{"id":56,"date":"2024-06-05T22:08:00","date_gmt":"2024-06-05T19:08:00","guid":{"rendered":"https:\/\/digipooli.teknologiateollisuus.fi\/?p=56"},"modified":"2024-10-02T09:11:12","modified_gmt":"2024-10-02T06:11:12","slug":"digipoolin-yritysten-kokonaisturvallisuudenhallinnan-tilasta","status":"publish","type":"post","link":"https:\/\/teknologiateollisuus.fi\/digipooli\/digipoolin-yritysten-kokonaisturvallisuudenhallinnan-tilasta\/","title":{"rendered":"Digipoolin yritysten kokonaisturvallisuudenhallinnan tilasta"},"content":{"rendered":"\n

Digipoolin verkoston, eli ICT alan kokonaisturvallisuudenhallinta on pitk\u00e4lti yritysten itsens\u00e4 hallussa eik\u00e4 sen tilaa laajasti tunneta. Ep\u00e4ilys verkoston yritysten tilasta on ollut se, ett\u00e4 tila ja ratkaisut ovat hyvinkin yrityskohtaiset ja hajonta turvallisuudenhallinnan kypsyydess\u00e4 on iso. T\u00e4h\u00e4n aiheeseen piti saada lis\u00e4selvyytt\u00e4 nykyisess\u00e4 geopoliittisessa tilanteessa ja nyt alan yritysten kokonaisturvallisuuden hallinnan tilaa on selvitetty pienen projektin kautta.<\/p>\n\n\n\n

Projektissa j\u00e4rjestettiin Kysely sek\u00e4 haastatteluita anonyymin tiedon ker\u00e4\u00e4miseksi. Kyselyyn vastasi yli 30 alan yrityksen edustajaa ja 10 yrityksen edustajaa haastateltiin n\u00e4kemyksien esiin saamiseksi. Yhteens\u00e4 siis l\u00e4hes 50 yrityksen edustajaa alalta otti kantaa kokonaisturvallisuuden hallinnan tilaan yrityksiss\u00e4. Otos on pieni osa alan yrityksist\u00e4, mutta edustaa alansa toimijoita, joilta odotetaan korkeatasoista turvallisuudenhallintaa.<\/p>\n\n\n\n

P\u00e4\u00e4llimm\u00e4isen\u00e4 havaintona selvityksest\u00e4 on se ett\u00e4 l\u00e4ht\u00f6kohtaisesti kaikilla oli turvallisuudenhallintaa ylip\u00e4\u00e4ns\u00e4 tehty ja viel\u00e4 huomioiden useimmat\u00a0EK:n yritysturvallisuusmallin<\/a>\u00a0osa-alueet. Turvallisuudenhallinnan tila on siis varsin hyv\u00e4 alan yrityksiss\u00e4. Projektissa yritysturvallisuusmallin osa-alueiden tilaa peilattiin alalle oleellisimpiin liiketoimintaa h\u00f6ykytt\u00e4viin uhkiin ja riskeihin ja sit\u00e4 kautta nousi kuitenkin esiin havaintoja, joihin alan yrityksiss\u00e4 nyt kannattaa kiinnitt\u00e4\u00e4 huomiota.<\/p>\n\n\n\n

Uhkia ja riskej\u00e4 huomioitavaksi<\/h2>\n\n\n\n

Projekti koosti tunnetuista l\u00e4hteist\u00e4* uhka\/riskilistan alan yritysten huomioitavaksi. Listalle nousivat aiheet, joilla todettiin olevan vaikutusta alan yritysten liiketoimintaan ja listalta j\u00e4iv\u00e4t siihen v\u00e4hemm\u00e4n vaikuttavat aiheet. Seuraavaa listausta toivotaan alan yritysten huomioivan omassa jatkuvuudenhallinnassa.<\/p>\n\n\n\n

