Kyberturvallisuus ei ole enää erillinen IT-osasto-ongelma, vaan olennainen osa yrityksen kokonaisturvallisuutta – siinä missä vartiointi suojaa fyysistä tilaa, kyberturvallisuuspalvelut suojaavat tietoa, järjestelmiä ja liiketoiminnan jatkuvuutta. Moni pk-yrittäjä miettii edelleen fyysistä vartiointia ja tietoturvaa kahtena erillisenä asiana, vaikka todellisuudessa ne kietoutuvat yhteen: kulunvalvonta, kameravalvonta ja hälytysjärjestelmät ovat nykyään verkkoon kytkettyjä laitteita, joiden suojaaminen kuuluu yhtä lailla kyberturvallisuuden piiriin.
Miksi kyberturvallisuus kuuluu turvallisuuskokonaisuuteen
Perinteinen ajattelu erottaa vartioinnin ja tietoturvan täysin toisistaan. Käytännössä rajat ovat hämärtyneet viimeisen kymmenen vuoden aikana merkittävästi.
Kameravalvonta, kulunvalvontajärjestelmät ja hälytysjärjestelmät ovat siirtyneet verkkoon. Kun valvomo seuraa kiinteistöä etävalvontana, tieto liikkuu verkon yli – ja jos yhteys tai laite on suojaamaton, koko järjestelmä on haavoittuvainen ulkopuoliselle tunkeutumiselle.
Tästä syystä moni turvallisuusalan toimija on laajentanut palveluvalikoimaansa niin, että fyysinen turvallisuus ja kyberturvallisuus suunnitellaan samassa riskiarvioinnissa. Yrityksen kannalta tämä on järkevää: sama hyökkääjä, joka yrittää murtautua toimitiloihin, saattaa yhtä hyvin yrittää päästä käsiksi asiakasrekisteriin tai maksuliikenteeseen verkon kautta.
Tyypilliset kyberturvallisuuspalvelut yrityksille
Kyberturvallisuuspalvelujen kirjo on laaja, ja palvelun laajuus riippuu yrityksen koosta ja toimialasta. Yleisimpiä palvelumuotoja ovat:
Riskiarviointi ja haavoittuvuusskannaus – järjestelmien ja verkon säännöllinen läpikäynti, jossa etsitään tunnettuja heikkouksia ennen kuin joku muu ehtii niitä hyödyntää.
Tietoturvakonsultointi – ulkopuolinen asiantuntija arvioi yrityksen tietoturvakäytännöt, pääsynhallinnan ja varmuuskopiointiprosessit, usein osana laajempaa turvallisuuskonsultointia.
Valvottu tietoturvapalvelu (SOC-tyyppinen palvelu) – verkkoliikennettä ja lokitietoja seurataan ympäri vuorokauden, samalla periaatteella kuin fyysistä kohdetta seurataan valvomosta.
Häiriö- ja tietomurtotilanteiden hallinta – valmiussuunnitelma ja nopea reagointi, jos tietomurto tai kiristyshaittaohjelma iskee.
Verkkoon kytkettyjen turvalaitteiden suojaus – kameravalvonnan, kulunvalvonnan ja hälytysjärjestelmien tietoturva-asetusten tarkistus osana kokonaisarviota.
Käytännön esimerkki havainnollistaa asiaa hyvin: yrityksen toimitiloissa on nykyaikainen kameravalvonta palveluna, jossa kuva siirtyy pilvipalveluun ja valvomo tekee etävalvontaa. Jos kameroiden oletussalasanoja ei ole vaihdettu tai laiteohjelmistoja päivitetty, koko järjestelmä voi olla ulkopuolisen saatavilla verkon yli – tämä on yksi yleisimmistä havaituista puutteista pienten ja keskisuurten yritysten teknisissä auditoinneissa.
Yleinen myytti: ”meillä ei ole mitään mielenkiintoista varastettavaa”
Yksi sitkeimmistä väärinkäsityksistä on ajatus, että kyberrikolliset kohdistavat hyökkäyksensä vain suuriin yrityksiin tai arvokkaaseen dataan. Todellisuudessa suuri osa hyökkäyksistä on automatisoituja ja kohdistuu mihin tahansa haavoittuvaan järjestelmään koosta riippumatta.
Pieni yritys voi joutua kohteeksi esimerkiksi siksi, että sen järjestelmää käytetään ponnahduslautana suuremman kumppaniyrityksen verkkoon, tai koska kiristyshaittaohjelma ei valikoi uhrejaan yrityksen koon perusteella. Suomen suhteellisen alhainen rikollisuustaso fyysisessä ympäristössä ei tarkoita samaa verkossa – kyberrikollisuus on kansainvälistä ja tavoittaa yhtä hyvin pienen konepajan kuin pörssiyhtiön.
Lainsäädäntö ja viranomaisvaatimukset taustalla
Fyysisiä turvallisuuspalveluja säätelee Suomessa laki yksityisistä turvallisuuspalveluista (1085/2015), joka määrittää muun muassa vartijan ja järjestyksenvalvojan toimivaltuudet sekä Poliisihallituksen myöntämät vartijakortin ja pätevyysvaatimukset. Kyberturvallisuudessa vastaavaa yhtenäistä toimilupajärjestelmää ei ole samassa laajuudessa, mutta se ei tarkoita, ettei sääntelyä olisi.
