Toimitusjohtajan ei tarvitse osata muuttaa Microsoft 365:n asetuksia. Hänen kannattaa kuitenkin tietää, kenellä on pääsy yrityksen tärkeisiin tietoihin, mitkä asiat vaativat toimenpiteitä ja kuka toimista vastaa. Näiden viiden kysymyksen avulla voit käydä IT:n kanssa keskustelun, joka johtaa päätöksiin.
Yrityksessä, jossa on oma IT-vastuuhenkilö, tietoturva kilpailee usein käyttäjätuen, laitehankintojen ja muiden järjestelmätöiden kanssa. IT:llä voi olla pitkä lista havaintoja, mutta ei selvää käsitystä siitä, mihin työhön johto haluaa varata aikaa. Johto puolestaan voi nähdä vain riskiluvun tai kuulla, että kaikki on kunnossa.
Hyödyllinen keskustelu alkaa yhdestä konkreettisesta esimerkistä. Pyydä IT:tä näyttämään havainto, selittämään sen merkitys yritykselle ja ehdottamaan seuraavaa askelta. Johdon tehtävä on tarvittaessa sopia vastuista sekä päättää tärkeysjärjestyksestä ja resursseista.
Alla olevat vastaukset ovat kuvitteellisia esimerkkejä. Ne näyttävät, millainen vastaus auttaa sopimaan seuraavista toimista. Sama päätös ei sovi jokaiselle yritykselle.
Asiakkaat ja kumppanit tarvitsevat tiedostoja yhteistyötä varten. Olennaista on, tarvitsevatko he pääsyä tiedostoihin edelleen. Pyydä esimerkki yhdestä valmistuneesta projektista: mitä aineistoa on jaettu, miten siihen pääsee ja kuka tietää, tarvitseeko vastaanottaja sitä vielä?
Hyödyllinen vastaus: ”Päättyneen projektin työaineistoon pääsee linkillä, joka ei edellytä kirjautumista. Projektipäällikkö vahvisti, että asiakas tarvitsee lopullisen aineiston, mutta ei enää muokattavia työtiedostoja. IT voi rajata pääsyn sen mukaisesti.”
Siitä seuraava päätös: projektipäällikkö vahvistaa tarvittavat vastaanottajat ja aineistot, IT muuttaa oikeudet ja tarkistaa toiminnan. Tiedostojakojen tarkistus lisätään projektin päättämisen muistilistaan.
Pyydä myös täsmentämään, kuinka laaja tarkistus tehtiin. Yhden projektin läpikäynti ei vielä kata yrityksen kaikkia tiedostoja. Laajan pääsyn antava jakamislinkki on syy tarkistaa tilanne. Se ei yksin osoita, että tietoa olisi päätynyt ulkopuoliselle.
Microsoft 365 -ympäristöön liitetty sovellus voi tarvita tietoja esimerkiksi kalenterivarauksia, raportointia tai varmuuskopiointia varten. Pyydä IT:tä nostamaan esiin yksi sovellus, jolla on laajat oikeudet: mitä varten sitä käytetään, kuka siitä vastaa ja ovatko oikeudet edelleen tarpeen?
Hyödyllinen vastaus: ”Raportointisovelluksella on pääsy tietoihin, joita nykyisessä raportissa ei käytetä. Taloushallinto tunnistaa sovelluksen ja tarvitsee raportin edelleen. Selvitämme toimittajalta, onnistuuko sama työ rajatummilla oikeuksilla.”
Siitä seuraava päätös: taloushallinto nimeää sovellukselle vastuuhenkilön. IT selvittää, miten oikeuksia voi rajata, sopii testistä ja varmistaa, että raportti toimii muutoksen jälkeen.
Pelkkä tuttu nimi tai aiempi hyväksyntä ei ratkaise oikeuksien nykyistä tarvetta. Toisaalta sovellusta ei pidä poistaa vain siksi, ettei toimitusjohtaja tunnista sitä. Päätöstä varten pitää selvittää sovelluksen käyttötarkoitus, oikeuksien laajuus ja muutoksen vaikutus työhön.
Käyttäjään liittyvä riski voi tarkoittaa esimerkiksi puutteellista suojausta tai epäilyttävää toimintaa. Pyydä IT:tä erottamaan toisistaan havainto ja johtopäätös: mitä tiedetään, mitä pitää vielä selvittää ja onko tilin suojaamiseen syytä ryhtyä heti?
Hyödyllinen vastaus: ”Yhden käyttäjän kirjautuminen poikkeaa tavallisesta käytöstä. Varmistamme käyttäjältä ajan, laitteen ja sovelluksen sekä vertaamme vastausta lokitietoihin. Pelkkä sijaintitieto ei riitä toteamaan luvatonta käyttöä.”
