Kaikki hyvä tulee niille, jotka odottavat. Kirjoitushetkellä kyberturvallisuus- ja sietokykylaki (CSRB) odotti valiokuntavaihettaan ylähuoneessa syyskuun alussa. Toiveena on, että siitä tulee laki tänä vuonna monien viivästysten jälkeen. Se lupaa muun muassa laajentaa lakiesityksen piiriin kuuluvien organisaatioiden joukkoa, tiukentaa tietoturvaloukkauksiin reagointivaatimuksia ja ottaa käyttöön uudet perustietoturvaodotukset.
Mutta ehkä mielenkiintoisempaa on se, mitä seuraavaksi tapahtuu. Mitä lakiesitys kertoo meille siitä, mihin sääntelyodotukset ovat menossa? Ja mitä organisaatiot (mukaan lukien ne, jotka eivät tällä hetkellä kuulu sen soveltamisalaan) voivat tehdä ennakoidakseen sitä, mitä tulevaisuudessa saattaa olla tulossa?
Suuri muutos
Lakiesityksen suurin signaali tulevasta on sen otsikko. Kyse on kyberturvallisuuden uudelleensijoittamisesta IT-alaan liittyvästä erillisestä toiminnosta organisaation ytimessä olevaksi toiminnaksi. Samalla se korostaa resilienssiä turvallisuustiimien tavoitteena sen sijaan, että vain pidettäisiin pahikset loitolla ja täytettäisiin mielivaltainen luettelo teknisistä kontrolleista.
Resilienssi tässä yhteydessä tarkoittaa sen hyväksymistä, että tietomurtoja tapahtuu – mitenpä ne eivät voisi olla maailmassa, jossa tehokas tekoäly romahduttaa hyödyntämisikkunan ja auttaa uhkatoimijoita parantamaan osaamistaan useilla eri aloilla? Ratkaisevaa on varmistaa, että organisaatio voi jatkaa toimintaansa samalla, kun uhkaa rajoitetaan ja siitä toivutaan mahdollisimman nopeasti.
Tämä tekee kyberturvallisuudesta suuremman keskustelunaiheen johtokunnassa, koska se käsittelee yritysjohtajia askarruttavia huolenaiheita. Näitä ovat operatiivinen riski, liiketoiminnan jatkuvuus, taloudelliset ja mainevahingot.
”Lakiesityksen uudet vaatimukset tarkoittavat, että hallitusten on nähtävä kyberturvallisuus ja sietokyky kriittisenä strategisena kysymyksenä, ei vain erillisenä IT-haasteena”, voittoa tavoittelemattoman CSBR:n johtaja James Morris kertoo IO:lle (entinen ISMS.online).
”Se tarkoittaa, että asiakkaiden odotukset kasvavat painopisteen osalta turvallisuudessa ja sietokyvyssä hankintaprosessissa sekä tuotteiden ja palveluiden jatkuvassa toimituksessa. Kyberturvallisuus- ja sietokykykysymysten on oltava hallinnon näkökulmasta etusijalla ja niille on annettava etusija strategisissa hallituskeskusteluissa.”
Tämä viesti on yhdenmukainen koko hallinnossa. Sen kyberturvallisuuden hallinnan käytännesäännöt (Cyber Governance Code of Practice) väittävät, että kyberriski on liiketoimintariski ja että johtajien on hallittava sitä tehokkaasti. Turvallisuusjohtajat hallitsevat päivittäisiä riskejä ja valvontaa, mutta hallituksen on otettava vastuu riskien valvonnasta ja varmentamisesta. Kyberturvallisuusresilienssilupaus (Cyber Resilience Pledge) puhuu samalla tavalla suoraan yritysjohtajille. Rekisteröityvien organisaatioiden on suoritettava hallintokoulutus, sitouduttava käyttämään NCSC:n varhaisvaroituspalvelua ja vaadittava kyberturvallisuuden perusteita kaikissa toimitusketjuissaan sekä julkaistava vuosittaisia päivityksiä.
Lyhyesti sanottuna hallituksen odotukset ovat yhä selkeämpiä, ja kriisinsietokyky on etusijalla.
Mitä seuraavaksi saattaa tapahtua?
Tämän huomioon ottaen on myös hyödyllistä ymmärtää, miten CSRB-järjestelmä voi kehittyä. Totuus on, että sen soveltamisala on edelleen paljon suppeampi kuin NIS2:n. Mutta ratkaisevasti se antaa valtiosihteerille vallan päivittää kehystä tuomalla uusia sektoreita ja alasektoreita järjestelmään sekä muuttaa sen sääntelyviranomaisten vastuita ja tehtäviä. Seuraus on selvä: jos sektoriasi ei kuulu järjestelmän piiriin tänään, älä oleta, että se pysyy huomenna vapautettuna.
”Läpikulun aikana oli jonkin verran painetta mennä pidemmälle, ja vähittäiskauppa ja valmistus nousivat esiin ilmeisinä puutteina”, Axians UK:n kriisi- ja kyberturvallisuusasiantuntija Dennis Martin kertoo IO:lle. ”He eivät onnistuneet tällä kertaa, mutta ottaen huomioon viime vuosien hyökkäykset vähittäiskauppiaisiin, odotan tämän argumentin palaavan syyskuussa.”
CSRB:n toimitusketjua koskevat määräykset tuovat epäsuorasti myös uuden joukon organisaatioita soveltamisalaan pakottamalla suuremmat organisaatiot, joiden kanssa ne tekevät yhteistyötä, hallitsemaan kolmansien osapuolten riskejä tiukemmin. Se myös antaa valtiosihteerille valtuudet nimetä toimittajat, joiden epäonnistuminen voisi aiheuttaa merkittävää häiriötä säännellylle yksikölle.
