Kuntaliiton lausunto Tiedonhallintalautakunnan suosituksesta varautuminen tiedonhallinnan häiriötilanteisiin

Kommentit suosituksen lukuun 3: Jatkuvuuden hallintaan ja varautumista ohjaava sääntely

Tuntuisi toimivammalta lähestymistavalta kuvata asia yleisestä yksityiseen. Eli käsiteltäisiin ensin valmiuslaki ja varautumisen yleinen sääntely, ja vasta sen jälkeen tiedonhallintalaki ja sen suhde yleisiin säädöksiin. Samoin olisi hyvä käsitellä yleisiä varautumisen suosituksia ennen tiedonhallinnan varautumisen suosituksia. Siten tiedonhallinnan näkökulman saisi hieman paremmin sovitettua osaksi laajempaa kansallisen, alueellisen ja organisaatiotason varautumisen kokonaisuutta.

Samalla kannattaisi tunnistaa julkishallintoa, mukaan lukien hyvinvointialueita ja kuntakenttää, koskevat tuoreet, yleiset varautumisen ja jatkuvuudenhallinnan suositukset sekä nivoa ne tarkoituksenmukaisella tavalla osaksi tätä suositusta. Esimerkiksi Pelastusopistolta, Sosiaali- ja terveysministeriöltä, Huoltovarmuuskeskukselta ja Kuntaliitolta voi löytyä näitä suosituksia. 

Sivun 13 kuvaaja: Myös NIS2 sääntelystä tulee vaatimuksia prosesseille.

Kommentit suosituksen lukuun 4: Jatkuvuuden hallintamalli

Jatkuvuuden hallintamalli on hyvä työkalu organisaatiotason jatkuvuuden hallintaan. Sitä käsiteltäessä tulisi selkeämmin erottaa, milloin puhutaan organisaatiotason jatkuvuudenhallinnan mallista ja milloin tiedonhallinnan jatkuvuuden hallintamallista. Ilmeisesti kuitenkin pääasiallisena kontekstina dokumentissa on organisaation jatkuvuuden hallintamalli, johon tiedonhallinnan osa-alue nivoutuu. Suuri osa kuntatoimijoista on siinä kokoluokassa, että niissä tuskin lähdettäisiin tekemään erillistä tietohallinnon jatkuvuussuunnitelmaa vaan asia jäsentyisi osaksi organisaatiotason suunnitelmaa. 

Sivulla 41 on virke: ”Viranomaisen on myös varmistettava, että palveluntarjoajan palvelussa olevat tiedot tuhotaan häiriön sitä edellyttäessä.” Vaatimusta tulisi avata tarkemmin ja täydentää käytännön esimerkein: Missä tilanteissa tällainen vaatimus voi tulla eteen normaali- ja poikkeusoloissa.  

Kommentit suosituksen lukuun 5: Toimintaympäristön hallinta

Sivulla 54, 3 kappaleessa käsitellään siiloutunutta viranomaisohjausta ja osoitetaan jokaiselle tiedonhallintayksikölle vastuu koettaa ymmärtää heikosti koordinoitua ohjausta. Tämä toimintamalli on hallinnollisesti raskas ja epätarkoituksenmukainen. Tällä suosituksella asiaa ei korjata, mutta ministeriötasolla tulisi löytää keinot sektoriministeriöiden ohjauksen yhteensovittamiseksi ja koordinoimiseksi sekä yhtenäisen informaatio-ohjauksen ylläpitämiseksi sääntelyn kohteena oleville viranomaisille. Neuvontaakin tarvitaan. 

Sivulla 57 taulukossa 8 tuotantomallina tulisi huomioida palvelun tuottaminen yhteistyössä useampien viranomaisten kesken (esimerkkinä vastuukuntamalli) sekä palvelun tuottaminen tukeutuen omaan sidosyksikköön. 

Kommentit suosituksen lukuun 6: Johtaminen

Jatkuvuudenhallinnan linjaukset kannattaisi toteuttaa osana valmiussuunnitelman laatimista, koska se yksinkertaistaisi työprosessia. 

