Nykyisestä geopoliittisesta tilanteesta johtuen oli vallalla suuret odotukset siitä, että myös suomalaisten organisaatioiden kyberturvahäiriöt ja niihin liittyvät poikkeamat tulisivat huomattavasti kasvamaan kuluneen kesän ja tämän syksyn aikana.
Tässä blogitekstissä tarkastelen kyseistä aihetta katsomalla viimeisten kuukausien tapahtumia sekä pyrin nostamaan esiin trendejä ja ohjeita, miten valmistautua, reagoida sekä toipua mahdollisista toteutuneista kyberuhista ja niihin liittyvistä riskeistä.
Kyberturvallisuuden pitäisi olla osa organisaation kokonaisturvallisuutta, riskien hallintaa ja laadunvarmistusta. Sen lähtökohtana tulee olla liiketoiminnan tukeminen ottaen kokonaisvaltaisesti huomioon myös kriittiset prosessit ja toimintavarmuuden.
Kyberturvan ei pitäisi olla mikään irrallinen asiakokonaisuus ilman, että sillä on vaikutusta organisaation kokonaistoimintaan ja tavoitteisiin pääsemistä. Käytännössä siis kyberturvan voi ajatella liiketoiminnan kriittiseksi tukifunktioksi, jossa on tarpeelliset ja oikeasti mitoitetut kyvykkyydet sekä ihmisten, prosessien sekä teknologioiden osalta, jotta organisaatio pystyy toimimaan ennakoivasti sekä myös häiriötilanteessa toteuttamaan liiketoimintatavoitteitaan.
Yleisesti ottaen kyberturvauhat eivät merkittävästi ole muuttaneet muotoaan kuluneiden kuukausien aikana. Vallalla olevat trendit ja hyökkäysvektorit ovat edelleen seuraavat ja näistä kaikista löytyy esimerkkitapauksia ihan julkisista lähteistä:
- Kalasteluviestit ja huijaukset
- Kiristyshaittaohjelmat
- Haavoittuvuudet, varsinkin verkkopalveluissa
- Palvelunestohyökkäykset eri muodoissaan
En aio kuitenkaan käydä noita esimerkkitapauksia tarkemmin läpi, mutta niiden perusteella kyberturvallisuuteen liittyvät asiat pitäisi ottaa vakavasti organisaatioiden jokaisella tasolla, oli kyseessä sitten valtiollinen toimija, julkisen sektorin organisaatio, teknologiatoimittaja, IT-palvelun tarjoaja, sosiaalisen median palvelun toimittaja tai yleisesti ottaen minkäkokoinen tahansa organisaatio toimialasta riippumatta.
Valitettavasti mitään yksittäistä hopealuotia ei ole olemassa, vaan organisaatioiden tulee edelleen panostaa kerrokselliseen kyberturvaan, joka lähtee liikkeelle identiteeteistä ja päätelaitehallinnasta, jota tuetaan monilla muilla teknologioilla ja prosesseilla ihmisten toimesta.
Rikolliset ja uhkatoimijat lähtökohtaisesti tavoittelevat taloudellista hyötyä vaikkakin joissain tapauksessa motiivi voi olla myös toinen esim. yrityssalaisuuksien varastaminen tai vaikuttaminen eri muodoissaan, mutta kohteeksi voi kuitenkin joutua mikä organisaatio tahansa, joko suoraan tai välillisesti esim. toimitusketjun kautta tai koska ovat osa kriittisen toimijan toimitusketjua.
Aiheellista onkin kysyä, että miksi sitten nuo samat trendit sekä teemat vaikuttavat pysyvän samoina ja mitä kannattaisi tehdä?
Syitä tuohon löytyy useita, mutta tärkeimpinä nostan seuraavat:
1. Usein ei ole tiedossa tai hyvin ymmärretty se, että mikä on organisaation kypsyystaso liittyen kyberriskien tunnistamiseen, niiltä suojautumiseen, niiden havaitsemiseen sekä käsittelyyn mukaan lukien niistä toipumisen. Tämä johtaa siihen, että kyberriskien hallinta ei optimaalisella tasolla tue liiketoimintaa sekä tarvittavia investointeja ei osata kohdentaa oikealla tasolla tarvittaviin kyvykkyyksiin.
