Tietoturvan ja vaatimustenmukaisuuden liiketoiminta-arvo

Tietoturva ja vaatimustenmukaisuus luovat liiketoiminta-arvoa useaa eri reittiä: ne auttavat asiakkaita tekemään ostopäätöksiä, vähentävät toistuvaa työtä, parantavat häiriönsietokykyä, täyttävät sovellettavat velvoitteet ja tekevät johdon päätöksistä paremmin perusteltavia. Kun nämä reitit mitataan erikseen, syntyy vahvempi investointiperuste kuin yleisestä lupauksesta nopeammasta kasvusta.

Toimitusjohtajan näkökulmasta kysymys ei ole siitä, voiko tietoturva taata, ettei mikään mene pieleen. Se ei voi. Kysymys on siitä, suojaako organisaatio sitä, millä on merkitystä, täyttääkö se sitoumuksensa ja tuottaako se uskottavaa näyttöä liiketoimintaansa nähden oikeasuhteisin kustannuksin.

Tämä edellyttää, että johto erottaa pakollisen työn harkinnanvaraisista parannuksista, todelliset säästöt vapautuneesta kapasiteetista ja kaupalliset mahdollisuudet jo ansaitusta liikevaihdosta.

Erota ensin tietoturva, vaatimustenmukaisuus ja varmennus

Tietoturva on työtä, jolla järjestelmiä, tietoja ja palveluja suojataan olennaisilta uhilta. Vaatimustenmukaisuus tarkoittaa sovellettavien oikeudellisten, sopimuksellisten tai viitekehysten vaatimusten täyttämistä. Varmennus on näyttöä, joka auttaa jotakuta muuta arvioimaan, täytetäänkö nämä sitoumukset.

Nämä toiminnot ovat osin päällekkäisiä, mutta ne eivät ole keskenään vaihdettavissa. Palautustesti lisää luottamusta palautumiseen. Dokumentoitu testitulos tarjoaa varmennusta. Se, täyttääkö testi tietyn velvoitteen, riippuu vaatimuksesta, soveltamisalasta ja näytön laadusta.

ISO/IEC 27001 -sertifikaatti koskee rajattua tietoturvallisuuden hallintajärjestelmää, ja sen myöntää riippumaton sertifiointielin. SOC 2 -raportti on varmennusraportti, ei sertifiointi. Kumpikaan ei osoita, että jokainen tuote, tytäryhtiö tai käsittelytoimi täyttää jokaisen sovellettavan lain.

Johdolle tämä erottelu estää kaksi kallista virhettä: pätevyystodistuksen ostamisen korjaamatta taustalla olevia heikkouksia ja hyödyllisten hallintakeinojen rakentamisen tekemättä niistä ymmärrettäviä asiakkaille tai katselmoijille.

Käytä yksinkertaista arvokarttaa ennen ohjelman hyväksymistä:

Nämä ovat erillisiä mittausluokkia, eivät viittä hyötyä, jotka laskettaisiin automaattisesti yhteen.

Asiakkaiden luottamus: tee luottamuksesta tarkastettavaa

Palvelua arvioiva ostaja tarvitsee enemmän kuin merkin. Hänen on ymmärrettävä, mitä palvelu tekee, mitä tietoja se käsittelee, missä vastuut ovat ja toimivatko olennaiset hallintakeinot käytännössä.

Hyödyllinen varmennuspaketti voi sisältää palvelukuvauksen, saatavilla olevan sertifikaatin tai raportin soveltamisalan, katselmoidun tietoturvakatsauksen, olennaiset sopimustiedot ja vastaukset toistuviin kysymyksiin. Arkaluonteisen näytön tulee olla hallitun pääsyn takana eikä julkaistuna kenelle tahansa.

Kaupallinen hyöty riippuu ostajasta. Yksi mahdollinen asiakas voi edellyttää riippumattomasti arvioitua hallintajärjestelmää. Toinen voi hyväksyä suoran näytön tietyistä hallintakeinoista. Kolmas voi tarvita sopimussitoumuksia, korjaussuunnitelman tai selvennyksen soveltamisalan ulkopuolelle rajatusta palvelusta. Kysy, mikä riittää arvioinnin läpäisemiseen, ennen kuin investoit aineistoon, joka ei vastaa vastaväitteeseen.

