Kymmenen päivän käyttökatkon jälkeen toimitusjohtaja kertoi televisiohaastattelussa, että järjestelmät on saatu asennettua uudelleen ja asiakkaat voivat luottaa heihin. Riskiä siitä, että haittaohjelma leviäisi heidän kauttaan muille, ei enää ole. Kaiken kaikkiaan vahingot yhtiölle olivat 300 miljoonaa dollaria, mikä vastaa noin 10% heidän viime vuoden liikevaihdostaan ja 50% toteutuneesta liikevoitosta.
Hyökkäyksiä ei voi enää estää. Perinteisesti tietoturvaa on rakennettu panostamalla yrityksen ulkokehän suojaukseen kuten palomuureihin. Tänä päivänä yritysten ylimmässä johdossa ja hallituksissa ajattelumalli on muuttunut: suojaukset eivät ole sataprosenttisen pitäviä, vaan kyse on siitä kuinka nopeasti omiin järjestelmiin päässeet ulkopuoliset havaitaan ja miten tilanne palautetaan ennalleen. Liiketoiminnan riippuvuus tietotekniikasta on saavuttanut pisteen, jossa kyberuhat uhkaavat pahimmillaan koko liiketoiminnan jatkuvuutta.
Johtamisen näkökulmasta pelkkä suojaaminen oli triviaalia: valitse sopiva tuote ja asenna paikoilleen. Moderni kyberturvajohtaminen vaatii monipuolisempia johtamistaitoja. Tietotekninen päätöksenteko on muuttunut riskienhallinnan valinnoiksi. Lisäksi riittävä varautuminen ja nopea palautuminen on moniammatillisen tiimin yhteistyötä: lakimiehet pohtivat, mitä viranomaisille tiedotetaan, IT-ammattilaiset tekevät järjestelmiin korjaavia toimenpiteitä ja viestintä huolehtii asiakkaista ja sidosryhmistä. Johtamista tarvitaan, koska nämä ammattiryhmät harvoin luontevasti kohtaavat esimerkiksi yhteisessä kahvitilassa.
Johtajan kannalta on ongelmallista, että hyökkääjien tavoitteena olla huomaamattomia: ”Miten paljon kannattaa investoida kyberturvaan, kun juuri meillä ei ole tapahtunut mitään?” IT-alan tutkimusyhtiö Gartnerin mukaan hyökkäykset havaitaan keskimäärin sadan päivän kuluttua. Toisin sanoen ne tulevat vasta silloin ilmi, koska havainnointikyvykkyyttä ei ole. Moderneilla havainnointipalveluilla hyökkäykset havaitaan minuuteissa tai tunneissa. Tällöin vahingotkin ovat luonnollisesti pienempiä ja paremmin hallinnassa.
Gartnerin tutkimuksen mukaan seuraavan parin vuoden aikana yritykset investoivat 60% tietoturvabudjeteistaan juuri havainnointi- ja palautumiskyvykkyyden rakentamiseen. Kuusi kertaa enemmän kuin viime vuonna. Liiketoimintajohdon näkökulmasta kyse on uudesta rahareiästä. Tietohallinnon jatkuvat budjettipaineet voivat estää riittävät investoinnit, vaikka asiantuntemusta yrityksessä olisikin. Tämän takia yrityksen johdon on varmistettava riittävät panostukset suhteessa uuteen riskikuvaan.
Modernia kyberturvajohtamista kuvaa jatkuvan parantamisen kehän neljä toistuvaa vaihetta: HAVAITSE – REAGOI & PALAUDU – OPI – SUOJAA. Havainnointikyvyn rakentaminen on hyvä ensimmäinen askel, jos näkyvyyttä todellisesta nykytilasta ei ole. Mikäli hyökkäyksiä tulee, niihin toki reagoidaan ja palaudutaan, mutta mikä tärkeintä, tällä kertaa myös opitaan. Havainnointidatan perusteella saadaan faktaa siitä, minkä tyyppisiä hyökkäyksiä ja häiriöitä kyberuhat organisaatiolle aiheuttavat. Tämän ansiosta voidaan tehdä perusteltuja investointipäätöksiä lisäsuojauksista. Lisäksi havainnointikyvyn avulla voidaan jälkikäteen arvioida, oliko investointi kannattava: vähenivätkö ne häiriöt, joiden takia lisäsuojaukset tehtiin.
Datalla johtaminen ja jatkuva parantaminen ovat modernin kyberturvajohtamisen keinoja. Elisan liiketoiminta on ollut tietotekniikasta täysin riippuvaista aiemmin kuin monen muun yrityksen. Siksi ei ole yllättävää, että Elisa perusti jo vuonna 2004 kyberturvaosaajien tiimin (CERT), joka erikoistuu tietoturvallisuuden poikkeustilanteiden käsittelyyn ja nopeaan toimintaan sekä ennaltaehkäisyyn. Tänä päivänä yrityksillä on kaksi vaihtoehtoa: rakentaa vastaava kyvykkyys itselleen tai ostaa se palveluna.
Vuosien varrella Elisa on kasvanut teleoperaattorista monipuoliseksi IT-palvelutarjoajaksi, joka tuottaa yritysasiakkailleen sekä havainnointi-, reagointi- että palautumiskyvykkyyttä palveluna. Monitoimittajaympäristön sijaan tiivis yhteistyö yhden palvelutoimittajan kanssa lyhentää tapausten käsittelyn läpimenoaikaa ja pienentää asiakkaiden riskejä.
Hyökkäyksiä ei voi estää, mutta niiden nopea havainnointi ja tehokas palautuminen on mahdollista.
---
Sari Torkkola, liiketoimintajohtaja, Elisa
Torkkola vastaa Elisalla yritysasiakkaiden kyberturvapalveluista ja on toiminut tietoturva-alan asiantuntijatehtävissä vuodesta 1994 mm. konsultointi-, markkinointi- ja tietohallintojohtajana. Hän on myös Vuoden paras bisneskirja 2016 -palkinnon voittaneen ”Lean asiantuntijatyön johtamisessa” -kirjan kirjoittaja.
Linkedin https:/fi.linkedin.com/in/torkkolasari
Twitter @SariTorkkola
Lue lisää Elisan kyberturvaratkaisuista: https://yrityksille.elisa.fi/kyberturvakeskus
