Kriittisen datan sijainti nousee erityiseksi kysymykseksi tässä maailmantilanteessa, jossa uhkakuva esimerkiksi tietoliikenneyhteyksien katkaisemiseksi on aiempaa todellisempi. Se, että yhteys on katkeaa tai ruuhkautuu, on yksi skenaario. Poikkeustilanteet aiheuttavat uusia ulottuvuuksia, miten datan saavutettavuus pystytään turvaamaan. Kriittisen datan määrittely on aina organisaatiokohtaista, mutta lähtökohtaisesti se on toiminnan jatkuvuuden kannalta kriittistä. Tärkeintä datan turvaamiseksi on, että kriittinen data tunnistetaan. Seuraavana steppinä on arvioida sen sijoituspaikkaa. Asuuko se tällä hetkellä turvallisessa kodissa vai onko mahdollista, että kodin ovet voivat jostain syystä mennä lukkoon eikä data pääse sieltä pois?

Mitä pitäisi huomioida, jos data asuu palveluntarjoajan konesalissa?

1. On hyvä selvittää, minkä maan lainsäädäntöä palveluntarjoaja noudattaa ja miten se voi vaikuttaa poikkeustilanteissa datan saatavuuteen. Voi olla, että konesali, jossa data sijaitsee, on eri maassa kuin palveluntarjoaja.

2. Palveluntarjoajan sopimukset poikkeustilanteiden varalle on hyvä käydä läpi ja varmistaa, että data on turvattu.

Henkilöstön tietoturvaosaaminen on kyberhyökkäysten torjumisessa yksi tärkeistä elementeistä. Vaikka emme sitä haluaisi ehkä myöntää, ihminen on usein tietoturvassa se heikoin lenkki. Iso osa kyberhyökkäyksistä toteutuu inhimillisten virheiden seurauksena. Voi olla, että järjestelmät olisivat hyvin turvattu teknisesti, mutta inhimillisen virheen seurauksena hyökkääjä pääsee livahtamaan järjestelmiin. Tietoturvakulttuurin edistäminen läpi organisaation on pitkä prosessi, joka kannattaa aloittaa jo tänään.

Miten pystymme edistämään tietoturvaosaamistamme organisaatiossamme?

1. Inhimilliset virheet syntyvät usein hyvinkin pienistä käytännön toimista. Tietoisuuden lisääminen ja ihmisten kouluttaminen turvallisiin toimintatapoihin on keino estää väärät klikkaukset tai toimintatavat.

2. Organisaation yhtenäiset tietoturvakäytännöt, jotka kuuluvat jokaiselle työntekijälle, lisäävät tietoturvallisia toimintatapoja koko organisaatiossa. Kun käytännöt ovat yhteisiä, tietoturvaosaamisen taso lisääntyy läpi organisaation. Tietoturva lähtee aina yrityksen johdosta eikä tietoturvaa ei voi ulkoistaa.

3. Tietoturvavastaavan nimittäminen on tärkeää jotta tietoturva pysyy läsnä arjessa ja sitä parannetaan jatkuvasti. Tietoturvan ylläpitäminen ja kehittäminen on jatkuva prosessi.

Onko yrityksenne määritellyt erilaisia skenaarioita häiriöille ja ongelmatilanteille? Erilaisten skenaarioiden määrittelyllä ja suunnitelmilla voidaan varautua ongelmiin ja pienentää riskejä. Toimintasuunnitelmat erilaisten kriisitilanteiden varalle ovat ehdottomia, jotta reagointi ja toimiminen tapahtuu nopeasti ongelmien ilmetessä. Suunnitelmilla pystytään myös nopeuttamaan palautumista.

Mistä lähteä liikkeelle?

1. Ennen kuin päästään toimintasuunnitelmiin, tulisi organisaatiossa määritellä riskit ja mahdolliset skenaariot, jotka voivat horjuttaa tietoturvaanne ja sen kautta koko toimintaanne.

2. Toimintasuunnitelmat ovat tärkeitä, mutta niin on myös niiden harjoittelu. Ilman harjoittelua hyvätkin suunnitelmat voivat jäädä turhiksi, jos prosesseja ei muisteta todellisessa tilanteessa.