Viimeisin päivitys: 28.06.2024

Riski- ja vaatimustenmukaisuudenhallintaratkaisun kuvaus

Mitä on riskienhallinta?

Riskienhallinta on systemaattinen prosessi, jonka avulla tunnistetaan, arvioidaan ja lievennetään riskejä, jotka voivat vaikuttaa organisaation kykyyn saavuttaa tavoitteensa. Tehokas riskienhallinta on ratkaisevan tärkeää liiketoiminnan jatkuvuuden varmistamiseksi, omaisuuden suojaamiseksi ja säädöstenmukaisuuden ylläpitämiseksi. Siihen kuuluu sisäisen ja ulkoisen riskiympäristön ymmärtäminen, strategioiden kehittäminen tunnistettujen riskien lieventämiseksi sekä näiden strategioiden tehokkuuden jatkuva seuranta.

Kasvava riskiympäristö

Riskiympäristö kehittyy jatkuvasti, ja siihen vaikuttavat esimerkiksi digitaalinen muutos, sääntelyn muutokset ja lisääntyvät kyberuhat. Kun organisaatiot ottavat käyttöön uusia teknologioita ja laajentavat toimintaansa, ne kohtaavat entistä laajemman kirjon riskejä, joita on hallittava tehokkaasti. Tämä jatkuvasti kasvava monimutkaisuus edellyttää kattavaa riskienhallintalähestymistapaa, joka ulottuu koko organisaatioon.

Tehokas riskienhallinta varmistaa liiketoiminnan jatkuvuuden eri liiketoiminta-alueilla, muun muassa seuraavilla:

• Liiketoiminta-alueet: Tiettyihin liiketoimintoihin liittyvien riskien hallinta.
• IT-riskit: Tietotekniikkajärjestelmiin ja -prosesseihin liittyvät riskit.
• Yrityksen vaatimustenmukaisuusriskit: Lakisääteiset ja säädöstenmukaisuuteen liittyvät riskit.
• Operatiiviset riskit: Päivittäisestä toiminnasta aiheutuvat riskit, mukaan lukien henkilöstöhallinto, talous ja kolmansien osapuolten kanssa toimiminen.
• Turvallisuusriskit: Organisaation tietoturvaan ja fyysiseen turvallisuuteen kohdistuvat uhat.

Näiden moninaisten riskien hallitsemiseksi organisaatioiden on otettava käyttöön vankat riskienhallintakäytännöt, jotka on integroitu kaikkiin liiketoimintoihin. Tämä integroitu lähestymistapa auttaa ylläpitämään yhtenäistä näkymää riskiympäristöön ja varmistaa, että kaikki mahdolliset uhat tunnistetaan ja niitä hallitaan ennakoivasti.

Olennaiset sertifikaatit, direktiivit ja lainsäädäntö

Tehokkaat riskienhallinnan viitekehykset noudattavat usein kansainvälisiä standardeja ja säädöksiä, kuten:

• NIS2-direktiivi: Pyrkii varmistamaan korkean yhteisen kyberturvallisuustason koko Euroopan unionissa.
• ISO 27000 -sarja: Tarjoaa parhaat käytännöt tietoturvan hallintajärjestelmille.
• Digital Operational Resilience Act (DORA): Keskittyy varmistamaan tieto- ja viestintätekniikan operatiivisen kestävyyden rahoitussektorilla.

Nämä standardit ja säädökset tarjoavat jäsennellyn lähestymistavan riskien hallintaan ja varmistavat, että organisaatiot voivat ylläpitää vankkaa turvallisuus- ja vaatimustenmukaisuustasoa. Matrix42:n riskienhallintaratkaisu tukee organisaatioita vaatimustenmukaisuuden saavuttamisessa sellaisten standardien ja säädösten kanssa kuin NIS2, ISO 27000 ja DORA. Vaikka ratkaisu itsessään ei automaattisesti tee organisaatiosta vaatimustenmukaista, se tarjoaa hyödyllisiä ominaisuuksia, jotka auttavat tarvittavien prosessien ja kontrollien käyttöönotossa ja ylläpidossa. Tämä tuki auttaa organisaatioita hallitsemaan riskejä tehokkaasti ja etenemään kohti näiden tärkeiden standardien ja direktiivien noudattamista.

