Aihe 5.5 — Kyberturvallisuus ja julkisen sektorin teknologiariskit

Miksi tällä on merkitystä julkisen arvon kannalta

Kun hyökkääjä salaa sairaalan järjestelmät, kliinikot eivät näe lääkitysmerkintöjä, ambulansseja ohjataan muualle ja leikkauksia perutaan. Kun vesilaitoksen ohjausjärjestelmät vaarantuvat, vaakalaudalla oleva julkinen arvo ei ole palvelimen katkos vaan juomaveden turvallisuus. Kun etuusviraston tietokanta murtautuu, eniten alttiina ovat usein ihmiset, jotka kykenevät huonoiten absorboimaan seuraukset: viivästynyt maksu, varastettu henkilöllisyys, perhe, joka ei voi todistaa, kuka se on valtiolle, joka on sille tukea velkaa. Tietoturva, jota kutsutaan yleisesti kyberturvallisuudeksi, on käytäntö suojata tietokonejärjestelmiä, verkkoja ja dataa luvattomalta pääsyltä, häiriöltä tai vahingolta. Julkisissa instituutioissa tuo käytäntö sijaitsee suoraan polulla valtion ja sen palvelemien kansalaisten välillä.

Siksi aihe kehystää kyberriskin julkisen arvon kysymykseksi eikä vain tekniseksi. Legitimiteetti ja tuki riippuvat siitä, että kansalaiset uskovat instituutioiden, jotka pitävät heidän dataansa ja pyörittävät heidän välttämättömiä palvelujaan, olevan luotettavia pitämään molemmat turvassa (katso Aihe 1.2 — Strateginen kolmio: legitimiteetti, arvo ja kyvykkyys). Yksittäinen laajasti julkistettu tietomurto voi tehdä pysyvää vahinkoa tuolle luottamukselle samalla tavalla kuin huonosti hoidettu hätätilanne, koska kansalaiset arvioivat instituutioita yhtä paljon sen perusteella, miten ne käyttäytyvät hyökkäyksen alla, kuin sen perusteella, miten ne suoriutuvat päivittäin (katso Aihe 3.12 — Kriisien, hätätilanteiden ja kestävyyden johtaminen, joka käsittelee kyberhäiriöitä yhtenä luokkana kestävyyden laajemmassa kurinalaisuudessa). Kyberturvallisuus on myös erottamaton tiedonhallinnasta: instituutio ei voi suojata sitä, mitä se ei tiedä pitävänsä hallussaan, ja yhteentoimivuus ja avoimuus, jotka luovat julkista arvoa datasta, laajentavat myös pintaa, jota hyökkääjä voi hyödyntää (katso Aihe 5.4 — Julkisen sektorin data, yhteentoimivuus ja avoin data).

Resursointiongelma on akuutti ja ominainen julkiselle ja kolmannelle sektorille. Suurilla kansallisilla virastoilla on yhä enemmän omistettuja turvallisuustiimejä ja yritystason budjetteja; pienen kaupungin vesilaitoksella, alueellisella sairaalayhtymällä ja paikallisella voittoa tavoittelemattomalla, joka pyörittää perheväkivallan turvakotia, tyypillisesti ei ole, vaikka ne pitävät hallussaan dataa, jonka arkaluonteisuus kilpailee minkä tahansa pankin kanssa tai ylittää sen. Hyökkääjät tietävät tämän. Vajaasti resursoidut julkiset elimet eivät ole tämän aiheen reunatapaus; ne ovat lähellä sen keskustaa, koska mediaani julkinen instituutio, joka kohtaa tämän riskin tänään, ei ole kansallinen ministeriö vaan pieni paikallisviranomainen, alueellinen laitos tai hyväntekeväisyysjärjestö, jolla on kourallinen tietotekniikan työntekijöitä ja ei lainkaan turvallisuusasiantuntijaa.

Lopuksi tämä on elävä ja paheneva ongelma, ei hypoteettinen. Kiristyshaittaohjelmakampanjat kohdistuvat yhä enemmän paikallishallintoon, sairaaloihin, kouluihin ja kolmannen sektorin organisaatioihin juuri siksi, että niissä yhdistyvät arkaluonteinen data, välttämättömät palvelut, matala sietokyky seisokille ja suhteellisen heikot puolustukset — yhdistelmä, joka tekee niistä todennäköisemmin maksavia ja vähemmän todennäköisesti hyökkäyksen ehkäisseitä ensinnäkin. Kyberturvallisuuden käsittely erikoislisänä eikä hallintotason julkisen arvon sitoumuksena on tälle organisaatioluokalle lähes kutsu.

Keskeiset käsitteet

Kriittinen infrastruktuuri on järjestelmien ja omaisuuserien joukko — energia, vesi, liikenne, terveydenhuolto, rahoitus, viestintä — niin olennaisia, että niiden kyvyttömyydellä tai tuhoutumisella olisi lamaannuttava vaikutus turvallisuuteen, talouteen tai yleiseen luottamukseen. Kriittisen infrastruktuurin suojaaminen on kuri näiden järjestelmien turvaamiseksi fyysisiltä ja digitaalisilta uhkilta; se on tässä tärkeä, koska monet seurauksellisimmista julkisen sektorin kyberhäiriöistä eivät ole hyökkäyksiä abstraktia dataa vastaan vaan hyökkäyksiä käyttöteknologiaa vastaan, joka pitää fyysisen infrastruktuurin käynnissä, erotuksena tietotekniikasta, joka pitää tietueita ja käsittelee tapahtumia.

