Liiketoiminta poikkeusoloissa - SecMeter

Yhteiskunnan kriittisen infrastruktuurin toimijoita koskevalla lakisääteisellä varautumisvelvoitteella pyritään varmistamaan liiketoiminnan jatkuvuus kaikissa toimintaolosuhteissa myös sodan aikana. Vaatimuksena on, että yrityksen palvelutuotanto suunnitellaan ja toteutetaan normaalioloissa mahdollisimman vika ja häiriösietoisiksi.

Yrityksen operatiivisten tehtävien hoitaminen ja palveluiden tuottaminen ovat useimmiten kytköksissä kyberympäristön käytettävyyteen, jolloin on otettava huomioon myös kyberympäristöön kohdistuvien häiriötilanteiden vaikutukset yrityksen toimintoihin.

Konkreettisten hallintatoimenpiteiden suunnittelussa on suositeltavaa noudattaa ideaalin hallintatoimenpiteen periaatetta, jossa pääpaino on vika- ja häiriötilanteiden ennaltaehkäisyssä (60 %), ongelmien havainnoinnissa (10 %) ja häiriöistä palautumisessa (30 %). Resilientin yrityksen konkreettiset hallintatoimenpiteet ovat toimintojen jatkuvuus huomioiden riittäviä, mutta ei ylimitoitettuja.

Yrityksen sisäiseen toimintaan vaikuttavat lyhyet palvelukeskeytykset ovat yleensä siedettävämpiä, kuin pitkäkestoiset tai asiakkaille näkyvät palvelukeskeytykset. Yleinen liiketaloudellinen periaate on, että hallintatoimien kustannukset eivät ylitä riskin ottamisesta aiheutuvia kustannuksia.

Hallintatoimia suunniteltaessa on myös vakuutusten osalta huomioitava, ovatko normaalioloissa vakuutuskelpoiset riskit vakuutuskelpoisia myös poikkeusoloissa.

Liiketoiminnan jatkuvuuden uhkakuvat

Poikkeusolojen liiketoiminnan jatkuvuuteen vaikuttavia uhkakuvia ovat mm.

• liiketoimintaympäristön epävakaisuus
  
• taloudelliset pakotteet
  
• kuljetuslogistiikan palveluhäiriöt
  
• kotimaisen ja kansainvälisen maksuliikenteen palvelukeskeytykset
  
• rahoitusjärjestelmän häiriöt
  
• energiahuollon palveluhäiriöt
  
• yhdyskuntatekniikan häiriöt
  
• tietoliikenteen ja tietojärjestelmien palvelukeskeytykset
  
• suuronnettomuudet
  
• epidemiat
• terrorismi sekä järjestäytynyt ja muu vakava rikollisuus.
  

Johtaminen

Yritystä johdetaan poikkeusoloissa normaalin johtosäännön mukaisesti niillä operatiivisilla resursseilla, joita toiminnot käyttävät normaaliajan toiminnassaan. Kaikki muutokset johtosuhteissa ovat omiaan aiheuttamaan epäselvyyksiä päivittäisessä toiminnassa.

Poikkeusolojen liiketoimintasuunnitelma

Poikkeusolojen tietojärjestelmäpalvelutarpeen määrittelemiseksi yrityksen on pohdittava, miten normaaliajan liiketoimintamalli ja palvelutoiminta soveltuvat poikkeusolojen vaativiin ja hankalasti hallittaviin toimintaolosuhteisiin sekä asiakkaiden palvelutarpeisiin.

Toimintaolosuhteiden heiketessä on henkilöresursseja ohjattava yrityksen kriittisiin toimintoihin. Yrityksen sisäinen kehittäminen ja keskeneräiset hankkeet on harkintaa käyttäen jäädytettävä. Tietojärjestelmien kehitystehtävistä yleensä luovutaan ja järjestelmien tilanne jäädytetään sovitulle versiotasolle.

Verkostoituneessa liiketoimintaympäristössä kaikki vaikuttaa kaikkeen, joten tietojärjestelmiin liittyvien palvelusopimusten rooli korostuu. Toimintojen tulee määritellä tietojärjestelmät, jotka on ylläpidettävä. Keskeisiä arviointiperusteita ovat yhteiskunnan ja oman asiakaskunnan tarpeet palvelun jatkuvuudelle.

Mikäli palvelun jatkaminen on poikkeusoloissa liiketaloudellisesti perusteltua, palvelun tuottamiseen liittyvät palvelutasovaatimukset tulee huomioida omatoimisessa varautumisessa ja periytettävä myös keskeisten kumppanien välisiin palvelusopimuksiin.

