Itse asiassa minulla on kaksi roolia: olen sekä toimitusjohtaja että tietoturva-ammattilainen. Tietoturva-ammattilaisena haluan tietää yksityiskohdat. Toimitusjohtajana en juuri välitä niistä, vaan haluan vain tietää, mitä ne tarkoittavat liiketoiminnalle.
Näin tietoturvaihmiset yleensä kuvaavat kyberriskiä:
”Tämän CVSS 9.1 -haavoittuvuuden avulla hyökkääjä voi etänä ja ilman tunnistautumista kirjoittaa mielivaltaisia tiedostoja ja suorittaa mielivaltaisia komentoja laitteen käyttöjärjestelmässä pääkäyttäjän oikeuksilla.”
Kun meidän pitäisi sanoa mieluummin näin:
”Meillä on suuri riski joutua kohdennetun kyberhyökkäyksen uhriksi. Hyökkäys voi estää asiakkaitamme käyttämästä palveluamme useaan päivään ja heikentää heidän luottamustaan pitkäksi aikaa.”
Kumpi mielestäsi puhuttelee enemmän johtoa, hallitusta ja toimitusjohtajaa? Me tietoturvaihmiset puhumme mielellämme CVE-tunnisteista ja CVSS-pisteistä, kriittisistä haavoittuvuuksista, päivitystasoista, monivaiheisen tunnistautumisen kattavuudesta, compliance-havainnoista, tietoturvalokeista ja palomuurien mittareista.
Johtoa kiinnostavat aivan muut asiat: liikevaihto ja kannattavuus. Ovatko asiakkaat tyytyväisiä? Hyötyvätkö sidosryhmät meistä tarpeeksi? Sujuuko toiminta? Onko maine hyvä vai huono? Kasvammeko tarpeeksi?
Juuri johto päättää myös tietoturvainvestoinneista. Kuilu on melko suuri, ja meidän tehtävämme on kaventaa sitä.
Kyberturvallisuus ei ole koskaan ollut teknologiaongelma, eikä edes compliance-ongelma. Kyse on riskeistä. Keskustelu johdon kanssa olisi paljon helpompaa, jos me tietoturvaihmiset puhuisimme riskeistä emmekä teknisistä yksityiskohdista.
Riskienhallinta toimii, kunhan sen pitää yksinkertaisena
Riski tarkoittaa, että epävarmuus voi vaikuttaa liiketoiminnan tavoitteisiin. Käytännössä se on sitä, että tavoitteet jäävät saavuttamatta: liikevaihto ei yllä siihen, mitä haluttiin, tai kannattavuus jää suunnitellusta. Pienemmässä mittakaavassa sama pätee tietoturvan ja liiketoimintayksiköiden tavoitteisiin.
Kaikkeen liiketoimintaan kuuluu väistämättä riskejä, joten liiketoimintaihmiset ymmärtävät, mistä puhutaan. Riskin voi ottaa tai sitä voi pienentää, ja kumpikin on perusteltu valinta. Riskit voivat olla myös positiivisia, mutta pidän asian yksinkertaisena enkä käsittele niitä tässä.
Riskienhallintaan tarvitaan prosessi, ja se on todella yksinkertainen:
Tunnista. Mikä voisi mennä pieleen ja estää meitä saavuttamasta tavoitteitamme?
Arvioi. Kuinka suuri riski on: mikä olisi sen vaikutus ja kuinka todennäköisesti se toteutuu?
Pienennä. Mitä hallintakeinoja meillä jo on, ja mitä muuta tarvitsemme?
Seuraa. Onko riski muuttunut, ja toimivatko hallintakeinot yhä?
Maailma, liiketoiminta ja riskit muuttuvat. Hallintakeinot kehittyvät, osa niistä vanhenee ja joskus tarvitaan uusia. Tämä jatkuu ympäri vuorokauden, joten tunnistamme koko ajan uusia riskejä ja päivitämme arvioita ja hallintakeinoja.
Arvioinnilla voi tehdä eniten hyvää tai eniten vahinkoa
Näistä neljästä vaiheesta keskittyisin arviointiin, koska riskien pienentäminen ja kaikki muu perustuu siihen. Kun arvio on kohdallaan, loppu on helppoa.
Arviossa on kaksi tekijää: vaikutus ja todennäköisyys, tai seuraus ja todennäköisyys, miten sen haluaakin sanoa. Ensin arvioidaan vaikutus: mikä on pahinta, mitä voi realistisesti tapahtua?
Sen jälkeen arvioidaan, kuinka todennäköinen juuri näin suuri vaikutus on. Kysymys ei ole siitä, tapahtuuko jotain, vaan siitä, kuinka todennäköisesti juuri tämä pahin tapaus toteutuu. Tämä on vaikeaa. Vaikutus on vähän helpompi arvioida.
Nyt arvio on johdonmukainen, koska vaikutus ja todennäköisyys kuvaavat samaa skenaariota. Jos vaikutus arvioidaan pahimman ja todennäköisyys todennäköisimmän tapauksen mukaan, ne eivät sovi yhteen.
Miksi keskittyä vakavimpiin skenaarioihin? Voisi keskittyä toiseenkin ääripäähän, mutta todennäköisten tapahtumien vaikutus on yleensä pienempi, ja ne hoituvat pitkälti normaalissa työssä. Niissä riskienhallinnasta ei ole varsinaista hyötyä. Hyöty syntyy siitä, että vakavimmat skenaariot tunnistetaan ja arvioidaan ja niiden riskiä pienennetään niin paljon kuin budjetti sallii ja kuin on järkevää.
Viisiportainen asteikko riittää
Arvioin riskit asteikolla 1–5. Asteikoksi käy mikä tahansa, mutta tämä on melko tyypillinen.
