Palaute tiedonhallinnan kuvausten suosituksista

Tiedonhallintamallin tarkoitus, laatiminen ja hyödyntäminen

Tiedonhallintalain vaikutuksesta muodostuvat tiedonhallintayksiköt vastaavat jatkossa tiedon käsittelemisestä, tallentamisesta ja siirtämisestä oman laajennetun toimintaympäristönsä kautta. Tiedonhallintayksiköt vastaavat toimintaympäristönsä kehittämisestä ja ajanmukaisuudesta tiedonhallintalain velvoitteitten mukaisesti eri osa-alueilla. Lain tavoitteena on edistää julkishallinnon toimintaympäristöjen ja ratkaisujen yhteentoimivuutta, luotettavuutta ja käytettävyyttä eri organisaatioitten tehtävät ja palvelut huomioituna. Tiedonhallintamalli kuvaa päivittyvää ja täydentyvää organisaation toiminnan nykytilaa. Tiedonhallintamalli rakentaa näin tiedonhallintayksikön informaatiopohjan toiminnan pitkäjänteiselle suunnittelulle ja kehittämiselle mukaan muutostenhallinta.

Kyseisessä tiedonhallintamalli suositus luonnosdokumentissa kuvataan tiedonhallintalain 5§ mukaista tie-donhallintamallia ja sen muodostamista. Kyseinen suositus sisältää sekä perustietoa ja kuvia tiedonhallinta-mallin muodostamisesta. Suositus ei kuitenkaan yksistään ole riittävän selkeä, jotta yksistään sen perusteella pystyisi tiedonhallintamallin muodostamaan. Tämän suosituksen tueksi tarvitaan konkreettisia esimerkkejä, ohjausta ja myös käytettyjen kuvien tarkoituksen selkeyttämistä.

Jotta tiedonhallintamalli lunastaisi dynaamisen kuvauksen, tulee sen ensisijaisesti rakentua tiedonhallintayksikön oman toimintaympäristönsä kehittämisen näkökulmasta. Tällöin se ohjaa tiedonhallintayksikön toimintaa, vastuita ja merkitystä organisaatiotasoisesti eri viranomaiset huomioiden. Toimien keskitetysti ja koordinoidusti tiedonhallintayksikkö välttää (minimoi) mahdollista päällekkäistä työtä, ei esimerkiksi kerätä samoja tietoja ja kopioida niitä eri käyttötarkoituksia varten.

Huomioitava on suosituksessa esitettyjen johdon vastuitten sisällyttäminen tiedonhallintayksikön toiminnan kannalta organisaation vastuujakotaulukon mukaisesti. Tulee kuvata miten ja missä muodossa vastuut esitetään tiedonhallintamallissa sekä millä tarkkuudella asioita tarkastellaan organisatorisesti.

Tietoturvajärjestelyiden osalta Kuntaliitto pitää tärkeänä etukäteissuunnittelua siten, että tietoturvajärjestelyiden toteuttaminen, menettelyt ja vastuut huomioidaan mallissa. Tietoturvallisuuden tulee olla pitkäjänteistä työtä koko organisaation kannalta. Lain hengen mukaisesti tietoturvallisuusmääritykset tulee sopeuttaa omaan toimintaan riskilähtöisesti. Kuntatoimijoiden toimintaympäristöt ja käytössä olevat ratkaisut eroavat suuresti toisistaan. Eroavaisuudet johtuvat osittain kuntakoosta ja osittain yleisesti kuntien osaamisesta ja kypsyystasosta. Tiedonhallintayksikön päätöksenteon ja oman toimintaympäristönsä kehittämisen kannalta riskipohjainen päätöksenteko korostuu organisaation kyvykkyytenä. Tällä on merkityksensä investointien sekä organisaation tarvitseman osaamisen tasolla.