Uhkatoimija on mikä tahansa yksilö, ryhmä tai valtio, joka voi yrittää vaarantaa järjestelmän; julkisella sektorilla nämä ulottuvat taloudellisesti motivoituneista rikollisryhmistä valtiollisesti tuettuihin toimijoihin, jotka tavoittelevat vakoilua tai häiriötä, ja sama instituutio voi kohdata molemmat samanaikaisesti hyvin erilaisin tavoittein. Kiristyshaittaohjelma (ransomware) on haitallista ohjelmistoa, joka salaa organisaation datan tai järjestelmät ja vaatii maksua niiden vapauttamisesta; siitä on tullut hallitseva uhka julkisille elimille juuri siksi, että välttämättömät palvelut eivät siedä pitkittynyttä seisokkia, mikä lisää painetta maksaa. Tietojenkalastelu (phishing) on sosiaalisen manipuloinnin muoto, jossa hyökkääjät johtavat henkilöstöä harhaan paljastamaan tunnuksia tai asentamaan haittaohjelmia, tyypillisesti harhaanjohtavan sähköpostin kautta, ja se on edelleen yleisin tapa, jolla hyökkääjä saa ensimmäisen jalansijan, koska se kohdistuu ihmisiin eikä teknologiaan.

Tietomurto on tiedon luvaton käyttö, paljastuminen tai menetys, olipa kyse ulkoisesta hyökkäyksestä, sisäpiiriläisestä tai yksinkertaisesta inhimillisestä virheestä kuten väärin konfiguroidusta tietokannasta, joka on jätetty auki internetiin. Toimitusketjuhyökkäys vaarantaa organisaation epäsuorasti kohdistumalla vähemmän turvattuun toimittajaan, ohjelmistotoimittajaan tai hallinnoidun palvelun tarjoajaan, johon kohdeorganisaatio luottaa; nämä ovat erityisen vaarallisia julkiselle sektorille, koska niin monet julkiset elimet jakavat samat muutamat ohjelmistotoimittajat, mikä tarkoittaa, että yksi toimittajan vaarantuminen voi ketjuuntua satoihin instituutioihin samanaikaisesti.

Kyberhygienia on rutiinikäytäntöjen joukko — ohjelmiston nopea päivitys, vahvan tunnistautumisen pakottaminen, sen rajaaminen, kuka pääsee mihinkin, datan varmuuskopiointi ja noiden varmuuskopioiden palautuksen testaaminen — jotka estävät suurimman osan onnistuneista hyökkäyksistä ilman eksoottisia työkaluja. Useimmat tietomurrot hyödyntävät tunnettuja, päivittämättömiä haavoittuvuuksia tai heikkoja tunnuksia eikä uusia tekniikoita, joten aukko organisaation todellisen kyberhygienian ja ilmoitetun politiikan välillä on yleensä parempi sen riskin ennustaja kuin sen riskirekisterissä nimeämien uhkien kehittyneisyys.

Zero trust -arkkitehtuuri (nollaluottamus) on tietoturvasuunnitteluperiaate, jonka mukaan mihinkään käyttäjään tai laitteeseen ei pitäisi luottaa oletuksena, edes organisaation omassa verkossa, ja jokainen pääsypyyntö on varmennettava riippumatta siitä, mistä se on peräisin. Siitä on tullut vaikutusvaltainen julkisen sektorin ohjeistuksessa, koska se sopii siihen, miten nykyaikainen hallinnon työ todella tapahtuu — henkilöstö, urakoitsijat ja kansalaiset käyttävät palveluja monilta laitteilta ja sijainneista — paremmin kuin vanhempi malli, joka luotti kaikkeen, mikä oli jo kehän sisällä.

Tietoturvapoikkeamien hallinta, jota kutsutaan yleisesti poikkeamiin vastaamiseksi, on järjestäytynyt prosessi tietoturvapoikkeaman havaitsemiseksi, rajaamiseksi, poistamiseksi ja siitä toipumiseksi, jota seuraa arvio siitä, mikä salli sen tapahtua. Ilmoitusvelvoite on laillinen tai sääntelyyn perustuva velvollisuus ilmoittaa vaikutuksen kohteena oleville yksilöille, sääntelijöille tai yleisölle, kun henkilötiedot tai kriittiset palvelut on vaarannettu, määrätyn ajan kuluessa ja määrätyn standardin mukaisesti, sillä logiikalla, että kansalaisilla ja valvontaelimillä on oikeus tietää, kun heidän datansa tai heidän välttämättömät palvelunsa on saatettu vaaraan, ja että oikea-aikainen ilmoitus antaa ihmisten suojata itseään.

