Tietoisuus ja mielipiteet kyberturvallisuudesta lisääntyvät, mutta taloudelliset reunaehdot koskettavat jokaista meistä. CGI Suomen johtava tietoturva-asiantuntija Jan Mickos kertoo, miten saavutetaan kustannustehokas kyberturva.

1. Riittävä tietoturvan taso kybermaailmassa
- Esimerkit ja parhaat käytännöt
Jan Mickos
26.11.2013
© CGI Group Inc. CONFIDENTIAL

2. Odotusarvot muuttuvat
“Riittävä tietoturva”
ei tarkoita tänään samaa kuin 5,10
tai 15 vuotta sitten.
 tuskin 5 vuoden kuluttuakaan.
•
•
•
•
Tekninen kehitys
Uhkakuvien kehittyminen
Tietoisuuden lisääntyminen
Lisääntyvä normiohjaus
2

3. Faktoja kyberhyökkäyksistä
94
1
Vain 6 %
organisaatioista
havaitsee
hyökkäykset
itse.
% yrityksistä
kuulee kyberhyökkäyksestä
ulkopuoliselta
taholta.
Tyypillinen
kyberhyökkäys
jatkuu yli
vuoden
(416 päivää)
huomaamatta.
% johdosta
uskoo
organisaation
tunnistavan
hyökkäykset
Lähde: Center for a new American Security: Active Cyber Defense A Framework for Policymakers 2/2013
Lähde: Forrester Research study on targeted threats
3
6
77

4. Uhkakuvat
• Monenlaisia uhkakuvia
•
•
•
•
•
•
•
•
”Haktivismi”
Kyberrikollisuus
Yritysvakoilu
Valtiollinen yritysvakoilu
Valtioiden välinen vakoilu
Sabotaasi
”Kyberkauppasulku”
Kybersota
• Suomi ei ole sivullinen
• Suomalaisiin organisaatioihin kohdistuu
kohdennettuja hyökkäyksiä
• Tavoitteena identiteettivarkaudet,
yritysvakoilu, IP-varkaudet,
valtionsalaisuudet, sotilassalaisuudet…
4

5. Kyberin luonne
• Kyberympäristö ja sen uhkat kehittyvät nopeasti
•
•
•
•
•
Fyysisen ja kyberympäristön välinen raja hämärtyy
Toimintaympäristön muodostaa globaali ekosysteemi
Toimintaympäristö on dynaaminen ja jatkuvasti muuttuva
Kyberympäristö koostuu kymmenistä tuhansista tietoverkoista
Seurattavien ja käsiteltävien kybertapahtumien määrä on mykistävä
• Vaatimustaso kehittyy
• Toimintaympäristön ja uhkien kehittyessä nopeasti, myös odotusarvot
muuttuvat
• Odotusarvot heijastuvat
• Yleisessä ilmapiirissä ja mielipiteissä
• Mediassa
• Lainsäädännössä ja viranomaisohjeissa
• Sopimuksissa
• …
5

6. Uhkat muuttuvat, puolustuksen on muututtava
• Verkon raja vuotaa, vuodot on havaittava
•
•
•
•
jotta ne voi tukkia
Uusia uhkia tulee päivittäin, on pystyttävä
tunnistamaan ennestään tuntemattomia
uhkia
On opittava nopeasti ja jaettava tietoa
vertaisryhmissä
On kyettävä ennakoimaan uhkakentän
muutoksia ja varautumaan tapahtumiin
proaktiivisesti
On osattava seurata ympäristöä ja
ennakoida tulevia muutoksia omassa
toimintaympäristössä.
6

7. Taloudellinen tilanne sanelee reunaehdot
Tietoisuus ja mielipiteet
kyberturvallisuudesta lisääntyvät,
mutta taloudelliset reunaehdot
koskettavat jokaista meistä.
• Yleinen heikko taloudellinen
tilanne
 Kulubudjeteissa ei
nähtävissä nousua
Lähde: MTV3.fi Marraskuu 2013
• Vähäisistä henkilöresursseista kova kilpailu
 Kulut nousussa
• Investointihalu alhainen
 Jokainen investointi on perusteltava ja takaisinmaksu
osoitettava.
7