2. Viime vuosien aikana on ruvettu laajamittaisemmin ymmärtämään kyberturvallisuuden tarve ja tärkeys, mutta siihen liittyvää tekemistä ei kuitenkaan ole täysin saatu integroitua osaksi organisaation jokapäiväistä operatiivista toimintaa. Tässä on hyvä huomioida, että kyberturvallisuus ei ole pelkästään ’teknisiä’ ratkaisuja ja teknologioita vaan se kattaa myös prosessit sekä ihmiset ml. yleisen kyberturvallisuustietoisuuden.
3. Kyberturvallisuuteen liittyvä johdon raportointi oikealla helposti ymmärrettävällä tavalla on haastavaa ja tämä saattaa johtaa siihen, että kyberturvallisuuteen liittyvien tarpeellisten investointien kohdentaminen hankaloituu, koska ylin johto ei osaa nähdä niille arvoa vaan kokevat ne vaan lisäkuluina.
Suositeltavaa olisi, että organisaatiot ottaisivat laajemmin käyttöön kyberriskeihin ja uhkatietoon perustuvan toimintamallin. Tämä edesauttaisi sitä, että kyberturvallisuudesta tulisi osa organisaation jokapäiväistä toimintaa ja operatiivinen tekeminen muuttuisi enemmän ennakoivaksi nykyisestä reaktiivisista. Pitää kuitenkin muistaa, että osana liiketoiminnan ja organisaation resilienssiä myös kyberturvallisuushäiriöihin liittyvä reagointi- ja toipumiskyvykkyys tulee löytyä.
Laita perusasiat kuntoon – suojaudut kyberturvallisuusuhkilta
Yhteenvetona, digitalisointi on ollut yleinen trendi jo vuosikausia useilla toimialoilla ja se on tuonut mukanaan uusia kyberturvallisuusuhkia ja -riskejä. Ne eivät tule poistumaan, mutta saattavat muuttaa muotoon, jolloin niihin pitää pyrkiä varautumaan mahdollisimman hyvin. Käytännössä kuitenkin perusasioiden kuntoon laittaminen on suositeltava ensimmäinen vaihtoehto, ja sillä pääsee jo pitkälle.
Perusasioiksi luen esimerkiksi tietoturvamonitoroinnin ja niihin liittyvien tapahtumien hallinnan, haavoittuvuuksien hallinnan, työntekijöiden kyberymmärryksen kasvattamisen ja johdon sitoutumisen sekä aktiivisen johtamisen riittävillä panostuksilla kyberturvallisuuden kehittämiseen. Kaikkea tuota ei kuitenkaan kannata ja tarvitse tehdä organisaation omilla sisäisillä resursseilla, vaan suositeltavaa on harkinnanvaraisesti löytää sopiva tasapaino kumppaneiden käytölle.
Mikäli sinulla heräsi kysymyksiä tai tarve keskustella asioista, me elisalaiset olemme käytettävissäsi. Meiltä löytyy tarvittava kokemus ja tietotaito auttaa organisaatioita kokonaisvaltaisesti muun muassa kyberturvallisuuspalveluiden kyvykkyyksissä. Tuon käytännön osaamisen olemme hankkineet turvatessamme omaa toimintaamme sekä asiakkaidemme kriittisiä liiketoimintoja jo useiden vuosien ajan.
Tutustu Elisan Kyberturvapalveluihin ja asiantuntijapalveluihin.
Lue myös
Kuinka varautua poikkeamiin kyberturvallisuudessa? Näin varmistat toimintakyvyn harjoittelemalla
Varautuminen on maraton, ei 100 metrin juoksu
Varaudu kyberhyökkäykseen – kyse ei ole jos, vaan milloin
Kyberturvallisuuden tärkeys korostuu poikkeusaikoina
Kaikki artikkelitKirjoittanut
