Energiayhtiön tietoturva syntyy selkeästä omistajuudesta, jatkuvasta kehittämisestä ja kumppanuudesta, jossa liiketoiminta, tietohallinto ja asiantuntijat rakentavat yhdessä perustan myös häiriötilanteista toipumiselle, kirjoittaa Mikko Manner.
Liiketoimintakriittisen järjestelmän pysähtyessä ensimmäiset minuutit ratkaisevat paljon. Ensimmäinen puhelu soitetaan IT:lle, mutta usein käy ilmi, ettei kyse ole pelkästään tietojärjestelmästä. IT ei tunne prosessia, eikä liiketoiminta tunne järjestelmää. Jos kaikki tietävät roolinsa, toipuminen alkaa heti. Jos eivät, aikaa kuluu siihen, että selvitetään, kuka tilanteesta oikeastaan vastaa. Juuri tässä piilee monen energiayhtiön suurin jatkuvuusriski.
Toipuminen onnistuu vain, jos vastuut on sovittu etukäteen
Energiayhtiössä tietohallinto vastaa yleensä yrityksen yhteisistä järjestelmistä, kuten toiminnanohjauksesta, dokumenttien hallinnasta tai Microsoft-ympäristöstä. Sen sijaan liiketoimintaa ohjaavat järjestelmät – esimerkiksi kunnossapidon, sähköverkon tai kaukolämmön järjestelmät – ovat usein liiketoiminnan vastuulla.
Ainakin organisaatiokaaviossa. Käytännössä, kun kysytään tietohallinnolta järjestelmän omistajaa, vastaus on: liiketoiminta. Kun sama kysymys esitetään liiketoiminnalle, vastuu ohjataan takaisin IT:lle.
Ongelma ei ole pelkästään hallinnollinen: jos järjestelmällä ei ole selkeää omistajaa, ei sen datalla myöskään ole omistajaa. Silloin järjestelmien kehittäminen, tietosuojavelvoitteiden täyttäminen ja häiriötilanteiden johtaminen muuttuvat huomattavasti vaikeammiksi.
Omistajuuden epäselvyys ei välttämättä näy tavallisessa arjessa, vaan vasta, kun jokin menee pieleen. Jonkun on johdettava tilannetta, jonkun päätettävä palautustoimenpiteistä ja jonkun arvioitava vaikutukset liiketoimintaan. Jatkuvuussuunnittelu ei ole ainoastaan tekninen harjoitus, vaan ennen kaikkea johtamisen harjoitus.
OT ei ole enää suljettu maailma
Energia-alalla tuotantojärjestelmien etäohjattavuus lisääntyy regulaation ja sähköjärjestelmän kehityksen myötä. Samalla operatiivinen teknologia (OT) kytkeytyy aiempaa tiiviimmin tietoverkkoihin. Välttämätön kehityssuunta, mutta samalla myös uusi riskitekijä.
Monessa organisaatiossa OT-ympäristöihin suhtaudutaan edelleen ajatuksella, että ne ovat riittävän erillään muusta tietotekniikasta. Käytännössä näin ei enää ole. Siinä vaiheessa kun järjestelmiä voidaan ohjata etänä, myös niiden hyökkäyspinta-ala kasvaa.
Kyse ei ole pelkästään digitaalisista riskeistä, sillä fyysinen turvallisuus on osa tietoturvaa.
Hyvänä esimerkkinä fyysisen ja digitaalisen pääsynhallinnan kokonaisuuden tärkeydestä oli erään energiayhtiön asiantuntijan havainto siitä, että tavallisella henkilökunnan kulkukortilla pääsi useisiin voimalaitoksiin, vaikka työtehtävät eivät edellyttäneet sitä. Tietojärjestelmien pääsynhallinta sen sijaan oli asianmukaisesti rajattu. Kyse ei ollut tietoisesta riskinotosta, vaan vuosien aikana muodostuneesta käytännöstä, jota kukaan ei ollut pysähtynyt arvioimaan uudelleen. Tällaiset sokeat pisteet muodostavat todellisen riskin.
Tunnista nykytila, ennen kuin testaat
Energia-alaa ohjaavat yhä tiukemmat tietoturvavaatimukset. NIS2-direktiivi, tietosuojavelvoitteet ja muut regulaatiot ovat lisänneet organisaatioiden vastuuta. Silti käytännössä törmää tilanteisiin, joissa organisaatio on paperilla vaatimusten mukainen, mutta kokonaiskuva omista järjestelmistä puuttuu.
Tietoturvaa ei kannata lähteä ratkaisemaan yksittäisillä hankinnoilla. Organisaatio voisi sen sijaan ensin muodostaa rehellisen kuvan nykytilastaan.
- Mitkä järjestelmät ovat liiketoiminnan kannalta kriittisimpiä?
- Kuka vastaa niistä?
- Tiedetäänkö, miten niistä toivutaan häiriötilanteessa?
- Onko tätä koskaan harjoiteltu?
Vasta kun näihin kysymyksiin on vastattu, voidaan arvioida, mihin investoinnit kannattaa kohdistaa.
Oman kokemukseni mukaan juuri nykytilan kartoitus tuottaa usein suurimman hyödyn suhteessa kustannuksiin. Se auttaa johtoa näkemään tilanteen sellaisena kuin se on, ei sellaisena kuin sen toivottaisiin olevan.
Ulkopuolinen kumppani pystyy usein näkemään sen, mikä organisaation sisältä jää helposti huomaamatta. Se voi auttaa energiayhtiöitä tunnistamaan liiketoimintakriittiset järjestelmät, selkeyttämään niiden omistajuutta sekä rakentamaan jatkuvuuden hallintaa käytännön tasolla aina nykytilan kartoituksista toipumisharjoituksiin asti. Tavoitteena ei ole lisätä dokumentaatiota, vaan varmistaa, että organisaatio tietää myös häiriötilanteessa, kuka tekee mitä ja missä järjestyksessä.
——————-
Mikko Manner
Mikko Manner on energia-alan liiketoiminnan, digikehityksen ja järjestelmäratkaisujen asiantuntija. Hänellä on harvinainen poikkitieteellinen tausta, jossa yhdistyvät sopimus- ja neuvotteluosaaminen sekä vahva digikehityskokemus.