Palautekierroksen alla oleva suositus tuo esille säädöspohjaisen tulokulman. Ne ovat asioita ja seikkoja, mitkä ovat merkityksellisiä uuden viranomaisen, tiedonhallintalautakunnan, näkökulmasta. Suositus tarjoaa näin huomionarvoisia ja tarkentavia (ns. minimitasoisesti) asioita, joihin tiedonhallintalautakunnan on tarkoitus jatkossa vaikuttaa, ohjata sekä arvioida lain asettaminen tavoitteitten kannalta. Täydentyessään ja selkiytyessään palautekierroksen alla oleva suositus tulee toimia kehyksenä tiedonhallintayksiköitten luodessa omia tiedonhallintamallejaan.

Sivulla 8 olevasta kuvasta numero 3. ”Yhteenveto tiedonhallinnan vastuista tiedonhallintayksikkö- ja viranomaistasolla” puuttuu tiedonhallintalain 12§ luotettavuutta edellyttävien tehtävin tunnistaminen ja luotet-tavuudesta varmistaminen. Kyseinen tehtävä kuuluu tiedonhallintayksikölle. Lopuksi yleisenä huomiona se, että koska muutosvaikutusten arviointi on tärkeää tiedonhallintamallin ylläpidon kannalta, niin suositus muutosvaikutusten arvioinnista olisi pitänyt olla yhtä aikaa luettavana.

Asiakirjajulkisuuskuvauksen laadinta

Asiakirjajulkisuuskuvauksen tehtävänä on julkisuusperiaatteen näkökulmasta palvella kansalaisen tiedonsaannin tarpeita ja hallinnon avoimuutta. Kuvauksen tulee olla saatavissa selkokielisesti tiedonhallintayksikön ulkoisilla verkkosivuilla. Tarvittavien kuvauksien tarkkuudesta informaatiosisältöineen on syytä käydä tarkempaa keskustelua - näkökulmana tulee olla sen, mikä on merkityksellistä kansalaisen kannalta ja miten toteuttaa asiakokonaisuus kansalaisille paremmin ymmärrettäväksi.

Asiakokonaisuutta voidaan lähestyä esim. alla olevien kysymysten kautta (tiedonhallintayksikön näkökulmasta):

• Missä organisaatio on nyt, mikä on organisaation nykytila

• Miten olemme järjestäneet toimintamme?

• Mitä tulemme kehittämään

Kuntatoimijat toimivat monitoimittajaympäristössä, missä tarvittava tieto on hajautunut eri julkishallinnon organisaatioille. Kuntatoimijoiden tehtävien kannalta oleellista on varmistaa toimivat palvelukokonaisuudet. Kansalaisen näkökulmasta tiedonhallintayksikkö on kuntatoimija (pelkistetysti), ja kuntatoimijan julkisilla verkkosivuilla esitettävien palveluiden/palvelukokonaisuuksien kuvauksien tulee pyrkiä täyttämään niin tiedonhallintalain kuin myös digipalvelulain vaatimukset. Verkkosivujen osalta saavutettavuusvaatimusten huomioiminen on käynnissä. Kuntaliitto pitää hyvänä asiana sitä, että tarvittavien kuvauksien päivittäminen ja ylläpito tulee huomioiduksi myös tiedonhallintayksikön vastuujakotaulukko tasoisesti riittävällä tarkkuudella.

13§ Elinkaaren huomioiminen tietojärjestelmissä

Kortti 13.1§ Tietoaineistojen ja tietojärjestelmien tietoturvallisuus

Kortissa 13.1§ Tietoaineistojen ja tietojärjestelmien tietoturvallisuus annetaan suositus tiedonhallintayksikön tietoturvallisuuden tilan seurantavaatimuksille sekä miten tiedonhallintayksikön tulee varmistaa tietoaineistojen ja tietojärjestelmien tietoturvallisuus koko niiden elinkaaren ajan. Digitaalisuudessa tiedon elinkaari korostuu, koska alkuvaiheen päätökset vaikuttavat tiedon käyttöön ja myös sen loppuvaiheeseen. Suosituksen viimeisellä sivulla on kuvattu toimenpiteet eri elinkaaren vaiheissa. Jotta käytöstä poistovaihe voidaan onnistuneesti toteuttaa (esimerkiksi siirtää aineisto kolmannelle osapuolelle tai siirtää aineisto takaisin kunnalle, esimerkiksi arkistointia varten tai hävittää tietoaineistoja) vaatii sen näiden asioiden suunnittelua heti alkuvaiheessa. Eli tiedon elinkaaren alussa on suunniteltava koko tiedon elinkaari sen synnystä, käytöstä aina tiedon hävittämiseen tai arkistointiin asti. Lisäksi täytyy huomioida mahdolliset tiedon siirrot tai luovutukset. Tietojärjestelmän tulee kyetä tekemään nämä asiat tietoturvallisesti.

