Arviointiraportti. Patenttitoimisto Jaakko Väisänen

Transkriptio

1 (5) Arviointiraportti Patenttitoimisto Jaakko Väisänen Raportti nspecta Sertifiointi Oy Visiting address CN: Group headquarters: nspecta Group Oy, Helsinki,

2 (5) Patenttitoimisto Jaakko Väisänen Arviointiaika: Referenssi: Arvioidut järjestelmät ja kohteet: , Tietoturvallisuuden hallinta, SO/EC 27001:2013 Johtajuus ja tietoturvallisuuden hallintajärjestelmä, riskien ja tietoturvallisuuden hallinta, tietoturvallinen toiminta ja uuden henkilön haastattelu Soveltuvuuslausunnosta versio 2.20 ( ) , Laatu, SO 9001:2008 Johtaminen ja laadunhallintajärjestelmä, prosessit ja toiminta, uuden henkilön haastattelu nspectan edustajat: Organisaation edustajat: Paula Hanén Jaakko Väisänen Arvioinnin tulokset Uudelleensertifiointiarviointi SO/EC 27001:2013 ( ) Ei ole todettu poikkeamia Suositellaan sertifikaatin voimassaolon uusimista Uudelleensertifiointiarviointi SO 9001:2008 ( ) Ei ole todettu poikkeamia Suositellaan sertifikaatin voimassaolon uusimista nspecta Sertifiointi Oy Visiting address CN: Group headquarters: nspecta Group Oy, Helsinki,

3 (5) Yleistä Organisaatio on tavoitellut kasvua ja lisännyt henkilöstöään sekä perustanut toimiston Hämeenlinnan lisäksi Lahteen. Tällä hetkellä henkilöstöön kuitenkin kuuluu kaksi henkilöä. Henkilöstömuutokset ovat kaventaneet organisaation mahdollisuuksia toteuttaa hallintajärjestelmien jatkuvan parantamisen vaatimuksia, mikä tässä arvioinnissa on huomioitu ymmärrettävänä, mutta vain väliaikaisena tilanteena. Haastatteluissa toki esitettiin esimerkkejä toimenpiteistä, joilla tavoitellaan toiminnan kehittämistä, ja hyvästä toiminnasta oli näyttöjä. Laadunhallintajärjestelmän siirtämistä uuden standardiversion vaatimusten mukaiseksi tavoitellaan ensi vuoden puolella. Siirtymäarviointi on suunniteltu toteutettavaksi seuraavan seuranta-arvioinnin yhteydessä. Tietoturvallisuuden hallintajärjestelmän soveltuvuuslausunnosta on käytössä versio 2.20 (pvm ). Johtaminen ja hallintajärjestelmät laatu ja tietoturvallisuus sekä organisaation toiminta Positiiviset havainnot Organisaation toiminta perustuu asiantuntemukseen, syvälliseen erityisosaamiseen ja kokemukseen. Henkilöstön lisäksi organisaatiolla on sopimukset toimittajien kanssa erilaisista ulkoistetuista työsuoritteista kuten esimerkiksi käännöspalvelut sekä teknisen ja tietoturvallisen infrastruktuurin tukipalvelut. Johto ymmärtää hyvin sitoutumisen hallintajärjestelmien kehittämiseen ja on kehittänyt toimintaa. Hallintajärjestelmät vastaavat hyvin laadunhallinnan ja tietoturvallisuuden hallinnan standardivaatimuksia, mutta operatiivinen toiminta on osoittanut, että ne eivät kaikilta osiltaan vaikuttavasti palvele organisaation toimintaa sen tahtotilan mukaisesti. Niin ollen suunnitteilla on hallintajärjestelmien dokumentaation läpikäynti ja rakenteellinen uudelleenjärjestely, mikä oli myös sisäisen audtitoinnin suositus. Hallintajärjestelmien katsotaan sisältävän liian laajasti ja liian paljon vaikeasti löydettävää tietoa ja dokumentaatiota, mutta ne sisältävät myös erittäin hyvää aineistoa ja tarkistuslistoja, joiden hyödyntäminen jatkossakin tulee varmistaa. Organisaation palvelutuotannon ohjauksessa käytetään tietojärjestelmä (PatOrg), jonka käyttöä on jatkuvasti laajennettu. Uutena tietojärjestelmänä on käyttöönotettu dokumentaationhallintaan versionhallintaohjelmisto (Subversion). nspecta Sertifiointi Oy Visiting address CN: Group headquarters: nspecta Group Oy, Helsinki,