Uhka<\/strong><\/td>Kuvaus<\/strong><\/td><\/tr>
Rikollisuus<\/strong><\/td>Sis\u00e4inen ja\/tai ulkoinen petos\/kyberrikollisuus. Terrorismi.<\/td><\/tr>
Tiedustelu<\/strong><\/td>Tiedonhankintaa mm. tuotekehityksest\u00e4<\/td><\/tr>
Vaikuttaminen<\/strong><\/td>Hybridi- ja Informaatiovaikuttamista, jolla halutaan luoda ep\u00e4vakautta tai henkil\u00f6tason vaikuttaminen, maalittaminen. Yritysten mainehaitta voi vaikuttaa liiketoiminnan jatkamiseen ja kriittisten palveluiden tuotantoon.<\/td><\/tr>
Asiakas<\/strong><\/td>Asiakkaille aiheutetut menetykset ja vahingot sek\u00e4 asiakaskato.<\/td><\/tr>
Palvelu<\/strong><\/td>Kapasiteetin, kompetenssin, prosessien ja\/tai tarpeiden ep\u00e4suhdanne.<\/td><\/tr>
Teknologia<\/strong><\/td>Vanhentunut, toimimaton ja\/tai kehityskelvoton teknologia; koodin tekij\u00e4noikeudet ja lisenssiehdot. Haavoittuvuudet. Verkkolaitteiden suojaamattomuus. Riippuvuudet avaruudesta ja satelliittiratkaisuista. Nousevien teknologioiden kaksik\u00e4ytt\u00f6sovellutusten ja vientivalvonnan aukkojen hy\u00f6dynt\u00e4minen.<\/td><\/tr>
Tuotanto<\/strong><\/td>Tieto- ja viestint\u00e4verkkojen ja palveluiden h\u00e4iri\u00f6t – Infran, IT & OT ymp\u00e4rist\u00f6n, verkon, konesalien, p\u00e4\u00e4telaitteiden toimimattomuus. Kyberhy\u00f6kk\u00e4ykset. H\u00e4iri\u00f6t s\u00e4hk\u00f6nsaannissa.<\/td><\/tr>
Alihankinta<\/strong><\/td>Toimittajien virheet ja muutoshitaus. Kumppanin kyberh\u00e4iri\u00f6. Kuljetusten jatkuvuuden h\u00e4iri\u00f6t. Polttoaineiden saannin vakavat h\u00e4iri\u00f6t.<\/td><\/tr>
Kehitys<\/strong><\/td>Vaatimuksien m\u00e4\u00e4rittelyn, suunnittelun ja koodamisen virheet. Ylim\u00e4\u00e4r\u00e4inen koodi ohjelmistossa tai aukko asetuksissa. Kotimaisen tutkimuksen ja kehityksen suojaaminen ovat nousevia teemoja<\/td><\/tr>
Henkil\u00f6st\u00f6<\/strong><\/td>Henkil\u00f6st\u00f6n (sis. yritysjohto) ty\u00f6motivaation, osaamisen ja toimintakyvyn puute. Henkil\u00f6st\u00f6n vaihtuvuus. Puutteet tilanneymm\u00e4rryksess\u00e4 johtavat liiketoiminnan ongelmiin. pelastustoiminnan ja toimitilaturvallisuuden puutteet aiheuttavat henkil\u00f6st\u00f6\u00f6n kohdistuvia uhkia. Vakava ydinvoimalaitosonnettomuus Suomessa tai Suomen l\u00e4hialueilla<\/td><\/tr>
Pandemia<\/strong><\/td>Pandemian tai muun vastaavan laajalle levinneen epidemian moniulotteiset vaikutukset, jotka n\u00e4kyv\u00e4t kokonaisvaltaisesti esim. tuotannossa, ty\u00f6ntekij\u00f6iss\u00e4, kyberhy\u00f6kk\u00e4yksiss\u00e4<\/td><\/tr>
Talous<\/strong><\/td>Talouden tai rahoitusj\u00e4rjestelm\u00e4n h\u00e4iri\u00f6t, ulkomaankaupan h\u00e4iri\u00f6t aiheuttavat uhan huoltovarmuudelle ja yritysten liiketoiminalle. Esim. Kauppapakotteiden kiert\u00e4minen h\u00e4ivytt\u00e4m\u00e4ll\u00e4 hankintaketjuista tiedon todellisesta ostajasta sek\u00e4 hankkimalla tuotteita kolmansien maiden kautta. Digitaalisen rahansiirron k\u00e4ytt\u00f6 ja virtuaalivaluuttojen yleistyminen vaikuttavat ep\u00e4virallisen pankki- ja rahansiirtopalvelusektorin vahvistumiseen. Yrityksen oman talouden tappiot h\u00e4iri\u00f6tilanteista.<\/td><\/tr>
H\u00e4iri\u00f6t<\/strong><\/td>Rauta- ja\/tai softaviat. Inhimilliset erehdykset.<\/td><\/tr>
Luonnonilmi\u00f6t<\/strong><\/td>\u00c4\u00e4rimm\u00e4isen voimakas avaruusmyrsky<\/td><\/tr>
Sota<\/strong><\/td>Sota uhkaa monen yrityksen liiketoiminnan jatkamisen mahdollisuuksia. Toisaalta monien liiketoiminta jatkuu, mutta muuttuneissa olosuhteissa. Valmiussuunnittelua tulee tehd\u00e4 liiketoiminnan jatkamiseksi ja palveluiden tuotannon turvaamiseksi.<\/td><\/tr><\/tbody><\/table>
Taulukko 1 Uhkia ja riskej\u00e4 alalla huomioitavaksi<\/figcaption><\/figure>\n\n\n\n

