Euroopa Liidu NIS2 direktiiv ja Eestis selle eesmärke jõustav küberturvalisuse seadus kohustavad paljusid organisatsioone hindama küberriske ja rakendama turvameetmeid. Nõuded aitavad kaitsta digiriiki, majandust ja kriitilisi teenuseid, kuid võivad tunduda organisatsioonile keerulise lisakohustusena.

Seeba hinnangul algavad raskused sageli mõistetest. Oht on võimalik kahjulik sündmus, näiteks tehniline rike, inimlik viga või küberrünne. Risk sõltub aga juba konkreetsest organisatsioonist: kui väärtuslikud on andmed ja teenused, kui suur võib olla kahju ning kui tõenäoliselt oht realiseerub. “Abstraktne hoiatus, et ründaja võib võrku tungida ja kahju tekitada, ei pruugi veel kedagi tegutsema panna,” selgitas Seeba.

Kui organisatsiooni pole varem tabanud tõsine intsident, võib küberturve tunduda teoreetilise teemana. Ka lihtsad meetmed võivad tunduda keerulised: näiteks võib arvuti ketta krüpteerimine tähendada praktikas pelgalt seda, et seadistamisel tuleb teha vaid üks valik.

Seeba uurimistöö järgi aitab vastuseisu vähendada see, kui organisatsioon saab oma turvatasemest selge pildi. Kui organisatsioon näeb, et osa meetmeid on juba olemas, kaob küsimus “miks me peame seda tegema?” ja asemele astub “kuidas saaksime olukorda parandada?”.

Turbepilt kümnes valdkonnas

Seeba pakkus selleks välja enesehindamise raamistiku F4SLE (Framework for Security Level Evaluation). Raamistik aitab saada ülevaate, kuidas rakendatakse turvameetmeid kümnes valdkonnas: infoturbe juhtimises, organisatsioonis ja personalis, intsidentide halduses, taristus, võrkudes, IT-süsteemides, rakendustes ja tööstusautomaatikas.

Kõigi võimalike turvameetmete kontrollimise asemel oli Seeba eesmärk anda organisatsioonile selge tervikvaade. Seetõttu piirdus ta 200 küsimusega. Hinnangu tulemusel näeb organisatsioon, millistes turbevaldkondades on seis parem ja kus laiutavad suuremad puudujäägid. Tulemusi saab võrrelda teiste sarnaste organisatsioonide keskmisega ning valida nende abil sobivad parendused.

Tehnoloogia ja ründemeetodid muutuvad aga kiiresti. Seetõttu töötas Seeba lisaks välja MUSE-meetodi. See aitab hindamisvahendit uuendada nii, et eri aastatel kogutud tulemused on endiselt võrreldavad. Üksikute turvameetmete asemel hindab see suuremaid turbevaldkondi.

Usalduse küsimus

Seeba pani kolleegidega F4SLE raamistiku 284 korral proovile Eesti, Tšehhi ja Kesk-Ameerika väikeettevõtetes. Andmed koguti nii, et üksikasjalikud vastused jäid organisatsioonide endi arvutitesse. Keskserverisse saadeti vaid koondnäitajad ja üldised metaandmed, mitte turvameetmeid kirjeldavad toorandmed.

Seeba sõnul pakuvad koondatud turbetulemused väärtuslikku infot nii riigile, järelevalveasutustele, partneritele kui ka organisatsioonidele endile. Näiteks saab nii võrrelda eri sektorite valmisolekut, hinnata tarneahela partnereid ning asutusi sihipäraselt koolitada ja nõustada.

Andmete jagamiseks peab organisatsioonidel olema aga selge põhjus. Lisaväärtust loob näiteks võimalus võrrelda end sarnaste asutustega, osaleda koolitustel või saada partnerite turbeolukorrast parem ülevaade. Kui tulemusi jagatakse keskselt ja pika aja vältel, tuleb kindlasti tagada andmete autentsus.

Juhi vastutus

Seeba nentis, et juristid ja insenerid räägivad küberturbest sageli eri keeltes. Jurist näeb regulatsioonis eelkõige reegleid ja nõuetele vastavust, insener aga süsteemide ennetavat parandamist. Neid vaateid aitavad ühendada kasutuslood, mis seovad tervikuks tehnilise lahenduse, inimese vajadused ja õigusliku eesmärgi.

Tulevikus võiks küberturvet toetada tehisaru ja automaatsed kontrollid. Need võimaldaks anda asutustele soovitusi, mis lähtuvad otse nende tegevusvaldkonnast ja senisest turbeolukorrast. Samas ei tohi organisatsioone koormata andmekogumisega, mis ei loo neile endile selget väärtust.

“Küberturve pole ammu enam ainult IT-ekspertide pärusmaa,” rõhutas Seeba. Juht peab teadma, millised protsessid on asutusele elutähtsad, kus asuvad kriitilised andmed ning kuidas hoida tööd käigus ka hädaolukorras.

Tutvu doktoritööga “A multi-stakeholder framework for comparable and repeatable security level evaluation in organizations” Tartu Ülikooli digikogus. Mari Seebat juhendas Tartu Ülikooli infoturbe professor Raimundas Matulevicius, oponeerisid Audun Jøsang Oslo Ülikoolist ja Simon Hacks Stockholmi Ülikoolist.