Kyberkriisin aikana ei ole aikaa harjoitella - testaa yrityksesi valmius nyt

Kyky ehkäistä ja ratkaista kyberkriisejä on noussut keskeiseksi kilpailukykytekijäksi, joka erottaa yritykset toisistaan. Häiriöitä ja kriisejä tulee kaikille organisaatioille, mutta ne, jotka ratkaisevat ne tehokkaasti, pärjäävät parhaiten.

Tietoturva-asiantuntijamme Tarmo Hassinen vastaa artikkelissa: 

• Miksi parhaatkin yritykset harjoittelevat kyberkriisejä?
• Oletteko harjoitelleet tarpeeksi? Näillä 4 kysymyksellä arvioit kybervalmiutesi

Miksi kyberkriisiä pitää harjoitella?

1. Liiketoiminnan jatkuvuuden varmistaminen

Organisaation toiminnan tulisi jatkua poikkeamista ja häiriöistä huolimatta. Harjoittelun avulla kyberkriisit ratkaistaan nopeammin, mikä taas vähentää häiriöstä aiheutuvia kustannuksia ja muita negatiivisia vaikutuksia liiketoimintaan. 

”Mitä tehokkaammin kriisi ratkaistaan, sitä pienemmäksi jäävät esimerkiksi menetetty myynti, tuotannon seisokit, sopimussakot ja ylimääräiset selvityskustannukset”, kertoo Hassinen.

Kriisin vaikutukset eivät rajoitu vain häiriön hetkelle, vaan vaikutukset asiakasluottamukseen ja maineeseen voivat heijastuvat vielä pitkälle tulevaisuuteen. Poikkeamatilanteen hoito oikeaoppisesti voi vaikuttaa organisaation maineeseen jopa positiivisesti.

2. Peli kovenee: asiakkaat, kumppanit ja regulaatio vaativat enemmän

Kyberturvallisuus on noussut teknisestä kysymyksestä strategian ytimeen. 

”EU:n uudet säädökset, kuten NIS2-direktiivi, DORA-asetus ja CRA, sekä asiakkaiden ja kumppaneiden kasvavat odotukset vaativat organisaatioilta aiempaa parempaa kybervalmiutta”, kertoo Hassinen.

Organisaation on pystyttävä enenevissä määrin osoittamaan toimintansa turvallisuus, jatkuvuus ja vaatimustenmukaisuus. Harjoittelu auttaa konkreettisesti todistamaan, että yritys pystyy vastaamaan kasvaviin vaatimuksiin.

Lue artikkeli: "Kyberkriisissä tunteet ottavat vallan" – näin johdat paineen alla

3. Harjoittelussa saa tehdä virheitä 

Kyberkriisiharjoituksen suurin hyöty on, että siinä voi simuloida turvallisesti kriisisitilanteen hoitamista ja oppia virheistä. 

Hassinen kertoo, että harjoituksissa paljastuvat usein epäselvät vastuut, puutteelliset prosessikuvaukset, väärät tai puuttuvat yhteystiedot, hitaat hyväksyntäprosessit ja viestinnän ongelmat.  

”Tositilanteessa nämä puutteet voivat aiheuttaa suurta päänvaivaa ja hidastaa kriisin ratkaisemista, kun taas harjoituksessa niiden esiintulo ei maksa mitään. Siksi kyberkriisiharjoittelu maksaa itsensä takaisin”, kuvailee Hassinen.

Miksi kyberkriisejä pitää harjoitella? Tarmo tiivistää vastauksen minuuttiin – katso alta video.

Oletteko harjoitelleet tarpeeksi? Kysy nämä 4 kysymystä itseltäsi

1. Milloin yrityksessänne harjoiteltiin viimeksi kyberkriisiä?

”Jos vastausta joutuu hetken miettimään tai harjoitusta ei ole koskaan järjestetty, on se usein ensimmäinen merkki siitä, että harjoittelulle olisi tarvetta”, kertoo Hassinen.

Harjoitusten oikea määrä riippuu monesta asiasta, kuten organisaation koosta, liiketoiminnasta ja riskitasosta. Tärkeintä on, että harjoittelu on systemaattista ja osa tietoturvan johdettua toimintaa.

