IO:n uusin Tietoturvan tilaraportti korostaa toimialaa, joka on sekä välttämätön digitaaliselle taloudelle että ainutlaatuisen altis riskeille. IT-palveluntarjoajat ja MSP-organisaatiot ovat toisiinsa yhteydessä olevien toimitusketjujen ytimessä, hallitsevat monimutkaisia asiakasympäristöjä ja ottavat käyttöön uusia teknologioita nopeasti. Tämän vuoden havainnot paljastavat, miten nämä paineet muokkaavat heidän turvallisuusprioriteettejaan ja miksi monet arvioivat uudelleen hallinnon, vaatimustenmukaisuuden ja sietokyvyn rakenteitaan.
Vastaajiimme kuului kyberturvallisuusjohtajia ympäri Iso-Britanniaa ja Yhdysvaltoja. Heidän näkemyksensä paljastavat alan polttavimmat uhat, päivittäistä turvallisuustyötä muokkaavat operatiiviset haasteet ja organisaatioiden strategiset suunnat kriisinsietokyvyn vahvistamiseksi.
Alla puramme 11 keskeistä tilastotietoa, jotka jokaisen IT- ja MSP-johtajan tulisi ymmärtää tämän vuoden raportista.
IT- ja MSP-sektorin keskeiset tietoturvatilastot
Hallinto ja strategia
- 50 % sanoo, että ylin johto pitää tietoturvavaatimustenmukaisuutta edelleen toissijaisena asiana.
- 67 % sanoo, että sääntelymuutosten nopeus ja määrä tekevät vaatimustenmukaisuuden ylläpitämisestä yhä vaikeampaa.
Taidot, kapasiteetti ja operatiivinen paine
- 42 % mainitsee tietoturvaosaamisvajeen suurimpana haasteena.
- 34 % raportoi työuupumuksesta tietoturva- ja vaatimustenmukaisuustiimeissä kasvavan työmäärän vuoksi.
- 41 % sanoo, että tekoäly korvaa tehtäviä ilman asianmukaista ihmisen valvontaa vaatimustenmukaisuuden varmistamiseksi.
Pirstaloituminen ja prosessien haasteet
- 38 % kamppailee teknologian leviämisen kanssa, ja 24 % sanoo, että eriytetyt turvallisuustoimet ovat keskeinen ongelma.
- 44 % sanoo, että varjo-IT on nyt yleisin työntekijöiden tietoturvavirhe.
Vaatimustenmukaisuuden toteutus ja tulokset
- Vain 35 % kokee olevansa täysin valmiita hallitsemaan GDPR:n, NIS 2:n ja DORA:n vaatimustenmukaisuutta sisäisesti.
- 74 % organisaatioista on saanut vähintään yhden sakon viimeisen 12 kuukauden aikana.
- Liiketoimintapäätösten laadun parantuminen (46 %) ja asiakaspysyvyyden paraneminen (44 %) ovat tietoturvavaatimustenmukaisuuden tärkeimmät sijoitetun pääoman tuotot.
Liiketoimintariski ja -vaikutukset
- Kolmannen osapuolen aiheuttamat ongelmat vaikuttivat 66 prosenttiin tapauksista, joiden seuraukset vaihtelivat taloudellisista menetyksistä (36 %) toiminnan häiriöihin (34 %) ja sääntelyviranomaisten valvontaan (33 %).
Kolmannen osapuolen ja toimitusketjun turvallisuus
Harvat sektorit kokevat toimitusketjun heikentymisen heijastusvaikutukset yhtä jyrkästi kuin IT- ja MSP-organisaatiot, erityisesti ne, jotka ovat suoraan integroituja asiakkaidensa infrastruktuuriin. Havainto, että 66 % koki kolmannesta osapuolesta tai toimittajasta johtuvan tietoturvahäiriön, korostaa sitä, kuinka riippuvaiseksi ekosysteemistä on tullut. Nämä tapahtumat harvoin pysyvät kurissa: vastaajat raportoivat taloudellisista tappioista, sääntelyviranomaisten valvonnasta, toiminnan häiriöistä ja asiakkaiden kohtaamista käyttökatkoksista toimittajien virheiden seurauksena.
Tämä kasvava riippuvuus selittää, miksi 80 % vahvisti kolmannen osapuolen riskienhallintaansa viimeisen vuoden aikana. Monille siirtyminen tarkoittaa reaktiivisesta due diligence -tarkastuksesta jatkuvampaan, näyttöön perustuvaan lähestymistapaan: kumppanien kontrollien jatkuvaa seurantaa, validointia ja dokumentointia. Suurimmassa riskissä ovat yritykset, jotka luottavat pirstaloituneisiin prosesseihin tai epäjohdonmukaiseen hallintoon juuri silloin, kun strukturoiduilla, toistettavilla vaatimustenmukaisuuskäytännöillä on mitattavissa oleva vaikutus.
