Page 19

TIETOTURVALLISUUDEN KÄSIKIRJA Sivu 18 / 127 • • • • • • TIETOTURVALLISUUDEN KÄSIKIRJA Sama CIA-ajattelu näkyy vahvasti myös suomalaisissa viranomais- ja ohjeistussisällöissä: suojatoimilla pyritään varmistamaan järjestelmien/palvelujen/tietojen luottamuksellisuus, eheys ja saatavuus. Tulkinta: Tietoturvallisuus on “objektikeskeinen” käsite: suojattava asia on tieto (riippumatta siitä, onko se digitaalisessa järjestelmässä, paperilla, ihmisten päässä tai siirrossa). Tämä on yksi syy siihen, miksi monet pitävät tietoturvaa laajana sateenvarjona. Tämä tulkinta korostuu, kun kyberturvallisuus ymmärretään yhteiskunnan ja organisaatioiden digitaalisen toimintakyvyn ja resilienssin johtamisena: riskienhallinta, jatkuvuus, häiriönsieto, vaikutukset toimintaan, toimitusketjut, kriittinen infra jne. NIST CSF 2.0:n “GOVERN” + “RECOVER” -ajattelu tukee tätä laajaa kehystä. Tässä mallissa tietoturvallisuus on yksi kyberkokonaisuuden ydinosista (CIA + kontrollit), mutta kyber puhuu lisäksi vahvasti toimintakyvystä ja häiriöiden hallinnasta. Kyberturvallisuuden ja tietoturvallisuuden suhde ei ole yksiselitteinen, koska se riippuu siitä, rajataanko tarkastelu “tiedon suojaukseen” (tietoturva yläkäsitteeksi) vai “digitaalisen toimintakyvyn riskienhallintaan” (kyber yläkäsitteeksi). Olen toistaiseksi valinnut tässä tietoturvallisuuden käsikirjassa päälinjan, jossa Kyberturvallisuus käsitetään tietoturvallisuuden osa-alueena ja muutan linjausta tarvittaessa. Kyberturvallisuus on kapea-alaisempi termi ja sillä tarkoitetaan toimia, joita tarvitaan viestintäverkkojen ja tietojärjestelmien, niiden käyttäjien ja muiden asianosaisten henkilöiden suojaamiseksi kyberuhilta. Kyberturvallisuutta voi pitää tietoturvan yhtenä osaalueena. Ehkäpä yksinkertaisin tapa hahmottaa näiden termien eroa on kohdistaa tietoturvallisuus nimensä mukaisesti tiedon turvaamiseen (esim. yritysten tiedostot, henkilökohtaiset sähköpostit tai pankkitunnukset). Tieto-omaisuuteen kohdistuva uhka voi johtua vaikkapa heikosta toimiston fyysisestä tilaturvallisuudesta tai heikosta verkkotietoturvasta, joka altistaa tiedon verkkojen kautta tehtäville tietomurroille. Kyberturvallisuus kattaa tietoturvallisuuden kentästä nimenomaan verkkojen kautta tehtävät tietomurrot, ei kuitenkaan sorkkaraudalla organisaation tiloihin murtautujaa, joka nappaa lähtiessään tietokoneen kainaloon. Tämän lisäksi kyberturvallisuus liittyy erityisesti myös tietojärjestelmien varassa toimivan infrastruktuurin turvallisuuteen. Hyvinä esimerkkeinä toimivat sähköverkkojen ohjausjärjestelmät, teollisuuslaitosten prosessiautomaatiojärjestelmät ja jatkossa myös esimerkiksi autonomiset ajoneuvot. WithSecuren artikkeli on mainio lisä täydentämään edellä mainittua tietoa.