Yhteys Identity Governance and Administrationiin (IGA)

IGA-ratkaisuilla on keskeinen rooli riskienhallintaominaisuuksien laajentamisessa, erityisesti käyttöoikeuksiin liittyvien riskien hallinnassa. Integroimalla IGA:n organisaatiot voivat varmistaa, että käyttöoikeuksien valvonta toteutuu tehokkaasti, mikä minimoi luvattoman pääsyn ja tietomurtojen riskin.

Riskienhallinnan haasteet

Organisaatiot kohtaavat usein useita haasteita riskien tehokkaassa hallinnassa:

• Manuaaliset tai päällekkäiset järjestelmät: Riippuvuus taulukkolaskentaohjelmista tai vanhentuneista järjestelmistä.
• Puutteellinen tai viivästynyt näkyvyys: Kyvyttömyys tunnistaa ja reagoida riskeihin nopeasti.
• Hallinnan puute: Riittämätön kontrolli riskienhallintaprosesseissa.
• Heikko sidosryhmien osallistaminen: Vaikeus ottaa mukaan olennaisia sidosryhmiä.
• Siiloutunut lähestymistapa: Osastojen välillä hajanaiset riskienhallintatoimet.
• Työkalujen kirjo: Useiden työkalujen käyttö, joka johtaa tehottomuuteen.
• Omistajuus ja vastuu: Epäselvä riskienhallintavastuiden jako.
• Yhtenäisen näkymän puute: Kattavan näkymän puuttuminen riskiympäristöstä.

Ratkaisun yleiskatsaus

Matrix42:n riskienhallintaratkaisu tarjoaa kattavan alustan, joka on suunniteltu auttamaan organisaatioita tunnistamaan, arvioimaan ja lieventämään riskejä tehokkaasti koko yrityksen laajuisesti. Integroimalla riskienhallinnan palveluhallintaprosesseihin Matrix42 varmistaa, että organisaatiot voivat hallita riskejä yhtenäisellä ja tehostetulla tavalla. Tämä alusta tukee keskeisten säädösten ja standardien noudattamista, parantaa riskien näkyvyyttä ja tehostaa riskienhallinnan kokonaistehokkuutta.

Keskeiset edut

Matrix42:n riskienhallintaratkaisu vastaa näihin haasteisiin tarjoamalla yhtenäisen alustan, joka integroi riskienhallinnan palveluhallintaprosesseihin:

• Yhtenäinen alusta: Hallitse riskejä ja palveluhallintaa samalla alustalla.
• Integroidut prosessit: Yhdistä riskienhallinta muutoshallintaan, toimittajahallintaan ja muihin palveluhallintaprosesseihin.
• Yhtenäinen riskirekisteri: Ylläpidä yhtä kattavaa riskirekisteriä kaikille liiketoiminnoille.
• Näkyvyys: Saat näkemystä riskeistä kaikissa liiketoiminnoissa, mikä parantaa kykyä tunnistaa ja lieventää riskejä nopeasti.

Hyödyntämällä Matrix42:n riskienhallintaratkaisua organisaatiot voivat saavuttaa ennakoivamman ja integroidumman lähestymistavan riskien hallintaan, mikä varmistaa kestävyyden ja vaatimustenmukaisuuden dynaamisessa riskiympäristössä.

Yhtenäinen alusta

Matrix42:n ratkaisu integroi riskienhallinnan palveluhallintaan, jolloin organisaatiot voivat hallita kaikkia riskeihin liittyviä toimintoja yhdellä alustalla. Tämä integraatio yksinkertaistaa prosesseja, vähentää päällekkäisyyksiä ja varmistaa, että riskienhallinta on saumattomasti yhteydessä muihin kriittisiin toimintoihin, kuten muutoshallintaan ja toimittajahallintaan.

Parannettu näkyvyys ja hallinta

Ratkaisu tarjoaa kattavan näkymän riskiympäristöön kaikissa liiketoiminnoissa. Kokoamalla riskitiedot yhtenäiseen riskirekisteriin organisaatiot saavat paremman näkyvyyden ja hallinnan riskeihinsä. Tämä parantunut näkyvyys auttaa tunnistamaan ja lieventämään mahdollisia uhkia varhaisessa vaiheessa, mikä varmistaa ennakoivan riskienhallinnan.