13§ Elinkaaren huomioiminen tietojen käsittelyssä

Kyseisessä 13§ Elinkaaren huomioiminen tietojen käsittelyssä suosituskortissa annetaan suositus sille, miten tietoaineistojen tietoturvallisuus taataan koko tiedon elinkaaren ajan. Keskeisinä tiedon säilytykseen liittyviä kysymyksiä on listattu suosituksessa. Ensimmäisenä pyydetään kiinnittämään huomioita tiedon suojaustasoluokitteluun (turvallisuusluokitteluun). Olisi parempi puhua tiedon luokittelusta yleisesti. Tieto voidaan luokitella mm. seuraavilla tavoilla: s

alassapito/julkisuus, turvaluokiteltu tieto, henkilötieto, erityisiin henkilötietoryhmiin kuuluva tieto. Tässäkin kortissa on paljon linkkejä ja viittauksia muihin ohjeistuksiin. Tämä tekee kortista vaikealukuisen ja onko esimerkiksi VAHTI-ohje vuodelta 2010 enää tiedonhallintalain näkökulmasta täysin paikkansapitävä? Korttien ylläpito vaikeutuu, mikäli ne sisältävät useita viittauksia.

13.1§ Riskienhallinta

Kyseisessä 13.1§ Riskienhallinta suosituskortissa kuvataan tiedonhallintalain riskienhallintaan liittyviä suosituksia. Kortissa käytetään pohjana riskienhallintaohjetta vuodelta 2017. Tulisi selventää tarkemmin jo aikaisemmin tehtyjen ohjeiden ja suosituksen välistä suhdetta. Tässä tapauksessa VAHTI-ohje on suhteellisen uusi, mutta näin ei välttämättä ole muissa korteissa. Tiedonhallintayksikölle voi olla hankala tietää näiden eri ohjeiden välistä eroavaisuutta.

Lisäksi tiedonhallintayksikön näkökulmasta suosituskortin rooli sisällöllisesti jää epäselväksi. Tiedonhallintayksikön tulisi johtaa ja ohjata riskien käsittelyä ja niiden hallintaa oman toimintaympäristönsä tasoisesti. Kortin tulisi sisällöllisesti tukea sitä, miten riskien käsittely tiedonhallintalain tunnistamisen ja määrittelemisen tasolla tulee huomioiduksi systemaattisesti, toimien osana informaatio-ohjausta tiedonhallintayksikön informaatiopohjan luomiselle. Nykymuodossaan suosituskortti esittelee riskien hallintaan liittyviä toimintamalleja ja niitä toteuttavia toiminnallisuuksia kuten hyviä käytäntöjä, tehden kokonaisuuden tiedonhallintalain esittelemän riskipohjaisen päätöksenteon kannalta vaikeaselkoiseksi.



Kuntatoimijoiden kannalta (taloushallinto, henkilöstöhallinto) riskien käsittely ja hallinta ovat lähtökohtaisesti olemassa olevia käytänteitä. Suosituskortin lähtökohtana on riskienhallinta menetelmän olemassaolo tiedon käsittelyn ja hallinnan tulokulmasta. Suosituskortti nostaa esille joukon käsitteitä (tietoriski, tietoriskien hallinta, riskienhallinta, tietoturvariski, riskirekisteri, riskiluettelo, ja näihin liittyviä toimintatapoja/toiminnallisuuksia), nojautuen lueteltuihin liitetiedostoihin. Näiden käsitteiden keskinäinen suhde edellyttää tulkintaa suosituskortin käytön kannalta.