Parhaat käytännöt

Käsittele kyberturvallisuutta hallintoelimen vastuuna, ei delegoituna teknisenä toimintona. Hallitusten, valtuustojen ja johtoryhmien tulisi saada säännöllisiä, selkokielisiä tiedotuksia kyberriskistä ja hyväksyä sen budjetti suoraan sen sijaan että se jätetään neuvoteltavaksi laajemman tietotekniikan budjettirivin sisällä, jossa se on helpoin leikattava.
Inventoi, mitä pidät hallussa ja mikä siitä riippuu, ennen kuin päätät, miten suojaat sitä. Organisaatio ei voi turvata dataa tai järjestelmiä, joita se ei ole kartoittanut; ajantasainen omaisuus- ja datainventaario, ristiviitattuna muualla käsiteltyyn yhteentoimivuus- ja tiedonhallintatyöhön (katso Aihe 5.4 — Julkisen sektorin data, yhteentoimivuus ja avoin data), on edellytys jokaiselle muulle tämän luettelon käytännölle.
Sovella perusasiat kaikkialle ennen kuin käytät rahaa mihinkään edistyneeseen. Päivityshallinta, monivaiheinen tunnistautuminen, testatut varmuuskopiot ja vähimmäisoikeuksien pääsynhallinta pysäyttävät ylivoimaisen enemmistön todellisista hyökkäyksistä; julkisen elimen, jolta nämä puuttuvat, ei pitäisi priorisoida uhkatiedustelun tilauksia tai räätälöityjä seurantatyökaluja.
Ota käyttöön tunnustettu kehys räätälöidyn keksimisen sijaan. Kehykset kuten National Institute of Standards and Technologyn Cybersecurity Framework antavat jaetun sanaston ja rakenteen — tunnista, suojaa, havaitse, reagoi, palaudu — jonka pieni organisaatio voi ottaa käyttöön yksinkertaistetussa muodossa ja suuri täydessä, keksimättä perustaksonomiaa uudelleen.
Yhdistä resursseja pienten organisaatioiden kesken sen sijaan että kukin ostaa yksin. Jaettu tietoturvaoperaatiopalvelu, alueellinen kyberpoikkeamiin vastaamisen resurssipooli tai sektorin laajuinen hankintakehys voi antaa joukolle pieniä paikallisviranomaisia tai voittoa tavoittelemattomia suojan, johon yksikään niistä ei yksin olisi varaa — suorin vastaus alirahoituksen ongelmaan, jonka ympärille tämä aihe keskittyy.
Kirjoita poikkeamiin vastaamisen suunnitelma ennen poikkeamaa ja harjoittele sitä. Ensimmäistä kertaa elävän hyökkäyksen aikana laadittu suunnitelma on huonosti laadittu suunnitelma, paniikissa, ihmisten toimesta, jotka eivät ole koskaan testanneet, toimiiko se todella; vähintään vuosittain harjoiteltu suunnitelma muuttaa kaoottisen ensimmäisen tunnin harjoitelluksi tunnettujen askelten jaksoksi (katso Aihe 3.12 — Kriisien, hätätilanteiden ja kestävyyden johtaminen laajemmasta kurinalaisuudesta, johon tämä nojaa).
Päätä ilmoitus- ja maksupolitiikka etukäteen, ei poikkeaman aikana. Se, harkitseeko organisaatio kiristysrahan maksamista, kenellä on valta tehdä tuo päätös ja miten ja milloin vaikutuksen kohteena oleville ihmisille kerrotaan, tulisi olla hallituksen hyväksymää politiikkaa, ei elävän kiristysvaatimuksen paineessa improvisoitu päätös.
Segmentoi verkot niin, että yksi vaarantuminen ei voi muuttua jokaiseksi vaarantumiseksi. Fyysistä infrastruktuuria ohjaavan käyttöteknologian pitäminen erillään yleisestä toimiston tietotekniikasta ja korkean arkaluonteisuuden järjestelmien erottaminen matalamman arkaluonteisuuden järjestelmistä rajoittaa sitä, kuinka pitkälle tunkeutuja, joka pääsee sisään yhden heikon pisteen kautta, voi kulkea.
Hallitse kolmansien osapuolten ja toimitusketjun riskiä yhtä tiukasti kuin sisäistä riskiä. Vaadi turvallisuustakeet, tarkastusoikeuslausekkeet ja poikkeamailmoitusvelvoitteet sopimuksissa ohjelmistotoimittajien ja hallinnoitujen palvelujen tarjoajien kanssa, koska kasvava osuus julkisen sektorin suurista poikkeamista on lähtöisin luotetulta toimittajalta eikä suorasta hyökkäyksestä.
Investoi ihmisiin, ei vain työkaluihin. Säännöllinen, realistinen koulutus — mukaan lukien simuloidut tietojenkalasteluharjoitukset — vähentää mitattavasti onnistuneita sosiaalisen manipuloinnin hyökkäyksiä, ja yhden tai kahden taitavan tietoturvatyöntekijän pitäminen pienessä organisaatiossa on yleensä arvokkaampaa kuin vastaava summa lisäohjelmistolisensseihin.
Raportoi poikkeamista rehellisesti ja käytä läheltä piti -tilanteita ilmaisina oppeina. Kulttuuri, joka rankaisee henkilöstöä epäillyn tietomurron ilmoittamisesta, takaa, että seuraava ilmoitetaan myöhään tai ei lainkaan; organisaatiot, jotka paranevat nopeimmin, ovat ne, jotka käsittelevät jokaista läheltä piti -tilannetta näyttönä, josta oppia, eikä syynä osoittaa syyllistä.
Rakenna kyberkestävyys hankintaan ja avustusehtoihin, ei vain sisäiseen politiikkaan. Rahoittajat ja tilaajaelimet voivat vaatia perustason turvallisuuskäytäntöä organisaatioilta, joita ne rahoittavat tai joiden kanssa ne sopivat, ulottaen hyvän käytännön pienempiin toimituskumppaneihin, joilla ei muuten olisi ulkoista painetta investoida siihen (katso Aihe 3.7 — Julkiset hankinnat ja tilaaminen).

