Tämä opas kertoo kuinka kyberturvallisuuden ammattilaiset voivat saada turvallisuusselvityksen. Turvallisuusselvitykset ovat tärkeä osa kyberturvallisuusalan työskentelyä, ja tässä oppaassa esitetään erilaiset turvallisuusselvitykset, minkälaiset työpaikat edellyttävät turvallisuusselvityksiä ja prosessi, jota on noudatettava turvallisuusselvityksen saamiseksi.

toki on olemassa muunlaisia muiden valtiollisten ja ei-valtiollisten tahojen myöntämiä turvallisuusselvityksiä ympäri maailmaa, mutta käytännön tasolla tämä keskustelu rajoittuu Yhdysvaltain liittovaltion virastojen myöntämiin selvityksiin.

Security clearance overview

jokainen Yhdysvaltain liittovaltion palveluksessa oleva käy läpi rikos-ja luottohistoriansa perustutkimuksen. Tämä takaa sen, että kaikki liittovaltion työntekijät ovat ”luotettavia, luotettavia, käyttäytyvät hyvin ja ovat luonteeltaan sekä ovat täysin ja horjumattoman uskollisia Yhdysvalloille.”

lisäksi liittovaltion virat, joihin sisältyy pääsy arkaluonteisiin tietoihin, vaativat turvallisuusselvityksen. Tähän sisältyvät yksityisyritysten palveluksessa olevat henkilöt, jotka ovat liittohallituksen alihankkijoita. Tämä lupa on hankittava, jotta voidaan määrittää hakijan luotettavuus ja luotettavuus, ennen kuin hakijalle myönnetään pääsy kansallisen turvallisuuden tietoihin.

turvallisuusselvitykset on jäsennetty hierarkkisesti siten, että jokainen nimitys ilmoittaa turvaluokitellun tiedon enimmäistason, johon luvan haltija voi päästä. Vähiten rajoittavista kaikkein rajoittavimpiin luokitustasoihin kuuluvat:

• luottamuksellinen tällainen turvallisuusselvitys tarjoaa pääsyn tietoihin, jotka voivat aiheuttaa vahinkoa kansalliselle turvallisuudelle, jos ne paljastetaan ilman lupaa. Se on tutkittava uudelleen 15 vuoden välein.
  luottamuksellinen selvityspyyntö edellyttää kansallisen toimiston tarkistamista paikallisen viraston tarkastuksella ja Luottotarkastuksella (NACLC).

• salainen tämän tyyppinen turvallisuusselvitys tarjoaa pääsyn tietoihin, jotka voivat aiheuttaa vakavaa haittaa kansalliselle turvallisuudelle, jos ne paljastetaan ilman lupaa. Se on tutkittava uudelleen 10 vuoden välein.
  salainen selvitys vaatii NACLC: n ja Luottotutkinnan; se on myös tutkittava uudelleen 10 vuoden välein. Puolustusministeriön (DoD) selvitysten tutkintavaatimukset, joita sovelletaan useimpiin siviiliurakoitsijatilanteisiin, sisältyvät henkilöstön Turvallisuusohjelmaan, joka tunnetaan nimellä puolustusministeriön sääntö 5200.2-R, osassa C3.4.2.

• Top Secret (TS) tämän tyyppinen turvallisuusselvitys tarjoaa pääsyn tietoihin, jotka voivat aiheuttaa poikkeuksellisen vakavaa vahinkoa kansalliselle turvallisuudelle, jos ne paljastetaan ilman lupaa. Se on tutkittava uudelleen viiden vuoden välein.
  Top Secret on tiukempi selvitys. TS-selvitysosa annetaan usein yhden soveltamisalan taustatutkimuksen (SSBI) tuloksena. TS-selvitykset antavat yleensä yhden pääsyn tietoihin, jotka vaikuttavat kansalliseen turvallisuuteen, terrorismin vastaiseen toimintaan/vastavakoiluun tai muihin erittäin arkaluonteisiin tietoihin. TS-valtuutettuja on paljon vähemmän kuin salaisia. Useimmissa tapauksissa henkilö, jolla on huippusalainen turvaluokitus, – tutkitaan uudelleen viiden vuoden välein.

