Kaikkien yritysten koosta riippumatta tulee huomioida tietoturva ja sen hallinta

Turvallisuuskysymykset on käsiteltävä viisaalla ja resurssintehokkaalla tavalla

Igmar Ilvesin mukaan useimmille pienille ja jopa monille keskisuurille yrityksille ei todennäköisesti ole mahdollista palkata kokopäiväistä CISO:ta. Silti monet CISO:n tehtävät ovat edelleen erittäin tärkeitä myös näille yrityksille, ja niitä pitäisi hoitaa jollain tavalla. Ensinnäkin mikä tahansa kokoinen yritys pystyy varmasti toteuttamaan joitakin toimintoja itse ilman, että heidän tarvitsee palkata joku henkilö. Esimerkiksi sisäinen tietoturva-arviointi on mahdollista tehdä yksinkertaistetussa muodossa, jossa yrityksen avainhenkilöt järjestävät epävirallisia aivoriihejä ja selvittävät skenaarioita, joiden toteutuminen on todennäköisintä ja joilla voi olla yritykseen suurin vaikutus. Paljon hyödyllistä tietoa mahdollisista riskeistä löytyy helposti Internetistä ja täysin ilmaiseksi. Näin yrityksellä on ainakin jonkinlainen käsitys liiketoimintaansa mahdollisesti vaikuttavista uhista ja siitä, mitä turvatoimia tulisi harkita. "Tietysti, jos yrityksellä ei ole asianmukaista osaamista, se voi tällaisen riskianalyysin perusteella arvioida tilanteen puutteellisesti, mutta sellainen arvio on silti parempi kuin ei mitään," Ilves sanoi.

"On olemassa monia organisaatioita ja yrityksiä, joissa CISO:n vastuut jaetaan eri toimihenkilöjen kesken, mutta todellisuus osoittaa, että heillä ei ole paljon aikaa käsitellä turvallisuusasioita päätoimisen työnsä ohella. Tämän seurauksena tietoturvatilanne pysyy huonona", Ilves kuvaili. Vaikka yrityksellä olisikin riittävä tietoturvapolitiikka ja -säännöt (esim. toisen yrityksen avustuksella kehitetyt), CISO:n puuttuminen tarkoittaa, että yrityksellä ei ole pätevää toimihenkilöä, jolla olisi aikaa ja resursseja valvoa sääntöjen noudattamista. Ja jos valvontamekanismia ei ole olemassa, sääntöjä joko ei noudateta tai niitä noudatetaan epäjohdonmukaisesti.

Tietoturvapäällikkö-palvelu (CISO as a Service -palvelu) – järkevä valinta monille yrityksille

Oletetaan, että yrityksellä ei ole omaa CISO:a, mutta se tarvitsee sellaisen asiantuntijan (tai sen nykyinen CISO tarvitsee tukea). Siinä tapauksessa vaihtoehtona on ulkoistaa CISO:n tehtävät ulkopuoliselle palveluntarjoajalle.

"Yksi palveluista, joita KPMG tarjoaa asiakkailleen, on tietoturvapäällikkö-palvelu (CISO as a Service -palvelu). Tämä tarkoittaa olennaisesti sitä, että hoidamme CISO:n tehtäviä asiakkaan yrityksessä. Tarjoamamme palvelun työmäärän vakiovaihtoehdot vaihtelevat 10 tunnista viikossa kokopäivätyöhön, mutta kaikki on neuvoteltavissa riippuen asiakkaan tarpeista. Tarjoamme tukea niin kauan kuin yritys sitä tarvitsee. Esimerkiksi yritys voi tarvita tietoturvapäällikkö-palvelua vuodeksi. Siinä tapauksessa hoidamme CISO:n tehtäviä yhden vuoden, jonka jälkeen yritys voi jatkaa työtä omin voimin", Ilves sanoi. Hän lisäsi, että toinen peruste tietoturvapäällikkö-palvelun käyttöön on se, että CISO:n tehtävään on erittäin vaikea löytää sopivia ja päteviä ehdokkaita.

"Tilaamalla tietoturvapäällikkö-palvelun yrityksen ei tarvitse käyttää resursseja rekrytointiin, palkkaan ja sosiaalimaksuihin. Myös toimihenkilön osaamisen ylläpitämiseen ei ole tarvetta panostaa."

Tietoturvapäällikkö-palvelua ei tarjoa ainoastaan yksi henkilö, vaan KPMG:n palvelussa on kokenut tiimi, jolla on vankan kokemuksen lisäksi myös erilaisia kansainvälisesti tunnustettuja ammattitodistuksia. "Meidän vahvuutemme on ihmisemme. Kaikki tiimin jäsenet ovat läpäisseet tiukan rekrytointiprosessin varmistaakseen, että olemme löytäneet tiimin parhaista parhaat. On myös tärkeää huomata, että tiimimme jäsenten kokemus on monipuolinen, mikä lisää palvelun arvoa asiakkaillemme. Tiimiin kuuluu tietokoneverkkojen turvallisuuden testaajia, verkkosovellusten turvallisuuden testaajia, pilvipalvelujen testaajia, It-tarkastajia, analyytikkoja, digitaalisen forensiikan asiantuntijoita, entisiä CISO:ita, järjestelmänvalvojia, ohjelmistokehittäjiä ja monia muita", Ilves sanoi. Siksi tietoturvapäällikkö-palvelu tarjoaa varmasti enemmän arvoa yritykselle kuin yhden asiantuntijan palkkaaminen.

"On erittäin vaikea löytää hyvätasoista CISO:a, joka tuntee erinomaisesti sekä organisaation että teknisen turvallisuuden; tällaisen asiantuntijan kuukausipalkka on vähintään 5 000 euroa. Kannattaa myös muistaa, että itse rekrytointi vie aikaa ja rahaa. Rekrytoinnin jälkeen CISO:lle maksetaan palkkaa työvoimaveroineen, ja heidän on ylläpidettävä taitojaan laadukkailla tietoturva- ja kyberturvallisuuskoulutuksilla. Pitkällä aikavälillä toimihenkilön palkkaaminen on todennäköisesti kalliimpaa ja arvoltaan vähäisempää kuin esimerkiksi KPMG:n tarjoaman tietoturvapäällikkö-palvelun ostaminen", Ilves sanoi.

Igmar Ilves
Vanhempi kyberturvallisuusneuvoja
KPMG Baltics OÜ