Kaikki tietomurrot eivät ala hämäräperäisestä hakkereista ja ulkoisesta hyökkäyksestä. Joskus verkon puolustajien ylikuormitusta eivät aiheuta pahantahtoiset kolmannet osapuolet. Organisaatioita saattavat vaikeuksiin tavalliset työntekijät, jotka eivät noudata vakiintuneita tiedonhallintaohjeita. Tai tietojenkäsittelysäännöt, jotka rikkoutuvat heti todellisuuden kosketuksissa.
Näissä tilanteissa edes maailman kehittynein kyberturvallisuusteknologia ei välttämättä riitä estämään vahingollista tietovuotoa tai vaatimustenmukaisuusrikkomusta. UK Government Investments (UKGI) joutui hiljattain kokemaan tämän omalla kustannuksellaan vuotaessaan mahdollisesti arkaluonteisia tietoja verkkoon lähes kahden päivän ajan.
Tämä ei ole ensimmäinen eikä viimeinen laatuaan oleva varoittava esimerkki. Oikea lähestymistapa liiketoiminnan resilienssin rakentamiseen on tasapainottaa tietoturvateknologiaa ja tiedon hallintaa.
Mitä tapahtui UKGI:ssä?
UKGI:n tapaus, joka hallinnoi valtion kaupallisia intressejä yrityksissä, sisältää ripauksen ironiaa, koska se kuvailee itseään yritysjohtamisen asiantuntijaksi. Valtiovarainministeriö totesi elokuussa julkaisemassaan vuosikertomuksessa, että vuosien 2025–26 tietomurrossa vuoti vahingossa sisäinen tiedosto. Tiedosto sisälsi ”korkean tason johdon tietoja sekä 51 virkamiehen nimet ja työsähköpostiosoitteet”, jotka olivat julkisesti saatavilla noin 40 tunnin ajan. Syyllinen oli ”henkilökunnan jäsen, joka ei noudattanut vakiintuneita tietoturvakäytäntöjä”.
UKGI ilmoitti tapauksesta tietosuojavaltuutetun toimistolle (ICO) ja suoritti ulkoisen arvioinnin, joka antoi suosituksia tavoista vahvistaa tapausvalmiuttaan ja -valvontaansa – joista "valtaosan" se on pannut täytäntöön tai aikoo panna täytäntöön.
Hallintohaasteita on kaikkialla
Vaikka tämä tapaus selvisi ilman suurempia seurauksia, vastaavilla tapauksilla on ollut paljon suurempi vaikutus. Muutama tulee mieleen:
Posti sai ICO:lta nuhteen vuonna 2025 sen jälkeen, kun se julkaisi verkkosivuillaan muokkaamattoman oikeudellisen asiakirjan meneillään olevasta Horizon IT -skandaalista. Asiakirja sisälsi yli 500 Postin kanssa oikeudenkäynnissä olleen henkilön nimet, kotiosoitteet ja postinhoitajan aseman. Tiedot pysyivät julkisesti saatavilla lähes kaksi kuukautta. Posti vältti täpärästi miljoonan punnan sakon.
Myös Hammersmith & Fulhamin kaupunginvaltuusto sai viime vuonna ICO:lta nuhteita sen jälkeen, kun se oli vahingossa vuotanut 6 528 ihmisen, mukaan lukien 2 342 lapsen, tiedot vastauksena tiedonsaantilain pyyntöön. Kyseisessä Excel-taulukossa oli 35 piilotettua työkirjaa, jotka sisälsivät tietoja, mukaan lukien tietoja turvapaikanhakijoista lapsista. Henkilötiedot pidettiin julkisina lähes kaksi vuotta.
Pohjois-Irlannin poliisilaitos (PSNI) asetti lukemattomat poliisit ja henkilökunnan jäsenet vaaraan vuotaessaan heidän henkilötietojaan, mukaan lukien nimet, arvoasemat ja roolit, taulukkolaskentapohjaisessa vastauksessa tietopyyntöön. Vaikka tiedot olivat julkisesti saatavilla vain muutaman tunnin, toisinajattelijoiden uskotaan hankkineen tiedot. PSNI vältti 5.6 miljoonan punnan sakon vain ICO:n koronan jälkeisen julkisen sektorin taloudellisia seuraamuksia koskevan käytännön ansiosta.
Miltä parhaat käytännöt näyttävät?
Tällaiset tapaukset havainnollistavat kasvavaa ongelmaa: Huntressin vCISO EMEA:n Muhammad Yahya Patelin mukaan investoinnit teknisiin tietoturvakontrolleihin ovat monissa organisaatioissa ylittäneet dramaattisesti tiedonhallinnan rahoituksen.
”Tiedonhallinta eli sen tietäminen, mitä tietoja säilytetään, missä ne sijaitsevat, kuka voi käyttää niitä, miten niitä tulisi käsitellä ja noudatetaanko näitä sääntöjä käytännössä, on epäkunnioittavaa työtä”, hän kertoo IO:lle (entinen ISMS.online). ”Se on se osa, joka unohtuu useimmissa keskusteluissa. Se ei luo jännittäviä hallitusesityksiä. Mutta se on valvontakerros, joka sijaitsee käytäntöasiakirjan ja sen hetken välillä, kun henkilöstön jäsen tekee päätöksen arkaluontoisesta tiedostosta perjantaina kello 4.”