(* YTS2017, Kyberturvallisuusstrategia 2019, Kansallinen riskiarvio 2023, Supo Kansallisen turvallisuuden katsaus 2023, VNP huoltovarmuuden tavoitteista 2018, Valtioneuvoston huoltovarmuusselonteko 2022, Allied Universal \u2013 World security report 2023).<\/p>\n\n\n\n

Keskeiset havainnot kokonaisturvallisuuden tilasta<\/h2>\n\n\n\n

Kuten sanottua vaikuttaisi alan yrityksille olevan t\u00e4rke\u00e4\u00e4 huolehtia turvallisuudestaan laajasti, mutta ns. k\u00e4sitys hyv\u00e4st\u00e4 turvallisuuden tasosta vaihteli osallistujittain ja sik\u00e4li hajonta kypsyydess\u00e4 mietitytt\u00e4\u00e4. Selvityksen my\u00f6t\u00e4 oli alan yritysten kokonaisturvallisuuden aiheet mahdollista asettaa my\u00f6s kypsyysj\u00e4rjestykseen. Ja ei ehk\u00e4 yll\u00e4tt\u00e4en tietoturvallisuus oli suhteellisesti kypsimm\u00e4ksi osa-alueeksi arvioitu. Huoltovarmuuden n\u00e4k\u00f6kulmasta Varautumisen ja kriisinhallinnan j\u00e4\u00e4minen j\u00e4tt\u00f6p\u00e4\u00e4h\u00e4n t\u00e4ss\u00e4 vertailussa on tietysti pieni pettymys ja asia, jota Digipoolikin pyrkii kehitt\u00e4m\u00e4\u00e4n. Vastauksissa v\u00e4\u00e4rink\u00e4yt\u00f6sten ja poikkeamien hallintaan liittyi eniten ep\u00e4varmuutta – kaikki yritykset sit\u00e4 jollain tasolla tekev\u00e4t, mutta kysymyksen\u00e4 tuntui olevan, ett\u00e4 mit\u00e4 kaikkea aiheeseen oikein kuuluukaan?<\/p>\n\n\n\n

\"\"
Kuva 1 Yritysturvallisuuden osa-alueiden suhteellinen kypsyys j\u00e4rjestyksess\u00e4<\/figcaption><\/figure>\n\n\n\n

Alalla sovelletut turvallisuudenhallintaan liittyv\u00e4t standardit<\/h3>\n\n\n\n

Mielenkiintoista oli n\u00e4hd\u00e4 my\u00f6s se, kuinka alan yritykset ovat kokeneet tarpeelliseksi l\u00e4hte\u00e4 standardoitumaan turvallisuudenhallinnan osa-alueissa. Ja alalle tyypillisimm\u00e4st\u00e4 standardista ei ole ep\u00e4selvyytt\u00e4 – ISO27001 vaikuttaa ehdottomasti suurimman osan toimijoiden toimintaan. Ehk\u00e4 enemm\u00e4n yll\u00e4tt\u00e4en riskienhallinnan, laadunhallinnan ja jatkuvuudenhallinnan standardit loistivat poissaolollaan – n\u00e4it\u00e4 kyll\u00e4 sovellettiin yrityksiss\u00e4 (vaihtelevasti), mutta niiden osalta ei oltu n\u00e4hty tarpeelliseksi standardoitua. Kaupallinen etu ja asiakasvaatimukset ohjaavatkin vahvasti alan yritysten standardoitumista. NIS2 direktiivin ja 2024 voimaantulevan Lain kyberturvallisuuden riskienhallinnasta kannalta korostuu edelleen ISO27001 merkitys, mutta kenties my\u00f6s tarve riskienhallinnan toimenpiteiden kehitykselle.<\/p>\n\n\n\n

