Vastaus Antero Eerolan ja 17 muun valtuutetun aloitteeseen kaupungin kartoitettava it-palveluiden epäterveitä riippuvuuksia

Kaupunginvaltuusto 23.2.2026 § 32

Päätös: Päätettiin ottaa asia käsiteltäväksi ja lähettää valtuustoaloite kaupunginhallitukselle valmistetavaksi. Konsernijohdon ja elinvoiman toimialan tietohallinnon palvelualue toteaa vastauksenaan seuraavaa Aloitteessa on pyydetty Vantaan kaupungin tietohallintoa selvittämään, kuinka riippuvainen Vantaan kaupunki on ulkomaisista, erityisesti yhdysvaltalaisista IT-yrityksistä. Lisäksi on pyydetty arvioimaan tietoturvan tasoa, konesalien sijaintia sekä ulkomaisten viranomaisten pääsyä arkaluontoisiin tietoihin. Lisäksi tulee arvioida ohjelmistolisenssien kustannuksia sekä sitä minkälaisia avoimia ratkaisuja olisi tarjolla. Riippuvuus ulkomaisista toimijoista Riippuvuutta ICT-ratkaisuissa syntyy monella tasolla. Riippuvuutta voidaan arvioida ainakin laitetasolla, käyttöjärjestelmätasolla sekä tietojärjestelmätasolla. Laitetasolla tarkoitetaan tässä esimerkiksi työasemia, palvelimia, tietoliikennelaitteita ja puhelimet. Puhtaasti kotimaisia ratkaisuja ei näistä ole olemassa ja mikäli arvioidaan vielä laitteita komponenttitasolla, niin hyvin suuri laitteeseen liittyvästä materiaalista työstä ja valmistuksesta tulee Euroopan ulkopuolelta. Puhtaasti eurooppalaisia laitteita on jopa mahdotonta löytää; saati kotimaisia. Vantaalla kaikissa laitteissa on erittäin suuri riippuvuus ulkomaisista toimijoista, vaikka lähimmät jakelukumppanimme tai ainakin niiden yhdyshenkilöt ovatkin suomalaisia. Laitteiden käyttöjärjestelmien ja kriittisten toiminnallisuuksien suhteen olemme erittäin suurilta osin yhdysvaltalaisten ohjelmistojen (Microsoft, Google) varassa, vaikka erittäin satunnaisesti tulee joitain muitakin käytettyä kuten esimerkiksi Linuxia. Tilanne on siis varsin samanlainen kuin pääosassa muitakin organisaatioita (julkisia ja yksityisiä). Myös vastaavaan tapaan käytämme Microsoftin M365-ympäristöä ja Googlen vastaavia pilvipalveluita. Näihin liittyvät pilvipalvelut sijaitsevat ensisijaisesti Microsoftin osalta Euroopassa ja Googlelta löytyy palvelinsali Suomesta. Microsoftin palvelinsalit Suomeen ovat rakenteilla. Kaupungilla on noin kolmesataa tietojärjestelmäksi luokiteltavaa kokonaisuutta ja näitä meille myyvät yritykset ovat pääosin Euroopasta ja erittäin moni Suomesta. Osan kohdalla kyse on kuitenkin maayhtiöistä ja ohjelmistojen tausta on Euroopan ulkopuolelta. Lisäksi tietojärjestelmät on usein rakennettu komponenteista, jotka vaativat toimiakseen esimerkiksi Microsoftin ympäristöä. Eli järjestelmillä on usein vahva riippuvuus yhdysvaltalaisiin toimijoihin, vaikka varsinainen järjestelmätoimittaja olisikin suomalainen. Pääosin tietojärjestelmät ovat nykyään pilvipalveluita, jotka pääosin pyörivät Euroopassa sijaitsevissa konesaleissa ja osin myös Suomessa. Tietoturvan taso kansainvälisillä toimijoilla Pääsääntöisesti suuret toimijat ovat panostaneet hyvin paljon tietoturvan tasoonsa. Toisaalta ne ovat myös isoina toimijoina erittäin houkuttelevia kohteita murtautujille. Tämän vuoksi ne ovat myös usein uutisissa löydettyjen haavoittuvuuksien vuoksi. Pääsääntöisesti ratkaisut ovat suurilla kansainvälisillä toimijoilla kuitenkin kunnossa, koska heillä on myös