Kontrollien suunnittelu - SecMeter

Lataa linkistä yritykselle selkeä ja helppokäyttöinen kontrollikorin suunnittelumalli. Malli on toteutettu selainversiona, joka tuottaa johdon raportin automaattisesti vastausten perusteella. Sovelluksen vapaata käyttöä yrityksen sisäisessä toiminnassa ei ole rajoitettu. Sovellusta ei saa käyttää maksullisten konsultointi-, arviointi- tai auditointipalvelujen tuottamiseen kolmansille osapuolille.

Kontrollikorin lähtökohta

Kontrollikori on perusteltava yrityksen todellisten riskien ja toiminnan perusteella. Sama kontrollikokonaisuus ei sovellu sellaisenaan kaikille yrityksille, toimialoille tai toimintaympäristöille. Kontrollien suunnittelussa on ensin ymmärrettävä, mitä suojataan, miltä sitä suojataan ja millaisia seurauksia epäonnistumisesta voisi aiheutua. Suunnittelun lähtökohtana tulisi kuvata ainakin:

• arvioinnin kohteena oleva liiketoimintayksikkö, toiminto tai järjestelmä
• toiminnan kannalta keskeiset resurssit
• suojattavat tiedot, henkilöt, tilat, järjestelmät ja prosessit
• olennaiset ulkoiset ja sisäiset riippuvuudet
• suunnittelussa käytetyt lähtöoletukset
• toimintaan liittyvät rajoitteet
• hyväksyttävä riskitaso.

SecMeter SATA -mallin ensimmäisellä sivulla korostetaan rajauksen, keskeisten resurssien ja suunnittelun lähtöoletusten määrittämistä. Lisäksi siinä todetaan, että hallintatoimenpiteiden toteutuksessa on huomioitava Suomen lainsäädäntö, viranomaismääräykset ja hyvä tiedonkäsittelytapa.

Rajaus on ratkaiseva, koska kontrollikorin arviointi menettää merkityksensä, jos ei tiedetä, mitä kokonaisuutta tulos kuvaa. Esimerkiksi koko yrityksen kontrollikorin arviointi on eri asia kuin yksittäisen tuotantolaitoksen, tietojärjestelmän, toimitilan tai liiketoimintaprosessin arviointi. Ilman selkeää rajausta kontrollit voivat näyttää kattavilta, vaikka ne tosiasiassa suojaavat vain osaa tarkasteltavasta toiminnasta.

Kontrollien suunnittelun periaatteet

Hyvä kontrolli ei ole ainoastaan olemassa oleva toimenpide. Sen tulee olla tarkoituksenmukainen, toteuttamiskelpoinen, vastuullistettu ja riittävän vaikuttava suhteessa hallittavaan riskiin. Kontrollin suunnittelussa tulisi vastata vähintään seuraaviin kysymyksiin:

• Mitä riskiä kontrollilla hallitaan?
• Mihin riskin syyhyn, toteutumiseen tai seuraukseen kontrolli vaikuttaa?
• Onko kontrolli ehkäisevä, ilmaiseva vai lieventävä?
• Kuka vastaa kontrollin toteuttamisesta?
• Milloin ja missä tilanteessa kontrolli toimii?
• Miten kontrollin toimivuus voidaan osoittaa?
• Mitä tapahtuu, jos kontrolli ei toimi?
• Tarvitaanko kontrollille korvaavaa tai täydentävää kontrollia?

Kontrollin tulisi olla yhteydessä tunnistettuun riskiin. Jos kontrollia ei voida yhdistää mihinkään riskiin, vaatimukseen tai toiminnalliseen tavoitteeseen, sen tarpeellisuutta on vaikea perustella. Vastaavasti merkittävälle riskille ei tulisi hyväksyä kontrollia vain siksi, että se on helppo tai edullinen toteuttaa.

Kontrollien suunnittelu on tasapainottamista. Liian vähäinen kontrollointi jättää riskit hallitsematta, mutta liian raskas kontrollointi voi haitata liiketoimintaa, hidastaa prosesseja ja lisätä kustannuksia ilman vastaavaa turvallisuushyötyä. Kontrollikorin tulisi siksi olla suhteutettu toiminnan kriittisyyteen ja riskien merkittävyyteen.

Ehkäisevät kontrollit

Ehkäisevien kontrollien tehtävänä on estää riskin toteutuminen tai vähentää sen toteutumisen todennäköisyyttä. SecMeter SATA -mallissa ehkäiseville kontrolleille annetaan 60 prosentin ideaalipaino. Tämä merkitsee, että mallissa turvallisuuden ensisijaisena lähtökohtana pidetään vahinkojen ja häiriöiden estämistä ennen niiden toteutumista.

