Volvo Groupin tietoturvajohtaja, pitkän uran teknisen tietoturvan parissa tehnyt Benjamin Särkkä neuvoo, miten tietoturvasta voi tehdä kasvun moottorin. Hän listaa kolme asiaa, joiden avulla yritys voi muuttaa tietoturvariskien hallinnan kilpailueduksi.

Tietoturvan nykytilanne on Benjamin Särkän mukaan suomalaisella yrityskentällä hyvin vaihteleva – moni huolehtii tietoturvasta erittäin hyvin, mutta on myös yllättävän paljon yrityksiä, joissa tietoturva on yhden ihmisen varassa ja vastuulla. Tällaisessa tilanteessa riskit kasvavat.

”Liian usein tietoturvaa aletaan miettiä tosissaan vasta siinä vaiheessa, kun itselle tai kilpailijalle tapahtuu jotakin pahaa.”

Pitkäjänteinen ja ennakoiva riskien hallinta on tärkeä osa vastuullista yritystoimintaa. Riskien tiedostaminen ja hallinta ei kuitenkaan vaadi sitä, että jokaisessa yrityksessä otetaan kaikki keinot käyttöön. Sen sijaan on tärkeää tunnistaa juuri oman organisaation heikot kohdat.

Kolme asiaa, joiden avulla tietoturvasta tulee liiketoiminnan kirittäjä

Särkkä antaa toimintaohjeet, joiden avulla tietoturva saadaan osaksi yrityksen ydintoimintaa niin, että se tehostaa prosesseja, avaa uusia mahdollisuuksia liiketoimintaan ja parhaimmillaan toimii jopa strategisena työkaluna kilpailukyvyn parantamiseen.

1. Perusasiat kuntoon

Ensimmäisenä yrityksellä täytyy tietysti olla tietoturvan perusasiat kunnossa. Tähän liittyy perus IT-infrastruktuurin rakentaminen niin, että yrityksen käyttämät järjestelmät päivitetään tasaisin väliajoin, käyttäjien tilit on suojattu riittävän hyvillä salasanoilla ja kaksivaiheinen tunnistautuminen on käytössä. Kriittisille järjestelmille kannattaa myös luoda kompensoivia vaihtoehtoja potentiaalisen tietoturvaloukkauksen varalle, jotta koko yrityksen toiminta ei pysähdy yhden järjestelmän kaatuessa.

”Esimerkiksi autoala on pitkään ollut digitaalisessa murroksessa, mutta ongelma on se, ettei monikaan alan yritys näe itseään IT-alan toimijana, vaikka autot ovat nykyisin tietokoneita.”

2. Uhkamallinnus paljastaa aukot tietoturvassa

Kun perusasiat ovat kunnossa, tulisi yrityksen tietoturva vielä validoida. Tämä onnistuu uhkamallinnuksen avulla, jonka voi tehdä tietoturva-asiantuntijan avulla tai avoimia viitekehyksiä hyödyntäen.

Yksinkertaisimmillaan uhkamallinnuksessa kysytään oikeat kysymykset yrityksen avainhenkilöiltä niin, että mietitään, mitä potentiaaliset uhat ovat ja mitä niiden eteen tullessa tehdään. Se on looginen ajatusleikki, jossa tietoturva-asiantuntija voi toimia tukena ja tuoda esiin sen, mihin potentiaalinen hyökkääjä pystyisi. Uhkamallinnus auttaa tunnistamaan sokeita pisteitä ja mahdollisia heikkoja lenkkejä, esimerkiksi kriittisiä alihankkijoita, joiden roolia tietoturvariskinä ei ole täysin ymmärretty.

”Tietoturvapäätöksiä ei tehdä pelkällä intuitiolla. Tärkeintä riskienhallinnassa on dataan pohjautuva ymmärrys potentiaalisista uhista ja tietoiset valinnat, jotka ohjaavat kaikkea organisaation tekemistä.”

3. Tietoturva ei ole hidaste – se on mahdollistaja ja kilpailuvaltti

Tietoturvan ei tarvitse olla asia, joka vaikeuttaa yrityksen toimintaa. Kun se suunnitellaan osaksi kaikkea tekemistä, siitä tulee uusia innovaatioita mahdollistava ja käytettävyyttä parantava tekijä.

Särkkä nostaa autoalalta esimerkiksi automaattiavaimet – kun autonavainten tietoturvaa parannettiin siirtymällä fyysisestä, helposti kopioitavasta avaimesta sähköiseen avaimeen, parantui samalla myös loppukäyttäjän käyttökokemus. Samalla tavalla esimerkiksi tietokoneiden ja puhelinten tietoturvaa parantaneet biometriset tunnisteet ovat parantaneet käyttökokemusta, kun käyttäjän ei tarvitse enää näpytellä koodeja ja salasanoja.

Yksi suuri potentiaalinen kilpailuetu digitaalisessa murroksessa olevalla autoalalla on autojen tietoturvallisuus. Autot ovat nykyään pyörillä kulkevia tietokoneita, joilla on pääsy käyttäjänsä puhelu-, sijainti- ja yhteystietoihin. Eurooppalainen lainsäädäntö velvoittaa pitämään huolta käyttäjien tietoturvasta, mutta se on eurooppalaisille yrityksille enemmän mahdollisuus kuin uhka. Onhan vastuullinen tietoturvasta huolehtiminen potentiaalinen kilpailuvaltti ulkomaisia, edullisempia kilpailijoita vastaan.

”Ulkoa tuleva pakote voidaan nähdä myös mahdollisuutena investoida moderneihin teknologioihin, jotka mahdollistavat järjestelmien turvaamisen niin, että käyttäjien ymmärrys riskeistä kasvaa ja käyttökokemus paranee.”

Miltä näyttää tietoturvan tulevaisuus?

Tietoturvasta huolehtiminen on osa vastuullista yritystoimintaa varsinkin autoalan kaltaisella toimialalla, jossa tuotteet ovat muuttuneet muutamassa vuosikymmenessä pelkästä mekaniikasta tietokoneiksi. Kuluttajat eivät vielä välttämättä tiedosta sitä, miten paljon tietoa auto voi heistä kerätä, ja kenelle nämä tiedot ovat vaarassa valua.

Särkkä toivoo, että tietoturvaopit ja parhaat käytännöt olisivat kaikkien saatavilla. Korkea tietoturvan taso läpi koko suomalaisen yritysmaailman olisi kaikkien etu, ja siksi hyviä käytäntöjä tulisi jakaa avoimesti läpi kilpailijakentän.

”Haluaisin, että saisimme kaikkien yritysten tietoturvan tason nostettua riittävän korkealle. Sen jälkeen yritykset voisivat kilpailla siinä, kuka tekee hienoimman tuotteen, eikä siinä, kuka joutuu vähiten tietoturvaloukkausten uhriksi.”

Benjamin Särkkä puhuu AKL Summit -tapahtumassa Espoon Hybridiarena Hypessä 11. helmikuuta lisää aiheesta: Modernin toimintaympäristön haasteet ja mahdollisuudet autoalalla.

Ilmoittaudu mukaan ja tule ammentamaan parhaat käytännöt moderniin ja vastuulliseen tietoturvatekemiseen!