tietyntasoisen turvallisuusselvityksen saaminen ei tarkoita sitä, että selvityksen haltijalla olisi automaattisesti Pääsy tai että hänelle annettaisiin pääsy kyseistä selvitystasoa varten selvitettyihin tietoihin. Jotta turvaluokiteltuja tietoja voidaan käsitellä laillisesti, luvan haltijalla on oltava tietojen asianmukaisen selvitystason lisäksi selkeä ”tarve tietää”. Tiedonsaantitarpeen määrittelee yleensä alkuperätoimistoon turvaluokiteltujen tietojen osalta määrätty tiedonantovirkailija.

on myös kaksi turvaluokiteltujen tietojen luokkaa, jotka edellyttävät lisäkäsittelyä ja pääsyrajoituksia:

• arkaluonteinen lokeroitu tieto (Sci), joka sisältää tiedustelulähteitä, menetelmiä ja prosesseja.
  kuten TS: n hyväksynnässä, SCI: n hyväksynnälle annetaan lupa vasta, kun hakija on käynyt läpi SSBI: n ankaruuden ja erityisen tutkintamenettelyn tutkimuksen arvioimiseksi. SCI-käyttöoikeus on kuitenkin annettu vain ”lokeroissa”. Nämä osastot on välttämättä erotettu toisistaan organisaation suhteen niin, että yksilö, jolla on pääsy yhteen osastoon, ei välttämättä pääse toiseen osastoon. Jokainen osasto voi sisältää omat erityiset lisävaatimuksensa ja raivausprosessinsa. Yksityishenkilölle voidaan myöntää pääsy osastoon tai pääsy osastoon miltä tahansa ajanjaksolta.
• Special access programs (SAPs), jotka ovat erittäin herkkiä projekteja ja ohjelmia.
  puolustusministeriö perustaa yhtenäisiä koordinointikeskuksia, kun tiettyjen tietojen haavoittuvuutta pidetään poikkeuksellisena eikä tietojen saantikelpoisuuden määrittämistä koskevien tavanomaisten sääntöjen katsota riittävän suojaamaan tietoja. SAPs ovat tyypillisesti käytetään tehostettuja turvatoimia, jotka tiukasti valvoa need-to-know. Tällaisten ohjelmien käyttäjämäärä pidetään yleensä alhaisena. Esimerkiksi uutta sotilasteknologiaa koskevat tiedot edellyttävät usein tällaista erityistä pääsyä.

nämä erityisluokat koskevat turvallisuusluokiteltuja tietoja, joiden on katsottu olevan erityisen haavoittuvia, ja yhteisön tärkeänä pitämän alueen tai yhteisön tärkeänä pitämän alueen turvallisuusluokiteltujen tietojen kelpoisuusvaatimukset ja tutkintavaatimukset ovat korkeampia kuin muiden turvallisuusluokiteltujen tietojen osalta.

turvallisuusselvitykset ovat voimassa vain sen ajan, jolloin henkilöllä on alkuperäinen työ, jota varten lupa on annettu. Luvan haltija voidaan tutkia uudelleen milloin tahansa, mutta virallinen tarkastelu on tarpeen määräajan jälkeen.

lupa voidaan tietyissä tapauksissa ottaa uudelleen käyttöön käymättä koko tutkintaprosessia uudelleen läpi. Hakijan työsuhteen katkeamisen on kuitenkin oltava alle kaksi vuotta, eikä alkuperäinen tutkimus voi olla yli 5, 10 tai 15 vuotta vanha huippusalaisen, salaisen ja luottamuksellisen luokan osalta.

turvallisuusselvitysten historia

viranomainen, joka luokittelee tietoja ja myöntää turvallisuusselvityksiä näiden tietojen saamiseksi, löytyy Executive Ordersista (EOS) ja Yhdysvaltain liittovaltion laista. Turvallisuuslupien alkuperä voidaan jäljittää vuoden 1883 Pendletonin lakiin, joka edellytti liittovaltion työnhakijoilta vaadittavaa luonnetta, mainetta, luotettavuutta ja kelpoisuutta työhön.

vuonna 1941 Executive Order 8781 määräsi, että FBI: n on otettava kaikilta liittovaltion työntekijöiltä sormenjäljet ja tutkittava ne, ja vuonna 1948 puolustusministeriö yhtenäisti sotilaallisen turvallisuusohjelman ja otti käyttöön samanlaiset standardit ja menettelyt kuin siviileille E. O. 9835: ssä.

