Nyt kun taloudelliset tulokset, parlamentaariset todisteet ja toipumiskuva ovat valossa, mitä tapaus todella kertoo meille riippuvuuksista, verkottuneesta hallinnosta ja yritysten selviytymiskyvystä.

Kun Marks & Spencerin puheenjohtaja Archie Norman esiintyi parlamentin yritys- ja kauppa-alivaliokunnan edessä heinäkuussa 2025, jälleenmyyjä työskenteli edelleen yhden historiansa häiritsevimmän kyberhyökkäyksen seurausten kanssa. 

Todistetilaisuus tarjosi epätavallisen yksityiskohtaisen kuvan siitä, mitä tapahtuu, kun onnistunut kyberhyökkäys ulottuu syvälle suuren organisaation päivittäiseen toimintaan . Järjestelmiä oli otettu pois käytöstä, verkkokauppa oli häiriintynyt ja toipumisen odotettiin jatkuvan kuukausia.

Meillä on nyt selkeämpi kuva lopullisesta vaikutuksesta . Vuoden 2025/26 tuloksessaan M&S raportoi 131.3 miljoonaa puntaa tapaturmiin liittyviä kuluja ja 100 miljoonaa puntaa vakuutuskorvauksia. Oikaistu voitto ennen veroja laski 23.8 % 671.4 miljoonaan puntaan, vaikka liiketoiminta palasikin vuodentakaiseen kasvuun jälkipuoliskolla.

M&S-kokemuksen arvo tapaustutkimuksena ylittää taloudellisen iskun koon. Yksikin tunkeutuminen aiheutti seurauksia teknologiaan, toimintaan, toimittajiin, asiakastietoihin ja taloudelliseen suorituskykyyn. Toipuminen edellytti kaikkien näiden suhteiden ymmärtämistä ja hallintaa paineen alla. 

Tietoturva-, riski- ja vaatimustenmukaisuusjohtajilla on paljon opittavaa tapahtuneesta. 

Kyberhyökkäyksestä tuli nopeasti liiketoiminnan häiriö 

M&S kertoi parlamentille, että heidän järjestelmäänsä murtauduttiin ensimmäisen kerran 17. huhtikuuta 2025 hienostuneen henkilöllisyyden anastamisen avulla, ja sisäänkirjautumiseen osallistui myös kolmas osapuoli. 

Kun hyökkäys oli tunnistettu, M&S sulki järjestelmiä tarkoituksella suojellakseen koko liiketoimintaa. Norman selitti, että tämä osaltaan vaikutti operatiivisiin vaikutuksiin, mutta oli oikea puolustustoimenpide. Järjestelmien turvallinen takaisin toimintakuntoon saattaminen vei sitten pitkän jälleenrakennusprosessin. 

M&S:n päälakimies Nick Folland tiivisti yhden käytännöllisimmistä opeista parlamentaarisen kuulemisen aikana: organisaatioiden tulisi voida hoitaa liiketoimintaansa kynällä ja paperilla jonkin aikaa, kun järjestelmät eivät ole käytettävissä.  

Se on tärkeä testi, koska digitaaliset palvelut ovat nykyään kaiken perusta logistiikasta ja maksuista asiakasviestintään ja työvoimanhallintaan. Kun nämä palvelut katoavat, organisaation kohtaama haaste siirtyy hyvin nopeasti tietoturvatiimin ulkopuolelle. 

Resilienssi alkaa riippuvuuksiesi ymmärtämisestä 

M&S:n operatiivinen vaikutus osoittaa, miksi riippuvuudet ovat tärkeitä. 

Vastatoimena hyökkäykseen varastonhallintajärjestelmät katkaistiin. Tämä johti verkkotilausten, Click & Collect -palveluiden ja myymälätilausten keskeyttämiseen, ja samalla otettiin käyttöön manuaalisia prosesseja ennustamisen, tilausten ja täydennyksen ylläpitämiseksi.  

Nämä kiertotavat pitivät kaupat toiminnassa, mutta seuraukset ulottuivat pidemmälle . M&S:n mukaan manuaalinen varastojen kohdentaminen aiheutti lisäalenemista ja hävikkiä, kun taas muodin, kodin ja kauneuden verkkomyynti laski 42.9 % ensimmäisellä vuosipuoliskolla verkkokaupan toiminnan vähitellen elpyessä.

Tuo ketjureaktio tekee riippuvuuksista niin tärkeän osan resilienssiä. 

Johtajien on ymmärrettävä, mitä palveluita yrityksellä ei ole varaa menettää, sekä teknologia, tiedot, ihmiset ja toimittajat, jotka pitävät sen käynnissä . Heidän on myös tiedettävä, mitä muualla tapahtuu, kun jokin näistä riippuvuuksista pettää.