taloudellisia mahdollisuuksia tähän panostaa enemmän kuin pienemmillä toimijoilla. Varsinaisesti yhdysvaltalaiset toimijat ovat olleet uutisissa enemmänkin tietosuoja-asioiden vuoksi, joiden ongelmakohdat juontavat juurensa ensisijaisesti Yhdysvaltojen lainsäädännöstä. EU on pyrkinyt löytämään hyviä ratkaisuja, miten yhteensovittaa Yhdysvaltojen lainsäädäntö EU:n GDPR-asetuksen kanssa. Tällä hetkellä on olemassa oleva ratkaisu, jonka mukaan toimitaan, mutta tilanne elää jatkuvasti ja myös Vantaalla seuraamme tilannetta aktiivisesti. Arvioidessa ulkopuolisten mahdollista pääsyä tietoihin, tulee huomioida, että pääsääntöisesti järjestelmän toimittajien ylläpidossa on henkilöitä, joilla on olemassa teknisesti pääsy järjestelmässä oleviin tietoihin. Tämän käyttöä kuitenkin säädellään sekä lainsäädännöllä että usein myös sopimuksissa. Kun arvioidaan eri valtioiden viranomaisten pääsyä järjestelmien tietoihin, niin pitää perehtyä eri maiden lainsäädäntöön. Käytyjen keskusteluiden perusteella kuitenkaan käytössämme ei ole järjestelmiä, joihin olisi suoria pääsyjä ulkomaisilla viranomaisilla. Tietojen luovutukset voivat olla mahdollisia lainsäädännön perusteella tietyissä tilanteissa, jotka tietojemme mukaan vaativat myös erillisen oikeuden päätöksen. Näitä asioita on EU:ssa arvioitu myös etenkin etsittäessä ratkaisuja yhdysvaltalaisten järjestelmien käyttöön. Kustannukset Isojen toimijoiden lisenssikustannukset ovat olleet julkisuudessa suuren keskustelun aiheena. Eniten on keskusteluttanut Microsoftin lisenssit, mutta myös Google on lisenssimäärissä Vantaalla iso toimija. Microsoftin lisenssit kattavat Vantaalla sekä työasemien että palvelimien lisenssejä. Eniten keskustelua herättävät tyypillisesti M365-kokonaisuus, koska se on käyttäjälle näkyvin kokonaisuus. Julkisuudessa on varsin isosti väläytelty esimerkiksi Teamisista luopumista, joka on M365:n yksi komponentti. Kuitenkin jotta kokonaisuudella olisi merkitystä, pitäisi tällöin luopua M365:stä kokonaisuudessaan. Ongelmana on, että ainoa länsimaalainen toimija, jolla on vastaavan tasoinen palvelu tarjolla, on Google, joka on toinen yhdysvaltalainen tarjoaja samoine valtuustoaloitteessa esitettyine ongelmineen. Vastaavan kokonaisuuden kokoaminen voisi olla mahdollista Euroopasta, mutta nykyisistä olemassa olevista ohjelmista koottaessa pitäisi nämä eri palvelut hankkia useilta eri palveluntarjoajilta ja käytännössä integroida ne joko itse tai jonkin palveluntarjoajan toimesta yhdeksi kokonaisuudeksi. On ilmeistä vähäiselläkin tarkastelulla, että projekti olisi useita vuosia kestävä, kustannuksiltaan erittäin korkea eikä sillä todennäköisesti saavutettaisi samanlaista käyttäjäkokemusta kuin nykyisellä ratkaisulla. Microsoft ja Google antavat pääsääntöisesti julkiselle sektorille alennuksia ja etenkin Kasvatuksen ja Oppimisen toimialalle. Käymme myös näiden toimijoiden kanssa aktiivista keskustelua ja pyrimme varmistamaan kohtuullisen kustannustason, jolla myös saamme uusimmat kokonaisuudet ja tekoälyratkaisut osaksi palveluamme. Vaihtoehtoiset ratkaisut Vantaan kaupunki hankkii palvelunsa julkisilla kilpailutuksilla. Kilpailutuksissa tyypillisesti kuvataan Vantaan tekninen ympäristö sekä tarvittava palvelu. Tarjoaja voi vapaasti tarjota palvelunsa haluamallaan