Mielenrauha
Yksi ajantasainen lista ja raportti sen sijaan, että etsitte tietoa kopeloiden.
Rooli, jota kansainvälisesti kutsutaan osa-aikaiseksi CIO:ksi (”fractional CIO”), yhdellä erolla: en ota IT-osastoa tai sen budjettia hoitooni. Käännän johdon tavoitteet vaatimuksiksi, arvioin IT:n suosituksia ja edustan tilaajan etua suhteessa toimittajiin.
Kysymykset, joihin kannattaa tietää vastaus.
Jos vastaus johonkin niistä on ”emme tiedä”, juuri tässä voin auttaa. Esitän kysymykset johtokunnille, kunnanjohtajille, starostoille (piirin johtajille) ja toimitusjohtajille ennen kuin päätökset tehdään ja raha alkaa virrata.
- Kuka organisaatiossa näkee tänään kaikki hankkeet, riskit ja määräajat yhdeltä listalta?
- Mistä saamme tiedon liian myöhään?
- Kuka edustaa etuamme toimittajiin nähden, kun IT-osasto on kiireinen ylläpidon kanssa?
- Mitä päätöksiä meidän ei pitäisi tehdä ilman riippumatonta näkemystä?
Mitä te siitä saatte.
Parempia tuloksia
Hankkeet päättyvät tavoitteen mukaisesti, koska joku valvoo kokonaisuutta.
Vähemmän karikoita ja virheitä
Riskeistä varoitetaan ajoissa, ja riippumaton näkemys on käytettävissä ennen suurempaa hankintaa.
Virheen hinta tässä vaiheessa. Hankkeet ilman omistajaa ja yhteistä listaa viivästyvät hiljaa, ja ongelmasta saatte tietää vasta, kun se on jo kallis. Neuvonantaja maksaa yleensä vähemmän kuin yksi väärin valittu teknologia, yksi sopimaton toimittaja tai yksi ansa sopimuksessa.
Jonkun on valvottava kokonaisuutta.
Kun hankkeita on useita ja IT-osasto tuskin ehtii ylläpitää järjestelmiä, puuttuu joku, joka valvoo kokonaisuutta päivittäin. Tilaajan puolella pysyvänä koordinaattorina ylläpidän rekistereitä, kerään tilatiedot, muistutan määräajoista ja eskaloin, kun asia seisoo.
Mitä saatte.
- Kuukausittainen tapaaminen hallintojohtajan tai toimitusjohtajan ja IT-päällikön kanssa, kuukausittainen toiminta- ja riskiraportti.
- Neljännesvuosittainen riskien ja kriittisten sopimusten katselmus, lausunto ennen jokaista suurempaa hankintaa.
- Ensimmäiset 90 päivää: alustava arvio ja mahdolliset kiireelliset ”punaiset liput”, rekisterien käynnistäminen ja sopimusten läpikäynti, raportti johdolle ja tiekartta 12–24 kuukaudeksi.
KSC ja NIS 2 johdon näkökulmasta.
Puolan kansallista kyberturvallisuusjärjestelmää koskevan lain (KSC) muutos on ollut voimassa 3. huhtikuuta 2026 alkaen. Velvoitteet kuuluvat johdolle, eivät pelkästään IT-osastolle: johto vastaa toimeenpanosta, sen on suoritettava koulutus ja vuodesta 2028 se voi joutua seuraamuksiin. Tekniset työt tekevät asiantuntijat ja toimittajat. Jonkun on kuitenkin johdettava kokonaisuutta, eikä monessa virastossa ja yhtiössä ole IT-johtajaa, jolla olisi siihen aikaa. Tämän osan otan hoitaakseni fractional CIO:na: en ole tietoturva-asiantuntija, vaan huolehdin siitä, että toimeenpano on kattava, dokumentoitu ja aikataulussa.
Selvitän, koskeeko laki organisaatiota ja minkälaisena toimijana, sekä sovin laajuuden, vastuuhenkilöt ja aikataulun. Hoidan dokumentaation: järjestelmä- ja toimittajaluettelon, riskirekisterin, menettelyt, mukaan lukien poikkeamien ilmoittaminen 24 ja 72 tunnin kuluessa, sekä näytön auditoijalle. Valvon määräaikoja, oman IT:n ja toimittajien tehtäviä sekä sopimusehtoja. Esitän toimittajille, IT:lle ja auditoijalle ne kysymykset, jotka johdon pitäisi esittää, ja tarkistan, onko vastauksille katetta. Joka kuukausi johto saa yhden sivun: tilanne, riskit ja tehtävät päätökset.
Mitä en tee.
En tee tunkeutumistestausta, tietoturvavalvontaa (SOC), järjestelmien konfigurointia enkä itse auditointia. Nämä työt tekevät erikoistuneet yritykset; autan valitsemaan ne, kuvaamaan toimeksiannon ja valvomaan sen toteutumista.
