Ruotsin kuljetushallituksen it-skandaali

Ruotsin kuljetushallituksen it-ulkoistus nousi julkisuuteen heinäkuussa 2017, jolloin Dagens Nyheter kertoi, että Kuljetushallituksen (ruots. Transportstyrelsen) silloin jo tehtävänsä jättänyt pääjohtaja oli selvityksen mukaan vaarantanut salassa pidettäviä tietoja.

Tausta

Ruotsin valtiontalouden tarkastusvirasto oli tammikuussa 2011 jättänyt viranomaisten ulkoistamistoimista selvityksen, jonka mukaan Ruotsin viranomaisten olisi ostettava enemmän it-palveluja ulkopuoliselta taholta. Viranomaiset arvioivat, että valtion it-kulut olivat vuodessa 20–25 miljardia kruunua, mikä oli lainojen ja tilakustannusten jälkeen suurin vuosikustannus. Valtiontalouden tarkastusvirasto katsoi, että hallituksen tulisi laatia viranomaisille ohjeistus it-palvelujen ulkoistamisen tarpeellisuudesta ja edellytyksistä.

Reinfeldtin hallitus oli kirjelmässään toukokuulta 2011 ollut samaa mieltä kuin Valtiontalouden tarkastusvirasto ja kirjoitti siinä, että "on toivottavaa, että suurempi osa viranomaisten it-tarpeesta täytettäisiin ulkoistamalla" ja korosti silloin, että oli hyvin tärkeää, että valtion hallinto hoidetaan julkisin välinein.

Kuljetushallituksen it-palveluista vastasi tuolloin Liikennevirasto.

Kuljetushallituksen IT-ulkoistus

Kuljetushallitus teki keväällä 2015 IBM:n kanssa sopimuksen, jonka suuruus oli 700−800 miljoonaa kruunua, ja sopimuksen mukaan viranomaisten salassa pidettävät tiedot käsiteltäisiin muun muassa Romaniassa, Tšekissä ja Serbiassa, joissa niitä käsittelisi ulkomaalainen henkilöstö, jolle ei ollut tehty turvallisuuskartoitusta.

Tietoihin oli mahdollista päästä käsiksi, koska Kuljetushallitus jätti huomiotta sekä sisäisen ohjeistuksensa että asiaa koskevat lait, kuten henkilötietolain ja julkisuuslain. Niin toimittiin, vaikka Kuljetushallitus on Ruotsissa se viranomainen, jota pidetään pätevimpänä turvallisuusasioissa. Turvallisuuspoliisi on antanut sille käsiteltäväksi salaiset tiedot, ja sen tehtävänä on antaa opetusta ja neuvoja muille ja harjoittaa valvontaa. Ulkoistus tehtiin, vaikka turvallisuuspoliisi oli varoittanut Kuljetushallitusta ja suositellut ulkoistuksen keskeyttämistä.

It-ylläpitoa käsittelevän ulkomaisen henkilöstön, jolla ei ollut turvallisuuskartoitusta, havaittiin olevan mahdollinen turvallisuusuhka. Työntekijät saivat vapaan pääsyn tietokantoihin ja heillä oli siten mahdollisuus kopioida tiedostoja ja poistaa sen jälkeen jäljet lokeista.

Laajuus

Tapauksen laajuutta on verrattu aikoinaan Ruotsissa skandaalin aiheuttaneeseen Stig Berglingin tapaukseen. Vuosien työ oli vaarassa mennä hukkaan. Kuljetushallituksen lähes koko it-ympäristöön avattiin vapaa pääsy, ja suuren osan järjestelmästä on arvioitu olevan arkaluontoista. Tiedot eivät olleet salattuja.

Viraston uusi pääjohtaja Jonas Bjelfvenstam sanoi 21. heinäkuuta 2017, että vasta syksyllä 2017 voitaisiin taata, että turvaluokittelemattomat henkilöt muissa maissa eivät enää pääsisi käsiksi salaisiin ja viraston tietojärjestelmän arkaluontoisiin tietoihin.

Seuraukset

Turvallisuuspoliisi aloitti kesäkuussa 2015 selvityksen IBM-sopimuksesta, ja 25. marraskuuta 2015 se suositteli ulkoistammisen keskeyttämistä heti. Prosessi kuitenkin jatkui, ja 26. tammikuuta 2016 aloitettiin turvallisuuskysymyksiä käsittelevässä yksikössä esitutkinta.

Tammikuussa 2017 pääjohtaja Maria Ågren joutui eroamaan tehtävästään. Hän siirtyi hallituksen kanslian (ruots. regeringskansliet) pääjohtajaksi, säilytti 115 200 kruunun kuukausipalkan ja sai tehtäväksi elinkeino-osaston sisäisen selvitystyön. Hän joutui eroamaan tehtävästä 20. heinäkuuta 2017.