Teknologiariski näyttää hyvin erilaiselta, kun se liittyy asiakastyytyväisyyteen, varastojen saatavuuteen tai liikevaihtoon. Suhteellisen pienestä toimittajasta voi tulla liiketoimintakriittinen sen käyttämien järjestelmien tai tukemiensa prosessien kautta. 

M&S-tapaus paljasti nämä suhteet reaaliajassa. Niiden ymmärtäminen etukäteen antaa organisaatioille paljon vahvemman pohjan päättää, missä resilienssiä on rakennettava. 

Valmiuden on toimittava todellisessa maailmassa 

M&S oli investoinut kyberturvallisuuteen jo ennen hyökkäystä. Kyberriski oli hallituksen, tarkastusvaliokunnan ja riskivaliokunnan huomion kohteena, ja yhtiö oli tehnyt simulaatioita ja red team -harjoituksia. 

Normanin jälkikäteen tekemä mietelmä oli paljastava: tapahtuman todellisuus oli paljon intensiivisempi kuin nuo harjoitukset. M&S odotti myös järjestelmien uudelleenrakentamisen jatkuvan kuukausia alkuperäisen hyökkäyksen jälkeen. 

Valmiuden osalta on siksi testattava, miten organisaatio toimii, kun normaaleihin työskentelytapoihin sisäänrakennetut oletukset katoavat. 

Organisaatioiden tulee: 

  • Ymmärrä kriittiset palvelut ja riippuvuudet. Tiedä, mihin järjestelmiin, tietoihin, toimittajiin ja ihmisiin organisaatio on riippuvainen toimintansa jatkuvuuden varmistamiseksi. 
  • Arvioi riski liiketoiminnan näkökulmasta. Yhdistä turvallisuus- ja teknologiariskit niiden operatiivisiin, taloudellisiin, sääntelyyn liittyviin ja asiakkaille aiheutuviin seurauksiin. 
  • Säilytä selkeä omistajuus ja hallinta. Tee vastuut ja eskalointireitit näkyviksi koko organisaatiossa. 
  • Seuraa, ovatko kontrollit edelleen tehokkaita. Käytä todisteita, tapahtumia ja liiketoiminnan muutoksia tunnistaaksesi kehittyviä heikkouksia. 
  • Testaa realistisia häiriöskenaarioita. Harjoittele reagointia ja toipumista pitkittyneiden sähkökatkosten, toimittajien vikojen ja normaalien järjestelmien ja tietoliikenteen katkeamisen varalta. 
  • Hyödynnä opitut asiat hallinnossa. Käytä tapahtumia, harjoituksia, auditointeja ja liiketoiminnan muutoksia riskien, kontrollien ja prioriteettien päivittämiseen. 

NCSC :n kyberturvallisuuden hallinnon käytännesäännöt noudattavat samaa laaja-alaista ajattelutapaa , joka yhdistää riskienhallinnan, strategian, henkilöstön, poikkeussuunnittelun ja -toipumisen sekä varmuuden ja valvonnan hallitustason hallintovastuiksi.

Sen uusimmat ohjeet erittäin häiritseviä hyökkäyksiä varten tunnustavat myös, että toipuminen voi kestää välittömästä eristämisestä päivien tai viikkojen uudelleenrakentamiseen ennen kuin organisaatio palaa normaaliin toimintaan.

Hallinto yhdistää laajemman kuvan resilienssistä 

Normanin todisteet viittaavat myös toiseen tärkeään osaan resilienssihaasteessa: siihen, miten kaikki nämä riippuvuudet liittyvät toisiinsa. 

Hän kuvaili organisaatiota, jonka järjestelmissä työskenteli noin 50 000 ihmistä. Työntekijöiden, urakoitsijoiden ja ulkoistettujen tiimien joukossa oli sekä vanhempaa että uudempaa teknologiaa. Hyökkäyksen alkupisteessä oli mukana kolmas osapuoli, ja teknologiayritysten keskinäinen yhteys vaikeutti täydellistä lokerointia. 

Hänen suosituksensa keskittyivät vahvasti näihin perusteisiin. Norman kuvaili arkkitehtuuria tärkeäksi resilienssin kannalta ja neuvoi organisaatioita ylläpitämään tarkkaa karttaa siitä, miten järjestelmät ovat rajapinnoilla, mitä ne sisältävät ja kenellä on pääsy järjestelmiin. Hän toi myös esiin, että pelkkä kyberturvallisuustiimin vahvistaminen ei riitä ratkaisemaan kaikkea, mitä sitä pyydetään puolustamaan. 