Palvelusopimuksen mukaisesti yrityksen kumppanien on varauduttava toimittamaan poikkeusoloissa normaalitason palvelua tai asiakkaansa määrittelemää supistettua palvelua.

Poikkeusolojen liiketoimintamalli

Organisaatiorakenteita käsittelevistä tutkimuksista ilmenee, että toimintaympäristön ennustettavuuden vähentyessä joustavat ongelmanratkaisuun kykenevät yritykset menestyvät parhaiten. Operatiivisen liiketoiminnan organisointi ei voi poikkeusoloissa perustua toimipaikan pohjapiirroksiin ja kiinteisiin istumajärjestyksiin. Poikkeusoloissa ei ole aina mahdollista tehdä työtä normaaliajan toimitiloissa, kokoonpanoissa tai normaalien työaikojen puitteissa.

Yleinen turvallisuustilanne, valtakunnalliset tai paikalliset sähkö- ja tietoliikennehäiriöt sekä työntekijöiden välttämättömien päivittäisrutiinien hoitaminen saattavat määritellä milloin työtä on mahdollista tehdä. Tietoyhteiskuntamalli tarjoaa myös poikkeusoloihin uusia konkreettisia joustomahdollisuuksia työnteon tapoihin.

Etäyhteydet

Maantieteellisesti hajautunut organisaatio on resilientimpi kuin maantieteellisesti yhteen toimipaikkaan keskittynyt organisaatio. Mobiililaitteiden hyödyntäminen operatiivisessa toiminnassa on keskeistä liiketoiminnan jatkuvuuden hallinnassa. Mobiililaitteiden avulla on mahdollista vähentää operatiivista riippuvuutta toimitilankiinteistöstä. Mobiililaitteiden avulla työnteko on mahdollista myös muualta kuin toimitilakiinteistöstä.

Hallintatoimenpiteet

Tuotanto ja palvelutoiminta ovat pääsääntöisesti täysin riippuvaisia omien tai kumppanien tietojärjestelmien käytettävyydestä. Tietojärjestelmien tulee sisältää normaaliaikana riittävästi aktiivista redundanssia.

Yrityksen oman käyttöympäristön osalta painopiste on tietojärjestelmäarkkitehtuurissa ja sen toteutuksessa.

Ulkoisen palvelutarjoajan palvelukeskuksen osalta painopiste on kumppanin suorituskyvyn arvioinnissa, juridisissa palvelusopimuksissa ja palvelutasopoikkeamien sanktioinnissa.

Yrityksen on pyrittävä huomioimaan palvelusopimuksissa kumppanille asetettavat poikkeusolojen palveluvelvoitteet. Kyse on omien palveluvelvoitteiden mukaisten vaatimusten periyttämisestä kumppanille. Palveluntarjoajia kilpailutettaessa on poikkeusolojen vaatimukset huomioitava myös tarjouspyyntöasiakirjoissa.

Vaatimuksissa on tapauskohtaisesti syytä huomioida myös Tilaajan oikeus auditoida toimittajan palveluympäristö siltä osin kuin se liittyy yrityksen tilaamien palveluiden jatkuvuuteen. Sovellusten osalta on varmistettava toimittajan kyky ratkaista yritystä kohtaavia vika- ja häiriötilanteita riittävällä tehokkuudella myös poikkeusoloissa.

Henkilöstö

Asevelvollisten henkilöiden osalta yrityksen tulee huolehtia ratkaisevan tärkeiden henkilöiden vapauttamisesta poikkeusolojen aseellisesta palveluksesta (VAP-varaukset).

Kriisiviestintä

Kriisiviestinnän varmistamiseksi on henkilöstölle luovutettuihin mobiililaitteisiin asennettava ennalta toimintaohjeet, joista ilmenee mm. liiketoimintaprosessien vastuuhenkilöt ja heidän varahenkilöt sekä keskeisten kumppanien vastuualueet. Lisäksi mobiililaitteisiin tulee asentaa koko yrityksen puhelinluettelo. Tietoja tulee ylläpitää säännöllisin päivityksin.

Vika- ja häiriösietoisen tietojärjestelmän suunnittelu

Vika- ja häiriösietoisen palvelun tuottaminen kybertoimintaympäristöön edellyttää järjestelmän suunnitteluvaiheessa suoritettavaa normaali- ja poikkeusolojen riskitarkastelua. Riskitarkastelun tavoitteena on

• ennakoida mahdolliset häiriötilanteet
  
• varmistaa ennakolta häiriötön toiminta
  
• varmistaa riittävän nopea toipuminen.
  

