Saatavana elektronisessa muodossa - Tietojenkäsittelytieteiden ...

81Tietoturvallisuussuunnittelussa on tärkeää tarkastella rinnakkainnykytilannetta ja tietojen auditoinnin sekä riskianalyysin tuloksia, jotta saadaanaikaan juuri kyseiseen organisaatioon ja tilanteeseen soveltuvat käytännöt.Riskilistojen hyödyntäminen tässä prosessin vaiheessa jäi toteutuksessanipinnalliseksi ja kuten aiemmin mainitsin, riskilista ylipäätään jäi hiemanirralliseksi dokumentiksi prosessissa. Olenkin korjannut toimintamallia tämänkokemuksen perusteella. Riskilistan merkityksestä kannattaa keskustella josiinä vaiheessa, kun listaa lähdetään laatimaan ja avainriskejä tulisi analysoidatarkemmin organisaation näkökulmasta. Myös avainriskeistä tiedottamallavoidaan saada lisättyä riskitietoisuutta organisaatiossa.Tietoturvallisuussuunnitelmasta ja tietoturvapolitiikasta muodostuipilottikunnassa tärkeät jatkokehittämistä ohjaavat dokumentit. Ne ovatkonkreettisimmat tulokset koko prosessista ja pilottikunnassa ne otettiinvastaan suurella innostuksella. Toisinaan kehittämisprojektin aikana tehtävävaativa työ voi olla turhauttavaa, kun rutiinityöt kärsivät, mutta lopuksi käsilläolevat konkreettiset tulokset palkitsevat tekijänsä.6.3. Mallin pilottikokeilu ja yleistettävyysMallia pilotoitiin pienessä kuntaorganisaatiossa. Samankaltaisia kuntia kuintässä tutkimuksessa on ollut mukana, on Suomessa useita. Toisaalta mikätahansa kaupunki tai kunta on melko samanlainen rakenteeltaan kuinpilottikunta: monialainen, lakisääteisiä palveluja kaikille kohderyhmilletarjoava julkishallinnon organisaatio. Malli on pyritty kehittämään niinyleiseksi, että sitä voidaan käyttää isompaan joukkoon samankaltaisiatapauksia; tapaus siis voi tässä yhteydessä olla mikä tahansa suomalainenkuntaorganisaatio.Organisaatiokohtaiset piirteet tietoturvallisuuden hallinnan kehittämisessätulevat esiin projektin suunnittelussa, ympäristön analyysivaiheessa sekänykytilan kuvaamisessa ja tietoturvatoiminnan suunnittelussa. Itsetoimintamalli voi olla sama, oli kyseessä minkälainen organisaatio tahansa.Olen aikeissa kehittää mallista markkinoitavan tuotteen. Mallin esittelytällaisenaan ei ole markkinoinnillisesti hyvä tuote, koska sen sisältöönperehtyminen ei onnistu kuvaa silmäilemällä, vaan vaatii perehtymistä jonkinverran. Tarkoituksena onkin laatia mallista erilaisia versioita ja lähteämarkkinoimaan organisaatioille esimerkiksi yhtä osakokonaisuutta kerrallaan.Tämä vaatii vielä tuotteistamista jonkin verran. Joka tapauksessa kukin