Harrastamme vaimoni kanssa kesäisin merimelontaa. Tämän kesän tavoitteenamme oli opetella vihdoin kajakkipyörähdys. Se on erittäin tehokas suojautumiskeino hätätilanteessa, mutta koko lajin turvallisuusajattelu tähtää siihen, että pyörähdystä ei edes joutuisi käyttämään.
Nykyaikainen IT-ympäristö on monimutkainen, ja tietoturvauhat muuttavat jatkuvasti muotoaan. Yhden tietoturva-aukon paikkaaminen on vain lyhytkestoinen riemu, sillä kyberrikollisten automatisoidut hyökkäykset jatkavat väsymättä uusien haavoittuvuuksien etsintää. Vain varautuminen, harjoittelu ja toimiminen varautumissuunnitelman mukaan auttaa.
Kajakkipyörähdyksestä on helppo löytää yhtäläisyyksiä tietoturvaan ja sen käsitteisiin. Kyseinen manööveri on melko haastava, varsinkin minun kaltaiselleni melojalle, jonka liikkuvuus on hyvin lähellä ratakiskoa. Pyörähdyksen harjoittelu asentotajun menettämisineen luo erittäin hyvää pohjaa sille, että poikkeustilanteessa meloja pystyy ajattelemaan loogisesti ja toimimaan harkitusti opeteltujen rutiinien mukaisesti.
Looginen toiminta ja harkinta ovat avainasemassa myös tietoturvan saralla. Jokaisen palvelun aukoton tukkiminen tietoturvauhilta on mahdotonta, joten on tärkeää pitää huolta, että ongelmista tiedetään nopeasti ja niihin pystytään reagoimaan. Etukäteen pahimman pelkääminen ei auta – oli kyse sitten kyberturvallisuudesta tai kaatumisesta kylmässä ja myrskyisessä vedessä.
Viisi tietoturvaohjenuoraa, ihan jokaiselle
Kannustan kaikkia yrityksiä käymään toiminnallisen tietoturvan avainasiat läpi niin laajan joukon kesken kuin suinkin mahdollista. Yritysjohdon agendalle nämä kuuluvat itsestään selvästi, mutta vähintään perustason tietämys on saatava levitettyä joka ainoalle työntekijälle:
- Tärkein asia ensin: tietoturvaa ei voida laittaa kuntoon projektina, piste. Kyseessä on jatkuva prosessi, joka vaatii riittävää resursointia ja sisäistä viestintää.
- Tietoturvaa ei voi koskaan ulkoistaa. Tietoturva ei kuulu pelkästään IT-osastolle, vaan jokaisella on siinä rooli.
- Käyttäjien osaamisen ja tietoturvatietoisuuden tasosta on huolehdittava jatkuvasti. Yksittäinen koulutus tai sisäinen ohjeistus eivät riitä: kertaus on oppimisen äiti.
- Varautuminen, varautumissuunnitelmat ja kriisitilanteiden harjoittelu on välttämätöntä. Ongelman osuessa kohdalle nopeus on äärimmäisen tärkeää, ja se on mahdollista vain, kun organisaatio tietää mitä pitää tehdä.
- Tiedonhallinnan prosessien on oltava selkeitä. Mitä tallennetaan ja minne, kauanko tietoja säilytetään ja kuka omistaa minkäkin tiedon.
Verkon, käyttäjien ja sovellusten valvontaan pitää investoida. Kaikkien organisaatioiden on varauduttava etukäteen reagoimaan mahdollisiin poikkeamiin. Tämä kyvykkyys ei synny tyhjästä, eikä pelkkä jatkuvuussuunnitelmadokumentaatio auta tositilanteessa. Teoreettisen kyvykkyyden lisäksi tarvitaan resursoimista joko omaan osaamiseen sekä kumppanien palveluihin, ja varsinkin käytännön harjoittelua havainnoinnista ja toimenpiteistä.
Tarvittavan harjoittelun määrää ei voi etukäteen aliarvioida. Säännöllinen varautumisharjoittelu vaatii organisaatiolta paljon, samoin kuin kajakkipyörähdyksen opetteleminen perusmelojalta. Mutta sinnikkään harjoittelun ja satojen toistojen jälkeen mekin saimme pyörähdyksen onnistumaan. Vaimo pääsi jo tasolle, jossa pyörähdys on varma ja rutiininomainen, minulla riittää vielä opeteltavaa.
Mikäli aihe herätti kiinnostuksesi, niin lue tästä mitä valmiuspäällikkö Antti Nyqvist kertoo valmiusharjoituksista ja tämän hetken kybertilannekuvasta!
