Küberintsidentide arvu kolmekordne kasv tekitab karjuva vajaduse infoturbejuhi järele
Riigi Infosüsteemi Ameti küberintsidentide statistika näitab iga-aastast selget kasvu: 2023. aastal registreeriti 3314 mõjuga küberintsidenti, 2024. aastal juba 6515 ning 2025. aastal kasv jätkus, jõudes 10 185 intsidendini. Samal ajal karmistub ka regulatiivne surve. Alates 2026. aasta jaanuarist kehtivad Eestis NIS2 ülevõtnud küberturvalisuse seaduse muudatused ning nende kohaldamisala laieneb tuhandetele ettevõtetele. Sellises olukorras pole küsimus enam “kas me vajame infoturvet”, vaid “kes seda juhib ja kuidas siduda infoturve ärieesmärkidega”.
Just siin tuleb mängu CISO ehk infoturbejuht. CISO roll ei ole “veel üks IT juht” ega “see inimene, kes ostab turvatarkvara”. Hästi toimivas ettevõttes on CISO see, kes võtab infoturbe lahti arusaadavaks juhtimissüsteemiks. Selleks kaardistatakse riskid, pannakse paika prioriteedid, rakendatakse kontrollmeetmed, mille toimimist mõõdetakse ja juhtkond saab regulaarselt adekvaatse pildi sellest, mis on kontrolli all ja mis mitte.
Infoturbejuhi põhiülesanne on tagada andmete ja süsteemide käideldavus, terviklus ja konfidentsiaalsus ning juhtida nii tehniliste kui ka organisatsiooniliste meetmete rakendamist. See ei puuduta ainult digitaalseid andmeid, vaid ka paberkandjaid, suulist infot ja protsesse. Teisisõnu CISO teeb infoturbest juhitava ja auditeeritava võimekuse, mitte juhusliku “projektide kogumi”.
Küberrünnak pole enam IT-probleem, vaid juhtimisküsimus
Miks on head infoturbejuhti Eestis raske leida? Esiteks on see amet erinevate oskuste segu: vaja on tugevat tehnilist tausta, arusaamist äriprotsessidest ja tarneahelatest, kogemust inimeste ja muutuste juhtimisel ning oskust rääkida juhatusega samas keeles. Teiseks liigub ohupilt kiiremini kui kunagi varem, sest tehisintellekt muudab rünnakud nutikamaks ja skaleeritavamaks, samal ajal kui spetsialiste napib päriselt ja seda üle maailma.
ERR Novaator kajastas Sisekaitseakadeemia uuringut, kus toodi välja, et küberohtude kasvu taga on muu hulgas tehisintellekti kiire areng ja küberturbe spetsialistide nappus. Kolmandaks on infoturbejuhi nõuetele vastavaid inimesi vähe ning konkurents nende pärast on tihe: pangandus, tervishoid, telekomid, suured tehnoloogiaettevõtted ja riigisektor vajavad sama kompetentsi. Ja neljandaks ei palgata CISO ainult “tänaseks”, vaid koos vastutusega hoida võimekus ajakohane, mis tähendab pidevat koolitamist, sertifitseerimist ja praktikate uuendamist.
Kui CISO positsioon on ettevõttes katmata, tekib vaakum, sest puudub keskne juht ja pädev otsustaja infoturbega seotud küsimustes ning turvategevus killustub eri rollide vahel. Selle tulemus on klassikaline “keegi ei vastuta päriselt” olukord ja see on just see, mida ründajad ära kasutavad. Praktiline näide on arvepettused, kus murtakse sisse meilikontole, oodatakse õige hetkeni ja muudetakse arvel ära kontonumber. Kahju ei teki “häkist”, vaid sellest, et protsessid ja kontrollid ei ole paigas. Seetõttu ütlebki Riigi Infosüsteemi Amet otse, et küberrünnak pole enam IT-probleem, vaid juhtimisküsimus.