Kysymyksiä keskusteltavaksi tiimissäsi

Tiedämmekö, mitä dataa ja järjestelmiä todella pidämme hallussa, ja mitkä niistä tekisivät jollekulle pahaa, jos ne vaarantuisivat? Monet organisaatiot havaitsevat datavarastonsa todellisen laajuuden vasta tietomurron tutkinnan aikana, mikä on huonoin mahdollinen aika oppia se. Käy läpi tärkeimmät palvelunne ja kysy kunkin kohdalla, mitä henkilö- tai toiminnallisesti arkaluonteista dataa se koskettaa ja mitä todelliselle ihmiselle tapahtuisi, jos tuo data varastettaisiin, muutettaisiin tai tehtäisiin saavuttamattomaksi. Jos rehellinen vastaus on ”emme ole varmoja”, tuo epävarmuus on itsessään löydös, ja sen sulkeminen on asialistanne ensimmäinen kohta. Tämä kysymys on tärkein organisaatioille, jotka ovat kasvaneet yritysostojen, sulautumisten tai kertyneiden perintöjärjestelmien kautta, joissa institutionaalinen muisti siitä, mitä on olemassa, on ohentunut.

Jos kiristyshaittaohjelma iskisi meihin huomenna, voisimmeko palauttaa varmuuskopiosta maksamatta? Varmuuskopion arvo ei ole siinä, että se on olemassa, vaan siinä, että se on testattu todella palautumaan, tarpeeksi nopeasti, tarpeeksi tuoreesta versiosta, jotta sillä on merkitystä. Kysy, milloin varmuuskopiot testattiin viimeksi todellisella palautusharjoituksella eikä vain valmistumislokilla, ja kuinka kauan täysi palautus kestäisi verrattuna siihen, kuinka kauan organisaationne voi sietää katkoksen. Jos nuo luvut eivät täsmää, teillä on resursointipäätös tehtävänä nyt, ei poikkeaman aikana. Tämä on myös hetki keskustella siitä, ovatko varmuuskopiot itse eristettyinä verkosta, jonka hyökkääjä, joka tavoittaa pääjärjestelmänne, voisi myös tavoittaa.

Kenellä on valta päättää, maksammeko kiristysrahan, ja olemmeko koskaan keskustelleet siitä ennen kuin meiltä kysyttiin? Tämä on yksi korkeimman panoksen päätöksistä, jonka johtoryhmä voi kohdata, usein vaadittuna tunneissa ja puutteellisella tiedolla siitä, mitä hyökkääjällä todella on. Prosessista, valtuuttavista henkilöistä ja periaatteista päättäminen etukäteen — vaikka lopullinen ratkaisu yhä riippuisi poikkeaman yksityiskohdista — estää kiristyspaineessa improvisoidun päätöksen. Keskustelkaa siitä, mitä lainkäyttöalueenne laki ja rahoittajienne ehdot sanovat kiristysrahan maksamisesta ja keitä teidän täytyisi ilmoittaa.

Ovatko pienimmät kumppanimme ja toimittajamme suurempi riski meille kuin me itsellemme? Hyvin turvattu keskusorganisaatio voidaan silti vaarantaa huonosti turvatun toimittajan, urakoitsijan tai toimituskumppanin kautta, jolla on laillinen pääsy sen järjestelmiin tai dataan. Kartoita kolmannet osapuolet, jotka voivat tavoittaa järjestelmänne tai pitää dataanne hallussaan, ja ole rehellinen siitä, kuinka paljon varmuutta teillä todella on heidän turvallisuuskäytännöistään verrattuna siihen, kuinka paljon oletatte teillä olevan. Päätä, minkä vähimmäisstandardin vaaditte heiltä jatkossa ja miten varmennatte sen sen sijaan että yksinkertaisesti pyydätte kirjallisen vakuutuksen.

Tietäisimmekö, että meihin on murtauduttu, ja kuinka nopeasti? Jotkin vahingollisimmista poikkeamista eivät ole niitä, jotka tapahtuvat nopeasti, vaan niitä, jotka jäävät havaitsematta kuukausiksi, joiden aikana hyökkääjä on hiljaa tutkinut, laajentanut oikeuksiaan ja vienyt dataa. Keskustelkaa siitä, miten todella havaitsisitte epätavallisen toiminnan tänään, kuka sitä seuraa ja toimiiko tuo seuranta virka-ajan ulkopuolella, koska monet hyökkäykset käynnistetään tarkoituksella yöllä tai pyhäviikonloppuna, kun vaste on hitainta. Jos havaitseminen riippuu kokonaan siitä, että kansalainen tai kumppaniorganisaatio kertoo teille, että jokin on pielessä, se on kriittinen aukko.