Siitä seuraava päätös: havainnolla on nimetty selvittäjä ja sovittu määräaika. Jos tiedot viittaavat luvattomaan käyttöön, IT toimii viipymättä yrityksen tietoturvapoikkeamia koskevan ohjeen mukaan. Johto varmistaa, että IT:llä on valtuudet suojata tili kiireellisessä tilanteessa ja että tarvittavaa apua on saatavilla.
Kysy lisäksi, onko tärkeisiin tietoihin pääsevillä tai ympäristöä hallinnoivilla käyttäjillä tarpeettoman laajoja oikeuksia ja miten yrityksestä lähteneiden henkilöiden tilit on käsitelty. Nämä tarkistukset täydentävät yksittäisen kirjautumisen selvittämistä. Ne auttavat tunnistamaan tilit, joiden väärinkäytöstä olisi yritykselle eniten haittaa.
”Meillä on 20 avointa havaintoa” ei vielä auta valitsemaan seuraavaa tehtävää. Pyydä kolme tärkeintä toimenpidettä sekä jokaiselle vastuuhenkilö, arvio tarvittavasta työstä ja tapa varmistaa lopputulos.
Hyödyllinen vastaus: ”Ulkoisten jakojen tarkistus odottaa projektien omistajien vastauksia. Yhden sovelluksen oikeuksien muuttamiseen tarvitaan toimittajan ohje. Käyttäjätilien tarkistus voidaan aloittaa tällä viikolla, kun sille varataan aikaa.”
Siitä seuraava päätös: johto nimeää puuttuvat liiketoiminnan vastuuhenkilöt ja auttaa poistamaan etenemisen esteet. IT sopii tehtävien järjestyksen ja kertoo, miten lopputulos tarkistetaan.
Erotelkaa tehty muutos ja tarkistettu lopputulos. Asetuksen vaihtaminen on yksi vaihe; sen jälkeen pitää varmistaa, että tavoiteltu rajaus toteutui ja tarpeellinen työ onnistuu edelleen.
Uusi työntekijä, kumppani tai sovellus muuttaa ympäristöä. Pyydä kuvaus siitä, miten uudet havainnot tulevat käsittelyyn ja mitä tapahtuu, jos tehtävästä vastaava henkilö on poissa.
Hyödyllinen vastaus: ”IT käy uudet havainnot läpi sovitusti, kiireelliset tilanteet käsitellään heti ja poissaolojen ajaksi on nimetty varahenkilö. Käymme johdon kanssa kuukausittain läpi tärkeimmät avoimet asiat, tehdyt muutokset ja päätöstä odottavat kysymykset.”
Siitä seuraava päätös: sovitaan, kuinka usein tilanne tarkistetaan, kuka toimii varahenkilönä ja miten kiireellisistä tilanteista ilmoitetaan. Kiireellistä havaintoa ei jätetä odottamaan seuraavaa kuukausipalaveria.
Jos osa asioista jätetään tietoisesti ennalleen, kirjataan syy, vastuuhenkilö ja seuraavan arvioinnin ajankohta. ”Hyväksytty” ei saa tarkoittaa, ettei asiaan enää koskaan palata.
Vahti kokoaa Microsoft 365:n riskihavaintoja ja ehdotettuja toimenpiteitä selkokielisesti. IT voi näyttää yksittäisen havainnon ja siihen liittyvän tehtävän, jolloin johto pystyy keskustelemaan sen vaikutuksesta ja tarvittavasta päätöksestä. Vahdin tuote-esittelyssä voit tutustua näihin näkymiin.
Työkalu auttaa jäsentämään tietoa, mutta vastuut pitää silti sopia. IT arvioi teknisen tilanteen ja toteuttaa sovitut muutokset Microsoft 365:ssä. Liiketoiminnasta vastaava henkilö vahvistaa, mihin tiedostoja, sovelluksia tai käyttöoikeuksia tarvitaan. Jos työ ei etene epäselvän tärkeysjärjestyksen tai resurssipulan vuoksi, johto ratkaisee nämä asiat.
Varaa ensimmäiseen keskusteluun puoli tuntia ja pyydä IT:tä tuomaan yksi todellinen esimerkki. Kirjatkaa lopuksi kolme asiaa: mitä selvitetään tai muutetaan, kuka vastaa ja milloin lopputulos tarkistetaan. Seuraava keskustelu alkaa näistä sovituista tehtävistä.
Katso Vahdin interaktiivinen esittely yhdessä IT-vastuuhenkilön kanssa. Valitkaa esittelystä yksi näkymä, jonka avulla voitte keskustella oman yrityksenne tilanteesta.