Siin ongi CISO-as-a-Service (CISOaaS) praktiline lahendus. Kui ettevõte ei leia või ei pea majanduslikult mõistlikuks palgata täiskohaga tipptasemel infoturbejuhti, saab CISO kompetentsi osta sisse teenusena ning käivitada juhtimise kiiresti ilma kuudepikkuse värbamiseta. Teenus annab ligipääsu kogenud spetsialistidele ja sertifikaatidega kompetentsile ning ei sõltu enam ühest inimesest, vaid toetub tervele meeskonnale, kus on kaetud erinevad rollid ja oskused (nt infoturbejuhtimine, süsteemihaldus, läbistustestimine, digitaalkriminalistika). See mudel sobib eriti hästi väikese ja keskmise suurusega ettevõtetele ning kasvufaasis ettevõtetele, aga ka suurematele organisatsioonidele, kes vajavad ajutist katvust (näiteks CISO vahetuse ajal), konkreetse programmi käivitamist (ISMS, riskijuhtimine, tarneahela turve) või juhatuse tasandil infoturbe “tõlget” ärikeelde.
Praktikas tähendab CISOaaS seda, et infoturbe juhtimine muutub struktuurseks. Alustatakse hetkeolukorra ja riskipildi kaardistamisest, pannakse paika eesmärgid ja tegevusplaan, jagatakse vastutused, luuakse mõõdikud ning viiakse ellu kriitilised kaitsemeetmed. Samal ajal saab juhtkond kindluse, et otsused on läbimõeldud ja järjepidevad, olgu fookuses NIS2 nõuete täitmine Eestis või finantssektoris DORA, mis rakendus juba 17. jaanuarist 2025. Samuti seatakse selged ootused digitaalsele toimepidevusele ning IKT-riskide juhtimisele. Lõpptulemus ei ole “rohkem dokumente”, vaid parem valmisolek ja vähem tõenäosust, et üks vale klikk või mõni parandamata haavatavus viib tööseisaku, andmelekkega kriisi või kuluka taastumiseni.
Mihkel Kukk
KPMG Baltics küberturvalisuse teenuste juht
Viimased artiklid
Väikeettevõttele võib küberintsident tuua ligi 13 000 eurot miinust päevas
Reede õhtud, nädalavahetus ja puhkuste aeg on küberrünnete korraldamiseks kõige magusam aeg, kuna ..
Küberturvalisuse uudiskiri
Tänases ärikeskkonnas, kus tehnoloogilised riskid kasvavad kiiremini kui neid jõutakse kaardista..
Küberjamadega pannakse nüüd juhatuse pea pakule
KPMG Balticsi küberturvalisuse valdkonna juht Mihkel Kuke sõnul tähistavad hiljuti vastu võetud kü..
Küberturvalisuse eelarve on strateegiline investeering, mitte kulu
Aasta lõpus kõlab igal juhatuse koosolekul küsimus, et kui palju peaks ettevõte järgmisel aastal i..
Kas Sinu ettevõtte süsteemid on tegelikult turvalised?
Läbistustest näitab, kui vastupidavad on Sinu infosüsteemid rünnakule.
Muuda ohud võimalusteks
Taga oma ettevõttele turvaline ja jätkusuutlik ärikeskkond!
Aitame luua vastupidava ja usaldusväärse digitaalse maailma,
isegi muutuvate ohtude korral.
KPMG Baltics OÜ
+372 626 8700cyber@kpmg.ee
Ahtri 4, 10151 Tallinn, Eesti
Võta meiega ühendust
${i18n('ask_more')}
Töötajate teadlikkuse analüüs
Töötajate teadlikkuse analüüs keskendub küberturvalisuse nõrgima lüli – kasutaja, töötaja – oskuste kaardistamisele ja kompetentside tõstmisele.
${i18n('ask_more')}
Ohuanalüüs
Ohuanalüüs on taktikaline ja tehniline teenus, mis võimaldab ettevõttel saada kiire ülevaade välistest ohtudest.
${i18n('ask_more')}
Küpsusanalüüs
Aitab planeerida IT-valdkonna investeeringuid ja edasisi samme kitsaskohtade leevendamiseks ning parema turvalisuse tagamiseks.