Ymmärtääkö hallituksemme tai hallintoelimemme tämän riskin tarpeeksi hyvin hallitakseen sitä, vai olemmeko hiljaa ulkoistaneet tuon harkinnan tietotekniikkatiimille? Kyberriskipäätökset sisältävät todellisia kompromisseja kustannuksen, palvelun jatkuvuuden ja kansalaisten suojan välillä, jotka ovat asianmukaisesti hallintoelimen asia, eivät delegoitu tekninen asia, joka hyväksytään nyökkäämällä. Keskustelkaa siitä, miten kyberriskistä tällä hetkellä raportoidaan hallitukselle tai valtuustolle, onko se kielellä, jonka ei-asiantuntija voi todella toimia, ja päätetäänkö sen budjetista samalla tarkkuudella kuin minkä tahansa muun suuren riskin. Jos hallintoelimenne ei voisi tällä hetkellä selittää organisaationne kolmea suurinta kyberriskiä omin sanoin, se on aukko, joka suljetaan ensin.

Käytännössä: esimerkki julkisesta arvosta

Keskikokoinen alueellinen liikennevirasto — kuvitteellinen, mallin havainnollistus eikä raportti mistään todellisesta organisaatiosta — ajoi ikääntyviä aikataulu- ja maksujärjestelmiä, joita oli paikattu palanen kerrallaan vuosikymmenen ajan nykyaikaistamisen sijaan. Sen tietotekniikkatiimi oli kolme henkilöä, vastuussa kaikesta tukipalvelupyynnöistä verkon turvallisuuteen, eikä kyberturvallisuudella ollut koskaan ollut omaa riviä budjetissa; se asui yleisessä ”järjestelmien ylläpito” -määrärahassa, joka ei ollut kasvanut reaalisesti vuosiin.

Hyökkääjä pääsi sisään tietojenkalastelusähköpostilla, joka lähetettiin talousvirkailijalle, käyttäen väärennettyä laskua toimittajalta, jota viranomainen todella käytti. Sisällä ollessaan hyökkääjä vietti kuusi viikkoa liikkuen hiljaa verkossa ennen kuin otti käyttöön kiristyshaittaohjelman, joka salasi aikataulujärjestelmän, lippujen maksualustan ja viranomaisen varmuuskopiot, joita ei ollut koskaan eristetty pääverkosta. Bussit kulkivat ensimmäisen päivän kuljettajien muistin varassa reiteistään, mutta lippumaksuja ei voitu kerätä sähköisesti, reaaliaikaiset tietonäytöt pimenivät ja viranomaisen talousjärjestelmät olivat käyttökelvottomia palkanlaskentaan.

Johtoryhmä kohtasi kiristysrahapäätöksen ilman ennalta sovittua politiikkaa: kukaan ei ollut päättänyt etukäteen, kenellä oli valta hyväksyä maksu, mikä oli oikeudellinen asema tai mitä matkustajille kerrottaisiin. Palautus varmuuskopiosta ei ollut vaihtoehto, koska varmuuskopiot oli salattu muun kanssa. Yhdeksän päivän häiriön, osittaisen palvelun palauttamisen ja maksun jälkeen, jonka viranomaisen hallitus myöhemmin kuvasi silloin saatavilla olleeksi vähiten huonoksi vaihtoehdoksi, viranomainen tilasi riippumattoman katsauksen.

Katsauksen löydökset olivat vaatimattomia ja täysin yhdenmukaisia tämän aiheen kuvaaman kuvion kanssa: ei monivaiheista tunnistautumista talousjärjestelmissä, ei verkon segmentointia toimistojärjestelmien ja maksuinfrastruktuurin välillä, ei testattua varmuuskopion palautusta yli kahteen vuoteen eikä lainkaan hallitustason näkyvyyttä kyberriskiin ennen välikohtausta. Viranomaisen vastaus oli yhtä vaatimaton — vaiheittainen suunnitelma perusasioiden korjaamiseksi, jaettu tietoturvaseurantajärjestely kahden naapuriliikenneviranomaisen kanssa jakamaan erikoistuneen kattavuuden kustannus, johon yksikään niistä ei olisi yksin varaa, ja pysyvä hallituksen asialistan kohta kyberriskistä. Mikään siitä ei ollut kallista suuren tietotekniikkaohjelman mittapuulla; kaikki oli jätetty väliin vuosia, koska sen vaatiminen ei ollut koskaan ollut kenenkään selvästi osoitettu tehtävä.

