Joosep Põllumäe: 3 kõige olulisemat viisi, kuidas oma firmat proaktiivselt küberohtude eest kaitsta

IT-süsteemide turvalisusest ja küberohtudest räägitakse pidevalt, kuid tihti lähenetakse probleemidele reaktiivselt ehk asjadega hakatakse tegelema siis, kui midagi juba ereda leegiga põleb. Elisa valdkonnajuht Joosep Põllumäe märgib, et kriisi puhkemisel on aga hilja hakata sobivaid lahendusi otsima ning pigem tasuks igal ettevõttel proaktiivselt mõelda, kuidas oma IT-taristu jätkusuutlikkus tagada.

“Reaktiivselt lähenemisel on oma koht ning kui esinebki olukord, mida keegi ei osanud ette näha, siis on kasulik omada erineva kompetentsiga ekspertidest koosnevat SWAT-tiimi, kes suudab kiirkorras olukorra laheneda. Sellised olukorrad on aga erandlikud,” sõnas Põllumäe. “99% küberohtudest on ennetatavad ning ärilise ja tehnilise stabiilsuse huvides tasuks pigem enamik ressursse panustada ettevalmistusele ja treeningule kui kriisitiimi pidamisele.”

Valdkonnajuhi sõnul hõlmab proaktiivne lähenemine küberturvalisusele mitmeid erinevaid aspekte, kuid neist peamised on security by design, õppused ning teiste vigadest õppimine. Olenevalt ettevõtte eripäradest saab neile määrata erineva kaalu, kuid ühes või teises vormis peaks neist tähelepanu saama kõik.

Turvalisus esimestest hetkedest alates

“Mida aeg edasi, seda olulisemaks muutub juba eos potentsiaalsete turva- ja küberohtude ennetamine. See tähendab, et juba uut rakendust või muud IT-süsteemi luues tuleb läbi kaaluda iga võimalik viis, kuidas keegi võib üritada süsteemi rünnata või haavata ning luua juba arendusprotsessi käigus lahendused, mis aitaks organisatsiooni nende ründevektorite eest kaitsta,” selgitas Põllumäe.

Ta märkis, et see eeldab arendusmeeskonnale rõhutamist, et nad peavad ennast küberturvalisusmaailmas toimuvaga kursis hoidma, piisavalt turvaliste tehnoloogiliste lahenduste kasutamist, kolmandate osapoolte loodud lahenduste ettevaatlikku rakendamist ning vajadusel ka auditeerimist, kus sõltumatu osapool – majasisene või majaväline – vaatab tehtu üle ja kinnitab selle vastavust kehtestatud turvastandarditele.

“Kui IT-lahendus on juba oma olemuselt nõrk, on kogu ülejäänud võimlemine üsnagi mõttetu. On pea võimatu kaitsta midagi, mis kubiseb aukudest ja kisendab pahalastele, et tegu on lihtsa ja kiire töövõiduga,” märkis Põllumäe. “Sestap tasub turvalisusele hakata mõtlema juba esimesest planeerimiskoosolekust alates.”

Õppused loovad valmisoleku

“IT-inimesed lähenevad asjadele probleemikeskselt ehk nad lahendavad olukordasid, mis on päriselt tekkinud. Seega selleks, et küberohutusele proaktiivselt läheneda, on aeg-ajalt tarvis see probleem ise tekitada. Heaks lahenduseks selleks on õppused, koolitused ja muud praktilised harjutused, kus saab ohukohad päriselt läbi mängida,” rääkis Põllumäe.

Näiteks võib tema sõnul ärikriitiliste süsteemide töökindluse tagamiseks olla mõistlik võtta appi kolmas sõbralik osapool, kes korraldab tellimuse peale mõne süsteemi pihta rünnaku. “See tekitab IT-meeskonnale reaalse olukorra, kus nähakse ära kõik augud ja kitsaskohad, üritatakse need ära lahendada ja pannakse paika praktikad, mida saab päris ohu tekkimisel varasema treeningu toel kiirelt ja hõlpsalt rakendada,” selgitas ta.

Niisamuti soovitab ta panustada aega ja ressursse nii IT-meeskonna kui ka ülejäänud personali koolitamisesse – mida paremini inimesed ohte mõistavad, seda väiksem on tõenäosus, et mõni oht saab ärile saatuslikuks. “Ja need koolitused peaks olema sagedased, mitte üks kord tööle asumise järel. Maailm muutub, inimesed unustavad asju ja väär turvatunne on kiire tekkima,” lisas ta.

Laia maailma kogemus pakub õppimisvõimalusi

Proaktiivse küberturvalisuse vaatest soovitab Põllumäe silma peal hoida ka sellel, mis on juhtunud teistega ning kaugemas maailmas. “Täiesti unikaalsete ohtudega ettevõtteid on vähe, seega on alati kuskil mõni teine tegija, kellel saab silma peal hoida. Kui nende sarnase IT-lahendusega on midagi juhtunud, võib eeldada, et see sama saab juhtuda ka sinu omaga,” märkis ta.

Seetõttu tasub tema sõnul hoida maailmameedial silm peal ning kui tundub, et mõni kauge oht võiks ühel hetkel olla aktuaalne ka siinsel turul, tasuks juba aegsasti käiku võtta täiendavad meetmed, mis probleeme ennetada aitaks. “Kõike ei saa mõistagi ette näha, kuid riskihinnangud ja riskitaluvus aitavad asjad paika seada,” lisas ta.