Turvallisuus alkaa arkkitehtuurista

Pitkään kyberturvallisuutta pidettiin asiana, joka lisättiin järjestelmiin jälkikäteen. Ensin rakennettiin järjestelmät, sen jälkeen niitä alettiin suojata valvonnalla, kontrolleilla, prosesseilla ja erilaisilla suojamekanismeilla.

Tämä ajattelutapa toimi maailmassa, jossa järjestelmät olivat suurelta osin erillään toisistaan. Nykytilanne on toinen.

Moderni puolustuskyky rakentuu yhä tiiviimmin toisiinsa kytkeytyvistä, ohjelmistovetoisista ympäristöistä, joissa alustat, sensorit, operatiivinen teknologia, logistiikkajärjestelmät ja päätöksenteon tuki vaihtavat jatkuvasti tietoa. Tällaisissa ympäristöissä resilienssi ei ratkea enää ensisijaisesti ulkoisilla suojakerroksilla, vaan arkkitehtuurilla.

Nykyisessä puolustuksessa juuri arkkitehtuuri määrittää altistumisen. Jokainen päätös siitä, miten ohjelmistoja rakennetaan, integroidaan, otetaan käyttöön ja johdetaan, vaikuttaa organisaation kykyyn kestää häiriöitä. Se joko vahvistaa tätä kykyä, tai heikentää sitä.

Siksi kyberturvallisuus liittyy nykyään vähemmän yksittäisten kontrollitekijöiden lisäämiseen ja enemmän siihen, että tekniset ja insinöörityöhön liittyvät ratkaisut tehdään oikein jo alussa.

Monimutkaisuus muuttuu riskiksi

Puolustuksen ekosysteemit kietoutuvat koko ajan tiukemmin yhteen. Tekoälyä hyödyntävät järjestelmät, simulaatioympäristöt, autonomiset alustat, ohjelmistoputket ja operatiivinen infrastruktuuri toimivat nyt saman digitaalisen kokonaisuuden osina.

Tämä avaa merkittäviä mahdollisuuksia, mutta kasvattaa nopeasti myös monimutkaisuutta. Monimutkaisuus tuo mukanaan omat riskinsä.

Moni tämän päivän haavoittuvuuksista ei synny siksi, että hyökkääjät olisivat äkisti muuttuneet merkittävästi taitavammiksi. Ne syntyvät siksi, että organisaatiot kamppailevat pirstaleisten kehitysympäristöjen, eriytyneiden elinkaarien, puutteellisen ohjauksen ja sellaisten prosessien kanssa, jotka eivät enää skaalaudu samassa tahdissa niiden järjestelmien kanssa, joita niiden olisi tarkoitus tukea.

Tästä syystä kyberturvallisuus ei voi enää toimia erillisenä kontrollifunktiona kehityksen sivussa, vaan sen on oltava osa kehitystä.

Turvalliset ohjelmistoputket, kestävät käyttöönottoympäristöt, läpinäkyvä ja jäljitettävä konfiguraationhallinta sekä kurinalainen järjestelmäintegraatio eivät ole enää vain teknisiä tukitoimintoja. Ne ovat operatiivisia kyvykkyyksiä, jotka kytkeytyvät suoraan valmiuteen, luottamukseen ja pitkäjänteiseen resilienssiin.

Turvallisuus mahdollistajana

Yksi sitkeimmistä myyteistä puolustustekniikassa on ajatus siitä, että turvallisuus hidastaa kehitystä. Käytännössä tilanne on usein päinvastainen.

Organisaatiot, joiden järjestelmät ovat pirstaleisia, työnkulut hajanaisia ja työkalut epäyhtenäisiä, päätyvät helposti yhtä aikaa hitaammiksi ja haavoittuvammiksi. Varmistaminen vaikeutuu, muutosten läpivienti vie enemmän aikaa ja tekninen monimutkaisuus kasvaa vuosi vuodelta, mikä johtaa jatkuvasti heikkenevään ketteryyteen.

Hyvin suunnitellut kehitysympäristöt tuottavat päinvastaisen vaikutuksen. Kun resilienssi rakennetaan arkkitehtuuriin alusta lähtien, organisaatiot voivat liikkua nopeammin, koska niiden ei tarvitse jatkuvasti taistella omia järjestelmiään vastaan. Varmistaminen yksinkertaistuu, integraatiot sujuvoituvat ja hallinta muuttuu ennustettavammaksi.

Tällöin turvallisuus lakkaa toimimasta jarruna ja alkaa mahdollistaa muutosta. Käytännössä turvallisuus ei ole kerros, joka lisätään valmiiseen järjestelmään, vaan tapa, jolla järjestelmä rakennetaan alun perin.

Luottamus rakennetaan kauan ennen käyttöönottoa

Organisaatiot, jotka onnistuvat parhaiten moderneissa puolustusympäristöissä, ovat tunnistaneet tämän muutoksen. Ne suhtautuvat kyberturvallisuuteen tärkeänä osana ohjelmistokehitystä, eivätkä pelkästään jälkikäteiseen lisättynä kerroksena.

Ohjelmistokehitys, järjestelmäintegraatio, kyberresilienssi, operatiiviset työnkulut ja johtaminen nähdään saman kyvykkyyskokonaisuuden osina, ei erillisinä hankkeina.

Toimivat organisaatiot ymmärtävät myös toisen olennaisen seikan. Luottamus ei synny teknologiasta itsestään, vaan siitä, että järjestelmät jatkavat toimintaansa odotetulla tavalla myös silloin, kun paine kasvaa. Tämä luottamus ei rakennu vasta tuotantoympäristössä, vaan paljon aikaisemmin. Se syntyy kurinalaisissa kehitysympäristöissä, jotka on suunniteltu säilyttämään eheytensä myös olosuhteiden muuttuessa.

Kun puolustuskyky muuttuu yhä ohjelmistovetoisemmaksi, kyberturvallisuutta ei voi enää käytännössä erottaa itse suorituskyvystä.

Seuraavan vuosikymmenen onnistujia eivät todennäköisesti ole ne organisaatiot, jotka hankkivat eniten tietoturvatyökaluja tai rakentavat suurimmat valvontatoiminnot. Ne ovat niitä toimijoita, jotka rakentavat kehitysympäristöjä, joissa resilienssi, ohjattavuus ja operatiivinen luottamus ovat osa arkkitehtuuria ensimmäisestä päivästä lähtien.

Nykyisessä puolustuksessa turvallisuutta ei lisätä jälkikäteen. Se suunnitellaan mukaan alusta asti. Nopeus ei ole enää vain mittari, vaan strateginen kyvykkyys. Organisaatiot, jotka onnistuvat yhdistämään modernin ohjelmistokehityksen ja operatiivisen ymmärryksen, pystyvät kehittämään uusia kyvykkyyksiä nopeammin, turvallisemmin ja kestävämmällä tavalla kuin kilpailijansa. Siellä syntyy tulevaisuuden kilpailuetu.

Tulevaisuuden puolustus on ohjelmistovetoinen

Olipa tavoitteenne kehitystahdin kiihdyttäminen, kyberresilienssin vahvistaminen, päätöksenteon parantaminen tai seuraavan sukupolven puolustuskyvyn rakentaminen, onnistuminen riippuu yhä enemmän siitä, miten hyvin ohjelmisto, järjestelmät ja ihmiset toimivat yhdessä.