- OMX Baltic0,22%319,39
- OMX Riga0,1%972,31
- OMX Tallinn−0,06%2 228,28
- OMX Vilnius0,43%1 512,81
- S&P 500−1,09%7 659,44
- DOW 30−0,34%52 002,41
- Nasdaq −2,14%26 140,03
- FTSE 1000,38%10 881,9
- Nikkei 2251,39%65 324,29
- CMC Crypto 2000,00%0,00
- USD/EUR0,00%0,89
- GBP/EUR0,00%1,19
- EUR/RUB0,00%92,89
- OMX Baltic0,22%319,39
- OMX Riga0,1%972,31
- OMX Tallinn−0,06%2 228,28
- OMX Vilnius0,43%1 512,81
- S&P 500−1,09%7 659,44
- DOW 30−0,34%52 002,41
- Nasdaq −2,14%26 140,03
- FTSE 1000,38%10 881,9
- Nikkei 2251,39%65 324,29
- CMC Crypto 2000,00%0,00
- USD/EUR0,00%0,89
- GBP/EUR0,00%1,19
- EUR/RUB0,00%92,89
- ST
Infoturbeekspert Ekke Einberg: paberile joonistatud tabalukk varast eemal ei hoia
Küberrünnakutest, andmeleketest ja uutest turvanõuetest räägitakse hommikust õhtuni. Ometi näitavad nii värsked intsidendid kui ka statistika, et ettevõtete tegelik kaitstus ei ole jutule järele jõudnud. Prominioni infoturbeekspert Ekke Einberg kirjutab, et probleem pole enam selles, nagu ettevõtted poleks ohtudest kuulnud. Pigem on sellest tüdimus ning arvatakse, et infoturvalisusega on juba tegeletud, sest vajalik dokument on olemas või mõni nõue täidetud.
Ladu pannakse ööseks lukku päris lukuga, mitte ei joonistata tabalukku kriidiga uksele. IT puhul kohtab seda “joonistatud lukku” aga endiselt päris palju. Paberil võib kõik korras olla, kuid see ei tähenda veel, et ettevõtte tegelikud riskid on kontrolli all.
Teema ei ole väike ega teoreetiline. RIA andmetel registreeriti Eestis 2025. aastal 10 185 mõjuga küberintsidenti, mida oli pea poole võrra rohkem kui aasta varem. Euroopa Liidu küberturvalisuse agentuuri ENISA uuring näitab samal ajal, et ligi kolmandik küsitletud organisatsioonidest ei olnud eelnenud 12 kuu jooksul küberturvalisuse hindamist teinud. Väikeste ja keskmise suurusega ettevõtete seas ulatus see näitaja koguni 63 protsendini.
Veel kõnekam on põhjus, mis organisatsioone küberturvalisusse investeerima paneb. ENISA uuringus nimetas 70 protsenti organisatsioonidest peamiseks ajendiks nõuetele vastavust.
Minu arvates peitubki siin probleem: nõuete täitmine on vajalik, kuid dokument või audit ei tõesta veel, et ettevõtte tegelikud riskid on kontrolli all. Hästi rakendatud nõuded aitavadki riske maandada, kuid kui nende täitmine jääb pelgalt formaalsuseks, ei pruugi ettevõtte tegelik turvalisus paraneda.
Paberil võib kõik korras olla ja midagi on justkui tehtud. Aga kui liiklusega võrrelda, siis liikluseeskiri on olemas ja nõue seda järgida samuti, ent üle tee minnes pannakse ikka silmad kinni ja loodetakse, et autot ei tule.
Küberrisk ei istu ainult IT-osakonnas
Kui räägitakse küberturvalisusest, tekib kiiresti pilt häkkerist, pahavarast ja keerulisest tehnoloogiast. Üldjuhul arvatakse, et küllap tegeleb asjaga IT-osakond. Tegelikult võivad ettevõtte nõrgad kohad olla märksa argisemad.
Kas endise töötaja kasutajakonto pandi pärast tema lahkumist kinni? Kes pääseb ligi ettevõtte andmetele? Millised failid on avalikult kättesaadavad? Kas töötajad tunnevad ära petukirja? Kas olulised tarkvarauuendused on tehtud?
Kui inimene töölt lahkub, ei jäeta talle ju kontori võtmeid kätte. Kasutajakontodega juhtub aga küll, et inimene on ammu läinud ja konto on endiselt aktiivne.
Tehnoloogia moodustab infoturbest vaid ühe osa. Ülejäänu puudutab inimesi, protsesse, füüsilist turvalisust ja juhtimist.
Seda, kui ootamatust kohast võib probleem välja tulla, näitas hiljuti avalikkuse ette jõudnud juhtum Eesti riigiasutuste veebilehtedel olnud failidega. Tehisintellekti abil leiti avalikest Exceli failidest muu hulgas andmeid, mida faili tavakasutaja ei näinud ja mis polnud mõeldud avalikustamiseks.
Juhtum on kõnekas just seetõttu, et keegi ei pidanud keerulise küberrünnakuga serverisse murdma. Andmed olid juba avalikult kättesaadavas failis.
