Mikko Juvonen et al. määrittelevät tietoturvallisuuden kirjassaan Yrityksen riskienhallinta, seuraavasti: ”Tietoturvallisuudella tarkoitettaan laitteiden, ohjelmien, tietojen ja tietoverkkojen muodostaman tietojenkäsittelyratkaisun sekä sen avulla tuotettujen palvelujen asianmukaista suojaamista sekä normaaleissa oloissa että myös toiminnan tai olosuhteiden kannalta poikkeavissa oloissa toimittaessa hallinnollisilla, toiminnallisilla, teknisillä ja rakenteellisilla turvatoimilla ja toimenpiteillä.”

Tietotekniikasta on tullut merkittävä toimintojen väline alalla kuin alalla. Tietotekniikkaa upotetaan nykyään lähes mihin tahansa, jopa vaatteisiin.

Mitä laajemmalla alueella ja mitä yleisemmässä käytössä tietotekniikkaa on, sitä tärkeämpää on varmistaa sen toimivuuden lisäksi myös ylläpito sekä IT osaamisen saatavuus ja varajärjestelyt.

Monesti tietotekniikan kokonaisuudet ovat laajoja ja usein hajautettuja. IT toimintoja on ulkoistettu ja toimintavastuuta on siirretty itseltä muille toimijoille, jolloin heikentynyt valvontamahdollisuus on vain osittain organisaatiolla itsellään.

Yrityksen tietojenkäsittelyratkaisut ovat useiden tekijöiden monimutkainen summa. Näitä tekijöitä ovat mm:

 tieto- ja tietoliikennetekniikat

immateriaaliaineistot

osaaminen

infrastruktuuri

logistiikkaverkostot

jne.

Liiketoiminnan kannalta yrityksen tietojenkäsittelyratkaisut on turvattava niin, ettei synny rahoitusriskejä, imagoriskejä, liiketoimintariskejä, omaisuusriskejä eikä henkilöriskejä.

Tietoturvallisuus rakentuu

 

• käytettävyydestä,
• eheydestä ja
• luotettavuudesta.

Käytettävyydellä tarkoitetaan sitä, että tietojenkäsittelyratkaisun resurssit ovat tarvittaessa niiden käyttämiseen oikeutettujen käytettävissä.

Eheydellä tarkoitetaan sitä, että tiedot ja tietojärjestelmät ovat aitoja, oikeita, ajantasaisia kattavia ja käyttökelpoisia.

Luotettavuudella tarkoitetaan sitä, että tiedot ovat vain niihin oikeutettujen saatavilla.

Tieto on usein oleellinen osa toiminnan kannattavuutta. Tietoa pitää olla saatavilla silloin kun sitä tarvitaan. Tämän takaaminen on oleellinen osa tietoriskien hallintaa. Jos et tiedä vaikkapa varaston määriä, asiakkaan yhteystietoja, tuotannon kuormitusta tai muuta vastaavaa tietoa, yritystoimintasi vaikeutuu oleellisesti, ellei jopa keskeydy kokonaan.

Oman etusi mukaista ei yleensä ole sekään, että mainittuja tietoja päätyy ulkopuolisten käsiin tai, että nämä pääsevät muokkaamaan niitä.

Lopulliset tietoturvallisuusvaatimukset saadaan aikaan arvioimalla yrityksen tietojenkäsittelypalveluiden ja toiminnan käytettävyys-, eheys- ja luotettavuusongelmien vaikutuksia liiketoimintaan eri näkökulmista. Näistä muodostetaan sitten yhteinen näkemys tietoturvallisuusvaatimuksiksi.

3. riskit kehittyvät sattumanvaraisesti

Nyt sukelletaan jo aika pitkälle liikeriskien puolelle, väittämällä, että riskeillä on sittenkin olemassa luonnollinen elinkaari, ja että ne eivät kehity sattumanvaraisesti. Liikeriskeistä sanotaan usein, että niiden kehittyminen on puhtaasti sattumanvaraista. Tällä on tietenkin merkitystä sen kannalta miten aiomme valita riskipitoisia aktiviteetteja.

