Kyberturvallisuudesta puhuttaessa on helppo ajautua ääripäihin.
Toisessa ääripäässä ovat suuret organisaatiot, joilla on omat tietoturvatiimit, kattavat hallintamallit, tekniset tietoturvaratkaisut, jatkuvia tarkastuksia ja pitkiä tarkistuslistoja. Toisessa taas ovat pienemmät yritykset, joissa IT-asioita hoitaa ehkä vain muutama henkilö tai ulkoinen kumppani.
Silti molempia voivat koskea samat yleiset sääntelyvaatimukset esim. NIS2.
Tarkoittaako tämä siis sitä, että pienemmän yrityksen pitäisi yrittää rakentaa samanlainen turvallisuuskoneisto kuin suuren konsernin?
Ei. Mutta se ei myöskään tarkoita, että vaatimukset voisi jättää huomioimatta.
NIS2:ssa on tärkeä periaate: oikeasuhtaisuus
NIS2 edellyttää sen soveltamisalaan kuuluvilta organisaatioilta asianmukaisia ja oikeasuhtaisia teknisiä, operatiivisia ja organisatorisia toimenpiteitä kyberturvallisuusriskien hallitsemiseksi.
Oikeasuhtaisuutta arvioitaessa huomioidaan muun muassa organisaation koko ja riskialttius sekä poikkeamien todennäköisyys ja mahdolliset seuraukset. Direktiivin 21 artiklassa mainitaan myös toimenpiteiden toteuttamiskustannukset. [nis-2-directive.com], [eur-lex.europa.eu]
Tämä on tärkeä lähtökohta. NIS2 ei siis tarkoita, että jokaisen organisaation pitäisi rakentaa täsmälleen samanlainen kyberturvallisuuden hallintamalli.
On kuitenkin keskeisiä osa-alueita, jotka on huomioitava. Direktiivin 21 artikla kattaa muun muassa riskienhallinnan ja tietoturvan, poikkeamien hallinnan, toiminnan jatkuvuuden ja kriisinhallinnan, toimitusketjun turvallisuuden, järjestelmien kehittämisen ja ylläpidon turvallisuuden, turvatoimien tehokkuuden arvioinnin, kyberhygienian ja koulutuksen, kryptografian, pääsynhallinnan sekä monivaiheisen tunnistautumisen käytön silloin, kun se on tarkoituksenmukaista. [nis-2-directive.com]
Yksinkertaisempi ei välttämättä tarkoita huonompaa
Mielestäni tämä on tärkeä huomio erityisesti pienille ja keskisuurille yrityksille. Prosessi voi olla yksinkertainen ja silti toimia hyvin. Roolit ja vastuut voidaan kuvata muutamalla sivulla laajan hallintamallin sijaan. Riskienhallinta ei välttämättä edellytä kallista GRC-järjestelmää. Poikkeamiin varautuminen ei vaadi paksua kansiota täynnä prosessikuvauksia.
Jonkun on kuitenkin tiedettävä, mitä tehdään, kun poikkeama tapahtuu.
Tässä kohtaa keskustelu menee mielestäni joskus sivuraiteille. Turvallisuutta aletaan mitata dokumenttien, kontrollien ja teknisten ratkaisujen määrällä sen sijaan, että kysyttäisiin, pystyykö organisaatio oikeasti hallitsemaan riskejään.
”Olemme pieni yritys” ei kuitenkaan syy jättää kyberturvallisuus minimille
Oikeasuhtaisuus voidaan tulkita väärin myös toiseen suuntaan. Pienelläkin yrityksellä voi olla erittäin kriittistä toimintaa, arkaluonteista tietoa tai merkittäviä riippuvuuksia yksittäisistä järjestelmistä ja toimittajista.
Koko on vain yksi arvioinnissa huomioitavista tekijöistä. NIS2 nostaa erikseen esiin myös riskialttiuden sekä poikkeamien todennäköisyyden ja mahdolliset seuraukset.
Siksi pienikin yritys voi tarvita erittäin vahvoja turvatoimia tietyillä osa-alueilla.
Olennainen kysymys ei ole:
Kuinka suuri yrityksemme on?
vaan:
Mitä voi tapahtua, millaisia seurauksia sillä olisi juuri meidän yrityksellemme ja mitä meidän pitää tehdä riskin hallitsemiseksi?
Standardit ovat apuvälineitä, eivät organisaation identiteetti
NIS2:ssa todetaan myös, että turvallisuustasoa arvioitaessa on tarvittaessa otettava huomioon asiaankuuluvat eurooppalaiset ja kansainväliset standardit. Standardit ja vakiintuneet viitekehykset voivat siis tuoda tekemiseen rakennetta ja auttaa organisaatiota välttämään sokeita pisteitä.
Käytännön turvallisuustyö lähtee silti organisaation omasta todellisuudesta.
- Mitkä järjestelmät ovat kriittisiä?
- Mitä tietoja pitää suojata?
- Mistä toimittajista liiketoiminta on riippuvainen?
- Mitä tapahtuu jos keskeinen järjestelmä ei ole käytettävissä?
- Kuka tekee päätökset vakavan poikkeaman aikana?
- Tietääkö organisaatiossa jokainen, kuka vastaa mistäkin?
Nämä kysymykset auttavat myös määrittämään, millaista turvallisuustasoa oikeasti tarvitaan..
Tavoitteena ei pitäisi olla maksimaalinen turvallisuus
Tässä haluan hieman haastaa ajattelua.
En usko, että yrityksen tavoitteena pitäisi olla mahdollisimman paljon kyberturvallisuutta vain turvallisuuden itsensä vuoksi. Tavoitteena pitäisi sen sijaan olla liiketoimintaan ja erityisesti sen riskeihin nähden oikeanlainen kyberturvallisuus..
Ehkä yksi tärkeimmistä johdon kysymyksistä NIS2-työssä onkin:
Pystymmekö selittämään ja olemmeko dokumentoineet, mitkä ovat tärkeimmät riskimme, mitä toimenpiteitä olemme valinneet ja miksi katsomme niiden olevan riittäviä?
Jos vastaus on kyllä, ollaan jo huomattavasti pidemmällä kuin täyttämällä jälleen yksi uusi kyselylomake.
Sopiiko turvallisuustasonne oikeasti liiketoimintaanne?
Styra auttaa yrityksiä siirtymään vaatimuksista ja kysymyslistoista käytännönläheiseen kokonaiskuvaan riskeistä, vastuista ja tärkeimmistä toimenpiteistä. Tutustu maksuttomaan NIS2-oppaaseeni yritysjohdolle tai ota yhteyttä, jos haluat keskustella siitä, miltä tilanne näyttää teidän yrityksessänne.