Executive Order 10450 (1953) korvasi E. O. 9835 ja vaati liittovaltion työntekijöiltä tutkimuksia heidän luotettavuutensa, luotettavuutensa, hyvän käytöksensä ja luonteensa sekä uskollisuutensa Yhdysvaltoja kohtaan. Se edellytti, että työllisyyden tulee olla ”selkeästi kansallisen turvallisuuden edun mukaista.”

tällä hetkellä National Security Information (nsi) on luokiteltu eo 13526: een, jossa on joitakin lisävaroja, jotka on annettu Security Executive Agent Directive 4, National Security Adjudicative Guidelines.

työt, jotka vaativat turvallisuusselvityksen

monet liittovaltion virastot ja liittovaltion alihankkijat, jotka työskentelevät näiden virastojen kanssa, vaativat välttämättä työntekijöiltään turvallisuusselvityksen voidakseen tehdä työnsä.

toimenkuvasta riippumatta työllistyminen tietyissä valtion virastoissa edellyttää todennäköisemmin turvallisuusselvitystä. Työllistyminen valtion turvaamassa laitoksessa edellyttää myös turvallisuusselvitystä. Esimerkkejä virastoista, jotka saattavat vaatia korkeampaa tarkastustasoa, ovat:

• Central Intelligence Agency
• Defense Intelligence Agency
• Office of National Security Intelligence
• Drug Enforcement Administration
• Federal Bureau of Investigation
• National Geospatial-Intelligence Agency

jokainen, jolla on pääsy turvallisuusluokiteltuihin tietoihin, tarvitsee vähintään sen tason luvan, jolla heidän käsittelemänsä tiedot on luokiteltu. Tästä syystä turvallisuusselvityksiä tarvitaan monenlaisiin työtehtäviin ylimmästä johdosta talonmiehiin. Tehtäviin, jotka saattavat vaatia turvallisuusselvityksen, kuuluvat sihteerit, turvallisuusviranomaiset, kirjastonhoitajat, järjestelmän ylläpitäjät ja atk-tukihenkilöstö, joilla on pääsy turvaluokiteltuihin asiakirjoihin tai järjestelmiin.

joulukuun 2017 United States Government Accountability Office (GAO) raportoi kongressille, ”lokakuun 1.päivästä 2015, joka on viimeisin päivämäärä, josta tiedot ovat saatavilla, noin 4,2 miljoonaa hallituksen ja urakoitsijan työntekijää, lähes 80 toimeenpanevan haaran virastossa, olivat oikeutettuja pitämään turvallisuusselvityksen.”

turvallisuusselvityksen saamista koskeva prosessi

ennen kuin turvallisuusselvityksen saamista koskeva prosessi voi edes alkaa, on oltava todennettavissa oleva tarve lupaa hakevalle henkilölle pitää sellainen. Vaikka yritykset, joilla on sopimuksia tai avustuksia liittohallituksen kanssa, voivat vaatia työntekijöiltä turvallisuusselvitystä, yksikään yritys, jolla ei ole sopimusta liittohallituksen kanssa, ei voi itsenäisesti hakea turvallisuusselvitystä.

kun virasto tai urakoitsija valitsee palkattavan hakijan, hakija saa työtarjouksen, joka voi riippua turvallisuusselvityksen onnistumisesta. Tarjouksen hyväksymisen ja vaadittujen lomakkeiden täyttämisen jälkeen suoritetaan laaja taustaselvitys.

tarvittavan taustatutkimuksen laajuus riippuu tehtävän vaatimuksista sekä tehtävään tarvittavan turvallisuusselvityksen tasosta. Prosessi voi kestää useita kuukausia tai jopa vuoden riippuen ruuhkasta, lisätietojen tarpeesta, tutkintaprosessin syvyydestä ja muista tekijöistä.