Tuki vaatimustenmukaisuudelle

Vaikka riskienhallintaratkaisu ei automaattisesti varmista sellaisten standardien kuin NIS2, ISO 27000 ja DORA noudattamista, se tarjoaa vankat työkalut ja viitekehykset, jotka tukevat organisaatioita vaatimustenmukaisuuden saavuttamisessa ja ylläpitämisessä. Helpottamalla tarvittavien kontrollien ja prosessien käyttöönottoa ratkaisu auttaa organisaatioita täyttämään säädösvaatimukset tehokkaammin.

Ratkaisun laajuus

Seuraavat taulukot kuvaavat Matrix42 Risk Management -ratkaisun laajuutta ja sen kattavia ominaisuuksia ja kyvykkyyksiä. Taulukoissa esitellään sekä riskienhallintaratkaisuun sisältyvät erityistoiminnot että laajemmat alustan kyvykkyydet, jotka parantavat sen käytettävyyttä ja integrointia muiden samalla alustalla toimivien prosessien kanssa. 

Riski- ja vaatimustenmukaisuudenhallintaratkaisun laajuus 

Alustan kyvykkyydet

Seuraavassa taulukossa esitellään yleisiä alustan kyvykkyyksiä, joita voidaan soveltaa useissa eri ratkaisuissa, mukaan lukien mutta ei rajoittuen riskienhallintaratkaisuun. Nämä kyvykkyydet parantavat Matrix42-alustan yleistä toiminnallisuutta ja käyttökokemusta.

Riskienhallintaratkaisun käyttöönotto

Uudet asiakkaat

Nykyiset asiakkaat

Alustan kyvykkyydet

[Lyhyt kuvaus alustan kyvykkyyksistä ja eduista + linkki alustan kuvaukseen tai kopioitu sisältö palveluhallintaratkaisun kuvauksesta]

Käyttötapaukset

Riskienhallintaratkaisu sisältää seuraavat käyttötapaukset: 

1. Riskien tunnistaminen ja dokumentointi
2. Riskiarviointi
3. Riskien hallinta ja lieventäminen
4. Riskien seuranta ja katselmointi
5. Riskeihin vastaaminen ja niiden käsittely
6. Riskiraportointi ja koontinäyttö
7. Riskin hyväksyntä
8. Toimittajariskien hallinta
9. IT-omaisuudenhallinnan (ITAM) integraatio
10. Vaatimustenmukaisuuden hallinta

Kun käytössä on myös Matrix42 Identity Governance and Administration (IGA) -ratkaisu, mukaan tulevat myös seuraavat käyttötapaukset: 

1. Käyttötapaus: Riskitasojen hallinta (edellyttää IGA-ratkaisua)
2. Käyttötapaus: Käyttöoikeuksien uudelleensertifiointi (edellyttää IGA-ratkaisua)
3. Käyttötapaus: Ristiriitaisten käyttöoikeusyhdistelmien hallinta (edellyttää IGA:ta)

Jokainen käyttötapaus on kuvattu lyhyesti linkitetyissä artikkeleissa, mukaan lukien esimerkkiskenaariot, työnkulku, tulokset ja hyödyt. 

Mitä muita ratkaisuja ja prosesseja NIS2- ja DORA-vaatimustenmukaisuus edellyttää?

Riskienhallintaprosessin ja -työkalun käyttöönotto ei automaattisesti johda vaatimustenmukaisuuteen – tarvitaan myös useita muita prosesseja ja käytäntöjä. Tässä luvussa esitellään esimerkkejä siitä, mitä muuta tarvitaan, jotta NIS2- ja DORA-vaatimustenmukaisuutta voidaan lähestyä. 

