Valtiokonttori, Valtion IT-palvelukeskuksen asiakaspäivä 9.10.2012, Petri Puhakainen: Viisi käytännöllistä vihjettä tietoturvakoulutukseen.

1. Noin 5 vinkkiä
tietoturvallisuuskoulutukseen
Petri Puhakainen
Turvallisuusjohtaja, Verohallinto

2. Tietoturvaohjeiden tavoite
• Kuvata turvallisia toimintatapoja
• Kertoa selkeästi, miten työ tehdään turvallisesti
• Sopivassa määrin myös se, mitä ei pidä tai saa tehdä
• Käytännön havainto: on hölmöä yrittää
paikata hallinnollisilla kielloilla teknisen
infrastruktuurin huonoutta
• Myös infran on tuettava tavoitteita ja työntekoa

3. Yleisten ohjeiden -syndrooma
• Yleiset toteamukset eivät välttämättä liity
työntekijöiden työhön
• Eivät vastaa organisaation käytäntöjä
• Eivät tue työntekoa, vaan jopa haittaavat sitä
• Eivät motivoi turvalliseen toimintaan
• Ovat noudattamiskelvottomia

4. Motivaatiotekijöitä turvallisen toimintaan
Suhtautuminen
noudattamiseen
(seuraukset?)
Sosiaalinen
paine
Aikomus
Noudattaminen
noudattaa
Tiedot, taidot,
mahdollisuudet
Helppokäyttöisyys,
hyödyllisyys

5. Esimerkki huonosta ohjeesta
ST IV ST III ST II ST I
Sähköisenä Selväkielisenä, Selväkielisenä, Salattuna. Vahvasti
palvelimella suojattuna suojattuna salattuna.
käyttäjätunnuksella. käyttäjätunnuksella.
Siirto sähköisenä Selväkielisenä. Selväkielisenä. Salattuna. Salattuna.
lähiverkossa
Sähköisenä Selväkielisenä, Selväkielisenä, Salattuna. Vahvasti
työasemalla suojattuna suojattuna salattuna.
käyttäjätunnuksella. käyttäjätunnuksella.

6. Esimerkki parannetusta ohjeesta
• Verotustietojen käsittely lähiverkossa
nykykäytännöillä on OK
• Sähköisenä Verohallinnon omaverkon
palvelimella
• Sähköisenä Verohallinnon omaverkon
työasemalla
• Siirto sähköisenä Verohallinnon omaverkossa

7. Millainen on hyvä ohje?
• Helposti saatavilla
• Olennaisen löytää nopeasti
• Lyhyt
• Selkeä ja yksikäsitteinen
• Mielellään osana muuta ohjeistusta
• Työtä tukeva (…tai mahdollisimman
vähän työtä haittaava), segmentoitu
• Ei pelkkiä kieltoja

8. Miten ohjeet laaditaan?
• Ymmärrä kohderyhmä:
• Mitä he tekevät?
• Mitkä ovat työn tietoturvahaasteet?
• Miten haasteisiin vastataan?
• Hyviä ohjeita ei saada aikaiseksi pelkällä “keskushallinnon
asiantuntemuksella”
• Mitä suurempi ja hajautuneempi organisaatio, sitä mahdottomampi
tehtävä
• => Esimiehet ja työntekijät mukaan
• Testaa, pilotoi, kehitä!
• Vasta hyvä, huolella testattu ohje kannattaa “jalkauttaa”

9. Miten tietoturvallista toimintaa
jalkautetaan?
• Perinteisesti
• Palkitseminen ja rankaiseminen
• Vaativat valvontaa ja välitöntä reagointia
• Henkilökohtaisia
• Sivuvaikutuksia
• Viestintä, mm.
• Markkinointiviestintä
• Koulutus
• Hyvä viestintä on segmentoitua, kaksisuuntaista,
ymmärrykseen ja toiminnan muutokseen tähtäävää

10. Perinteisten tapojen haaste
• Keskitetty malli ei toimi suurissa
organisaatiossa:
• Segmentoitu viestintä ja tuloksellinen koulutus ovat
(lähes) mahdottomia toteuttaa keskitetysti
• Siksi perinteinen, keskitetty
lähestymistapa on usein hukkainvestointi

11. Hyvän koulutuksen resepti:
1. Määritä ongelma, selvitä syyt ja puutu niihin – älä kouluta
mitä sattuu...
2. Huomioi aiemmat tiedot ja taidot
3. Sopeuta koulutus (oppijat, aihe, oppimisympäristö,
organisaatio ja sen tavoitteet)
4. Käytä metodeita, jotka aktivoivat ajattelun ja motivoivat
siihen
• Kysymys: mikä aktivoi ja motivoi ajattelemaan?
• Unohda PowerPoint-saarnaaminen
• Uskotko oikeasti verkko-oppimiseen?
• Millaista on hyvä verkko-opetus?

12. Koulutuksen suunnittelusta
Vaihe 2:
Vaihe 1: Kohderyhmän
Tavoitteet tiedot ja taidot
Mitä pitäisi
opettaa?
Vaihe 3:
Suunnittelu ja
Muista pedagogiikka:
toteutus Tavoitteena pitkäaikaiset vaikutukset
toimintaan
Vaihe 4:
Tulosten
arviointi

13. Vihjeet
1. Tee hyvät, konkreettiset ohjeet
• Jalkautettu ohjeiden laatimisprosessi => konkreettiset,
työtä tukevat ohjeet (kytkentä omaan työhön on
välttämätöntä)
2. Määritä ongelma, paikallista
muutostarve, aseta tavoitteet
• Tavoite määrää keinot
3. Tunnista kohderyhmät ja tarvittaessa
segmentoi
• Keskity ”riskiryhmiin”, hae vaikuttavuutta

14. Vihjeet
4. Aiheuta ajattelua
• Kytke työhön
• Konkretisoi
• Käytä syitä ja seurauksia
5. Koulutuksella voi tukea muutosta, mutta
koulutuksella ongelma ei ratkea pysyvästi
• Johdon ja esimiesten aktiivinen kommunikointi on avainasemassa
(lähijohtaminen)
• Johdon ja esimiesten esimerkki edistää turvallista toimintaa; jos johto ei
noudata ohjeita, ei se voi vaatia sitä muiltakaan
• Organisatoriset toimintatavat juurrutettava käytäntöön selkeästi ja
järjestelmällisesti johdon ja esimiesten – ei tietoturva-asiantuntijoiden –
toimesta