Executive Order 10450-määräyksessä todetaan muun muassa, että ”tutkimuksen laajuus määritetään… sen mukaan, kuinka suuri kielteinen vaikutus haetun viran haltijalla voisi olla kansalliseen turvallisuuteen, mutta joka tapauksessa tutkinta ei saa sisältää muuta kuin kansallisen toimiston tarkastuksen (mukaan lukien liittovaltion poliisin FBI: n sormenjälkitiedostojen tarkistus) ja kirjalliset tiedustelut paikallisille lainvalvontaviranomaisille, entisille työnantajille ja valvojille, viittaukset ja koulut, joissa kyseinen henkilö on käynyt tutkimus.”

turvallisuusluokituksen saamiseksi vaadittava aika kasvaa ja on merkittävä huolenaihe liittovaltion virastoille ja urakoitsijoille. Joissakin tapauksissa, joissa yksityishenkilöt kestäisivät normaalia pidempään tutkittavaksi ovat monet aiemmat residences, ottaa residences ulkomailla, joilla sukulaisia Yhdysvaltojen ulkopuolella, tai merkittäviä siteitä ei-Yhdysvaltain kansalaisia.

Jos vuokraustoimisto pyytää väliaikaista turvallisuusselvitystä, hakijalle voidaan myöntää väliaikainen turvallisuusselvitys muutaman viikon kuluessa täydellisen turvapaketin toimittamisesta. Puolustusvoimien turvallisuuspalvelun (puolustusministeriön alainen virasto)mukaan kaikki selvitetyn urakoitsijan toimittaman henkilöstöturvallisuusselvityksen hakijat katsotaan rutiininomaisesti väliaikaisiksi kelpoisiksi. Väliaikainen kelpoisuus myönnetään vain silloin, kun pääsy turvallisuusluokiteltuihin tietoihin on selvästi sopusoinnussa Yhdysvaltojen kansallisten turvallisuusintressien kanssa. Väliaikainen tukikelpoisuus myönnetään samaan aikaan kuin tutkimuksen vireillepano, ja se on yleensä voimassa, kunnes tutkimus on saatettu päätökseen. Tuolloin hakijan lopullinen kelpoisuus katsotaan.

Jos hakija kokee olevansa vakavasti otettava ehdokas tehtävään, joka vaatii turvallisuusselvityksen, hän voi nopeuttaa prosessia keräämällä asiaankuuluvia tietoja ennen työtarjouksen saamista vuokrausyritykseltä tai toimeksisaajalta. Vuokraustoimisto tai toimeksisaaja voi ohjata hakijan sopiviin lomakkeisiin sen tehtävän edellyttämälle selvitystasolle, jota varten häntä harkitaan.

turvallisuusselvityksen taustatutkinta

keskeinen osa turvallisuusselvityksen saamista on taustatutkinta. Prosessi alkaa siitä, kun hakija rekisteröityy ja täyttää tarvittavat lomakkeet US Office of Personnel Management ’ s (OPM) Electronic questions for Investigations Processing (E-QIP) – hakemuksen verkkosivulla. Prosessin seuraavaan vaiheeseen kuuluu tehtävästä riippuen OPM: n, puolustusministeriön ja kansallisen tiedustelupalvelun johtajan toimiston tai muun tutkintapalvelun tarjoajan (ISP) suorittama tutkinta.

turvallisuusselvityksiä koskeviin hakemuksiin sovelletaan viittä tutkintastandardia. Tietyn ehdokkaan kannalta tarkoituksenmukainen tutkintataso määräytyy sen mukaan, millainen luokitus ja riski liittyy tietoihin, joita hakijan on käsiteltävä. Kunkin tason OPM e-QIP-lomake on rajattu alla olevaan taulukkoon.

Tier 1	Low Risk, Non-Sensitive, including HSPD-12 Credentialing	Form SF85
Tier 2	Moderate Risk Public Trust (MRPT)	Form SF85P
Tier 3	Non-Critical Sensitive National Security	Form SF86
Tier 4	High-Risk Public Trust (HRPT)	Form SF85P
Tier 5	Critical Sensitive and Special Sensitive National Security, including Top Secret, and SCI	Form SF86

arkaluonteisten tai kansallisen turvallisuuden positioiden e-QIP-lomake on Tier 3-ja Tier 5-tutkintastandardien mukainen SF-86. SF85 ja SF85P soveltuvat työskentelyyn valtion virastotehtävissä, jotka vaativat kansalaisten luottamusta kansallisen turvallisuuden sijaan.

