TIETO22: tilannekuva ei ole vain kyberturvallisuusasiantuntijan vastuulla
Suomen laajimpiin kyberturvaharjoituksiin kuuluva TIETO22 tarjosi osallistujien konkreettisen harjoittamisen ohessa järjestäjille tietoa kyberaiheiden ajankohtaisista kehitystarpeista. Harjoituksen kolme keskeistä havaintoa varautumisen kehittämiseen ovat: Ajantasainen tilannekuva on tärkeä jakaa johdon lisäksi myös muille organisaatiossa; oikean tilannekuvan saamiseksi henkilöstön kyberturvallisuuden osaamiseen on panostettava; ja onnistuneet viestinnän prosessit keskinäisessä tiedonvaihdossa sekä tiedon tuotannossa julkisuuteen vaativat suunnittelua.
Oppi 1: Ajantasainen tilannekuva on tärkeä jakaa johdon lisäksi myös työyhteisölle
Harjoituksen havaintojen perusteella harva yritys muodostaa aktiivisesti kyberturvallisuuteen liittyvää tilannekuvaa. Vielä harvempi jakaa kyberturvallisuuteen liittyvää tilannekuvaa organisaation sisällä. Yrityksissä olisikin hyvä miettiä, miten ja missä laajuudessa tilannekuva voisi olla hyödyksi yrityksen toiminnassa organisaation eri osissa. Yritysten kriisitiimeihin kuuluu yleensä edustus kaikista sen toiminnoista. Todellisen kriisin iskiessä myös muilla kuin turvallisuusasiantuntijoilla pitäisi olla käsitys sen vaikutuksista toimintoihinsa ja toisaalta kyky tukea ajantasaisen tilannekuvan muodostust
Oppi 2: Henkilöstön digitaalisen turvallisuuden perusosaamista on kasvatettava
Digitaaliseen turvallisuuteen liittyvää perusosaamista pitäisi kasvattaa kaikissa henkilöstöryhmissä. Jotta tilannekuva on mahdollisimman oikea, täytyy siihen tuottaa paitsi oikeaa, myös tilannekuvan kannalta olennaista tietoa. Tilannetiedon perusteella on kyettävä tekemään päätöksiä toiminnasta. Organisaatio ja sen tilannekuvan tuottaminen ei saisi olla riippuvainen kyberturvallisuuden asiantuntijoista eli tilannekuvatuotannon prosessit on mietittävä sellaisiksi, että sitä pystytään tekemään myös vähemmän kybervalistuneiden henkilöiden voimin.
Oppi 3: Viestinnän prosessit on suunniteltava etukäteen
Kun kriisi iskee, iskee samalla tarve kommunikoida moneen suuntaan yhtä aikaa. Tilannekuvaan tarvittavaa tietoa kerätään erilaisista medialähteistä, media odottaa tietoa kriisin vaikutuksista ja häiriötilanteen selvittämiseksi tiedonvaihtoa on tehtävä viranomaisten sekä yritysten kesken ja erityisesti sopimussuhteissa yritysten välillä. Jokaisen organisaation kriisitiimin pitää suunnitella etukäteen kriisiviestintä häiriötilanteessa: miten tuotetaan tietoa julkisuuteen, miten tunnistetaan olennaiset verkostot tiedonvaihtoon ja mitkä ovat luotettavia lähteitä tilannekuvan rakentamiseen.
Onko harjoituksen tulevaisuus kansainvälinen?
Vuoden 2022 TIETO-harjoituksessa pelasivat myös tiimit Ruotsin yhteiskuntasuojelu- ja valmiusvirastosta. He osallistuivat paikan päällä Helsingissä sekä etänä Ruotsista. Kokemus yhteisharjoittelusta oli hyvä, sillä kriisit ja tiedonvaihto eivät tunne valtion rajoja. Harjoitusta seuraamassa oli myös edustus Viron kyberturvallisuusviranomaiselta. Vielä harjoitus ei koskenut yrityskentän suoraa yhteistoimintaa maiden välillä, mutta se on kiinnostava seuraava askel. Ehkä seuraavassa harjoituksessa olisi myös suorempi NATO-kytkös?
TIETO22-valmiusharjoituksessa harjoiteltiin varautumista laajaan maksuliikennehäiriöön. Kolmipäiväinen intensiivivaihe, nk. roolipeli, järjestettiin syyskuun lopussa 2022. Intensiivivaiheeseen osallistui yli neljäsataa henkilöä ja 170 eri organisaatiota, josta 130 oli yrityksiä. Ensimmäistä kertaa mukana oli myös kansainvälisiä vieraita. Vierailijapäivänä harjoitusta kävi seuraamassa myös puolustusministeri Antti Kaikkonen.
