Emerging Threat
WS_FTP Server: Emerging Threat published on Risk Ledger
Kyberriskien hallinta on jäsennelty prosessi organisaation digitaaliseen omaisuuteen, infrastruktuuriin ja toimitusketjuun kohdistuvien uhkien tunnistamiseksi, arvioimiseksi ja käsittelemiseksi.
Vuonna 2023 maailmanlaajuinen tietoverkkorikollisuus maksoi maailmantaloudelle yli 8 biljoonaa dollaria, ja sen odotetaan ylittävän 13 biljoonaa dollaria vuonna 2025 (Statista). Tämä hämmästyttävä luku osoittaa, miksi kaikkien nykyaikaisten yritysten, mutta erityisesti niiden, joilla on monimutkaisia kolmansien osapuolten verkkoja, on kiinnitettävä erityistä huomiota kyberturvallisuusriskinsä hallintaan.
Yritysjohtajien on ymmärrettävä, että yksittäinen tietoverkkomus voi ja tulee leviämään toimitusketjuissa, häiritsemään toimintaa, heikentämään asiakkaiden luottamusta ja laukaisemaan sääntelyseuraamuksia. Yrityksille, jotka haluavat kasvaa ja toimia nykyaikana, kyberriskien hallinta on paljon enemmän kuin IT-ongelma. Se on liiketoiminnan jatkuvuuden ja pitkäikäisyyden ydin.
Kyberriskien hallinta on riskienhallinnan periaatteiden soveltamista digitaaliseen alueeseen. Sen tavoitteena on suojella tietoja, järjestelmiä ja toimintoja tunnistamalla järjestelmällisesti uhkia, analysoimalla niiden mahdollisia vaikutuksia ja toteuttamalla valvontaa niiden lieventämiseksi tai poistamiseksi.
Yksinkertaisesti sanottuna se on silta kyberturvallisuuden ja liiketoimintastrategian välillä. Tehokas kyberriskien hallinta edellyttää koordinointia teknisten ryhmien, johdon ja toimittajien välillä. Siinä tarkastellaan sekä organisaation sisäisiä järjestelmiä että laajempaa ekosysteemiä, mukaan lukien pilvipalvelut, kolmannen osapuolen toimittajat ja hallinnoidut palveluntarjoajat.
Esimerkiksi valmistusyritys saattaa määrittää ERP-järjestelmänsä (joka vastaa toimitustilausten valvonnasta) kriittisimmäksi voimavaraksi. Kyberriskien hallinnan avulla havaitaan, että avaintoimittajan etäkäyttöoikeudet luovat korkean riskin hyökkäysvektorin. Sitten toteutetaan hallintalaitteita, joilla rajoitetaan pääsyä ja seurataan sitä jatkuvasti.
Onnistunut kyberriskiohjelma perustuu toimivaan älykkyyteen. Tämä tarkoittaa näkyvyyttä uhkiin sekä organisaation verkoston sisällä että sen ulkopuolella.
Mitä täydellisempi tiedustelukuva on, sitä nopeammin organisaatio voi toimia. Ennakoiva havaitseminen - reaktiivisen palontorjunnan sijaan - on kypsän kyberriskien hallinnan tunnusmerkki.
Kyberriskien hallinta noudattaa sykliä, joka varmistaa, että riskit tunnistetaan, arvioidaan, käsitellään ja seurataan jatkuvasti. Tämä ei ole ”aseta se ja unohda se” -prosessi.
Ennen kuin sukeltaa tiettyihin uhkiin, organisaatioiden on määritettävä konteksti. Tähän sisältyy liiketoiminnan prioriteettien määrittely, riskinottohalu ja ulkoiset/sisäiset olosuhteet. Esimerkiksi rahoituspalveluyritys saattaa asettaa alhaisen toleranssin seisokkeille sääntelyvelvoitteiden vuoksi, mikä puolestaan muokkaa riskien kehystä ja priorisointia.
Kun konteksti on muodostettu, seuraava askel on tunnistaa ja analysoida uhkia. Tekniikoita ovat tunkeutumistestaus, haavoittuvuusskannaus ja toimitusketjun tarkastukset. Tuotos on priorisoitu luettelo riskeistä, jotka on luokiteltu todennäköisyyden ja vaikutuksen mukaan.
Päätökset määrittävät, miten kukin tunnistettu riski käsitellään: vältetään, hyväksytään, siirretään tai käsitellään. Valinnan tulisi olla yhdenmukainen liiketoiminnan painopisteiden ja käytettävissä olevien resurssien kanssa.
Koska uhkamaisema kehittyy päivittäin, jatkuva seuranta on välttämätöntä. Tähän sisältyy valvonnan suorituskyvyn tarkistaminen, tapahtumien seuranta ja riskiprofiilien päivittäminen vastaamaan uutta tietoa.
Huonolla kyberriskien hallinnalla voi olla vakavia seurauksia:
Vuoden 2020 SolarWinds-hyökkäys osoitti, kuinka yksi vaarantunut toimittaja voi luoda kaskadivaikutuksia tuhansissa organisaatioissa korostaen vankkojen kyberriskikäytäntöjen kiireellisyyttä.