Laajempi M&S:n vastaus osoittaa, miksi sillä on merkitystä. 

Hyökkäyksen aikana varastettiin myös asiakkaiden henkilötietoja , mahdollisesti yhteystietoja, syntymäaikoja ja verkkotilaushistoriaa. M&S:llä oli siksi yksityisyyteen ja sääntelyyn liittyviä vastuita hallittavanaan turvallisuusongelmien, palautumisen, toimittajille esitettyjen kysymysten ja liiketoiminnan jatkuvuuden ohella.

Ja organisaatioiden hallitsema teknologiaympäristö laajenee edelleen. Ennen hyökkäystä M&S oli jo ottanut käyttöön tekoälypohjaisen asiakassuositustyökalun, joka oli kehitetty yhteistyössä ulkoisen teknologiatoimittajan Preferablin kanssa ja yhdistetty sen digitaaliseen tuoteluetteloon.

Maaliskuuhun 2026 mennessä tekoälyn kerrottiin tukevan varastoennusteita ja tilauksia, markkinointia ja työtovereiden palveluita, samalla kun Microsoft Copilot otettiin käyttöön 11 000 työntekijälle.

Ei ole näyttöä siitä, että tekoälyllä olisi ollut mitään roolia kyberhyökkäyksessä. Sen merkitys piilee sen havainnollistamassa lisäyhteydessä. Tekoäly voi olla riippuvainen samoista tiedoista, identiteeteistä, järjestelmistä ja kolmannen osapuolen palveluntarjoajista, joita jo harkitaan tietoturvan ja yksityisyyden hallinnan kautta. 

Yhden toimittajan suhde voi siis koskea tietoturvaa, henkilötietoja ja tekoälyä. Järjestelmämuutoksella voi olla vaikutuksia kaikkiin kolmeen. Yhden tiimin tunnistama poikkeus voi paljastaa riskejä tai vaatia toimia muualla. 

Kun tietoturva, yksityisyys ja tekoälyn hallinta voivat vaikuttaa toisiinsa, nämä yhteydet on helpompi nähdä . Riskit, kontrollit, todisteet ja korjaavat toimenpiteet voivat siirtyä niiden vaikutusalueiden välillä sen sijaan, että ne pysyisivät yksittäisten ohjelmien sisällä.

Ajan myötä tämä luo resilienssikierteen : se, mitä organisaatio oppii yhdessä hallintoympäristönsä osassa, vahvistaa muita, mikä luo kokonaisvaltaisemman kuvan sen teknologian, toimittajien ja riskien muuttuessa.

Tällä on merkitystä, koska mitä verkottuneempi yritys on, sitä suurempi on riski, että jokin tärkeä asia jää vastuualueiden väliin. Yhdistetty hallinto auttaa organisaatioita näkemään ja hallitsemaan näitä suhteita ennen kuin jokin vaaratilanne paljastaa ne. 

Sääntely vahvistaa selviytymisohjelmaa 

Sama keskittyminen resilienssiin, riippuvuuksiin ja jatkuvaan hallintaan näkyy yhä enemmän kaikessa sääntelyssä. 

NIS 2 -standardin mukaisesti kyberturvallisuusriskienhallintatoimenpiteet kattavat poikkeamien käsittelyn, liiketoiminnan jatkuvuuden, kriisinhallinnan, toimitusketjun turvallisuuden, omaisuudenhallinnan ja prosessit, joilla arvioidaan turvatoimenpiteiden tehokkuutta.

DORAn piiriin kuuluvien rahoitusorganisaatioiden osalta ICT-riskienhallintaa, sietokykytestausta ja kolmansien osapuolten riippuvuuksia käsitellään samalla tavalla digitaalisen operatiivisen sietokyvyn toisiinsa liittyvinä osina. Asetus edellyttää nimenomaisesti, että organisaatiot ottavat huomioon ICT-riippuvuuksien kriittisyyden ja hallitsevat kolmansien osapuolten riskiä osana laajempaa ICT-riskikehystään.

Iso-Britannia on menossa samaan suuntaan. Ylähuoneen käsittelyssä oleva kyberturvallisuutta ja -sietoisuutta (verkko- ja tietojärjestelmät) koskeva lakiesitys on tarkoitettu päivittämään Ison-Britannian nykyistä verkko- ja tietoturvajärjestelmää keskeisten verkko- ja tietojärjestelmien turvallisuuden ja sietokyvyn osalta. Syyskuussa 2026 lakiesitys oli saattanut päätökseen ylähuoneen komiteavaiheen, ja raporttivaiheen on määrä olla 26. lokakuuta.