Suosituskortti lähestyy tärkeää ja keskeistä asiakokonaisuutta tiedonhallintayksikön toiminnan, ohjauksen ja vaikuttamisen kannalta. Asiasisältö sellaisenaan on hyvää ja ”täyttä asiaa”, mutta riskinä on syytä tunnistaa nykyrakenteen mahdollisesti johtavan suosituskortin tulevan ei-ymmärretyksi. Sisältö jää vieraaksi johtamisen ja päätöksenteon tasolla. Suositeltavaa oli

si kiinnittää erityistä huomiota suosituskortin rakenteeseen, johdonmukaisesti lähestyen eri käsitteitä ja toimintatapoja. Tiedonhallintayksilön ylläpitämä tiedonhallintamalli tarjoaa päivittyvän nykytila kuvauksen toiminnasta koskien tietojen luomista, käsittelyä ja siirtämistä. Tämä päivittyvä nykytila on merkityksellinen johtamisen ja päätöksenteon kannalta kehittäminen ja investoinnit kuten myös eri osa-alueitten priorisoinnit huomioiden, ja tässä kokonaisuudessa riskien käsittely ja hallinta on merkityksellistä.

13§ Tietoturvallisuus hankinnoissa

13.4.§ Tietoaineistojen ja tietojärjestelmien tietoturvallisuus

--------

15§ Vahingolta suojaaminen

15.1§ Vahingolta suojaaminen

Kyseisessä kortissa annetaan suositus sille, miten tietoaineistoja suojataan teknisiltä ja fyysisiltä vahingoilta. Kortissa viitataan paljolti muihin olemassa oleviin ohjeistuksiin, muun muassa VAHTI-ohjeistuksiin. Kortti käsittelee sekä sähköisiä että paperisia aineistoja. Rakenteellisessa suojauksessa viitataan Kansalliseen auditointikriteeristön F-osioon. Onko suosituksessa huomioitu Kansallisarkiston määräystä ja ohjeistusta arkistotiloista 1.3.2012 AL/19699/07.01.01.00/2012 missä määritellään pysyvästi säilytettävien asiakirjallisten tietojen arkistotiloja koskevat määräykset ja ohjeet? Lisäksi kortissa on viittauksia muihin ohjeistuksiin, onko ko. ohjeistuksia päivitetty tiedonhallintalain vaatimuksiin nähden?

17§ Lokitietojen kerääminen

Suositukset teknisistä rajapinnoista ja katseluyhteyksistä 22§ ja 23§

Esitetyt suositukset koskettavat tiedonhallintalain kautta tiedonhallintayksikön johtamaa ja ohjaamaa laajennettua toimintaympäristöä usealla eri osa-alueella. Erityistä huomiota tulisi kiinnittää suositusten osalta kokonaisuuteen. Suositukset läpileikkaavat tiedonhallintalain vaateita luettelomaisesti ja niiden ymmärtäminen ja organisaation kannalta sisäistäminen edellyttää moniosaamista. Esim. ettei käyttöönottovaiheissa teknologia ratkaisuissa tehdä dokumentoimattomia muutoksia käytännön kompromissien kautta, mitkä välillisesti synnyttävät riskejä palveluketjussa. Vaan poikkeamat tulevat kunkin tiedonhallintayksikön asettaman/nimeämän vastuulliseksi tiedoksi, osana tiedonhallintayksikön riskien käsittelyä ja hallintaa.

✓ Tarkentaen teknisen rajapinnan avaamisen osalta - ” Tiedot luovuttava viranomainen voi asettaa ehtoja tietoluovutuksille siltä osin kuin ne tarkentavat tiedonhallintalain 4 luvussa olevia tietoturvallisuusvaatimuksia.” Kun kyse on suosituksesta, niin tuleeko sitä luovuttavan viranomaisen kautta velvoittavaa hyödyntävälle taholle?

