Tämä kirjoitus päättää kolmiosaisen blogisarjan, jossa olemme tarkastelleet sisäisiä riskejä eri näkökulmista Euroopan kyberturvallisuuskuukauden hengessä. Sarjan aiemmissa osissa pohdimme, miten sisäiset riskit ovat muuttuneet ja olemmeko muuttuneet niiden mukana sekä sitä, miksi sisäiset riskit eivät synny tyhjiössä.
Lokakuu on Euroopan kyberturvallisuuskuukausi (ECSM), jonka tavoitteena on lisätä tietoisuutta kyberturvallisuudesta ja turvallisista toimintatavoista.
Osana tätä keskustelua Marskidatalta osallistuimme syyskuun lopussa Microsoft-kumppanimme järjestämään sisäisten riskien ja tietovuotojen megatrendejä käsitelleeseen webinaariin. Webinaarissa nousivat esiin tietovuotojen taustatekijät, muuttuva uhkaympäristö, sisäisten riskien hallinta sekä teknologiat, joilla poikkeamia voidaan tunnistaa ja ehkäistä.
Kyberturvallisuudesta käytävä keskustelu keskittyy kuitenkin usein teknologiaan, prosesseihin ja erilaisiin uhkiin. Mutta entä ihmiset?
Toimin Marskidatalla palvelukoordinaattorina ja taustaltani olen palvelumuotoilija. Palvelumuotoilussa tarkastellaan muun muassa usein sitä, miten ihmiset toimivat, millaisia esteitä he kohtaavat ja miten toimintaympäristö vaikuttaa käyttäytymiseen.
Siksi webinaarin jälkeen jäin pohtimaan yhtä asiaa: Jos tiedämme jo melko hyvin, miksi sisäisiä riskejä syntyy, miksi puhumme niin vähän siitä, miten niiden syntymiseen voidaan vaikuttaa?
Tunnistamme ongelmat melko hyvin
Webinaarissa tunnistettiin useita sisäisten riskien taustatekijöitä, kuten:
- kiire
- epäselvät toimintamallit
- työpaineet
- muutostilanteet
- erilaiset henkilökohtaiset motiivit
Samalla korostettiin, että pelkkä tekninen havainto ei kerro koko tarinaa, vaan tapahtumien ymmärtämiseen tarvitaan myös kontekstia. Tämä oli mielestäni yksi webinaarin tärkeimmistä havainnoista.
Teknologia pystyy kertomaan, mitä tapahtui. Se voi näyttää poikkeaman, tunnistaa riskikäyttäytymistä tai nostaa esiin tapahtumaketjuja, mutta ei välttämättä kerro, miksi näin tapahtui. Juuri tässä kohtaa aloin itse pohtia asiaa palvelumuotoilijan näkökulmasta.
Entä jos riskienhallinta alkaa ennen ensimmäistä hälytystä?
Tietoturvassa puhutaan paljon havainnoinnista, valvonnasta ja poikkeamien tunnistamisesta. Ne auttavat tunnistamaan tilanteita, joissa jotain odottamatonta on jo tapahtunut.
- Mutta entä se vaihe ennen ensimmäistä hälytystä?
- Miten uusi työntekijä perehdytetään turvallisiin toimintatapoihin?
- Miten tietoturvallisia toimintatapoja ylläpidetään ja kehitetään työntekijän näkökulmasta?
- Miten turvallisesta toimintamallista tehdään aidosti helpoin vaihtoehto arjen työssä?
- Miten työntekijä uskaltaa kysyä neuvoa ennen kuin tekee virheen?
- Ja miten työyhteisössä reagoidaan silloin, kun jokin menee pieleen?
Palvelumuotoilijan näkökulmasta juuri näissä kysymyksissä piilee paljon sellaista riskienhallintaa, jota ei löydy lokeista, hälytyksistä tai raporteista. Kyse ei ole pelkästään teknologiasta. Kyse on myös toimintakulttuurista, johtamisesta, perehdytyksestä ja tavoista, joilla ihmisiä tuetaan onnistumaan työssään.
Voiko empatia olla osa turvallisuuskulttuuria?
Empatiaa ei yleensä mainita tietoturvakeskusteluissa. Silti jäin pohtimaan, voisiko sillä olla suurempi merkitys kuin usein ajattelemme.
Jos ihmiset voivat joutua vaikuttamisen, manipuloinnin tai värväyksen kohteiksi, on myös organisaation kyvyllä tunnistaa haavoittuvia tilanteita merkitystä. Siksi ihmisten ymmärtäminen ei ole tietoturvasta erillinen asia vaan osa sitä.
Ehkä juuri tästä syystä turvallisuuskulttuuria kannattaa tarkastella myös inhimillisestä näkökulmasta. Ihminen, joka kokee tulevansa kuulluksi, arvostetuksi ja tuetuksi, sitoutuu usein helpommin yhteisiin toimintamalleihin. Samalla kynnys kysyä neuvoa tai kertoa virheestä madaltuu. Juuri tällaiset tilanteet voivat estää virheiden kasvamisen varsinaisiksi tietoturvapoikkeamiksi.
Sisäisten riskien hallinnassa puhutaan paljon teknologisista kontrollimekanismeista. Vähemmän puhutaan siitä, millainen vaikutus luottamuksella ja avoimella keskustelukulttuurilla voi olla turvalliseen toimintaan.