Nykyinen kehityssuuntaus korostaa liiketoimintakriittisten järjestelmien toteutuksessa häiriö- ja poikkeusoloja ennakoivien ratkaisujen merkitystä. Lähtökohtana on, että normaali ja poikkeusoloissa palvelut tuotetaan samoilla järjestelmillä.

Kaikissa tilanteissa yrityksen tulee toimia normaalin johtamisjärjestelmän mukaisesti. Tilannekuvatietoisuuden myötä käytännössä hyödyttömistä jatkuvuus- ja toipumissuunnitelmien laatimisvelvoitteista ollaan vähitellen pääsemässä irti.

Yrityksen strateginen ICT-ohjaus, riskienhallinta ja tilannejohtamiskyky eivät ole asianmukaisella tasolla, jos syntyy tilanne, jonka johtaminen ja hoitaminen ei onnistu ilman ennalta laadittua kirjallista jatkuvuus- tai toipumissuunnitelmaa.

Suojakopiointi

Suojakopiointi tarjoaa yritykselle mahdollisuuden nousta "tuhkasta", kun käyttöympäristö varmuuskopioineen on tuhoutunut. Olennaista on, että yrityksen tietovarannoista otetaan säännöllisesti suojakopiot, joita säilytetään turvallisesti toisella paikkakunnalla.

Suojakopiointi voidaan suorittaa esimerkiksi neljä kertaa vuodessa. Jokaista kopiota tulisi säilyttää kahden vuoden ajan siten, että uusi suojakopio vapauttaa aina vanhimman suojakopion.

Vaatimukset

Tietojärjestelmän toteutusta tai hankintaa edeltää vaatimusmäärittely, jossa määritellään tietojärjestelmältä vaadittava toiminnollisuus ja palvelutaso.

Tietojärjestelmään kohdistuvilla liiketoiminnan vaatimuksilla tarkoitetaan sellaista liiketoiminnan laatutasoa, joka tukee parhaalla mahdollisella tavalla tavoitteeksi asetetun taloudellisen tuloksen saavuttamista.

Liiketoiminnan asettamia järjestelmävaatimuksia ovat mm. järjestelmän elinkaarikustannukset, käytettävyyteen, suorituskykyyn ja tietoturvaan liittyvät vaatimukset.

Laillisuusvaatimuksilla tarkoitetaan liiketoimintaan kohdistuvia laatuvaatimuksia, jotka aiheutuvat viranomaisten antamista määräyksistä, laeista tai direktiiveistä.

Tietojärjestelmän häiriösietoisuus

Häiriösietoisuudella tarkoitetaan tietojärjestelmien palvelukykyä niihin mahdollisesti kohdistuvissa moninaisissa tahattomissa ja tahallisissa häiriötilanteissa. Oikein suunniteltu ja toteutettu tietojärjestelmä toipuu kaikissa olosuhteissa vika- ja häiriötilanteista liiketoiminnan edellyttämällä tavalla.

Lähtökohtana on, että liiketoimintakriittisten tietojärjestelmien palvelukyky säilyy toimintojen vaatimusten mukaisena niissä toimintaolosuhteissa, joissa liiketoimintaa on päätetty harjoittaa. Näiden vaatimusten tulee ohjata koko järjestelmäkehitystä.

Liiketoimintaprosessien häiriöttömyys perustuu hyvin määriteltyihin palvelukykyvaatimuksiin. Vaatimuksiin jääneiden virheiden, epätäsmällisyyksien ja muiden puutteiden korjaaminen myöhemmin vaatii runsaasti aikaa ja rahaa. Järjestelmän testaus mukaan lukien hyväksymistestaus tulee perustua konkreettisiin, hyväksyttyihin ja mitattavissa oleviin palvelukykyvaatimuksiin.

Muistilista

• Priorisoi tietojärjestelmät liiketoiminnan asettamien vaatimusten mukaisesti.
  
• Analysoi tietojärjestelmäpalveluiden epäjatkuvuuskohdat ja niiden vaikutukset.
  
• Suunnittele menettelyt epäjatkuvuuskohtien hallintaan.
  
• Sovi tietojärjestelmän koordinointi-, organisointi- ja ylläpitotehtävistä.
  
• Sovi tietojärjestelmän testauksesta.
  