Hetkel kuum
Pole mõtet ehitada aeda, kui ei tea, mis sind ohustab
Üks põhjus, miks ettevõtted infoturbega hätta jäävad, võib olla ka teema näiline keerukus.
Juba sõna „riskihaldus“ kõlab nii, et sellega peaks tegelema mõni spetsialist kusagil IT-osakonnas. Tegelikult tähendab see esmalt väga lihtsat küsimust: mis võib meie ettevõttes päriselt valesti minna?
Toon näite. Kui sul on kanad ja lehmad, pole mõtet hakata neid lihtsalt „ohtude eest“ kaitsma. Kõigepealt tuleb välja selgitada, millised ohud on reaalsed: kanu võib ähvardada rebane, veiseid haigus. Alles siis saab otsustada, et kanadele on vaja paremat aeda ja veiste puhul tuleb maandada haigusriski.
Ettevõttes toimib sama loogika. Enne uute turvalahenduste ostmist tuleb teada, millised andmed ja süsteemid on kõige olulisemad, kes neile ligi pääseb, mis võib juhtuda nende kadumise või lekkimise korral ning millised riskid on ettevõtte jaoks kõige kriitilisemad.
See muudab suure ja ähvardavana tunduva küberturvalisuse teema märksa hallatavamaks. Kõike pole vaja korraga ümber ehitada. Kui riskid on teada, saab need järjestada ning otsustada, millega tuleb tegelda kohe ja millise riskiga võib teadlikult leppida.
NIS2 ei ole enam tulevikuteema
Täiendava tõuke annab ettevõtetele seadus. Tänavu 1. jaanuaril jõustus küberturvalisuse seaduse muudatus, millega võeti Eesti õigusesse üle Euroopa Liidu NIS2 direktiiv. RIA hinnangul lisandus seaduse kohaldamisalasse umbes 3000 organisatsiooni ning kokku puudutavad nõuded nüüd ligikaudu 6500 Eesti organisatsiooni.
See tähendab, et küberturvalisus pole paljude ettevõtete jaoks enam ainult hea tava, vaid ka seadusest tulenev kohustus.
Näen ohtu selles, kui ka NIS2 muutub järjekordseks linnukeseks tabelis: keegi kutsutakse kohale, vajalikud dokumendid tehakse valmis ja juhtkond hingab kergendatult, et nüüd on asi tehtud. Infoturve ei ole aga selline asi, mille keegi paarisaja euro eest ära teeb ja siis minema kõnnib.
Sama järeldus jäi kõlama ka hiljutisel infoturbeekspertide seminaril: nõuetele vastamine peab olema vahend tegeliku turvalisuse saavutamiseks, mitte eesmärk omaette. Pole suurt vahet, kas organisatsioon lähtub ISO 27001st, EITSist või mõnest muust raamistikust, kui ei teata, millised riskid ettevõtet tegelikult ohustavad või kas kokkulepitud meetmeid päriselt rakendatakse.
Küberturvalisust ei pea üksi korraldama
Infoturbe korraldamine ei tähenda aga, et ettevõte peaks kõik vajalikud teadmised ja oskused ise välja arendama.
Prominion pakub ettevõtetele infoturbejuhi teenust, aitab kaardistada tegelikud riskid, hinnata vastavust nõuetele ning panna paika, mida ja millises järjekorras on vaja teha.
Võrdlen infoturvet koristusteenusega: kontor peab olema puhas, kuid ettevõtte juht ei pea seepärast ise põrandaid pesema. Ettevõte peaks tegelema oma põhitegevusega ja raha teenima. Küberturvalisus on hügieenifaktor ning kui endal teadmisi ei ole, on loogiline anda selle korraldamine kellelegi, kes sellega kogu aeg tegeleb.
Meie eesmärk Prominionis on jõuda dokumentidest päris tegevusteni. Me ei trei pabereid selleks, et neid oleks audiitorile ilus näidata. Kui öeldakse, et uksed tuleb lukku panna, siis tahame teada, millised uksed tuleb lukku panna ja kuidas.
Võib-olla ongi kõigil infoturbejutust tüdimus, sest see tundub korraga liiga tehniline, keeruline ja ettevõtte igapäevasest tegevusest kauge. Tegelikult ei pea juht teadma kõike küberrünnakutest, standarditest ega tehnilistest turvameetmetest. Tema ülesanne on teada, millised riskid võivad ettevõttele päriselt haiget teha, ja veenduda, et nendega tegeletakse.
Kui sa ei tea, millised on sinu ettevõtte tegelikud infoturberiskid, aitab Prominion need kaardistada ja panna paika, millest alustada.
Võta ühendust: www.prominion.eu
Hetkel kuum
Podcastid
18 akadeemilist tundi, millest 16 tundi auditoorset tööd ja 2 tundi iseseisvat kodutööd
Kursuse maht 72 akadeemilist tundi (jaotatud 4-le päevale), millest 32 ak h on auditoorne õpe ja 40 ak h iseseisev õpe.
Enimloetud
1
5
Viimased uudised
Tagasi Äripäeva esilehele