• Pienelle yritykselle voi riittää vuosittainen pöytäharjoitus, jossa käydään läpi realistinen kyberhyökkäysskenaario ja testataan toiminta paineen alla. 
• Suuremmissa organisaatioissa kyberkriisiharjoituksia järjestetään tyypillisesti vähintään kerran vuodessa. Sen lisäksi voidaan harjoitella yksittäisiä osa-alueita, kuten kriisiviestintää, päätöksentekoa tai teknistä reagointia. 

”Hyvä nyrkkisääntö on, että valmiutta kannattaa testata aina merkittävien muutosten yhteydessä. Esimerkiksi uusi järjestelmä, organisaatiomuutos tai kiristynyt uhkatilanne voi muuttaa kykyä toimia kriisissä”, kertoo Hassinen.

2. Tietääkö jokainen, mitä häneltä odotetaan kriisin hetkellä?

”Kyberkriisin ensimmäiset hetket ovat usein ratkaisevia. Jos vastuut, päätöksenteko ja viestintä eivät ole selvillä etukäteen, arvokasta aikaa kuluu tilanteen organisoimiseen kriisin ratkaisemisen sijaan”, kuvailee Hassinen.

Organisaation olisi tärkeää pystyä vastaamaan ainakin seuraaviin kysymyksiin:

• Kuka tekee kriittiset päätökset?
• Kuka johtaa teknistä selvitystä ja reagointia?
• Kuka vastaa liiketoiminnan jatkuvuudesta?
• Kuka pitää johdon ajan tasalla?
• Kuka viestii asiakkaille, henkilöstölle ja muille sidosryhmille?

”Jos näihin kysymyksiin ei pystytä vastata ilman keskustelua tai arvailua, roolit eivät todennäköisesti ole riittävän selviä todellisessakaan kriisitilanteessa”, korostaa Hassinen.

3. Oletteko valmiita viestimään, kun vastauksia ei vielä ole?

”Moni organisaatio harjoittelee teknistä reagointia, mutta unohtaa viestinnän. Todellisessa kyberkriisissä asiakkaat, henkilöstö, kumppanit, johto, media ja viranomaiset odottavat tietoa nopeasti, vaikka kaikkia faktoja ei vielä olisi tiedossa”, kertoo Hassinen.

Harjoituksissa kannattaa pohtia esimerkiksi seuraavia kysymyksiä:

• Mitä asiakkaille voidaan kertoa eri vaiheissa?
• Kuka toimii organisaation virallisena äänenä?
• Miten henkilöstö pidetään ajan tasalla tilanteen kehittyessä?
• Mitä viestintäkanavia käytetään, jos normaalit kanavat eivät toimi? 
• Miten viestintä muuttuu tilanteen edetessä?

Tavoitteena ei ole vain kertoa, mitä on tapahtunut, vaan säilyttää luottamus tilanteen aikana. Kyberkriisiharjoitus onkin usein ensimmäinen tilaisuus testata, miten organisaatio viestii paineen alla.

4. Tiedättekö, mitä odotatte kumppaniltanne kriisin aikana?

”Kyberkriisin hetkellä yksi tärkeimmistä kysymyksistä on, kuinka nopeasti oikeat ihmiset saadaan auttamaan tilanteen hallinnassa. Siksi IT- ja kyberturvakumppanin rooli kannattaa määritellä jo ennen kriisiä”, kuvailee Hassinen.

Tutustu Telian tietoturvapalveluihin

Organisaation olisi hyvä tietää esimerkiksi:

• Milloin kumppani otetaan mukaan tilanteeseen?
• Mitä vastuita kumppanilla on kriisin aikana?
• Mitä tietoja kumppani tarvitsee tilanteen selvittämiseksi?
• Kuka vastaa teknisestä tutkinnasta ja palautumisen tukemisesta?
• Miten tiedonkulku varmistetaan organisaation ja kumppanin välillä?

Telia tukee asiakkaitaan sekä kyberkriiseihin varautumisessa että niiden hallinnassa. 

”Järjestämissämme harjoituksissa voidaan testata yhteistyömalleja, vastuunjakoa ja päätöksentekoa yhdessä asiantuntijoidemme kanssa. Jos kriisi toteutuu, asiakkaalla on valmiiksi tuttu toimintamalli ja selkeä reitti asiantuntijatuen piiriin”, kertoo Hassinen.