Gap-analyysi tietoturvassa: tunnista puutteet ja tee korjaukset hallitusti

Miksi gap-analyysi on tietoturvassa käytännön työkalu (ei raportti raportin vuoksi)

Monessa organisaatiossa tietoturvaa kehitetään palasina: otetaan käyttöön uusi suojausominaisuus, päivitetään ohje, hankitaan palvelu tai reagoidaan auditointihavaintoon. Ilman yhteistä näkymää kokonaisuuteen kehittäminen ajautuu helposti kahteen ääripäähän: joko tehdään liikaa ”varmuuden vuoksi” tai jätetään olennaisia aukkoja huomaamatta, koska kukaan ei yhdistä teknisiä, hallinnollisia ja toiminnallisia paloja samaan kuvaan.

Gap-analyysi tietoturvassa tarkoittaa käytännössä eron tunnistamista nykytilan ja tavoitetilan välillä: mitä vaatimuksia, hyviä käytäntöjä tai omia tavoitteita vasten toiminta ja kontrollit arvioidaan, mitkä kohdat ovat kunnossa ja missä on puutteita. Hyvin tehty gap-analyysi ei jää yleiselle tasolle, vaan tuottaa päätöksenteon kannalta hyödyllisen lopputuloksen: konkreettiset kehitystoimet, omistajat, prioriteetit ja perustelut.

Käpy A.I. Oy tekee gap-analyysejä osana tietoturvakartoituksia ja konsultointia. Työn tavoite on auttaa organisaatiota tunnistamaan olennaisimmat riskit ja kehityskohteet sekä varmistaa, että toimenpiteet ovat realistisia arjen tekemisessä ja linjassa vaatimustenmukaisuuden sekä liiketoiminnan tarpeiden kanssa.

Mitä gap-analyysissä verrataan: tavoitetila voi olla standardi, direktiivi tai oma malli

Gap-analyysin hyöty riippuu siitä, mitä vasten arviointi tehdään. Tavoitetila valitaan aina organisaation tilanteen mukaan. Yleisiä lähtökohtia ovat esimerkiksi:

• Vaatimustenmukaisuus: asiakkaiden tai sopimusten vaatimukset, sisäiset politiikat sekä viranomais- tai toimialavaatimukset.
• ISO 27001 -viitekehys: kypsyystason arviointi ja hallintakeinojen kattavuus. Tarvittaessa kokonaisuus voidaan ankkuroida ISO 27001 kypsyyskartoitukseen.
• Riskiperusteinen tavoitetila: organisaation oma riskiprofiili, kriittiset prosessit, tietoluokat, toimitusketju ja käytetyt pilvipalvelut.

Olennaista on, että tavoitetila määritellään selkeästi: mitä ”riittävä” tarkoittaa juuri tässä organisaatiossa. Esimerkiksi monivaiheinen tunnistautuminen voi olla käytössä, mutta jos poikkeuskäytännöt, laitehallinta tai ylläpitäjätunnusten suojaus eivät ole kunnossa, kokonaisriski voi silti jäädä korkeaksi. Gap-analyysi tuo tämän näkyväksi.

Käytännössä gap-analyysi vastaa kysymykseen: mikä estää meitä olemasta tavoitetilan tasolla, ja mitä tehdään ensin? Samalla se auttaa perustelemaan investoinnit ja työmäärän: miksi jokin toimenpide on välttämätön ja mitä riskiä se pienentää.

