IO:n uusin Tietoturvan tilaraportti korostaa rakenteellisesti alttiita ja siitä hyvin tietoisia toimialoja. Kuljetus- ja matkailuorganisaatiot sijaitsevat fyysisen infrastruktuurin, digitaalisten alustojen ja tiiviisti kytköksissä olevien toimitusketjujen risteyksessä. Kun jokin menee pieleen, vaikutukset ovat välittömät ja näkyvät aina maadoitettuista ajoneuvoista ja tuotannon pysähtymisestä pulaan jääneisiin asiakkaisiin ja ketjureaktioketjujen häiriöihin toimittajille.
Tämän vuoden havainnot osoittavat, että liikenteen ja matkailun turvallisuusjohtajat pyrkivät pysymään tekoälyn aiheuttamien uhkien, sääntelyn kiihtymisen ja toimitusketjujen haavoittuvuuden vauhdissa samalla kun he kamppailevat budjettirajoitusten, osaamispulan ja hallituksen epätasaisen sitoutumisen kanssa.
Vastaajiimme kuului kyber- ja tietoturvajohtajia eri puolilta Isoa-Britanniaa ja Yhdysvaltoja liikenne- ja matkailuekosysteemistä. Heidän vastauksensa paljastavat, missä paine on akuutein, miten vaaratilanteet ilmenevät käytännössä ja mihin alan tulisi keskittyä selviytymiskyvyn rakentamisessa.
Alla puramme tämän vuoden raportista 11 keskeistä tilastoa, jotka jokaisen kuljetus- ja matkailualan johtajan tulisi ymmärtää.
Keskeiset tietoturvatilastot liikenne- ja matkailualalla
- 57 % sanoo, että kuljetus- ja matkailualan luonne tekee tehokkaiden tietoturvatoimenpiteiden toteuttamisen erityisen vaikeaksi.
- 46 % sanoo, että ylin johto suhtautuu tietoturvavaatimusten noudattamiseen edelleen jälkikäteen huomioituna – vaikka 86 %:lla on selkeä tietoturvastrategia ja 89 % kannattaa hallitustason vastuuta.
- Budjettirajoitukset ovat yleisimmin mainittu haaste (48 %), kun taas 34 % kamppailee tietoturvaosaamisvajeen ja 33 % henkilöstön vaihtuvuuden ja pysyvyyden kanssa.
- 44 % sanoo työntekijöiden tietämättömyyden olevan keskeinen haaste. Yleisiä virheitä ovat tietojenkalasteluklikkaukset (29 %), IT:n varjovalvonta (26 %) ja henkilökohtaisten laitteiden turvaton käyttö (23 %).
- Yli 74 % kuljetus- ja matkailualan organisaatioista ilmoitti kärsineensä turvallisuuspoikkeamista viimeisen 12 kuukauden aikana.
- 54 % kertoo saaneensa viimeisen vuoden aikana ainakin yhden sakon tietomurrosta tai tietosuojarikkomuksesta, ja suurimman osan sakot olivat 101 000–250 000 puntaa.
- 37 % on kokenut kolmannen osapuolen tai toimittajan aiheuttaman ongelman viimeisen 12 kuukauden aikana – 17 % useita kertoja ja 20 % kerran.
- 77 % on ottanut käyttöön uusia teknologioita, kuten tekoälyä, koneoppimista tai lohkoketjua – mutta 54 % sanoo ottaneensa tekoälyn käyttöön liian nopeasti, ja 33 % raportoi tehtävien korvautuvan tekoälyllä ilman ihmisen suorittamia vaatimustenmukaisuustarkastuksia.
- 94 % kokee olevansa varautuneita tekoälyn aiheuttamaan tietojenkalasteluun ja huijaukseen, ja 89 % syvähuijauksiin ja tekoälyn käyttämiin haittaohjelmiin – silti 20 % raportoi edelleen työntekijöidensä käyttävän GenAI-työkaluja luvattomasti.
- 40 % sanoo, että heidän on vaikea määrittää, mitkä tietoturvaprosessit voidaan automatisoida turvallisesti.