OPM: n e-QIP-lomakkeella esitettyihin kysymyksiin annettujen vastausten tarkistamisen lisäksi ja sen jälkeen monet tutkimukset sisältävät haastattelun rutiininomaisena osana tutkintaprosessia. Hakijaa voidaan pyytää vastaamaan täytettyyn lomakkeeseen liittyviin kysymyksiin. Näin tutkija saa selvyyttä lomakkeen puutteellisiin tai epäselviin vastauksiin. Haastattelusta kieltäytyminen voi johtaa siihen, että tutkinta ja siihen liittyvä turvallisuusselvityshakemus perutaan.

näissä lomakkeissa olevien kysymysten lisäksi tutkija voi myös tiedustella hakijan turvallisuusvaatimusten noudattamista, hänen rehellisyyttään ja rehellisyyttään, mahdollista alttiuttaan hyväksikäytölle tai pakottamiselle tai muuta käytöstä, joka voisi mahdollisesti osoittaa, ettei hakija ole luotettava, luotettava tai lojaali Yhdysvaltain hallitukselle.

ulkoministeriön diplomaattinen turvallisuuspalvelu (DSS) tekee henkilöstöturvallisuuden taustatutkimuksia ulkoministeriölle ja muille liittovaltion virastoille. DSS kuvailee taustatutkimusprosessin sisältävän seuraavat vaiheet:

• työnhakija saa ehdollisen työtarjouksen ja täyttää ja toimittaa asianmukaisen lomakkeen – joko kyselylomakkeen kansallisen turvallisuuden virkoihin, kyselylomakkeen Ei-arkaluonteisiin virkoihin tai kyselylomakkeen julkisiin luottamustehtäviin – ja muut vaaditut lomakkeet asianmukaiselle vuokraustoimistolle.
• vuokraustoimisto käy läpi ja toimittaa DSS: lle täytetyn kyselylomakkeen ja muut vaaditut lomakkeet eli niin sanotun turvapaketin.
• DSS käy turvallisuuspaketin läpi ja aloittaa virallisesti taustatutkinnan.
• DSS tekee tallenteita ja sormenjälkitarkistuksia kaupallisiin ja valtion tietokantoihin.
• DSS tarkistaa ja vahvistaa keskeiset tiedot ja tapahtumat ehdokkaan menneisyydestä ja lähihistoriasta. Tähän voi sisältyä ehdokkaan hyvin tuntevien ihmisten haastatteluja. Tutkija voi tehdä hakijan kanssa kasvokkaisen haastattelun osana prosessia.
• kun tutkinta on valmis, DSS ratkaisee ja määrittää ehdokkaan kansallisen turvallisuuden kelpoisuuden Security Executive Agent Directive (SEAD) 4: National Security Adjudicative Guidelines-ohjeistuksen mukaisesti.
• joissakin tapauksissa taustaselvitykset voidaan toimittaa ministeriön henkilöstöresurssien soveltuvuuspaneelille.
• määriteltyään ehdokkaan kansallisen turvallisuuden kelpoisuuden DSS ottaa yhteyttä asianmukaiseen palkkausviranomaiseen.

U. S. Rikoslain (osasto 18, pykälä 1001) mukaan olennaisen seikan tietoinen väärentäminen tai salaaminen on rikos, josta voi seurata sakkoja ja/tai enintään viisi (5) vuotta vankeutta.

lisäksi liittovaltion virastot yleensä antavat potkut, eivät myönnä turvallisuusselvitystä tai hylkäävät henkilöitä, jotka ovat aineellisesti ja tarkoituksellisesti väärentäneet näitä lomakkeita, ja tämä jää osaksi pysyvää rekisteriä tulevia harjoittelupaikkoja varten.

puolustuksen turvallisuuspalvelu antaa seuraavat statukset koko tutkimuksen ajan, jotta ehdokkaat saavat tietää, mitä prosessin aikana tapahtuu:

• vastaanotettu tutkintapalvelun tarjoaja (ISP) on ilmoittanut vastaanottaneensa tutkintapyynnön ja tarkastelee sen hyväksyttävyyttä.
• ISP totesi tutkintapyynnön puutteelliseksi. Tämän jälkeen hakija saa viestin, jossa kerrotaan, miksi pyyntö hylättiin. Jos työntekijä vaatii vielä selvitystä,on aloitettava uusi tutkintapyyntö ja toimitettava korjatut tiedot.
• ISP on todennut tutkintapyynnön hyväksyttäväksi ja tutkinta on parhaillaan käynnissä / avoinna.
• suljettu ISP on saanut tutkinnan päätökseen ja tutkinta on lähetetty tuomittavaksi.

