Saatavana elektronisessa muodossa - Tietojenkäsittelytieteiden ...

53Alkuvaiheessa rahoitusta tarvitaan, mikäli käytetään ulkopuolistaasiantuntijaa.Aloituskokoukseen valmistauduin pääauditoijan ominaisuudessatutkimalla tietoturvallisuuden hallinnan menetelmiä ja näistä erityisestialkuvaiheen toimenpiteitä (Peltier ym.). Aloituskokouksessa käytiin läpilyhyesti tietoturvallisuuden osa-alueet, jotta asiakas ymmärtää, mitä kaikkeatietoturvallisuuden hallinnassa on otettava huomioon. Tutustuinasiakasorganisaation hallintorakenteeseen ja fyysiseen toimipisteidensijoitteluun ennalta, jotta voisin suunnitella projektin ositusta. Haarmanen[1998] toteaa, että on järkevää toteuttaa auditointi hallintokunnittain taijärjestelmäkokonaisuuksien mukaisesti. Omien näkemysteni jaasiakaspalautteen perusteella rajattiin projektin kohdealue osa-alueiksi.Aloituskokouksessa myös nimettiin työryhmiin henkilöt sekä laadittiinprojektille aikataulu.Haarmasen [1998] mukaan turvallisuusanalyysi alkaa osanottajieninformoinnilla tietoturvallisuudesta ja analyysista. Tiedon auditoinnin hybridilähestymistapaesittää ensimmäisenä vaiheena auditointiprosessinmarkkinoinnin (ks. taulukko 6). Projektiin nimetyt henkilöt kutsuttiinaloitusluennolle, joka pidettiin maaliskuussa. Luennolle valmistelintietoturvallisuutta käsittelevän perusaineiston (liite 1) sekä kävin läpisuunnitellun prosessin. Kaksituntiselle luennolle osallistui 12 henkilöäkohdeorganisaatiosta sekä muutaman muun kunnan tietohallinnonhenkilöstöä. Kaikki työryhmiin nimetyt henkilöt eivät päässeet luennolle, mikähieman hankaloitti työryhmätyöskentelyn aloittamista. Työryhmätyöskentelyedellytti tietoturvallisuuden perusasioiden ja kartoituksen ideanymmärtämistä, mitä tietoisuutta pyrittiin edistämään toteuttamalla em.luentojakso. Toisaalta luennon tarkoituksena oli myös toimia markkinointi- jatiedotuskanavana. Olisi tarkoituksenmukaista ottaa aloitukseen mukaan myöskunnan johto, jotta johdon sitoutuminen projektiin varmistettaisiin edesjollakin tasolla heti alkuvaiheessa.Yhdeksi resurssiksi olen prosessin pilottitoteutuksen jo päätyttyä lisännytlähtötietoresurssit. Lähtötietoresurssit ovat niitä tietoja, joiden perusteellavoidaan arvioida tietoturvallisuuden tasoa ja joita voidaan käyttääpohjadokumentteina projektidokumentaatiota tehtäessä. Lähtötietoresurssejaovat esimerkiksi arkistonmuodostussuunnitelma, arkistointiohje,tietojärjestelmädokumentaatiot, prosessikaaviot jne. Tässä vaiheessa on syytätehdä myös tietoturvallisuuden osa-alueiden katselmointi osaksilähtötietoresursseja: organisaation edustajan kanssa käydään läpi, mitätietoturvallisuuden osa-alueita on syytä auditoida ja mitä ei. Esimerkiksi tässä