Tietoturvauhat ovat seurausta inhimillisestä toiminnasta, teknologisista haavoittuvuuksista tai rikollisesta toiminnasta.
Inhimilliset virheet ja huolimattomuus, loppukäyttäjään kohdistuvat uhkatekijät, heikot salasanat, laitteiden katoaminen ja esimerkiksi ohjelmistojen päivittämättä jättäminen voivat avata hyökkääjille oven yrityksen verkkoon.
Teknologisiin haavoittuvuuksiin liittyvistä tietoturvauhkista saa parhaiten ajantasaista ja luotettavaa tietoa seuraamalla kansallisia kyberturvallisuusviranomaisia, globaaleja haavoittuvuustietokantoja, kuten NIST National Vulnerability Databasea (NVD), sekä laitevalmistajien omia tiedotuskanavia.
Tietoturvauhat eivät odota budjettikierrosta
Traficomin Kyberturvallisuuskeskus julkaisee Suomessa jatkuvaa tilannekuvaa, varoituksia ja tiedotteita ajankohtaisista haavoittuvuuksista ja tietoturvauhista. Kyberturvallisuuskeskus raportoi vuosittain jopa yli 18 000 erilaista tietoturvapoikkeamaa, noin 50 päivässä.
Vertailun vuoksi yritysten liike- ja toimistorakennuksissa, sekä tuotanto- ja varastorakennuksissa tapahtuu vuosittain noin 1200 tulipaloa vuodessa eli noin 3,3 päivässä.
Paloturvallisuudesta on määritelty tarkasti sprinklerin paineet, palohälyttimien sijainti, poistumistiet ja poistumissuunnitelma. Mutta mitä tapahtuu, kun ransomware osuu yrityksen tietojärjestelmiin?
Tietoturvaan liittyvät lait ja direktiivit ohjaavat yrityksiä toimimaan pääsääntöisesti ”parhaalla mahdollisella tavalla” eli best effort -periaatteella sekä ”parhailla mahdollisilla kyvykkyyksillä” eli best practices -mallilla tietoturvauhkia vastaan. Siksi tietoturvaa ei kannata käsitellä vain yksittäisenä IT-kuluna, vaan osana liiketoiminnan jatkuvuutta.
Tietoturva hukkuu helposti IT-budjettiin
Kokemusperäisesti yli 9/10 yrityksen IT-päättäjästä ei osaa sanoa, kuinka suuri kulu tietoturva on yritykselle tai kuinka paljon yrityksessä vuosittain budjetoidaan tietoturvaan.
Tämä johtuu yksinkertaisesti siitä, että tietoturvakomponentit kirjataan pääsääntöisesti osaksi koko vuosittaista IT-budjettia, samanarvoisena kuin sivukonttorin 5G-liittymä.
Ongelma on selkeä: jos tietoturvaa ei eroteta omaksi kokonaisuudekseen, sitä on vaikea johtaa, kehittää ja perustella.
Käytännön askeleet tietoturvaan ja varautumiseen
Jokaisen organisaation tulisi rakentaa varautumisensa seuraaville peruspilareille:
Riskien arviointi
Kartoita organisaation kriittiset tiedot ja järjestelmät sekä niihin kohdistuvat uhat.
Tekniset suojaukset
Varmista järjestelmien säännölliset päivitykset, käytä monivaiheista tunnistautumista (MFA) ja vahvoja salasanoja.
Organisaation osaaminen
Kouluta henkilöstöä tunnistamaan tietoturvauhat, kuten huijausviestit.
Toimintasuunnitelmat
Laadi selkeät ohjeet ja toimenpiteet tietomurron tai muun häiriön varalle: kuka johtaa tilannetta, miten viestitään ja miten järjestelmät palautetaan. Harjoittele toimintamalleja myös käytännössä. Se tuo varmuutta, jos tai kun tilanne osuu kohdalle.
Tietoturvan budjetointi on strateginen investointi
Tietoturvan budjetointi on strateginen investointi liiketoiminnan jatkuvuuteen. Kustannukset jakautuvat kolmeen pääluokkaan, henkilöstöön, teknologiaan ja toimintamenoihin.
Realistisen budjetin laatiminen vaatii riskien arviointia, auditointeja ja jatkuvaa seurantaa. Budjetoinnin kolme peruspilaria ovat henkilöstön koulutus, ulkoistetut asiantuntijapalvelut ja konsultointi.
Teknologiaratkaisuja ovat esimerkiksi ohjelmistot, laitteet, lisenssit ja palvelut. Keskeisiä investointeja ovat esimerkiksi palomuurit, monivaiheinen tunnistautuminen (MFA), päätelaitteiden suojaus ja näiden koventaminen, esimerkiksi Microsoftin Defender Suite -ratkaisuilla.
