Todennetun osaamisen rekisteri Riskilista

Transkriptio

1 Todennetun osaamisen rekisteri Riskilista Riski-indeksi 5,32 Riski Selitys Torjunta Todennäköisyys Vaikuttavuus Painoarvo (1-3) (1-3) TOR:n palvelulupaus (SLA/OLA) ei toteudu virkailijalla tai palvelulla on liian laajat käyttöoikeudet käyttöoikeus on voimassa vaikka ei pitäisi olla autentikaatio ei toimi vasteaika ei toteudu, saatavuus ei toteudu, kaikki sovittu tieto ei ole käytettävissä, yksi tai useampi sovelluskomponentti on kuormittunut tai kaatunut, TOR:n osarekisteri tai muu suoraan hyödynnettävä palvelu ei suoriudu sovitulla tasolla käyttäjätunnus vuotaa, salasana on murrettu / arvattu, käyttöoikeuden tekninen toteutus on virheellinen, nähdään tai voidaan muuttaa sellaisia tietoja joihin ei pitäisi olla pääsyä, tietoja vuodetaan henkilö tai palvelu pääsee käsiksi tietoihin vaikka käyttöoikeus on vanhentunut tai suljettu TOR-palveluun ei pääse, TORpalveluun pääsevät sellaiset joiden ei pitäisi päästä, koskee käyttöliittymää ja rajapintaa Sovitaan ja kirjataan SLA/OLA:t sekä valvotaan ja seurataan niiden toteutumista. Reagoidaan poikkeamiin nopeasti. Raportoidaan SLA/OLA toteutumiset ohjaus- ja yhteistyöelimissä. käytetään olemassa olevia käyttövaltuuden hallintamenettelyjä, käyttöoikeuksia ei annetta varmuuden vuoksi liian laajoina, käytetään vahvaa tunnistetta aina kun se on mahdollista, testataan käyttöoikeuden rajaus ja toimivuus käyttöoikeudet ovat määräaikaisia, niiden lukittumiset ja sulkemiset testataan, voimassaolevien käyttöoikeuksia tarkistetaan määräajoin valvotaan ja monitoroidaan pääsynhallintaa, käytetään automaattisia hälytyksiä ja teknisiä estoja vikatilanteiden varalle, huolehditaan sertifikaateista ja tietoturvapäivityksistä, lokitus on

2 tieto on väärä koulutuksen järjestäjän luvan tarkistus ei toimi henkilön tietojen luovutus menee väärin tieto tallentuu väärin, tieto ei tallennu ollenkaan koulutuslupa voi olla vanhentunut tai sitä ei ole ollenkaan mutta organisaatio voi tallentaa tietoa henkilön jakama omiin tietoihin ohjaava linkki vuotaa liian laajalle, linkki jaetaan esim. internetissä, linkki on arvattavissa riittävän kattava tiedon osalta lisääjällä ja muuttajalla on erillinen käyttöoikeus, tehdään tiedonsiirtoihin tekniset tarkistukset oikeamuotoisuudesta, selvitetään massadatan oikeellisuuden automaattista tarkistusmahdollisuutta, tehdään satunnaisotantoja tiedoista, teknisen rajapintasiirron oikea tallentuminen on mahdollista tarkistaa käyttöliittymästä, tiedon muutoshistoriointi on riittävän kattava ja tapahtumat lokitetaan tehdään luvan voimassaoloon liittyvät tekniset tarkistukset jokaisen tietojen tallennuksen yhteydessä, huomioidaan voimassaoloon liittyvä tietojen tallentamisen siirtymäaika ohjeistetaan linkin käyttö, linkki on määräaikaisesti käytettävissä, linkki on sen muotoinen ettei sitä voida arvata tietovaranto sisältää suojaustaso 3:n tietoja suojaustaso 3 vaatii teknisesti ja prosessien osalta merkittäviä suojaustoimenpiteitä, tietovarannon käytettävyys vaikeutuu, palvelua ei voida tarjota julki-internetissä, tiedonsiirrot ja tietojen käsittely vaatii erikoistoimenpiteitä ei kerätä ja tallenneta suojaustaso 3:n yksilötason tietoja, käydään tallennettavat tiedot läpi ja luokitellaan jokaisen suojaustaso salassa pidettäviä tietoja käyttöoikeudet eivät ole kunnossa, huolehditaan käyttöoikeuksista ja

