Vuoden 2026 Cost of a Data Breach -julkaisun otsikot olivat mielenkiintoista luettavaa, mutta antaako se itse asiassa paremman kuvan kyberturvallisuusalan ammattilaisten resilienssin tilasta?
Tietomurtojen kustannuksia käsittelevän raportin 21. painoksessa tietomurron keskimääräiset kustannukset maailmanlaajuisesti olivat 4.99 miljoonaa dollaria, mikä on merkittävä nousu vuoden 2025 4.44 miljoonasta dollarista. Raportin rahoittaja IBM sanoi, että tämä vastaa noin 1 100 dollaria tunnissa, jonka tapahtuma on käynnissä, mukaan lukien kaikki kriisinhallinnasta toiminnan keskeytymiseen ja asiakasvaihtuvuuteen.
Raportissa todettiin myös, että organisaatioiden keskimääräinen aika tietomurron tunnistamiseen ja rajoittamiseen oli noussut 247 päivään. Kun tietomurrot havaitsivat sisäiset IT-tiimit, tämä luku laski keskimäärin 209 päivään. Tapauksissa, joissa organisaatiot eivät olleet tietoisia tietomurrosta, kunnes hyökkääjät ilmoittivat niistä, keskimääräiset kustannukset nousivat 5.12 miljoonaan dollariin.
Tämä kaikki on tietenkin hyödyllistä tietää, ja saatavilla on paljon tutkimustietoa, joka tarjoaa tällaisia tilastoja. Mutta mitä me niistä oikeastaan opimme? Miten voit mitata omaa resilienssiäsi sen perusteella, kuinka paljon tietomurto voisi maksaa sinulle, ja mikä itse asiassa määrää kyberhyökkäyksen liiketoimintavaikutukset?
Viime vuoden aikana tapahtuneiden suurten hyökkäysten ja tietomurtojen jälkeen organisaatioita arvioidaan yhä enemmän sen perusteella, kuinka tehokkaasti ne reagoivat, palauttavat ja ylläpitävät luottamusta, sen sijaan, että pelkästään sen perusteella, kohtaavatko ne kyberhyökkäyksen. Kun erään tapauksen seurauksena hallitus pelasti Jaguar Land Roverin 1.5 miljardilla punnalla, se painotti enemmän yrityksen valmistautumista, hallintoa ja selviytymiskykyä kyberhyökkäyksen edessä.
Yritysten vaikutus
Tietomurron liiketoimintavaikutuksia ei aina mitata valtion tarjoaman pelastuspaketin suuruudella, vaan sillä, miten organisaatio reagoi ja kuinka paljon luottamusta se pystyy säilyttämään toimillaan asiakkaitaan, kumppaneitaan ja osakkeenomistajiaan kohtaan.
Kyberturvallisuusasiantuntija ja Cyber Security Unityn perustaja Lisa Ventura sanoo, että luottamus ansaitaan viime kädessä tapahtuman aikana, ei sen jälkeen, ja se rakennetaan uudelleen viestinnän laadun ja oikea-aikaisuuden avulla, erityisesti tilanteen ollessa epävarma: ”eikä pelkästään lehdistötiedotteen otsikolla, joka julkaistaan, kun kaikki on ratkaistu ja toiminta on taas käynnissä.”
Hän sanoo asiakkaiden muistavan, kerrottiinko heille asiasta ajoissa, pitikö heille kerrottu paikkansa ja pitikö organisaatio heidät ajan tasalla tilanteen muuttuessa.
”Luulen, että monet ihmiset eivät välitä siitä, että heidän viestinsä on epätäydellinen, he eivät vain pidä siitä, ettei mitään julkaista. Joten laittaisin etusijalle nimetyn henkilön, joka pystyy käsittelemään [asioita] ulkoisesta näkökulmasta ja joka on tottunut selittämään, mikä tiedetään ja mikä ei.”
Tämän lisäksi on syytä pohtia, miten tunnustetut viitekehykset, kuten ISO 27001, voivat tukea näitä perusteita tietoturvaloukkaustenhallinnan, liiketoiminnan jatkuvuuden ja jatkuvan parantamisen kautta, ja kuinka paljon ne auttavat organisaatioita rakentamaan näitä valmiuksia.
Ennaltaehkäisystä selviytymiskykyyn
Tarkasteltaessamme raporttia uudelleen meidän on pohdittava, mitä se kertoo meille hallinnosta ja kyberuhkien sietokyvystä ja mihin tämä trendi on menossa. Todisteet viittaavat siihen, että kyberturvallisuus on siirtymässä ennaltaehkäisyyn perustuvasta mallista kohti sietokykyyn perustuvaa mallia, jossa organisaatiot olettavat, että jotkut hyökkäykset pääsevät läpi, ja keskittyvät yhä enemmän hyökkäyksen säteen rajoittamiseen, toiminnan ylläpitämiseen ja nopeaan toipumiseen.
