Kyberriskit ja niiden hallintaprosessi: Case Yritys Oyj.

Abstract

Digitalisaatio ja teknologian kehittyminen ovat mahdollistaneet yritysten liiketoimintaa tehostavia menetelmiä ja muokanneet erilaisten toimialojen toimintaympäristöjä pysyvästi. Megatrendit tulevat korostamaan teknologian roolia entisestään yritysten liiketoiminnassa ja informaatioteknologian rooli tulee muuttumaan liiketoimintaa tukevasta liiketoiminnan kannalta kriittiseksi välineeksi arvon luomisessa. Uudenlaiset mahdollisuudet tuovat kuitenkin myös uudenlaisia riskejä ja uhkia yritysten liiketoimintaan. Kyberriskit on viime vuosina tunnistettu yritysten merkittävimmiksi liiketoiminnan riskeiksi ja riskienhallinnassa niiden hallitsemiseen on alettu kiinnittää entistä enemmän huomiota. Kyberriskien vaikutukset yritysten liiketoimintaan ovat erityisesti taloudellisia. Kyberriskien suorien rahallisten menetysten lisäksi yrityksille voi syntyä lukuisia erilaisia välillisiä kustannuksia, kuten kuluja oikeudenkäynneistä, vahingonkorvausvaatimuksia tai sakkoja. Taloudellisten menetysten lisäksi kyberriskit aiheuttavat yrityksille myös merkittäviä mainehaittoja. Yritykset tarvitsevat kyberriskien hallintaan oikeanlaisia ja luotettavia riskienhallinnan menetelmiä, työkaluja ja prosesseja. Kyberriskien hallintaprosessin nostamisella riittävälle tasolle, aktiivisella riskikentän arvioinnilla ja prosessin kehittämisellä yritykset voivat suojautua kyberriskeiltä mahdollistaen liiketoiminnallisten tavoitteiden saavuttamisen sekä liiketoiminnan jatkuvuuden.

Tämän tutkimuksen keskiössä ovat kyberriskit ja niiden hallintaprosessi, joita tarkastellaan Helsingin pörssiin listatun case-yrityksen näkökulmasta. Tutkimuksen tavoitteena on tutustua case-yrityksen kyberriskien hallintaprosessiin, sen vaiheisiin ja kyberriskien merkitykseen yritykselle. Tutkielmassa luodaan kokonaiskuva case-yrityksen kyberriskien hallintaprosessista, mutta tarkemmin tarkastellaan kyberriskien tunnistamista, arviointia sekä kyberriskien hallintakeinoja. Tutkimus on luonteeltaan kvalitatiivinen tutkimus. Tutkimusmetodina on tapaustutkimus eli case-tutkimus ja empiirinen aineisto koostuu case-yrityksen asiantuntijoiden haastattelusta. Tutkimushaastattelun lajina käytetään puolistrukturoitua teemahaastattelua ja empiirisen aineiston analyysissä käytetään teoriaohjaavaa sisällönanalyysiä.

Tutkimuksen tulokset vahvistavat kyberriskien tunnistettua kasvavaa merkitystä vaikutuksineen yritysten liiketoiminnalle. Tulokset tuovat myös esiin yritysten liiketoimintojen kasvavan roolin kyberriskien merkityksen kasvaessa. Kyberriskien integroituessa entistä tiiviimmäksi osaksi päivittäistä liiketoimintaa, tulee vastuu kyberriskien hallinnasta kuulua koko yrityksen henkilöstölle. Tietoisuuden lisääminen organisaation sisällä on avaintekijöitä kasvavien kyberriskien hallinnassa. Tulosten mukaan kyberriskien hallintaprosessin tulee olla jatkuva prosessi, jossa kyberriskien tunnistamista, arviointia ja hallintakeinojen arviointia tulee toteuttaa säännöllisesti. Kyberriskien hallintaprosessi noudattaa tyypillisiä riskienhallintaprosessin vaiheita ja sen vaiheet ovat menetelmineen tehokkaita myös kyberriskien hallinnassa, tietyt kyberriskien luonteen mukaiset ominaispiirteet huomioiden.