Webinaari­­yhteenveto: Sisään­rakennettu kyber­turvallisuus vahvistaa IT-palveluita

Toukokuun Justin Aamukahveilla Johanna Sjöblom (UPM) ja Henri Uusoksa (Justin) keskustelivat siitä, miten kyberturvallisuuden ja palvelunhallinnan tulisi kytkeytyä ja tukea toisiaan käytännössä. Keskustelun ytimessä oli ajatus, että laadukas IT-palvelu ei voi olla irrallaan tietoturvasta, vaatimustenmukaisuudesta ja riskienhallinnasta. Ne ovat osa samaa kokonaisuutta.

Todellinen kyberturvallisuus syntyy vasta silloin, kun turvallisuus on sisäänrakennettu palveluihin, prosesseihin, vastuisiin ja päivittäiseen johtamiseen.

Vaatimukset eivät ole vain tietoturvatiimin asia

Organisaatioihin kohdistuu yhä enemmän erilaisia säädöksiä, lakeja, standardeja ja sopimusperusteisia vaatimuksia, kuten muun muassa NIS2-direktiivi, ISO 27000 -sarjan standardit sekä erilaiset asiakas- ja toimialavaatimukset.

Nämä vaatimukset konkretisoituvat organisaation arjessa kontrolleina. Kontrolli voi olla esimerkiksi muutoksenhallintaprosessi, haavoittuvuuksien hallinta, pääsynhallinnan käytäntö, tietoturvatestaus, lokien valvonta tai fyysinen kulunvalvonta. Osa kontrolleista on organisatorisia, osa teknisiä, osa prosesseihin liittyviä ja osa ihmisiin kohdistuvia.

Kontrollit eivät elä tyhjiössä. Ne tarvitsevat omistajuuden, kohteen, toteutustavan, mittarit ja todisteet siitä, että ne todella toimivat. Jos kontrollikirjasto on vain dokumentti jossain järjestelmän laidalla, se ei vielä tee organisaatiosta turvallista.

Kyberturvallisuus tarvitsee hallintamallin

Vaatimustenmukaisuus ei synny yksittäisistä projekteista, vaan siitä, että organisaatiolla on selkeä tapa johtaa tietoturvaa ja kyberturvaa jatkuvasti.

Hyvä hallintamalli rakentuu esimerkiksi seuraavista osista:

• politiikoista ja periaatteista, jotka määrittävät miten organisaatiossa toimitaan
• tavoitteista ja suunnittelusta, jotka kytkevät kyberturvan liiketoiminnan tavoitteisiin
• prosesseista ja kontrolleista, joiden avulla vaatimukset toteutuvat käytännössä
• mittareista, dashboardeista ja seurannasta, joiden avulla tilannetta voidaan johtaa
• jatkuvasta parantamisesta, koska kyberturvallisuuden taso ei pysy hyvänä itsestään.

Erityisen tärkeää on läpinäkyvyys. Organisaation tulee pystyä tunnistamaan, mitkä vaatimukset sitä koskevat, mitä kontrolleja niiden perusteella on määritelty, sekä mihin palveluihin, järjestelmiin tai assetteihin ne kohdistuvat ja mikä niiden toteutumisen tila on.

Tämä on myös kohta, jossa palvelunhallinnan ja kyberturvan maailmat kohtaavat hyvin konkreettisesti. Palvelunhallintajärjestelmissä on usein jo paljon sellaista tietoa, jota vaatimustenmukaisuuden johtamisessa tarvitaan: palvelut, järjestelmät, konfiguraatiotiedot, muutokset, häiriöt, ongelmat… Kun tämä tieto on laadukasta ja ajantasaista, myös kontrollien toteutumista voidaan seurata systemaattisemmin ja osin automatisoidusti.

Palvelunhallinta ja tietoturva eivät ole erillisiä maailmoja

Tietoturvan hallintajärjestelmä ja palvelunhallintajärjestelmä menevät käytännössä usein päällekkäin. Esimerkiksi tietoturvastandardi voi vaatia konfiguraationhallintaa, mutta konfiguraationhallinta on samalla myös palvelunhallinnan ydinkyvykkyys.

Sama koskee muutoksenhallintaa, riskienhallintaa, jatkuvuudenhallintaa, toimittajahallintaa ja monia muita prosesseja. Jos näitä kehitetään erillisissä siiloissa, syntyy helposti päällekkäisyyttä, epäselviä vastuita ja aukkoja, joihin tärkeät asiat voivat pudota.

Parempi lähtökohta on nähdä kyberturvallisuus osana palvelun laatua. Laadukas palvelu ei tarkoita vain sitä, että palvelu toimii normaalitilanteessa. Sen pitää olla myös turvallinen, hallittu, jäljitettävä, palautettavissa ja vaatimusten mukainen koko elinkaarensa ajan.

Vastuunjako ratkaisee käytännön onnistumisen

Kyberturvallisuus on kaikkien vastuulla, mutta se ei saa tarkoittaa sitä, että kukaan ei ole vastuussa.

Palvelu muodostuu usein useista kerroksista: liiketoimintapalveluista, IT-palveluista, tukipalveluista, toimittajista, alihankkijoista, teknologioista ja taustajärjestelmistä. Asiakasta ei kuitenkaan yleensä kiinnosta, missä kohtaa palveluketjua ongelma syntyi. Asiakas pitää palveluntarjoajaa vastuullisena kokonaisuudesta.

