Kyberturvallisuus johtoryhmän ja hallituksen näkökulmasta

Arvoisat hallituksen jäsenet ja yritysjohdon edustajat,

IT- ja OT-turvallisuus kuuluvat tämän päivän suurimpiin haasteisiin sekä julkisella että yksityisellä sektorilla. Johtajina meillä on vastuu ymmärtää ja hallita näitä riskejä. Tämän kirjoituksen tarkoituksena on tarjota näkemyksiä siitä, kuinka voimme kohdata keskeisimmät haasteet ja välttää yleisimmät sudenkuopat. Meidän on luovuttava ”rasti ruutuun” -ajattelusta ja keskityttävä konkreettisiin toimenpiteisiin – mitä tehdään ja miten. Tämä on ennen kaikkea johtamisen kysymys.

Henkilökohtainen kokemukseni

Muutama vuosi sitten koin lähes paniikinomaisen oivalluksen siitä, kuinka alttiita olimme yrityksenä kyberuhille sekä siitä, millaisiin toimenpiteisiin tulisi ryhtyä tietoturvariskien pienentämiseksi. Hallituksen ja johdon näkökulmasta IT-turvallisuuden on katettava kolme keskeistä osa-aluetta:

• Liiketoiminnan jatkuvuuden turvaaminen
• Ajan ja kustannusten säästäminen
• Toiminnan kehittäminen ja vaatimustenmukaisuus

Koulutukseltani olen kauppatieteilijä, ja olen työskennellyt teknologia-alalla noin 25 vuoden ajan. Siirtyessäni ylimpiin johtotehtäviin olen vähitellen etääntynyt teknisistä yksityiskohdista, samalla kun teknologinen kehitys on kiihtynyt. Paniikinomainen tunteeni kumpusi siitä, että siirryimme tarjoamaan kriittisen infrastruktuurin hallintapalveluita asiakkaillemme. Pelkoni oli, ettemme menneet riittävän syvälle emmekä olleet tarpeeksi konkreettisia. Ulkoiset uhat voisivat vaurioittaa tai lamauttaa infrastruktuuriamme, jolloin myös toimituskykymme ja asiakkaamme kärsisivät.

Tietoturvasta ja vaatimustenmukaisuudesta puhutaan paljon, mutta usein keskustelut jäävät pinnallisiksi. Ymmärryksemme ei aina ole riittävä, ja päätöksiä tehdään liian hataralla pohjalla. ”Rasti ruutuun” -syndrooma on yleinen ongelma: todellisuus ja tavoitteet eivät kohtaa. Syvälle meneminen on haastavaa, mutta keskeisiä tekijöitä ovat tieto, resurssit, prioriteetit, naivius, organisaatiokulttuuri ja riskinottohalukkuus.

Tässä yhteydessä haluan keskittyä tietoon ja niihin osa-alueisiin, joita johdossa aliarvioidaan. Liian usein tyydymme otsikoihin ja iskulauseisiin. Seminaari- ja konferenssitason keskustelut eivät riitä – tarvitaan konkreettisia toimia.

Kunnianhimo ja konkretia

IT-turvallisuuteen liittyy paljon väärinkäsityksiä ja käsitteellistä epäselvyyttä. Tarkoituksena ei ole eksyä tähän viidakkoon, vaan nostaa esiin usein aliarvioituja alueita, joissa heikkoudet ovat suurimmat – jopa organisaatioissa, jotka panostavat turvallisuuteen ja ottavat aiheen vakavasti. Keskustelut harvoin johtavat oikeisiin lopputuloksiin, jos ne käydään mustavalkoisina. Kaikki ymmärtävät, että sävyeroja on, mutta joskus asioita on yksinkertaistettava, jotta saadaan aikaan keskustelua – ja tarvittaessa myös tervettä kitkaa.

Nostetaan IT-turvallisuuden tavoitetasoa. Asteikolla 0–10 arvosana 7 ei ole riittävän hyvä. Ajatus siitä, että tasolle 9 pääseminen olisi kohtuuttoman kallista, täytyy kyseenalaistaa – vaikka se onkin osittain totta, jos yritys kuvittelee pystyvänsä hallitsemaan koko kentän yksin ilman ulkopuolista tukea.

Kun tavoitetasosta on yhteisymmärrys, voidaan tunnistaa ne alueet, joissa heikkoudet korostuvat, kun perusasiat ja itsestäänselvyydet on jo hoidettu. Ilman erityistä järjestystä nämä ovat:

Tieto ja tahtotila vievät eteenpäin

Onko alkuperäinen paniikkini laantunut? Kyllä. Kukaan ei voi antaa täydellisiä takuita, mutta varmistamalla arvoketjun kriittiset kohdat voidaan hallita riskejä sekä omalta että asiakkaidemme osalta. Saamme asiakkailtamme noin 1,5 miljoonaa tapahtumaa sekunnissa. Lähteet ovat moninaisia. Teknologian, ihmisten ja prosessien yhteispeli on ratkaisevaa turvallisuuden takaamiseksi ja kriittisen infrastruktuurin toimintavarmuuden säilyttämiseksi. Järjestelmällinen ja kokonaisvaltainen lähestymistapa on menestyksen edellytys.

Elämme monimutkaisessa maailmassa, jossa turvallisuusuhkat laajenevat jatkuvasti. Yksikään organisaatio ei voi tehdä kaikkea, mutta jokainen voi osaltaan parantaa kokonaisturvallisuutta.

Oli kyseessä sitten julkinen tai yksityinen organisaatio, tavoitteemme on liiketoiminnan kehittäminen, strategioiden toteuttaminen ja päämäärien saavuttaminen. Emme halua menettää mahdollisuuksia, ja IT-turvallisuus on merkittävä uhka tavoitteillemme. Tämän torjumiseksi tarvitsemme kattavan ja kestävän turvallisuusstrategian.

Onko teillä muutama sotilas, joukkue vai kokonainen puolustusvoima? Todelliset uhat piilevät yksityiskohdissa. ”Riittävän hyvä” on oltava tietoinen päätös, ja meidän ei pidä aliarvioida elementtejä, joita on perinteisesti pidetty vähäpätöisinä. Yksityiskohtien ymmärtäminen ja oikean fokuksen asettaminen ovat olleet tämän keskustelun keskiössä. Kaikki alkaa tavoitteista ja päättyy johtajuuteen.