Kyberharjoittelu osana organisaation riskienhallintaa

Abstract

Digitalisaation kehittymisen myötä kyberturvallisuuden merkitys on kasvanut merkittävästi eri toimialoilla. Vastauksena digitalisaation tuomiin haasteisiin Euroopan unioni on laatinut NIS2-direktiivin, jonka tavoitteena on vahvistaa kyberturvallisuuden tasoa jäsenvaltioissa. Direktiivi velvoittaa yhteiskunnallisesti merkittäviä toimijoita ylläpitämään sekä kehittämään kyberturvallisuuteen liittyvää riskienhallintaa, jatkuvuuden varmistamista sekä henkilöstön osaamisen kehittämistä toimintaympäristössään.

Tässä tutkielmassa tarkastellaan kyberturvallisuuteen liittyvien harjoitusten tarjoamia mahdollisuuksia organisaatioiden kyberturvallisuuden kehittämisessä sekä niiden merkitystä NIS2-direktiivin asettamien velvoitteiden täyttämisessä. Tutkielmassa kyberturvallisuuden harjoitukset on jaoteltu kolmeen harjoitusmuotoon: teknisiin harjoituksiin, keskustelupohjaisiin harjoituksiin sekä näitä yhdistäviin yhdistelmämuotoisiin harjoituksiin. Teknisiin harjoituksiin lukeutuvat esimerkiksi CDX-harjoitukset, joissa osallistujat torjuvat simuloituja kyberuhkia ja harjoittavat teknisiä kyberturvallisuuteen liittyviä taitojaan. Keskustelupohjaiset harjoitukset, kuten Tabletop-harjoitukset keskittyvät puolestaan päätöksentekoon, roolien koordinointiin ja organisaation toimintaprosessien testaamiseen simuloiduissa häiriötilanteissa. Yhdistelmämuotoiset harjoitukset yhdistävät teknisten ja keskustelupohjaisten harjoitusten elementtejä. Tästä esimerkkinä kyberturvallisuutta testaava stressitesti.

Kyberturvallisuutta kehittävät harjoitukset auttavat työntekijöitä tunnistamaan riskien syy- ja seuraussuhteita sekä hahmottamaan oman roolinsa merkitystä häiriötilanteissa. Näiden harjoitusten avulla organisaatiot voivat kehittää teknisten valmiuksien lisäksi henkilöstön sitoutumista turvallisuuskäytäntöihin sekä vähentää inhimillisiä virheitä. Säännölliset ja kohdennetut harjoitukset muodostavat lähestymistavan, jolla organisaatiot voivat parantaa kyberturvallisuuttaan jatkuvasti kehittyvässä digitaalisessa ympäristössä.