Tietoturvaennustukset vuodelle 2020

Sovellustietoturvan tärkeys kasvaa

Digitalisaation myötä liiketoiminta tukeutuu enenevissä määrin erilaisiin sovelluksiin. Tätä kautta sovellusten tietoturvariskit heijastuvat suoraan liiketoiminnan riskeiksi. Tietoturvallisten sovellusten hankinta on hankalampaa kuin vaikkapa palomuurin asentaminen, koska hyökkäyspinta-ala voi olla sovelluksissa laaja. Ennusteeni on, että yhä useampi yritys alkaa pohtia miten tietoturva otetaan huomioon sovelluskehityksessä jo alkuvaiheessa. Yksi tehokas keino tähän on automaattisen tietoturvatestauksen hyödyntäminen osana sovelluskehitystä.

Identiteetin- ja pääsynhallinta alkaa siirtyä pilveen 

Identiteetin- ja pääsynhallintaratkaisut (IAM) ovat perinteisesti olleet kalliita ja raskaita järjestelmiä, joiden toteutus on saattanut viedä useita vuosia. Pilvipohjaisia identiteetin- ja pääsynhallintaratkaisuja on ollut markkinoilla jo pitkään. Ne ovat toiminnoiltaan usein karsittuja, mutta toisaalta nopeita ottaa käyttöön. Kun sovellukset alkavat olla jo pilvessä, miksi eivät käyttäjien ja asiakkaiden identiteetitkin? Ennusteeni on, että myös Suomessa yhä useampi yritys alkaa siirtämään vaiheittain identiteetin- ja pääsynhallinnan toiminnallisuuksia pilveen.

Valvonnan sijaan reagointia

Suuremmissa suomalaisissa yrityksessä SOC -palvelut alkavat olla jo tavallista arkea. Tietoturvavalvonta ja erilaisten tapahtumien tunnistaminen on tärkeää, sillä täysin "hakkeroimatonta" järjestelmää ei olekaan. Pelkän valvonnan sijaan tulevaisuudessa aletaan kiinnittämään entistä enemmän huomiota tapahtumiin reagointiin. Tapahtumiin reagointi vaatii koulutusta ja jatkuvaa harjoittelua, mutta toisaalta jatkuvasti toistuvat samat havainnot ovat tylsiä ja vievät tietoturvaosaajien arvokasta työaikaa. Ennusteeni on, että yhä useampi organisaatio alkaa panostamaan automatisoituun reagointikyvykkyyteen.

Kolmansien osapuolien tietoturvariskit nousevat

Yritykset tukeutuvat entistä enemmän  kolmansiin osapuoliin kriittisissä liiketoimintajärjestelmissä. Saattaa olla kyse pilvipalveluiden konesalipalveluista, sovelluskehityksessä käytettävissä kirjastoista tai alustataloudesta. Gartnerin mukaan 60% organisaatioista työskentelee yli 1000 kolmannen osapuolen toimijan kanssa. Keskeistä on saada näkyvyys kolmannen osapuolen riippuvuuksiin ja riskeihin, ja sen jälkeen rakentaa tarvittavat mitigoinnit riskeille. Ennusteeni on, että yhä useampi yritys alkaa suunnittelemaan mallia, jolla riskejä ja riippuvuuksia tunnistetaan sekä hankinta-/suunnitteluvaiheessa että toteutuksen aikana.

Pilvipalveluiden uhat

Pilvipalvelut tarjoavat monia etuja tietoturvanäkökulmasta omiin konesaleihin verrattuna. Esimerkiksi saman tasoiset korkean saatavuuden ratkaisut ovat erittäin kalliita omaan konesaliin rakennettuna kuin pilvipalveluissa. Pilvipalveluissa voi toisaalta saada nopeasti vahinkoa aikaan pelkästään inhimmillisen virheen takia.

Useissa organisaatioissa on haasteena ettei vastuunjakoa pilvipalvelun tarjoajan ja asiakkaan välillä ymmärretä. Asiakkaan täytyy konfiguroida palvelut oikein, jotta ne ovat tietoturvallisia, ja he ovat viime kädessä vastuussa koko tietoturvasta. Usein yrityksissä jokainen projekti saattaa tehdä pilvipalveluissa asiat omalla tavallaan, eikä yhtenäistä pilven tietoturvamallia ole. Ennusteeni on, että yhä useammassa organisaatiossa aletaan kehittämään käytäntöjä ja prosesseja joiden avulla hallitaan pilvipalveluiden tietoturvaa koko organisaatiossa.

 

Yleisesti ottaen näen, että kehitys tulee jatkumaan kohti tietoturvan automatisointia sekä riskien ennaltaehkäisyyn ottamalla tietoturva huomioon aikaisessa vaiheissa. Tehokkuus on välttämätöntä, sillä tietoturvaosaamista on tarjolla vähemmän kuin tarvetta osaamiselle, ja tietoturvajohtajilla on yleensä muitakin resursseja hyvin rajallisesti. Riskien ennaltaehkäisy auttaa myös tehostamisessa, sillä asioita on usein vaikeampi korjata jälkikäteen, sen sijaan että ne olisi tehty alusta alkaen oikein.