RISKIENHALLINTA

Säännönmukainen tietoturvallisuusriskienhallinta on olennainen osa organisaation toimintaa. Vain tunnistettuja riskejä voidaan hallita.

Tietoturvariskien hallinta on yksi riskienhallinnan osa-alue, jonka painoarvo jatkuvasti kasvaa. Onnistuneiden kyberhyökkäysten ja tietovuotojen seurauksina voivat olla esimerkiksi maineen vahingoittuminen, häiriöt palveluiden tuottamisessa, taloudelliset tappiot ja oikeudelliset vastuut. Menetettyä luottamusta on haastava saada takaisin, jonka takia tulisikin tehdä ennaltaehkäisevää tietoturvavallisuuden riskienhallintaa, mikä vähentää myös työtä toteutuneiden riskien haittojen korjaamiseksi.

Riskien tunnistamisen osa-alueita ovat mm. eri prosessit, niiden väliset suhteet sekä näille asetetut tavoitteet ja päämäärät. Yksittäisen riskin vaikuttavuutta tulisi arvioida myös suurempien kokonaisuuksien, kuten jonkin tietyn toiminnallisuuden näkökulmasta.

Riskienhallintaprosessi on olennainen osa tietoturvallisuuden kokonaishallintaa ja kehittämistä.

Kohdista katse oikein oman toiminnan erityispiirteet huomioiden, tee ensin ydinasiat kuntoon.

Organisaatio voi itse määritellä hyväksyttävän riskitason, jonka ylittävien riskien tulee johtaa toimenpiteisiin riskitason pienentämiseen.

Riskien arviointi ja tunnistaminen koostuvat vaiheista, joissa luokitellaan riskit, analysoidaan riskeihin vaikuttavat tekijät, määritetään riskien hallintatoimenpiteet sekä raportoidaan ja seurataan riskien kehittymistä.

Huomioi osaamisen varmistaminen henkilöstön tietoturvallisuustietoisuuden ja -osaamisen alueilla. On huomattu, että riskien tunnistamiseen ja torjuntakeinojen miettimiseen osallistuminen parantaa henkilöstön osaamista merkittävästi. Tuloksena on riskien hallinnan lisäksi parempaa tuottavuutta, laatua ja mukautumiskykyä uusiin asioihin.

Lopputuloksena tulisi syntyä selkeä toimintasuunnitelma vastuineen, aikatauluineen ja seuranta- ja raportointimalleineen.