Yleiskatsaus NIS2- ja DORA-vaatimuksiin

NIS2 (Network and Information Systems Directive) ja DORA (Digital Operational Resilience Act) ovat eurooppalaisia säädöksiä, joiden tavoitteena on parantaa kyberturvallisuutta ja operatiivista kestävyyttä koko EU:ssa. Näiden säädösten noudattaminen edellyttää organisaatioilta kattavaa prosessi- ja ratkaisukokonaisuutta riskienhallinnan lisäksi. Näihin kuuluvat muun muassa häiriönhallinta, muutoshallinta, IT-omaisuudenhallinta (ITAM), toimittajahallinta sekä identiteetin- ja pääsynhallinta. Jokaisella näistä prosesseista on keskeinen rooli sen varmistamisessa, että organisaatiot voivat suojata tietojärjestelmänsä, reagoida häiriöihin tehokkaasti ja ylläpitää jatkuvaa toimintaa erilaisten uhkien alla.

Vaatimustenmukaisuuden kannalta keskeiset prosessit ja ratkaisut

Häiriönhallinta

• Kuvaus: Häiriönhallintaan kuuluu tietoturvahäiriöiden tunnistaminen, analysointi ja niihin reagoiminen jäsennellyllä tavalla.
• Vaatimukset: Organisaatioilla on oltava käytössään prosessit häiriöiden nopeaan havaitsemiseen, raportointiin ja ratkaisemiseen vaikutusten minimoimiseksi.
• Liittyvä ratkaisu: Matrix42 Service Management -ratkaisu 

Muutoshallinta (Change Enablement)

• Kuvaus: Change Enablement varmistaa, että IT-järjestelmiin ja -prosesseihin tehtäviä muutoksia hallitaan kontrolloidusti ja järjestelmällisesti.
• Vaatimukset: Tähän kuuluu muutosten suunnittelu, testaus ja dokumentointi tahattomien häiriöiden estämiseksi.
• Ratkaisun integraatio: Matrix42:n riskienhallintaratkaisun avulla käyttäjät voivat lisätä olemassa olevia riskejä tai luoda uusia muutoksiin liittyviä riskejä. 
• Liittyvä ratkaisu: Matrix42 Service Management -ratkaisu 

IT-omaisuudenhallinta (ITAM)

• Kuvaus: ITAM kattaa IT-omaisuuden seurannan ja hallinnan koko niiden elinkaaren ajan. 
• Vaatimukset: Vaatimustenmukaisuus edellyttää yksityiskohtaista luetteloa kaikesta IT-omaisuudesta ja sen asianmukaista hallintaa ja suojaamista.
• Ratkaisun integraatio: Matrix42:n riskienhallintaratkaisun avulla käyttäjät voivat analysoida omaisuuteen liittyviä riskejä ja linkittää riskejä omaisuuteen. 
• Liittyvä ratkaisu: Matrix42 Service Management -ratkaisu 

Toimittajahallinta

• Kuvaus: Toimittajahallinta keskittyy kolmansien osapuolten toimittajiin ja palveluntarjoajiin liittyvien riskien arviointiin ja hallintaan.
• Vaatimukset: Organisaatioiden on arvioitava toimittajiensa tietoturvakäytäntöjä ja varmistettava, että ne täyttävät vaaditut standardit.
• Ratkaisun integraatio: Matrix42:n riskienhallintaratkaisun avulla käyttäjät voivat analysoida toimittajiin liittyviä riskejä ja linkittää riskejä toimittajiin. 
• Liittyvä ratkaisu: Matrix42 Service Management -ratkaisu (kevyempiin toimittajahallinnan tarpeisiin). 

Identiteetin- ja pääsynhallinta

• Kuvaus: Identiteetinhallinta varmistaa, että vain valtuutetuilla henkilöillä on pääsy kriittisiin järjestelmiin ja tietoihin.
• Vaatimukset: Sekä NIS2 että DORA korostavat vahvojen identiteetinhallintakäytäntöjen merkitystä luvattoman pääsyn estämiseksi ja operatiivisen kestävyyden varmistamiseksi.
• Ratkaisun integraatio: Identiteetinhallintaratkaisujen, monivaiheisen tunnistautumisen (MFA) ja etuoikeutettujen käyttöoikeuksien hallinnan (PAM) käyttöönotto voi auttaa organisaatioita noudattamaan näitä säädöksiä suojaamalla pääsyn arkaluonteisiin järjestelmiin ja tietoihin​. Matrix42 IGA -ratkaisu edistää merkittävästi vaatimustenmukaisuuden saavuttamista. 
• Liittyvä ratkaisu: Matrix42 IGA -ratkaisu 

Tietoturvatietoisuus ja koulutus

• Kuvaus: Säännölliset koulutusohjelmat, joilla lisätään henkilöstön tietoisuutta kyberturvallisuusuhista.
• Vaatimukset: Henkilöstölle on koulutettava parhaat käytännöt ja toimintatavat tietoturvahäiriöihin reagoimiseksi.
• Ratkaisun integraatio: Koulutusohjelmat tulisi integroida HR- ja vaatimustenmukaisuudenhallintajärjestelmiin, jotta katetaan kaikki tarvittava johdonmukaisesti.

