Eikö kyberturvallisuus olekaan vain IT-osaston asia?
Kyberturvallisuus mielletään usein IT-osaston vastuuksi, vaikka todellisuudessa se koskee koko yritystä.
Se pitäisikin nähdä koko organisaation yhteisenä vastuuna, ei vain teknisenä kysymyksenä. Mutta kenellä on viime kädessä vastuu, ja miksi sen pitäisi olla yrityksen johdolla?
Teknisestä riskistä liiketoimintariskiksi
Kyberturvallisuusriskit mielletään helposti teknisiksi riskeiksi, vaikka ne ovat pikemminkin liiketoimintariskejä. Pahimmillaan ne voivat vaikuttaa yrityksen toiminnan jatkuvuuteen, talouteen, maineeseen ja asiakkaiden luottamukseen. Siksi johdon ei tulisi olla pelkästään tietoinen näistä riskeistä, vaan myös määritellä, kuinka paljon niiden hallintaan panostetaan, kuka siitä vastaa ja miten havaittuihin uhkiin reagoidaan. Kokonaisuutta tulisi käsitellä jatkuvasti hallittavana liiketoiminnan jatkuvuusriskinä.
Mitä kyberhyökkäys tarkoittaa liiketoiminnan jatkuvuudelle?
Kuvitellaan esimerkiksi tilanne, jossa yrityksen asiakkuudenhallintajärjestelmä joutuu kyberhyökkäyksen kohteeksi. Työntekijät eivät pysty tekemään töitään, asiakastietoihin voidaan päästä käsiksi eikä uusia sopimuksia päästä tekemään. Teknisesti kyse on IT-häiriöstä, mutta esiin nousevat kysymykset liittyvät ennen kaikkea liiketoiminnan jatkuvuuteen. Se, kuinka suureen käyttökatkoriskiin yritys varautuu ja kuinka nopeasti sen on pystyttävä palautumaan, ovat juuri niitä liiketoiminnallisia kysymyksiä, joista organisaation johdon tulee päättää.
Kuten mekin aiemmin uutisoimme, syyskuussa voimaan tullut CRA:n eli EU:n kyberkestävyyssäädöksen ilmoitusvelvollisuus on konkreettinen esimerkki siitä, miksi kyberturvallisuus ei voi olla vain IT-osaston vastuulla. Kun tietoturvapoikkeamasta voi syntyä yritykselle ilmoitusvelvollisuus jo 24 tunnin kuluessa, organisaation on päätettävä vastuista ja toimintatavoista etukäteen. Tekniset asiantuntijat voivat selvittää poikkeamaa, mutta yrityksen on johdettava kokonaisuutta niin, että tarvittavat päätökset pystytään tekemään lyhyessäkin ajassa.
Tekninen toteutus voidaan delegoida, vastuuta ei
Usein kuitenkin ajatellaan: ”Johdon ei tarvitse ymmärtää kyberturvallisuuden teknisiä yksityiskohtia. Sitä varten meillä on IT-asiantuntijat ja kumppanit.”
Osittain väite onkin oikeassa. Johdon tehtävänä ei ole konfiguroida palomuureja tai ratkaista teknisiä tietoturvaongelmia. Sen pitää kuitenkin ymmärtää riskit ja niiden laajuus sekä arvioida, riittävätkö käytettävissä olevat resurssit kyberhyökkäyksen sattuessa. Liiketoimintariskin omistajuus pysyy aina johdolla, eikä sitä voi siirtää teknisen toteutuksen mukana IT-osastolle.
Kolme kysymystä johtoryhmälle
Johtoryhmän ei tarvitse ratkaista teknisiä yksityiskohtia, mutta sen on tehtävä liiketoiminnan jatkuvuutta koskevat päätökset. Keskustelun voi aloittaa kolmella kysymyksellä:
- Mitkä ovat liiketoimintamme kannalta kriittisimmät järjestelmät ja tiedot?
- Mitä niiden menettäminen tai toiminnan keskeytyminen tarkoittaisi liiketoiminnalle
- Tiedämmekö, kuinka nopeasti pystyisimme palautumaan?
Vastaukset paljastavat nopeasti, ovatko vastuut selvät, varautuminen riittävää ja päätöksenteko mahdollista myös paineen alla. Kun johto tuntee liiketoiminnan kannalta kriittiset kohteet ja hyväksyttävän riskitason, kyberriskien hallinta ei jää yksittäisten teknisten ratkaisujen varaan.
Jos haluat lukea lisää aiheesta, suosittelemme vilkaisemaan Kyberturvallisuuskeskuksen tekemään opasta.
