Viime vuosina tietoturvakeskustelu on siirtynyt voimakkaasti kyberturvallisuuden ympärille. Puhutaan teknisistä ratkaisuista, hyökkäysten torjunnasta, SOC-palveluista ja erilaisista kehittyneistä valvontamekanismeista. Samalla voidaan kysyä, onko tiedon suojaamisen alkuperäinen ydinajatus jäänyt taka-alalle.
Kun tarkastellaan Nordnetin viimeaikaisia tapahtumia ja siitä käytyä keskustelua, käy ilmi, että teknisiä ratkaisuja kehitetään jatkuvasti, mutta peruskysymys jää usein huomiotta: mitä oikeastaan suojataan?
Kyberturvallisuus vs. Information Security – mitä suojellaan?
Kun puhumme kyberturvallisuudesta, keskustelu pyörii yleensä teknologian ja järjestelmien suojaamisen ympärillä. Keskeisiä kysymyksiä ovat esimerkiksi:
-
Onko verkko suojattu?
-
Onko pääsynhallinta kunnossa?
-
Onko hyökkäykset havaittu ajoissa?
Alkuperäinen tietoturvan käsite, information security, ei kuitenkaan keskity vain teknologiaan, vaan siihen, mitä järjestelmissä oleva tieto tarkoittaa ja miten sitä suojellaan koko elinkaaren ajan.
Tiedon suojaamisen keskeisiä kysymyksiä ovat:
-
Kuka omistaa tiedon ja kuka siihen pääsee käsiksi?
-
Onko tieto eheää ja käytettävissä silloin, kun sitä tarvitaan?
-
Onko tieto luottamuksellista ja suojattu oikealla tasolla?
-
Entä tiedon pitkäaikainen säilyvyys ja tietojen poistaminen tarpeen mukaan?
Nykyisessä tietoturvakentässä painopiste on siirtynyt järjestelmien suojeluun, ja itse tieto saattaa jäädä huomiotta.
Mitä Nordnetin tapaus opetti?
Kun Nordnetin asiakasdataa päätyi väärien käyttäjien näkyville, kyseessä oli selkeä tietoturvaongelma, mutta ennen kaikkea tiedon hallinnan ja suojauksen ongelma.
Tekninen ratkaisu saattoi olla pettänyt, mutta itse tiedon hallinta oli se, joka johti kriisiin. Tiedon luottamuksellisuus ja hallinta ovat keskeisiä, mutta ne jäävät liian usein järjestelmien teknisen suojauksen varjoon.
GDPR ja muut sääntelyt ovat yrittäneet tuoda tätä näkökulmaa vahvemmin esiin – kyse ei ole vain teknisestä tietoturvasta, vaan myös ihmisten oikeudesta ja liiketoiminnan tietopääoman suojaamisesta.
Onko aika siirtää painopiste takaisin tietoon?
Kun kyberturvallisuudesta puhutaan, pitäisikö keskustelu tuoda takaisin tietoturvan alkuperäiseen ajatukseen – tiedon suojaamiseen?
Tämä tarkoittaisi sitä, että organisaatiot eivät keskittyisi vain suojaamaan järjestelmiään, vaan myös:
-
Määrittäisivät selkeästi, mitä tietoa suojellaan ja miksi
-
Loisivat prosessit, jotka varmistavat tiedon eheyden ja saatavuuden
-
Huomioisivat tiedon koko elinkaaren – ei vain hyökkäysten torjuntaa, vaan myös sen, miten tietoa käsitellään, arkistoidaan ja poistetaan
Tiedon suojaaminen on edelleen olennainen osa tietoturvaa, mutta kyberturvallisuuden nousun myötä se ei saa jäädä toissijaiseksi. Nyt on hyvä hetki tarkastella, miten organisaatiot voivat varmistaa, että tietoturvan ja kyberturvallisuuden välillä on tasapaino, jossa itse tiedon suojelu säilyy keskiössä.
Markku Arvekari
Digital Transformation Expert
