Kyberturvallisuus alkaa liiketoiminnan identiteetistä

Kyberturvallisuus ei ala teknologiasta, vaan luottamuksesta

Kyberturvallisuutta kuvataan usein teknisenä haasteena. Palomuurit, pääsynhallinta, valvontajärjestelmät ja häiriönhallintatyökalut hallitsevat usein keskustelua. Vaikka nämä toimenpiteet ovatkin olennaisia, ne eivät ole se paikka, josta kyberturvallisuus todella alkaa. Käytännössä se alkaa paljon aikaisemmin – siinä hetkessä, kun organisaatio päättää, kenen kanssa se tekee liiketoimintaa. Nykyaikainen liiketoiminta on syvästi toisiinsa kytkeytynyttä. Yritykset luottavat ulkoisiin palveluntarjoajiin, toimittajiin, rahoituksen välittäjiin ja rajat ylittäviin kumppaneihin. Jokainen yhteys luo toiminnallista arvoa, mutta tuo mukanaan myös riskejä. Kun liikekumppanin identiteetti on epäselvä, vanhentunut tai vaikeasti varmennettavissa, riskin luotettava arviointi muuttuu mahdottomaksi. Kyberturvallisuus rakentuu luottamukselle. Ja luottamus alkaa siitä, että tietää, kenen kanssa todella asioi.

Miksi pelkkä tekninen turvallisuus ei enää riitä

Tekniset turvallisuusohjaukset on suunniteltu suojaamaan järjestelmiä, mutta ne olettavat, että pääsy myönnetään oikeille tahoille. Jos pääsy annetaan väärälle organisaatiolle – tai organisaatiolle, jonka taustaa ei tunneta riittävästi – jopa vahvat tekniset ohjaukset voivat epäonnistua vahinkojen estämisessä. Monet vakavat kyberturvallisuusincidentit eivät johdu suorista järjestelmämurroista, vaan luotettujen suhteiden väärinkäytöstä. Kun uhkatoimija toimii näennäisesti legitiimin kumppanin, toimittajan tai urakoitsijan kautta, tekniset puolustukset muuttuvat paljon tehottomammiksi. Tämä siirtää ydinkysymyksen ”Miten suojaamme järjestelmiämme?” kysymykseen ”Keneen meidän tulisi ensisijaisesti luottaa pääsyn suhteen?”

Kolmannen osapuolen riski keskeisenä kyberturvallisuuskysymyksenä

Kasvava osuus kyberturvallisuus- ja toimintariskeistä tulee kolmansilta osapuolilta. Näihin voivat kuulua toimittajat, IT-palveluntarjoajat, maksunvälittäjät, logistiikkakumppanit tai ulkoistetut tukitoiminnot. Jokaisesta kolmannesta osapuolesta tulee osa organisaation laajennettua digitaalista rajaa. Kolmannen osapuolen riski ei rajoitu ohjelmistojen haavoittuvuuksiin tai turvattomaan infrastruktuuriin. Se sisältää myös:

• epäselvä oikeudellinen asema
• läpinäkymättömät omistusrakenteet
• epäjohdonmukaiset tai vanhentuneet rekisteritiedot
• vaikeus vastuiden määrittämisessä

Näiden riskien tehokkaaseen hallintaan organisaatiot luottavat strukturoituihin varmennusprosesseihin, mukaan lukien KYC ja yrityksen varmennus
Kun organisaatio ei pysty selkeästi tunnistamaan vastapuoliaan, sekä turvallisuus- että vaatimustenmukaisuusriskit kasvavat merkittävästi.

Sääntelyn suunta: riskipohjainen ja identiteettiin keskittyvä

Eri lainkäyttöalueilla sääntelykehykset ovat siirtymässä kohti riskipohjaisempaa ja identiteettiin keskittyvämpää lähestymistapaa kyberturvallisuuteen. Sen sijaan, että määrättäisiin tiettyjä teknisiä ohjauksia, sääntelyviranomaiset odottavat yhä enemmän organisaatioiden ymmärtävän ja hallitsevan riskejä koko toimintaympäristössään, mukaan lukien toimittajat ja palveluntarjoajat.

Euroopan unionissa tämä muutos näkyy selvästi NIS2-direktiivissä ja kyberturvallisuusvaatimuksissa Virallisen oikeudellisen kehyksen osalta katso NIS2-direktiivi

Vaikka kehykset eroavatkin maailmanlaajuisesti, perimmäinen odotus on johdonmukainen: organisaatioiden on kyettävä osoittamaan, että ne tietävät, kehen ne luottavat ja miten nämä suhteet vaikuttavat niiden turvallisuusasemaan.

Liiketoiminnan identiteetti kyberturvallisuuden perustana

Kun kyberturvallisuutta tarkastellaan laajemmin, liiketoiminnan identiteetistä tulee ydinkäsite. Maailmanlaajuisesti standardoidun lähestymistavan yritysten tunnistamiseen tarjoaa Legal Entity Identifier (LEI)
Liiketoiminnan identiteetti ulottuu paljon yrityksen nimeä tai rekisteröintinumeroa pidemmälle. Se sisältää:

• oikeudellinen olemassaolo ja asema
• viralliset rekisteritiedot
• omistus- ja hallintarakenteet
• suhteet muihin oikeushenkilöihin
• tietojen tarkkuus ja ajantasaisuus

Ilman selkeää ja standardoitua liiketoiminnan identiteettiä luotettava riskinarviointi vaikeutuu. Tämä haaste korostuu rajat ylittävissä ympäristöissä, joissa tiedot hankitaan useista kansallisista rekistereistä eri formaateilla ja standardeilla. Digitaalisissa ja automatisoiduissa ympäristöissä liiketoiminnan identiteetin on oltava yksiselitteinen, koneluettava ja kansainvälisesti yhdenmukainen tukeakseen tehokasta riskienhallintaa.