Ehkäisevät kontrollit jaetaan mallissa kolmeen kokonaisuuteen:

• vaikutuksia pysäyttäviin ominaisuuksiin
• vaikutuksia rajaaviin ominaisuuksiin
• pelotevaikutuksiin.

Vaikutuksia pysäyttävät ominaisuudet

Vaikutuksia pysäyttävä kontrolli estää tapahtuman etenemisen ennen kuin vahinko syntyy tai ennen kuin se laajenee merkittäväksi. Tällaisia kontrolleja voivat olla esimerkiksi käyttöoikeuksien rajoittaminen, fyysiset lukitukset, monivaiheinen tunnistautuminen, automaattinen estotoiminto tai vaarallisen työvaiheen tekninen lukitus.

Tehokkaimmillaan pysäyttävä kontrolli toimii automaattisesti eikä ole riippuvainen yksittäisen henkilön muistamisesta tai harkinnasta. Ihmiseen perustuva tarkistus voi olla tarpeellinen, mutta sen toimintavarmuus on yleensä heikompi kuin järjestelmäohjatun eston.

Vaikutuksia rajaavat ominaisuudet

Rajaavat kontrollit eivät välttämättä estä tapahtumaa kokonaan, mutta ne rajoittavat sen laajuutta, etenemistä tai vaikutusaluetta. Esimerkkejä ovat verkkosegmentointi, tilojen vyöhykkeistäminen, käyttöoikeuksien minimointi, varastomäärien rajoittaminen ja tehtävien eriyttäminen.

Rajaaminen on tärkeää erityisesti tilanteissa, joissa täydellinen estäminen ei ole mahdollista. Kaikkia virheitä, teknisiä vikoja tai tahallisia tekoja ei voida varmasti estää. Tällöin kontrollikorin tulee estää yksittäistä poikkeamaa muuttumasta laajaksi häiriöksi.

Pelotevaikutukset

Pelotevaikutus perustuu siihen, että henkilö tietää toiminnan olevan valvottua, säädeltyä tai seuraamuksia aiheuttavaa. Pelotteita voivat olla näkyvä kameravalvonta, kulunvalvonta, lokitus, selkeät seuraamuskäytännöt, sopimusehdot ja työntekijöille annetut turvallisuusohjeet.

Pelote ei kuitenkaan yksinään ole vahva kontrolli. Se voi vähentää väärinkäytösten todennäköisyyttä, mutta se ei takaa, ettei väärinkäytöstä tapahdu. Siksi pelotevaikutus tulisi yleensä yhdistää todelliseen valvontaan, tunnistamiseen ja seuraamusten toteuttamiseen.

Ilmaisevat kontrollit

Ilmaisevien kontrollien tarkoituksena on tunnistaa jo tapahtunut tai käynnissä oleva poikkeama. SecMeter SATA -mallissa niiden ideaalipaino on 10 prosenttia. Mallissa ilmaisevat kontrollit jaetaan suoria vaikutuksia tunnistaviin ja paikantaviin ominaisuuksiin, välillisiä vaikutuksia rajaaviin ominaisuuksiin sekä vaikutuksia yksilöiviin ominaisuuksiin.

Ilmaisevan kontrollin arvo riippuu olennaisesti havaitsemisnopeudesta. Kontrolli, joka paljastaa poikkeaman vasta kuukausien kuluttua, voi olla hyödyllinen selvittämisen tai vastuiden kannalta, mutta sen kyky pienentää vahinkoa on rajallinen.

Tunnistaminen ja paikantaminen

Ilmaisevan kontrollin tulee kertoa, että jotakin poikkeavaa on tapahtunut. Hyvä kontrolli kertoo lisäksi, missä poikkeama tapahtuu ja mihin omaisuuteen, prosessiin tai järjestelmään se kohdistuu.

Esimerkiksi yleinen hälytys voi kertoa tietoturvapoikkeamasta, mutta ilman paikantamista organisaation reagointi hidastuu. Kehittyneempi kontrolli tunnistaa poikkeavan tapahtuman lähteen, kohteen, ajan ja mahdollisen etenemissuunnan.

Välillisten vaikutusten havaitseminen

Kaikki poikkeamat eivät näy suoraan. Häiriön ensioire voi olla esimerkiksi prosessin hidastuminen, poikkeava energiankulutus, selittämätön käyttöoikeusmuutos, toimitusketjun viive tai asiakaspalautteiden lisääntyminen.

