Kyberkriisin ensimmäisinä tunteina tietoa on vähän, mutta päätöksiä pitäisi tehdä nopeasti. Kyberasiantuntijat kertovat, mitä yrityksessä pitäisi tapahtua silloin, kun tilanne on jo päällä.
Syyskuussa 2025 kiristyshaittaohjelma sekoitti useiden eurooppalaisten lentokenttien toiminnan yhtäaikaisesti. Lähtöselvitysautomaatit lakkasivat toimimasta, tarkastuskortteja kirjoitettiin käsin ja lentokentät ruuhkautuivat. Satoja lentoja peruttiin tai siirrettiin.
Hyökkäys ei kohdistunut suoraan lentoyhtiöihin tai lentokenttiin, vaan niiden käyttämään järjestelmätoimittajaan Collins Aerospaceen. Yhden palveluntarjoajan häiriö levitti ongelmat nopeasti lentokentille eri puolille Eurooppaa.
Miten hyökkäys eteni ja miksi yhden palveluntarjoajan järjestelmän kaatuminen aiheutti kaaoksen lentokentillä ympäri Eurooppaa? Kuuntele koko tarina Kyberrosvot-podcastin uusimmasta jaksosta. Jos et ehdi kuunnella nyt, klikkaa podcast seurantaan Spotifysta ja kuuntele kun sinulle sopii! Juttu jatkuu podcast-upotuksen jälkeen.
Milloin kyberkriisistä tulee johdon asia?
Viime syksynä lentokentillä nähtiin, kuinka nopeasti järjestelmähäiriö voi muuttua koko yrityksen kriisiksi.
Kaikki tietoturvapoikkeamat eivät kuitenkaan vaadi kriisiorganisaation käynnistämistä, muistuttaa DNA:n kyberturvapalveluista vastaava johtaja Kaapro Kanto.
Hänen mukaansa johto kannattaa kuitenkin ottaa mukaan mieluummin aiemmin kuin myöhemmin.
“Operatiivisella porukalla hallittu ongelma voi helposti eskaloitua merkittäväksi. Silloin on myöhäistä alkaa hallita kriisiä”, Kanto kommentoi podcastissa.
Se, kenen vastuulla kriisin johtaminen sitten on, riippuu täysin organisaatiosta. Ison organisaation tietoturvaorganisaatiosta voi jo löytyä kyberjohtamisen ammattilainen, kun taas pienemmässä yrityksessä kriisin läpivieminen saattaa olla yksittäisen IT-johtajan vastuulla.
Toimitusjohtaja on tottunut johtamaan organisaatiota, mutta hän ei Kannon mukaan ole välttämättä paras valinta kriisijohtajaksi.
“Kriisijohtaminen on hyvin toisen tyyppistä toimintaa. Siellä on tärkeää, että osataan antaa tekijöille toimintarauha, samalla kun muut organisaation resurssit ja osat jatkavat toimintaa”, hän sanoo.
Kriisissä päätöksiä tehdään myös olettamusten varassa
Kriisin alkuvaiheessa organisaatio ei välttämättä vielä tiedä, kuinka vakavasta tilanteesta on kyse tai kuinka pitkään se kestää. Päätöksiä ei silti voi lykätä siihen asti, että kaikki on varmaa.
Finnairin tietoturvajohtaja Timo Arndal vertaakin podcastissa kyberkriisiä pelastuslaitoksen toimintaan:
“Kun hälytys mahdollisesta rakennuspalosta tulee, paikalle voidaan lähettää aluksi useita yksiköitä. Jos ensimmäisenä paikalle saapuva yksikkö toteaa, että kyseessä on perus nakit ja muusi -keikka, niin sitten de-eskaloidaan tapausta”, Arndal sanoo.
Samalla tavalla tehtiin Finnairilla, kun tieto Collins Aerospacen häiriöistä saavutti Arndalin syyskuisena lauantai-aamuna.
“Tieto tuli viikonloppuna, hälytettiin resursseja, sitten todettiin, että ei olekaan tarve ja pystymme laskemaan vastetta”, hän muistelee.