- 46 % mainitsee tehostetun tietoturvainfrastruktuurin vahvimpana sijoitetun pääoman tuottoprosenttina tietoturvatoimista, jota seuraavat paremmat liiketoimintapäätökset (43 %), suurempi sijoittajien houkuttelevuus (40 %) ja lisääntynyt myynti tai uudet mahdollisuudet (37 %).
Kolmannen osapuolen ja toimitusketjun turvallisuus
Harvat toimialat tuntevat toimitusketjun häiriöiden vaikutukset yhtä jyrkästi kuin kuljetus ja matkailu. Jaguar Land Rover (JLR) Kyberhyökkäys teki sen selväksi: yksi ainoa tapaus pysäytti tuotannon, keskeytti IT-järjestelmien toiminnan ja aiheutti shokin, joka heijastui tuhansiin toimittajiin ja paikallisiin talouksiin.
Datamme osoittavat, että tämä ei ole poikkeustapaus. Yli kolmannes organisaatioista on joutunut kolmannen osapuolen aiheuttamien häiriöiden kohteeksi viimeisen vuoden aikana. Näiden tapahtuessa seuraukset ulottuvat alkuperäisen tiedonkeruupisteen ulkopuolelle: asiakkaisiin, työntekijöihin tai kumppaneihin vaikuttavat tietovarkaudet ovat yleisiä, samoin kuin suunnittelemattomat taloudelliset kustannukset, toimitusketjun viivästykset, tilapäiset käyttökatkokset ja joissakin tapauksissa keskeisten kumppanuuksien tai sopimusten menetys.
Toimittajien odotukset kiristyvät vastauksena tähän. Monet organisaatiot vaativat nyt ISO 27001, ISO 27701 ja / tai ISO 42001 kumppaneilta sekä viitekehyksistä, kuten Cyber Essentials, SOC 2, NIST ja säännökset, kuten NIS 2 ja TISAX. Vain pieni vähemmistö ei vaadi lainkaan turvallisuusstandardeja.
Menosuunnitelmat vahvistavat tätä muutosta. Lähes puolet aikoo lisätä investointeja toimitusketjun ja kolmansien osapuolten turvallisuuteen seuraavien 12 kuukauden aikana ilman leikkauksia. Suunta on poispäin kertaluonteisista kyselyistä ja ajantasaisista auditoinneista kohti jatkuvaa, jäsenneltyä ja näyttöön perustuvaa toimittajien valvontaa, joka on linjassa sisäisesti käytettyjen samojen viitekehysten ja raportoinnin kanssa.
Muuttuva uhkamaisema
Liikenteen ja matkailun alan tapausten kuva on laaja ja pysyvä. Perinteiset uhat: tietojenkalastelu, haittaohjelmat ja verkkoon tunkeutuminen, ovat edelleen juurtuneita. Noin kolmannes organisaatioista raportoi tietojenkalastelu- tai verkkohyökkäystapauksista ja lähes yhtä moni raportoi haittaohjelmatartunnoista. Pienemmät mutta merkittävät osuudet raportoivat kiristysohjelmista, palvelunestohyökkäyksistä, IoT/mobiilitietomurroista, tekoälyn tietojen myrkytyksestä, syväväärennöksistä ja toimitusketjun vaarantumisesta.
Tietomurrot eivät ole abstrakteja asioita. Asiakas-, työntekijä-, talous-, tutkimus-, tuote- ja IP-tietoja on vaarantunut merkittäviä määriä. Erityisesti henkilötietojen osalta seuraukset ovat vakavia: useimmat asianomaiset organisaatiot raportoivat viranomaisten määräämistä sakoista, ja puolet sanoo, että henkilötietojen murrot ovat johtaneet liiketoiminnan lopettamiseen tai strategiseen muutokseen.
