Yhtiöt irtaantuvat Turun kaupungin yhteisestä IT-ympäristöstä – Netox valittiin uudeksi IT- ja kyberturvan palvelukumppaniksi

Turun kaupungin ylläpitämästä keskitetystä IT-ympäristöstä irtaantuu kuusi yhtiötä. Netox Oy valittiin IT- ja kyberturvan palvelukumppaniksi julkisen kilpailutuksen kautta.

Aikaisemmin yhtiöt toimivat osana kaupungin yhteistä IT-ympäristöä, eikä niillä ole ollut mahdollisuuksia rakentaa IT:tä omista tarpeistaan käsin. Irtaantuminen mahdollistaa myös kustannusten hallinnan eri kokoisissa kaupunkiyhtiöissä.

“Yhteisympäristössä on eri kokoisia yhtiöitä ja kaupungin organisaatio, sekä yhteiset järjestelmälisenssit kaupungin kanssa. Tästä on seurannut se, että pienimmissäkin kaupunkiyhtiöissä on ollut käytössä suuriin organisaatioihin tarkoitetut lisenssit. Pelkästään tämän järkeistämisellä saadaan aikaan säästöjä, kun kaupunkiyhtiöt voivat hankkia lisenssit, jotka sopivat juuri tietyn yhtiön tarpeisiin”, kilpailutuksessa mukana ollut Kaarea Oy:n IT-päällikkö Tero Nylund sanoo.

Nylund siirtyi hiljattain Turun kaupungin palveluksesta Kaarean IT-järjestelmistä vastaavaksi päälliköksi. Kaarea on yksi kuudesta IT-uudistusta tekevästä yhtiöstä, jotka olivat mukana kilpailutuksessa.

Nylund tuntee Turun kaupungin IT-järjestelmät pitkältä ajalta, sillä hän on työskennellyt niiden parissa lähes 25 vuotta. Nylund vastasi teknisestä määrittelystä myös kaupungin toteuttamassa yhtiöiden IT-järjestelmien ja tietoturvapalveluiden kilpailutuksessa.

Tarpeita vastaava IT ja luotettava kyberturva

Turussa uudistuksen taustalla on muun muassa kiristyvä tietoturvan sääntely. Uudistuksessa kriittisiä toimintoja ylläpitäville yhtiöille rakennetaan niiden tarpeita vastaavat IT- ja kyberturvan järjestelmät.

Jatkossa näiden kuuden yhtiön IT:n ja tietoturvan palvelut toimittaa yksi kumppani: Netox Oy.

Nylundin mukaan Netoxin valinta sekä IT:n että tietoturvapalveluiden kumppaniksi perustuu joustavaan, asiakaslähtöiseen tarjousprosessiin ja toimittajan korkealaatuiseen osaamiseen. Netox kykenee toimittamaan palvelut vaadituilla standardeilla.

“Netox valikoitui toimittajaksi monesta syystä. Ensinnäkin heiltä löytyivät kaikki vaaditut laatu-, kyberturva- ja ympäristösertifikaatit. Lisäksi Netox osoitti heti tarjouskilpailun alussa toimivansa asiakkaan tarpeista käsin. Netox on toiminut joustavasti ja tunnistanut, miten kaupungin eri yhtiöt toimivat, eikä pyrkinyt pakottamaan kaikkia samaan muottiin”, Nylund arvioi.

Netox toimittaa seuraavan neljän vuoden aikana kunkin yhtiön tarpeisiin räätälöidyt palvelut, jonka jälkeen sopimus jatkuu toistaiseksi voimassa olevana.

“Yhteinen kilpailutus oli asiakkaan hankinnan kannalta järkevä ratkaisu. Kilpailutuksen edetessä halusimme alusta alkaen ottaa huomioon kunkin yhtiön yksilöllisen kokonaisuuden. Rakennamme IT:n loogisena kokonaisuutena, joka tukee korkean tason tietoturvan vaatimuksia”, Netoxin asiakasvastaava Nina Ekman sanoo.