Kuntaliitto pitää hyvänä, että yhteentoimivuus asiat tunnistetaan teknisten rajapintojen tasolla asioita tarkasteltaessa. Yhteentoimivuuden merkitys tiedonhallintayksikön johtamisen ja ohjaamisen kannalta korostuu tarvittavien investointien ja eri osa-alueitten priorisointien kautta. Mihin kohdistaa resursseja, voimavaroja ja miten asioita tulee toiminnan kehittämisen kannalta lähestyä. Tiedonhallintayksikön näkökulmasta yhteentoimivuus ratkaistaan lähtökohtaisesti organisaatio/toiminnan yhteentoimivuus kerroksella omaa toimintaa kehittäen, osana tiedonhallintamallia asiaan kuuluvalla tarkkuudella. Yhteentoimivuudelle tulee kyetä määritellä sovellettavissa olevat vaatimukset. Tiedonhallintalain jalkauttamisen kannalta oleellista ovat selkeät toteuttamiskelpoiset yhteentoimivuuden linjaukset niitä tukevine apuvälineineen. Yhteentoimivuusalustaa voidaan kokonaisuuden kannalta pitää yhtenä keskeisenä apuvälineenä tavoitteitten aikaansaamiseksi.

Tehtävien tunnistamisen ja luotettavuuden varmistamisen kannalta tiedonhallintayksikön tulisi riskien kä-sittelyn ja hallinnan kautta saada riittävä ymmärrys toimittajanhallinnan osa-alueella. Tämä osa-alue on korostumassa kuntatoimijoiden entistä enenemässä määrin toteuttaessaan palvelukokonaisuuksiaan perus-tuen ohjelmistollisiin rajapintoihin.

Tietojen siirron turvallisuudesta

Internet -pohjaisia palveluita ja operaattorien MPLS-ratkaisuja ei teknisiä rajapintoja tarkasteltaessa tulisi rinnastaa. Kyse on vähän sama kuin vertaisi ’omenoita ja appelsiineja’! Tiedonhallintayksikön laajennetun toimintaympäristön näkökulmasta teknisiä rajapintoja ja niitten käyttöasteisuutta sekä käytettävyyttä tarkasteltaessa, kuten suosituksissa todetaan, on hyvä kiinnittää huomiota käyttövaltuuksiin. Toiminnan johtamisen ja ohjattavuuden kannalta (tiedonhallintayksikön) keskitetty käyttövaltuushallinta ratkaisu tulee huomioida oman toiminnan ja tehtävien kautta. Tiedonhallintayksikön tulee huomioida käyttövaltuusasioiden vastuut vastuujakotaulukko tasoisesti (muodon toki palvellessa kutakin toimijaa).

Lokitietojen keräämisen osalta on hyvä tarkastella asioita kokonaisuutena - tiedonhallintayksikön laajennetun toimintaympäristön silmin. Täten vältytään päällekkäisistä ratkaisuista ja toteutuksista, mitkä ovat omilta osin nostamassa palvelukokonaisuuksien kustannuksia (esimerkiksi ei lokiteta varmuuden maksimoinnin vuoksi - vaan kukin toimija/palveluntarjoaja lokittaa perustuen oman palveluosa-alue toteutukseensa).



Tiedonhallinnan kuvasten tuottamista opastava mallit

Tiedonhallinnan kuvausten ja mahdollisten mallien tueksi tarvitaan ohjausta ja koulutusta. Ohjeistuksissa ja malleissa tulisi näkyä myös selvemmin kehittämisnäkökulma sekä muutostenhallinta. Mallien tulisi olla suositustasoisia, koska mm. tiedonhallintamalli lähtee vahvasti tiedonhallintayksikön omista tarpeista. Näin ollen tiedonhallintayksikkö voi myös luoda omannäköisensä tiedonhallintamallin, sellaisen mikä parhaiten palvelee omaa toimintaympäristöä. Lisäksi tulisi kiinnittää huomioita myös itse suositusten/korttien tekoprosessiin. Tulisi kuvata se, kuinka suosituksia valmistellaan, minkälaisissa työryhmissä, kuinka hoidetaan niiden päivitys, mikä on niiden voimassaoloaika, mistä ne löytyvät jne.

Lisätietoja: erityisasiantuntija Tuula Seppo, Kuntaliitto, tuula.seppo@kuntaliitto.fi, 050-428 82 55