Tämän päälle kehittyy tekoälyn ohjaama uhkakuva. Tekoälyn tuottama tietojenkalastelu on nyt suurin nouseva huolenaihe, jota seuraavat misinformaatio ja disinformaatio, syvähuijaukset virtuaalikokouksissa ja varjotekoäly. Toimitusketjun vaarantuminen ja kiristysohjelmat ovat edelleen yleisiä, mutta painopiste on siirtynyt hyökkäyksiin, jotka käyttävät tekoälyä perinteisten tekniikoiden skaalaamiseen ja personointiin.
Riski ei ole pelkästään näiden hyökkäysten hienostuneisuus, vaan myös se operatiivinen todellisuus, että pienetkin virheet urakoitsijalla, logistiikkakumppanilla tai niche-ohjelmistotoimittajalla voivat nopeasti levitä toisiinsa yhteydessä olevien verkkojen kautta.
Taidot, loppuunpalaminen ja toiminnallinen ylikuormitus
Raportissa korostetaan myös jatkuvan operatiivisen paineen alla olevaa sektoria. Budjettirajoitteet ovat samanaikaisia jatkuvan osaamisvajeen ja henkilöstön sitouttamisvaikeuksien kanssa. Vaikka työuupumuksesta ei nimenomaisesti raportoida, laajenevat vastuut, uudet teknologiat, uudet määräykset ja monimutkaiset toimitusketjut tekevät kapasiteetista jatkuvan huolenaiheen.
Tämä paine ulottuu asiantuntijaroolien ulkopuolelle. Tiimit painivat työkalujen hajanaisuuden, päällekkäisten koontinäyttöjen ja epäjohdonmukaisten työnkulkujen kanssa. Monet aikovat priorisoida konsolidointia, ja merkittävä osa kamppailee päättääkseen, mitkä prosessit voidaan automatisoida turvallisesti. Liian monet työkalut, riittämätön integraatio ja epävarmuus automaation rajoista vaikeuttavat yhden ja luotettavan näkemyksen ylläpitämistä riskeistä ja vaatimustenmukaisuudesta.
Aika- ja turvallisuuskriittisessä ympäristössä tämä johdonmukaisuuden puute voi johtaa seurantavajeisiin, epätäydelliseen näyttöön ja voimakkaaseen riippuvuuteen yksilöiden asiantuntemuksesta. Ajan myötä tämä ei ole kestävä toimintamalli.
Sääntelypaine ja vaatimustenmukaisuuden monimutkaisuus
Tietosuojaa, tekoälyn hallintaa, toiminnan sietokykyä ja toimitusketjun turvallisuutta koskevat sääntelyodotukset tiukentuvat. Kuusi kymmenestä kuljetus- ja matkailualan johtajasta sanoo, että muutoksen vauhti ja määrä vaikeuttavat vaatimustenmukaisuuden ylläpitämistä.
Kyvykkyydet ovat kuitenkin epätasaisia. Noin kolmannes kokee olevansa täysin valmiita hallitsemaan sisäisesti puitteita ja säännöksiä, kuten GDPR:ää, NIS 2:ta ja DORAa, ja toinen kolmannes kokee olevansa enimmäkseen valmiita, mutta silti riippuvaisia ulkopuolisesta avusta. Loput raportoivat ajanpuutteesta, erikoisosaamisesta tai hallituksen tuesta.
Tulokset vahvistavat tämän: yli puolet alan organisaatioista on saanut tietosuojasakkoja viimeisen vuoden aikana, monet kuusinumeroisia summia.
Kun vaatimustenmukaisuus toteutetaan hyvin, hyödyt ovat selvät. Johtajat korostavat konkreettisina tuottoina virtaviivaistettua infrastruktuuria, parempaa päätöksentekoa, vahvempaa sijoittajien houkuttelevuutta, parantunutta mainetta ja uusia kaupallisia mahdollisuuksia. Tiedot tukevat ajattelutavan muutosta: monille organisaatioille vaatimustenmukaisuudesta on tulossa tie kurinalaiseen kasvuun ja selviytymiskykyyn pikemminkin kuin reaktiivinen vastaus sääntelyviranomaisille.
