ICT-varautumisesta osa ydintoimintaa Espoossa

Espoon kaupunki on ollut mukana tekemässä vuoden alussa käynnistynyttä Kuntien ICT-varautumisen esiselvitystä (KVARE). Projektin aikana Espoon ICT- varautumisen nykytila on selkiytynyt, ongelmakohdat on hahmotettu ja koko varautumistoiminta on saanut lisää potkua. Tavoitteena on saada riskienhallinta kokonaisvaltaiseksi osaksi normaalia arkea. Kokonaisselvitys kuntien varautumisesta valmistuu lokakuussa.

Espoossa on hankintapalveluiden kanssa käyty läpi varautumista hankinnoissa. Tavoite on, että toimialat luokittelevat kaikki palvelut, ei pelkästään ICT-hankinnat, jo tarjouspyyntövaiheessa kriittisiin, tärkeisiin tai peruspalveluihin.

- Jo tarjouspyynnöissä huomioidaan tarvittavat kohdat esimerkiksi SOPIVA-suosituksista huoltovarmuudesta sekä varautumisesta ja ne liitetään uusiin sopimuksiin. Tämä selkiyttää merkittävästi varautumista hankinnoissa ja tuo siihen hallittavuutta, kertoo Juha Kalander, Espoon kaupungin tietoturvapäällikkö.

Riskienhallinta osaksi arkea
Esiselvityksessä toteutetuissa työpajoissa oli mukana myös Espoon toimialojen kehitysvastaavat.

- Toimialavastaavien mukana olo lisäsi tietoisuutta ja ymmärrystä ICT-varautumisen merkityksestä. Tämä on tärkeää, sillä riskienhallinta on toimialajohdon vastuulla ja sen johtaminen pitää saada osaksi arkea, Kalander painottaa.

- Riskienhallintaa on lähestyttävä kokonaisvaltaisesti siten, että ICT-varautuminen on osa kokonaisuutta. ICT-varautuminen pitäisi suunnitella riittävän ajoissa, yhtä aikaa itse palvelun suunnittelun kanssa. Valitettavan usein ensin luodaan palvelu ja sen jälkeen todetaan että pitäisi miettiä myös riskit ja tietoturva sekä varautua niihin.

Espoon tietoturvaryhmä on huomioinut ICT-varautumisen käymällä läpi toipumis- ja valmiussuunnitelmia.

- Havaitsimme, että palvelut on kuvattu suhteellisen hyvin toimialoittain. Sen sijaan ICT-riippuvuuksien kuvaamisissa oli puutteita. Esimerkiksi opetustoimi ei tällä hetkellä ole kovin ICT-riippuvainen, on riippuvuudet mietittävä jo nyt, sillä tavoitteena on kehittää voimakkaasti verkko-oppimista, Kalander selvittää.

Talous ja terveydenhuolto kriittistä
Yhteiskunnan elintärkeiden toimintojen turvaamisen strategian (YETTS) näkökulmasta kuntien ICT-varautuminen on nähtävä osana kunnan ydintoimintaa.

Kuntien vastuulla on väestön toimeentuloturva ja toimintakyky, henkinen kriisinsietokyky ja talouden ja infrastruktuurin toiminta. Valtio vastaa johtamisesta, turvallisuudesta, sotilaallisesta puolustuksesta sekä kansainvälisestä toiminnasta.

- Kuntien on hoidettava lakisääteiset toiminnat. Tärkeimmät näistä liittyvät talouteen ja terveydenhuoltoon. Miten esimerkiksi hoidetaan lakisääteisten etuuksien maksu, jos käteismaksu ei ole vaihtoehto ja ICT ei toimi?

Nykytila kohtalainen
Espoossa ICT-toiminnot on ulkoistettu pitkälti järjestelmäkumppanille. Tietotekninen valmius on suhteellisen hyvä. Laitteet ja järjestelmät ovat kunnossa.

- Esiselvityksen työpajojen perusteella voi sanoa, että isoimmissa kaupungeissa näyttää ICT-varautuminen olevan kohtalaista, vaikka toimintoja on ulkoistettu. Silti käytössä voi olla ikivanhoja järjestelmiä, joiden päivitys voi olla kyseenalaista. Tai järjestelmät eivät keskustele keskenään. Pienemmissä kunnissa mennään osin riskillä. On vanhoja järjestelmiä tai toiminta on yhden henkilön varassa, mutta eivät isotkaan organisaatiot tässä puhtaita papereita saa. Haastavia ovat erityisesti tietoliikenneyhteydet. On varauduttava myös siihen, mitä tehdään, jos yhteydet katkeavat kunnallisella tasolla, Kalander kertoo.

