Tietohallintojohtaja, YTK
IT-palvelunhallinnan ja IT-projektinhallinnan asiantuntija, GS
Geopoliittinen epävarmuus, kyberuhkien kasvu ja riippuvuutemme digitaalisista palveluista tekevät teknologisesta toimintakyvystä entistä suuremman turvallisuuskysymyksen.
Yritysten riippuvuus teknologiasta kasvaa, eikä kaikki kriittinen teknologia ole enää yrityksen omissa käsissä. Pilvipalveluista, ulkoisista IT-toimittajista, digitaalisista palveluista ja tekoälyratkaisuista on tullut yhä tärkeämpi osa liiketoiminnan kriittisiä toimintoja.
Yritykset ovat usein myös osa toisen yrityksen toimitus- tai palveluketjua. Yhden toimijan toiminnan häiriintyessä vaikutukset ulottuvat nopeasti myös muihin.
Keskustelimme aiheesta YTK:n tietohallintojohtaja Satu Koskisen, joka toimii myös varautumisen, tekoälyn ja kyberturvallisuuden parissa niin Suomen huoltovarmuustyössä kuin Euroopan komission tehtävissäkin, sekä Graniitin IT-palvelunhallinnan ja IT-projektinhallinnan asiantuntijan Kati Ahtiaisen kanssa.
”Yrityksissä tiedetään yleensä, mitkä ovat niitä avainpalveluja, joita asiakkaille toimitetaan. Mutta tiedetäänkö myös, mistä sisäisistä toiminnoista nuo palvelut koostuvat ja mitä IT-järjestelmiä niiden tuottamiseen tarvitaan?” Kati Ahtiainen kysyy.
”Vastaus saattaa tuntua itsestään selvältä, mutta monesti vakavissa häiriötilanteissa huomataan, että taustalla on riippuvuuksia, joita ei ole huomioitu eikä myöskään dokumentoitu. Se voi pitkittää häiriötilanteesta palautumista.”
Kriittisten palveluiden riippuvuudet eivät rajoitu yrityksen omiin järjestelmiin. Myös kumppanit ja toimitusketjut on pystyttävä tunnistamaan.
”Tämä on täysin totta. Yrityksissä tulisi ensiksi olla selkeä listaus järjestelmistä, niiden omistajuuksista ja koko järjestelmäkirjon riippuvuuksista. Tämäkään ei vielä riitä, vaan pitäisi myös ymmärtää, ketkä ovat kriittiset palveluun liittyvät kumppanimme, ja mitä teemme mahdollisissa toimitusketjujen häiriöissä”, Satu Koskinen painottaa.
”Tästä syvemmälle mentäessä jokaisen järjestelmän osalta tulisi löytyä toipumissuunnitelma. Miten koko ympäristö toipuu häiriöstä? Lisäksi jokaisen järjestelmän osalta pitäisi tehdä päätös osana kokonaisuutta siitä, mikä on varmistusratkaisun taso”, Koskinen jatkaa.
”Tämä on täysin liiketoimintapäätös, mutta tämä keskustelu saattaa jäädä yrityksissä joskus IT:n ja liiketoiminnan välillä käymättä.”
Palautumiskyvystä pitäisi pystyä puhumaan myös yrityksen johdossa ja hallituksessa. Lopulta kyse on siitä, kuinka hyvin yritys tuntee oman kykynsä selviytyä vakavasta häiriöstä.
”Kuinkahan monessa yrityksessä hallitus, johtoryhmä tai edes asiantuntijat tietävät, miten nopeasti erilaisista häiriöistä palaudutaan?” Ahtiainen pohtii.
”Kokemukseni mukaan hallituksissa kysytään tämä kysymys liian harvoin, johtoryhmissä tieto voi olla jo paremmalla tasolla, mutta edes asiantuntijatason vastaus ei välttämättä tule kuin apteekin hyllyltä,” Koskinen sanoo.
Koskinen haluaisi nähdä asian nousevan suomalaisissa yrityksissä nykyistä vahvemmin esiin.
”Tämä on asia, johon toivoisin suomalaisissa yrityksissä tulevina vuosina paneuduttavan, sillä palautuminen häiriötilanteista on osa yhteiskuntamme kriisinkestävyyttä!”
Myös muuttuva teknologia- ja toimittajaympäristö tuo varautumiseen oman haasteensa.
”Kun ympäristöihin tulee muutoksia, saattaa kriittisen palvelun toimitusketju jäädä päivittämättä tehdyn muutoksen osalta, joko teknisten yksityiskohtien tai vaikkapa toimittajiin ja yhteystapoihin liittyvien tietojen osalta”, Ahtiainen huomauttaa.
Yrityksen toiminta voi olla täysin riippuvaista palveluista, joiden toimivuutta se ei itse hallitse. Pilvipalvelut, ulkoiset IT-toimittajat, digitaaliset palvelut ja tekoälyratkaisut muodostavat kokonaisuuksia, joiden varaan liiketoiminta rakentuu. Häiriötilanteessa olennaista on tietää, mitkä palvelut ovat toiminnan kannalta kriittisiä, mistä niiden toiminta riippuu ja kuinka nopeasti ne pystytään palauttamaan.
”Monellakaan yrityksellä ei välttämättä ole riittävää osaamista selvittää varautumiseen liittyviä asioita. Se vaatii asiantuntemusta ja aikaakin. Aluksi selvitys voi tuntua melko työläältä, mutta osaavissa käsissä selvitys kyllä syntyy suhteellisen nopeasti”, Koskinen arvioi.
”Mitä nyt tehdään?” ei saisi olla ensimmäinen kysymys, kun kriittinen IT-palvelu kaatuu. Vastauksen pitäisi olla tiedossa jo ennen kuin mikään ehtii mennä pieleen.
Palautumiskyvystä on syytä puhua koko yrityksessä avoimesti ja laajasti. IT:n tulee tietää, miten järjestelmät saadaan palautettua. Mutta yhtä tärkeää on, että liiketoiminta, johtoryhmä ja hallitus ymmärtävät, kuinka nopeasti kriittiset palvelut voidaan palauttaa.
Graniitti Services tekee selvityksiä, joissa arvioidaan yrityksen palautumiskyky IT-häiriötilanteissa, tunnistetaan kehityskohteet ja annetaan konkreettiset suositukset jatkotoimista.
Voit peruuttaa tilauksen milloin tahansa. Tutustu tietosuojaseloste
Onko edessä tai käynnissä hanke tai muutos, johon kaipaat kokeneen asiantuntijan näkemystä? Laita meille viestiä, niin viedään projektisi yhdessä maaliin.