\"\"
Kuva 2 Alalla sovelletut standardit<\/figcaption><\/figure>\n\n\n\n

Kehitett\u00e4v\u00e4\u00e4 priorisoinnin perusteella<\/h2>\n\n\n\n

Koska nykyinen turvallisuusymp\u00e4rist\u00f6 on haastava on todettu tarpeelliseksi arvioida uhkia ja riskej\u00e4 ja niiden vaikutusta toimintaan. Niinp\u00e4 t\u00e4ss\u00e4kin projektissa kokonaisturvallisuuden osa-alueiden suhteellista kypsyytt\u00e4 peilattiin em. Uhka\/Riskilistauksen aiheisiin. Uhkien ja riskien osalta arvioitiin niiden oleellisuus alan yrityksille ja sen avulla niit\u00e4 painotettiin. Peilaamalla suhteellisia kypsyysarvioita painotettuihin riskeihin saatiin aikaan priorisoitu kehityslista alalla huomioitavaksi. Digipoolin ja huoltovarmuuden kannalta tulos oli mielenkiintoinen, sill\u00e4 Varautumisen ja jatkuvuudenhallinnan kehitys nousi t\u00e4rkeimm\u00e4ksi kehitysaiheeksi. (Toisaalta suhteellisen matalan kypsyyden ja toisaalta ajankohtaisten uhkien kannustamana).<\/p>\n\n\n\n

Lakis\u00e4\u00e4teiset aiheet, kuten pelastus ja ty\u00f6turvallisuus olivat varsin hyvin hallussa alan yrityksill\u00e4 eiv\u00e4tk\u00e4 niiden korostaminen riskipeilauksen my\u00f6t\u00e4 noussut oleelliseksi.<\/p>\n\n\n\n

Riskipeilauksen perusteella muodostettu priorisoitu kokonaistuvallisuuden osa-alueiden kehitysj\u00e4rjestys on:<\/p>\n\n\n\n

Prio.<\/td>Suhdeluku<\/td>Turvallisuuden osa-alue<\/strong><\/td><\/tr>
1.<\/td>5,36<\/td>Varautuminen ja kriisinhallinta<\/td><\/tr>
2.<\/td>5,00<\/td>Tuotannon ja toiminnan turvallisuus<\/td><\/tr>
3.<\/td>3,87<\/td>Henkil\u00f6turvallisuus<\/td><\/tr>
4.<\/td>3,87<\/td>V\u00e4\u00e4rink\u00e4yt\u00f6sten ja poikkeamien hallinta<\/td><\/tr>
5.<\/td>3,82<\/td>Tietoturvallisuus<\/td><\/tr>
6.<\/td>3,20<\/td>Ymp\u00e4rist\u00f6turvallisuus<\/td><\/tr>
7.<\/td>2,90<\/td>Kiinteist\u00f6- ja toimitilaturvallisuus<\/td><\/tr>
8.<\/td>2,86<\/td>Pelastusturvallisuus<\/td><\/tr>
9.<\/td>2,73<\/td>Ty\u00f6turvallisuus (ty\u00f6terveyshuolto ja ty\u00f6suojelu)<\/td><\/tr><\/tbody><\/table>
Taulukko 2 Priorisoitu kokonaisturvallisuuden osa-alueiden kehitysj\u00e4rjestys<\/figcaption><\/figure>\n\n\n\n

Avoimet kysymykset \/ Pohdittavaksi j\u00e4\u00e4v\u00e4t asiat<\/h2>\n\n\n\n

Selvitys kosketti monia yritysturvallisuuden osa-alueita ja l\u00f6ysi selvi\u00e4 kehitystarpeita, mutta my\u00f6s avoimeksi j\u00e4\u00e4vi\u00e4 aiheita. Monet avoimeksi j\u00e4\u00e4neet aiheet j\u00e4tt\u00e4v\u00e4t ep\u00e4ilyn kehitystarpeesta ja havainnon vahvistamiseen kannattanee panostaa. T\u00e4llaisia avoimia aiheita l\u00f6ytyy em. Prioriteettilistan aiheista. Selvitett\u00e4v\u00e4\u00e4 l\u00f6ytyy mm. seuraavista aiheista:<\/p>\n\n\n\n