Tietoturva tarkoittaa sitä, että liiketoiminnan jatkuvuus turvataan ja kaikki sujuu ja etenee hyvin. Voidaan kysyä, miksi tarvitaan teknistä tietoturvaa, palomuureja ja virustorjuntaa, ja miksi päätelaitteet, työasemat ja pilvipalvelut on suojattava. Turvallisuuden eri käsitteiden ymmärtäminen on tärkeää.
Tietoturva muodostuu organisaation linjauksista ja käytännöistä, jotka kattavat myös ei-digitaalisessa muodossa olevan tiedon. ICT-tietoturvaratkaisut ovat teknisiä menetelmiä tiedon luottamuksellisuuden, eheyden ja saatavuuden varmistamiseksi, kun taas kyberturvallisuuden hallinta on teknisten, toiminnallisten ja hallinnollisten menettelyjen kokonaisuus, jolla taataan tietotekniikasta riippuvaisten toimintojen jatkuvuus.
Riskienhallintaprosessia voi verrata arkielämään ja henkilökohtaiseen omaisuuteen. Kukaan ei halua jakaa terveystietojaan, perheasioitaan tai palkkatietojaan. Vastaavasti henkilötiedot, taloustiedot ja asiakastiedot ovat tärkeää omaisuutta, jota organisaatio ei ihmisten tavoin halua jakaa muille.
Kyberturvallisuudella on kansainvälinen puoli. Monet toimialat luovat maailmanlaajuisia vaatimuksia ja turvallisuuskriteerejä, kuten PCI-DSS ja HIPAA. Lisäksi käytössä on yleisiä standardeja ja viitekehyksiä, kuten COBIT, NIST ja ISO 27000 -sarja.
EU:n toimielimet valmistelevat jatkuvasti useita säädöksiä, esimerkiksi seuraavia:
Kyberkestävyyssäädös (Cyber Resilience Act, CRA)
NIS-direktiivi
NIS2-direktiivi
CER-direktiivi
Kyberturvallisuussäädös (Cybersecurity Act)
Kyberkestävyyssäädös (Cyber Resilience Act)
Asettaa yhteiset kyberturvallisuusvaatimukset digitaalisten tuotteiden ja palvelujen valmistajille ja jälleenmyyjille. Niiden on luotava edellytykset turvallisten digitaalisten tuotteiden kehittämiselle varmistamalla, että markkinoille tuotavissa laitteistoissa ja ohjelmistoissa on vähemmän haavoittuvuuksia, ja huolehtimalla siitä, että valmistajat suhtautuvat tietoturvaan vakavasti koko tuotteen elinkaaren ajan. CRA koskee ensisijaisesti laitteisto- ja ohjelmistokehittäjiä.
NIS-direktiivi
Keskittyy erityisesti kriittiseen infrastruktuuriin: energiaan, liikenteeseen, pankkitoimintaan, terveydenhuoltoon, vesihuoltoon ja digitaaliseen infrastruktuuriin. Direktiivi vahvistaa rajat ylittävää yhteistyötä esimerkiksi kansallisten CSIRT-toimijoiden verkoston kautta.
NIS2-direktiivi
Keskittyy kyberkestävyyden vahvistamiseen EU:ssa. Sen soveltamisala laajenee uusiin sektoreihin ja organisaatioihin sen mukaan, kuinka kriittisiä ne ovat taloudelle ja yhteiskunnalle. Direktiiviä ei sovelleta kansalliseen turvallisuuteen, parlamentteihin tai yleiseen turvallisuuteen jne., mutta se kattaa kaikki keskisuuret ja suuret yritykset. Se astuu voimaan vuonna 2024, ja seuraamus on 10 miljoonaa euroa.
Myös Suomessa on useita säädöksiä:
Tietosuojalaki
Laki sähköisen viestinnän palveluista
Tiedonhallintalaki
Tunnistuslaki
Lopuksi on tärkeää hahmottaa organisaation oma kybertoimintaympäristö, priorisoida tärkeät resurssit, tuntea tiedonkäsittely koko palveluketjussa sekä huolehtia riskienarvioinnista ja muutostenhallinnasta. Tässä vaiheessa sääntely on organisaatioille ja tietoturva-ammattilaisille sekä velvoittavaa että ohjaavaa.