Kyberturvallisuuden kypsyystason arviointi on kustannustehokkain tapa tunnistaa tietoturvan ja kyberturvallisuuden haavoittuvuudet

Miten virolaiset yritykset arvioivat yleisesti tietoturvaansa ja kyberturvallisuuttaan?

Mihkel Kukk: Viron Äripäev -talouslehden kanssa tekemämme kysely osoittaa, että yritykset pitävät tilannettaan hyvänä. Tämä voi johtua siitä, että saatavilla ei ole kovin paljon tietoa, jonka perusteella he voisivat arvioida tietoturvansa nykyistä tasoa. Yritykset olettavat usein, että kaikki on hyvin, koska mitään ei ole tapahtunut tähän mennessä. Heillä ei kuitenkaan välttämättä ole monia tosiseikkoja tai perusteluja [näkemyksensä tueksi].

Igmar Ilves: Vaikka yritys ei ajattelisikaan, että sen tietoturvataso on täydellinen, he silti uskovat tason olevan tyydyttävä. Tämä voi johtua siitä, että yhtiö ajattele, ettei kyberhäiriöitä olekaan sattunut kohdalleen. Mutta tosiasia on se, että joka ikinen häiriö ei välttämättä ole sellainen, josta saadaan selville.

Miten yritysten käsitykset tilanteestaan ovat muuttuneet viime vuosina? Ovatko ne paremmin mukautuneet todellisuuteen?

Kukk: Sanoisin pikemminkin, että tietoisuudessa on tapahtunut muutos. Tämä näkyy KPMG:n maailmanlaajuisesti tekemissä tutkimuksissa, jotka osoittavat, että yritysjohtajat ovat jo tiedostaneet kyberturvallisuusriskin yhdeksi tärkeimmistä riskeistään. Se on kuitenkin vähän niin kuin rahan kohdentamisen kanssa, että tietoisuus ja toiminta eivät välttämättä kohtaa. Vaikka kaikki tietävät, että rahan jakaminen on tärkeää, kaikki eivät ole vielä ryhtyneet toimiin. Vaikka yritys on luokitellut kyberuhat ykkösriskiksi, emme useinkaan näe, että toimintansa olisi sen mukainen.

It-auditoinnit, riskiarvioinnit ja pentestit (englanniksi Penetration Test) ovat työkaluja, joilla arvioidaan organisaation tietoturvaa ja kyberturvallisuutta. Miten yrityksen johtajan tai muun edustajan pitäisi päättää, mitä palveluja, missä määrin ja missä järjestyksessä olisi järkevää tilata?

Kukk: Kustannustehokkain tapa tunnistaa suurimmat puutteet on kyberturvallisuuden kypsyystason arviointi (englanniksi Cyber Maturity Assessment, CMA). Tämä on yksi CMA-palvelumme päätavoitteista – näyttää asiakkaille, mistä heidän tulisi aloittaa tietoturvansa parantaminen. Joissakin yrityksissä tilanne voi todellakin olla erittäin hyvä: kaikki menettelyt on dokumentoitu, ja politiikat ja säännöt ovat olemassa, mutta esimerkiksi järjestelmän palauttaminen laiminlyödään. CMA:n avulla saat selville, millä alueilla sinulla saattaa olla suurimmat puutteet ja mitä alueita tulisi käsitellä seuraavaksi.

Mitä eroa on It-auditoinnilla, pentestauksella ja It-riskien arvioinnilla, ja kuinka paljon aikaa ne vievät?

Kukk: Yksi eroista on se, että kypsyystasoa arvioitaessa emme kerää todisteita, koska oletamme, että riittävän ja totuudenmukaisen tiedon antaminen on yrityksen edun mukaista. Toisaalta It-auditointi edellyttää, että etsimme todellista näyttöä jokaisen väitteen tueksi, jotta se voidaan sisällyttää raporttiin. Kenelläkään, joka haluaa arvioida tasoaan, ei olisi motivaatiota kaunistaa tilannetta; muuten palvelussa ei olisi paljon järkeä.

Ilves:  Kun yritys on tietoinen kyberturvallisuuden tärkeydestä, seuraava kysymys on, mille alueelle resursseja kannattaa panostaa. Yrityksillä on usein osaavia työntekijöitä, kuten tietoturvapäällikkö tai tietotekninen vastuuhenkilö, jotka tietävät, mihin resursseja tulisi kohdentaa kyberturvallisuuden parantamiseksi. Kokemuksemme kuitenkin osoittavat, että joskus nämä päätökset tehdään mututuntumalla.

Mitä CMA sitten on, mitä prosesseja se sisältää ja miten asiakas hyötyy siitä?

Ilves: It-auditoinnissa, It-riskien arvioinnissa ja teknisessä turvatestauksessa noudatamme käytännönläheistä lähestymistapaa, eli haastattelemme yrityksen henkilökuntaa, tarkistamme turvatoimien tehokkuuden, hajotamme sen järjestelmiä, tarkastelemme konfiguraatioita jne. CMA puolestaan on yksinkertaisempi, koska se perustuu vain haastatteluihin.