”Sääntelyviranomaiset keskittyvät yhä enemmän siihen, miten kriittiset palvelut toimitetaan toisiinsa kytkeytyneissä toimitusketjuissa, mikä tarkoittaa, että kyberturvallisuustasoa ei voida enää arvioida pelkästään organisaation neljän seinän sisällä”, Eversheds Sutherlandin osakas Dave Hughes kertoo IO:lle. ”Keskeisten toimittajien ja kolmansien osapuolten tehokas valvonta, jota tuetaan jatkuvalla seurannalla ja selkeillä sopimusodotuksilla, on tulossa olennaiseksi osaksi kyberturvallisuustason osoittamista.”
On myös syytä pitää mielessä, että CSRB tuo mukanaan uusia odotuksia siitä, mitä parhaat kyberturvallisuus- ja resilienssikäytännöt tarkoittavat teknisen valvonnan näkökulmasta. NCSC:n kyberturvallisuusarviointikehys (CAF) on tässä keskeinen asiakirja, joten jokaisen organisaation, joka haluaa varmistaa kyberturvallisuus- ja vaatimustenmukaisuusstrategiansa tulevaisuuden, kannattaa ottaa se huomioon.
Ja vielä yksi suuri muutos: CSRB antaa sääntelyviranomaisille valtuudet tarjota jatkuvaa sääntelyvalvontaa soveltamisalaan kuuluville organisaatioille, poiketen nykyisestä tapauskohtaisesta mallista. Tämä on tällä hetkellä teoreettista ja riippuu monista tekijöistä, ei vähiten sääntelyviranomaisten rahoituksesta ja kapasiteetista. Mutta se viestii siitä, että hallitus odottaa yhä enemmän vaatimustenmukaisuuden olevan asia, jota on hallittava jatkuvasti.
Yhdistetty ja jatkuva
Asiantuntijat ovat yhtä mieltä. ”Staattinen vuosittainen vaatimustenmukaisuus on tarpeetonta, kun uhkatoimijat eivät odota tarkastusta. Jos CSRB:stä tulee laki nykymuodossaan, pilvipalveluntarjoajat, datakeskukset ja hallinnoidut palveluntarjoajat voidaan tarkastaa ennen häiriön sattumista, ei vain säännöllisin väliajoin tai hyökkäyksen jälkeen”, Axians UK:n Martin selittää.
”Lisäksi lakiesitys edellyttää 24 tunnin ennakkovaroitusta ja sen jälkeen 72 tunnin täydellistä raporttia sekä alan sääntelyviranomaiselle että NCSC:lle. Joissakin olosuhteissa vaaditaan myös asiakkaan ilmoittamista. Tämä edellyttää jatkuvaa valvontaa. Ilman verkon jatkuvaa näkyvyyttä et pysty ilmoittamaan asiasta tarvittaville organisaatioille ajoissa.”
Konexon digitaalisen riskin konsultoinnin johtaja Aben Pagar on samaa mieltä. ”Jatkuvasta seurannasta ja varmentamisesta on tulossa yhä tärkeämpää, kun sääntelyviranomaiset siirtyvät pidemmälle kuin pelkkiin ajantasaisiin vaatimustenmukaisuuden arviointeihin”, hän kertoo IO:lle. ”Organisaatiot tarvitsevat jatkuvaa näkyvyyttä riskeihin, valvonnan tehokkuuteen ja sietokyvyn tuloksiin. Ne, jotka pystyvät osoittamaan jatkuvaa valvontaa, testausta ja parantamista, ovat todennäköisesti paremmassa asemassa kuin ne, jotka luottavat pelkästään säännöllisiin vaatimustenmukaisuuden arviointeihin.”
Organisaatioiden ei tarvitse ainoastaan siirtää vaatimustenmukaisuusohjelmiaan pois hetkellisten tilannekuvien pohjalta, vaan niiden tulisi myös miettiä selkeämmin päällekkäisyyksiä historiallisesti erillisten toimintojen välillä, Pagar lisää.
”Organisaatiot tunnustavat, että kyberturvallisuus ei ole erillinen asia. Tekoälyn hallinta, yksityisyys, tietosuoja ja teknologiariskit liittyvät yhä enemmän toisiinsa, mikä edellyttää kokonaisvaltaisempaa lähestymistapaa hallintaan ja riskienhallintaan”, hän väittää.
Tällainen kypsä lähestymistapa, joka käyttää jatkuvaa vaatimustenmukaisuutta ponnahduslautana resilienssille, on monille organisaatioille vielä kaukana , ilmenee viimeisimmästä hallituksen kyberturvallisuusrikkomuksia koskevasta kyselytutkimuksesta . Mutta ei ole epäilystäkään siitä, että sääntelyviranomaiset ovat menossa tähän suuntaan.
CSRB:n Morris kuvailee yritysten resilienssiä "sekä tekniseksi että kulttuuriseksi ongelmaksi".
”Uuden lainsäädännön vaatimuksista huolimatta organisaatioiden on keskityttävä resilienssimentaliteetin ja -kulttuurin juurruttamiseen liiketoimintaprosessiensa ytimeen”, hän päättelee.
”Tämä tarkoittaa strategista kriisinsietokyvyn suunnittelua hallitustasolla ja sitten johdonmukaista sen siirtämistä liiketoiminnan toimintaan selkeine suunnitelmineen ja vastuineen keskeisille kriisinsietokykytoiminnoille.”
Parempi aloittaa suunnittelu nyt.
Laajenna tietosi
Blogi: Miten kiristyshaittaohjelmista tuli yritysten sietokykyongelma
Webinaari: Toimitusketjun vaatimustenmukaisuuden pääasiallinen hallinta
