Järjestelmäkartoitus yhdistää organisaation palvelut niitä tukeviin sovelluksiin, laitteisiin, tietovirtoihin ja toimittajiin. Sen avulla voidaan vastata käytännön kysymykseen: jos tämä yhteys katkeaa tai palvelu vaihtuu, mitä toimintaa ja tietoja muutos koskee? Pelkkä sovellusten nimilista ei vielä näytä näitä riippuvuuksia.
Käyttökelpoinen kartoitus koostuu ylläpidettävästä luettelosta ja tarkoitukseen sopivista näkymistä. Tässä oppaassa kuvitteellinen koulutusyritys Oppipolku kartoittaa ilmoittautumisen, osallistujaviestinnän ja laskutuksen. Esimerkki näyttää myös, miten yksi löydetty vanha liittymä suljetaan hallitusti. Kartan sisältö ja kentät ovat käytännön työmalli, eivät kaikille organisaatioille määrätty lakisääteinen piirustuspohja.
Mitä kartoitetaan ja mihin päätökseen tieto tarvitaan?
Oppipolun lähtökysymys on ilmoittautumispalvelun vaihtaminen. Yritys tarvitsee tiedon siitä, mitä uusi palvelu saa, mihin se lähettää tietoja ja mikä jää vanhaan ympäristöön. Rajaus kattaa verkkolomakkeen, ilmoittautumisrekisterin, viestipalvelun, laskutuksen, käyttäjähallinnan ja varmuuskopiot. Se ei ala kaikkien toimistotulostinten täydellisellä teknisellä mallintamisella, elleivät ne liity ratkaistavaan kysymykseen.
Kartoituksen omistaja kutsuu mukaan koulutuskoordinaattorin, taloushallinnon, ylläpidon ja tietosuojan vastuuhenkilön. Koulutuskoordinaattori tietää, että osallistujia siirretään joskus käsin taulukkoon. Ylläpito tietää rajapinnan olemassaolon, mutta ei välttämättä tätä lisäkopiota. Taloushallinto osaa kertoa, mitkä tiedot tarvitaan laskun muodostamiseen. Näiden näkökulmien yhdistäminen on tärkeämpää kuin ensimmäisen kuvan ulkoasu.
Kyberturvallisuuskeskuksen omaisuudenhallinnan ohjeessa tunnistetaan ohjelmistojen ja laitteiden lisäksi pilvipalvelut, vastuut ja elinkaari. NCSC:n omaisuudenhallinnan ohje tukee vastaavaa näkökulmaa: eri tietolähteitä tarvitaan myös sellaisten kohteiden löytämiseen, jotka jäävät tavanomaisen hankinnan tai teknisen löytämisen ulkopuolelle. Kumpikaan yleinen ohje ei tarkoita, että skanneri yksin tuottaisi valmiin, oikeaksi varmennetun kartan.
1. Kokoa luettelo useasta lähteestä
Oppipolku aloittaa hankinta- ja toimittajaluettelosta, käytössä olevista kirjautumispalveluista, ylläpidon tiedoista ja henkilöstön haastatteluista. Verkkoliikenteen tai järjestelmien tekninen tarkastelu toteutetaan hyväksytyssä laajuudessa. Työntekijöiden yksityistä sisältöä ei tarvitse kopioida kartoitukseen, jotta käytössä oleva työpalvelu tunnistetaan.
Kukin löydetty kohde saa pysyvän sisäisen tunnisteen. Näin sovelluksen nimen tai toimittajan vaihtuminen ei katkaise päätöshistoriaa. Luetteloon merkitään toiminto, omistaja, toimittaja, ympäristö, tietoryhmät ja tiedon lähde. Varmistamaton tieto merkitään sellaiseksi. ”Todennäköisesti Suomessa” ei muutu tallennuspaikan tosiasiaksi sillä, että se kirjoitetaan kaavioon.
Oppipolun ensimmäinen luettelo näyttää seuraavalta:
| Tunniste ja kohde | Käyttötarkoitus ja omistaja | Keskeinen tieto ja vahvistus |
|---|---|---|
| S01 Ilmoittautumisportaali | Ilmoittautumisen vastaanotto; koulutuskoordinaattori | Nimi, yhteystieto ja koulutusvalinta; lomake ja asetukset tarkistettu |
| S02 Osallistujaviestintä | Koulutuksen käytännön viestit; koulutuskoordinaattori | Sähköpostiosoite ja koulutusryhmä; aktiivinen siirto varmistettu |
| S03 Laskutus | Laskun muodostaminen; taloushallinto | Maksajan tiedot ja tilauksen viite; rajapintakuvaus vahvistettu |
| S04 Vanha vientitaulukko | Aiempi käsin tehty osallistujakooste | Nykyinen tarve vielä epäselvä; selvitysvastuu nimetty |
Luettelo paljastaa jo yhden tehtävän: S04 ei saa pysyvää hyväksyntää vain siksi, että se on olemassa. Koordinaattori selvittää, käytetäänkö sitä vielä ja onko siinä tarpeetonta aineistoa. Samalla tarkistetaan, löytyykö vastaavia kopioita muiden koulutusten kansioista.