8. Miten voi saada enemmän vähemmällä?
Reaaliturvallisuus syntyy osaratkaisuista, jotka ovat yhteensopivia ja
muodostavat kokonaisuuden toimintaympäristönsä kanssa.
Tilannetietoisuus
Havainnointikyky
Yhteensopivuus
Nykytilan tuntemus
Muutokset toimintaympäristössä
Kontrollien yhteisvaikutus
Toimintaympäristön normaali
toiminta ja hyväksyttävä
käyttäytyminen
Kyky havaita muutokset
toimintaympäristössä ja
käyttäytymisessä.
Eri turvamekanismien ja
kontrollijärjestelmien
yhteentoimivuus
Näkyvyyttä
tapahtumiin
Kyky reagoida
poikkeamiin
Analysointikyky
Toimintakyky
Kyky pureutua ja analysoida
tapahtumia
Tehokkaan vastatoimen
mahdollistavat resurssit.
8
Fakta:
”Hilavitkuttimista”
innostuvat
tietoturvakaverit
tulevat kalliiksi
organisaatiolleen.

9. Mistä kyberturvallisuuden kustannusteho?
Tasapainottamalla käytettävissä olevia
resursseja eri turvallisuuden osaalueille voidaan turvallisuuden tasoa
nostaa merkittävästi, jopa nykyistä
pienemmillä kustannuksilla
Tekniset turvamekanismit
Valvonta ja reagointi
Politiikat ja prosessit
Mittaaminen ja valvominen
CGI:n Cyber Security Health Check
Panostettu voimakkaasti
verkkoturvallisuuteen
Seuraavat panokset hallinnolliseen,
fyysiseen tai henkilöstöturvallisuuteen
9
Harkitut askeleet ja
nopeat voitot
Nostamalla kypsyystasoa
tasaisesti eri osa-alueilla

10. Cyber Security Health Check
Organisaation Kyberturvallisuuden
“terveystarkastus”, jossa
organisaatiota arvioidaan 20 eri osaalueen näkökulmasta
(SANS CSC 20)
Arvioidaan:
• 20 kontrollialueen kypsyystaso
• Käytettyjen panostusten
kohdentuminen eri osa-alueilla
Tuloksena asiakas saa:
• Kypsyystasoanalyysin
• Kustannushyötyanalyysin
• Toimenpidesuositukset kypsyystason
nostamiseksi
• Suositus resurssien kohdentamiseksi
• Toimiala “bench mark”
10

11. Riskiarvioperusteinen priorisointi
Kustannusteho kiteytyy riskienhallintaan.
Miten tunnistaa kaikkein
suojeltavimmat kohteet?
Tunnistamalla prosessit, niiden tuottaman
liiketoiminnallisen arvon, sekä arvoketjut ja
niihin liittyvät resurssit.
Mitkä tiedot, palvelut ja
toiminnot ovat aidosti
kriittisiä?
Arvioimalla realistisesti näihin kohdistuvat
riskit ja arvioimalla liiketoimintavaikutuksia.
Miten rajalliset resurssit
kohdennetaan suojaamaan juuri sitä, jolla
todella on merkitystä?
Suuntaamalla voimavarat arvioinnin
perusteella arvokkaimpia resursseja
uhkaavien suurimpien riskien
pienentämiseen.

