Uusi hankintalaki muuttaa inhouse-yhtiöiden sekä suomalaisen ohjelmistoalan pelikenttää. Laki määrittää julkisen sektorin inhouse-yhtiöiden käyttöä tarkemmin. Muutos pakottaa monet kunnat ja hyvinvointialueet arvioimaan uudelleen palveluja, joita ne ovat aiemmin hankkineet sidosyksiköiltään. Osa näistä palveluista tulee nyt avoimeen kilpailutukseen.
Tämä on suomalaiselle ohjelmistoyritykselle positiivista, mutta ovet eivät jatkossakaan aukea pelkällä hyvällä tuotteella.
Sidosyksikkömallissa ostaja tunsi toimittajan, toimintamallit ja riskit jo ennestään. Luottamus oli syntynyt ajan myötä. Kun palvelu kilpailutetaan avoimelta markkinalta, sama luottamus pitää rakentaa todisteiden varaan.
On totta, että kun käsillä on hajanaisempi toimittajakenttä, riskejä voi olla vaikeampi havaita. Tästä syystä esimerkiksi turvallisuusvaatimukset tarjouspyynnöissä tulevat todennäköisesti kiristymään.
“Moni ohjelmistoyritys pitää hankintalain muutosta ostajan ongelmana. Todellisuudessa se muuttaa myös myyjän asemaa. Kun tietoturvavaatimukset tulevat tarjouspyynnöissä yhä tarkemmiksi, etua saa se, joka pystyy osoittamaan tietoturvansa riippumattomasti. Jos näyttö pitää rakentaa jokaiseen kilpailutukseen tyhjältä pöydältä, tietoturvan todistamisesta tulee nopeasti kallista myyntityötä.” — Petri Aukia, Into Securityn hallituksen jäsen, Software Finlandin hallituksen jäsen
Markkina aukeaa helpommin, jos pystyt todistamaan tietoturvan tason
Kun ostaja ei enää voi nojata tuttuun inhouse-toimittajaansa, nousee uusia kysymyksiä ja sitä myöten myös vaatimuksia. Missä dataa säilytetään? Keitä ovat toimittajan alihankkijat, ja kuka ne omistaa? Miten toimitusketju on dokumentoitu, ja kestääkö se tarkastelun?
Näillä kysymyksillä hankintayksikkö pyrkii hallitsemaan riskejä ja varmistamaan, että toimittajavalinta kestää tarkastelun.
Suomalaiselle ohjelmistoalalle tämä on mahdollisuus. Meiltä löytyy korkeatasoista tietoturvaosaamista, ja moni softayritys rakentaa sen huolella osaksi palvelujaan ja ohjelmistotuotettaan.
Ongelma on harvoin osaamisessa. Kitkaa on pikemminkin sen todentamisessa. Miten yritys pystyy osoittamaan tietoturvansa ulkopuoliselle uskottavasti, niin että ostaja voi nojata todisteeseen omassa päätöksessään? Julkisessa hankinnassa päätöksen perusteiden pitää kestää myös jälkikäteinen tarkastelu.
Sertifiointi antaa yhteisen kielen
ISO 27001 -sertifiointi vastaa osaltaan tähän. Sen ytimessä on tietoturvan hallintajärjestelmä eli rakenne, jossa riskit on tunnistettu, vastuut määritelty ja toimitusketju käyty läpi järjestelmällisesti.
ISO 27001 ei korvaa hankintakohtaisia vastauksia, mutta se tekee niiden antamisesta paljon helpompaa, koska niiden taustalla on valmiiksi rakennettu, dokumentoitu ja auditoitu hallintajärjestelmä.
Vielä olennaisempaa on, että akkreditoidussa sertifioinnissa riippumaton sertifiointielin on todentanut hallintajärjestelmän vaatimustenmukaisuuden. Ostajan ei tällöin tarvitse nojata pelkästään toimittajan omaan vakuutteluun, kun riippumaton kolmas osapuoli on auditoinut asian.
Julkisessa hankinnassa tämä on erityisen arvokasta, sillä ostaja joutuu perustelemaan valintansa ja varautumaan mahdollisiin valituksiin. Todennettuun tietoturvan hallintaan on helpompi nojata päätöksenteossa. Usein ostaja vaatii tarkempaa kuvausta, mikä tarkoittaa – ilman sertifiointia – työläämpää tarjousliitettä.
Sertifikaatti on siis paitsi tapa osoittaa tietoturvan hallintaa myös osa ostajan riskienhallintaa. Se tekee toimittajan arvioinnista helpompaa ja näyttöön perustuvaa.
Käytännössä tämä näkyy jo tarjouspyynnöissä. ISO 27001 -sertifikaatti tai muu näyttö tietoturvan järjestelmällisestä hallinnasta esiintyy kilpailutuksissa yhä useammin toimittajalle asetettuna vaatimuksena. Sertifioidulle yritykselle näyttö on valmiina; ilman sertifikaattia sen osoittaminen voi vaatia huomattavasti enemmän dokumentointia.
Ohjelmistotoimittaja, joka vasta tarjousvaiheessa alkaa koota tarvittavia liitteitä, on jo myöhässä.
”Näen uuden hankintalain suomalaiselle ohjelmistoalalle ennen kaikkea mahdollisuutena. Se näkyy jo kysynnässä: yhä useampi asiakas hakee sertifiointia päästäkseen mukaan julkisiin kilpailutuksiin. Ratkaisevaa on, että pystyy osoittamaan tietoturvansa ostajalle uskottavasti. ISO 27001 on tähän selkein tapa — se on kuin yhteinen kieli, jonka julkinen ostaja tunnistaa ja johon hän voi nojata omassa päätöksessään.”
— Niki Klaus, Into Securityn toimitusjohtaja
Ajoitus ratkaisee
Hallintajärjestelmää ei rakenneta viikossa. Se on tavallisesti 3–6 kuukautta kestävä prosessi, jossa toimintatavat käydään tarkoin läpi, ne dokumentoidaan ja otetaan käyttöön niin, että päästään auditointiin.
Ajoitus on strateginen kysymys. Kun kiinnostava tarjouspyyntö on pöydällä ja siinä edellytetään ISO 27001 -sertifikaattia, on liian myöhäistä aloittaa.
Samaan aikaan myös EU:n data- ja kyberturvasääntely lisää vaatimuksia toimittajien ja niiden alihankintaketjujen turvallisuudelle.
Suunta on siis selvä. Ne suomalaiset ohjelmistoyritykset, jotka rakentavat tietoturvan todennettavuuden nyt, ovat etulyöntiasemassa.
Niki Klaus
toimitusjohtaja, Into Security
Petri Aukia
hallituksen jäsen, Into Security
hallituksen jäsen, Software Finland ry
Into Security tukee sekä nuoria kasvavia että vakiintuneita ohjelmistoyrityksiä ISO 27001 -hallintajärjestelmän rakentamisessa ja sertifiointiin valmistautumisessa. Jos olet miettinyt, miten tietoturvanne täyttäisi julkisen hankinnan turvallisuusvaatimukset, ota yhteyttä, niin keskustellaan lisää.