Mittaa tietoturvaan liittyvää kitkaa, älä koko myyntisykliä

Kirjaa, milloin tietoturva-arviointi alkaa, milloin täydellinen vastaus toimitetaan ja milloin ostaja hyväksyy sen. Kirjaa erikseen aika, joka kuluu ostajan odottamiseen, oikeudellisiin neuvotteluihin, hinnoittelun hyväksyntään ja tuotteen arviointiin.

Hyödyllisiä mittareita ovat:

• Aika katselmoidun alustavan vastauksen toimittamiseen.
• Puutteellisista tai vanhentuneista vastauksista johtuvat toistuvat pyynnöt.
• Mahdollisuudet, jotka viivästyivät nimenomaan puuttuvan varmennuksen vuoksi.
• Mahdollisuudet, jotka hylättiin dokumentoidun tietoturvavaatimuksen vuoksi.
• Arviointia kohden tarvittavat sisäiset työtunnit.

Vertaa samankaltaisia asiakassegmenttejä ja kauppojen monimutkaisuutta. Jos otokseen tulee pienempiä ostajia, keskimääräinen vastausaika voi lyhentyä ilman mitään prosessiparannusta.

Sertifikaatti voi täyttää ostoehdon takaamatta liikevaihtoa tai poistamatta lisäselvityksiä. Kuvaa myyntiputkea muodossa ”edellyttää tätä varmennusvaatimusta”, ei ”sertifioinnin tuottama liikevaihto”. Myynnillä, tuotteen sopivuudella, hinnoittelulla ja toimituskapasiteetilla on edelleen merkitystä.

Myös julkisilla väitteillä on oltava omistaja. Jos markkinointi kertoo, että kaikki asiakastiedot on salattu tai että sertifikaatti kattaa palvelun, jonkun on varmistettava sanamuoto todellista toteutusta ja soveltamisalaa vasten. Liian laaja väite luo sitoumuksen, jota operatiivinen tiimi ei välttämättä pysty tukemaan.

Operatiivinen kapasiteetti: laske poistuva työ

Vaatimustenmukaisuustyö tulee kalliiksi, kun samaa näyttöä kerätään, tulkitaan ja selitetään toistuvasti. Asiakkaan kyselylomake, sisäinen katselmointi ja ulkoinen auditointi voivat kaikki kysyä käyttöoikeuksien hallinnasta, mutta kukin tulee eri sanamuodolla ja eri määräajalla.

Jaetut, katselmoidut kirjaukset voivat vähentää päällekkäisyyttä. Uudelleenkäytettävä voimavara ei ole pelkkä tiedosto: se on näyttöä, joka on kytketty vaatimukseen, määriteltyyn soveltamisalaan, omistajaan, katselmointipäivään ja johtopäätökseen siitä, mitä se todistaa.

Esimerkiksi käyttöoikeuskatselmoinnin kirjaus voi tukea useita pyyntöjä, jos se yksilöi selvästi katselmoidut järjestelmät, katselmoijan, havainnot ja toteutetut toimet. Se ei voi automaattisesti todistaa, että jokaisen järjestelmän käyttöoikeudet ovat asianmukaiset. Uudelleenkäyttö edellyttää merkityksellisyyden ja ajantasaisuuden tarkistamista.

Määritä lähtötaso neljälle toiminnolle: näytön kerääminen, sen selittäminen, sen katselmointi ja sen päivittäminen. Ota säästöjä arvioidessasi huomioon käyttöönoton, koulutuksen, tilausten ja jatkuvan hallinnoinnin kustannukset. Keräystyön siirtäminen uuteen työkaluun samalla kun katselmointivastuut jäävät epäselviksi voi siirtää kustannuksia vähentämättä niitä.

Vapautuneella insinöörikapasiteetilla on arvoa, vaikka palkkakulut eivät pienene. Raportoi hyöty täsmällisesti:

• Lisäkapasiteetti: nykyinen henkilöstö voi käyttää enemmän aikaa muuhun työhön.
• Vältetyt kulut: suunniteltua rekrytointia tai ulkoista toimeksiantoa ei enää tarvita.
• Rahalliset säästöt: kuluerä todella poistuu.