Turvallisuuskulttuuri ei synny pelkästään ohjeista tai valvonnasta. Se rakentuu myös arjen kohtaamisissa.
Marskidatan tapa toimia tukee myös turvallisuuskulttuuria
Webinaarin jälkeen peilasin aihetta myös Marskidatan toimintakulttuuriin. Marskidatan tavassa toimia korostuvat avoimuus, arvostus, laadukkuus ja luotettavuus. Meitä kannustetaan jakamaan tietoa, oppimaan virheistä, auttamaan toisiamme ja kehittämään toimintaa jatkuvasti. Virheiden esiin tuominen nähdään mahdollisuutena oppia, ei peiteltävänä asiana.
Nämä eivät ensisilmäyksellä kuulosta tietoturvakontrolleilta, mutta ne voivat vahvistaa turvallisuuskulttuuria merkittävästi.
Jos organisaatiossa uskalletaan kysyä, kertoa virheistä ja nostaa huolia esiin ajoissa, saadaan näkyville myös sellaisia riskejä, joita järjestelmät eivät välttämättä tunnista. Ehkä juuri siksi turvallisuuskulttuurin ytimessä ovat myös ihmiset.
Sisäinen riski ei ole vain tietoturvatiimin asia
Webinaarissa nostettiin esiin tarve ymmärtää myös henkilöstöön liittyvää kontekstia teknisten havaintojen rinnalla. Mainittiin esimerkiksi työtehtävien muutokset ja muut organisaation tilanteet, jotka voivat auttaa ymmärtämään poikkeavia tapahtumia paremmin.
Tämä muistuttaa siitä, että sisäisten riskien hallinta ei ole vain tietoturvatiimin tehtävä. Mukana ovat myös HR, esihenkilöt, tietohallinto, johto ja koko työyhteisö. Sisäinen riski syntyy usein teknologian, prosessien ja ihmisten rajapinnassa. Siksi sen hallinta vaatii eri näkökulmien yhteistyötä.
Joskus kyse on ihan siitä, että muistamme empatian kohdatessamme toisemme. Työkaveri huomaa huonon päivän ja kysyy: ”Mitä sinulle kuuluu?”
Palvelumuotoilijan näkökulmasta juuri tässä on ehkä koko keskustelun ydin: turvallisuus ei synny yksittäisestä teknologiasta eikä yksittäisestä prosessista. Se rakentuu ihmisten, toimintatapojen ja teknologian yhteispelistä.
Miten tästä pääsee eteenpäin?
Teknologian rinnalla tarvitaan osaamista, toimintamalleja ja jatkuvaa kehittämistä.
Marskidata voi tukea organisaatioita esimerkiksi:
- henkilöstön tietoturvakoulutuksissa
- sähköpostin turvallisen käytön kehittämisessä
- tiedon suojaamiseen ja valvontaan liittyvissä ratkaisuissa
- DLP- ja sisäisen riskin hallinnan ratkaisuissa
- tietoturvan johtamisessa ja riskienhallinnassa
- tietoturvaprosessien ja toimintamallien kehittämisessä
- tietoturvaharjoituksissa
- asiantuntijaresursseilla tietohallinnon ja tietoturvan tueksi.
Näistä voit lukea lisää Marskidatan tietoturvapalveluista.
Kehitämme myös omaa toimintaamme jatkuvasti
Tietoturva ei ole meille vain teknologiaa tai yksittäisiä projekteja. Se on osa päivittäistä toimintaa, osaamisen kehittämistä ja vastuullista tapaa toimia asiakkaidemme, kumppaneidemme ja henkilöstömme kanssa.
Tietoturvan kehittäminen näkyy myös omassa toiminnassamme. Syksyllä 2026 kävimme läpi laajan ISO 27001 -auditoinnin, jonka tuloksena Marskidatalle myönnettiin tietoturvallisuuden hallintajärjestelmän sertifiointi.
Sertifiointi ei kuitenkaan tarkoita, että työ olisi valmis. Päinvastoin. Se muistuttaa jatkuvan kehittämisen merkityksestä. Samalla tavalla kuin sisäisten riskien hallinnassa, kyse on oppimisesta, toimintatapojen kehittämisestä ja siitä, että turvallisuus on luonteva osa jokapäiväistä työtä.
Kehitämme toimintaamme myös ISO 9001 -laatujärjestelmän periaatteiden mukaisesti. Jatkuva oppiminen, palautteen hyödyntäminen ja toiminnan kehittäminen ovat osa tapaamme toimia.
Marskidatan missiona on valjastaa teknologiset ratkaisut tukemaan inhimillisiä vahvuuksia. Siksi sisäisten riskien hallinnassa ei ole kyse pelkästään teknologiasta. Tarvitaan myös ymmärrystä ihmisistä, toimivia toimintatapoja ja turvallisuuskulttuuria, joka tukee ihmisiä onnistumaan työssään.
Jatketaan keskustelua
Sisäiset riskit eivät ole vain tietoturvatiimin asia. Ne koskettavat koko organisaatiota.
Jos organisaatiossanne pohditaan sisäisten riskien hallintaa, tietoturvakulttuurin kehittämistä tai henkilöstön tietoturvaosaamisen vahvistamista, kannattaa tutustua Marskidatan tietoturvapalveluihin tai olla yhteydessä asiantuntijoihimme.
Autamme mielellämme löytämään ratkaisuja, joissa huomioidaan sekä teknologia että ihmiset.