toteutustavalla. Tämän vuoksi tarjoaja voi tarjota esimerkiksi avoimeen lähdekoodiinkin pohjautuva palvelun. Usein myös, etenkin vähänkään suuremmissa hankinnoissa, ennen lopullista tarjouspyyntöä teemme avoimen tietopyynnön, jotta mahdolliset erilaiset ratkaisutavat tulevat toimijoilta esiin, jotta emme vahingossa tule rajanneeksi jotain mahdollista toteutustapaa hankinnassamme. Mikäli kuitenkin esimerkiksi lisäisimme digisuvereniteettiimme liittyviä vaatimuksia tarjouspyyntöihimme, rajaisivat ne väistämättä mahdollisten tarjoajien joukkoa ja siten todennäköisesti heikentäisivät kustannustehokkuutta useiden ICT-hankintojen kohdalla. Tämän vuoksi olisi tärkeää, että tällaiset lisävaatimukset kohdistuisivat ainoastaan tiukasti tarkasteltuun joukkoon hankintoja, joissa vaatimus on myös helposti perusteltavissa. Suvereniteetin tarkoituksenomainen vahvistaminen Yksittäisen järjestelmän hankkiminen ulkomaisista toimijoista mahdollisimman riippumattomana ei useinkaan todellisuudessa loppupeleissä ole kovinkaan riippumattomana. Vaikka saisimme esimerkiksi ostettua sovelluksen, joka olisi saatu rakennettua ilman ulkomaisia komponentteja ja sitä palvelua tuotettaisiin Suomessa, niin laitteistot, joilla sitä käytettäisiin, olisi kuitenkin valmistettu ulkomailla ja todennäköisesti Euroopan ulkopuolella, koska tällaista tuotantoa ei lähialueilla juurikaan sijaitse. Lisäksi harva järjestelmä rakennetaan irralliseksi muista, vaan sovellukset muodostavat yhdessä kokonaisuuden verkon, jolloin tuollainen ratkaisu on vain yksi sadoista sovelluksistamme. Kun olemme selvittäneet kustannustehokkaimpia keinoja suvereniteetin vahvistamiseksi, on tyypillisesti ensimmäisenä noussut esiin mahdollisuus ottaa erillisiä varmuuskopioita ulkomaisten toimijoiden pilvipalveluista. Tällöin varsinainen datasisältö olisi käytettävissämme myös silloin kuin alkuperäinen pilvipalvelu ei olisi saatavilla. Näitä on edistetty keskeisimpien palveluidemme osalta. Tällaisesta luonnollisesti syntyy meille pysyviä ylimääräisiä kustannuksia meille, joten näiden käytön lisäämistä on harkittava tarkkaan. Yhteenvetona Aloitteessa esitetty selvityspyyntö on merkittäviltä osin sisällöltään osa tietohallinnon normaalia tietoturvariskien ja tietosuojariskien arviointia. Tietohallinto on riskienhallintatoimenpiteinä myös arvioinut, millä toimenpiteillä kustannustehokkaimmin ja palveluita laatua heikentämättä, on mahdollista näitä riskejä vähentää. Uusien järjestelmähankintojen kohdalla tämä näkyy esimerkiksi vaikutustenarvioinneissa. On ilmeistä, että käytännössä kaikki Vantaan kaupungin IT-palvelut ovat vähintään jollain tasolla riippuvaisia ulkomaisista ja valtaosin Euroopan ulkopuolisista palveluista. Asian syvällisempi komponenttitason selvittäminen ei toisi erityisen hyödyllistä lisätietoa. Tietohallinto ei suosittele erillisen selvityksen laadintaa, koska siitä aiheutuvilla kustannuksilla ei olisi saatavissa merkittävää lisähyötyä. Digitaalista suvereniteettia vahvistetaan harkintaa käyttäen osana kokonaisuuden suunnittelua painottaen kustannustehokkuutta ja seuraten kokonaisuuteen liittyvää tulevaa lainsäädäntöä. Osana järjestelmien kehitystyötä selvitetään avoimien järjestelmien kuten Linuxin käyttöä kaupungin tietojärjestelmissä eurooppalaisten esimerkkien mukaisesti.