Eri organisaatiot kohtaavat näiden vaatimusten erilaisia ​​yhdistelmiä tietosuojavelvoitteiden ja uusien tekoälyn hallintavastuiden ohella. Päällekkäisyydet korostavat taustalla olevien riskien, kontrollien ja riippuvuuksien ymmärtämisen arvoa sen sijaan, että jokaista vaatimusta lähestyttäisiin erillisenä vaatimustenmukaisuusprojektina. 

Resilienssi on kokoushuonekysymys 

M&S:n tarinan viimeinen osa käsittelee sitä, mitä tapahtui välittömän kriisin jälkeen. 

Sen vuoden 2025/26 tulokset osoittavat taloudelliset seuraukset selvästi: 131.3 miljoonaa puntaa onnettomuuksiin liittyviä kustannuksia, mukaan lukien 109.3 miljoonaa puntaa järjestelmien reagointiin ja ennallistamiseen, sekä 100 miljoonaa puntaa vakuutuskorvauksia. 

M&S kuitenkin palasi voittokasvuun vuodentakaiseen verrattuna jälkimmäisellä vuosipuoliskolla. Yhtiö viittasi erityisesti kestävään taseeseensa, jonka avulla se pystyi selviytymään häiriöistä ja jatkamaan investointejaan laajempaan muutokseensa. 

Se laajentaa keskustelua selviytymiskyvystä teknologian elpymisen ulkopuolelle. 

Organisaatio voi palauttaa järjestelmänsä ja silti joutua kattamaan menetetyt tulot, palautumiskustannukset, asiakashäiriöt, toimittajaongelmat, sääntelyyn liittyvät velvoitteet ja kuukausien johdon huomion. Taloudellinen kapasiteetti, viestintä, johtajuus ja kyky tehdä päätöksiä paineen alla vaikuttavat kaikki lopputulokseen. 

Siksi hallitukset tarvitsevat näkyvyyttä kaikkiin yhteyksiin, jotka voivat muuttaa teknologiaongelman koko liiketoimintaa koskevaksi tapahtumaksi.

NCSC:n kyberturvallisuusjohtamissäännöstö tekee tästä vastuusta eksplisiittisen, asettamalla kriittisten kyberturvallisuustoimien vastuun hallituksille ja johtajille ja käsittelemällä kyberturvallisuutta osana taloudellisen vakauden, jatkuvuuden ja asiakkaiden luottamuksen suojaamista. 

Mitä muiden organisaatioiden tulisi ottaa oppia M&S:stä? 

M&S-kokemus antaa johtoryhmille hyödyllisen tavan kyseenalaistaa omia oletuksiaan. 

Tiedämmekö, mitä palveluita yrityksellä on vähiten varaa menettää, ja kaikki, mistä se on riippuvainen? Ymmärrämmekö, mistä toimittajilla on pääsy kriittisiin järjestelmiin ja tietoihin? Voisivatko tiimit jatkaa toimintaansa, jos ydinosaamista katoaisi huomenna? Olemmeko testanneet tätä olosuhteissa, jotka muistuttavat todellista kriisiä? 

Ja kun tietoturva, yksityisyys ja tekoäly kytkeytyvät yhä enemmän toisiinsa, pystyvätkö näitä osa-alueita hallinnoivat ihmiset näkemään, missä heidän riskinsä ovat päällekkäisiä? Välittyykö yhdessä ohjelmassa tunnistettu ongelma luotettavasti muihin, joihin se vaikuttaa? Näkevätkö johtoryhmät yhden yhtenäisen kuvan liiketoimintariskistä vai useita osittaisia ​​kuvia? 

M&S koki teknologian, toimintojen, toimittajien, asiakastietojen ja taloudellisen suorituskyvyn väliset yhteydet vakavan onnettomuuden paineen alla. 

Muilla organisaatioilla on mahdollisuus ymmärtää ja hallita näitä yhteyksiä ennen kuin niitä testataan samalla tavalla. 

Siitä alkaa liiketoiminnan selviytymiskyky: selkeä näkemys siitä, mistä organisaatio on riippuvainen, hallinta, joka yhdistää näihin riippuvuuksiin liittyvät riskit, sekä kyky jatkaa toimintaa, sopeutua ja toipua, kun jokin menee pieleen. 

Laajenna tietosi

Blogi: Murron tuolla puolen: Miksi vastaus on nyt tarina

Blogi: Siirtyminen "Pidä heidät poissa" -asetelmasta "Pidä liiketoiminta käynnissä" -asetelmaan

Podcast: Tietojenkalastelu ongelmanratkaisussa, kausi 2, jakso 5: Olet määrätietoinen. Oletko joustava?