Pienyrityksen näkökulma: luotettavaksi kumppaniksi tuleminen

Keskustelut kyberturvallisuudesta ja sääntelystä keskittyvät usein suuriin organisaatioihin. Samat dynamiikat vaikuttavat kuitenkin voimakkaasti pieniin ja keskisuuriin yrityksiin, jotka haluavat työskennellä suuryritysten, rahoituslaitosten tai kansainvälisten asiakkaiden kanssa. Pienemmille yrityksille pääasiallinen este ei useinkaan ole tuotteen laatu tai tekninen kyvykkyys, vaan luottamus. Suurten organisaatioiden on arvioitava riski jokaisen uuden kumppanin osalta, mutta ne eivät voi tehdä tätä manuaalisesti ja perusteellisesti jokaisen potentiaalisen toimittajan osalta. Tämän seurauksena ne luottavat standardeihin, signaaleihin ja strukturoituun dataan päättääkseen, mitkä suhteet ovat jatkotutkimisen arvoisia. Monet yhteistyömahdollisuudet pysähtyvät, ei siksi, että tarjous puuttuisi arvosta, vaan siksi, että vastapuolta ei voida nopeasti ja selkeästi ymmärtää.

LEI luottamuksen ja käyttöönoton kiihdyttäjänä

Tässä kohtaa Legal Entity Identifier (LEI) tulee merkitykselliseksi. LEI on globaali standardi, joka on suunniteltu tunnistamaan oikeushenkilöt yksilöllisesti ja linkittämään ne varmennettuihin viitetietoihin luotettavista lähteistä. Pienemmille yrityksille LEI ei ole vain sääntelyvaatimus tietyissä yhteyksissä. Se on käytännöllinen työkalu, jonka avulla ne voivat esittäytyä tavalla, joka vastaa sitä, miten suuret organisaatiot hallitsevat riskejä. LEI viestii, että:

• yksikkö on yksilöllisesti tunnistettavissa
• sen keskeiset viitetiedot on linkitetty virallisiin rekistereihin
• omistustiedot on ilmoitettu standardoidussa muodossa
• tietoja voidaan käyttää automatisoiduissa ja rajat ylittävissä prosesseissa

Suuren organisaation näkökulmasta tämä vähentää alkuperäistä epävarmuutta ja nopeuttaa päätöstä siitä, voiko potentiaalinen kumppanuus edetä. LEI ei takaa yhteistyötä eikä se korvaa due diligence -tarkastusta, mutta se auttaa yritystä tulemaan ymmärrettäväksi ja arvioitavaksi paljon aikaisemmin prosessissa.

Kyberturvallisuus jaettuna vastuuna koko toimitusketjussa

Kyberturvallisuus ei ole vain suurten ostajien tai keskusympäristöjen vastuulla. Jokainen toimitusketjun osallistuja vaikuttaa kokonaisriskiin. Kun yksi osapuoli ei pysty selkeästi esittämään identiteettiään tai pitämään tietojaan ajan tasalla, koko ketju muuttuu haavoittuvammaksi. Tästä syystä pienemmät yritykset hyötyvät myös standardien käyttöönotosta, jotka tekevät niistä helpommin varmennettavia ja integroitavissa kumppaneidensa riskienhallintakehyksiin – usein jo ennen kuin tällaisia odotuksia virallisesti vaaditaan.

Jatkuva tarkkuus luottamuksen edellytyksenä

Kyberturvallisuus eikä liiketoiminnan identiteetti ole staattisia. Yritykset muuttuvat, omistusrakenteet kehittyvät ja tiedot vanhentuvat. Vain kerran suoritetut identiteettitarkastukset menettävät nopeasti arvonsa. Tehokas riskienhallinta riippuu identiteettitiedoista, jotka pysyvät tarkkoina ja ajantasaisina ajan mittaan. Tämä jatkuva luotettavuus tukee paitsi vaatimustenmukaisuutta, myös pitkäaikaista luottamusta liikekumppaneiden välillä.

Yhteenveto

Kyberturvallisuus ei ala palvelinhuoneesta eikä se pääty ohjelmistoihin. Se alkaa siitä, että ymmärtää, kenen kanssa tekee liiketoimintaa ja millä perusteella kyseinen suhde on olemassa. Tekniset ohjaukset ovat edelleen olennaisia, mutta ilman selkeää, standardoitua ja ajantasaista liiketoiminnan identiteettiä ne ovat puutteellisia. Nykypäivän toisiinsa kytkeytyneessä ja säännellyssä taloudessa vastapuolten tunteminen on yksi tärkeimmistä saatavilla olevista turvatoimista. LEI tarjoaa jaetun, globaalin kehyksen, joka auttaa sekä suuria että pieniä organisaatioita rakentamaan luottamusta, parantamaan läpinäkyvyyttä ja tekemään tehokkaampaa yhteistyötä rajojen yli.