"Ei se meille tapahdu" - mutta sitten se tapahtui

Marko johti menestyvää konsulttiyritystä. Kasvu oli nopeaa, asiakkaita tuli ovista ja ikkunoista ja IT-infraa päivitettiin sitä mukaan, kun ehdittiin. Hän oli ylpeä yrityksensä kasvusta, eikä tietoturva ollut hänen päivittäinen huolenaiheensa. Lähinnä tietoturva tuntui byrokraattiselta hidasteelta.

”Kuka nyt meihin iskisi?” hän mietti. "Eihän meillä ole mitään, mitä hakkerit haluaisivat.”

Mutta sitten tuli se maanantaiaamu.

Markon tiimin jäsen, Emilia, sai sähköpostin toimitusjohtajalta. Tai siltä se näytti. Viesti oli lyhyt ja kiireellinen:

”Hei, voitko tarkistaa liitteen? Tässä viimeisin sopimus asiakkaan kanssa.”

Emilia ei epäröinyt. Hän avasi liitteen. Sekunnissa kone jämähti. Pian Markon puhelin soi taukoamatta. Asiakkaat eivät päässeet järjestelmiin. Verkkosivut olivat nurin. Tiedostot olivat kadonneet.

He olivat joutuneet ransomware-hyökkäyksen kohteeksi.

Marko oli luullut, että kyberturvallisuus on tekninen ongelma, joka ratkeaa palomuureilla ja virustorjunnalla. Hän oli väärässä. Vaikka tekninen puoli on tärkeä, ratkaisu vaatii laajempaa ajattelutapaa.

Kyberturvallisuus lähtee ihmisistä.

Mitä Marko teki seuraavaksi?

Hän aloitti jostain, mitä ei ollut aiemmin tehnyt. Hän puhui työntekijöilleen.

Markon tiimi teki tärkeän päätöksen: tietoturva ei olisi enää jälkikäteen mietittävä asia. Se olisi osa yrityksen ydinarvoja.

Mutta ei perinteisten ”vahva salasana” -vinkkien tasolla, vaan oikeasti:

• Hän teki tietoturvasta osan yrityskulttuuria. Turvakoulutukset eivät olleet enää pakollisia ja pitkäveteisiä vaan konkreettisia sekä arkeen liittyviä.
• Hän muutti ajattelutapaa. Salasanojen hallinta, varmuuskopiot ja ohjelmistopäivitykset eivät olleet enää IT-osaston vastuulla. Johtoryhmä sitoutui tekemään siitä koko yrityksen yhteisen asian ja vastuu ulottui jokaiselle työntekijälle.
• Hän loi toimintamallit vahinkojen varalle. Jokainen työntekijä tiesi, mitä tehdä, jos jotakin epäilyttävää tapahtuisi.

Marko oppi kantapään kautta, että yrityksen heikoin lenkki ei ole järjestelmä, vaan se on kiireinen työntekijä, joka ei ymmärrä olevansa osa tietoturvaa.

Turvallisuus alkaa sinusta.