Ågren sai kesäkuussa 2017 huolimattomuudesta tiedon pitämisestä salassa rangaistusmääräyksen, jonka hän hyväksyi, eikä asiaa siten käsitellä tuomioistuimessa. Hän oli 30. syyskuuta 2015 ja 31. maaliskuuta 2016 välisenä aikana ”poikennut vallalla olevasta lainsäädännöstä ja Kuljetushallituksen suuntaviivoista, jotka koskevat pääsyä järjestelmiin ja palvelimille” ja siten ”vaarantanut salassa pidettäviä tietoja, joiden paljastuminen vieraalle vallalle voi aiheuttaa vahinkoa Ruotsin turvallisuudelle”, mutta hän oli toiminut ”aikomatta auttaa vierasta valtaa”.

Kun tieto vuodosta tuli julkisuuteen heinäkuussa 2017, vapautettiin Kuljetushallituksen puheenjohtaja Rolf Annerberg puheenjohtajan tehtävästä, ja hänen tilalleen tuli Anita Johansson.

Löfvenin hallitus syytti Kuljetushallitusta, mutta syyttäjä arvioi, että monilta muiltakin virastoilta kuin kuljetushallitukselta puuttuu kunnioitus turvallisuusasioita kohtaan. Ågren oli myös jo helmikuussa 2016 informoinut infrastruktuuriministeri Anna Johanssonin virkamiehiä ministeriössä, että hän oli päättänyt poiketa vallitsevasta lainsäädännöstä, ja virkamiehet kuuntelivat mutta eivät antaneet toimintaohjeita. Johansson sanoi, ettei hänen silloinen valtiosihteerinsä informoinut häntä, eikä hän siksi tiennyt puutteista ennen kuin vasta tammikuussa 2017, kun taas sekä puolustusministeri Peter Hultqvist että sisäministeri Anders Ygeman olivat olleet niistä tietoisia jo vuotta aikaisemmin kuin Johansson, tammikuussa 2016. Puutteellista kommunikaatiota hallituksen sisällä on verrattu muun muassa Wennerströmin tapaukseen, Stig Berglingin pakoon ja Ebbe Carlssonin tapaukseen.

Eräs SVT:n haastattelema turvallisuusasiantuntija piti haitallisena sitä, että yksittäisiä henkilötietoja on mahdollisesti vuodettu, mutta erityisen vakavana sitä, että myös julkisuus- ja salassapitolakien mukaiseen turvaluokiteltuun tietoon on saattanut olla pääsy . Hän sanoi, että virheet eivät ole yksittäisen ihmisen tekemiä, vaan virhe on ollut koko viranomaisen toiminnassa. Asian on vahvistanut maaliskuussa 2017 tehty sisäinen raportti, jossa viranomaisen toiminnassa havaittiin puutteita kymmenessä yhdestätoista alueesta. Raportin mukaan ongelma on ollut olemassa pitkään, mutta virasto ei ollut kiinnittänyt huomiota tietoturva-asioihin vuosina 2009–2015 ja ennen Ågrenin aikaa.

Tietosuojakomitea oli vastikään viitannut siihen, mitä riskejä syntyy, kun virastot ulkoistavat palveluja, ja tehnyt ehdotuksen valtiollisesta pilvipalvelusta tai muista viranomaisten yhteisistä it-palveluista. Myös Valtion palvelukeskus (ruots. Statens servicecenter) oli aiemmin ehdottanut pilvipalvelua, joka parantaisi henkilötietosuojaa.

Keväällä 2016 oli Valtion palvelukeskukselle annettu tehtäväksi selvittää, mitkä viranomaistoiminnot voitaisiin siirtää Tukholmasta muualle maahan. Tehtävän kuluessa viranomaiset havaitsivat, että osa valtion viranomaisten tietojärjestelmistä oli ulkoistettu. Virasto jätti tammikuussa 2017 raportin hallitukselle julkishallintoministeri Ardalan Shekarabin kautta ja varoitti it-palvelujen ulkoistamisen turvallisuusriskeistä. Myös Puolustusvoimien radiolaitos, turvallisuuspoliisi ja Ruotsin puolustusvoimat olivat sitä mieltä, että virastojen datan on oltava valtion palvelimilla valtion datasaleissa.

Tapaus aiheutti Ruotsissa heinäkuussa 2017 hallituskriisin, sillä heikkona pidetty porvarioppositio tarttui tilaisuuteen nostaa profiiliaan ja vaati asian johdosta kolmen ministerin eroa. Vaihtoehtona olisi ollut myös, että Löfven olisi hajottanut hallituksen. Eroon ei kuitenkaan päädytty, vaan kriisi ratkaistiin ministerien kierrätyksellä.

Aiheesta muualla

• Ruotsin salaisten agenttien henkilöllisyydet paljastuneet? Yle.fi, uutiset 22.7.2017