Liian harva yritysjohtaja ymmärtää, että jokainen tietomurto tulee yllätyksenä. Yritykset ovat aina oman tietämyksensä mukaan huolehtineet tietoturvasta vähintäänkin tyydyttävästi. En muista tapausta, jossa yritysjohto olisi myöntänyt tapahtuneen jälkeen odottaneensa tietomurtoa ja yrityssalaisuuksien katoamista.

Perinteiseen kaavaan, jossa tietoturvaa pohditaan vasta housujen likaannuttua, tuli hetkellinen muutos toukokuussa 2018 voimaan astuneen GDPR:n eli EU:n yleisen tietosuoja-asetuksen myötä. Se sai monet yritykset miettimään tietoturva-asioita poikkeuksellisesti etukäteen.

GDPR oli hyvä herätys. Sen ansiosta yritykset alkoivat varustautua tietomurtojen varalle ja niistä raportoimiseen. Valitettavasti kovin moni yritys tekee muutoksia vain pakon edessä: muutoksia prosesseihin ja henkilötietoja käsitteleviin järjestelmiin tehtiin vain siksi, että EU niin vaati. Se, mikä on EU:n vaatimuksen takana henkilötietojen suojaamisessa, tai mitä GDPR:n ulkopuolelle jäävien tärkeiden tietojen menettäminen voi yritykselle tarkoittaa, on jäänyt monelle vielä hämäräksi.

Ahdistusta ja kiimaa

Vuoden 2018 keväällä useissa pk-yrityksissä vallitsi GDPR-ahdistus. Niillä oli vain harvoin sisäisiä resursseja selvittää, mistä koko keskustelussa oli kyse. Kun uutisartikkelit lähes poikkeuksetta mainitsivat massiiviset uhkasakot sekä paljon vieraita termejä, aiheutti se luonnollisesti ahdistusta.

Ahdistuksen perässä seurasi toinen yritysjoukko, jolla ei ollut ahdistusta, vaan GDPR-kiima. Silmät kiiltäen he kauppasivat GDPR-koulutuksia ja auditointeja, joiden jälkeen yrityksillä saattoi olla jossain määrin käsitys siitä, mitä pitäisi tehdä. Kaikki oli kuitenkin vielä tekemättä.

GDPR sai yritykset edes hetkeksi ajattelemaan tiedon arvoa, mutta valitettavasti moni ei ymmärtänyt yritykselle tärkeimmän tiedon todellista arvoa, mikä on usein huomattavasti sakkoja enemmän. EU uhkaa yrityksiä liikevaihtoon suhteutetulla sakolla, mutta sakon arvo ei ole yhtä kuin tiedon arvo. Se on vain sakko rikkomuksesta.

Tiedon rahallisen arvon voi ymmärtää, jos pohtii murron vaikutusta yrityksen liiketoimintaan. Jos kyberhyökkäys kohdistuu tehtaan järjestelmiin ja ne menevät nurin, niin tuotantolinjat seisovat. Tällöin jokainen minuutti maksaa, kun asiakkaille tarjotaan ei-oota.

Asiantuntijapalveluja myyville yrityksille tilanne on vielä pahempi. Tietomurto heikentää asiakkaan luottamusta yritykseen ja asiakkaat tuppaavat äänestämään jaloillaan. Etenkin pieni kumppani on helppo vaihtaa, mutta tietomurto näkyy lähes poikkeuksetta suurenkin yhtiön tilauskannassa.

Tietomurto on potentiaalinen uhka bisnekselle – aina

Media kirjoittaa mielellään paljon työsopimusehtoihin liittyvistä lakoista. Lakot ovat ymmärrettävästi työnantajapuolen silmissä suuri ongelma, kun bisnes seisoo. Lakoista huolissaan oleva joukko ei ole läheskään yhtä huolissaan siitä, miten tietomurto voi pysäyttää bisneksen.