Hän korostaa, että kriisitilanteessa on aina faktoja, oletuksia ja täysin huhuja.
“Tilannejohtohuoneessa pitää pystyä erottelemaan asiat toisistaan: nyt päätämme faktojen pohjalta, nyt olettamusten pohjalta – niillä on eri painoarvot”, Arndal sanoo.
Hän suosittelee myös kirjaamaan ylös, minkä tietojen valossa päätökset on tehty.
“Voimme jälkeenpäin todeta, että väärä päätös on voinut olla oikea sen hetken tiedoilla.”
Kaikki ei koskaan mene “by the book”
Kriisin ensimmäisinä hetkinä on kaikkein tärkeintä, että organisaatiossa lähdetään toimimaan. Tässä auttavat etukäteen laaditut toimintamallit ja pelikirjat.
Finnairin Arndalin mukaan täydellistä käsikirjoitusta ei voi tehdä.
”Ikinä ei mene kaikki by the book. Aina tulee joku hikka ja jostain opitaan”, hän sanoo.
Pelikirjan tehtävä ei olekaan ennustaa jokaista mahdollista tapahtumaa, vaan varmistaa, ettei muuttuvan tilanteen keskellä tarvitse miettiä perusasioita.
“Kun on rakennettu malli ja johtovastuut, niin peruskuviot ja resurssit ovat valmiina”, hän sanoo.
Timo Arndal Finnairilta (vas.) ja Kaapro Kanto DNA:lta (oik.) pohtivat kyberkriiseihin varautumista uusimmassa Kyberrosvot-podcastin jaksossa. Podcastia juontaa Peter Nyman.
Kriisiä kannattaa harjoitella
Ilmailualalla poikkeustilanteiden harjoittelulla on pitkät perinteet. Arndal kertoo, että harjoittelukulttuuria on pystytty Finnairilla hyödyntämään myös IT:ssä ja kyberturvallisuudessa.
“Meillä on paljon yhteisharjoituksia liiketoimintojen, IT:n, toimittajien ja kumppaneiden kanssa. Niissä käydään oikeasti läpi sitä, mitä tapahtuu, jos jokin kriittinen järjestelmä ei toimikaan”, Arndal sanoo.
Monesti prosessi on joko täyspysähtyminen, tai sitten siirtyminen manuaalikäytäntöihin.
“Harjoittelun kautta löydämme parannustoimet – se on arvokasta tekemistä joka kerta.”
Arndalin mukaan kivuliaat keskustelut ja pohdinnat rooleista ja päätöksistä kannattaa käydä harjoituspöydässä läpi, jotta tositilanteessa toiminta on sujuvampaa.
“Yllätyksiä tulee aina, mutta ehkä vähän vähemmän”, hän lisää.
DNA:n Kaapro Kannon mieleenpainuvimmat harjoitukset ovat olleet sellaisia, joissa osallistujat eivät ole etukäteen tienneet olevansa harjoituksessa.
“Silloin ei ehdi kerrata toimintamallia ennen ”koetta”, vaan tilanteessa joutuu toimimaan oman osaamisen ja harjoiteltujen käytäntöjen varassa”, hän kertoo.
Myös kriisin päättämistä kannattaa harjoitella, eli missä vaiheessa tilanne voidaan purkaa, miten palataan normaaliin toimintaan ja miten tilanteesta viestitään henkilöstölle ja kumppaneille.
Miten kriisiryhmä kootaan? Mitä kriisin viestinnässä usein unohdetaan? Millaisten kysymysten ympärille varautuminen kiteytyy? Kuuntele koko tarina ja keskustelu Spotifysta, YouTubesta tai mieleiseltäsi podcast-alustalta.
Kyberrosvot on kansainvälisesti palkittu Tivin & DNA:n yhteistyössä toteuttama true crime -podcast, joka esittelee kiinnostavia kyberrikostapauksia Suomesta ja ulkomailta. Sukella kyberrikosten maailmaan ja tutustu kaikkiin Kyberrosvot-jaksoihin.