4 (5) Tietoturvallisuuden sisäinen auditointi on toteutettu suunnitelman mukaisesti ja mallikkaasti. Se on tuottanut hyviä kehitysehdotuksia. Ehdotukset on käsitelty ja päätökset toteutettavista toimenpiteistä on tehty. Asiakastyytyväisyydestä ollaan tietoisia. PatOrg-järjestelmän soveltuvuutta asiakaspalautekyselyihin ollaan selvittämässä. Viestintä ja sidosryhmäyhteistyö vaikuttavat laadukkailta. Riskienhallinta on hyvällä tasolla, jäännösriskit on hyväksytty. Kommentit ja kehittämiskohteet Vuoden 2016 johdon katselmukset on suunniteltu pidettäväksi viimeistään elokuussa. Tässä arvioinnissa ei siten ollut vielä näyttöä johdon katselmusten sisällöstä ja siksi niiden lähtöaineistot ja tulokset tulee toimittaa arvioijalle nähtäväksi syyskuun loppuun mennessä. Dokumentaation ja asiayhteyden löytäminen todettiin työlääksi molempien hallintajärjestelmien osalta. Suunnitellut/suunniteltavat toimenpiteet tilanteen korjaamiseksi tulee toteuttaa. Muutoshallintaan tulee jatkossa kiinnittää suurempi huomio. Esimerkiksi Lahden toimipaikan perustaminen ja henkilömuutokset eivät ole kattavasti päivittyneet hallintajärjestelmien dokumentaatioon. Nämä ja muut muutokset tulee huomioida, kun dokumentaatiota läpikäydään suunnitellusti. Luokittelutieto voitaisiin samalla lisätä kattavasti sisäiseen dokumentaatioon. Sisäiset auditoinnit tulee toteuttaa suunnitellusti myös laadunhallintajärjestelmän osalta. Laadun ja tietoturvallisuuden sisäisten auditointien suunnitelmaan tulee sisällyttää myös standardin vaatimusosaa koskevia kohteita. Henkilöstön osaamisen kehittämisestä ja tietoisuuden varmistamisesta tulee jäädä tallenne, perehdytys on osa osaamisen kehittämistä, joten siitäkin tulee jäädä jälki. Vähimmäistietona tulee olla esimerkiksi kurssin tai tilaisuuden nimi, osallistuja ja päivämäärä. Soveltuvuuslausunnon hallintakeinojen käyttöönoton perusteluissa olisi huomioitava muutkin vaikutukset kuin riskien pienentäminen. Soveltuvuuslausunnon viittaukset dokumentaatioon voitaisiin täydentää. nspecta Sertifiointi Oy Visiting address CN: Group headquarters: nspecta Group Oy, Helsinki,

5 (5) Tietoturvatapahtumien käsittely tulee nähdä kaksi tasoisena tapahtuma ja häiriö tapahtumiksi luettavien tilanteiden kirjaaminen voisi olla kattavampaa. Lakisääteiset vaatimukset tulee huomioida laajemmin. Nykyinen lakiluettelo ja vaatimusten vaikuttavuuden analyysi ei ole kattavaa. Henkilörekisteriselosteiden olemassaolosta tulee huolehtia ja niiden tulee olla tarvittaessa saatavilla. Sopimukset ja menettelyt ulkopuolelle vietyjen laitteiden tai niiden osien tietoturvallisesta käsittelystä tulee tarkistaa tai ainakin arvioida riskit ja seuraukset. Riskejä voitaisiin kategorisoida ja esimerkiksi toimittajiin liittyvät riskit läpikäydä, vaikkakin sopimuksellisesti riskejä on hyvin hallittu. Aulapalvelun avainhallintaan liittyvät lomakkeet voitaisiin tietyin välein kopioida myös omiin kansioihin. nspecta Sertifiointi Oy Visiting address CN: Group headquarters: nspecta Group Oy, Helsinki,