2. Kuvaa tietovirta nuolen sisällön avulla
Kaavion nuoli on käyttökelpoinen vasta, kun sen merkitys tunnetaan. Siirtyvätkö tiedot koko rekisteristä vai vain uudesta ilmoittautumisesta? Onko kyse automaattisesta rajapinnasta, käyttäjän lataamasta tiedostosta vai toimittajan etäylläpidosta? Voiko tiedon kulku jatkua, vaikka käyttöliittymä olisi pois käytöstä?
Oppipolku täyttää virran S01 → S02 näin: uusi vahvistettu ilmoittautuminen käynnistää siirron, lähetettäviä tietoja ovat sähköpostiosoite ja koulutuksen tunniste, suunta on portaalista viestipalveluun, ja epäonnistunut siirto jää jonoon. Teknisestä toteutuksesta vastaa ylläpito, mutta koordinaattori päättää tarvittavista tiedoista. Osoitteen muutos ja ilmoittautumisen peruuttaminen kuvataan erillisinä tapahtumina.
Tämä tarkennus löytää puutteen: peruutus ei nykyisessä toteutuksessa poista henkilöä kyseisen koulutuksen viestiryhmästä. Kartoitus ei ratkaise virhettä automaattisesti. Omistaja hyväksyy muutoksen, ylläpito toteuttaa sen ja synteettisellä ilmoittautumisella tarkistetaan lopputulos. Tietojen täsmällisyyden ylläpito liittyy näin suoraan tunnistettuun virtaan.
Virran kuvaukseen lisätään siirtotapa, tunnistautuminen ja tarvittavat suojausviitteet. Avaimia tai salasanoja ei tallenneta kaavioon. Salauksen ja avainten hallinnan asiakirjoihin voidaan viitata tunnisteella, jolloin suojauksen vastuu löytyy paljastamatta salaisuutta.
3. Tee eri lukijoille sopivat näkymät
Liiketoiminnan näkymässä näkyy palvelu: ilmoittautuminen, koulutuksen järjestäminen ja laskutus. Sovellusnäkymässä näkyvät S01–S04 ja niiden väliset siirrot. Tekninen näkymä kuvaa esimerkiksi kirjautumispalvelun, rajapintojen suoritusympäristön ja verkon riippuvuudet. Sama sovellus tunnistetaan kaikissa näkymissä samalla viitteellä.
Kaikkia yksityiskohtia ei ahdeta yhteen kuvaan. Johto tarvitsee tiedon siitä, mitkä palvelut pysähtyvät portaalin häiriössä. Ylläpito tarvitsee lisäksi tiedon jonosta ja käytettävästä rajapinnasta. Tietosuojan vastuuhenkilö tarvitsee tiedon vastaanottajista, tietoryhmistä ja käsittelyn tarkoituksesta. Yhteinen luettelo vähentää ristiriitaa erillisten kuvien välillä.
Oppipolku merkitsee myös ulkoiset rajat. Viestipalvelu on eri toimittajan ympäristössä kuin ilmoittautumisportaali. Tukihenkilöstön mahdollinen etäpääsy selvitetään erikseen tallennuksen sijainnista. Henkilötietojen siirrot EU:n ulkopuolelle eivät ratkea pelkän kartalle merkityn palvelinkeskuksen perusteella.
4. Yhdistä käsittelytoimet järjestelmiin
Käsittelytoimien seloste ja järjestelmäkartta palvelevat eri tarkoituksia. Seloste kuvaa käsittelyä ja sen tarkoituksia, kun kartta auttaa ymmärtämään toteuttavat komponentit ja virrat. Yksi sovellus voi tukea useita käsittelytoimia, ja yhtä käsittelytoimea voi toteuttaa usea järjestelmä. Siksi suhdetta ei pidä pakottaa muotoon yksi sovellus, yksi rekisteri.
Oppipolku yhdistää osallistujaviestinnän selosteen kohtaan, joka koskee koulutuksen järjestämistä. Markkinointiviestintä erotetaan omasta tarkoituksestaan, vaikka käytössä olisi sama viestipalvelu. Kartassa merkitään, mikä tietoryhmä siirtyy mihinkin käyttöön ja miten ryhmän jäsenyys syntyy. Käsittelytoimien seloste pysyy tällöin tarkoituslähtöisenä.
Tietosuoja-asetuksen 30 artikla ei yleisesti vaadi tietyn piirrostyökalun käyttämistä. Kartoituksen avulla voidaan kuitenkin tarkistaa selosteen tietoja ja löytää esimerkiksi vastaanottaja, jota ei ollut kuvattu. Rekisterinpitäjän ja käsittelijän roolit arvioidaan todellisen tehtävän perusteella. Jokainen kaavion ulkoinen toimija ei automaattisesti ole henkilötietojen käsittelijä.
5. Varmenna yksi ketju alusta loppuun
Oppipolku tekee erillisen harjoitusilmoittautumisen. Koordinaattori tarkistaa portaalin tiedot, ylläpito varmistaa siirtotapahtuman ja taloushallinto tarkistaa laskutusluonnoksen. Harjoituksessa ei lähetetä oikeaa laskua eikä lisätä synteettistä osoitetta pysyvään markkinointiryhmään. Tavoitteena on nähdä, vastaako kuvattu ketju todellista toimintaa.