Esimerkkejä epäjatkuvuuksia aiheuttavista tapahtumista

• Laiterikko
  
• Tietojen tuhoutuminen
  
• IT-palvelutoimittajien vaikeudet
  
• Avainhenkilömenetykset
  
• Inhimillinen virhe
  
• Väärinkäytös
  
• Tietoliikennekatkos
  
• Sähkökatkos
  
• Vesivahinko
  
• Palvelusopimusten puutteet
  
• Ulkoisten sidosryhmien palvelutoimintaan liittyvät häiriöt
  
• Kyberhyökkäykset
  

Esimerkkejä epäjatkuvuuskohtien hallintaan

• Varahenkilöjärjestelyt
  
• Vaarallisten tehtäväyhdistelmien välttäminen
  
• Toimintaprosessien kuvaaminen ja dokumentointi
  
• Riskikartoitukset ja auditoinnit
  
• Laitteistojen kahdentaminen, replikoinnit ja klusterointi
  
• Varmuus- ja suojakopiointi
  
• Varmistetut tietoliikenneyhteydet
  
• UPS -laitteistot ja varavoiman järjestäminen
  
• EMP/HPM-suojaus
  
• Kulku- ja käyttöoikeuksien suunnittelu
  
• Yksityiskohtaiset palautussuunnitelmat
  
• Suositaan yleisiä ja laajakäyttöisiä järjestelmäratkaisuja
  
• Suositaan avoimen lähdekoodin järjestelmiä
  
• Varmistetaan osaaminen ja tuki
  
• Räätälöityjen sovellusten osalta tehdään escrow-sopimukset tai lähdekoodit itselle
  
• Dokumentoidaan järjestelmien ja ohjelmistojen keskinäiset riippuvuudet
  
• Yhteistyö verkko-operaattoreiden ja Kyberturvallisuuskeskuksen kanssa.
  

Tietojärjestelmien priorisointi ja luokittelu

Lähtökohtana on, että normaaliaikana käytettävät tietojärjestelmät priorisoidaan liiketoiminnan vaatimusten mukaisesti. Priorisoinnin yhteydessä on huomioitava eri tietojärjestelmien ja sovellusten väliset riippuvuudet.

Priorisoinnin lisäksi tietojärjestelmän luokittelusta aiheutuu vaatimuksia myös palvelutoimittajan valintaan, palvelusopimusten laadulliseen sisältöön ja sisäiseen resursointiin.

Luokat

Välttämätön

Tietojärjestelmä on poikkeusoloissa liiketoiminnalle välttämätön. Tietojärjestelmään liittyvät riippuvuussuhteet on tarkistettava ja huomioitava. Mikäli tietojärjestelmän toimintaan liittyy riippuvuuksia muista tietojärjestelmistä, on myös näiden luokittelu välttämätöntä.

Käyttöä voidaan supistaa

Tietojärjestelmälle annettavaa tukea voidaan poikkeusoloissa vähentää tai osin korvata. Tietojärjestelmän toimintaan liittyvät riippuvuussuhteet on tarkistettava ja huomioitava.

Korvattavissa tai ei käyttötarvetta

Tietojärjestelmälle annettavaa tukea ei poikkeusoloissa tarvita tai palvelu on korvattavissa muilla järjestelyillä. Tietojärjestelmän toimintaan liittyviä riippuvuussuhteita ei tarvitse tarkistaa tai huomioida.

Hajautettu liiketoimintamalli turvaa jatkuvuuden myös poikkeusoloissa

Hajautettua operatiivista suorituskykyä on mahdotonta tuhota yhdellä iskulla. Useimpien organisaatioiden kohdalla operatiivinen liiketoiminta voidaan hajauttaa maantieteellisesti eri paikkoihin. Hajautettu liiketoimintamalli tarjoaa vastauksen vakaviin normaaliajan katastrofien ja poikkeusolojen sekä sodanajan toimintaympäristön palveluhaasteisiin.

Hajautettu liiketoimintamalli perustuu kahteen eri työnteon malliin

• etätyöhön ja
  
• virtuaalityöhön.
  

Operatiivisen liiketoiminnan hajautus on mahdollista tehdä useilla eri tavoilla. Hajautus voi perustua

• yrityksen toiminnan täydelliseen hajauttamiseen tai
  
• yrityksen toiminnan osittaiseen hajauttamiseen.
  

liiketoiminnan hajauttamista harkittaessa on huomioitava, että tieto, osaaminen, infrastruktuurin kypsyystaso ja operatiivisten pienryhmien laatu ovat keskeisiä toimintaan vaikuttavia tekijöitä.

Liiketoiminnan hajauttamiseen liittyvät prosessit

Hajauttamisen organisoinnissa on seuraavat kaksi prosessia:

• Divergoiva eli hajauttava prosessi, jolla operatiivinen toiminta hajautetaan.
  
• Konvergoiva eli yhteen saattava prosessi, jolla hajautettu operatiivinen toiminta puretaan.