Miten Käpy A.I. Oy:n gap-analyysi etenee: tietolähteet, arviointi ja tulokset

Gap-analyysin arvo syntyy siitä, että se perustuu todelliseen tekemiseen eikä oletuksiin. Siksi arviointi rakennetaan useammasta tietolähteestä. Tyypillinen eteneminen on seuraava:

1. Rajaus ja tavoitetilan määrittely: mitä toimintoja, järjestelmiä ja yksiköitä tarkastellaan, sekä mitä vaatimuksia vasten arvioidaan.
2. Nykytilan aineiston keruu: olemassa olevat politiikat ja ohjeet, riskienhallinta, tietosuojan käytännöt, käyttöoikeusmallit, lokitus ja valvonta, varautuminen, toimittajahallinta sekä tekniset asetukset valituista ympäristöistä.
3. Haastattelut ja läpikäynnit: käytännön arjen prosessit (esim. käyttäjän elinkaaren hallinta, poikkeamien käsittely, muutosten hallinta, varmuuskopiointi ja palautus).
4. Havaintojen luokittelu: puute ei ole vain ”on/ei ole” -kysymys, vaan usein kypsyystaso. Esimerkiksi ohje voi olla olemassa, mutta sen jalkautus ja seuranta puuttuu.
5. Priorisointi ja tiekartta: toimenpiteet aikajänteelle, riippuvuudet ja vastuuroolit.

Lopputuloksena syntyy kokonaiskuva, joka on johdon ja IT:n kannalta käyttökelpoinen. Raportointi ei keskity pelkkään listaan puutteita, vaan siihen, miten puutteet näkyvät riskinä ja miten ne korjataan hallitusti. Käpy A.I. Oy:n työssä painotetaan konkreettisia toimenpiteitä: mitä tehdään, kuka omistaa, mitä se vaatii ja mitä sen jälkeen mitataan.

Jos organisaatio tarvitsee kokonaisarvion ennen yksityiskohtaista gap-analyysia, lähtökohtana toimii usein tietoturvan nykytilakartoitus. Se luo pohjan tavoitetilan valinnalle ja priorisoinnille.

Tyypillisimmät gapit, jotka nousevat esiin – ja miten ne korjataan käytännössä

Gap-analyysissä näkyy usein sama ilmiö: teknisiä ratkaisuja on, mutta niiden käyttö, vastuut ja mittaaminen eivät ole samalla tasolla. Alla on esimerkkejä tyypillisistä puutteista ja käytännön korjaussuunnista.

1) Vastuut ja päätöksenteko ovat epäselvät

Kun roolit ovat epäselviä, tietoturvasta tulee helposti ”jonkun muun” tehtävä. Näkyvä seuraus on se, että tärkeät päätökset jäävät tekemättä: kuka hyväksyy riskin, kuka omistaa ohjeen, kuka päättää poikkeuksesta?

• Korjaus: määritellään omistajuudet (johto, IT, liiketoiminta, HR), päätöksenteon malli ja poikkeusprosessi. Tämä voidaan ankkuroida tietoturvan hallintamalliin ja vuosikelloon.

2) Käyttöoikeudet ja ylläpitotunnukset eivät vastaa vähimmäisoikeusmallia

Ylläpitäjäoikeuksia kertyy helposti, ja poikkeustunnukset jäävät pysyviksi. Gap-analyysi tunnistaa sekä prosessin puutteet että tekniset riskit (esim. puutteellinen lokitus, liian laajat oikeudet, heikot hyväksyntäkäytännöt).

• Korjaus: vähimmäisoikeusmalli, määräaikaiset oikeudet, hyväksynnät ja lokitus. Tarvittaessa kokonaisuus tuetaan erillisellä ratkaisulla, kuten pääkäyttäjäoikeuksien hallinnalla, jotta arjen työ ei pysähdy mutta riskitaso laskee.

3) Varmuuskopiointi ja palautuminen eivät ole todennettuja

Varmuuskopioinnin suurin riski on oletus: ”kyllä meillä on backup”. Gap-analyysi katsoo, mitä oikeasti varmistetaan, kuinka nopeasti palautuminen onnistuu ja onko palautus testattu. Erityisesti SaaS-ympäristöissä väärä oletus on yleinen.

• Korjaus: määritellään palautumistavoitteet (RTO/RPO), testataan palautus ja varmistetaan kriittiset ympäristöt myös pilvipalveluissa. Microsoft 365 -ympäristöissä voidaan hyödyntää esimerkiksi Microsoft 365 -varmuuskopiointia osana kokonaisuutta.

