Case Study: Tietojärjestelmien kriittisyyden arviointi valtioneuvoston kansliassa

Valtioneuvoston kanslian keskeinen rooli yhteiskunnallisessa varautumisessa ja valtion johtamisessa edellyttää varautumiselta laadukkaasti toimivaa kokonaisuutta, joka perustuu parhaisiin mahdollisiin käytänteisiin. Osana jatkuvuudenhallintaa ja siihen kuuluvaa ICT-varautumista valtioneuvoston kanslian valmiusyksikön tehtävänä on koordinoida ja ohjata ministeriön tietojärjestelmien kriittisyyden arviointia tietoturvallisuuden asiantuntijuutta sekä yhteisiä menetelmiä tarjoamalla. Muutokset valmiusyksikön hallinnollisen tietoturvallisuuden asiantuntijaorganisaatiossa ja tietojärjestelmien kriittisyyden arvioinnissa havaitut puutteet edellyttävät prosessin kehittämistarpeen tutkimista. Opinnäytetyöllä vastattiin tutkimustarpeeseen selvittämällä tapaustutkimuksen keinoin tietojärjestelmien kriittisyyden arvioinnin nykytilaa ja vertaamalla sitä jatkuvuuden hallinnan teoreettiseen viitekehykseen. Teoreettinen viitekehys muodostettiin kirjallisuuslähteiden, kansallinen lainsäädännön ja toimintatapoihin ohjaavien standardien sekä ohjeiden perusteella. Työn tavoitteena oli muodostaa käsitys siitä, mitä toimiva tietojärjestelmien kriittisyyden arvioinnin prosessi valtioneuvoston kansliassa edellyttää ja luoda kehittämisehdotuksia sekä -ideoita siitä, miten tietojärjestelmien kriittisyyden arviointia ja siihen liittyviä toimintamalleja voisi valmiusyksikössä kehittää. Kriittisten tietojärjestelmien kuten toimintojen ja prosessienkin määrittely on jatkuvuuden hallinnan perustana osa organisaation sisäisen toimintaympäristön tunnistamista. Ilman tätä vaihetta jatkuvuus- ja varautumissuunnittelua ei voida kohdentaa tärkeisiin toimintoihin eikä häiriötilanteista toipumisen toimenpiteitä ole mahdollista toteuttaa oikeassa järjestyksessä. Opinnäytetyön viitekehys kytkeytyi jatkuvuuden hallinnan lisäksi tietoturvallisuuteen, tietojärjestelmissä käsiteltävän tiedon ollessa yksi organisaation arvokkaimmista pääomista. Tietojärjestelmien kriittisyyden arvioinnin prosessin nykytilaa tutkittiin haastattelemalla valmiusyksikössä työskenteleviä tietoturvallisuuden asiantuntijoita sekä tutustumalla prosessiin liittyvään julkiseen dokumentaatioon. Nykytilan hahmottamista varten menetelmänä käytettiin prosessianalyysia ja kehittämisratkaisuja pyrittiin löytämään teoriaan nojaavalla esikuva-arvioinnilla, joka edellytti kattavaa perehtymistä teoreettiseen viitekehykseen. Tulokset osoittivat, että tietojärjestelmien kriittisyyden arvioinnin sijaan kehittämisessä on ensisijaisesti tarkasteltava jatkuvuuden hallinnan prosessia kokonaisuutena. Kriittisten tietojärjestelmien tunnistaminen perustuukin strategisen tason jatkuvuussuunnitteluun, jonka osana valtioneuvoston kanslian toimintojen ja prosessien kriittisyys tulisi arvioida. Tietojärjestelmien kriittisyyden arvioinnin menetelmissä ja työkaluissa on huomioitava järjestelmien riippuvuussuhteet toimintoihin ja prosesseihin sen sijaan, että tietojärjestelmiä arvioitaisiin niistä erillisinä kokonaisuuksina. Keskeytymisvaikutusten lisäksi yksittäisen järjestelmän kriittisyyden muodostumisessa on huomioitava järjestelmän merkitys strategisten tehtävien kannalta ja järjestelmän sisältämän tiedon arvo.Being prepared requires high-quality measures in the Prime Minister’s Office considering its key role in Finland’s governmental leadership and societal preparedness. Therefore preparedness must be in compliance with the best practices in accordance with continuity management. In the Prime Minister’s Office information and communications technology (ICT) preparedness is managed by the Preparedness Unit. The unit conducts the guidance and coordination of preparedness activities such as contingency and recovery planning by offering shared methods and expertise in the field of information security. As a result of recent changes in the Preparedness Unit’s organizational structure the existing code of conduct for ICT-preparedness has been reviewed critically. The review highlights some shortcomings in the process of criticality evaluation of the information systems. The purpose of this Bachelor’s Thesis was to research how the criticality evaluation process is carried out and how it should be carried out in the Prime Minister’s Office. The thesis approach is a Case Study where the process is compared with the theoretical framework. The framework focuses on literature, legislation, guidelines and standards. The objective was to construct an understanding of the implementation of a successful evaluation process and what is required of the Prime Minister’s Office to implement one successfully. A suggestion of what areas and actions in the process should be developed by the Preparedness Unit was also drawn up. The theoretical framework consists of theory on information security and continuity management. Information systems process information, which is one of the organization’s most important assets. That makes critical information systems a prerequisite for an organization to function. The case process at the Prime Minister’s Office was researched by interviewing specialists and analyzing the process-related documentation. The data gathered with these methods was blueprinted in a process map to determine individual steps, activities and roles in the criticality evaluation of information systems. The blueprinted process was compared against case studies accessible in theory to draw up development solutions. The conducted study revealed that the organization’s continuity management should be viewed at a strategic level before developing the case process. Defining organizational roles, responsibilities, priorities and objectives of the criticality evaluation is important for implementing a successful process. The instruments and methods used in the evaluation should meet the needs of preparedness operations in the Prime Minister’s Office. It is crucial to consider information system dependencies on functions and processes instead of evaluating information systems as independent entities