3 vuotaa sovittu työpanos ei käytettävissä projektin resurssit eivät riitä projektin työpanos kohdistuu väärään tekemiseen projektin avainhenkilöt eivät ole käytettävissä henkilölle aiheutuu merkittävää haittaa, tietomurto virkamiesten työaikaa ei ole käytettävissä kuten on sovittu, konsulttien työmäärät eivät toteudu sovitusti, suunniteltu aikataulu ei toteudu, tekeminen viivästyy, selvitysten tekeminen hidastuu ja heijastuu kehitykseen, testaaminen ei ole samassa aikataulussa valmistuvien toiminnallisuuksien kanssa, dokumentaatiot eivät ole ajan tasalla, projekti ei valmistu lainsäädännön aikataulun mukaisesti, työkuorma kasautuu harvemmille työmäärä osoittautuu ajateltua suuremmaksi suhteessa rahoitukseen, skaalaaminen ei onnistu aikataulussa, skaalaaminen on viety maksimiin projektin fokus laajenee, tehdään projektin tavoitteiden kannalta toisarvoista, tehdään liian laajoja toiminnallisuuksia, selvitys laajenee liikaa avainhenkilö sairastuu tai ei ole muusta syystä käytettävissä, tietämystä ei saada siirrettyä eteenpäin, asioita on vain yhden henkilön muistinvaraisessa tiedossa, kommunikaatio ei toimi teknisestä suojauksesta, lokitetaan tapahtumat pidetään kiinni sovituista työpanoksista, viestitään poikkeamista, skaalataan tekemistä ja tekijöitä suunnitellun työmäärän mukaan, ennakoidaan muutoksia ja julkaisuja seurataan resursointia tiiviisti, tehdään rajaamista, viestitään lisäresursointitarpeet ja tehdään näiden pohjalta päätöksiä priorisoidaan tekemistä, tehdään projektin onnistumisen kannalta toimiva minimitoiminnallisuus, laajennetaan toimivaa kokonaisuutta osissa, vaiheistetaan tekemistä, rajataan tavoitteita dokumentoidaan tekeminen, pidetään projektin muut henkilöt tietoisina mitä ollaan tekemässä, tehdään asioita suunnitellusti, mietitään siirrettävyyttä aktiivisesti lainsäädäntötyö viivästyy TOR:n toiminnan kannalta seurataan lainsäädäntötyötä

4 viranomaiset eivät tuota tavoitetilaa aikataulussa toiminnallisuudet eivät valmistu aikataulussa tallennettu tieto ei ole käytössä 100 vuotta tarvittava lainsäädäntötyö ei valmistu riittävän aikaisin projektin kriittisten vaiheiden näkökulmasta, resursointia ei saada kohdistettua ajallisesti oikein, tietoja ei saada kerättyä tietovarantoon, koulutustoimijoiden tiedonsiirtorajapintoja ei voida tilata riittävän ajoissa tietotarpeet ja tavoitetila on epäselvä, koulutustoimijoiden tiedonsiirtorajapintaa ei voida tilata, joudutaan tilaamaan useita versioita koulutustoimijoiden tiedonsiirtorajapintoja, tietomalli ja tietorakenne voi muuttua ja vaikuttaa toteutukseen, muutokset aiheuttavat aikataulun venymisen ja lisäävät kustannuksia toteutuksessa tehdään lopputuloksen kannalta sellaisia toiminnallisuuksia joita ei tarvita heti, toiminnallisuus ei vastaa tavoitetta, työstetään useita toiminnallisuuksia samanaikaisesti tieto tallennetaan sellaisessa muodossa joka ei ole tarvittaessa muutettavissa, tiedon tallentamisessa käytetään liian erityistä teknologiaa, tekninen osaaminen tai teknologia vanhenee, tiedon rakennetta ei muuteta vaikka se muuttuu aktiivisesti, tuetaan lainsäädäntötyötä, viestitään ja raportoidaan lainsäädäntötyön etenemisestä projektin ohjauselimiä, asetetaan projektin etenemiselle päätöspiste johon mennessä lainsäädäntö pitää olla riittävän pitkällä onnistumisen näkökulmasta priorisoidaan tietotarpeet, selvitetään viranomaisten tietotarpeet kahdenvälisissä tapaamisissa, vaiheistetaan tekemistä yleisistä toiminnoista erityisiin toimintoihin, versioidaan rajapinnat priorisoidaan toiminnallisuudet keskinäiseen tekemisen järjestykseen, tehdään yksi toiminnallisuus valmiiksi ennen seuraavan aloittamista, määritellään toiminnallisuus ja tarkennetaan määrittely yhdessä toteuttajien kanssa tieto versioidaan muutoshistorian kautta, toteutusratkaisuissa otetaan huomioon tiedon pitkä käytettävyys ja rakenteen muutettavuus, ei käytetä betavaiheen teknologioita