4) Valvonta ja reagointi eivät ole jatkuvaa

Moni organisaatio havaitsee poikkeamat myöhään: käyttäjä raportoi, asiakas huomaa tai palvelu kaatuu. Gap-analyysi tunnistaa, onko käytössä riittävä näkyvyys päätelaitteisiin, identiteetteihin ja kriittisiin palveluihin – ja ennen kaikkea, kuka reagoi ja millä pelikirjalla.

• Korjaus: määritellään valvonnan tavoitetaso, tapahtumien käsittelyprosessi ja reagoinnin vastuut. Tarvittaessa rakennetaan kyvykkyyttä XDR-tyyppisillä ratkaisuilla, kuten TEHTRIS XDR -alustalla, jotta havaitseminen ja reagointi nopeutuvat.

5) Henkilöstön toiminta ei noudata tavoitetilaa

Vaikka tekniset kontrollit olisivat kunnossa, arjen käytännöt voivat vuotaa: tietojen jakaminen, väärät vastaanottajat, ohjeiden ohittaminen kiireessä, heikot käytännöt etätyössä. Gap-analyysi nostaa esiin, missä kohtaa käyttäytyminen ei vastaa tavoitetilaa ja mitä koulutuksella sekä ohjeistuksella kannattaa korjata.

• Korjaus: roolikohtainen koulutus ja käytännönläheiset mallit (esim. tiedon luokittelu, turvallinen jakaminen, poikkeamien ilmoittaminen). Käpy A.I. Oy toteuttaa tätä tietoturvakoulutuksilla, jotka sidotaan organisaation omiin työkaluihin ja tilanteisiin.

Miten gap-analyysin tulokset muutetaan tekemiseksi: priorisointi, mittarit ja jatkuva parantaminen

Hyvä gap-analyysi tuottaa sekä nopeita korjauksia että pidemmän aikavälin kehitystä. Yleinen kompastuskivi on, että lista toimenpiteitä jää elämään ”selvityksenä”, koska päätöksenteko ja resursointi puuttuvat. Käpy A.I. Oy:n työssä tulokset viedään käytäntöön kolmen periaatteen avulla:

• Priorisointi riskin ja vaikutuksen mukaan: mitä pienentää suurinta riskiä nopeimmin (esim. ylläpitotunnusten suojaus, varmistusten testaus, kriittisten palveluiden valvonta).
• Omistajuus ja aikataulu: jokaiselle toimenpiteelle nimetään omistaja ja sovitaan realistinen aikataulu. Tämä tukee myös johtoryhmän seurantaa.
• Mittarit ja todennus: ei pelkkää ”tehtiin”, vaan miten varmistetaan, että uusi käytäntö toimii (esim. palautustestien läpimeno, MFA-kattavuus, poikkeamien käsittelyaika, koulutuksen läpäisy ja havaintojen väheneminen).

Gap-analyysi voidaan toteuttaa kertaluonteisena projektina, mutta parhaimmillaan se toimii myös jatkuvan parantamisen rungon perustana. Kun tavoitetila ja mittarit ovat selvät, seuraava arviointi voidaan tehdä kevyemmin ja kehitys voidaan osoittaa numeerisesti ja konkreettisesti.

CTA: Aloita gap-analyysi ja tee tietoturvasta hallittava kokonaisuus

Jos organisaatiossa on epäselvää, mitkä tietoturvan kehitystoimet ovat oikeasti olennaisimpia tai miten vaatimustenmukaisuutta pitäisi lähestyä ilman raskasta projektia, gap-analyysi on käytännön tapa saada tilanne hallintaan.

Tutustu Käpy A.I. Oy:n tietoturvakartoituksiin tai ota yhteyttä ja sovitaan lyhyt aloituskeskustelu: yhteystietojen kautta voidaan rajata tavoitetila, aikataulu ja se, millä tiedoilla gap-analyysi tuottaa parhaan hyödyn.