Neljä sektorinäkökulmaa

Paikallishallinto

Paikallisviranomaiset istuvat epämukavassa risteyksessä: ne pitävät hallussaan erittäin arkaluonteista dataa — sosiaalihuollon tietueet, asumis- ja etuustiedot, vaaliluettelot — ja pyörittävät palveluja, joita kansalaiset eivät helposti voi olla ilman, mutta niillä on tyypillisesti pienimmät turvallisuusbudjetit ja vähiten erikoistunutta henkilöstöä mistään hallinnon tasosta. Suuri kansallinen ministeriö voi rakentaa oman tietoturvaoperaatiokeskuksen; pieni piirineuvosto yleensä ei voi, mikä tekee jaetuista palveluista, alueellisesta yhdistämisestä ja kansallisista tukiohjelmista käytännön reitin riittävään suojaan eikä valinnaista lisäosaa. Paikalliset vaaleilla valitut virkamiehet ovat myös usein huonoimmin varustettuja mistä tahansa hallinnon tasosta kyseenalaistamaan tekninen riskitiedotus, mikä tekee selkokielisestä raportoinnista vaaleilla valituille jäsenille erillisen hallinnon haasteen tällä tasolla.

Valtionhallinto

Kansallisilla hallinnoilla on yleensä resurssit rakentaa omistettuja kyberturvallisuusvirastoja ja kansallisia kehyksiä — elimiä kuten Yhdistyneen kuningaskunnan National Cyber Security Centre tai Yhdysvaltain Cybersecurity and Infrastructure Security Agency on olemassa asettamaan standardeja, koordinoimaan vastetta ja tukemaan vähemmän resursoituja julkisia elimiä lainkäyttöalueellaan. Kansallisen tason erityinen haaste liittyy vähemmän perushygieniaan ja enemmän valtiollisesti tuettuihin ja erittäin kyvykkäisiin uhkatoimijoihin, kriittisen kansallisen infrastruktuurin keskinäisriippuvuuteen sektorien ja yksityisten operaattorien yli sekä attribuution ja vasteen diplomaattisiin ja oikeudellisiin ulottuvuuksiin, jotka esiintyvät harvoin paikallisella tai organisaatiotasolla.

Kolmas sektori ja voittoa tavoittelematon toiminta

Voittoa tavoittelemattomilla organisaatioilla ja kansalaisjärjestöillä on usein jotkin minkä tahansa sektorin arkaluonteisimmista tiedoista — terveystietueet, väkivallasta tai vainosta selvinneiden tietueet, pakolais- ja turvapaikka-asioiden tapaustyö — samalla kun ne toimivat ohuimmilla turvallisuusbudjeteilla mistä tahansa tämän kirjan organisaatiotyypistä, koska rahoittajat harvoin kohdentavat rahaa turvallisuuteen ja avustusehdot harvoin vaativat sitä. Monet kolmannen sektorin organisaatiot nojaavat myös vapaaehtoisiin ja korkeaan henkilöstön vaihtuvuuteen, mikä tekee johdonmukaisesta turvallisuuskoulutuksesta ja pääsynhallinnasta vaikeampaa ylläpitää kuin vakaassa, ammattimaisesti miehitetyssä organisaatiossa; tietoturvapoikkeama voi olla pienelle hyväntekeväisyysjärjestölle eksistentiaalinen tavalla, jollainen se harvoin on valtion osastolle, koska mainevahinko ja lahjoittajien luottamuksen menetys voivat lopettaa organisaation kokonaan (katso Aihe 3.8 — Kolmannen sektorin ja voittoa tavoittelemattoman toiminnan johtaminen).

Monenkeskinen ja kansainvälinen

Monenkeskiset ja kansainväliset elimet toimivat lainkäyttöalueiden yli, joilla on erilaiset ilmoituslait, erilaiset kriittisen infrastruktuurin määritelmät ja erilaiset kansalliset kyberkyvykkyyden tasot, mikä tekee koordinaatiosta itsestään erillisen ongelman: kansainvälisen elimen omat järjestelmät voivat olla hyvin suojattuja, kun taas sen kansalliset jäsenvirastot vaihtelevat valtavasti, ja elin kuten Taloudellisen yhteistyön ja kehityksen järjestö tai Euroopan unionin kyberturvallisuusvirasto toimii yhtä paljon standardeja asettavassa ja kapasiteettia rakentavassa kuin operatiivisessa roolissa. Monenkeskinen näkökulma on myös paikka, jossa rajat ylittävä poikkeamiin vastaaminen ja tiedonjakojärjestelyt ovat tärkeimpiä, koska hyökkäys, joka alkaa yhden maan infrastruktuurissa, voi ketjuuntua toisen infrastruktuuriin tunneissa, nopeammin kuin useimmat kansainväliset koordinaatiomekanismit on rakennettu liikkumaan.

Yleisiä epäonnistumistapoja

Turvallisuusteatteri ilman toiminnallista sisältöä. Organisaatio ottaa käyttöön vaikuttavan näköisen politiikka-asiakirjan, vaatimustenmukaisuustodistuksen tai yhden kalliin työkalun ja käsittelee ruutua rastitettuna, samalla kun perushygienia — päivitys, monivaiheinen tunnistautuminen, testatut varmuuskopiot — pysyy epäjohdonmukaisena. Tämä maksaa todellista rahaa turvallisuuden ulkonäöstä turvallisuuden itsensä sijaan, ja se havaitaan usein teatteriksi vasta, kun poikkeama paljastaa aukon politiikan ja käytännön välillä.