”On erinomaista, että Turku näyttää suuntaa, miten IT ja tietoturva toteutetaan laadukkaasti”, Ekman jatkaa.

Netox toimittaa yhtiöille muun muassa seuraavat palvelut:

• Kyberturvapalvelut (mm 24/7 SOC)
• Toimialue (Entra), pilvipalvelut
• Tietoliikennepalvelut
• Kapasiteettipalvelut
• Integraatiopalvelut
• Verkkokauppapalvelu
• Tietosuojapalvelut
• Päätelaitepalvelut
• Loppukäyttäjäpalvelut
• Lisenssipalvelut
• Kehittämis- ja asiantuntijapalvelut
• Loppukäyttäjä- sekä pääkäyttäjäkoulutukset

Tietoturvatapahtumat raportoitava 24 tunnissa

Netox vastaa järjestelmän ympärivuorokautisesta SOC-valvonnasta.

“Kun valvomme järjestelmää, jonka itse rakensimme, kykenemme reagoimaan viiveettä sekä tietoturvatapahtumiin, mutta myös IT-järjestelmien päivitystarpeisiin ilman välikäsiä tai vastuun pallottelua. Tämä on suoraviivainen kumppanuus, jossa kyberturva on nivottu kiinteäksi osaksi kokonaisuutta”, Ekman sanoo.

EU-direktiivi NIS2 astuu voimaan lokakuussa. Se velvoittaa yhteiskunnan kriittistä infraa sekä palveluja järjestäviä yhtiöitä reagoimaan havaittuihin tietoturvatapahtumiin 24 tunnin sisällä ensimmäisestä havainnosta.

“Kaupungin nykyinen IT-ympäristö on rakennettu yhden juridisen toimijan, kaupungin, tarpeisiin. Kun kaupungin organisaatiorakenteeseen on muodostunut useita erilaisia juridisia yksiköitä, kuten osakeyhtiöitä, järjestelmät eivät vastaa optimaalisella tavalla erilaisten toimijoiden tarpeisiin. Erityisesti yhtiöiden kyky järjestää tietoturvansa uusien vaatimusten mukaisesti olisi ollut haastaavaa ilman uudistusta”, Nylund sanoo.

Tiedonkulku läpi organisaatiokerrosten tulisi tapahtua NIS2:n vaatimusten mukaisesti 24 tunnissa. Moniportaisessa kaupunkiorganisaatiossa tämä olisi vähintään haastavaa.

”NIS2 selkeyttää vastuunjakoa ja velvoittaa yhtiöt huolehtimaan IT-ympäristöstään ja tietoturvastaan. Yhtiöt ovat oma juridinen yksikkönsä ja nyt vastuut ovat aikaisempaa yksiselitteisemmät: yhtiöt ovat vastuussa IT:n ja tietoturvan järjestämisestä. Merkittävin asia IT-ympäristön uudistuksessa on se, että yhtiöt saavat nyt IT-järjestelmiinsä ja tietoturvaansa jatkuvan näkyvyyden”, Nylund painottaa.

Käyttövaltuuksien hallinta on keskeinen osa tietoturvan kokonaisuutta 

Aikaisemmin käyttövaltuuksien ylläpitäminen on teettänyt suuren määrän manuaalista työtä. Tätä voidaan vähentää tai automatisoida kokonaan oikein rakennetuilla järjestelmillä.

“Pelkästään Kaareassa on käsitelty lähes 700 käyttövaltuuspyyntöä vuonna 2023. Kyseessä on valtuuksien avaaminen, uusiminen tai poistaminen, ja tämä on tehty käsityönä. Jatkossa tällainen työ jää kokonaan pois, kun järjestelmät ovat yhtiöiden näkökulmasta tarkoituksenmukaisia. Esimerkiksi meillä Kaareassa tämä on ensimmäisiä asioita, joka tullaan automatisoimaan”, Nylund kertoo.

Yhtiöiden käyttöönottoprojektit ovat nyt alkaneet. Sekä yhtiöt että Netox odottavat uuden toimintamallin käynnistymistä ja tulevan sujuvan, tietoturvallisen arjen alkamista.