miksi hakijalta voidaan evätä turvallisuusselvitys

on olemassa useita syitä, miksi hakijalta voidaan evätä turvallisuusselvitys. Tutkimuksen ensisijaiset näkökohdat ovat yksilön rehellisyys, suoruus ja perusteellisuus heidän turvallisuusselvityslomakkeensa täyttämisessä.

pyritään kaikin tavoin selvittämään, onko turvallisuusselvityksen myöntäminen tai jatkaminen kansallisen turvallisuuden etujen mukaista. Tutkittavana voi olla monenlaisia tekijöitä.

turvallisuusselvityksen taustatutkimuksen piiriin kuuluvat todennäköisesti seuraavat henkilökohtaiset ominaisuudet, taipumukset ja käyttäytyminen. Kaikki viittaukset siihen, että hakijalla voi olla merkittäviä ongelmia jollakin näistä aloista, nostavat todennäköisesti esiin epäilyksen lisätutkimusten tarpeesta ja mahdollisesta hyväksymisen epäämisestä.

• uskollisuus Yhdysvalloille
• ulkomaisen vaikutusvallan mahdollisuus
• ulkomainen mieltymys
• seksuaalinen käyttäytyminen

henkilökohtainen käytös taloudelliset seikat

• alkoholinkäyttö
• huumeiden käyttö ja päihteiden väärinkäyttö
• tunne-elämän, mielen ja persoonallisuuden häiriöt
• suojatun tiedon käsittely
• ulkopuolella toiminta
• tietotekniikan väärinkäyttö

Maksamattomat laskut sekä rikossyytteet usein hylkäävät hyväksynnän hakijan. Konkurssi arvioidaan kuitenkin tapauskohtaisesti, eikä kyseessä ole automaattinen hylkäys. Huono taloushistoria on hylkäämisen ykkössyy, ja myös ulkomaalaistoiminta ja rikosrekisteri ovat yleisiä Hylkäämisen syitä.

on huomionarvoista, että tutkijat voivat tarkastella julkisesti saatavilla olevia sosiaalisen median tietoja turvallisuusselvityshakemuksen yhteydessä. Security Executive Agent Directive 5, kerääminen, käyttö, ja säilyttäminen julkisesti saatavilla sosiaalisen median tiedot henkilöstön turvallisuuden Tausta tutkimukset ja tuomaritoiminta, kodifioidaan liittovaltion Tausta tutkintaviranomainen sisällyttää julkisesti saatavilla sosiaalisen median tietoja turvallisuusselvitysprosessiin.

näissä ohjeissa tehdään selväksi, että virastot voivat kohdentaa julkisesti saatavilla olevia sosiaalisen median julkaisuja, jos ne katsovat sen tarpeelliseksi, mutta eivät voi pakottaa ihmisiä luovuttamaan salasanojaan yksityistileille tai antamaan salanimiä mille tahansa profiilille.

linjauksessa todetaan, että taustatarkistuksen yhteydessä kerättyjä sosiaalisen median tietoja ei säilytetä, ellei niiden katsota olevan ”relevantteja” kyseisen henkilön turvallisuusaseman kannalta.

resurssit turvallisuusselvityksen saamiseksi

ohjeet ja päivitykset, jotka liittyvät Yhdysvaltain turvallisuusselvityksiin. Ulkoministeriö.

valtioneuvoston verkkopohjainen portaali sähköisten Kyselykaavakkeiden saamiseksi tutkimusten käsittelyä varten (E-QIP).

puolustusministeriön (DoD) henkilöstön turvallisuusohjelman asetus.

vakiolomakkeen opas (SF) 86.

tämän artikkelin tiedot eivät ole oikeudellista neuvontaa, eivätkä ne korvaa tällaista neuvontaa. Osavaltion ja liittovaltion lait muuttuvat usein, ja tämän artikkelin tiedot eivät välttämättä heijasta Oman osavaltion lakeja tai viimeisimpiä muutoksia lakiin.