Saatavana elektronisessa muodossa - Tietojenkäsittelytieteiden ...

66muutama avainhenkilö esimerkiksi tietohallinnosta. Projektiin on hyvä ottaaulkopuolinen tietoturva-asiantuntija johtamaan prosessia, jotta organisaationrutiinityöt eivät liiaksi hidastaisi kartoituksen rutiineja ja jotta projetktissa olisiriittävä tietoturvallisuuden asiantuntemus. Ulkopuolinen henkilö allekirjoittaasalassapitosopimuksen asiakkaan kanssa. Kohdeorganisaatiosta valitaanmukaan prosessia johtamaan henkilö, jolla on organisaation laaja-alainentuntemus sekä tietoa ja kiinnostusta tietoturva-asioista. Näin turvataanprojektille tarvittava kohdealueen tuntemus sekä motivaatio.Prosessissa on oltava mukana organisaation eri palvelujen asiantuntijat,jotta saadaan kartoitettua eri toimintoihin liittyvät tietojenkäsittelyprosessit jatietoresurssit mahdollisimman tarkasti. Toisaalta laaja-alainen osallistujajoukkoon myös tietoturva-asioiden markkinoinnin kannalta tärkeää; jokaisenosallistujan tietoisuus tietoturvallisuuden merkityksestä lisääntyy jo prosessinmyötä ja he ovat jatkossa suurena apuna tietoturvallisuusasioidenmarkkinoinnissa organisaatiossa.Projektille määritellään henkilöresurssien lisäksi aikataulu. Todellisuudessaorganisaation aikaa projektiin ei kulu paljoa, mikäli projektia johtaa ja toteuttaaulkopuolinen henkilö. Haastatteluihin sekä vaatimusten keräämiseen kuluueniten projektia johtavan henkilön aikaa. Kuluvan ajan määrä riippuu paljoltisiitä, minkälaisia lähtötietoja on käytettävissä ja kuinka suuri kohdealue onarvioitavana.Kohdealue kannattaa rajata hyvin, jotta projekti pysyy hallinnassa ja tuleetoteutettua laadukkaasti. Lähtötiedot, eli organisaatiossa aiemmin laaditut,prosessia tukevat asiakirjat, puolestaan helpottavat nykytilanteenanalyysivaihetta sekä kehittämissuunnitelman laatimista, kun kaikkia tietoja eitarvitse kerätä haastatteluin tai auditoinnen organisaationtoimintaympäristöstä. Hyödyllisiä asiakirjoja ovat mm.o arkistonmuodostussuunnitelmao arkistointiohjeo tietoturvaohjeistoto tietojärjestelmädokumentaatioto tietoliikennedokumentaatioto käyttäjänhallinnan dokumentaatioto tietoriskien analyysito tehtäväkuvaukseto toipumissuunnitelmao prosessikaavioto muut ohjeet ja dokumentit, joissa viitataan johonkintietoturvallisuuden osa-alueeseen.