Vaikutus
Todennäköisyys
1. Mitätön: ei juuri vaikuta liiketoimintaan tai tavoitteisiin.
1. Harvinainen: olisi yllätys, jos tapahtuisi.
2. Pieni: rajallinen vaikutus, joka
hoituu normaaleissa liiketoimintaprosesseissa.
2. Epätodennäköinen: voi tapahtua, mutta sitä ei odoteta.
3. Kohtalainen: selvä vaikutus liiketoimintaan, vaatii johdon huomiota ja korjaavia toimia.
3. Mahdollinen: realistinen ja uskottava skenaario.
4. Suuri: merkittävä vaikutus toimintaan, asiakkaisiin, talouteen tai strategisiin tavoitteisiin.
4. Todennäköinen: odotettavissa, ellei asiaa hallita aktiivisesti.
5. Vakava: uhkaa organisaation kykyä toimia, täyttää keskeiset velvoitteensa tai saavuttaa strategiset tavoitteensa.
5. Lähes varma: odotetaan tapahtuvan tai on
jo käynnissä.
Vaikutus on helppo arvioida, koska tasot voi kirjoittaa auki oman liiketoiminnan mukaan. Liikevaihdon ja kannattavuuden tasosta saa laskettua euromäärän esimerkiksi kohtalaiselle vaikutukselle. Sen jälkeen on helppo sanoa, että jos tämä palvelu kaatuu, vaikutus on suunnilleen tämä.
Todennäköisyys on vaikea arvioida, ja siinä joutuu arvailemaan. Arvailu kuuluu prosessiin, eikä sitä kannata pelätä. Sataprosenttista tiedettä tämä ei ole.
Riskiraportissa pahinta on tasainen viiva
Raportoinnista voi halutessaan tehdä monimutkaista, mutta en suosittele sitä. Kun menetelmät ovat yksinkertaisia, tuloksetkin ovat.
Tyypillisellä riskikartalla vaikutus on toisella akselilla ja todennäköisyys toisella. Kriittiset riskit ovat punaisia ja oikeassa yläkulmassa, joten on todella helppo nähdä, mihin pitää keskittyä.
Sitten on riskitrendi. Riskin tasolla ei oikeastaan ole väliä. Tärkeää on trendi: nouseeko riski, laskeeko se vai onko viiva tasainen eikä mitään tapahdu? Tasainen viiva on huonoin. Nousukin on sitä parempi, koska tasainen viiva tarkoittaa, ettei kukaan tee varsinaista riskienhallintatyötä eikä tunnista uusia riskejä.
Lisäksi pitää tietää, mikä riskien tila on ja missä prosessin vaiheessa ne ovat.
Riski on tietoturvan ja liiketoiminnan yhteinen kieli
Suurin syy on yhteinen kieli: riski yhdistää tietoturvan ja liiketoiminnan.
Samalla selviävät liiketoiminnan kruununjalokivet: mikä tuottaa eniten arvoa, minkä pitää toimia ympäri vuorokauden ja mikä vahingoittaisi yritystä eniten. Lopputulos on priorisoitu lista tärkeimmistä kohteista, suurimmista riskeistä ja siitä, mihin raha kannattaa laittaa.
Tulos on paljon parempi ja selvemmin priorisoitu kuin tyypillisessä compliance-työssä, jossa vain rastitaan ruutuja. Liiketoimintaihmiset pitävät erityisesti siitä, että sama lista kertoo myös, mihin riskeihin ja kohteisiin ei kannata investoida vähimmäistasoa enempää. Säästyneet rahat voi käyttää siihen, mikä on oikeasti kriittistä.
”Ei tämä voi olla näin yksinkertaista”
Nyt ajattelet varmaan, ettei tämä voi olla näin yksinkertaista. Pelkkä viisi kertaa viisi -taulukko ja laadullinen arvio, ja sillä pitäisi mennä hallituksen, toimitusjohtajan tai talousjohtajan eteen? Täytyyhän tässä olla euromääräisiä laskelmia ja parempia, monimutkaisempia ja hienomman näköisiä algoritmeja. Ehkä Monte Carlo -simulointeja, joita tekoälyllä saa nyt helposti tehtyä, tai näyttöä akateemisista tutkimuksista. Paketin pitää olla aukoton.
Mikä näistä vaikutusarvioista on mielestäsi tarkin?
- A. Vaikutus on kohtalainen (3/5): vaikutus liiketoimintaan on selvä, asia vaatii johdon huomiota ja korjaavia toimia, ja taloudelliset tappiot ovat keskisuuria (50 000–200 000 euroa).
- B. Vaikutus on 100 000 euroa.
- C. Vaikutus on 102 523,12 euroa.
C on täyttä hölynpölyä, B menettelee ja A on ehdottomasti paras.
Riskiarvioissa on niin paljon oletuksia, ettei tuloksesta kannata yrittää tehdä tarkan näköistä, kun se ei ole tarkka. A on paras, koska siitä näkee, että kyse on laadullisesta arviosta: tietynlainen vaikutus ja tietty haarukka.
Olen toimitusjohtaja ja yksinkertainen ihminen, ja niin ovat useimmat kollegani. Haluamme nähdä kunnollisia prosesseja ja hyvää dataa, mutta älkää monimutkaistako asiaa, jos suuruusluokka riittää. Tämä on neuvoni kaikille tietoturvaihmisille. Kaikille muille neuvoni on: ottakaa riski ja kokeilkaa.
Teksti perustuu puheeseeni ”It’s all about risk” Cyber Security Nordic 2026 -tapahtumassa.
Teppo Kattilakoski, Graniten perustaja ja toimitusjohtaja