Kommentit suosituksen lukuun 7: Jatkuvuuden hallintatoimenpiteet

Sivuilla 68-69 mainitut riskit ovat pääosin tyypillisiä kyberturvallisuusuhkia. Kuitenkin tiedonhallintaa voivat uhata samanlaiset riskit kuin organisaatiotason jatkuvuutta: henkilöstö, teknologiat, työtilat tai palveluntoimittajat eivät ole käytettävissä tai niiden saatavuus häiriintyy. Tiedonhallinnan osa-aluetta tuleekin käsitellä tiiviisti osana organisaation kokonaisvarautumista. 

Kohdan 7.1.1 toisen kappaleen listausta voisi täydentää näillä tekijöillä: inhimillinen tahallinen toiminta (kuten rikollisuus) ja onnettomuudet. Esim. tulipalo tai tulva voi vaarantaa laitetilat tai tietoliikenneyhteydet. 

Sivuilla 76-77 on käsitelty tehtävien priorisointia. Voisiko prioriteettiasteikot yhdistää siten, että kaikissa sama prioriteettinumero tarkoittaisi samaa asiaa. Eli numerointi olisi I-IV (kuten paikallistason numerointi), jonka lisäksi ”YTS:ssä tunnistetut tehtävät” olisi luokka ”B” ja ”Valmiuslain tehtävät” ”A”.

Sivulla 93 on nostettu esiin JIT-ehdot. Voisiko niiden sisältöä suhteessa varautumisen vaatimuksiin käsitellä laajemmin. Olisiko myös hyödyllistä tuoda JIT-ehtoihin mukaan aiempaa kattavammin kyber- ja tietoturvaan sekä tiedonhallinnan varautumiseen ja jatkuvuudenhallintaan liittyviä ehtoja.

Sivulta 96 eteenpäin on käsitelty häiriötilanteiden hallintaa, joka on osa poikkeamienhallintaa. Poikkeamienhallintaprosessi voisikin näkyä hieman selkeämmin kuvauksessa. 

Häiriötilanteita voi jaotella karkeasti normaalien toimintaprosessien mukaan käsiteltäviin ja toisaalta laaja-alaisiin (tai vakaviin tai merkittäviin tai suuriin) häiriöihin. Jos kyseessä on jälkimmäiseen luokkaan kuuluva häiriö, organisaatiossa käynnistetään tyypillisesti sen hallintaan liittyvä prosessi, jota nimitetään esimerkiksi MIM-prosessiksi (Major Incident Management). Työryhmän kannattaisi vielä tutustua MIM-prosessin kuvauksiin ja tuoda siihen liittyviä sisältöjä osaksi sivujen 98-99 kuvauksia. Olisi hyvä saada selkeämmin esiin ainakin päätöksenteko ja tilannekuvan ylläpitäminen. MIM-prosessiin osallistetaan ylin johto, viestintä ja mahdollisesti erinäisiä viranomais- ja palveluntoimittajatahoja. MIM-prosessille on myös tyypillistä, että sitä täytyy ylläpitää pidemmän ajan. Samalla otetaan usein käyttöön tavallisesta poikkeava tilannejohtokokonaisuus (ml. tilat, välineet, yhteydet).

Kommentit suosituksen lukuun 8: Seuranta, arviointi ja kehittäminen

Liittyykö suurhäiriöiden hallinnan arviointiin erillisiä mittareita kuten johdon ja viestinnän osallistuminen harjoituksiin, laaja-alaisten häiriöskenaarioiden ja kriisiviestinnän harjoittelu yhdessä sidosryhmien kanssa, varallaolojärjestelyiden ja varahenkilövastuiden sekä yhteystietolistojen ajantasaisuus, suurhäiriön johtamistilojen, välineiden ja yhteyksien käyttöönottotestit. 

