Monen elintarvikeyrityksen kyberturva heikoissa kantimissa – asiantuntijan mukaan parannettavaa on erityisesti pienillä toimijoilla

Tuoreen selvityksen mukaan elintarvikesektorin kybervalmiudet ovat heikentyneet aiemmasta.

Vuoden 2020 selvityksessä sektorin kyberkypsyys sai arvon 3,34, kun se tuoreimmassa selvityksessä on laskenut lukemaan 2,83. Kohtuullisena arvona pidetään kolmosta.

Huoltovarmuusorganisaation Digipoolin pääsihteerin Antti Nyqvistin mukaan tulos ei kuitenkaan ole niin dramaattinen kuin voisi kuvitella.

Ensinnäkin tutkimuksessa on mukana erilaisia yrityksiä kuin aiemmin. Jos tutkimusotoksesta jää pois yksi todella hyvässä kunnossa oleva yritys, voi toimialan keskiarvotulos laskea rajustikin. Toisaalta myös arviointiasteikko on muuttunut aiemmasta.

”Sikäli ollaan tultu ehkä alaspäin, että yritykset itseään arvioidessaan ovat olleet hieman pessimistisempiä tässä tilanteessa, ja sellainen inhorealismi on myös noussut siellä esiin”, Nyqvist pohtii.

Kyse voi olla siitäkin, että nykyisin tietoisuuden lisääntymisen ansiosta kyberuhkiin ja niihin varautumiseen suhtaudutaan aiempaa realistisemmin sekä rehellisemmin.

On myös syytä huomata, että samanlainen muutos on havaittavissa kaikilla selvityksessä mukana olevilla aloilla.

Yksi tutkimuksen päähavainnoista on se, että henkilöstön osaaminen ja ymmärrys kyberturvallisuuden suhteen on puutteellista.

”Vaikka monet ovat mukana tiedonvaihtoverkostoissa ja saavat järjestelmiin liittyvää uhkatietoa, se ei välttämättä johda mihinkään toimenpiteisiin”, Nyqvist kertoo.

Silmiinpistävä havainto tutkimuksessa oli myös se, että kyberturvallisuuden tasossa on suurta hajontaa alan sisällä. Nyqvist arvioi, että pääsääntöisesti kyberturvallisuus on suurissa yrityksissä pieniä paremmassa jamassa.

”Niillä on enemmän resursseja, ja niiden on helppo viedä toimintatavat läpi yrityksen.”

Kyberkypsyysselvityksessä nostetaan esiin elintarvikehuoltoon kohdistettuja kehittämisehdotuksia. Tarvetta kehittämiseen havaittiin muun muassa kyberriskien hallinnan prosesseissa ja siinä, miten ne vaikuttavat päätöksentekoon.

”Yrityksissä tehtiin kyllä riskien hallintaa liiketoiminnan kannalta, mutta kyberriskit eivät ole sinne liiketoiminnan sekaan vielä löytäneet. Kyberriskien hallintaa tehtiin, mutta se jäi helposti tällaiseksi tekniseksi ja operatiiviseksi.”

Toisin kuin voisi luulla, pelkästään se, että omat laitteistot ja oman henkilöstön osaaminen ovat kunnossa, ei riitä. Lähes yhtä tärkeää on se, että vaikkapa alihankkijan järjestelmät ja prosessit ovat kunnossa.

Selvityksessä haasteena nähtiin myös se, että yritykset eivät muodosta aktiivisesti kyberturvallisuuden tilannekuvaa.