Omistamaton riski. Kyberturvallisuuden oletetaan olevan jonkun muun työ — tietotekniikkatiimin, toimittajan, sääntelijän — eikä yhtään yksittäistä vastuullista omistajaa ole olemassa hallintoelimen tasolla. Tämä tuottaa riskin, josta keskustellaan kaikkialla ja josta päätetään missään, ja se on täsmälleen se kuvio, joka jättää organisaatiot kykenemättömiksi vastaamaan perustavanlaatuisiin kysymyksiin omasta altistuksestaan, kun niiltä kysytään.

Alisijoitus oikeutettuna aiemman poikkeaman puuttumisella. Koska hyvin pyöritetty turvallisuusohjelma ei tuota näkyvää tapahtumaa onnistuessaan, se on helppo jättää rahoittamatta tiukalla budjettikierroksella jonkin näkyvän tuotoksen hyväksi, ja tähän asti tapahtuneen tietomurron puuttuminen erehdytään pitämään todisteena riittävästä suojasta eikä todisteena siitä, ettei sitä ole vielä testattu. Tämä toistaa saman budjettilogiikan, joka rapauttaa kestävyysinvestointeja laajemmin (katso Aihe 3.12 — Kriisien, hätätilanteiden ja kestävyyden johtaminen).

Perintöjärjestelmät pidetty käynnissä tuettavan elinkaarensa yli. Julkiset elimet ajavat usein ohjelmistoa tai laitteistoa kauan sen jälkeen, kun toimittaja on lakannut julkaisemasta sille tietoturvapäivityksiä, koska korvaaminen on kallista, häiritsevää tai poliittisesti epäsuosittua, ja järjestelmä ”yhä toimii”. Päivittämätön, tukematon järjestelmä ei ole perintöhankaluus; se on avoin ovi, jonka läpi hyökkääjän on ilmaista kävellä.

Syyllistämiseen perustuva poikkeamakulttuuri. Kun henkilöstöä, joka ilmoittaa epäillystä tietomurrosta tai virheestä, kurinpidetään tukemisen sijaan, tulevat poikkeamat ilmoitetaan myöhään, vähätellään tai ei lainkaan, ja organisaatio menettää varhaisvaroitussignaalin, jonka oikea-aikainen ilmoittaminen tarjoaa. Tämä epäonnistumistapa pahentaa jokaista muuta tässä luettelossa, koska mikään yllä olevista korjauksista ei toimi, jos organisaatio ei voi nähdä omia ongelmiaan rehellisesti.

Kypsyysmalli

Osa-alue	Aloittava	Kehittyvä	Vakiintunut	Hallittu	Koordinoitu
Hallinto ja vastuullisuus	Kyberriskistä ei keskustella hallintoelimen tasolla; omistajuus on epäselvä	Nimetty omistaja on olemassa mutta raportoi epävirallisesti ja epäsäännöllisesti	Kyberriski on pysyvä hallituksen asialistan kohta määritellyllä omistajalla ja raportointimuodolla	Riskiä mitataan tavoitteita vasten, resursointipäätökset sidottuna raportointiin	Organisaatio jakaa hallintokäytäntöä ja riskitietoa vertaiselinten ja sektoriverkostojen kanssa
Perushygienia (päivitys, pääsynhallinta, varmuuskopiot)	Ad hoc; riippuu yksittäisten työntekijöiden muistamisesta toimia	Dokumentoitu käytäntö on olemassa mutta sitä sovelletaan epäjohdonmukaisesti tiimien yli	Yhteinen standardi on määrätty ja sitä sovelletaan organisaation laajuisesti	Hygienian noudattamista mitataan, siitä raportoidaan ja aukot käynnistävät korjaavia toimia	Hygieniastandardeja koordinoidaan toimittajien ja kumppaneiden kanssa yhteyden ehtona
Poikkeamiin vastaamisen kyvykkyys	Kirjallista suunnitelmaa ei ole; vaste improvisoitaisiin	Suunnitelma on olemassa mutta sitä ei ole koskaan harjoiteltu	Suunnitelma on dokumentoitu, osoitettu ja sitä harjoitellaan vähintään vuosittain	Vasteen suorituskykyä mitataan määriteltyjä tavoitteita vasten ja se tarkistetaan jokaisen poikkeaman jälkeen	Organisaatio osallistuu jaettuihin poikkeamiin vastaamisen järjestelyihin sektorinsa tai alueensa yli
Kolmansien osapuolten ja toimitusketjun riski	Toimittajan turvallisuutta ei arvioida	Joissakin sopimuksissa mainitaan turvallisuus mutta takeita ei varmenneta	Turvallisuusvaatimukset ovat vakiosopimusehtoja varmennusprosessilla	Toimittajariskiä seurataan aktiivisesti ja tarkistetaan aikataulun mukaan	Turvallisuusvaatimuksia koordinoidaan jaetun toimittajakannan yli vertaisorganisaatioiden kanssa
Ilmoittaminen ja avoimuus	Ei määriteltyä prosessia vaikutuksen kohteena olevien ihmisten tai sääntelijöiden ilmoittamiseksi	Epävirallinen prosessi on olemassa mutta ajoitus ja omistajuus ovat epäselviä	Dokumentoitu ilmoitusprosessi täyttää lailliset vähimmäisvaatimukset johdonmukaisesti	Ilmoittamisen suorituskykyä seurataan ja prosessia parannetaan jokaisen käytön jälkeen	Organisaatio antaa anonymisoitua poikkeamaoppia takaisin sektorilleen auttaakseen vertaisia parantumaan