12. (Varoittavia) esimerkkejä asiakkaidemme
tietoturvahaasteista
Yksikin heikko lenkki…
saattaa pahimmillaan aiheuttaa…
Yritykseen on juuri
hankittu uusinta
teknologiaa edustava
IPS-sensori
→ tietoturvatapahtumien reagointikyky puuttuu
Yrityksen
turvamekanismit
tuottavat runsaasti
jäljitettävyyslokia
→ Jäljitettävyyslokeja ei kerätä, suojella tai analysoida
Yritykseen on hankittu
seuraavan sukupolven
palomuuri
→ Palomuuria ei jatkuvasti ”viritetä” vastaamaan omaa verkkoympäristöä ja
liikennekäyttäytymistä tai ei tunneta ”validia” liikennettä
→ Sensorin hinta valuu hukkaan, koska kukaan ei huomaa hyökkäystä, vaikka
sensori ilmoitti siitä
→ Hyökkääjä tuhoaa ensitöikseen lokit
→ Edistyneitä turvallisuuspiirteitä ei voida ottaa käyttöön, sillä virheellisten
hälytysten riski ja niistä seuraavat vahingot ylittävät riskiarvon
→ Investointi valuu hukkaan
Yrityksen toimihenkilö
avaa poikansa
jalkapallojoukkueen
toimintaan liittyvän
sähköpostiviestin.
→ Vuotta myöhemmin havaitaan, että hyökkääjä on ottanut haltuunsa
yrityksen koko verkon ja suuren osan palvelimista, mukaan lukien
satelliittien komentokeskusjärjestelmän.
→ Yrityksen suojattavaa tietopääomaa on varastettu usean teratavun verran.
12

13. Security Operations Center (SOC)
Tietoturvallisuuden ympärivuorokautinen
valvontakeskus
Tilannetietoisuus  Havainnointikyky 
Reagointikyky
Kustannustehokkaina jaettuina palveluina
13

14. Kokonaisvaltaista tietoturvapalvelua
Otamme huomioon tietoturvallisuuden koko elinkaaren:
uhka-arviosta ennakointiin, havainnointiin, seurantaan, reagointiin, torjumiseen ja
ennaltaehkäisyyn. Palvelumme kattavat tekniikan ja tietoverkkojen lisäksi myös
sovellukset, toimintatavat ja -mallit.
ORGANISAATIO
HENKILÖSTÖ
SOVELLUKSET
INFRASTRUKTUURI

15. CGI on johtava kyberturvallisuustoimija Suomessa ja maailmalla
9.1/10 satisfaction
95% on-time,
score
on-budget delivery
Paikallista palvelua, laatua
ja toimialatuntemusta
Yhdistämme paikallisuuteen
kansainvälisen osaamisen
Kokonaispalvelua
kustannutehokkaasti
Tunnemme suomalaisen
toimintaympäristön. Teemme
päätökset paikallisesti ja olemme
lähellä asiakkaitamme.
Turvallisuuskriittisimmät
organisaatiot Suomessa luottavat
tietoturvaosaamiseemme ja
palveluihimme.
Yli 1200 sertifioitua kyberturvallisuuden asiantuntijaa maailmalla
takaavat palveluidemme korkean
laadun. Toimintamallimme avulla
voimme palvella asiakkaitamme
teknologiariippumattomasti joko
Suomesta, globaalista toimintakeskuksesta tai näiden yhdistelmällä.
Huomioimme tietoturvallisuuden
koko elinkaaren uhka-arvioista
reagointiin ja ennakoinnista
ennaltaehkäisyyn. Ymmärrämme
mikä on riittävä tietoturvan taso.
Palvelemme asiakkaitamme aina
tarkoituksenmukaisella ja
kustannustehokkaalla tavalla.
15

16. Lisätietoa
Jan Mickos
p. 040 847 8740
jan.mickos@cgi.com
Twitter: @JMickos #kyberturvallisuus, #cybersecurity
LinkedIn
CGI:n kyberturvallisuuspalvelut
• Suomessa: www.cgi.fi/kyber
• Maailmalla: www.cgi.com/cyber
Blogikirjoitukset:
• Kustannustehokasta kyberturvallisuutta, 8.11.2013
• Kävikö kyberrosvo kylässä, 6.6.2013.

17. CGI’s Cyber Resilience
kasvattaa asiakkaidemme
vastustuskykyä