Defence in Depth – Kyberturvan monikerroksinen suoja pitää kurssin vakaana

Pitkäjänteistä ja vahvaa kyberpuolustusta

Defence in Depth on kyberturvallisuusstrategia, jossa teknologia, ihmiset ja prosessit muodostavat monikerroksisen suojauksen.

Kuvittele rahtialus, joka seilaa myrskyisällä merellä. Aluksen kyydissä on kaikki liiketoimintasi kannalta arvokas: järjestelmät, data ja kriittiset liiketoimintaprosessit. Matkan varrella laivaa uhkaavat pinnan alla vaanivat jäävuoret, äkilliset myrskyt ja hyökkäykset yllättävistä suunnista. Kyse ei ole katastrofielokuvan juonesta, vaan digitaalisesta todellisuudesta, jonka kanssa useimmat verkkoon liittyneet organisaatiot elävät päivittäin.

Uudessa videossamme näytämme, että pelkkä vahva runko tai taitava kapteeni ei riitä kuljettamaan arvokasta lastia turvallisesti perille. Tarvitaan strategia, jossa yksittäinen puolustuskerros ei ole ratkaisu – vaan koko järjestelmän yhteispeli luo todellisen suojan. Tätä tarkoittaa Defense in Depth.

Mitä tarkoittaa Defence in Depth kyberturvassa?

Defense in Depth eli syvyyssuuntainen puolustus on vakiintunut kyberturvallisuusstrategia, jonka myös Yhdysvaltain kansallinen standardi- ja teknologiainstituutti (NIST) määrittelee seuraavasti:

”Tietoturvastrategia, jossa yhdistyvät ihmiset, teknologia ja toimintamallit. Tavoitteena on luoda monikerroksisia esteitä, jotka suojaavat organisaation eri osa-alueita ja tehtäviä.”

Toisin sanoen – kyse ei ole yhdestä teknisestä ratkaisusta tai kertaluontoisesta toimenpiteestä, vaan koko organisaation infrastruktuuriin rakentuvasta turvaverkosta: teknisestä, organisatorisesta ja inhimillisestä.

Strategian ytimessä on kolme toisiinsa kietoutuvaa ulottuvuutta:

• Ihmiset: Henkilöstön riskitietoisuus, toimintakyky ja osaaminen toimia oikein paineen alla.
• Prosessi: Rakenteet, käytännöt ja päätöksenteon selkeys, jotka mahdollistavat nopean ja oikea-aikaisen reagoinnin.
• Teknologia: Järjestelmät ja työkalut, jotka suojaavat, havaitsevat ja palauttavat – automatisoidusti ja reaaliajassa.

Defense in Depth ei ole vain tekninen kehys, vaan se on strategia organisaation kokonaiskestävyyden rakentamiseen.

Defence in Depth ja NIST-viitekehys

Vakaa ja pitkäkestoinen kyberpuolustus perustuu kyvykkyyksiin, jotka kannattelevat koko digitaalista matkaa. NIST Cybersecurity Framework 2.0:n mukaan tarvitaan kuusi keskeistä osa-aluetta, jotka yhdessä rakentavat resilienssiä pitkälle tulevaisuuteen. Lue lisää NIST:n viitekehyksestä täältä (PDF).

Jos ajattelemme digitaalista ympäristöämme jälleen laivana merellä, turvallinen matka vaatii:

• Governance – Ohjaus ja vastuut: Kuka on ruorissa? Onko strategia, budjetti ja päätösvalta kunnossa?
• Identification – Riskien ja omaisuuden tunnistaminen: Mitä lastia kuljetetaan? Mitä uhkia, haavoittuvuuksia ja kriittisiä järjestelmiä on?
• Protection – Suojaava runko: Toimenpiteet, jotka estävät uhat: segmentointi, autentikointi, koulutus, palomuurit.
• Detection – Havainnointi: Anturit rungossa – lokitus, valvonta ja SOC, jotka havaitsevat poikkeamat ajoissa.
• Response – Reagointi: Mitä tapahtuu, kun hälytys soi? Roolit, vastuut ja toimet, joilla vaurioita rajataan.
• Recovery – Palautuminen kurssille: Varmuuskopiot, toipuminen, oppiminen ja jatkuvuus – hallitusti ja nopeasti.

Defence in Depth auttaa vastaamaan NIS2- ja DORA-vaatimuksiin

Nykyisessä sääntely-ympäristössä kyberturvastrategia ei ole vain suoja uhkia vastaan – se on myös vastaus vaatimuksiin ja lakeihin. Esimerkiksi:

• NIS2 asettaa tiukemmat vaatimukset riskienhallintaan, jatkuvuuteen, ilmoitusvelvoitteisiin ja kriittisen infrastruktuurin suojaamiseen.
• DORA keskittyy erityisesti rahoitussektorin digitaaliseen resilienssiin, kuten testaukseen ja kolmansien osapuolien hallintaan.
• AI Act ja Cyber Resilience Act vaativat, että tietoturva sisällytetään jo teknologioiden kehitysvaiheeseen.