Työntekijöiden käyttäytyminen ja sisäiset riskit
Turvallisuuskulttuuri on edelleen toistuva heikkous. Vaikka jotkut organisaatiot eivät raportoi yleisistä työntekijöiden virheistä, monet muut näkevät johdonmukaisen kaavan: tietojenkalasteluklikkaukset, julkisen Wi-Fi-verkon käyttö työssä, IT:n varjo, hallitsemattomat henkilökohtaiset laitteet ja suojaamaton tiedostojen jakaminen. Myös määräysten noudattamatta jättäminen ja heikot salasanakäytännöt ovat esillä.
Tällainen toimintatapa on erityisen riskialtis kuljetuksen ja matkustamisen alalla, jossa henkilöstöllä voi olla pääsy operatiivisiin järjestelmiin, asiakastietoihin, logistiikka-alustoille tai toimittajaportaaleihin. Kun prosessit ovat epäselviä, hankalia tai pirstaloituneet useiden työkalujen kesken, työntekijät luonnollisesti turvautuvat nopeammilta tuntuviin kiertotapoihin, vaikka se toisi mukanaan uusia riskejä.
Tietoturvajohtajien haasteena ei ole pelkästään tietoisuuskoulutus, vaan myös prosessien suunnittelu ja valvonta, jotka tekevät suojatusta reitistä oletusarvon, joka on upotettu ihmisten jo käyttämiin järjestelmiin.
Johtajuus ja strateginen suunta
On rohkaisevia merkkejä siitä, että tietoturva on siirtymässä asialistalle. Useimmat organisaatiot raportoivat, että niillä on selkeä ja hyvin viestitty tietoturvastrategia, ja lähes yhdeksän kymmenestä on samaa mieltä siitä, että jokaisella yrityksellä tulisi olla hallituksen tasolla tietoturvasta vastaava henkilö.
Lähes puolet vastaajista kuitenkin kokevat edelleen, että heidän ylin johtonsa suhtautuu vaatimustenmukaisuuteen jälkikäteen. Tällä ristiriidalla on merkitystä. Kun johtajuuden signaalit ovat ristiriitaisia, tiimien on sovitettava yhteen kunnianhimoiset turvallisuus- ja vaatimustenmukaisuustavoitteet rajallisen budjetin ja kapasiteetin kanssa.
Sektorilla, jolla operatiivinen riski on tiiviisti sidoksissa turvallisuuteen, palvelun jatkuvuuteen ja brändiluottamukseen, parhaiten menestymään pystyvät organisaatiot, joiden hallitukset pitävät tietoturvaa ydinliiketoimintaan kuuluvana osana, eivätkä pelkästään ruudun rastittamisena.
Pysyminen edellä strukturoidun resilienssin avulla
Kuljetus- ja matkailuala navigoi globaaleissa toimitusketjuissa, tekoälyn mahdollistamissa uhissa, tiukentuvan sääntelyn ja rajoitetun sisäisen kapasiteetin keskellä. Silti suunta on selvä. Organisaatiot lisäävät investointeja tekoälyyn perustuvaan puolustukseen, tietoturvaloukkauksiin reagointiin, toimitusketjun turvallisuuteen ja vaatimustenmukaisuuteen. Ne suunnittelevat työkalujen yhdistämistä, toimittajavaatimusten vahvistamista ja hallinnon virallistamista.
Tämän vuoden havaintojen yhteinen piirre on, että manuaaliset, pirstaloituneet ja henkilöstä riippuvaiset lähestymistavat ovat saavuttamassa rajansa. Parhaimmassa asemassa seuraavien 12 kuukauden aikana ovat ne organisaatiot, jotka ottavat käyttöön integroituja ja toistettavia järjestelmiä turvallisuuden ja vaatimustenmukaisuuden hallintaan yhdistämällä ihmiset, prosessit, kontrollit ja toimittajatiedot yhdeksi toimintamalliksi.
Näin tekemällä kuljetus- ja matkailuorganisaatiot voivat vähentää riskejä, parantaa kykyään selviytyä ja toipua vaaratilanteista sekä rakentaa vakaamman perustan asiakkaidensa nyt vakiona odottamalle innovaatiolle ja yhteyksille.