Liiketoiminnan jatkuvuus ja toipumissuunnittelu

• Kuvaus: Prosessit, joilla varmistetaan liiketoiminnan jatkuminen ja nopea toipuminen häiriötilanteessa.
• Vaatimukset: Organisaatioilla on oltava käytössään suunnitelmat ja menettelyt toipumista ja liiketoiminnan jatkuvuutta varten.
• Ratkaisun integraatio: Liiketoiminnan jatkuvuussuunnitelmia tulisi testata ja päivittää säännöllisesti, ja ne tulisi integroida osaksi yleistä riski- ja häiriönhallintaprosessia.
• Liittyvät ratkaisut: Crisis Ops -yhteisöratkaisua voidaan käyttää toipumissuunnittelun tukena. 

IT-sopimushallinta

• Kuvaus: IT-sopimushallinta varmistaa, että kaikki IT-palveluntarjoajien kanssa tehdyt sopimukset hallitaan tehokkaasti ja säädösvaatimusten mukaisesti.
• Vaatimukset: DORA edellyttää tiettyjä ehtoja ICT-sopimuksissa palvelutasosopimusten, tietosuojan ja toimivaltaisten viranomaisten kanssa tehtävän yhteistyön varmistamiseksi.
• Ratkaisun integraatio: IT-sopimushallintatyökalut auttavat varmistamaan, että kaikki kolmansien osapuolten kanssa tehdyt sopimukset sisältävät tarvittavat turvallisuus- ja vaatimustenmukaisuuslausekkeet, ja ne helpottavat näiden sopimusten seurantaa ja hallintaa jatkuvan vaatimustenmukaisuuden varmistamiseksi.
• Liittyvät ratkaisut: Enterprise Contract Management -yhteisöratkaisua voidaan käyttää lähtökohtana DORA:n IT-sopimushallintaan liittyvien vaatimusten täyttämisessä. Huom! Huomaa, ettei ratkaisu sisällä valmiina kenttiä tai toimintoja kaikkiin DORA-vaatimuksiin. 

NIS2-vaatimustenmukaisuus

NIS2-direktiivin tavoitteena on saavuttaa yhtenäinen ja tehokas kyberturvallisuus koko EU:ssa, ja se edellyttää yrityksiltä operatiivisia, organisatorisia ja teknologisia toimenpiteitä kyberturvallisuuden parantamiseksi. NIS2 asettaa velvoitteita riskienhallinnan, raportoinnin, valvontatoimenpiteiden ja toimijarekisterin ylläpidon osalta. Se sisältää vaatimuksia muun muassa seuraaville osa-alueille:

• Riskianalyysiä ja tietojärjestelmien turvallisuutta koskevat toimintaperiaatteet: Kattavat ja ajantasaiset toimintaperiaatteet, jotka kattavat hallinnollisen, henkilöstö-, laitteisto-, ohjelmisto-, tietoliikenneverkko- ja tietoturvallisuuden sekä operatiivisen ja fyysisen ympäristön turvallisuuden.
• Häiriönhallinta: Ennalta dokumentoidut menettelyt häiriöiden estämiseen, havaitsemiseen, analysointiin, hallintaan, niistä toipumiseen ja niistä raportointiin. Tähän kuuluvat riittävät lokitiedot, raportointikanavat ja menettelyt häiriöihin reagoimiseksi.
• Liiketoiminnan jatkuvuuden hallinta: Dokumentoidut menettelyt varmuuskopiointi- ja toipumissuunnittelua varten, mukaan lukien kriisinhallintasuunnitelmat.
• Toimitusketjun turvallisuus: Ajantasaiset tiedot kaikista suorista toimittajista ja palveluntarjoajista sekä toimenpiteet toimitusketjun häiriöiden hallitsemiseksi.
• Hankinnan, kehityksen ja ylläpidon turvallisuus: Turvalliset hankinta-, konfigurointi- ja päivitysprosessit, mukaan lukien haavoittuvuuksien hallinta ja julkistamismenettelyt.
• Kyberturvallisuustoimenpiteiden arviointi: Kyberturvallisuustoimenpiteiden tehokkuuden säännöllinen arviointi asianmukaisten mittareiden ja alan parhaiden käytäntöjen avulla.
• Kyberhygienian perusperiaatteet ja koulutus: Kyberturvallisuuden perusperiaatteiden käyttöönotto ja henkilöstön säännöllinen koulutus vaatimustenmukaisuuden varmistamiseksi.
• Kryptografian ja salauksen käyttö: Toimintaperiaatteet ja menettelyt kryptografian käyttämiseksi tietojen luottamuksellisuuden, aitouden ja eheyden suojaamiseksi.
• Fyysinen turvallisuus: Fyysisten ja teknisten turvatoimien käyttöönotto järjestelmien, tilojen, verkkojen ja muiden resurssien suojaamiseksi luvattomalta pääsyltä ja häiriöiltä.
• Henkilöstöturvallisuus ja pääsynhallinta: Säännölliset omaisuudenhallintamenettelyt, vahvat tunnistautumismenetelmät ja pääsynhallintaperiaatteet henkilöstön ja järjestelmien käytön hallitsemiseksi.

DORA-vaatimustenmukaisuus

DORA edellyttää rahoituslaitoksilta toimenpiteitä ICT-riskeiltä suojautumiseksi, ja siihen sisältyy operatiivisia velvoitteita sekä rahoituslaitoksille että kriittisille ICT-palveluntarjoajille. DORA-vaatimustenmukaisuuteen kuuluu:

• Tietoturvapolitiikka: Dokumentoidut säännöt tietojen ja ICT-omaisuuden saatavuuden, aitouden, eheyden ja luottamuksellisuuden suojaamiseksi.
• Verkon ja infrastruktuurin hallinta: Menetelmät ja protokollat turvalliseen verkon ja infrastruktuurin hallintaan.
• Pääsynhallinta: Toimintaperiaatteet, joilla rajoitetaan pääsy tietoihin ja ICT-omaisuuteen vain oikeutetuille ja hyväksytyille toiminnoille.
• Vahvat tunnistautumismekanismit: Vahvan tunnistautumisen käyttöönotto asiaankuuluvien standardien mukaisesti.
• Muutoshallinta: Dokumentoidut toimintaperiaatteet ICT-muutoshallintaan, joilla varmistetaan, että kaikki muutokset kirjataan, testataan, arvioidaan, hyväksytään ja varmennetaan.
• Päivitystenhallinta: Kattavat toimintaperiaatteet ICT-järjestelmien päivittämiseen ja korjaamiseen.
• ICT-sopimukset: ICT-palveluntarjoajia koskevat erityiset sopimusehdot, mukaan lukien tietosuoja, palvelutasosopimukset ja irtisanomisoikeudet.

Vastuuvapauslauseke

NIS2 on direktiivi, ja sen toimeenpano kansalliseen lainsäädäntöön voi vaihdella EU:n jäsenvaltioiden välillä. Organisaatioiden tulisi konsultoida lakiasiantuntijoita ymmärtääkseen omaan maahansa liittyvät erityisvaatimukset ja vaikutukset. Vaikka Matrix42:n riskienhallintaratkaisu edistää merkittävästi vaatimustenmukaisuutta, on olennaista toteuttaa kokonaisvaltainen lähestymistapa, jossa integroidaan useita prosesseja ja ratkaisuja NIS2- ja DORA-vaatimusten täysimääräiseksi täyttämiseksi.

Ottamalla käyttöön nämä kattavat ratkaisut ja prosessit organisaatiot voivat suojata tietojärjestelmänsä paremmin, reagoida häiriöihin tehokkaasti ja varmistaa operatiivisen kestävyyden, ja siten noudattaa NIS2- ja DORA-säädöksiä.

Yhteenveto

Yhteystiedot

Yhteystietomme löydät täältä.