Lähimmät määräajat. 3. huhtikuuta 2027 mennessä käytössä on oltava tietoturvan hallintajärjestelmä ja poikkeamien käsittely; 3. huhtikuuta 2028 alkaen keskeisten toimijoiden ensimmäinen auditointi ja mahdolliset seuraamukset.
Miten työskentelen tässä vaiheessa.
- Ensimmäiset 90 päivääAlustava arvio ja mahdolliset kiireelliset ”punaiset liput”, rekisterien käynnistäminen ja sopimusten läpikäynti, raportti johdolle ja tiekartta 12–24 kuukaudeksi.
- Vakiintunut rytmiTilatiedot ja tapaamiset, rekisterit, kuukausiraportti johdolle. Rytmi valitaan hankkeiden määrän ja IT-tiimin käytettävissä olevan ajan mukaan.
- Yhteistyön periaateJokaisella toimenpiteellä on omistaja teidän puolellanne. En ota toteutusta hoitooni enkä päätä puolestanne.
Kun hankkeita on useita ja IT-osasto tuskin ehtii ylläpitää järjestelmiä, puuttuu joku, joka valvoo kokonaisuutta päivittäin. Tilaajan puolella pysyvänä koordinaattorina ylläpidän hanke-, toimenpide-, riski-, päätös- ja asiakirjarekistereitä, kerään tilatiedot, muistutan määräajoista ja eskaloin, kun asia seisoo. En ota toteutusta hoitooni enkä päätä puolestanne: jokaisella toimenpiteellä on omistaja teidän puolellanne.
- Yksi ajantasainen lista hankkeista, toimenpiteistä, riskeistä, päätöksistä ja asiakirjoista, joissa on omistaja, määräaika ja tila.
- Viikoittaiset tilatiedot ja tilannetapaaminen, muistio ja toimenpidelista sekä kuukausiraportti hallintojohtajalle, toimitusjohtajalle tai johdolle.
- Muistutukset, asiakirjojen täydellisyyden tarkastus, riskeistä varoittaminen ajoissa ja eskaloinnin valmistelu.
- Tiedon koordinointi toimittajien kanssa: tilatiedot, sitoumukset ja määräajat.
Työrytmi valitaan hankkeiden määrän ja IT-tiimin käytettävissä olevan ajan mukaan:
- Perusrytmi, kerran kuussa: rekisterien päivitys, enintään kaksi tilannetapaamista ja kuukausiraportti.
- Säännöllinen, viikoittain: tilatiedot, tilannetapaaminen, rekisterit, seuranta ja kuukausiraportti johdolle.
- Tehostettu, kerran tai kaksi viikossa: laajempi hankesalkku, hankkeiden väliset riippuvuudet ja korjaussuunnitelmat vaarassa oleville hankkeille.
- Väliaikainen, useita kertoja viikossa: muutaman kuukauden ajan, kun organisaatiossa on aukko hankehallinnassa ja salkku on saatava nopeasti kuntoon. Sen jälkeen palataan kevyempään rytmiin.
Osaamiseni tässä vaiheessa.
Neuvon johtoa sellaisen henkilön näkökulmasta, joka tuntee sekä IT:n että liiketoiminnan ja kerää tietoa niin, että jokainen hanke palvelee asetettuja liiketoiminnan tavoitteita.
Digitaalinen muutos ja muutosjohtaminen.
Se on keskeinen osaaminen, joka yhdistää kaikki vaiheet: yli 20 vuotta työtä monissa organisaatioissa, tilaajan puolella.
Usein kysyttyä tästä vaiheesta.
Otatko IT-osastomme hoitoosi?
En. En ota IT-osastoa tai sen budjettia hoitooni. Käännän johdon tavoitteet vaatimuksiksi, arvioin IT:n suosituksia ja edustan tilaajan etua suhteessa toimittajiin.
Kuinka usein tapaamme?
Rytmi valitaan hankkeiden määrän ja IT-tiimin käytettävissä olevan ajan mukaan: perusrytmistä (kerran kuussa) säännölliseen (viikoittain) ja tehostettuun sekä muutaman kuukauden väliaikaiseen rytmiin.
Oletko kyberturvallisuuden asiantuntija?
En, enkä esitä olevani. KSC:ssä tehtäväni on johtaa toimeenpanoa johdon puolella: dokumentaatio, määräajat, toimittajat, raportti. Tekniset työt ja auditoinnin tekevät erikoistuneet yritykset, ja minä huolehdin, että ne saavat selkeän toimeksiannon ja että johto tietää, mitä siitä seuraa.
Keskustellaan tästä vaiheesta.
Ensimmäinen keskustelu kestää 30 minuuttia eikä maksa mitään. Vastaan 2 arkipäivän kuluessa.