Muuttuva uhkamaisema
Vaikka tutut uhat hallitsevat edelleen tietoturvatyötä, alalla on nähtävissä jyrkkä kasvu tekoälyyn perustuvissa ja tekoälyyn kohdistetuissa hyökkäyksissä. Merkittävä tilastotieto on, että 41 % vastaajista raportoi tekoälyn korvaavan tehtäviä ilman riittävää ihmisen valvontaa. Yhdessä 27 %:n kokemien datamyrkytysten kanssa tämä osoittaa, kuinka nopeasti organisaatiot voivat menettää prosessien eheyden näkyvyyden, kun uudet teknologiat ohittavat hallinnan.
Samaan aikaan tapaustiedot pysyvät itsepintaisesti korkeina kaikilla osa-alueilla:
- 32 % koki tietomurtoja
- 29 %:iin kohdistui pilvimurtoja
- 31 % ilmoitti haittaohjelmatartunnoista
- 22 % koki sisäpiirin uhkia
Tämän lisäksi sosiaalinen manipulointi, todennusjärjestelmien manipulointi ja monivektoriset hyökkäykset, jotka yhdistävät teknistä ja inhimillistä harhaanjohtamista, lisääntyvät jatkuvasti. IT- ja MSP-ympäristöissä, joissa yksi tunnistetietojoukko voi avata pääsyn useisiin asiakasverkkoihin, pienilläkin virheillä voi olla kauaskantoisia seurauksia. Riski kasvaa, kun varjo-IT:stä (joka raportoi 44 %) tulee osa jokapäiväisiä työnkulkuja.
Taidot, loppuunpalaminen ja toiminnallinen ylikuormitus
Raportti paljastaa myös alan painivan resurssirajoitusten ja rakenteellisten kapasiteettihaasteiden kanssa. Ne 42 %, jotka mainitsevat kyberturvallisuuden osaamisvajeen, edustavat toimialaa, jossa asiantuntemuksen kysyntä ylittää tarjonnan, erityisesti pilvipalveluiden tietoturvan, tekoälyn tietoturvan ja vaatimustenmukaisuuden kaltaisilla aloilla.
Kyse ei kuitenkaan ole pelkästään taidoista. Se, että 34 % vastaajista raportoi työuupumuksesta tietoturva- ja vaatimustenmukaisuustiimissään, heijastaa kasvavia odotuksia ilman vastaavaa henkilöstömäärän, työkalujen tai budjetin kasvua. Monet vastaajat kuvailivat työmäärien kasvua uusien teknologioiden, uusien säännösten ja suurempien ylä- ja alavirran riippuvuuksien myötä.
Tätä painetta pahentavat teknologian leviäminen, jonka 38 % mainitsi merkittävänä haasteena, sekä siiloutuneet tiimit (24 %), jotka luovat päällekkäistä työtä, epäjohdonmukaisia prosesseja ja suurempaa riippuvuutta yksilöiden sankariteoista. Kun tietoturvatiimit jonglööraavat useilla työkaluilla, päällekkäisillä kojelaudoilla ja irrallisilla työnkuluilla, yhden totuuden lähteen ylläpitäminen, johdonmukaisten todisteiden varmistaminen ja hallintokäytäntöjen yhdenmukaistaminen vaikeutuu.
Sääntelypaine ja vaatimustenmukaisuuden monimutkaisuus
Sääntely kehittyy nopeammin kuin monet organisaatiot pystyvät sopeutumaan. Tänä vuonna 67 % vastaajista sanoi, että sääntelymuutosten nopeus ja määrä vaikeuttavat vaatimustenmukaisuutta. Tämä on merkittävä osoitus siitä, kuinka nopeasti tietosuojaa, tekoälyn hallintaa, toiminnan sietokykyä ja toimitusketjun turvallisuutta koskevat vaatimukset laajenevat.
Tiedot osoittavat myös, että organisaatiot eivät ole yhtä valmiita. Vain 35 % kokee pystyvänsä täysin hallitsemaan GDPR, NIS 2 ja DORA vaatimustenmukaisuus sisäisesti. Suurin osa tarvitsee ulkoista tukea, kamppailee rajallisen asiantuntemuksen kanssa tai heiltä puuttuu tarvittava aika ja hallituksen tuki pysyäkseen velvoitteidensa edellä.
Tämä kyvykkyyskuilu näkyy tuloksissa: 74 % organisaatioista sai viimeisen 12 kuukauden aikana ainakin yhden viranomaissakon, mukaan lukien merkittäviä rangaistuksia tietomurroista, tietojen menetyksestä ja riittämättömästä valvonnasta.