Patelin mukaan suhteellinen lähestymistapa riskienhallintaan tarkoittaa sen hyväksymistä, ettei jokainen riski vaadi teknistä ratkaisua. ”Joskus oikea kontrolli on selkeämpi prosessi, parempi koulutus, jota annetaan relevantin riskin hetkellä eikä vuosittain, tai yksinkertainen vertaisarviointivaihe ennen arkaluonteisten tietojen julkaisemista tai jakamista”, hän jatkoi.
Filigranin julkisen sektorin johtaja Jake Taylor on samaa mieltä ja väittää, että organisaatiot eivät voi suojata sitä, mitä ne eivät tiedä omaavansa.
”Kun valtionhallinnon osastot ja organisaatiot uudelleenjärjestyvät ja organisoituvat uudelleen, Ison-Britannian uhkakuva laajenee dramaattisesti, mikä jättää aukkoja haitallisille toimijoille. Tiedonhallinnasta tulee täällä yhtä tärkeää, ellei jopa tärkeämpää, kuin teknisestä puolustuksesta”, hän kertoo IO:lle.
”Johtajien on ymmärrettävä, että turvallisuutta ei voi olla ilman kontrollia, tasapainoa ja selkeää näkyvyyttä.”
Taylor kannustaa tiimejä tarkastamaan toimintaa säännöllisesti, kirjaamaan ja tarkistamaan, kuka käyttää arkaluonteisia kansioita, jotta epätavallinen toiminta havaitaan varhaisessa vaiheessa. Hän myös kehottaa organisaatioita minimoimaan käyttäjien välisen kitkan.
”Varmista, että turvallisuussäännöt eivät estä työntekijöitä tekemästä työtään, tai he löytävät vaarallisia kiertoteitä”, hän jatkaa. ”Yritä myös kuroa umpeen siiloja. Pakota laki-, IT-, vaatimustenmukaisuus- ja turvallisuustiimisi työskentelemään yhdessä yhden yhtenäisen datastrategian puitteissa.”
Jatkuvan seurannan lähestymistavan esittely
Asiantuntijat IO:ssa olivat yhtä mieltä siitä, että jatkuvan lähestymistavan soveltamisen hallintaan ja vaatimustenmukaisuuteen tulisi olla ensisijainen vaihtoehto. Se tarkoittaa näytön keräämistä ja vaatimustenmukaisuudesta poikkeamisen seurantaa jatkuvasti ongelmien havaitsemiseksi ja korjaamiseksi varhaisessa vaiheessa sen sijaan, että odotettaisiin auditointiaikaa lumipalloefektin kasaantuneiden historiallisten ongelmien esiin nostamiseksi.
”Tietoja tiettyinä aikoina tehtävät tarkastukset, kuten vuosittaiset auditoinnit ja tunkeutumistestit, näyttävät tietojesi tilan ja haavoittuvuudet vain yhden päivän ajalta, mikä luo väärän turvallisuuden tunteen”, Taylor väittää. ”Jatkuva valvonta varmistaa, että tietokarttasi, käyttöoikeussääntösi ja säilytyskäytäntösi pysyvät ajan tasalla joka ikinen sekunti.”
Huntressin Patel lisää, että jatkuva valvonta on jo vakiintunutta kyberturvallisuudessa, ja tiedonhallinnan on seurattava perässä.
”Automaattinen valvonta, joka ilmoittaa, kun arkaluonteiset asiakirjat tulevat julkisesti saataville, ja riskimerkintä, joka nostetaan, kun arkaluonteisia tietoja jaetaan – kun käyttöoikeudet muuttuvat odottamatta tai kun tiedot siirtyvät sallittujen reittien ulkopuolelle – muuttaa 40 tunnin altistuksen neljän minuutin mittaiseksi”, hän sanoo.
”Teknologia tähän on olemassa ja se on kypsää. Tyypillisesti puuttuu organisaation tahto toteuttaa se yhtä tinkimättömästi kuin tekniset turvatoimet.”
Hyvä ja huono uutinen on, että tekoäly tekee tästä tehtävästä sekä helpomman että haastavamman. Toisaalta varjotekoäly tuo mukanaan uusia riskejä. IBM väittää , että 43 % viime vuoden tietomurroista liittyi tekoälyn luvattomaan käyttöön. Huntressin Patelin mukaan tekoälytyökalut voisivat kuitenkin virtaviivaistaa hallintoa arkaluonteisten asiakirjojen automaattisen luokittelun, tietovirtojen jatkuvan seurannan, poikkeamien havaitsemisen ja käytäntöjen valvonnan konenopeudella avulla.
”Organisaatiot, jotka hyötyvät tekoälystä eniten tiedonhallinnassa, ovat ne, jotka ovat investoineet tietovarantojensa ymmärtämiseen riittävän hyvin tietääkseen, mitä on suojattava ja miksi”, hän päättelee.
”Tekoäly vahvistaa hyviä tiedonhallintakäytäntöjä. Se myös vahvistaa huonojen käytäntöjen seurauksia, ja se on se osa, jota useimmat johtajat eivät ole vielä täysin ottaneet huomioon.”
