Ison-Britannian kyberparadoksi: Parempi varautuminen, mutta entistä voimakkaammin kohdistettu

Ison-Britannian kyberturvallisuusympäristö on nyt risteyspisteessä: brittiläiset organisaatiot ovat rakenteellisesti valmistautuneempia kuin koskaan – vahvoilla varmuuskopiointistrategioilla ja muodollisilla resilienssikehysrakenteilla. Silti lähes kahdeksan kymmenestä organisaatiosta on raportoinut kyberhyökkäyksen kokemisen viimeisen 12 kuukauden aikana. Valmius ja alttius eivät, kuten käy ilmi, ole toisiaan poissulkevia.

ManageEnginen tutkimuksen tulokset latest study osoittaa, että Yhdistynyt kuningaskunta edistyy aidosti jatkuvasta uhkaympäristöstä huolimatta. Tämän ristiriidan juurisyyn löytäminen on ensimmäinen askel sen ratkaisemiseksi.

Tavalliset epäillyt ja heidän toimintatapansa

Tietomurrot (39 %), tietojenkalastelu (48 %) ja kiristyshaittaohjelmat (46 %) ovat yleisimmät brittiorganisaatioiden kokemat tapaukset, ja jo se, että nämä ovat edelleen suurimmat syylliset, kertoo paljon. Kyse ei ole uusista tai hiljattain kehittyneistä hyökkäystyypeistä, vaan vuosikymmeniä tunnetuista ja perusteellisesti tutkituista uhista. Kyberturvallisuuden suuresta kehityksestä huolimatta ne aiheuttavat edelleen vahinkoa hälyttävän usein.

Myös niiden aiheuttamien vahinkojen laajuus erottuu. Tapaukset eivät yleensä pysy rajattuina, vaan niillä on todellista painoarvoa ja ne leviävät suuremmiksi ja vaarallisemmiksi seurauksiksi, jotka voivat ajoittain vaikuttaa koko organisaatioon.

Vaikka syyt ovat turhauttavan tuttuja, ne tarjoavat synkän muistutuksen. Haavoittuvuuksien hyödyntäminen, inhimilliset virheet ja kolmansien osapuolten heikkoudet nousevat jatkuvasti vakavimpien tapausten tärkeimmiksi taustatekijöiksi. Myös hyökkääjien käyttämät reitit ovat pitkälti samoja kuin aina ennenkin, syvällä kyberturvallisuuden perusteissa. Epämiellyttävä vastaus viittaa vähemmän hyökkääjien kehittyneisyyteen ja enemmän siihen, kuinka epäjohdonmukaisesti organisaatiot soveltavat jo tietämäänsä.

Arviot tehdään. Mutta uudelleenarviointi harvoin tapahtuu.

On kuitenkin annettava tunnustusta siitä, etteivät brittiorganisaatiot täysin sivuuta todellisuutta. Valtaosa tutkimuksen vastaajista (96 %) teki hyökkäyksen jälkeen virallisen jälkiarvioinnin. Luku on vaikuttava ja kertoo asianmukaisesta kurinalaisuudesta.

Juuri tässä ristiriita käy todella ilmeiseksi. Lähes täydellisestä jälkiarviointien määrästä huolimatta alle neljä organisaatiota kymmenestä otti käyttöön laajempia, pitkäaikaisia parannuksia yleiseen häiriönsietostrategiaansa. Useimmat tekivät vain kohdennettuja korjauksia tai paikkasivat havaitut aukot ja jatkoivat eteenpäin.

Tämä osoittaa perustavan eron pelkän reagoinnin ja todellisen oppimisen välillä. Haavoittuvuuden paikkaaminen on välttämätöntä liiketoiminnan jatkuvuuden turvaamiseksi, mutta siihen ei pitäisi pysähtyä. Todellinen häiriönsietokyky näkyy sellaisen tietoturvakehyksen rakentamisessa, joka vaikeuttaa tulevaa hyväksikäyttöä. Useimmat brittiorganisaatiot ovat osoittautuneet hyviksi ensimmäisessä mutta jäävät toistuvasti vajaiksi jälkimmäisessä.

Kun ylimmän johdon ainoa reaktio on sammuttaa tulipaloja

Osa selityksestä löytyy ylimmästä johdosta. Vaikka 94 % britt yrityksistä on määritellyt selkeästi vastuut kyberturvallisuustapauksissa ja 97 %:lla on varmuuskopiointistrategia, johdon todellinen osallistuminen kertoo hieman toisenlaisen tarinan. Vain kolmannes kaikista vastaajista kuvasi hallituksen ja ylimmän johdon osallistumista ”korkeaksi ja jatkuvaksi”. Huomattava osa totesi, että johto kyllä osallistuu, mutta vasta suuren kriisin jo puhjettua.

Tällä reaktiivisella toimintatavalla on vakavia seurauksia. Organisaatiot, joiden johto kiinnittää asiaan huomiota vasta jonkin mentyä vikaan, eivät kykene rakentamaan nykyisen jatkuvasti muuttuvan uhkaympäristön vaatimaa tulevaisuuteen suuntautuvaa häiriönsietokykyä. Kriisijohtaminen voi sammuttaa tulipalot hetkeksi, mutta se ei ole luotettava strategia.

Tekoäly on radalla — mutta pelkkä luottamus ei ole strategia

Myönteistä on, etteivät brittiorganisaatiot ole täysin tietämättömiä tulevasta. Tekoälyavusteisten hyökkäysten ennustetaan nyt olevan seuraavien 12 kuukauden suurin yksittäinen riski, ja investointien painopisteet muuttuvat sen mukaisesti. Myös hallinta, valvonta ja tekoälyvalmius nousevat asialistalla.

Luottamus on myös melko korkealla, mutta ilman vankkaa rakennetta sitä tukeva luottamus muodostuu aivan uudenlaiseksi haavoittuvuudeksi.

Yhdistyneen kuningaskunnan kyberparadoksia ei ratkaista vain investoimalla kehittyneempään teknologiaan, toteuttamalla perusteellisia jälkiarviointeja tai lisäämällä hallitusten tietoisuutta, vaikka nämä kaikki ovat yhdessä tärkeitä. Ratkaisu syntyy, kun organisaatiot lakkaavat käsittelemästä jokaista tapausta vain suljettavana ongelmana ja alkavat nähdä sen oppituntina. Perusta on jo olemassa; nyt ratkaisevaa on johdonmukainen jatkuva parantaminen.