Küberturvalisus pole tehniline, vaid juhtimise küsimus. Seal, kus juhtkond mõistab infoturvet kui organisatsiooni toimimise loomulikku osa, on ka küberturvalisuse tase parem. Kus infoturvet nähakse mõttetu kohustuse, paratamatu tüütuse või välise vaenlasena, pole põhjust oodata sisulist paranemist.
Kui juhtkond ei võta vastutust, ei tee otsuseid, ei eralda vahendeid ega oska põhimõtteid selgitada, siis ei jõuta ka tulemuseni. See kehtib ühtemoodi nii avalikus kui ka erasektoris, nii suurtes kui ka väikestes organisatsioonides. Dokumentatsioon võib olla laitmatu, poliitikad korrektselt vormistatud ja auditiks vajalik kaust kenasti komplekteeritud, kuid tegemist on näilise infoturbega, mis annab ainult näilise turvatunde. Kehvemal juhul hammustab see peagi valusalt mõne intsidendi näol.
Küberturvalisus pole kallis kast riiulis
Kuuleme sageli, et küberturbe jaoks pole raha. Arvatakse, et küberturvalisus tähendab kalleid vilkuvate tulukestega kaste serveriruumis või pilveteenuseid, mille nimed kõlavad muljetavaldavalt. Kuid küsimus pole rahas, vaid tahtes ja suutlikkuses asju läbi mõelda ja kokkuleppeid järgida. Varade kirjapanek, vastutuste määratlemine, ligipääsude mõistlik haldamine, varundamise distsipliin ja muudatuste juhtimine on tegevused, mille rahaline kulu on sageli väike.
Endiselt kohtame arusaama, et järelevalve või auditi käigus kontrollitakse eelkõige dokumentide olemasolu. Dokumendid pole vajalikud järelevalve, vaid organisatsiooni enda jaoks, kirjeldamaks, kuidas peaks protsessid toimima.
Järelevalve huvi ei ole paber, vaid protsesside toimivus. Dokumente on vaja täpselt nii palju, kui need aitavad kirjeldada ja toetada reaalseid tegevusi. Küps organisatsioon kasutab dokumente töövahendina. Ebaküps toodab neid järelevalve või auditi rahustamiseks.
Standard ei päästa, kui mõistmine puudub
Praktikas ei ole sisulist vahet, kas organisatsioon lähtub E-ITSist, ISO27001st või muust raamistikust, sest probleemid ei teki reeglina sellest, et meedet ei osata rakendada, vaid palju varem. Sageli komistatakse juba varade mõistmise faasis: ei teata, mis varad organisatsioonil on, kui olulised need on. Sealt edasi: miks ja kui kiivalt peaks neid kaitsma ning kes peaks otsused tegema.
Kontrollide käigus selgub sageli, et süsteeme käsitletakse võrdselt, riskianalüüsis on kõik riskid keskmised ning meetmed rakendatud pigem üldise kontrollnimekirja kui teadliku valiku alusel. Alles pärast tõsist intsidenti mõistetakse, et mõni seni tagaplaanil olnud süsteem oli tegelikult ärikriitiline.
Riskihaldus on siin hea lakmuspaber. Kui ei tehta vahet riskil ja ohul, kui riske käsitletakse formaalse tabeli, mitte otsustusvahendina, on ka infoturbemeetmed juhuslikud ja ala- või üledimensioneeritud. Ebaküpses organisatsioonis on riskianalüüs sõimusõna.
Vastutust ei saa sisse osta
Väiksemate organisatsioonide puhul on koostöö, ühishanked ja kesksete teenuste kasutamine sageli mõistlik ja vältimatu. Need võimaldavad teha rohkem ja tõhusamalt.
Paraku tuleb järelevalves ette olukordi, kus organisatsioon eeldab ekslikult, et näiteks pilve- või turvateenuse kasutamine vabastab sisulisest vastutusest infoturbe eest. Küsimusele riskide hindamise või teenusepakkuja üle järelevalve tegemise kohta viidatakse lepingule või teenuse mainele. Tegelikkuses täidab teenusepakkuja lepingut, kuid ei tee strateegilisi otsuseid organisatsiooni eest. Küps organisatsioon mõistab, et ka teenuse sisseostmisel jääb vastutus enda kanda.
Alusta endast
Küberturvalisuse tase on otsene peegeldus organisatsiooni küpsusest: juhtimiskultuurist, vastutusvõimest, protsesside mõtestatusest ja valmisolekust teha otsuseid.
Kui organisatsioon soovib parandada oma küberturvalisuse olukorda, ei tasu alustada uue standardi või järgmise tehnilise lahenduse otsimisest. Alustada tuleb iseendast.
Küps organisatsioon mõistab, mida ta teeb, miks ta seda teeb ja kes vastutab.
Ebaküps tegeleb sümptomite, mitte põhjustega. Küberturvalisuses joonistub see vahe välja halastamatult.
Vastutus jääb alati organisatsioonile endale. Kui see põhimõte pole selge, hakkavad probleemid kiiresti kuhjuma.
Viimati uuendatud 04.02.2026