Vahinkoriskeissä taas selkeät kehityskaaret riskistä vahingoksi ovat selvemmin havaittavissa kuin liikeriskien osalta. Siksi otsikon mukaista väitettä tuskin kuulee vahinkoriskien asiantuntijan suusta.

Nyt herää kysymys, mitä mahdollisuuksia riskien elinkaari ja sen tunteminen avaa. Tähän vaikuttaa kaksi tekijää: riskinottajan kasvava tietämys riskin luonteesta, sekä se miten kysymyksessä oleva riski vaikuttaa muihin riskinottajaa kohtaaviin riskeihin.

Kun ryhdymme kehittämään riskitietoisuuttamme jonkin tietyn toiminnon merkittävimpien riskien osalta, koko projektin riskiprofiilin taso nousee. Yksittäiset riskit, jotka alkujaan hajottivat kokonaisriskiä alkavatkin nyt olla hallitsevammassa asemassa ja samalla vähentävät kokonaisriskin hajanaisuutta. Uskomme tällöin hallitsevamme riskin paremmin.

Joka kerran kun onnistumme jossakin projektissa altistumisemme sen riskeille kasvaa. Se johtuu siitä, että onnistuttuamme pyrimme seuraavalla kerralla kohti suurempaa projektia tai suurempaa lopputulosta tai luulemme jo osaavamme kyseenä olevasta asiasta riittävästi. Periaatteessa samasta syystä aina uutta toimintaa aloiteltaessa tai kokeiltaessa on kokonaisriski vastaavasti vähäisempi. Silloin kokonaisuudet ovat yleensä pienempiä ja toiminta varovaisempaa.

Jossain vaiheessa sitten lopetamme uuden tiedon hankkimisen pysyäksemme ajan tasalla riskeistämme. Luulemme jo tietävämme tarpeeksi.

Tästä seuraa riskien luonnollinen elinkaari:

1. riskitietoisuuden nousu

2. riskien hajanaisuuden väheneminen

3. riskitietoisuuden lasku

Vastaava kehityskulku voidaan nähdä myös vahinkoriskien taustalla. Aluksi ollaan hyvinkin tietoisia riskien olemassaolosta ja niitä yritetään hallita erilaisin toimenpitein. Vähitellen riskien olemassaoloon totutaan ja ne arkipäiväistyvät. Ne ovat ikään kuin olleet aina olemassa ja kuuluvat mukaan kuvaan. Silloin niihin ei enää kiinnitetä yhtä paljoa huomiota ja niiden hallintatoimenpiteetkin helposti unohtuvat, jolloin riski saattaa yllättäen toteutua.

Silloin tällöin kannattaa kysyä ulkopuolisen näkemystä toimintasi riskeistä. Tai toiminnasta ylipäätään. Ulkopuolinen näkee aina tarkemmin toimintasi heikot kohdat, joihin olet itse jo aikoja sitten tottunut. Riippumaton asiantuntija, kuten vaikka vakuutusmeklari omalla alallaan, pystyy auttamaan sinua enemmän kuin äkkiseltään luulisit. Voit käyttää asiantuntijan hankkimaa ammattitaitoa joko antamalla hänen hoitaa osan tehtävistäsi tai ottamalla oppia tämän tiedoista. Näin saat kehitettyä itsellesi jatkuvan oppimisputken riskitietoisuutesi pitämiseksi koko ajan riittävän korkealla tasolla.

1. kaikki riskit ovat sattumanvaraisia

Kuulostaa järkevältä, ja näinhän useimmissa riskiteorioissa riskin olemusta kuvataankin. Mutta käsitys on väärä. Useimpien riskien sattumavaraisuuden aiheuttaa pääasiassa se, että emme tiedä mikä riskin toteutumiseen lopulta vaikuttaa.

