Digitaalisessa turvallisuudessa on kyse tekniikasta, kulttuurista ja harjoittelusta

Kaikki yhteiskunnan osa-alueet ovat tänä päivänä riippuvaisia digitaalisesta tiedosta, sen luotettavuudesta ja turvallisesta käsittelystä. Kun asiat ovat kunnossa, tiedon käsittely aina sen luonnista siirtämiseen ja varastointiin onnistuu. Turvallisista järjestelmistä tieto ei vuoda vääriin käsiin, eikä jouduta tilanteisiin, joissa joku ulkopuolinen taho voi sen avulla haitata tai estää toimintaa.

Yritysten digitaalinen turvallisuus on noussut yhteiskunnallisesti merkittäväksi riskiksi. Kulunut vuosi on tehnyt selväksi, etteivät ammattilaisten varoitukset ole pelkkää tuomiopäivän puhetta, vaan kyse on aidosta uhasta. Palvelunestohyökkäykset, haitta- ja kiristysohjelmat sekä verkkorikollisuus ovat yleistyneet Suomessa niin julkisella kuin yksityiselläkin sektorilla. Esiin on tullut kriittisiä puutteita ja haavoittuvuuksia näennäisesti valmiissa järjestelmissä.

Myös terveydenhuollon kaltainen konkreettinen toiminta perustuu digitaaliseen tietoon. Ihmistä hoidetaan hänestä kerättävien ja aiemmin tallennettujen tietojen avulla, jonka lisäksi hoidossa käytettävät välineet pohjautuvat myös digitaaliseen tietoon. Tiedon saatavuus ja luotettavuus ovat potilastyössä keskeisiä. Haasteet tietojärjestelmä Apotin käyttöönotossa ovatkin saaneet paljon julkisuutta. Toistaiseksi suomalaisista häiriötilanteista on kuitenkin selvitty pääosin harmilla ja ylitöillä.

Kukin organisaatio vastaa omasta digitaalisesta turvallisuudestaan. Se voidaan jakaa kolmeen keskeiseen kokonaisuuteen: tekniikkaan, kulttuuriin ja harjoitteluun. Tekniikan osalta olennaista on järjestelmien ylläpito ja päivitys sekä suojautuminen asianmukaisilla ja ajantasaisilla tietoturvaohjelmistoilla ja palveluilla. Kulttuurilla puolestaan tarkoitetaan sitä, että aihe mielletään tärkeäksi yritysjohtoa myöten ja sen suhteen ryhdytään toimiin, henkilöstön osaamista teknisten asioiden osalta kehitetään ja heitä herätellään esimerkein. Vaikka häiriötilanteita on lähes mahdotonta estää, niihin voi varautua ja niitä voi harjoitella. Varautuminen ja harjoittelu parantavat yritysten kykyä palautua erilaisista häiriötilanteista.

Henkilöstöjohtajamme Minna Ääri kirjoitti viime syksynä blogiimme omia tuntemuksiaan siitä, millaista tietoturvaharjoituksessa oli HR:n näkökulmasta ja mitä siitä pystyi oppia. Lue Minnan blogi täältä.

Yhdessä harjoittelu nostaa esiin yllättäviä heikkouksia digitaalisessa turvallisuudessa

Huoltovarmuuskeskuksen Digipooli verkostoineen auttaa yrityksiä varautumaan yllättäviin tilanteisiin. Tällainen, yksityisen ja julkisen sektorin laaja yhteistyö kyberhäiriöhin varautumisessa on poikkeuksellista myös kansainvälisesti tarkasteltuna. Verkosto auttaa yrityksiä ja viranomaisia ennakoimaan mahdollisia ongelmatilanteita, kuten jakamalla ajantasaista tietoa digitaalisesta turvallisuudesta sekä harjoittelemalla häiriötilanteita varten. Yhdessä harjoittelun etuna on, että se konkretisoi toimijoiden keskinäisriippuvuuksiin ja yhteistoimintaan liittyvät haasteet, joita muuten ei välttämättä havaittaisi.

Juuri tästä on kyse Digipoolin kahden vuoden välein organisoimassa TIETO-harjoituksessa. Tänä vuonna TIETO20 harjoittaa elintarvikealan valmistuksen, kaupankäynnin ja logistiikan parissa toimivien yritysten ja viranomaisten turvallisuutta. Käsikirjoitettuun, mutta mahdolliseen häiriötilanteeseen pohjautuvassa harjoituksessa käydään pelimäisesti läpi, mitä yhtäaikaiset tapahtumat kullekin toimijalle tarkoittaisivat ja miten vaikutuksiin voitaisiin valmistautua.

Mukana on suuri joukko elintarvikehuoltoon liittyviä yrityksiä ja heidän kanssaan toimivia viranomaisia sekä yleisviranomaisia. Aiemmissa TIETO-harjoituksissa on onnistuttu löytämään yritysten oman toiminnan kehityskohtien lisäksi koko toimialaa ja jopa Suomea koskettavia ongelmia. Vaikka kyseessä on työajassa mitattuna merkittävä investointi, on yhteisharjoitus kuitenkin tehokas tapa selvittää kipukohdat, joita pitkiin, monimuotoisiin ja keskinäisriippuvaisiin arvoketjuihin muodostuu. Jos harjoitellaan vain omaa toimintaa, eikä milloinkaan yhdessä muiden keskeisten toimijoiden kanssa, jäävät tällaiset kriittiset riippuvuudet havaitsematta.

TIETO20:n peli alkaa maailmasta, joka vastaa todellisuutta. Kuvitteellisessa osiossa skenaariota hankaluudet muodostuvat sellaisesta tapahtumien yhteisvaikutuksesta, jollaista Suomessa ei ole koettu. Pelkkien tuttujen, jo koettujen tilanteiden harjoittelusta ei saataisi yhtä paljon hyötyä. Tuntemattomalla maaperällä toimiminen kiinnittää huomion uusiin kehityskohteisiin. Sen on iso etu, sillä myös haitallinen kybertoiminta kehittyy koko ajan.

Tarkemmat tiedot TIETO20-harjoituksesta löytyvät täältä: https://www.huoltovarmuuskeskus.fi/tieto20-harjoitus/

IBM tarjoaa digitaalisen turvallisuuden edistämiseen laajan kirjon tuotteita ja palveluita kyberturvallisuusstrategiasta tekoälyä hyödyntäviin tietoturvan valvontapalveluihin (Security Operation Center, SOC). Tutustu IBM:n kattavaan tietoturvatarjoomaan täältä.