Toimintamenoihin kuuluvat esimerkiksi health checkit, auditoinnit, skannaukset, sertifioinnit, kuten ISO 27001, tietoturvapoikkeamiin varautuminen ja vakuutukset.
Lähde liikkeelle riskienhallinnasta
Lähde liikkeelle riskienhallinnasta, älä budjetoi sokkona.
Selvitä ensin, mitkä ovat organisaatiosi kriittisimmät tiedot ja järjestelmät. Kohdenna resurssit suurimpien riskien mukaan. Jos järjestelmä tai ohjelmisto on elintärkeä yrityksen toiminnan kannalta, se tulisi myös suojata kriittisyyden mukaisesti.
Liiketoimintakriittisten järjestelmien ja varmistusten suojaamisesta voit lukea lisää Zero Trust -mallia käsittelevästä blogistamme.
Tietoturva on koko yrityksen asia, ei vain IT-osaston taakka. Johdon tuki on elintärkeää, jotta budjetille saadaan riittävät resurssit ja jotta sisäinen viesti muuttuneista toimintatavoista ja asenteesta tietoturvauhkiin saa ansaitsemansa huomion.
Viitekehykset tuovat ryhtiä tietoturvan suunnitteluun
Hyödynnä valmiita viitekehyksiä. Esimerkiksi ISO 27001 -standardi auttaa hahmottamaan ja hallitsemaan tietoturvallisuuden osa-alueita järjestelmällisesti.
Viitekehykset tarjoavat kattavan ja auditoitavan mallin tietoturvallisuuden suunnitteluun, toteuttamiseen, ylläpitämiseen ja jatkuvaan parantamiseen.
Esimerkiksi NIST Cybersecurity Framework eli CSF keskittyy viiteen yrityksen kannalta tärkeään ydintoimintoon tiedon turvaamiseksi: tunnista (Identify), suojaa (Protect), havaitse (Detect), reagoi (Respond) ja palauta (Recover).
Viitekehykset tarjoavat listaa parhaista käytännöistä ja teknisistä toimenpiteistä, joihin yrityksen tulisi kiinnittää huomiota, kun suunnitellaan ja budjetoidaan tietoturvaan liittyviä tarpeita. Tämä pätee myös silloin, kun tarkoituksena ei ole suorittaa varsinaista sertifiointia kyseiseen viitekehykseen.
Viitekehyksen käyttäminen tarjoaa konkreettisia, toteutettavia askelmerkkejä esimerkiksi laitteiden ja ohjelmistojen hallintaan, jotka estävät yleisimpiä hyökkäyksiä.
Kansainväliseen standardiin perustuvan viitekehyksen käyttö myös yhdenmukaistaa käytänteitä ja luo pohjan käsitellä tietoturvaan liittyviä hankkeita ja muutoksia pitkällä aikavälillä, vaikka yrityksen päättäjät vaihtuisivat matkan varrella.
Selkeät askelmerkit auttavat reagoimaan uhkiin
Selkeät askelmerkit auttavat reagoimaan uhkiin. Tietoturva ja tietoturvauhat eivät kehity lineaarisesti.
Uusia globaaleja uhkia löytyy lähes päivittäin. Ne saattavat johtaa suuriin muutoksiin yrityksen tietoturvakäytänteissä, käytettävissä teknologioissa tai molemmissa samanaikaisesti.
Reagointinopeus ja valmius nousevat merkittävään rooliin erityisesti tekoälyaikakaudella, kun osa hyödynnetyistä haavoittuvuuksista olisi ollut mahdollista estää olemassa olevalla päivityksellä. Uhkiin reagoinnista ja niiden varhaisesta havaitsemisesta voit lukea lisää Microsoft Defender XDR- ja Sentinel-ratkaisuja käsittelevästä blogistamme.
Marskidata auttaa rakentamaan tietoturvalle selkeän polun
Marskidatan sertifioidut asiantuntijat auttavat asiakkaita tietoturvahankkeissa koko elinkaaren aikana. Alun riskien ja nykytilan arvioinnin jälkeen luodaan yhdessä yrityksen johdon kanssa selkeä polku sille, kuinka tietoturvaa lähdetään kehittämään kriittisyysjärjestyksessä.
Prosessi käynnistetään projektinomaisesti, mutta samalla luodaan tarvittavat tarkastuspisteet esimerkiksi vuosittaisille tarkastuksille, raportoinnille, dokumentoinnille ja jatkuvalle kehitykselle.
Kun tietoturva budjetoidaan näkyvästi ja johdetaan suunnitelmallisesti, siitä tulee kuluerän sijaan keino suojata liiketoimintaa ja varmistaa jatkuvuus.
Haluatko selvittää, miten yrityksesi tietoturvaa kannattaa kehittää ja budjetoida? Marskidatan asiantuntijoilta saat lisätietoa aiheesta ja näkemyksiä oman organisaatiosi tarpeisiin.