Kenelle haastattelukysymykset yleensä osoitetaan, It-päällikölle vai ylimmälle johtajalle?

Ilves: Voisimme sanoa, että kysymysten pitäisi mennä It-päällikölle tai tietoturvapäällikölle, mutta emme välttämättä tiedä minkäänlaiset virat ja toimet asiakkaan yrityksessä/organisaatiossa ovat ja miten vastuut jakautuvat. Tapamme monia asiakkaistamme ensimmäistä kertaa kun tarjoamme heille CMA-palvelua. Lähestymistapamme on lähettää kaikki kysymykset etukäteen ja pyytää asiakasta ottamaan mukaan henkilökunnan jäsenet, jotka pystyvät vastaamaan niihin.

Kuinka yksityiskohtaisia kysymykset ovat ja kuinka kauan niihin vastaaminen yleensä kestää?

Ilves: Haastattelu on melko tiivis, mutta se perustuu KPMG:n metodologiaan ja palvelujemme laatuun, sillä haastattelijat ovat alansa asiantuntijoita. Kysymykset ovat melko yksityiskohtaisia. Siihen kuluu kaksi tuntia tai hieman kauemmin.

Riippuvatko nämä kysymykset yrityksen toimialasta, koosta ja kokemuksesta vai ovatko ne kaikille samat?

Ilves: Olemme suunnitelleet kysymykset niin, että siitä hyötyvät kaikki yritykset koosta riippumatta. Esimerkiksi käytämme myös monivalintakysymyksiä. Monet yritykset ulkoistavat It-hallinnan, eikä niillä ole omia It-alan toimihenkilöitä. Otamme tämän huomioon, mutta jätämme osan kysymyksistä pois, jos heillä on It-alan toimihenkilöitä talossa. Yleisesti ottaen sillä ei ole väliä, onko yritys pieni, keskikokoinen vai suuri – otamme niiden koon huomioon haastatteluja tehdessämme.

Kukk: Jos haastattelutulosten analysoinnin aikana herää lisäkysymyksiä, otamme asiakkaan yhteyttä. Kun raportti on valmis, esittelemme sen asiakkaalle, ja tarjoamme myös mahdollisuuden keskustella tuloksista yhdessä. Tämä auttaa asiakasta ymmärtämään paremmin analyysin aikana esiin tulleita haavoittuvuuksia.

Onko se enemmänkin teknisen osaamisen arviointia vai tarkastellaanko työ- ja liiketoimintaprosessien ohella myös inhimillistä tekijää eli toimihenkilöitä?

Ilves: Me tarkastellaan kaikkea. Suunnittelun painopistealueen yhteydessä tarkastellaan prosesseja ja toimihenkilöitä. Suojauksen painopistealue puolestaan kattaa melko tekniset kysymykset, esimerkiksi koskien monivaiheista todentamista, VPN:ää tai reititintä.

Kukk: Haastattelu perustuu erilaisiin kansainvälisiin standardeihin, jotka kattavat nämä eri alueetkin. Jotkut voivat olla hyvin teknisiä, kun taas toiset keskittyvät enemmän prosesseihin tai ihmisiin. Emme mene liian yksityiskohtiin, mutta saamme tietoa siitä, onko tietyt osa-alueet yrityksessä käsitelty ja missä määrin. Joskus voi käydä ilmi, että joitain prosesseja on toteutettu, mutta niitä ei ole esimerkiksi dokumentoitu kunnolla. Vaikka ratkaisu olisikin vain osittainen, saamme ainakin käsityksen nykyisestä tilanteesta.

Silti, mitä yritykseltä tarkalleen ottaen kysytään?

Ilves: Suunnittelun painopistealueetta tarkastellessamme kysymme esimerkiksi tietoturvan hallinnasta, riskien arvioinnista sekä laitteisto- ja ohjelmistoluetteloista. Teknisiä toimenpiteitä käsitellään suojauksen painopistealueeseen liittyvien kysymysten yhteydessä. Esimerkiksi haittaohjelmien ehkäisyyn, sovellusten tietoturvaan, tietosuojaan, sähköpostin ja internetin käytön turvallisuuteen jne. liittyy useita kysymyksiä.

Onko raportista toiseen toistuvia asioita, joita on Viron yhteydessä korostettava usein?

Ilves: Yrityksillä ei pääsääntöisesti ole tietoturvapolitiikkaa tai se on puutteellista. Lisäksi It-riskiarvioinnin suorittaneita yrityksiä ei ole kovin montaa. Etenkään pienet yritykset eivät ymmärrä riskien arvioinnin merkitystä ja etuja. Melkein jokaisen haastattelun jälkeen tällaiset asiakkaat toteavat, että kiinnitimme heidän huomionsa puutteisiin, jotka olivat aivan heidän nenänsä edessä, mutta joita he eivät olleet huomanneet.