Vaikka yritys ei voi taata, että se pysäyttää jokaisen tunkeutumisen, se voi silti vähentää kustannuksia tunnistamalla tapaukset aikaisemmin, rajoittamalla ne nopeammin, ylläpitämällä kriittisiä toimintoja, testaamalla tapausten vasteprosesseja, palauttamalla tietoja ja järjestelmiä sekä lopulta palauttamalla asiakkaiden luottamuksen ja oppimalla tapauksesta. Resilienssistä tulee siis mitattava taloudellinen kontrolli pelkän katastrofien jälkeisen palautumisen käsitteen sijaan.
Tässä kohdin 64 % organisaatioista sanoi, että he lisäisivät investointeja tietoturvaan koettuaan tietomurron . Tämä tekee sietokyvystä johtokuntatason kysymyksen, sillä hyökkääjät kohdistavat yhä enemmän huomionsa luottamukseen, yleiseen mielikuvaan ja pitkän aikavälin liiketoimintavaikutuksiin. Organisaatiot tarvitsevat edelleen ennaltaehkäisyä, mutta ne tunnustavat yhä enemmän, että ennaltaehkäisy yksinään ei voi tarjota varmuutta. Havaitsemisesta, eristämisestä, palauttamisesta ja liiketoiminnan jatkuvuudesta tulee siksi yhtä tärkeitä tietoturvan tehokkuuden mittareita.
Resilienssi ei korvaa ennaltaehkäisyä, koska organisaatiot ovat luopuneet hyökkäysten estämisestä. Siitä on tulossa entistä tärkeämpää, koska jokaisen hyökkäyksen estämisen todennäköisyys pienenee, kun taas hyökkäyksen jatkumisen kustannukset nousevat.
Canon Europen tietoturvajohtaja Quentyn Taylor sanoi tietävänsä tapauksen, jossa sama toimija iski kahteen yritykseen. Toinen oli pitkään offline-tilassa, kun taas toinen oli suorittanut "täsmällisiä tapahtumasimulaatioita; kaikki tiesivät paikkansa ja kaikki tiesivät, mitä heidän pitäisi tehdä".
Hän sanoi, että tämä selviytymiskyvyn ja hallinnon osoitus tarkoittaa sitä, että hyväksytään, että huonoja asioita tulee tapahtumaan, ja ollaan valmiita käsittelemään niitä, pohditaan, mikä voisi olla vähiten huono lopputulos, ja tunnistetaan paras tapa toipua.
”Minulle resilienssi tarkoittaa sitä, että ihmiset ymmärtävät, mitä heidän pitäisi tehdä”, hän sanoi. ”Kaikki eivät työskentele tiukasti suunnitelman mukaan, vaan kaikki työskentelevät suunnitelman hengen mukaisesti. Se on todellista resilienssiä.”
"Kaikki ymmärtävät, mikä on kokonaiskuva, kaikki sanovat, mikä on heidän osuutensa kokonaiskuvassa, ja kaikki tietävät, että minulla on valta tehdä oikeita päätöksiä tarvittaessa."
Nopea toipuminen
Kyberhäiriön liiketoimintavaikutukset voidaan viime kädessä määrittää jo kauan ennen kuin tapahtuma tapahtuu. Ero pitkittyneistä häiriöistä kärsivien organisaatioiden ja nopeasti toipuvien organisaatioiden välillä riippuu usein hallinnosta, valmiudesta ja kyvystä tehdä tehokkaita päätöksiä paineen alla.
Organisaatiot, jotka ymmärtävät resilienssin ja kriittiset prosessinsa, joilla on selkeästi määritellyt vastuut, jotka testaavat säännöllisesti toimintasuunnitelmiaan ja valtuuttavat ihmisiä toimimaan olosuhteiden muuttuessa, näyttävät tässä esimerkkiä siitä, miten toimia. Ne myös ymmärtävät, että resilienssi ei ole pelkästään tekninen kyky, vaan organisatorinen kyky, jota muokkaavat johtajuus, viestintä ja päätöksenteko.
Tapahtuman kustannukset eivät siis riipu pelkästään siitä, mitä tapahtuu, vaan myös siitä, kuinka valmistautunut organisaatio on reagoimaan ja kuinka paljon hallintaa sillä on toimintaansa kohtaan.
