Tarvitaan ohjeet, joiden mukaan jatkuvuutta ylläpidetään:
- Millä tasolla tarvitaan tietovarantoon tai sen liikenteen solmukohtiin vuosittainen palotarkastus, entä millä tasolla esim. kolmen vuoden välein riittää?
Millä tasolla tarvitaan tietovarantoon tai sen liikenteen solmukohtiin esim. poliisin tekemä vuosittainen fyysisen suojauksen arviointi, entä millä tasolla esim. kolmen vuoden välein riittää?
- Missä vaiheessa kohde pitää auditoida säännöllisesti niin verkkoa, kuin fyysistä kontaktia hyväksi käyttävän red team -toiminnan avulla?
- Millä tasolla tietovaranto ja sen solmukohdat tulee olla 24/7 verkkovalvonnan alla?
- Millä tasolla tietovaranto ja sen solmukohdat tulee olla 24/7 fyysisen valvonnan alla?

Jne.

Kuvausten ja määritysten pohjia(templatet) voidaan antaa suositusten ja ohjeiden muodossa.

Jokaisesta vaadittavasta kuvauksesta pitää olla saatavilla laaja esimerkki oikeasta elämästä (=mittatikku, johon omia tuotteita verrataan). Jos tietojärjestelmän kustannuksia pitää kuvata, määrityksien sisällytettävistä kustannustekijöistä tulee olla äärimmäisen tarkat.

Suosituksia ja ohjeita tulee voida soveltaa organisaation toimintaan ja vaatimuksiin. Pääperiaatteena on päällekkäisen työn välttäminen. Jos organisaatiolla on olemassa toimiva malli tarvittavan dokumentaation luomiseen, kahdennettua kuvaamista tiettyyn formaattiin ei tarvita. Kuvaukset tulee tehdä aina tarpeeseen ja oikea-aikaisesti. Suositusten ja ohjeiden tulee tukea tätä periaatetta.

Suosituksien ja ohjeiden tulee olla selkeitä ja hyvää kieltä. Esimerkkejä kuvauksista on oltava saatavilla. Jonkinlainen interaktiivinen www-palvelu olisi hyvä.

Mentelmän tulisi olla ohje/suositustasoinen. Laki esittää tavoitteen ja velvoitteen. Ohje/suositus kuvaa miten kuvaaminen voidaan esimerkiksi tehdä.

Suositus- ja ohjetasolla pitäisi olla tarkemmat kuvausmallit ja ohjeet kuvausten tekemisestä. Niiden olisi oltava myös riittävän yksityiskohtaisia ja selkeitä, jotta niiden hyödynnettävyys on paras mahdollinen. Ohjeet ja suositukset otetaan käyttöön vain silloin kun niistä on organisaatiolle konkreettista apua ja tukea toimintaan.

Oma lausuntoni sisältää kuvia, joten lisäsin sen omalle kotisivulle seuraavaan osoitteeseen:
http://www.jukkarannila.fi/lausunnot.html#nro_105

Keskeistä olisi saada määriteltyä kunkin tiedon master - eli mikä taho vastaa mistäkin tiedosta. Nykytilakuvauksissa on tarpeen saada nimenomaan selville ne päällekkäisyydet, joita jatkossa tulee välttää: tulee olla selvillä, mistä mikäkin tieto saadaan rajapinnan kautta käyttöön. Vuosittaiset tietotilinpäätökset voivat auttaa (sidottuna tulossopimuksiin) keskittymään sen tiedon hallintaa, mikä kulloinkin vaatii laadun yms. tarkistamista. Näin saadaan laadukkaampaa tietoa päätöksentekoa ja tietojohtamista varten. Ohjeistusta tarvittaisiin siitä miten tietotilinpäätökset tehtäisiin yhtenäisellä tavalla. Tilinpäätökset tulisi olla koordinoidusti saatavilla.

Suosituksissa tulisi olla kuvaamismenetelmästä tarkemmat ohjeet: mihin formaattiin (uudet) kuvaukset laaditaan, mitä yhteisiä työvälineitä käytetään, kuvausten yksiselitteinen tietosisältö huomioiden pakolliset tiedot, kuvausten ylläpidosta ja päivittämisestä.
Suojattavia tietoja sisältäviin kuvauksiin tulisi voida käyttää samoja menetelmiä ja välineitä soveltuvin osin.