Siksi on tiedettävä esimerkiksi

• kuka vastaa haavoittuvuuksien hallinnasta
• kuka vastaa päivityksistä ja korjauksista
• kuka seuraa tietoturvatestauksen löydöksiä
• kuka päättää priorisoinnista
• kuka varmistaa, että auditointeihin tarvittavat todisteet ovat olemassa
• kuka vastaa siitä, että palvelun koko tekninen ja toiminnallinen pino on hallinnassa.

Esimerkki jaetusta tietoturvatestauspalvelusta konkretisoi asiaa hyvin. Keskitetty palvelu voi vastata testauksista, löydösten tunnistamisesta, raportoinnista ja seurannasta. Varsinaiset liiketoiminta- ja IT-palvelut taas vastaavat siitä, että löydökset korjataan omassa ympäristössä. Kumpikaan ei onnistu yksin. Tarvitaan selkeä palvelumalli, yhteiset prosessit ja jatkuva yhteistyö. Vastuunjaon merkitys korostuu.

Turvallisuus kuuluu palvelun koko elinkaareen

 Turvallisuutta ei voi lisätä palveluun vasta lopuksi, juuri ennen käyttöönottoa. Sen pitää näkyä jo suunnittelussa, projektien porttipäätöksissä, muutoksenhallinnassa, käyttöönotossa, operoinnissa ja lopulta myös palvelun hallitussa poistamisessa.

Tämä tarkoittaa esimerkiksi sitä, että uuden palvelun kohdalla arvioidaan jo alkuvaiheessa, mitkä tietoturvavaatimukset siihen kohdistuvat. Kuuluuko palvelu tietyn sääntelyn piiriin? Mitkä ovat vähimmäisvaatimukset? Mitä kontrolleja tarvitaan? Miten vaatimusten toteutuminen osoitetaan?

Muutoksenhallinnalla on tässä erityinen rooli. Kun tuotantoympäristöön tehdään muutoksia, muutoksenhallintaprosessi toimii luontevana porttina, jossa voidaan arvioida myös turvallisuusvaikutukset. Esimerkiksi pilvisiirtymä ei ole vain tekninen muutos, vaan se voi muuttaa palvelun kontrollitarpeita, vastuita, rekisteröintejä ja vaatimustenmukaisuuden seurantaa.

Myös palvelun poistaminen on tietoturvanäkökulmasta kriittinen vaihe. Palvelua ei voida vain todeta päättyneeksi, jos taustalle jää edelleen aktiivisia palvelimia, käyttöoikeuksia, integraatioita, tikettejä tai dataa. Hallitsematon alasajo voi synnyttää merkittäviä riskejä.

Kyberturvallisuus tuottaa liiketoiminta-arvoa

Kyberturvallisuutta ja vaatimustenmukaisuutta ei kannata nähdä vain pakollisena regulaatiokuormana. Hyvin johdettu kyberturva tuottaa konkreettista liiketoiminta-arvoa.

Ensinnäkin se vähentää käyttökatkoja. Tämä on erityisen tärkeää OT-ympäristöissä ja tuotantokriittisissä palveluissa, joissa häiriöiden kustannukset voivat olla merkittäviä.

Toiseksi se vahvistaa luottamusta. Organisaatio, joka pystyy osoittamaan hallitsevansa palvelunsa, riskinsä ja vaatimuksensa, on uskottavampi kumppani myös asiakkailleen ja muille sidosryhmilleen.

Kolmanneksi se pienentää oikeudellisia ja taloudellisia riskejä. Lakisääteiset velvoitteet ja sopimusperusteiset vaatimukset eivät ole valinnaisia. Niiden täyttäminen systemaattisesti vähentää sanktioiden, sopimusongelmien ja mainehaittojen riskiä.

Neljänneksi hyvä hallintamalli parantaa organisaation kykyä johtaa omaa toimintaansa. Kun palvelut, vastuut, kontrollit, löydökset ja mittarit ovat näkyvissä, päätöksenteko perustuu paremmin faktoihin.

Turvallisuus on perusta arvon tuottamiselle

Webinaarin keskeinen johtopäätös voidaankin tiivistää näin: turvallisuus ei ole palvelun lisäominaisuus, vaan perusta arvon tuottamiselle.

Lentoliikenteessä, rakentamisessa, ruokateollisuudessa tai sukelluksessa turvallisuutta ei pidetä irrallisena osana tekemistä. Se on sisäänrakennettu toimintamalleihin, tarkistuksiin, vastuisiin, koulutukseen ja päätöksentekoon. Samaa ajattelua tarvitaan myös IT-palveluissa.

Kun kyberturvallisuus yhdistetään palvelunhallintaan, organisaatio saa paremmat edellytykset rakentaa palveluita, jotka ovat paitsi toimivia myös luotettavia, turvallisia ja johdettavia. Tämä ei synny yhdellä projektilla, vaan vaatii jatkuvaa kehittämistä, yhteistyötä ja selkeää omistajuutta.

Kyberturvallisuus on kaikkien vastuulla, mutta sen johtaminen ei saa jäädä kenenkään oletukseksi. Se pitää rakentaa näkyväksi osaksi palveluita, prosesseja ja päätöksentekoa. Vasta silloin voidaan sanoa, että turvallisuus on aidosti sisäänrakennettu.

Katso tämän tai muiden webinaariemme tallenteet osoitteessa aamukahvit.fi:

---

Tarvitsetko apua Kyberturvan ja palvelujohtamisen sovittamisessa?