Ilmaisevien kontrollien suunnittelussa tulisi siksi tarkastella myös epäsuoria merkkejä. Organisaation tulee tunnistaa, millaiset poikkeamat sen normaalista toiminnasta voivat kertoa alkavasta turvallisuusongelmasta.

Vaikutusten yksilöinti

Pelkkä hälytys ei vielä kerro, kuinka vakavasta tapahtumasta on kyse. Ilmaisevan kontrollin tulisi mahdollisuuksien mukaan auttaa määrittämään:

• mitä tapahtui
• milloin tapahtuma alkoi
• mihin se kohdistui
• kuinka laajasta vaikutuksesta on kyse
• jatkuuko tapahtuma edelleen
• mikä on tapahtuman todennäköinen syy.

Ilmaisevat kontrollit muodostavat perustan tilanteen johtamiselle. Ilman riittävää tilannekuvaa organisaatio voi käyttää voimavaransa väärään kohteeseen tai reagoida liian hitaasti.

Lieventävät kontrollit

Lieventävien kontrollien tarkoituksena on pienentää toteutuneen tapahtuman seurauksia ja nopeuttaa palautumista. SecMeter SATA -mallissa niiden ideaalipaino on 30 prosenttia. Mallissa lieventävät kontrollit jaetaan vaikutuksia korjaaviin toimenpiteisiin, vaikutuksia korvaaviin ratkaisuihin sekä toipumista nopeuttaviin mekanismeihin.

Vaikutuksia korjaavat toimenpiteet

Korjaavien toimenpiteiden tehtävänä on palauttaa vahingoittunut toiminto, järjestelmä tai resurssi toimintakykyiseksi. Tällaisia voivat olla teknisen vian korjaaminen, haitallisen ohjelmiston poistaminen, vahingoittuneen tilan kunnostaminen tai virheellisen tiedon oikaiseminen.

Korjaavan kontrollin vaikuttavuutta voidaan arvioida esimerkiksi korjausajan, tarvittavien resurssien, toimintavarmuuden ja saavutettavan lopputuloksen perusteella.

Korvaavat ratkaisut

Korvaava ratkaisu mahdollistaa toiminnan jatkamisen, vaikka alkuperäinen resurssi ei ole käytettävissä. Esimerkkejä ovat varajärjestelmä, vaihtoehtoinen toimittaja, varavoima, väistötila tai manuaalinen menettely automaattisen järjestelmän häiriötilanteessa.

Korvaavien kontrollien suunnittelussa on varmistettava, että ne ovat aidosti käyttökelpoisia. Varajärjestelmä, jota ei ole testattu, tai vaihtoehtoinen toimittaja, jonka toimituskykyä ei ole varmistettu, ei välttämättä toimi todellisessa häiriössä.

Toipumista nopeuttavat mekanismit

Toipumista nopeuttavat kontrollit lyhentävät häiriön kestoa ja tukevat hallittua palautumista. Näitä voivat olla valmiit jatkuvuussuunnitelmat, harjoitellut toimintamallit, palautusohjeet, varmuuskopiot, valmiussopimukset ja ennalta määritetyt johtamisvastuut.

Toipuminen ei tarkoita vain teknisen järjestelmän käynnistämistä uudelleen. Siihen voi kuulua myös henkilöstön saatavuuden varmistaminen, asiakasviestintä, toimitusten uudelleenjärjestely, sopimusvelvoitteiden hallinta ja mainevaikutusten rajoittaminen.

Vaikuttavuuden arviointi

SecMeter SATA -mallissa kontrollien vaikuttavuutta arvioidaan asteikolla 0–5:

0: kontrolli on vain nimellinen eikä vaikuta riskiin

1: vaikutus on heikko tai epäsuora

2: kontrolli perustuu lähinnä jälkikäteiseen valvontaan tai tarkistukseen

3: kontrolli on kytketty prosessiin

4: kontrolli perustuu järjestelmäohjattuun estoon

5: kontrolli toimii erittäin tehokkaasti ja automaattisesti.

Arviointiasteikon tarkoituksena ei tulisi olla pelkästään kontrollien järjestäminen paremmuusjärjestykseen. Sen avulla voidaan tarkastella, kuinka riippuvainen kontrolli on manuaalisesta työstä, ihmisen harkinnasta, jälkikäteisestä tarkastuksesta tai teknisestä automaatiosta.

