Rauman telakka ja Cinia ovat tehneet yhteistyötä jo vuosien ajan, mutta uusi laivanrakennusprojekti asetti myös tietoturvalle uudenlaisia vaatimuksia, kuten salaisen verkon rakentamisen ja sen Katakri-auditoinnin.
Katakri-auditointi on erittäin vaativa prosessi, johon valmistautumisessa tarkka ja kattava dokumentaatio on kaiken a ja o.
"Meillä toimi herätyksenä se, että emme päässeet Katakri-auditoinnista läpi ensimmäisellä kerralla. Ymmärsimme, että tarvitsemme kumppanin huolehtimaan dokumentaatiosta. Samalla päätimme, että uudistamme koko verkon laitteistoineen päivineen”, kertoo Rauman telakan turvallisuuspäällikkö Joachim Rosenlöf.
Aiemmat kokemukset kumppanuudesta painoivat vaakakupissa, kun Cinia valikoitui salaisen verkon rakentajaksi. Telakka halusi rinnalleen toimittajan, joka pystyy varmasti hallitsemaan laajan projektin.
"Meillä oli takana jo pitkä yhteistyö Cinian kanssa ja tiesimme heidän vankasta kyberturvallisuusosaamisestaan. Yhteistyö syveni, kun Cinia pystyi varaamaan meille "korvamerkittyjä” asiantuntijoita. Yhteyshenkilömme kuuntelevat huoliamme ja toiveitamme”, Rosenlöf kertoo.
Osaavien ja tutuksi tulleiden asiantuntijoiden kanssa yhteydenpidon kynnys on matala. Kaikki telakan IT-osaston työntekijät ovatkin olleet Cinian kanssa tekemisissä.
“Kriittiseen infraan erikoistuneena toimijana projektin etenemistä myös helpotti, että suurimmalla osalla Cinian tiimistä oli jo turvallisuusselvitys voimassa. Tämä esti pahimmillaan kuukausien viiveet, joita turvallisuusselvitysten odottelusta voisi seurata”, hän kiittää.
Uusi salainen verkko luotiin käytännössä nollasta. Ratkaisun ansiosta verkko on käytössä eri toimipisteissä kotimaassa ja joissakin toimipisteissä myös ulkomailla. Uusi verkko on mahdollistanut muun muassa kannettavien tietokoneiden käyttöönoton.
Viranomaisvaatimukset ohjasivat uuden verkon rakentamista alusta alkaen, erityisesti salaisen verkon osalta. Sitä tarvitaan tilattujen alusten suunnitteluun.
“Verkon rakenteesta oli tarkat ohjeistukset ja määräykset. Rakentaminen aloitettiin sen pohjalta, mikä oli viranomaisten vähimmäisvaatimus, johon sitten lisättiin Rauman telakan omat vaatimukset”, Rosenlöf sanoo.
Myös dokumentaatio piti kirjoittaa alusta alkaen uusiksi vastaamaan Katakri-auditoinnin vaatimuksiin. Kyseessä on pikkutarkka ja vaativa työ.
“Dokumentaatio on äärimmäisen tärkeää, sillä sitä mitä ei ole dokumentoitu, ei ole auditoijan näkökulmasta tehty. Dokumentointi elää, eli jokainen muutos, lisäys tai uusi ohjelmistosovellus on dokumentoitava”, Rosenlöf kertoo.
Korkeasta tietoturvatasosta huolehtiminen vaatii jatkuvaa valvontaa, ylläpitoa sekä alan sääntelyn ja uhkaympäristön tiivistä seuraamista. Esimerkiksi Traficomin myöntämä Katakri-auditointi on tietoverkkojen osalta voimassa kolme vuotta. Sen jälkeen se on uusittava.
“Viranomaisvaatimusten takia yhteistyö Cinian eli teknisen kumppanimme kanssa on jatkunut tiiviinä. Rakentamisen jälkeen yhteistyö on keskittynyt verkon ylläpitoon ja turvallisuuden varmistamiseen”, Rosenlöf sanoo.
“Jatkossakin yhteiset suunnitelmamme liittyvät pitkälti sääntelyyn vastaamiseen, tietoverkkojen jatkuvaan ylläpitoon ja turvallisuuden varmistamiseen muuttuvassa uhkaympäristössä”, hän summaa.