. Yhteentoimivuusvaatimus voi kohdistua myös hankittavan järjestelmän yhteentoimivuuteen jo käytössä olevien järjestelmien kanssa. [---] Yksinoikeuden suojaamiseen liittyvänä syynä voisi olla myös esimerkiksi se, että hankinnassa on käytettävä erityistä tietotaitoa, välineitä tai keinoja, joita ainoastaan yhdellä toimittajalla on käytettävissään.” Tässä hankinnassa on erityisiä yhteentoimivuuteen ja turvallisuuteen liittyviä vaatimuksia ja edellytetään erityisiä välineitä ja keinoja, joita vain Insta DefSec:llä järjestelmän rakentajana ja toteuttajana on käytössään. Euroopan neuvoston turvallisuussäännöt ohjaavat ja sitovat Suomea EU turvaluokiteltujen tietojen käsittelyssä. EU:n RESTREINT UE/EU RESTRICTED luokiteltujen asiakirjojen säilyttäminen ja käsittely tietojärjestelmissä vaatii hyväksynnän toimivaltaiselta viranomaiselta (Suomessa Traficomilta, NCSA-Fi). Valtioneuvoston kanslian toteuttamalla R-UE/EU-R -ratkaisulla on EU-R tasoisen aineiston käsittelyyn vaadittava Traficomin hyväksyntä ja käyttölupa. Traficom arvioi rakennus ja käyttöönottovaiheessa ratkaisun suojauksia suhteessa kansallisen ja kansainvälisen suojaustaso IV aineiston käsittelyvaatimuksiin. Vaatimusmäärittelynä on käytetty Tietoturvallisuuden auditointityökalua viranomaisille (Katakri 2015) sekä Cortesy-tietojärjestelmän järjestelmäkohtaisia EU:n vaatimusmäärittelyä (SSRS/SISRS) ja turvaohjeita (SecOps) soveltuvin osin. Vaatimukset koskevat koko järjestelmäkokonaisuutta mukaan lukien palveluntarjoajien ratkaisut ja palveluprosessit. Insta DefSec Oy:ltä hankitut ylempänä mainitut palvelurakenteet on Traficom hyväksytty yllä mainittuja vaatimuksia vasten (Hyväksyntä annettu 4.7.2019). Insta DefSec Oy:n tuottaa varmennepalvelun (Certificate Authority, CA-palvelu) jaetusta järjestelmäympäristöstä, josta Insta tuottaa palveluita myös muille asiakkailleen. Pääosa CA-palvelun arvosta muodostuu sen avulla muodostetusta luottamusketjusta, joka mahdollistaa toiminnan kannalta oleellisten prosessien luotettavan, jäljitettävän ja kiistämättömän toiminnan. Luottamuksen kannalta on oleellista, että CA-järjestelmän eheys on todistettavissa aukottoman kirjausketjun ja dokumentoitujen työvaiheiden avulla. Kiistämättömästi on voitava osoittaa, että järjestelmä on eheässä tilassa, joka on määritelty hyväksytyssä dokumentaatiossa ja että järjestelmän kaikki operointi on tapahtunut hyväksytyn dokumentaation mukaisesti ja kaikesta operoinnista on jäänyt luotettava jälki. Lisäksi on voitava osoittaa, että salaiset avaimet ovat tallennettuna vain tunnetuissa sijainneissa ja käytettävissä vain määritellyllä tavalla. Eheys on pystyttävä jälkikäteen luotettavasti toteamaan, mm. jäljittämällä tarkastuksessa, että kaikki järjestelmän ylläpito ja operointi on tehty hyväksytyin prosessein. Valtioneuvoston kanslian hankkima CA-ratkaisu on toteutettu Insta DefSec Oy:n jaetusta palveluympäristöstä, josta Insta tuottaa vastaavaa palvelua myös muille asiakkailleen. Tällaisen auditoidun CA-ympäristön ylläpito vaatii laajoja ja tarkoin hallittuja järjestelmän käyttöoikeuksia. Valtioneuvoston kanslian CA-palvelun tuki- ja ylläpitopalvelun tuottaminen toisen toimijan toimesta ei ole mahdollista rikkomatta jaetun palveluympäristön eheyden ja kiistämättömyyden vaatimusta. Edellä mainituista syistä EU-R asiakirjojen sähköisen jakeluratkaisun CA-palvelun ylläpito- ja tukipalvelut on mahdollista hankkia vain Insta DefSec Oy:ltä. Mikään muu toimija ei pysty toteuttamaan näitä tuki- ja ylläpitopalveluita, vaan toimittajan vaihtuminen tarkoittaisi sitä, että koko tekninen ratkaisu jouduttaisiin rakentamaan uudelleen, ja kyse ei tällöin olisi pelkästään tuki- ja ylläpitoratkaisua koskevista palveluista, vaan koko järjestelmästä ja näiden tuki- ja ylläpitopalveluista. Jotta järjestelmän kokonaisuus säilyy ehyenä ja täyttää sille asetetut vaatimukset, on hankintapäätöksessä kuvatut ylläpito- ja tukipalvelut hankittava Insta DefSec Oy:ltä. Tämän takia hankinnasta ei järjestetä tarjouskilpailua, vaan se ostetaan suorahankintana Insta DefSec Oy:ltä PUTU-lain 22 § 1 momentin 3) kohdan perusteella.