Pisteytyksessä on vältettävä liian optimistisia arvioita. Kontrollin suunniteltu ominaisuus ei vielä osoita sen toimivuutta. Esimerkiksi automaattiseksi kuvattu kontrolli voi olla väärin määritetty, osittain käytössä tai helposti ohitettavissa. Arvioinnin tulisi siksi perustua riittävään näyttöön kontrollin suunnittelusta, käyttöönotosta ja toiminnasta.

Kontrollien keskinäinen täydentävyys

Kontrollikorin tärkein ominaisuus ei ole yksittäisten kontrollien määrä vaan niiden keskinäinen täydentävyys. Sama riski tulisi mahdollisuuksien mukaan hallita useassa vaiheessa. Esimerkiksi luvattoman pääsyn riskiä voidaan hallita:

• ehkäisevästi tunnistautumisella ja käyttöoikeuksilla
• ilmaisevasti lokituksella ja poikkeamahälytyksillä
• lieventävästi tunnusten sulkemisella, käyttöoikeuksien palauttamisella ja vahinkojen selvittämisellä.

Tätä lähestymistapaa voidaan kutsua kerrokselliseksi suojaamiseksi. Jos yksi kontrolli pettää, seuraava voi edelleen havaita tai rajoittaa tapahtumaa. Kontrollit eivät kuitenkaan saa olla näennäisesti erillisiä mutta todellisuudessa saman riippuvuuden varassa. Jos esimerkiksi useat kontrollit perustuvat samaan järjestelmään, sen vikaantuminen voi poistaa ne kaikki käytöstä samanaikaisesti.

Kontrollien riippuvuudet ja yhteisvikaantuminen

Kontrollien suunnittelussa tulee tunnistaa niiden riippuvuudet. Kontrolli voi olla riippuvainen esimerkiksi sähköstä, tietoliikenteestä, pilvipalvelusta, avainhenkilöstä, ulkoisesta palveluntarjoajasta tai toisesta tietojärjestelmästä.

Yhteisvikaantuminen tarkoittaa tilannetta, jossa yksi häiriö poistaa useita kontrolleja käytöstä. Esimerkiksi sähkökatko voi samanaikaisesti estää kulunvalvonnan, kameravalvonnan ja verkkoyhteydet. Tällöin kontrollikori voi näyttää paperilla kattavalta, mutta sen todellinen häiriönsietokyky on heikko. Riippuvuuksien arvioinnissa tulisi kysyä:

• voiko yksi tapahtuma ohittaa useita kontrolleja
• ovatko varajärjestelmät riippumattomia ensisijaisista järjestelmistä
• onko kontrollilla vaihtoehtoinen toimintatapa
• onko vastuu yhden henkilön tai toimittajan varassa
• miten kontrolli toimii poikkeusoloissa.

Vastuut ja omistajuus

Jokaisella kontrollilla tulee olla nimetty omistaja. Omistaja vastaa siitä, että kontrolli on suunniteltu, toteutettu, dokumentoitu, ylläpidetty ja tarvittaessa testattu.

Kontrollin omistaja ei voi olla koskaan henkiö. Omistaja on aina liiketoimintayksikkö tai toiminto. Esimerkiksi käyttöoikeusprosessin ja siihen liittyvien kontrollien omistaja voi olla tietohallinto, mutta käyttöoikeuksien ja kontrollien hyväksyminen kuuluu liiketoiminnan esihenkilöille. Vastuiden tulisi kattaa vähintään:

• kontrollin hyväksyminen
• päivittäinen toteuttaminen
• tekninen ylläpito
• valvonta ja poikkeamien käsittely
• testaus
• raportointi
• korjaavien toimien käynnistäminen.

Ilman selkeää nimettyä omistajuutta ja vastuuhenkilöä kontrolli voi jäädä muodolliseksi vaatimukseksi, jonka toiminnasta kukaan ei käytännössä vastaa.

Kontrollien testaus

Kontrollien suunniteltu vaikuttavuus ja käytännössä osoitettu vaikuttavuus ovat eri asioita. SecMeter SATA -mallin tulos kuvaa ensisijaisesti suunniteltujen kontrollien arvioitua vaikuttavuutta suhteessa mallin painotuksiin. Se ei yksin osoita kontrollien käytännön toimivuutta, kattavuutta tai testattua tehokkuutta.