Kehys tarjoaa standardoidun, toistettavan lähestymistavan kyberriskien hallintaan. Tunnustetun kehyksen käyttäminen auttaa varmistamaan johdonmukaisuuden tiimien välillä, helpottaa vaatimustenmukaisuusvelvoitteiden täyttämistä ja tukee skaalautuvuutta liiketoiminnan kasvaessa.
Suosittuja kehyksiä ovat NIST Cybersecurity Framework, ISO/IEC 27005 ja FAIR (Factor Analysis of Information Risk). Niillä kaikilla on yhteinen tavoite auttaa organisaatioita käsittelemään järjestelmällisesti kyberriskejä tunnistamisesta seurantaan.
Yhdistä liiketoimintatavoitteet suoraan kyberturvallisuustavoitteisiin. Tunnista tärkeimmät digitaaliset resurssit, kuten asiakastietokannat, patentoidut algoritmit tai tuotannonohjausjärjestelmät. Päätä kullekin hyväksyttävä riskitaso. Ota mukaan sidosryhmät tietotekniikasta, lainsäädännöstä, vaatimustenmukaisuudesta, toiminnasta ja hankinnoista varmistaaksesi, että lähestymistapa on johdonmukainen koko organisaatiossa.
Aseta avoin hallinto alusta alkaen. Määritä vastuu riskipäätösten tekemisestä ja näiden päätösten toteuttamisesta. Harkitse vaatimustenmukaisuusvelvoitteita, käytettävissä olevia resursseja ja budjettirajoja, koska nämä tekijät muokkaavat suunnitelmaa. Turvallinen johtajuussitoutuminen sen varmistamiseksi, että strategialla on menestymiseen tarvittava auktoriteetti ja tuki.
Kerro organisaatiosi kohtaamat erityiset uhat. Tähän voi kuulua hyökkäyspinnan kartoittaminen päätepisteiden, pilvipalveluiden ja IoT-laitteiden välillä. Se voi sisältää myös riippuvuuksien arvioinnin kriittisistä kolmansien osapuolten toimittajista. Hyvin määritelty haaste pitää strategian keskittyneenä ja mitattavana.
Valitse tarpeisiisi sopiva riskinarviointi- ja hallintamenetelmä. Kvantitatiiviset mallit käyttävät numeerista pisteytystä riskien luokitteluun, kun taas laadulliset mallit käyttävät kuvaavia asteikkoja. Ylhäältä alas -lähestymistapa saa ohjausta johtajilta, kun taas alhaalta ylöspäin -lähestymistapa kerää oivalluksia operatiivisilta tiimeiltä. Valitse menetelmä, jota organisaatiosi voi tukea ja ylläpitää ajan mittaan.
Riskien välttäminen
Poista uhka kokonaan lopettamalla turvattomat järjestelmät tai palvelut.
Riskien hyväksyminen
Tunnista matalan todennäköisyyden ja vähäisen vaikutuksen riskit, joissa lieventäminen maksaisi enemmän kuin mahdollinen tappio, ja dokumentoi päätös.
Riskinsiirto
Siirrä vaikutus toiselle osapuolelle kybervakuutuksen kautta tai ulkoistamalla erikoistuneelle palveluntarjoajalle.
Riskihoito
Vähennä riskiä ottamalla käyttöön uusia valvontatoimenpiteitä, prosesseja tai koulutusta. Esimerkkejä ovat monitekijäinen todennus, salaus ja tapahtumien vastauksen suunnittelu.
Pidä avointa viestintää sidosryhmien kanssa sisäisten tiimien, johtajien, toimittajien ja sääntelyviranomaisten välillä. Säännölliset päivitykset lisäävät luottamusta ja varmistavat, että riskitietoisuus pysyy yhteisvastuulla.
Ota valitut ohjausobjektit käyttöön. Testaa niiden tehokkuus simulaatioiden, auditointien ja turvallisuusharjoitusten avulla. Tee muutoksia, kun tulokset osoittavat ristiriitaisuutta organisaation tavoitteiden kanssa.
Käsittele kyberriskien hallintaa jatkuvana prosessina. Tarkastele riskirekistereitä, tapahtumaraportteja ja hallitse suorituskykyä säännöllisesti. Päivitä strategioita uhkien kehittyessä ja arvioi uudelleen, kun uusia riskejä ilmaantuu.
Kyberriskien hallinta on prosessi, jolla tunnistetaan, arvioidaan ja puututaan kyberuhkien mahdollisen vaikutuksen minimoimiseksi organisaation toimintaan, omaisuuteen ja maineeseen.
Tunnistaminen, arviointi, reagointi, seuranta ja viestintä.
Tunnista, analysoi, arvioi, käsittele ja seuraa, koska jokainen koskee kyberuhkia.
Muutos, vaatimustenmukaisuus, kustannukset, jatkuvuus ja kattavuus tunnetaan kyberturvallisuuden viidenä C: nä, jotka kaikki ovat keskeisiä painopistealueita turvallisuuden tehokkaalle hallinnalle.
Sign up to our monthly newsletter to receive exclusive research and analyses by our experts, the latest case studies from our clients as well as guides, explainers and more to turn your supply chain risk management programme into a resounding success story.
