Kui ettevõtte kõige olulisem süsteem homme seiskub, kas on teada, millest taastamist alustada? Küberintsident võib peatada arvelduse, tootmise, veebimüügi või klienditeeninduse. Mõju ei jää ainult IT-osakonda, vaid jõuab kiiresti klientide, partnerite ja ettevõtte tuludeni.
NEVERHACK’i ja IIZI veebiseminaril arutasid küberturvalisuse nõustamise juht Andres Järv ja IIZI finantsriskide ekspert Helen Evert, kuidas jõuda riskide üldisest teadvustamisest praktiliste otsusteni. Esimene samm on aru saada, millised ettevõtte protsessid toovad tulu ja millised süsteemid ning andmed neid toetavad.
Alusta ettevõtte töö kaardistamisest
Järve sõnul ei ole paljudel ettevõtetel täielikku ülevaadet kasutusel olevatest süsteemidest. Esialgne nimekiri võib tunduda põhjalik, kuid osakondadega rääkides tuleb sageli välja veel tööriistu ja teenuseid, millest juhtkond ega IT-tiim ei teadnud. Seepärast tasub siduda äriprotsessid nende toimimiseks vajalike süsteemide, andmete ja teenusepakkujatega.
Selline ülevaade aitab vastata praktilistele küsimustele: millise süsteemi seiskumine peataks müügi või tootmise? Milliseid teenuseid ostetakse sisse? Kes vastutab uuenduste, varunduse ja ligipääsude eest? Kaardistus annab juhtkonnale aluse tegevusi tähtsuse järjekorda seada, vastutajaid määrata ja eelarvet planeerida.
Juhtkond ei pea olema tehniline ekspert
Seminaril rõhutati, et küberturvalisus ei saa jääda üksnes IT-osakonna ülesandeks. Juhtkonna roll on teada, millised riskid võivad ettevõtte tegevust kõige rohkem mõjutada, leppida kokku eesmärgid ning vaadata regulaarselt, kas vajalikud sammud on tehtud. See ei eelda, et juhid oskaksid turvaseadmeid seadistada. Küll aga peavad nad suutma küsida, mis juhtub, kui kriitiline teenus katkeb, ning kas ettevõte suudab tegevuse taastada.
Järv tõi näiteks varukoopiad: nende olemasolu ei tõesta veel, et süsteemi ja andmeid saab õigel ajal taastada. Taastamist tuleb päriselt proovida ning äripool peab kontrollima, kas taastatud süsteem võimaldab tööd jätkata.
Turvameetmed ja kindlustus täidavad eri ülesandeid
Turvameetmed aitavad intsidente ennetada, avastada ja nende mõju vähendada. Küberkindlustus aitab katta lepingus määratletud juhtumite rahalist mõju. Evert selgitas, et kindlustuse küsimustik võib aidata ettevõttel märgata ka turvapuudujääke: näiteks kas kasutatakse mitmetasandilist autentimist, koolitatakse töötajaid ja on olemas kriisiplaan. Konkreetne kindlustuskaitse ja selle eeldused sõltuvad alati lepingu tingimustest.
Seepärast tasub kindlustusotsus siduda sama riskikaardistusega, mille põhjal ettevõte valib turvameetmeid. Kui on teada, milline süsteem on kriitiline ja kui suure kahju selle seiskumine tekitaks, on lihtsam otsustada, mida parandada, millist turvaseiret kaaluda ja millist rahalist riski kindlustusega maandada.
Üks lihtne algus on võtta järgmisel juhtkonna koosolekul ette kõige olulisem äriprotsess ja küsida: millistest süsteemidest see sõltub, kes neid haldab ning kuidas töö taastada, kui need homme ei toimi?