Tarkistuslista

Nimetty henkilö tai valiokunta hallintoelimen tasolla omistaa kyberriskin ja raportoi siitä säännöllisesti selkokielellä.
Ajantasainen inventaario on olemassa siitä, mitä dataa ja järjestelmiä organisaatio pitää hallussaan ja mitkä ovat arkaluonteisimpia tai kriittisimpiä palvelulle.
Monivaiheinen tunnistautuminen on pakotettu kaikkiin järjestelmiin, jotka sisältävät arkaluonteista dataa tai ohjaavat kriittisiä palveluja.
Varmuuskopiot otetaan säännöllisesti, säilytetään pääverkosta eristettyinä ja palautus on testattu viimeisten kahdentoista kuukauden aikana.
Ohjelmistot ja järjestelmät päivitetään määritellyllä aikataululla, ja jokaisella järjestelmällä, jota ei enää voi päivittää, on dokumentoitu suunnitelma sen korvaamiseksi tai eristämiseksi.
Kirjallinen poikkeamiin vastaamisen suunnitelma on olemassa, nimeää kenellä on valta tehdä avainpäätökset ja sitä on harjoiteltu realistisella harjoituksella viimeisen vuoden aikana.
Hallituksen hyväksymä politiikka on olemassa kiristysrahan maksamisesta ja siitä, miten ja milloin vaikutuksen kohteena oleville ihmisille, sääntelijöille ja yleisölle ilmoitetaan.
Sopimukset ohjelmistotoimittajien ja hallinnoitujen palvelujen tarjoajien kanssa sisältävät turvallisuustakeet ja poikkeamailmoitusvelvoitteet.
Henkilöstö saa säännöllistä, realistista turvallisuuskoulutusta, mukaan lukien simuloidut tietojenkalasteluharjoitukset.
Epäillystä poikkeamasta tai läheltä piti -tilanteesta ilmoittamista käsitellään arvokkaana tietona, ei syynä syyllistämiseen.
Jaettuja tai yhdistettyjä turvallisuusjärjestelyjä on tutkittu samankokoisten ja -budjettisten vertaisorganisaatioiden kanssa.
Kyberriski näkyy eksplisiittisesti organisaation laajemmassa kriisi- ja kestävyyssuunnittelussa, ei erillisenä, irrallisena suunnitelmana.

Keskeiset lähteet

Tämä aihe nojaa National Institute of Standards and Technologyn Cybersecurity Frameworkiin kyberturvallisuuskäytännön jäsentämisen johtavana rakenteellisena kehyksenä; Euroopan unionin kyberturvallisuusviraston julkaistuun tehtävään ja ohjeistukseen yhteisen kyberturvallisuuden tason saavuttamisesta Euroopan unionissa; Taloudellisen yhteistyön ja kehityksen järjestön digitaalisen turvallisuuden politiikkatyöhön, joka kehystää digitaalisen turvallisuuden taloudelliseksi ja sosiaaliseksi riskienhallinnan kysymykseksi eikä puhtaasti tekniseksi; sekä kansallisten kyberturvallisuusvirastojen kuten Yhdistyneen kuningaskunnan National Cyber Security Centren ja Yhdysvaltain Cybersecurity and Infrastructure Security Agencyn julkaisemaan operatiiviseen ohjeistukseen, jotka molemmat tarjoavat ilmaista ohjeistusta nimenomaan vajaasti resursoiduille julkisille elimille.

Viitteet

Computer security — Wikipedia — https://en.wikipedia.org/wiki/Computer_security
Critical infrastructure — Wikipedia — https://en.wikipedia.org/wiki/Critical_infrastructure
Ransomware — Wikipedia — https://en.wikipedia.org/wiki/Ransomware
Phishing — Wikipedia — https://en.wikipedia.org/wiki/Phishing
Data breach — Wikipedia — https://en.wikipedia.org/wiki/Data_breach
Supply chain attack — Wikipedia — https://en.wikipedia.org/wiki/Supply_chain_attack
Zero trust architecture — Wikipedia — https://en.wikipedia.org/wiki/Zero_trust_architecture
Computer security incident management — Wikipedia — https://en.wikipedia.org/wiki/Computer_security_incident_management
National Cyber Security Center (United Kingdom) — Wikipedia — https://en.wikipedia.org/wiki/National_Cyber_Security_Centre_(United_Kingdom)
Cybersecurity and Infrastructure Security Agency — Wikipedia — https://en.wikipedia.org/wiki/Cybersecurity_and_Infrastructure_Security_Agency
Cybersecurity Framework — National Institute of Standards and Technology — https://www.nist.gov/cyberframework
Who we are — European Union Agency for Cybersecurity (ENISA) — https://www.enisa.europa.eu/about-enisa/who-we-are
Digital security — Organisation for Economic Co-operation and Development (OECD) — https://www.oecd.org/en/topics/digital-security.html
What we do at the NCSC — National Cyber Security Center (United Kingdom) — https://www.ncsc.gov.uk/section/about-ncsc/what-we-do
About CISA — Cybersecurity and Infrastructure Security Agency (United States) — https://www.cisa.gov/about