Yhdessä vaiheessa portaalin ja laskutuksen tunnisteet eivät täsmää. Laskutus käyttää omaa viitettä, mutta liittymäkuvauksesta puuttui niiden yhteys. Karttaan lisätään tunnisteiden muunnos ja lähde, josta suhde voidaan tarkistaa. Lokituksen suunnittelu tarvitsee saman tiedon, jotta häiriössä löydetään oikea tapahtuma molemmista palveluista.
Seuraavaksi ryhmä käy läpi hallitun epäonnistumisen: laskutuspalvelu ei vastaanota uutta tapahtumaa. Se selvittää, jääkö ilmoittautuminen portaalissa hyväksytyksi, syntyykö uusintayritys ja kuka saa hälytyksen. Havaittu käyttäytyminen liitetään jatkuvuussuunnitelmaan. Kartta ei siis kuvaa vain onnistunutta tavallista päivää.
Varmennuksen tuloksissa erotetaan havaittu tieto, toimittajan dokumentaatioon perustuva tieto ja vielä avoin oletus. Kaikkea ulkoisen pilvipalvelun sisäistä rakennetta ei ehkä voida tarkastaa itse. Silloin kartta kertoo tämän rajan ja sen, kuka hankkii tarvittavan lisäselvityksen. Epävarmuuden piilottaminen tekisi kuvasta siistimmän mutta päätöksestä heikomman.
Sulje vanha liittymä hallitusti
S04-taulukon selvitys osoittaa, että vanha vienti syntyy edelleen joka yö, vaikka koulutuskoordinaattori ei enää käytä sitä. Ennen liittymän poistamista tarkistetaan, käyttääkö jokin toinen tehtävä samaa tiedostoa. Taloushallinto vahvistaa, ettei taulukko kuulu laskutuksen aineistoon. Vienti voidaan lopettaa sovittuna ajankohtana.
Ylläpito sulkee ajastuksen, poistaa tarpeettoman pääsyn ja tarkistaa seuraavana ajokertana, ettei uutta kopiota muodostu. Koordinaattori arvioi jo olemassa olevien tiedostojen tarpeen ja poistaa tarpeettomat kopiot hyväksytyn menettelyn mukaisesti. Säilytyksen rajoittaminen koskee myös historiallisia vientikansioita, ei vain pääjärjestelmän asetusta.
Kartasta ei vain poisteta nuolta ilman historiaa. Muutokseen jää päivämäärä, päätöksen peruste ja viite sulkemisen tarkistukseen. Jos myöhemmin selvitetään vanhaa tapahtumaa, organisaatio pystyy ymmärtämään, millainen tietovirta oli tapahtumahetkellä käytössä. Aiemman version saatavuus rajataan tarpeen mukaan.
Valitse työkalu ylläpidettävyyden perusteella
Pienessä rajauksessa hallittu taulukko ja selkeä kaavio voivat riittää. Laajemmassa ympäristössä erillinen työkalu voi auttaa suhteiden, muutosten ja käyttöoikeuksien hallinnassa. Vertailussa Oppipolku pyytää näyttämään oman tapauksensa: sovelluksen lisääminen, virran muuttaminen, vastuuhenkilön hyväksyntä ja ymmärrettävä vienti pois työkalusta.
Automaattinen löytäminen on hyödyllinen tietolähde, mutta ostolaskut, henkilöstön käyttämät SaaS-palvelut ja käsin siirretyt tiedostot voivat jäädä sen ulkopuolelle. Työkalun tuottama havainto tarvitsee myös omistajan ja tarkoituksen. Tietoturvan perustoimissa luettelo voidaan yhdistää päivityksiin, käyttöoikeuksiin ja poistettaviin kohteisiin.
Kartoitus sisältää tietoa, joka voi helpottaa väärinkäyttöä. Siksi yksityiskohtaiset hallintayhteydet ja turvallisuusrakenteet eivät ole kaikkien luettavissa. Toisaalta vastuuhenkilöiden pitää päästä päivittämään omat tietonsa. Tietoturvapolitiikka määrittää käyttöoikeuksien periaatteet, ja käytännön työnkulku osoittaa, miten korjaus tehdään.
Valmis kartoitus tarvitsee ylläpidon käynnistävät tapahtumat: uusi palvelu, toimittajan vaihto, liittymän muutos ja käytöstä poistaminen. Oppipolku liittää tarkistuksen näiden muutosten hyväksyntään. Näin seuraava ilmoittautumispalvelun vaihto alkaa tunnetusta ketjusta, jonka puutteet ja rajat ovat näkyvissä.
Lähteet
- Kyberturvallisuuskeskus: IT-omaisuuden hallinta: tunnistaminen, luokittelu, vastuut ja elinkaari.
- NCSC: Asset management: omaisuudenhallinnan tietolähteet ja käytännöt.
- Yleinen tietosuoja-asetus, erityisesti 30 ja 32 artikla: käsittelyn dokumentointi ja turvallisuus.