Datasta saa kuvan organisaatioista, jotka yrittävät noudattaa vaatimuksia, mutta tekevät sen usein manuaalisesti, epäjohdonmukaisesti tai erillisillä lähestymistavoilla, joita on vaikea skaalata.
Tiedot osoittavat kuitenkin myös, että kun organisaatiot noudattavat vaatimuksia oikein, hyödyt ovat huomattavia. Vastaajat mainitsivat liiketoimintapäätösten laadun paranemisen (46 %) ja asiakaspysyvyyden (44 %) parantuneina tietoturvavaatimustenmukaisuuden tärkeimpinä hyödyinä. Tämä korostaa muutosta siinä, miten IT- ja MSP-johtajat näkevät hallinnon: ei velvollisuutena, vaan strategisena etuna, kun sitä toteutetaan johdonmukaisesti.
Työntekijöiden käyttäytyminen ja sisäiset riskit
Turvallisuuskulttuuri on edelleen merkittävä haaste. Varjo-IT on yleisin ilmoitettu työntekijöiden virhe (44 %), jota seuraavat tiiviisti generatiivisten tekoälytyökalujen luvaton käyttö (38 %) ja turvattomat laite- tai verkkokäytännöt.
Nämä käyttäytymismallit viittaavat laajempaan ongelmaan: kun prosessit eivät ole selkeitä, johdonmukaisia tai integroituja jokapäiväisiin työnkulkuihin, työntekijät täyttävät aukot työkaluilla ja menetelmillä, jotka tuovat mukanaan uusia riskejä. Tämä on erityisen riskialtista IT- ja hallinnoitujen palveluiden (MSP) ympäristöissä, joissa henkilöstöllä on usein etuoikeutettu pääsy asiakasjärjestelmiin tai arkaluonteisiin tietoihin.
Haaste ei siis ole pelkkä koulutus, vaan tiimien varustaminen kitkattomilla ja hyvin jäsennellyillä prosesseilla, jotka tekevät turvallisesta tavasta helpon tavan.
Johtajuus ja strateginen suunta
Yksi raportin rohkaisevimmista löydöksistä on, että 87 % sanoo organisaatiollaan olevan selkeä ja hyvin viestitty tietoturvastrategia, ja 88 % uskoo, että jokaisella yrityksellä tulisi olla hallitustasolla tietoturvasta vastaava henkilö. Tämä siirtyminen kohti johdon osallistumista viittaa kypsyvään ymmärrykseen kypsyvään ymmärrykseen kypsyvästä strategisesta kysymyksestä, ei pelkästään teknisestä.
Tämä edistys kuitenkin kulkee käsi kädessä havainnon kanssa, jonka mukaan 50 % vastaajista on edelleen sitä mieltä, että ylin johto pitää vaatimustenmukaisuutta toissijaisena asiana, mikä paljastaa merkittävän kuilun strategisen aikomuksen ja päivittäisen priorisoinnin välillä.
Organisaatioille, joita jo ennestään rajoittavat osaamisvaje, operatiiviset riskit ja sääntelyyn liittyvät vaatimukset, tällä epäsuhdalla voi olla todellisia seurauksia. Johto viestii, miltä ”hyvä” näyttää, ja ilman johdonmukaisia signaaleja tiimit jäävät täyttämään aukot.
Pysyminen edellä strukturoidun resilienssin avulla
IT- ja MSP-sektori navigoi ympäristössä, jossa riskit moninkertaistuvat, odotukset kasvavat ja sisäinen kapasiteetti on koetuksella. Suunta on kuitenkin selvä: organisaatiot investoivat selviytymiskykyyn, vahvistavat toimitusketjun valvontaa ja painottavat enemmän strategista hallintoa ja johtajuuden yhdenmukaisuutta.
Raportissa esiin tuodut haasteet teknologian leviämisestä osaajapulaan, varjo-IT:stä sääntelyyn liittyviin sakkoihin eivät ole yksittäisiä ongelmia. Ne ovat merkkejä ekosysteemistä, joka on kasvanut ulos manuaalisista prosesseista ja pirstaloituneista työkaluista. Parhaimmassa asemassa seuraavien 12 kuukauden aikana ovat ne organisaatiot, jotka ottavat käyttöön integroituja, toistettavia ja koko organisaation laajuisia järjestelmiä, jotka tukevat yhdenmukaisuutta ihmisten, prosessien ja teknologian välillä.
Ottamalla käyttöön vahvoja, koko organisaatiota kattavia lähestymistapoja tietoturvaan ja vaatimustenmukaisuuteen yritykset voivat vähentää riskejä, vahvistaa asiakkaiden luottamusta ja luoda vakaamman perustan innovaatioille yhä arvaamattomammassa toimintaympäristössä.