Kontrollin testauksessa voidaan arvioida esimerkiksi:

• käynnistyykö kontrolli suunnitellusti
• kattaako se tarkoitetut kohteet
• voidaanko se ohittaa
• syntyykö hälytys oikeaan paikkaan
• reagoidaanko havaintoon riittävän nopeasti
• toimiiko varajärjestely todellisessa häiriössä
• säilyykö kontrollin toiminta muuttuneissa olosuhteissa.

Testauksen tulokset tulisi dokumentoida. Jos kontrolli ei toimi suunnitellusti, sen pisteytystä ei pitäisi perustaa pelkästään tavoitetilaan.

Painotettu kokonaisarvio

SecMeter SATA -mallissa kokonaisarvio muodostetaan kontrolliryhmien toteumasta ja niiden ideaalipainoista. Ehkäisevien kontrollien enimmäisosuus on 60 pistettä, ilmaisevien 10 pistettä ja lieventävien 30 pistettä. Täydellinen kokonaisvastaavuus on siten 100 pistettä.

Painotus korostaa sitä, ettei yhden kontrolliryhmän erinomainen tulos korvaa kokonaan muiden ryhmien puutteita. Esimerkiksi lieventävien kontrollien 100 prosentin toteuma tuottaa enintään 30 pistettä. Organisaatio voi tällöin olla hyvä palautumaan vahingosta, mutta sen kyky estää tapahtumia voi silti olla puutteellinen.

Painotettu arvio auttaa tunnistamaan kontrollikorin rakenteellisen tasapainon. Se ei kuitenkaan yksin ratkaise, onko kontrollikori riittävä suhteessa organisaation riskeihin. Korkea pistemäärä voi syntyä vain arvioiduista kontrolleista, vaikka jokin merkittävä riski olisi jäänyt kokonaan arvioinnin ulkopuolelle. Siksi tulos on aina tulkittava yhdessä rajauksen ja riskianalyysin kanssa.

Kontrollikorin kehittäminen

Kontrollikori ei ole pysyvä. Yrityksen toiminta, teknologia, toimitusketjut, henkilöstö, uhkaympäristö ja sääntely muuttuvat jatkuvasti. Kontrollikoria tulisi arvioida uudelleen ainakin silloin, kun:

• käyttöön otetaan uusi järjestelmä tai teknologia
• toimintoja ulkoistetaan
• organisaatiorakenne muuttuu
• tapahtuu merkittävä turvallisuuspoikkeama
• liiketoimintaprosessi muuttuu
• sääntely tai viranomaisvaatimukset muuttuvat
• kontrollin testaus osoittaa puutteita
• toimintaympäristöön syntyy uusi uhka.

Kehittämisen tavoitteena ei ole aina lisätä kontrolleja. Joskus parempi ratkaisu on poistaa päällekkäinen tai heikosti toimiva kontrolli ja korvata se selkeämmällä, automatisoidummalla tai kattavammalla ratkaisulla.

Johtopäätökset

Kontrollikorin suunnittelu on kokonaisvaltaista turvallisuusarkkitehtuurin rakentamista. Sen tulee yhdistää riskien ehkäiseminen, poikkeamien havaitseminen ja vahinkojen lieventäminen yhdeksi johdonmukaiseksi kokonaisuudeksi.

SecMeter SATA -mallin 60–10–30-painotus korostaa ehkäisevien kontrollien ensisijaisuutta, mutta säilyttää samalla ilmaisevien ja lieventävien kontrollien välttämättömän roolin. Malli auttaa tarkastelemaan sitä, onko kontrollikori tasapainoinen ja kuinka hyvin suunnitellut kontrollit vastaavat asetettua ideaalirakennetta.

Hyvin suunniteltu kontrollikori:

• perustuu tunnistettuihin riskeihin
• kattaa riskin eri vaiheet
• sisältää toisiaan täydentäviä kontrolleja
• huomioi kontrollien riippuvuudet
• nimeää vastuut
• perustuu riittävään näyttöön
• sisältää testattavat ja ylläpidettävät toimintamallit
• tukee liiketoimintaa eikä vain muodollista vaatimusten täyttämistä.

Kontrollikorin numeerinen tulos on hyödyllinen johtamisen ja kehittämisen väline, mutta sitä ei tule tulkita absoluuttiseksi todistukseksi turvallisuudesta. Todellinen vaikuttavuus syntyy vasta silloin, kun kontrollit on toteutettu, niiden toimintaa seurataan, niitä testataan säännöllisesti ja havaittuihin puutteisiin reagoidaan. Kontrollikorin suunnittelu on siten jatkuva prosessi, ei yksittäinen arviointitapahtuma.