Yhteinen nimittäjä on se, että tekninen ja organisatorinen tietoturva on nähtävä toisiinsa kytkeytyvinä – ja että vaatimustenmukaisuus on jatkuvaa työtä, ei kertaprojekti. Yritysjohdolla on lopulta vastuu riskienhallinnasta ja tietoturvapolitiikasta.

Vaikka sääntely voi tuntua kuormittavalta, oikein toteutettuna se luo mahdollisuuden rakentaa kestävää turvaa ja liiketoimintahyötyjä – resilienssiä, joka tuo kilpailuetua.

Teknologiat, jotka tukevat Defence in Depth -strategiaa

Monikerroksisen puolustuksen rakentaminen vaatii teknologiaa, mutta ennen kaikkea eri järjestelmien yhteispeliä. NetNordic toimii järjestelmäintegraattorina ja tekee yhteistyötä alan johtavien toimittajien kanssa tarjotakseen kokonaisvaltaisen ja hajautetun kyberturvaympäristön – sellaisen, jossa kokonaisuus on enemmän kuin osiensa summa.

Palomuurit

Palomuurit ovat olennainen osa organisaation puolustuslinjaa. Ne valvovat ja säätelevät verkkoliikennettä suojatakseen luvattomalta pääsyltä, tietovuodoilta ja sääntelyrikkomuksilta. Tehokas palomuuritoimittaja tarjoaa:

• Huipputason päätepisteen suojauksen XDR- ja ennakoivilla teknologioilla.
• Vahvan verkon suojan, joka ulottuu datakeskuksesta pilveen.
• Pilviturvan, jossa arkkitehtuuri on yhtenäinen sijainnista riippumatta.
• AI-pohjaisen ja automatisoidun SOC-toiminnallisuuden, joka yhdistää koko turvaympäristön.

Segmentointi

Segmentointi on Zero Trust-ajattelun ytimessä. Sen tarkoituksena on estää hyökkäyksen eteneminen rakentamalla “muureja” eri resurssien ympärille. Näin sivusuuntainen liikkuminen vaikeutuu, ja luvaton pääsy ympäristön muihin osiin estetään. Tärkeitä osa-alueita ovat:

• Työkuormien segmentointi riippumatta siitä, sijaitsevatko ne on-premise, pilvessä tai säiliöissä.
• Lateral movementin (sivuttaisliikkeen) estäminen – jos yksi osa murretaan, se ei saa avata koko järjestelmää hyökkäykselle.
• Näkyvyys järjestelmäviestintään ja kyky toteuttaa segmentointipolitiikka ilman suuria arkkitehtuurimuut

Mikrosegmentointi on tärkeä askel kohti kestävää ja reaktiivista kyberturvaa niin, että yksittäinen hyökkäys ei pääse leviämään laajalle.

Turvallisuustietoisuus

Koska ihmiset ovat usein hyökkäysten ensisijaisia kohteita, suojaamisen on alettava yksilöistä. Inhimillinen kyberturva ei voi olla vain iskusana – sen on oltava strategia. Tärkeää on:

• Sähköpostisuojauksen rakentaminen edistyneillä ennakoivilla teknologioilla.
• Kohdennettu, riskiperusteinen kyberkoulutus – nano-oppiminen ei riitä, jos altistuminen vaihtelee roolien ja tilanteiden mukaan.
• DLP-ratkaisut, jotka ehkäisevät tietovuotoja ja hallitsemattomia tietokatoja myös tekoälyn, pilvipalveluiden ja sisäisten uhkien näkökulmasta.

Avainasemassa on linkki teknologian ja käyttäytymisen välillä – turvaverkko, jossa työntekijät pysyvät jatkuvasti ajan tasalla kyberuhkista.

Miten NetNordic voi auttaa

NetNordic ei ole pelkkä teknologiatoimittaja – olemme kumppani ja järjestelmäintegraattori, joka rakentaa kokonaisvaltaisen kyberpuolustuksen liiketoimintanne tarpeiden, riskien ja kypsyystason pohjalta. Lähdemme liikkeelle teidän matkastanne, kuormastanne ja todellisuudestanne.

Autamme sinua:

• Tunnistamaan riskit ja suojattavat kohteet.
• Valitsemaan oikeat teknologiat ja varmistamaan, että ne toimivat yhdessä.
• Yhdistämään ihmiset, prosessit ja teknologiat saumattomaksi kokonaisuudeksi.
• Täyttämään sääntelyvaatimukset tavalla, joka tuottaa liiketoimintahyötyjä.
• Varmistamaan, että käytössä olevat (tai rakenteilla olevat) suojaukset todella toimivat – että ympäristö on tarpeeksi kestävä ja suojaava.

Todellinen resilienssi on kykyä jatkaa matkaa – myös myrskyn jälkeen. Se vaatii hajautettua, johdonmukaista strategiaa, jossa jokainen vaihe, navigoinnista palautumiseen, on osa samaa kokonaisuutta.

Siksi tarvitsemme myös jatkuvaa ”entä jos?” -ajattelua – jossa testataan oletuksia, haastetaan kyvykkyyksiä ja rakennetaan järjestelmä, joka kestää myös muuttuvissa olosuhteissa.