Yritysten on huomioitava erityisesti henkilötietojen käsittelyyn liittyvä EU:n tietosuoja-asetus GDPR, joka koskee suoraan myös kameravalvonnan ja kulunvalvonnan tuottamaa dataa. Jos yritys kerää henkilötietoja esimerkiksi kameravalvonnan kautta, tallenteiden suojaus verkkohyökkäyksiltä on osa lakisääteistä tietosuojavelvoitetta – ei pelkkä tekninen valinta.
Ajantasaiset vaatimukset kameravalvonnan ja henkilötietojen käsittelyn osalta kannattaa aina tarkistaa Tietosuojavaltuutetun toimistosta, sillä ohjeistus tarkentuu ja täsmentyy säännöllisesti. Toimialasta riippuen mukaan voi tulla myös muita sääntelykehyksiä, kuten finanssi- tai terveydenhuoltoalan erityisvaatimuksia.
Miten kyberturvallisuus nivotaan osaksi yrityksen turvallisuussuunnitelmaa
Toimiva lähtökohta on käsitellä kyberturvallisuus osana samaa riskiarviointia kuin fyysinen turvallisuus, ei erillisenä projektina. Käytännössä tämä tarkoittaa muutamaa konkreettista askelta.
Ensin kartoitetaan, mitkä järjestelmät ovat verkkoon kytkettyjä – kameravalvonta, kulunvalvonta, hälytysjärjestelmät, laskutus- ja asiakasrekisterit. Tämän jälkeen arvioidaan, kuka pääsee käsiksi mihinkin, ja onko pääsynhallinta ajan tasalla esimerkiksi henkilöstön vaihtuessa.
Kolmanneksi sovitaan, kuka vastaa poikkeamatilanteista: kenelle ilmoitetaan, jos havaitaan epäilyttävää verkkoliikennettä, ja miten toimitaan mahdollisen tietomurron sattuessa. Tämä kannattaa kirjata osaksi samaa dokumentaatiota kuin fyysisen kohteen suojaussuunnitelma, jota käsitellään usein turvallisuuskonsultoinnin yhteydessä.
On myös hyvä muistaa, että vakuutusyhtiöt kiinnittävät yhä enemmän huomiota kokonaisvaltaiseen riskienhallintaan. Osoitettu, dokumentoitu turvallisuustyö – johon kyberturvallisuus nykyään kuuluu – voi vaikuttaa suoraan yrityksen vakuutusehtoihin ja -maksuihin, aivan kuten fyysisten hälytysjärjestelmien ja vartioinnin osoittaminen on jo pitkään vaikuttanut kiinteistövakuutuksiin.
UKK – usein kysyttyä kyberturvallisuuspalveluista
Tarvitseeko pieni yritys erillisen kyberturvallisuuspalvelun?
Yrityksen koko ei suoraan määrää tarvetta – ratkaisevaa on, kuinka paljon toiminta on riippuvainen verkkoon kytketyistä järjestelmistä ja käsitteleekö yritys asiakastietoja. Jo pelkkä verkkoon kytketty kameravalvonta tai maksujärjestelmä riittää perusteeksi vähintään kevyelle riskiarvioinnille.
Voiko sama toimija hoitaa sekä vartioinnin että kyberturvallisuuden?
Osa turvallisuusalan yrityksistä tarjoaa molempia palveluja, mutta useimmiten kyberturvallisuuden tekninen toteutus tulee erikoistuneelta IT-turvallisuuskumppanilta, kun taas fyysinen vartiointi ja valvomopalvelu hoidetaan omalla luvanvaraisella toiminnallaan.
Miten valitsen luotettavan kumppanin turvallisuuden kokonaisarviointiin?
Kannattaa varmistaa toimijan referenssit, kysyä konkreettisia esimerkkejä tehdyistä riskiarvioista ja verrata tarjouksia useammalta toimijalta. Tarkempia vinkkejä luotettavan kumppanin tunnistamiseen löytyy artikkelista turvallisuuspalvelun valinnasta.
Yhteenveto
Kyberturvallisuus ei ole enää irrallinen lisä yrityksen turvallisuustyöhön, vaan luonnollinen jatke fyysiselle suojaukselle – etenkin kun kameravalvonta, kulunvalvonta ja hälytysjärjestelmät toimivat verkon yli. Paras tulos syntyy, kun fyysinen ja digitaalinen riski arvioidaan samassa kokonaisuudessa, eikä vasta sen jälkeen, kun jotain on jo ehtinyt tapahtua.
Jos yrityksessä havaitaan vakava tietoturvapoikkeama, joka liittyy esimerkiksi kiinteistön turvajärjestelmiin tai aiheuttaa välittömän uhan henkilöturvallisuudelle, hätätilanteessa soitetaan aina ensin hätänumeroon 112 – kyberturvallisuustoimet tulevat vasta akuutin tilanteen jälkeen.