Jos heitämme kolikkoa, näyttää perin sattumanvaraiselta miten päin kolikko maahan putoaa. Jos kuitenkin tietäisimme riittävästi jonkin tietyn kolikon heittämisestä, voisimme todennäköisesti ennustaa myös sen miten päin se putoaa.

Epävarmuuden aiheuttaa se, että emme tiedä riittävästi kaikista niistä tekijöistä, jotka viime kädessä riskin toteutumisen aiheuttavat. Tai sitten on kyse vain siitä, että lisätiedon hankkiminen on mielestämme liian vaivalloista ja jätämme sen tekemättä.

Jos riskit olisivat täysin sattumanvaraisia, mikään tieto ei muuttaisi niiden epävarmuuden tasoa. Ajattelemme ehkä tiedostamattamme, että mitä epävarmemmasta riskistä on kyse sitä vähemmän meidän tarvitseekaan siitä tietää. Tai ylipäätään pystymme hankkimaan siitä tietoa.

Koska kaikki riskit eivät kuitenkaan ole sattumanvaraisia, on jokainen riskille altistuva eriarvoisessa asemassa sen mukaan kuinka paljon hän tietää riskin luonteesta. Jotkut siis pystyvät opitun tiedon perusteella vähentämään riskin sattumanvaraisuutta enemmän kuin toiset. Tämän vuoksi he pystyvät myös varautumaan tähän nimenomaiseen riskiin muita täsmällisemmin.

Olennaista riskien arvioinnin kannalta on tunnistaa ne riskit joiden sattumavaraisuuden tasoa voidaan lisäanalyysein tutkia ja ennustaa. Siis pystyä vähentämään tiettyjen riskien epävarmuutta opiskelemalla enemmän riskin luonteesta tai suoritettavasta toiminnasta.

Tämä ei tietenkään sulje pois sitä, että myös ne riskit on tunnettava, joiden epävarmuuden tasoon ei voida oppimalla vaikuttaa. Jos keskityttäisiin vain niihin riskeihin, joista voidaan oppia lisää, olisi riskienhallinta puolittaista.

Puhtaasti sattumanvaraisetkin riskit kannattaa yrittää muuttaa sellaisiksi, joiden olemuksesta voidaan oppia lisää. Mitä enemmän jonkin riskin luonteesta on tietoa sitä helpompi on valita sopiva riskienhallintakeino sen hallitsemiseksi.

Mitä vähemmän tietoa on, alkaa riskienhallintakin muistuttaa pankkien ekonomistien arvauksia. Hekin arvaavat ovatko suhdanteet tai korot nousussa, laskussa tai pysymässä ennallaan. Useimmiten arvaukset menevät pieleen.

Bengt Karlöf et al. kertovat kirjassaan Ota oppia parhaista!, kokeesta, jonka muutamat Lontoon kauppakorkeakoulun opiskelijat tekivät 1980 luvulla. He valitsivat neljä valtiovarainministeriä, neljä suuryrityksen toimitusjohtajaa, neljä professoria ja neljä satunnaisesti valittua lontoolaista roskakuskia. Jokaiselle annettiin tehtäväksi arvioida miten tietyt tekijät muuttuisivat seuraavan 10 vuoden aikana. Arvaukset olivat 60 prosenttisesti pielessä. Parhaiten arvasivat roskakuskit.

Niin kauan kuin käsitelet riskejä puhtaasti sattumanvaraisina tapahtumina, sinulle käy parhaimmillaankin kuin lontoolaiselle roskakuskille. Saat sitä mitä tilaat, puhtaasti sattumanvaraisia tapahtumia, joiden aiheuttamista vahingoista sinulla ei ole etukäteen minkäänlaista aavistusta. Opiskele sen sijaan riskien luonnetta, syitä ja seurauksia niin pystyt varautumaan niihin täsmällisemmin ja otat tiikerinloikan etumatkaa laiskempiin kilpailijoihisi verrattuna.