IT-kehittämispäällikkö Sirkku Kärkkäinen 18.4.2024:

Turun kaupungille on kilpailutettu tietoturvan valvontapalvelu vuonna 2019. (dnro 14964-2019). Toimittajaksi valikoitui Fiarone Oy joka toimii nykyisin nimellä NetNordic. Sopimus on tehty toistaiseksi voimassa olevaksi.

Turun kaupungin palvelut pyörivät sadoilla palvelimilla erilaisilla sovelluskokoonpanoilla. Rikolliset toimijat etsivät jatkuvasti sovelluksien haavoittuvuuksia, joista olisi mahdollista tunkeutua organisaation järjestelmiin. Maailma ympärillä muuttuu ja kehittyy jatkuvasti. Tiedot järjestelmien haavoittuvuuksista leviävät nopeasti ympäri maailmaa. Meillä täytyy olla oikea, ajantasainen tilannekuva omien järjestelmiemme heikoista kohdista niin että suojaustoimenpiteet ovat mahdollisia.

Haavoittuvuuksien havainnointi on oleellinen osa tietoturvan valvontapalvelua. Kun tietoturvan valvontapalvelu hankittiin, NetNordicilla ei ollut tarjolla tällaista palvelua. Nykyisin se on kiinteänä osana heidän valvontapalveluaan. Heille on myönnetty valtuudet sulkea palveluita kriittisissä tietoturvan vaarantavissa tilanteissa. Palveluun on kehitetty seurantakäytännöt ja räätälöity palveluportaali. Olemassa oleva palvelu toimii saumattomasti Kuntien Tiera Oy:ltä ostetun Kyberturvapalvelun kanssa ja prosessit ovat hioutuneet toimiviksi mikä on äärimmäisen tärkeää näin kriittisessä palvelussa. Sopimuskumppanin vaihtaminen tai hankinnan uudelleen kilpailuttaminen tässä vaiheessa muiden palveluntuottajien kesken uutena hankintana ei ole mahdollista teknisistä syistä sen takia, että nykyisellä sopimuskumppanilla on ylläpito- ja jatkokehityksen perusteella sellaiset tekniset tiedot, joiden perusteella se on tällä hetkellä ainoa sopimuskumppani, joka pystyy suorittamaan lisäpalveluja ilman, että siitä aiheutuisi merkittävää haittaa Turun kaupungille. Jos haavoittuvuuksien hallinta kilpailutettaisiin erillisenä palveluna, joutuisimme rakentamaan toisen päällekkäisen toimintamallin nykyisen palvelun rinnalle. Lisäksi, jos sopimuskumppani vaihdettaisiin tässä vaiheessa, aiheuttaisi se lisäkustannuksia uuden toimittajan perehdyttämisen vuoksi sekä merkittävää haittaa, kun uudella toimittajalla ei ole samankaltaista taustatietoa tietojärjestelmistä kuin nykyisellä kumppanilla. Em. perustein NetNordic:n kanssa solmittua alkuperäistä hankintasopimusta on tarpeen muuttaa julkisista hankinnoista ja käyttöoikeussopimuksista annetun lain (1397/2016) 136 §:n 2 momentin 2 kohdan mukaan, koska alkuperäisen sopimuskumppanin on tarpeen suorittaa lisäpalveluja, jotka eivät sisältyneet alkuperäiseen sopimukseen ja sopimuskumppanin vaihtaminen ei ole mahdollista taloudellisista tai teknisistä syistä ja se aiheuttaa merkittävää haittaa tai kustannusten merkittävää päällekkäisyyttä Turun kaupungille.

NetNordicilta on pyydetty tarjous haavoittuvuuksien havainnointiin. Käyttöönoton projektikustannus on 3600 euroa (alv0%) ja tämän jälkeen jatkuvan palvelun kustannukset vuosittain 42864 euroa (alv0%).

Ehdotus​Esitän että nykyistä tietoturvan valvontapalvelua laajennetaan ja hankitaan haavoittuvuuksien havainnointi- ominaisuus NetNordicilta saadun tarjouksen mukaisesti. Vuonna 2024, kertaluontoinen projektikustannus 3600 euroa (alv0%) ja palvelun kustannus kohdistetaan kustannuspaikalle 14281 tietojärjestelmien jatkokehittäminen. Vuoden 2025 alusta eteenpäin jatkuvan palvelun kustannukset 42864 euroa (alv0%) kohdennetaan kustannuspaikalle 13173 Kh /Tietoliikenne, palvelu ID522 SOC.

IT-palvelujohtaja Joni Ilmanen:

Päätös​Päätin, että nykyistä tietoturvan valvontapalvelua laajennetaan ja hankitaan haavoittuvuuksien havainnointi- ominaisuus NetNordicilta saadun tarjouksen mukaisesti. Vuonna 2024, kertaluontoinen projektikustannus 3600 euroa (alv0%) ja palvelun kustannus kohdistetaan kustannuspaikalle 14281tietojärjestelmien jatkokehittäminen. Vuoden 2025 alusta eteenpäin jatkuvan palvelun kustannukset 42864 euroa (alv0%) kohdennetaan kustannuspaikalle 13173 KH/ Tietoliikenne palvelu ID522 SOC.

Perustellusta syystä yksittäistapauksessa voidaan palveluja ostaa hankintapäätöksestä poiketen. Hankintayksikkö ei tällä hankintapäätöksellä sitoudu tarjouspyynnössä ilmoitettuun ennakoituun hankintavolyymiin ja -arvoon.

Hankintayksikköä sitova sopimus ei synny tällä hankintapäätöksellä, vaan vasta erikseen tehtävän kirjallisen sopimuksen allekirjoittamisella. Sopimus voidaan tehdä aikaisintaan 14 päivän kuluttua siitä, kun asianosainen on saanut tai hänen katsotaan saaneen päätöksen ja oikaisuvaatimusohjeet tiedoksi. Päätös voi muuttua tehdyn oikaisuvaatimuksen, hankintaoikaisun tai ylemmän viranomaisen otto-oikeuden perusteella.

Joni Ilmanen

IT-palvelujohtaja

Oikaisuohje ja valitusosoitus liitteenä.

Mahdollisiin tiedusteluihin vastaa IT-kehittämispäällikkö Sirkku Kärkkäinen puh. 050 5590393.