Ulkoistettaessa ICT-tukihenkilö on usein kauempana. Osaamiseen ei välttämättä päästä käsiksi ja koko toiminnan hallinta rapautuu. Verkostonhallinta nousee kriittiseksi samoin kuin se, että on omaa ICT-osaamista riittävästi.

ICT-varautumisen johtamisessa, prosesseissa, osaamisessa ja seurannassa on esiselvityksen mukaan paljon kehitettävää. ICT-varautumisen merkitystä ei ymmärretä riittävästi ja toimialoittain sekä kunnittain toimitaan siiloissa.

- Espoossa tilanne on osin aika hyvä. Toimialojen yhteistyötä on lisätty, erityisesti ICT-palveluissa. Silti toimialat toimivat hyvin itsenäisesti, eivätkä helposti hyödynnä toisten tekemisiä tai osaamista. Tähän osaltaan vaikuttaa aika- ja resurssipula. Työpajojen perusteella oli selkeästi havaittavissa vastuuhenkilön kiinnostuksen merkitys. Jos asiat kiinnostavat, ne laitetaan myös kuntoon. Valitettavasti kokonaisuus ja johtaminen hajoavat, jos kaikki tekevät omiaan.

Pikavoitoista toimintamalleihin
Espoo on aloittamassa yhteistyötä ulkoistuskumppanin kanssa ICT-varautumiseen liittyen. Tavoitteena on lisätä myös johdon tietämystä ja ymmärrystä.

- Järjestämme tietohallintojohtajille ja toimialojen kehityksestä vastaaville Kuntien ICT-valmistautuminen -raportin esittelyn. Selvittämme vastaavatko heidän näkemyksensä raportin näkemystä sekä mietimme löytyykö valtion varautumisvaatimuksista kaikille Espoon toimialoille yhteinen taso, Juha Kalander sanoo.

- Varautumisen johtamisesta on saatavilla pikavoittoja. Tämä edellyttää ICT-varautumisen kirjaamista selkeästi ohjesääntöihin ja toimenkuviin sekä jatkuvaa seurantaa.

ICT-puolen erilliset toipumissuunnitelmat yhdistetään osaksi kokonaisvaltaisia valmiussuunnitelmia.

- Aloitamme syksyn aikana valmiussuunnitelmien päivittämisen. Toiminnot on käytävä läpi kokonaisvaltaisesti, ei pelkästään ICT-toimintoja.

Keppiä vai porkkanaa?
ICT-varautuminen on kiinteä osa talouden ja toiminnan suunnittelua sekä tulosohjausprosessia.

- Tämä edellyttää kehityskohteisiin yhtenäisiä JHS-tyyppisiä toimintamalleja ja työkaluja. Esimerkiksi excel-pohjainen varautumistasojen luokittelu konkreettisine vaatimuksineen voisi toimia hyvänä tukena käytännön työssä. Lisäksi tarvitaan johdolta mandaatti kehittämistoimenpiteisiin.

Valtakunnallisella tasolla toimintamalleihin samoin kuin ohjaus- ja organisaatiomalliin haetaan ratkaisua mahdollisessa jatkohankkeessa. Käytetäänkö keppiä vaiko porkkanaa, jää nähtäväksi.

- Kuntien ohjaustapa herättää kentällä ristiriitaisia näkemyksiä. Toki yhteiset toimintatavat ja –mallit helpottavat niin kuntien kuin yhteistyökumppanien elämää, Kalander lopettaa.

*** 

Kuntien ICT-varautumisen esitutkimuksen toteuttamiseen osallistuvat Espoo, Jyväskylä, Kerava (Kuuma-kunnat), Pori ja Turun kaupungit sekä Pohjois-Karjalan Tietototekniikkakeskus Oy ja Kuntaliitto. Esitutkimus on toteutettu työpajoina sekä Kuntaliiton lähettämänä verkkokyselynä.

Tavoitteena 

• selvittää toimenpiteet, joilla kunnat varmistavat kustannustehokkaat ja koordinoidut ICT-toiminnot paitsi normaalioloissa myös yhteiskunnan elintärkeiden toimintojen häiriöissä (YETTS) tai muissa poikkeustilanteissa
• tunnistaa kuntien ICT-toiminnan kriittisimmät kohteet ja niitä tukevien järjestelmien nykytila, kehitystarpeet ja toteutusmallit
• selvittää kuntakentän ja valtionhallinnon ICT-palvelujen keskinäiset riippuvuudet

Selvitysten pohjalta tehdään esitys varautumisen perusvaatimuksista ja toimenpiteistä. Työn taustana huomioidaan valtionhallinnon ICT-varautumisen vaatimukset ja kehittämis-ehdotukset. Esiselvitys julkaistaan lokakuussa KuntaIT:n www-sivuilla ja mahdollisesti paperina VM:n työryhmämuistiona.