Building Organizational Cyber Resilience: pitfalls and Pearls of Cyber Exercises

Abstract

Suomen kansallinen Kyberturvallisuuskeskus on vuodesta 2016 tarjonnut konsultointiapua, kyberharjoitusohjeita ja skenaarioita organisaatioille, jotka suunnittelevat kyberturvaharjoitusten järjestämistä. Kyberharjoituksella tarkoitetaan simuloitua häiriötilannetta, jossa voidaan harjoitella esimerkiksi kyberhäiriötilanteesta toipumista. World Economic Forum on arvioinut kyberturvariskit kriittisiksi lyhyen aikavälin riskeiksi, joilla on merkitystä niin organisaatioiden liiketoiminnan jatkuvuuteen kuin yhteiskunnan digitalisoitumiseen. Tämän takia on merkittävää, että kyberturvaharjoitukset ovat tavoitteellisia ja laadukkaasti toteutettuja. Tässä opinnäytetyössä on ensimmäistä kertaa tutkittu Kyberturvallisuuskeskuksen harjoituspalveluita ja suomalaisten organisaatioiden kyberturvaharjoittelun haasteita. Työn tavoitteena oli ymmärtää, miten suomalaisten organisaatioiden harjoittelutoimintaa voidaan parantaa ja mikä Kyberturvallisuuskeskuksen rooli on toiminnan tukemisessa nyt ja tulevaisuudessa. Tutkimuksen mukaan harjoittelevat organisaatiot kaipasivat tiiviimpää yhteistyötä ja viestintää julkisen ja yksityisen sektorin välillä. Lisäksi nostettiin esille, että kyberturvaharjoituksia pitää markkinoida aikaisempaa tehokkaammin ja harjoitteluun liittyviä mielikuvia pitää muuttaa positiivisimmiksi. Pienet organisaatiot olivat kiinnostuneita Kyberturvallisuuskeskuksen tarjoamista palveluista. Suuret organisaatiot olivat kiinnostuneita erityisesti yhteistyöhön liittyvistä mahdollisuuksista. Kyberturvallisuuskeskus sai alan ammattilaisilta useita uusia ideoita toimintansa kehittämiseksi. Osa ideoista on helposti toteutettavissa osana Kyberturvallisuuskeskuksen työntekijöiden arkea, kuten eri harjoitteluun liittyvien organisaatioiden verkoston perustaminen. Osa kehitysideoista vaatii projektisointia ja pidemmän aikavälin suunnitelman, kuten verkkopalvelu, jonka avulla voi järjestää kyberharjoituksia.

Since 2016, the Finnish National Cyber Security Centre (NCSC-FI) has offered several services concerning cyber exercises. Services include, for instance, consulting assistance, instructions and scenarios to organizations planning to organize cyber exercises. Cyber exercise refers to a simulated situation where an organization can practice, for example, recovering from a major cyber incident. The World Economic Forum has assessed cyber security risks as critical short-term risks that are important for both the business continuity of the organizations and the digitalization of society. For this reason, it is important that cyber exercises are goal-oriented and conducted with high quality. For the first time, the training services of the NCSC-FI and the challenges within cyber training within Finnish organizations were examined. The goal of the work was to understand how the training activities of Finnish organizations can be improved and what the role of the NCSC-FI has in supporting the activities now and in the future. According to the research, organizations needed closer cooperation and communication between the public and private sectors. In addition, it was researched that cyber security exercises need to be marketed more effectively than before and a more positive impression relating to exercises need to be created. Small organizations were interested in the services offered by the NCSC-FI. Large organizations were especially interested in opportunities related to cooperation. The NCSC-FI received several new ideas for the development of its operations from industry professionals. Some of the ideas can be easily implemented as part of the everyday life of the employees of the NCSC-FI, such as establishing a network of cyber exercise organizations. Some of the development ideas require project planning and a longer-term plan, such as an online service that can be used to organize cyber exercises.