Jos jollain on riittävän suuri intressi pysäyttää bisneksesi, niin aina löytyy keino. Eivät ne Iranissakaan uskoneet, etteikö uraaninrikastamon verkosta irrallisiin tietokoneisiin voisi hyökätä. Hyvin se silti onnistui yksittäisen USB-tikun ja Stuxnet-madon voimin.

Nyt, muutamia vuosia myöhemmin, valtiollisten tahojen käyttämiä kyberhyökkäystyökaluja on levinnyt helposti saataville. Tietoturva-asiantuntijoiden mukaan enää ei ole edes olemassa järjestelmää, johon he eivät tavalla tai toisella pystyisi tunkeutumaan.

Tuotantoteollisuutta vaanivista uhista julkaisimme hiljattain tietopaketin, joka jokaisen asiasta kiinnostuneen kannattaa lukea. Isoissa tuotantolaitoksissa puhutaan usein isoista rahoista, jolloin ne ovat rikollisille ison mielenkiinnon kohteita.

Yksi mielenkiintoisista, suureen konserniin kohdistuvista tapauksista nähtiin Suomessa kuluvan vuoden alussa, kun miljardien liikevaihtoa pyörittävä Metsä Group epäili joutuneensa tietomurron kohteeksi ja julkaisi silloin kaiken varalta tulostietonsa etuajassa. Pörssiyhtiöiden data kiinnostaa aina, koska sen avulla voi saada taloudellista hyötyä.

Tietomurron kohteet eivät rajoitu kansainvälisiin pankkeihin tai maailmanlaajuisesti käytössä oleviin sosiaalisen median palveluihin. Useat pk-yritykset ovat kyberhyökkäysten kohteena. Päivittäin.

Haluatko oikeasti turvata yrityksesi?

On jokaisen yrityksen johdon tehtävä miettiä, haluavatko he oikeasti turvata yrityksensä vai haluavatko he vain täyttää GDPR:n vaatimukset. Ne kun eivät ole sama asia. Yritys täyttää ilmoitusvelvollisuuden vaatimukset, jos se huomaa tietomurron muutaman kuukauden kuluttua sen tapahtumisesta ja raportoi siitä kolmen vuorokauden sisällä. Todellisuudessa yrityksen tietoturva on isompi asia kuin se, miten nopeasti henkilötietoihin liittyvästä tietomurrosta raportoit.

Tutkimuksen mukaan keskimäärin kuluu vähintään sata vuorokautta, ennen kuin yritys huomaa, että tietomurto on ylipäätään tapahtunut. Se, mitä itse asiassa tapahtui, selviää vielä pidemmän ajan kuluttua. Tietomurto voi tulla julki jopa ulkopuolisen tahon kautta; esimerkiksi asiakkaan, joka huomaa joutuneensa tietomurron seurauksena ongelmiin.

Riittävän nopea raportointi henkilötietojen osalta on kyseessä olevien henkilöiden kannalta hyvä asia, mutta se ei pyyhi pois jo tapahtunutta tietojen vuotamista. Voi vain arvailla, mitä hyökkääjä on ehtinyt tehdä varastetuilla tiedoilla, ennen murron paljastumista. Tietoturva-asiantuntijan silmin on sietämätöntä, että tietomurron ja sen huomaamisen väliin jää edes vuorokausia.

Kyberhyökkäys täytyy pysäyttää nopeasti, sillä riski arkaluontoisten tietojen vuotamisesta kasvaa heti hyökkäyshetkestä lähtien. Useimmilla yrityksillä ei ole resursseja estää kohdennettuja hyökkäyksiä, mutta heidän täytyy kuitenkin tunnistaa tietomurtoihin liittyvät riskit ja varautua niihin. Tällöin yrityksen tärkeät tiedot pysyvät paremmin turvassa.

Jos haluat varmistaa että yrityksesi huomaa hyökkäykset ajoissa, ota meihin yhteyttä. Uusi tietoturvaratkaisumme on varta vasten suunniteltu edistyneiden uhkien torjuntaan, ja se havaitsee ja reagoi nopeasti hyökkäyksiin joita muut tietoturvaratkaisusi eivät kykene pysäyttämään.

Lue lisää ja ota yhteyttä