Moni johtaja tuppaa näkemään tietoturvan IT-osaston asiana ja kulueränä. Käytännössä kyse on kuitenkin liiketoiminnan toimintakyvyn ja kasvun mahdollistamisesta. Häiriöt tietoturvassa voivat keskeyttää palveluiden tuotannon, aiheuttaa taloudellisia menetyksiä ja heikentää asiakkaiden luottamusta. Siksi sen pitäisi olla aktiivinen osa johtoryhmien kokousten agendoja.
Työni puolesta keskustelen mielelläni eri kokoisten yritysten johtajien kanssa siitä, kuinka heillä on tietoturva-asiat hoidettu. Varsin yleinen mielikuva on, että tietoturva on ihan hyvällä tasolla. Käytössä on tuttuja ja pitkältä ajalta hyväksi havaittuja suojausmenetelmiä, kuten palomuureja ja virusten torjuntaa. Henkilöstöäkin on koulutettu tyypillisimmistä tietoturvauhista.
Yleensä jo muutama yksinkertainen kysymys paljastaa, että tekemistäkin vielä on. Tiedättekö, missä yrityksen tärkeimmät tiedot sijaitsevat ja miten saatte ne palautettua tarvittaessa? Ovatko käyttäjätunnusten hallinta ja vahva tunnistautuminen ajan tasalla? Entä jos jotain epäilyttävää tapahtuisi – miten toimisitte?
IT-osastomme osaisi varmaan vastata näihin paremmin.
Hyvä ja osaava IT-osasto on kullanarvoinen, mutta johdon pitäisi pystyä tarjoamaan sille näkemys siitä, mikä on tärkeää ja tavoittelemisen arvoista.
Tietoturvalla on suora yhteys liiketoiminnan jatkuvuuteen, asiakkaiden luottamukseen ja kilpailukykyyn. Myös Suomen tuore kyberturvallisuuslaki, joka pohjautuu EU:n NIS 2 -direktiiviin, korostaa yritysjohdon vastuuta kyberturvallisuuden riskienhallinnasta.
Luonnollisesti johdon ei tarvitse tuntea jokaista teknistä yksityiskohtaa, mutta on tärkeää tietää, mitkä asiat voivat oikeasti vaikuttaa liiketoimintaan ja kuinka niihin liittyviä riskejä hallitaan. Siksi jokaisen johtoryhmän tulisi pysähtyä säännöllisesti arvioimaan tietoturvansa nykytilaa ja arvioida, miten se vastaa tämän päivän todelliseen uhkakuvaan.
Et voi johtaa mitä et näe
Yritykset mittaavat jatkuvasti liiketoimintansa tilaa, mutta tietoturvan tilaa arvioidaan usein vain silloin, kun jokin muuttuu tai jotain tapahtuu. Silti tietoturva on aivan yhtä lailla osa yrityksen toimintakykyä kuin talous, henkilöstö tai asiakastyytyväisyys.
Johdon näkökulmasta kyse on ennen kaikkea näkyvyydestä ja päätöksenteosta. Tietoturvan nykytilan selkeys, riskien tunnistaminen ja priorisointi auttavat ohjaamaan mahdolliset kehitystoimet sinne, missä niillä on eniten liiketoiminnallista merkitystä.
Usein kyse ei suinkaan ole uuden tietoturvapalvelun hankinnasta, vaan perustavanlaatuisista kysymyksistä, kuten:
- Mitä meidän tulisi suojata? Mitkä tiedot ja järjestelmät ovat liiketoiminnallemme niitä kaikista kriittisimpiä? Kenellä niihin on pääsy?
- Mitä tapahtuisi, jos jokin kriittinen järjestelmä olisi useamman päivän pois käytöstä? Millainen taloudellinen vaikutus sillä olisi?
- Kuinka reagoimme, jos jossain ilmenee poikkeama? Kuka sen huomaa ja kuinka ajoissa? Kuka ryhtyy mihinkin toimeen?
Tietoturvaa kannattaa käsitellä kuten muitakin liiketoiminnan riskejä. Kaikilta uhilta ei voi suojautua, mutta riskejä voi pienentää.
Hyvä tietoturva ei tarkoita, ettei mitään koskaan tapahtuisi. Olennaista on, että mahdolliset ongelmat havaitaan ajoissa, niihin reagoidaan ja liiketoiminta palautetaan normaaleihin uomiinsa mahdollisimman nopeasti ja hallitusti. Hyvä tietoturva luo edellytyksiä bisneksen jatkuvuudelle ja kasvulle. Jos asian tiivistäisi yhteen ajatukseen, se voisi olla tämä: kun tietoturva on kunnossa, johto voi tehdä päätöksiä luottavaisin mielin.
Pienilläkin kehitysaskelilla voi olla suuri vaikutus
Tietoturvan kehittäminen ei ole kaikki tai ei mitään -kysymys. Myös pienillä muutoksilla voidaan saavuttaa merkittäviä hyötyjä, erityisesti silloin, kun kehitystoimet kohdistetaan oikeisiin asioihin. Monesti yksittäinen parannus voi vähentää riskejä merkittävästi ja samalla vahvistaa yrityksen toimintavarmuutta.
Tärkeintä on, että tietoturvan kehittäminen nähdään jatkuvana toimintana, ei kertaluontoisena projektina. Jokainen hallittu kehitysaskel parantaa yrityksen kykyä hallita riskejä, lisää luottamusta asiakkaiden ja kumppaneiden silmissä sekä luo paremmat edellytykset liiketoiminnan jatkuvuudelle.
Pitkällä aikavälillä tietoturva rakentuu sadoista pienistä, oikeansuuntaisista päätöksistä. Siksi tärkeintä ei ole se, kuinka pitkällä yritys on tänään, vaan se, että kehitykselle on selkeä suunta ja tavoitteet. Alkaa kuulostaa jo enempi johdon kuin it-osaston tehtävältä, vai mitä sanotte?
Kyberuhat koettelevat yrityksiä tällä hetkellä monin tavoin. Suosittu Kyberrosvot-podcastimme esittelee tosielämän kyberrikostapauksia Suomesta ja ulkomailta. Lue tiivistelmä viimeisimmistä jaksoista tai kuuntele vaikka koko tuotanto!