5 ei saada tuotantokelpoista palvelinympäristöä ajoissa rekisterien väliset suhteet eivät selviä ajoissa kansalaiset oikeusturva vaarantuu TOR:n kautta voidaan käyttää muita palveluja väärin valitulle palvelinympäristölle ei ole tuotantokelpoista tarjontaa, toteutusta joudutaan muuttamaan toiseen palvelinympäristöön soveltuvaksi, työmäärä kasvaa ja aikataulu viivästyy, ei saada tuotantokelpoista palveluympäristöä halutussa aikataulussa rekisterien resursointi ei kohtaa lainsäädännön antamaa aikataulua, rekisterien välillä on eroja SLA/OLA osalta, vastuun ja kustannusten jako on epäselvä, virheiden selvittely ja päivystys ei ole hallittua, kokonaisvalvonta on hankalaa, tietojen omistajuus on epäselvää, muutostöiden tekeminen on haasteellista tieto tallennetaan väärin tietovarantoon, tiedossa on virhe, viranomaisten tiedonsiirrossa on virhe, viranomaiset tulkitsevat tiedon väärin, tieto on vanhentunut, viranomainen tekee väärän tiedon perusteella päätöksen joka vaarantaa kansalaisen oikeusturvan, kansalaiselle aiheutuu ylimääräistä harmia TOR:n pääsynhallinta ei rajaa oikein ja mahdollistaa pääsyn TOR:n käyttämiin ulkoisiin palveluihin vaikutetaan ja selvitetään mahdollisuudet saada tuotantokelpoinen palvelinympäristö, asetetaan päätöspiste johon mennessä on oltava tiedossa tuotantokelpoisen palvelinympäristön saanti, vaihdetaan sellaiseen palvelinympäristöön josta on saatavilla tuotantokelpoisuutta keskustellaan rekisterien ylläpitäjien kanssa tavoitteista ja vaatimuksista, luodaan yhteinen vikaviestikeskus, sovitaan SLA/OLAtasot, kohdennetaan resurssit aikataulujen mukaisesti tiedon muutoshistoriassa huomioidaan viimeisin tallennusajankohta, tiedonsiirroissa käytetään teknisiä tarkistuksia, testataan tietojen siirrot riittävän hyvin testataan pääsynhallinta, tehdään tietoturva-auditointi 1 3 3

6 tietoja ei saada ajoissa lokitiedot ovat puutteelliset projektin riippuvuuksia muista projekteista ei osata arvioida oikein projektin rajaus epäonnistuu tai on epämääräinen tuotanto-ympäristöön on liian laajat pääsyt suoritusten liittäminen koulutuksen perusteisiin ei toimi koulutuksen järjestäjä ei pysy tiedonsiirtojen sovitussa aikataulussa, TOR:sta siirrettävä tieto on vanhaa, viranomaiset eivät toimi uusimman tiedon perusteella, viranomaissiirrot pitää tehdä myöhässä tai uudestaan, kansalaisen oikeusturva vaarantuu, aiheutuu ylimääräisiä kustannuksia lokeista ei voida selvittää mitä on tapahtunut, lokit eivät ole riittävän kattavat, kaikkia käyttötarpeita ei ole huomioitu muissa projekteissa syntyvät palvelut tarvitsevat TOR:n tietoja aikaisemmin kuin TOR on valmistunut, TOR:n toteutus nojaa muihin palveluihin jotka eivät valmistu ajoissa määrittelyissä syntyy eturistiriitoja, palvelusta halutaan toteuttaa ns. toiveiden tynnyri, ylätason linjauksia ei saada ajoissa, tietotarpeita ei saada ajoissa eikä tietosisältöjä linjattua kehittäjillä ja virkailijoilla on liian laajat oikeudet päästä tuotantoympäristöön ja tietoihin käsiksi perusteita ei ole ollenkaan saatavilla, tekninen tarkistus ei onnistu, suorituksen perustetta ei voida yhdistää automaattisesti, suorituksen oikeamuotoisuutta tavoitellaan tiedonsiirroissa automaattista päivittäistä siirtoa, monitoroidaan tiedonsiirtojen tiehyttä ja tietojen versioitumista määritellään lokitus projektin alkuvaiheessa, kerätään lokia systemaattisesti, tarkastetaan lokituksen toimivuus, tehdään riittävän laaja lokitus tunnistetaan riippuvuudet, viestitään riippuvuuksista ja aikatauluista etukäteen ja säännöllisesti, rajataan riippuvuuksia myöhemmäksi jos se on mahdollista viedään linjattavat asiat hyvissä ajoin etukäteen ohjausryhmän käsittelyyn, tehdään jatkuvaa priorisointia, käytetään päätöspisteitä jonka jälkeen asia ratkaistaan eriytetään kehitys ja ylläpito, huolehditaan käyttövaltuuspolitiikan toteutumisesta varmistetaan että kaikki TOR:n tarvitsemat perusteet on sähköistetty, varmistetaan että koulutuksen järjestäjän päästä saadaan perusteisiin liittyvä linkitys 3 2 6

