Teadlase loodud mudel aitab Eesti organisatsioonidel küberriske lihtsamalt hinnata

Tartu Ülikooli teadlase Mari Seeba väljatöötatud raamistik võimaldab organisatsioonidel oma küberturvalisuse taset süsteemselt hinnata ja võrrelda. Uus meetod aitab leevendada ressursinappust, muutes keerulised õiguslikud nõuded praktilisteks parendustegevusteks.

Eesti digiteenuste tase on maailma tipus, kuid paljud asutused seisavad silmitsi raskustega Euroopa Liidu NIS2 direktiivist ja Eesti küberturvalisuse seadusest tulenevate nõuete täitmisel. Tartu Ülikoolis valminud doktoritöös analüüsis Mari Seeba organisatsioonide küberriske ja leidis, et vastuseis turvanõuetele tuleneb harva pahatahtlikkusest. Probleemi juured peituvad pigem ekspertide, teadmiste ja ressursside nappuses.

Süsteemne lähenemine turvalisusele

Tihti tunduvad küberohud organisatsioonidele abstraktsetena, mistõttu vajavad juhid selget arusaama oma asutuse tegelikust turvalisuse tasemest. Seeba töötas selleks välja F4SLE-nimelise (Framework for Security Level Evaluation) raamistiku. See mudel hõlmab kümmet erinevat valdkonda, sealhulgas infoturbe juhtimist, personali, taristut, võrke, rakendusi ja tööstusautomaatikat.

Kuna organisatsioonid on erinevad, väldib raamistik kõigi võimalike meetmete kontrollimist. Selle asemel tugineb süsteem 200 spetsiifilisele küsimusele, mis annavad juhtkonnale tervikliku ülevaate puudujääkidest. Tulemusi on võimalik võrrelda teiste sarnaste asutuste keskmiste näitajatega, mis aitab vältida küsimust "miks seda vaja on?" ja suunab keskenduma küsimusele "kuidas olukorda parandada?". Kuna tehnoloogia areneb kiiresti, lõi Seeba lisaks MUSE-meetodi, mis tagab turbeandmete võrreldavuse ka aastate lõikes.

Tehnoloogia ja juhtimise ühendamine

Seeba testis F4SLE raamistikku 284 väikeettevõttes, mis asusid Eestis, Tšehhis ja Kesk-Ameerikas. Uuringus rakendati privaatsust säästvat andmetöötlust: üksikasjalikud vastused jäid ettevõtete enda seadmetesse ning keskserverisse liikusid vaid anonüümsed koondnäitajad.

Uurimistöö tõi esile lõhe juristide ja inseneride vahel. Juristid keskenduvad reeglitele ja vastavusele, samas kui insenerid eelistavad ennetavaid süsteemseid lahendusi. Seeba rõhutab, et seda vastuolu aitavad ületada kasutuslood, mis seovad tehnilised lahendused inimeste vajaduste ja juriidiliste kohustustega. Küberturvalisus ei ole ammu enam vaid IT-osakonna pärusmaa, vaid juhtkonna strateegiline vastutus. Organisatsiooni juht peab mõistma kriitiliste andmete asukohta ja tagama tööprotsesside toimepidevuse ka eriolukorras.