Mitä on tietoturvariskien hallinta?

Tietoturvariskien hallinta tarkoittaa selkeiden, priorisoitujen tietoturvapäätösten tekemistä tilanteessa, jossa täydellistä tietoa ei ole saatavilla.

Jokainen organisaatio toimii epävarmuuden vallitessa. Uhat muuttuvat, järjestelmät kehittyvät ja resurssit ovat rajalliset. Tietoturvariskien hallinta tarjoaa keinon päättää, mitä suojataan, kuinka paljon investoidaan ja mitkä riskit ollaan tietoisesti valmiita hyväksymään.

Sen sijaan, että reagoisit häiriöihin tai luottaisit intuitioon, luot riskinäkökulmasta toimivan mallin ympäristöstäsi. Mallin avulla voit ymmärtää, mikä on tärkeintä organisaatiollesi ja missä turvallisuustoimet todella vähentävät merkittävää riskiä. Tämän riskienhallintamallin tulisi muuttua organisaatiosi, teknologian ja toimintaympäristön muuttuessa.

Ongelma, jonka riskienhallinta on tarkoitettu ratkaisemaan

Et voi suojata kaikkea tasapuolisesti.

Aika, budjetti ja henkilöstö ovat aina rajallisia. Todellinen kysymys ei ole, onko jokin hallintakeino hyvä yksinään, vaan onko se paras tapa käyttää resursseja verrattuna muihin vaihtoehtoihin.

Tietoturvariskien hallinta on olemassa vastaamaan yhteen kysymykseen:

Mitä meidän pitäisi tehdä käytettävissä olevilla resursseilla suojellaksemme tietojamme ja Organisaatiomme liiketoimintaa mahdollisimman tehokkaasti?

Kun se tehdään hyvin, se tekee valinnoista näkyviä. Se osoittaa, miksi joihinkin riskeihin puututaan välittömästi, toiset lykätään ja jotkut hyväksytään tietoisesti.

Lue myös: Miksi tietoturvariskien hallinta on niin tärkeää?

Tietoturvariskien hallinnan tavoite

Kaikkia riskejä on mahdotonta poistaa, eikä se ole riskienhallinnan tavoite. Todellinen tavoite on:

• Keskittää resurssit sinne, missä ne vähentävät riskiä eniten.
  
• Ymmärtää nykyinen tietoturvatilanne.
  
• Tietää, mitä ovat vaatimukset halutun tietoturvatason saavuttamiseksi.
  
• Tehdä päätöksiä yhteisen ymmärryksen perusteella, ei vaistomaisesti.
  

Tämä luo ennustettavuutta, ja tietoturvatyö muuttuu reaktiivisesta suunnitelmalliseksi.

Mikä tekee tietoturvariskien hallinnasta toimivan

Riskienhallinta epäonnistuu usein, koska se muuttuu päätöksenteon sijaan dokumentoinniksi. Jotta se toimisi käytännössä, neljä elementtiä on oltava paikallaan.

Menettely: päätöksenteon tapa

Käytännöllinen riskienhallintamenettely määrittelee, miten päätökset tehdään, ei vain miten lomakkeet täytetään. Se vastaa kysymyksiin kuten:

• Mikä riskitaso on hyväksyttävä ja kuka sen päättää?
• Kuinka riskit tunnistetaan ja arvioidaan?
• Mitä kirjataan muistiin ja mitä pidetään kevyenä?
  

Painopisteen tulisi olla suhteellisessa priorisoinnissa. Yrittäessä laskea tarkkoja riskipisteitä luodaan illuusio tarkkuudesta. Epävarmuus on aina läsnä, ja sen kieltämisestä seuraa huonoja päätöksiä.

Tärkeää on verrata riskejä toisiinsa ja päättää, mitkä niistä vaativat toimia nyt.

Tiimi: oikeat ihmiset ja selkeä vastuu

Hyvä riskienhallinta vaatii useita näkökulmia. Pelkkä tekninen ymmärrys ei riitä. Tarvitaan myös organisaation ympäristön tuntemusta, prosessien tuntemusta ja tietoisuutta todellisista rajoitteista.

Jokaisella riskillä on oltava selkeä vastuuhenkilö. Tämä henkilö on vastuussa riskin käsittelyn päättämisestä ja sovittujen toimien toteuttamisen varmistamisesta.

Ilman vastuuhenkilöä riskienhallinta pysähtyy. Riskeistä keskustellaan, mutta mikään ei muutu.

Toimenpiteet: riskienhallinta on merkityksellistä vain, jos se johtaa muutokseen

Riskienhallinnan ainoa merkityksellinen tulos on toiminta. Jokaiselle merkitykselliselle riskille on oltava selkeä tulos:

• Konkreettinen parannus toteutetaan
  
• Riski hyväksytään tietoisesti
  
• Riski lykätään perustellusti ja tarkistetaan myöhemmin
  

Jos riskikeskustelut eivät johda selkeisiin toimenpiteisiin tai päätöksiin, prosessi on epäonnistunut. Pelkkä dokumentointi ei vähennä riskiä.