Mitä asiakkaat yleensä tekevät raportin tuloksilla? Ehdotatteko jatkotoimia vai tarjoatte myös lisäpalveluita?

Ilves: Ensimmäinen reaktio on usein hiljaisuus. He miettivät asioita alueilla, joissa heidän mielestään ei ollut ongelmia, mutta missä ongelmia kuitenkin ilmeni. On asiakkaita, joista emme kuule enää koskaan, mutta on myös asiakkaita, jotka ottavat meihin yhteyttä vaikkapa puolen vuoden kuluttua ja haluavat parantaa tilannettaan. Reaktiot ovat erilaisia. Olemme kuitenkin suunnitelleet palvelun tavalla, joka ei välttämättä vaadi meiltä mitään seurantatoimenpiteitä. Raportti on riittävä sinänsä; siinä on tarpeeksi tietoja.

Kukk: Reaktiot riippuvat siitä, miten yritys kokee It-turvallisuuden tärkeyden ja löytyykö siihen resursseja. Suurin osa seurantatoimenpiteistä vaatii henkilöresursseja tai taloudellisia resursseja. Se, että yritys tulee tietoiseksi riskeistä, ei välttämättä johda konkreettisiin toimenpiteisiin niiden torjumiseksi.

TAUSTA

Kyberturvallisuuden kypsyystason arvioinnin painopistealueiden yhteenlasketun prosenttiosuuden laskeminen

• Kyberturvallisuuden kypsyystason arvioinnin (CMA) tulos on painopistealueiden yhteenlaskettu prosenttiosuus. Se lasketaan ja esitetään prosentteina siten, että korkein mahdollinen arvio on 100 % ja alhaisin 0 %.
• Yhteenlaskettu prosenttiosuus on jaettu neljään eri luokkaan: 'puutteellinen' (0–59 %), 'tyydyttävä' (60–74 %), 'hyvä' (75–89 %) ja 'erittäin hyvä' (90–100 %). Luokka ja yhteenlaskettu prosenttiosuus muodostavat yrityksen kyberturvallisuuden kypsyystason kokonaisarvion.
• Yhteenlaskettu prosenttiosuus perustuu viiden painopistealueen – suunnittelu, suojaus, havaitseminen, reagointi ja palauttaminen – arvioihin. Kuten yhteenlaskettu tulos, nämä yksittäiset arviot lasketaan prosentteina siten, että korkein mahdollinen arvio on 100 % ja alhaisin 0 %.
• On tärkeää korostaa, että jokaiselle painopistealueelle on määritetty erilainen painoarvo yhteenlaskettua prosenttiosuutta laskettaessa. Kunkin painopistealueen prosentuaalinen osuus yhteenlasketusta prosenttiosuudesta riippuu haastateltavan yrityksen tyypistä, ja sen määrittää kyberturvallisuuden kypsyystason arvioija KPMG:n metodologian perusteella.
• Yhteenlaskettu prosenttiosuus määritetään KPMG:n asiantuntijoiden yrityksen avainhenkilöiden kanssa tekemän haastattelun pohjalta ja KPMG:n menetelmän pohjalta kyberturvallisuuden kypsyystason arvioinnin määrittämiseksi.
• Kaikki raportit laaditaan rinnakkain viroksi ja englanniksi.

HYVÄ TIETÄÄ

• Yhtiöllä ei ole tietoturvapolitiikkaa.
• Yhtiö ei ole tehnyt tietoturvariskien arviointia.
• Yhtiö ei tee sisäisiä tai ulkoisia (riippumattomia) auditointeja tietojärjestelmilleen.
• Yritys ei ole varma, että sen ulkopuolisilla kumppaneilla (palveluntarjoajilla) on liiketoiminnan jatkuvuussuunnitelmat ja että ne ovat riittäviä ja niitä testataan säännöllisesti.
• Yhtiö ei ole ryhtynyt teknisiin toimenpiteisiin salliakseen ulkoisten tallennuslaitteiden käytön vain silloin, kun siihen on liiketoiminnallinen tarve ja dokumentoitu vahvistus on saatu.
• Yhtiö ei ole ryhtynyt ohjelmistoteknisiin suojaustoimenpiteisiin hyökkäyskoodin suorittamisen estämiseksi.
• Yhtiö ei ole ottanut käyttöön teknisiä ratkaisuja pystyäkseen havaitsemaan piilotettuja syötteitä.
• Yrityksen Wi-Fi -verkko voi olla vaarassa.
• Yritys ei ole estänyt pääsyä yleisimmille tiedostonjakosivustoille ja yleisimpiin viestikeskuksiin.
• Tietojärjestelmän käyttäjätilien ja käyttöoikeuksien tarkastuksia ei tehdä johdonmukaisesti.