Askeleen edellä uhkakuvia: energia-alalla tietoturvan tulee olla kunnossa

Energia-alan tietoturvan merkitys kasvaa jatkuvasti. Digitalisaatio, automaatio ja järjestelmien väliset integraatiot tehostavat toimintaa, mutta samalla riippuvuus toimivista ja turvallisista järjestelmistä kasvaa.

Enerimin tietohallintojohtaja Mika Holstin mukaan tietoturva onkin noussut viime vuosina yhä suurempaan rooliin niin energiayhtiöissä kuin niiden palveluntarjoajilla.

– Elämme poikkeuksellisia aikoja, eikä tietoturvan painoarvoa voi vähätellä. Uhkia tulee jatkuvasti lisää. Organisaation täytyy tietää, mitä verkossa liikkuu, millaisia uhkia siihen kohdistuu ja millaisilla mekanismeilla niiltä suojaudutaan, hän sanoo.

Enerimille turvallisuus on keskeinen osa liiketoimintaa. Yhtiö toimittaa energia-alalle SaaS-palveluita, joissa käsitellään suuria määriä asiakkaiden liiketoiminnan kannalta kriittistä tietoa. Samalla Enerim näkee läheltä, kuinka eri vaiheissa energiayhtiöt ovat oman tietoturvansa kehittämisessä.

Tietoturvan keskiössä on ihminen

Tietoturvasta puhuttaessa huomio kääntyy helposti teknologiaan. Holstin mukaan teknisiä suojauksia tarvitaan, mutta viime kädessä tietoturva rakentuu pitkälti ihmisten toiminnasta.

– Kaikki lähtee käyttäjistä. Voimme rakentaa tekniset kontrollit hyvin, mutta samalla pitää huolehtia siitä, että ihmiset tietävät, miten heidän kuuluu toimia.

Käytännössä tämä tarkoittaa esimerkiksi henkilöstön kouluttamista ja selkeitä ohjeita. Hän nostaa esiin ajankohtaisen esimerkin: tekoälyn.

– Organisaatiossa voidaan määritellä tarkasti, mitä tietoja tekoälypalveluihin saa syöttää, mutta tietoturva toteutuu vasta, kun henkilöstö tuntee ohjeet ja toimii niiden mukaisesti.

Ihmisten rinnalle tarvitaan kuitenkin myös teknisiä kontrolleja. Enerim on investoinut järjestelmiensä valvontaan ja poikkeavan toiminnan tunnistamiseen. Tavoitteena on havaita uhka mahdollisimman varhaisessa vaiheessa.

Holsti vertaa ennakoivaa tunnistamista tulipalon ehkäisemiseen:

– Meidän pitää havaita uhka jo siinä vaiheessa, kun tulitikkuja vasta kaivetaan esiin.

Suunnitelma pitää myös testata

Energia-alalla tietoturva kytkeytyy olennaisesti myös toiminnan jatkuvuuteen. Kriittisen palvelun häiriössä ratkaisevaa on, kuinka nopeasti organisaatio pystyy reagoimaan ja palauttamaan toimintansa.

Monissa organisaatioissa varautumissuunnitelmat ovat toki olemassa. Holstin mukaan seuraava kysymys onkin, onko niitä todella kokeiltu.

– Suunnitelma voi olla paperilla erittäin hyvä, mutta jos prosessia ei ole harjoiteltu käytännössä, ei vielä tiedetä, miten se toimii tositilanteessa.

Enerim tekee asiakkaidensa kanssa kriittisten tilanteiden pöytäharjoituksia. Harjoituksessa voidaan käydä läpi esimerkiksi tilanne, jossa keskeinen palvelu lakkaa toimimasta. Mitä tapahtuu ensimmäisten minuuttien ja tuntien aikana? Kuka reagoi? Milloin ja miten asiakkaille viestitään? Entä kuinka palautuminen käynnistetään?

Harjoittelussa löydetään usein hyvin käytännöllisiä kehityskohteita.

– Kun tilanne on päällä, ei ole aikaa alkaa miettiä kaikkea alusta. Siksi nämä asiat kannattaa käydä läpi etukäteen.

Koko ekosysteemin pitää olla vahva

Energia-alan järjestelmät ovat yhä tiiviimmin yhteydessä toisiinsa. Siksi yksittäisen yrityksen tietoturvaa ei voi Holstin mukaan tarkastella täysin irrallaan asiakkaista, kumppaneista ja palveluntarjoajista.

– Yhtiöt ovat häiriöitä vastaan yhtä vahvoja kuin ketjun heikoin lenkki. Jos joku taho ei hoida tietoturvaa riittävän hyvin, vaikutukset voivat ulottua muihinkin.

Enerimin omaa tietoturvan hallintajärjestelmää kehitetään kansainvälisten ISO 27001 -standardien mukaisesti, ja yhtiö on yltänyt riippumattomissa kyberkypsyysanalyyseissä äärimmäisen korkeisiin tuloksiin.

Holstin mukaan tavoitteena on pitää tietoturvan taso korkealla ja kehittää sitä jatkuvasti muuttuvan toimintaympäristön mukana.

Konkreettinen turvallisuustekijä on myös se, että Enerimin kriittiset palvelut tuotetaan Suomessa sijaitsevista palvelinsaleista. Nykyisessä geopoliittisessa tilanteessa Holsti pitää tätä selvänä vahvuutena.

Enerim ei kuitenkaan halua kehittää vain omaa tietoturvaansa.

– Tiiviisti verkottuneella energia-alalla myös asiakkaiden ja kumppaneiden kyvykkyys vaikuttaa kokonaisuuden turvallisuuteen. Siksi haluamme tuoda hyväksi havaittuja toimintamalleja asiakkaidemme käyttöön.

Holsti kertoo, että kaikilla energiayhtiöillä ei ole samanlaisia resursseja tietoturvan kehittämiseen. Etenkin pienemmässä organisaatiossa tietoturva voi olla yksi vastuualue monien muiden joukossa. Silloin kaikkea ei ole järkevää rakentaa itse alusta lähtien.

– Hyviä käytäntöjä kannattaa hyödyntää muualta. Organisaatio voi ottaa niiden avulla paljon suuremman harppauksen kuin yrittämällä opetella kaiken itse.

Paikoilleen ei voi jäädä

Holstin mukaan energiayhtiöiden lähtötilanteet vaihtelevat paljon. Yhdessä organisaatiossa tietoturvan käytännöt ovat pitkälle kehittyneitä, toisessa asiat ovat vielä alkutaipaleella.

– Oleellista on päästä liikkeelle ja kehittää toimintaa järjestelmällisesti, hän toteaa.

Enerim haluaa auttaa asiakkaitaan tunnistamaan oman toimintansa kehityskohteita, hyödyntämään hyväksi havaittuja käytäntöjä ja testaamaan varautumistaan käytännössä. Tavoitteena on rakentaa tietoturvasta jatkuvasti kehittyvä kokonaisuus yksittäisten toimenpiteiden sijaan.

– Pienistäkin harppauksista voi käynnistyä polku kohti parempaa tietoturvaa. Paikoilleen ei voi jäädä.