Älä laske kaikkia kolmea samoille tunneille. Automatisoinnin tuottoa käsittelevä oppaamme tarjoaa konkreettisen laskelman tälle liiketoimintaperusteen operatiiviselle osalle.

Häiriönsietokyky: rahoita liiketoiminnalle merkityksellisiä tuloksia

Organisaatiolla voi olla siisti dokumentaatio ja silti kyvyttömyys palauttaa kriittistä palvelua. Häiriönsietokykyyn kohdistuvan investoinnin tulee siksi alkaa liiketoiminnan riippuvuuksista eikä kirjoitettujen politiikkojen määrästä.

Tunnista palvelut, joiden häiriintyminen estäisi toimitukset, paljastaisi arkaluonteisia tietoja tai heikentäisi sopimussitoumuksia. Kysy, mistä järjestelmistä, toimittajista, ihmisistä ja tiedoista nämä palvelut riippuvat. Arvioi sitten, mitä palautuminen todella edellyttäisi.

Johdon tulee saada näyttöä, kuten palautustestien tuloksia, poikkeamaharjoitusten havaintoja, ratkaisemattomia käyttöoikeusongelmia ja korjaustoimien tuloksia. Ilmoitus onnistuneesta varmuuskopioinnista ei ole sama asia kuin onnistunut palautus. Poikkeamasuunnitelma ei ole sama asia kuin se, että tiimi tietää, kuka voi valtuuttaa hätätoimet.

Hyödyllisiä johdon kysymyksiä ovat:

• Saavuttiko testi tälle palvelulle sovitun palautumistavoitteen?
• Mikä riippuvuus esti palautumisen tai hidasti harjoitusta?
• Kuka omistaa korjaavan toimenpiteen, ja milloin se testataan uudelleen?
• Mikä altistus on jäljellä, kun toimenpide on avoinna?

Vältä esittämästä hypoteettisia vältettyjä poikkeamia toteutuneina säästöinä. Skenaarioanalyysi voi tukea investointipäätöksiä, mutta todennäköisyyttä, kestoa ja vaikutusta koskevien oletusten on pysyttävä näkyvinä. Käytä vaihteluvälejä ja tunnista epävarmuus sen sijaan, että antaisit täsmällisen rahallisen tuoton poikkeamalle, jota ei tapahtunut.

Jakso ilman poikkeamia ei osoita, että hallintakeinot toimivat. Toisaalta heikkouksien tunnistaminen harjoituksen aikana on hyödyllistä näyttöä, kun havainnot johtavat toteutettuihin parannuksiin.

Oikeudelliset ja sopimukselliset velvoitteet: selvitä sovellettavuus ensin

Osa kuluista on välttämättömiä, koska organisaatiolla on sovellettava velvollisuus, ei siksi, että ne tuottaisivat positiivisen lyhyen aikavälin tuoton. Johdon tulee silti pyrkiä tehokkaaseen toteutukseen, mutta pakollista työtä ei voi sivuuttaa vain siksi, että sen kaupallista hyötyä on vaikea määrittää.

Aloita dokumentoidulla sovellettavuusarvioinnilla, joka kattaa oikeushenkilöt, sijainnit, palvelut, tietojenkäsittelyn, asiakassopimukset ja asiaankuuluvat toimialasäännöt. Nimeä vastuullinen omistaja ja hanki oikeudellista tai erityisasiantuntijan neuvontaa, kun tulkinta on epävarma.

Yleisen tietosuoja-asetuksen (GDPR) mukaiset velvollisuudet riippuvat käsittelytoimista ja organisatorisista rooleista. 28 artikla asettaa vaatimuksia rekisterinpitäjän ja henkilötietojen käsittelijän välisille sopimuksille, kun taas 32 artikla edellyttää riskiin nähden asianmukaista turvallisuutta. Sertifikaatti ei korvaa näitä arviointeja, eikä käsittelysopimus ratkaise jokaista kansainvälisiin siirtoihin liittyvää kysymystä.

NIS2 on direktiivi, joka pannaan täytäntöön kansallisella lainsäädännöllä. Sovellettavuus riippuu toimialasta, koosta, palveluista ja soveltamisalaan sisällyttämistä koskevista säännöistä. Sen 20–23 artikla koskevat johdon valvontavastuuta, riskienhallintatoimenpiteitä ja merkittävistä poikkeamista ilmoittamista. Johtajien tulee tarkistaa asiaankuuluva kansallinen täytäntöönpano sen sijaan, että pitäisivät EU-tason tiivistelmää täydellisenä toimintaohjeenaan.