Muita kommentteja / kehittämisehdotuksia

Suositus on sisällöltään laaja ja kunnianhimoinen. Tiedonhallinta on yksi, sinänsä merkittävä, osa-alue julkisen hallinnon varautumisessa ja jatkuvuudenhallinnassa. Loogisesti tuntuisi selkeämmältä, että julkisen hallinnon yleisestä varautumisesta ja jatkuvuudenhallinnasta olisi tehty tämän tasoinen runkosuositus, johon pienimuotoisemmat toiminto- ja toimialakohtaiset suositukset liitettäisiin. Sellaista ei kuitenkaan taida yksiselitteisesti löytyä, mikä osaltaan perustelee tämän ohjeen sangen laaja-alaista näkökulmaa. 

Kunnassa, kuntayhtymässä tai muussa kuntataustaisessa toimijassa vastuu varautumisen ja jatkuvuudenhallinnan kokonaisuudesta on tyypillisesti riskienhallinta- tai turvallisuus- ja valmiustoiminnoissa, ei tietohallinnossa. Harvalla kunnalla on tarvetta (tai kykyä) käsitellä tiedonhallinnan varautumista ja jatkuvuudenhallintaa tietohallintolähtöisenä laaja-alaisena prosessina, johon liittyisi näin laaja tietohallintotason jatkuvuudenhallintasuunnitelma. Varautumiseen ja jatkuvuudenhallintaan liittyvät toimiala- ja toimintotasoiset toimet tehdäänkin kuntatoimijoissa tyypillisesti enemmän tai vähemmän saumattomasti osana kunnan kokonaistason varautumista. 

Merkittävä osa kuntatoimijoista ja niiden digipalveluista järjestetään palvelumallilla. Varautumisen ja jatkuvuudenhallinnan vaatimusten toteutuminen käytännön tasolla riippuukin merkittävästi siitä, mitä kunta on sopinut palveluntoimittajan kanssa sopimuksessa ja miten sen toteutumista ja vaatimustasoa seurataan ja testataan yhteistyön aikana - myös alihankintaketju huomioiden. Toki kunnan tulee varautua kriittisten palveluiden saatavuushäiriöihin mm. testein, harjoituksin ja vara- / vaihtoehtojärjestelyin. 

Tuntien keskisuurten ja pienten kuntien resurssit ja toimintatavat, saattaa olla, että niiden tietohallintoasiantuntijat eivät hyödyntäisi tätä suositusta kovin laajasti. Kuntien tietohallinnoissa olisi käyttöä ytimekkäille ja havainnollisille käytännön tukiaineistoille ja työkaluille kuten valmiiksi pidemmälle pureksituille uhka- ja riskiarvioille sekä yksinkertaistetuille muutaman sivun ohjeille (kattavin esimerkein), mallipohjille ja tarkistuslistoille. 

Tämä suositus tukee oletettavasti parhaiten varautumisen ja jatkuvuudenhallinnan syväasiantuntijoita sekä suurimpien toimijoiden tietohallintojen varautumisesta vastaavia asiantuntijoita. Huomioiden edellä tunnistetut mahdolliset puutteet kansallisissa varautumisen yleisohjeissa, tämä dokumentti voi osaltaan täyttää kyseisiä tarpeita merkittävällä tavalla. 

On tärkeää, että tämäntyyppisissä suosituksissa tunnistetaan tietoturvan, kyberturvan, tietosuojan ja tiedonhallinnan yhteydet ja käsitellään niitä saumatta yhdessä. Tässä ohjeessa näitä elementtejä löytyy. 

Kuntaliitto kiittää mahdollisuudesta lausua tästä suosituksesta. Suositus on omissa raameissaan laadukas ja kattava. Kansallisten, lainsäädännön jalkautusta ja tulkintaa tukevien ohjeiden ylläpito on tärkeää sekä yksittäisille tiedonhallintayksiköille että sidosryhmien välisen yhteistyön ja yhteisymmärryksen kehittämiseksi. Tiedonhallintalautakunnan osallistava toimintamalli suositusten laatimisessa on kiitettävä. 

Annamme mieluusti lisätietoja lausunnostamme. 

SUOMEN KUNTALIITTO

Markus Pauni                                  
strategia- ja kehitysjohtaja

Martti Setälä
erityisasiantuntija