Integrointi: riskienhallinnan sisällyttäminen päivittäiseen työhön

Riskienhallintaa ei voi eristää tai tehdä satunnaisesti. Jos se tapahtuu kerran vuodessa, se ei vaikuta todellisiin päätöksiin. Jos se jää päivittäisen työn ulkopuolelle, se jätetään huomiotta.

Riskienhallinta on käynnistettävä oikealla hetkellä, esimerkiksi:

• Uusien järjestelmien tai toimittajien käyttöönotto
  
• Tietojenkäsittelyn merkittävät muutokset
  
• Tapaturmien tai läheltä piti -tilanteiden jälkeen
  
• Strategisten tai budjettipäätösten aikana
  

Kun riskienhallinta on osa päivittäistä työtä, turvallisuuspäätökset paranevat luonnollisesti ajan myötä.

Kuinka vaatimuskehikot ja riskienhallinta sopivat yhteen

Tietoturvan vaatimuskehikot ja riskienhallinta eivät ole erillisiä toimintoja. Ne toimivat kerroksittain, kukin rakentuen edellisen päälle.

Ytimessä vaatimuskehikot määrittelevät yhteisen perustason. Niiden vaatimuskehikot heijastavat sitä, mitä yleisesti pidetään tärkeänä kaikille organisaatioille, kollektiivisen kokemuksen perusteella. Tämä antaa lähtökohdan ja auttaa varmistamaan, että et unohda turvallisuuden perustavanlaatuisia alueita.

Tämän perustason päälle tulevat vaatimuskehikon hallintakeinot. Ne kuvaavat, millaisia suojatoimia tulisi vähintään olla. Ne kuvaavat aiheet ja mekanismit, joita on käsiteltävä, mutta eivät sitä, kuinka syvällisesti tai laajasti ne on toteutettava.

Kolmas lisätty taso on riskienhallinta. Se määrittää, kuinka pitkälle kukin hallintakeino tulisi ulottua omassa ympäristössäsi. Tässä tehdään päätökset syvyydestä, laajuudesta ja priorisoinnista todellisten rajoitteiden ja todellisten riskien perusteella.

Ulommainen taso on riskien arviointi. Tässä vaiheessa siirrytään vaatimuskehikon ulkopuolelle ja tehdään omia pohdintoja. Riskien arvioinnit paljastavat, mitkä hallintakeinot vaativat vahvempaa toteutusta ja mitkä lisähallintakeinot voivat olla tarpeen organisaatiosi erityisriskien käsittelemiseksi.

Tämä taso on myös oppimisen paikka. Rakennat toistettavan päätöksentekoprosessin, joka jatkaa toimintaansa alkuperäisen vaatimustenmukaisuuden saavuttamisen jälkeen.

Ilman riskienhallintaa vaatimuskehikot jäävät pinnallisiksi. Hallintakeinot toteutetaan valintaruutujen muodossa, suojaus ei kata sitä, mikä on todella tärkeää, ja tietoturvatoimet siirtyvät hitaasti pois Organisaation prioriteeteista.

Riskienhallinnan muuttaminen päivittäiseksi tietoturvatyöksi

Tietoturvariskien hallinta toimii vain, kun se on käytännöllistä, jatkuvaa ja sidottu todellisiin päätöksiin. Kehykset antavat rakenteen ja riskienhallinta suunnan, mutta molemmat epäonnistuvat, jos ne pysyvät abstrakteina tai irrallaan päivittäisestä työstä.

Tässä ISMS:n on tehtävä muutakin kuin vain tallentaa asiakirjoja.

Digiturvamallin ISMS on rakennettu tukemaan molempia puolia samanaikaisesti. Se tarjoaa työkaluja jatkuvan riskienhallinnan toteuttamiseen, ei vain kertaluonteisiin arviointeihin, ja yhdistää tämän työn suoraan noudattamiisi vaatimuskehikoihin. Työskenteletpä sitten ISO 27001:n, NIS2:n tai muiden vaatimusten parissa, sama riskipohjainen lähestymistapa pätee.

Riskit, hallintakeinot ja toimet ovat yhdessä paikassa. Riskien omistajat on määritelty selkeästi. Päätökset ja seurantatoimet ovat näkyvissä, eivät piilossa raporteissa. Kun jotain muuttuu, esimerkiksi uusi järjestelmä, uusi toimittaja tai uusi vaatimus, riskienhallinta käynnistyy osana normaalia työtä.

Tuloksena on ISMS, joka pysyy linjassa Organisaation prioriteettien kanssa. Vaatimuskehikon noudattaminen on hyvän riskienhallinnan sivutuote, ei päinvastoin.