DORA koskee ensisijaisesti tiettyjä finanssialan yhteisöjä. ICT-palveluntarjoajiin voi kohdistua asiakas- ja sopimusvelvoitteita, kun taas nimetyillä kriittisillä palveluntarjoajilla on erillinen valvontajärjestelmä. Jokainen pankille ohjelmistoja toimittava startup ei ole suoraan jokaisen DORA-velvoitteen alainen.

Ylläpidä velvoiterekisteriä, joka yksilöi lähteen, sovellettavuuden perustelun, omistajan, toteutuksen näytön ja seuraavan katselmoinnin käynnistävän tekijän. Kun hallintakeinot palvelevat useita vaatimuksia, käytä toteutusta ja näyttöä uudelleen tarvittaessa; älä oleta, että samankaltainen sanamuoto tekee oikeudellisista velvollisuuksista vastaavia.

Sijoittajat ja kumppanit: vähennä epävarmuutta ennen due diligence -tarkastusta

Sijoittajat, ostajat ja strategiset kumppanit voivat tarkastella tietoturvaa ja tietosuojaa, koska heikkoudet voivat vaikuttaa palvelun jatkuvuuteen, vastuisiin, korjauskustannuksiin ja integraatiosuunnitelmiin. Tarkastelun syvyys vaihtelee liiketoimen ja liiketoiminnan mukaan; sitä ei määritä pelkkä rahoitusvaihe.

Valmistele rajattu due diligence -paketti: organisaation ja palvelujen soveltamisala, saatavilla olevat arviointitulokset, merkittävät riskit, avoimet havainnot, poikkeamahistoria, olennaiset toimittajariippuvuudet ja suunnitellut kulut. Rajaa pääsy arkaluonteisiin aineistoihin asianmukaisesti.

Arvo on liiketoiminnan selkeämpi selittäminen, ei taattu arvostuksen nousu. Tunnettu heikkous, jolla on uskottava omistaja ja rahoitettu käsittelysuunnitelma, on helpompi arvioida kuin itsevarma väite, jonka puuttuva näyttö kumoaa.

Johdon tulee kertoa olennaiset rajoitukset täsmällisesti. Rajattu sertifikaatti ei automaattisesti kata yritysostoa, eikä havaintoja sisältävää raporttia pidä esittää ehdottomana todisteena tietoturvasta.

Valitse investoinnit päätösten, ei pätevyystodistusten luettelon perusteella

Käytännöllinen suositus on jakaa rahoitusesitys kolmeen tasoon:

1. Vaaditut sitoumukset: sovellettavat velvoitteet ja sopimuslupaukset, jotka on toteutettava.
2. Olennaisten riskien käsittely: parannukset, jotka liittyvät kriittisiin palveluihin ja uskottaviin vikaantumisskenaarioihin.
3. Kaupalliset ja operatiiviset parannukset: varmennuskyvykkyydet ja työnkulkumuutokset, joilla on mitattavia hyötyjä.

Ilmoita kunkin ehdotuksen osalta soveltamisala, omistaja, kustannus, riippuvuus, odotettu lopputulos ja katselmoinnissa tarvittava näyttö. Ota mukaan lykkäämisen seuraukset. Sertifiointihanke voi riippua toimivista hallintakeinoista ja sisäisestä katselmoinnista; asiakkaan määräaika ei voi luoda puuttuvaa historiaa hallintakeinojen toiminnasta.

Aikaisempi aloittaminen voi mahdollistaa hallitun korjaamisen ja näytön keräämisen. Se ei tarkoita, että jokainen nuori yritys tarvitsisi jokaisen viitekehyksen. Priorisoi todellisten velvoitteiden, palveluriskien ja kohdeasiakkaiden mukaan.

Älä palkitse tiimejä pelkästään havaintojen nopeasta sulkemisesta. Hyväksytty riski voi olla perusteltu, mutta siitä on käytävä ilmi, kuka sen hyväksyi, liiketoiminnallinen peruste, mahdolliset korvaavat toimenpiteet ja milloin päätös vanhenee tai se on harkittava uudelleen.