7 projektin henkilöstön osaaminen ei vastaa tarvetta TOR:iin siirrettävä tieto ei ole halutunlaista järjestelmän salasanoja vuotaa versionhallinnan kautta ryhmien roolit ovat epäselvät osallistujille tekninen toteutus ei vastaa TOR:n pitkäkestoista käyttöä palvelukeskeisyyden taso vaihtelee suhteessa perusteeseen ei voida varmentaa automaattisesti, aiemman suorituksen hyväksilukeminen hankaloituu, osaamisen todentaminen hankaloituu, sähköistäminen ei edisty toivotusti projektin käytössä oleva henkilöstöllä ei ole sellaista osaamista jota tarvitaan tehtävien tekemiseen koulutustoimijoiden tallennustavat ja käytännöt poikkeavat ohjeista ja määräyksistä, tietoja ei ole kaikilta osin saatavilla, tiedoissa on virheitä, viranomaiset käyttävät väärää tietoa omissa prosesseissaan, kansalaisen oikeusturva vaarantuu, kustannuksia tulee lisää versionhallintaan on tallennettu kehittämistyötä helpottamaan järjestelmän salasanoja, versionhallinta on avoin ja joku löytää salasanoja sen kautta asioita käsitellään useissa kokouksissa, päätöksiä ei synny, osallistujat eivät tiedä muiden ryhmien toiminnassa toteutus käyttää liian eksoottisia teknologioita, teknologioiden käyttöönotto on epäselvää, elinkaariarviointia ei tehdä TOR:n käyttämät palvelut eivät vastaa toiminnallisuuksien puolesta suorituksia siirrettäessä, ei käytetä perusteita suoritusten osalta koulutetaan henkilöstöä, hankitaan osaamista, varmistetaan että konsulteilla on riittävä osaaminen tehtävien tekemiseen tietojen oikeamuotoisuuteen tehdään automaattisia teknisiä tarkistuksia, ohjeistetaan koulutustoimijat tietojen tallentamisen osalta, määritellään tiedot ja mitä niillä tarkoitetaan, tehdään tarkistuksia tietojen oikeellisuudesta kaikki lähdekoodi on avointa ja julkisesti saatavilla, ohjeistetaan ettei salasanoja tallenneta versionhallintaan, tehdään tietoturva-auditointi määritellään ryhmien toimivalta, julkaistaan ryhmien kokousten materiaalit, viestitään ja kommunikoidaan aktiivisesti tehdään uusille tai poikkeaville teknologioille arkkitehtuuriarvio jonka perusteella päätetään teknologian käyttöönottamisesta tehdään jatkuvaa suorituskyky testausta, tunnistetaan riskikohdat

8 tietomurto kehittäjän/virkailijan tietokoneelle tarpeita, palveluissa on epäluotettavuutta tai virheitä, palvelut eivät ole saatavilla tai toimivat hitaasti tietomurron kautta päästään pelkän tietokoneen kautta ympäristöihin ja salasanoihin joiden kautta voidaan anastaa tietoja tai haitata muuten järjestelmää ja sen kehitystä ja vaikutetaan käytettäviin palveluihin, määritellään TOR:n tarpeet ja viedään eteenpäin rajoitetaan suoraan pääsyä pelkän tietokoneen kautta, suojataan ja salataan kriittiset kohdat, tehdään tietoturva-auditointi