Harjoittelu ja varautuminen ovat osa yritysten vastuullisuutta

Kyberhäiriö voi osua mihin tahansa organisaatioon sen koosta tai toimialasta riippumatta. Häiriöillä voi olla vakavia vaikutuksia organisaation toimintaan, ja epäonniset tapaukset nousevat esille usein myös mediassa. Harjoittelun avulla organisaatio voi parantaa toimintavalmiuksiaan, pienentää varsinaisten kyberhyökkäysten vaikutuksia ja jopa tunnistaa uusia potentiaalisia uhkia etukäteen.

Harjoitus voidaan kevyimmillään toteuttaa esimerkiksi sähköpostiharjoituksena (Ulkoinen linkki). Toisaalta se voi olla myös monen toimijan iso yhteinen harjoitus, kuten joka toinen vuosi järjestettävä TIETO-harjoitus. Olipa harjoituksen tarkoitus ja toteuttamistapa mikä tahansa, harjoitus kannattaa suunnitella kokonaisuutena, josta itse harjoitus on vain yksi osa. Paljon tapahtuu jo ennen harjoittelua ja sen jälkeen.

Harjoitukselle kannattaa asettaa selkeä tavoite, johon harjoittelijoiden on helppo sitoutua. Miten toimitaan esimerkiksi pitkäkestoisen sähkökatkon aikana? Mitä jos kiristyshaittaohjelma lamauttaa organisaation toiminnan? Tavoitteen lisäksi on hyvä määrittää organisaation kyberturvallisuuden lähtötaso ja käydä läpi kaikki kriittiset tietotekniset resurssit. 

Kun tavoite on päätetty, valitaan siihen sopiva skenaario. Harjoituksen ei tarvitse olla kiivastahtinen ja uskomattomia juonenkäänteitä vilisevä trilleri. Harjoittelijat arvostavat usein selkeitä tavoitteita, alustusta ja roolijakoa. Lisäksi on hyvä muistuttaa, että harjoituksessa ei testata yksittäisen henkilön suoriutumista vaan yhteisiä prosesseja.

Harjoituksen aikana voi iskeä kiusaus oikaista. Kaikki toimii kuin oppikirjassa, ja vaikeasta tilanteesta selvitään tavalla, joka ei oikeasti olisi mahdollinen. Mutta jos tositilanne iskee tavallisena maanantaiaamuna, edessä voi olla monenlaisia mutkia. Mitä jos avainhenkilö on lomalla, tärkeä viesti ei saavuta oikeaa ihmistä tai tekniikka ei toimi? Jotta harjoituksesta saadaan kaikki hyöty irti, oikopolkujen sijaan kannattaa etsiä pikemminkin inhorealismia.

Kun harjoitus on ohi, on aika kerätä opit. Mitä heikkouksia tai puutteita harjoituksessa havaittiin? Miten niitä lähdetään parantamaan, niin että tosipaikan tulleen ollaan paremmin varautuneita?

Yhteistyö perustuu luottamukselle

Tänä vuonna lukuisat yritykset harjoittelevat yhdessä TIETO24-harjoituksessa (Ulkoinen linkki). TIETO on Suomen suurin yritysten ja viranomaisten yhteistoiminta- ja tiedonvaihtoharjoitus laajojen hybridi-, kyber- ja informaatiohäiriöiden varalta. Harjoituksia on järjestetty jo 1980-luvun lopulta asti, ja niiden järjestämisestä vastaa nykyisin Huoltovarmuuskeskus.

Tänä vuonna erityistä huomiota kiinnitetään energia- ja logistiikkasektoreihin, joilla on keskeinen merkitys koko yhteiskunnan huoltovarmuuden kannalta. Harjoittelua tarvitaan, sillä logistisen järjestelmän toiminta nojautuu voimakkaasti digitaalisiin järjestelmiin ja niiden kyberturvallisuuteen.

TIETO-harjoitus on loistava esimerkki siitä, miten suomalaisessa yhteiskunnassa asioitaan tehdään yhdessä. Yksittäisten ihmisten välinen luottamus mahdollistaa yhteistyön, luottamuksen ja tiedonvaihdon yritysten ja viranomaisten kesken. Tätä luottamusta tulee vaalia.

Kirjoittaja Jarkko Saarimäki on Liikenne- ja viestintävirasto Traficomin pääjohtaja.