Pk-yrityksissä tietoturva on edelleen retuperällä, vaikka aiheesta on toitotettu vuosikausia.
– Tietoturvallisuutta kehitetään usein satunnaisesti, liiketoiminnasta erillisenä, asiantuntijavoimin ja ilman tavoitteita. Poistetaan akuutteja ongelmia ja turvatoimia tehostetaan joidenkin osa-alueiden osalta, mutta kokonaisvaltainen kehittämisote puuttuu, sanoo Paavo Porvari.
Porvari on väitellyt Aalto-yliopistossa tietoturvallisuudesta osana liiketoiminnan johtamista.
Hänen mukaansa yritysjohdon pitäisi ottaa vastuu tietoturvallisuudesta huolehtimisesta, koska tietoturvallisuusriskit ovat samalla liiketoimintariskejä.
– Jos esimerkiksi tietojärjestelmien käyttö keskeytyy kahdeksi viikoksi, tuotanto pysähtyy ja seurauksena voi olla toiminnan loppuminen. Eräs tunnettu ulkomainen tietoturva-alan yritys menetti maineensa jouduttuaan tietomurron kohteeksi, jolloin asiakkaat kaikkosivat ja yritys joutui lopettamaan toimintansa, hän kertoo.
Väitöksessä kartoitettiin yhden kaupungin ja yhdeksän yrityksen tietoturvallisuuden tilan ja lisäksi yhden konsernitason yrityksen tietoriskit. Puutteita havaittiin muun muassa tietoturvapolitiikassa ja -johtamisessa, toimitilaturvallisuudessa, it-katastrofeihin varautumisessa ja ulkoistamisessa.
– Riskikartoituksessa arvioidut tuotannon potentiaaliset keskeytyskustannukset kohosivat suuriksi, Porvari varoittaa.