Laskuesimerkki: rajattu liiketoimintaperuste

Tarkastellaan havainnollistavaa ohjelmistoyritystä, joka parantaa asiakasarviointien ja toistuvien näyttöjen työnkulkuja. Alla olevat luvut ovat oletuksia, eivät markkinavertailuja tai Secanin lupauksia.

Sen vuotuinen lähtötaso on 60 asiakasarviointia kahdeksan sisäisen työtunnin hintaan kukin sekä 12 sisäistä näyttökierrosta 20 tunnin hintaan kukin: yhteensä 720 tuntia.

Ehdotetussa työnkulussa käytetään katselmoituja vastauksia, linkitettyä näyttöä, nimettyjä omistajia ja ajastettuja päivityksiä. Yritys olettaa, että asiakasarvioinnit lyhenevät neljään tuntiin ja sisäiset kierrokset kymmeneen tuntiin kukin: 360 tuntia, mukaan lukien näytön rutiininomainen ylläpito.

Oletetulla 80 euron täysimääräisellä tuntikustannuksella vapautuneet 360 tuntia vastaavat 28 800 euron vuotuista kapasiteettiarvoa. Oletetaan 12 000 euron toistuvat ulkoiset kustannukset ja 10 000 euron kertaluonteiset käyttöönottokustannukset. Ensimmäisen vuoden mallinnettu taloudellinen hyöty on siten 6 800 euroa. Myöhemmät vuodet olisivat erilaisia, ja työkuorman muutokset voisivat kumota oletukset.

Tämä ei automaattisesti ole rahallinen säästö. Palkat pysyvät ennallaan, ellei kuluerä todella poistu. Taloushallinnon tulee myös tarkistaa, että käyttöönoton työ ja jatkuva hallinnointi sisältyvät laskelmaan kerran eivätkä jää pois tai tule lasketuksi kahdesti.

Kaupallisesti yritys kirjaa, mitkä mahdollisuudet edellyttävät parempaa varmennusta, mutta ei lisää niiden koko sopimusarvoa operatiiviseen tuottoon. Häiriönsietokyvyn osalta se seuraa palautustuloksia ja myöhässä olevia korjaustoimia erikseen sen sijaan, että osoittaisi spekulatiivisia vältettyjen tappioiden säästöjä.

Alustavan katselmointijakson jälkeen johto vertaa toteutuneita tunteja oletuksiin. Jos vastausten valmistelu nopeutuu mutta ostajat odottavat yhä puuttuvaa teknistä hallintakeinoa, seuraava päätös koskee tätä hallintakeinoa eikä kyselylomakkeiden lisäautomatisointia.

Muuta peruste vastuulliseksi työnkuluksi

Aloita yhdestä asiakasarvioinnin työnkulusta ja yhdestä toistuvasta sisäisestä prosessista. Kirjaa lähtötaso, määritä rajattu parannus, nimeä omistaja ja katselmoija ja aseta katselmointijakso. Pidä kaupalliset, operatiiviset ja tietoturvaan liittyvät tulokset erillään johdon raportoinnissa.

Secani tukee tätä lähestymistapaa yhdistämällä vaatimukset, näytön, omistajat, tehtävät ja katselmointipäätökset ISMS-työtilassa. Tiimi voi aloittaa yhdestä palvelusta, mallintaa sen järjestelmät ja riippuvuudet, liittää olemassa olevan näytön asiaankuuluviin vaatimuksiin ja muuttaa puutteet osoitetuksi työksi. Tekoälyavusteiset ehdotukset pysyvät ihmisen katselmoitavina luonnoksina, ja lähteet ja hyväksynnät pysyvät jäljitettävinä.

Johdon seuraava askel on kohdennettu katselmointi: mikä ostoehto on ratkaisematta, mitä toistuvaa työtä voidaan vähentää ja mistä olennaisesta riskistä puuttuu päätös? Hyväksy työ näitä kysymyksiä vasten ja tarkastele sitten näyttöä edistymisestä. Näin tietoturvasta ja vaatimustenmukaisuudesta tulee hallittu liiketoimintainvestointi eriytymättömän budjettirivin sijaan.