Tekoäly nopeuttaa sekä liiketoiminnan uudistumista että kyberuhkien kehitystä. Menestyminen edellyttää organisaatioilta kykyä hyödyntää tekoälyä nopeasti ja samalla hallitusti, turvallisuudesta, vastuista ja luottamuksesta tinkimättä.
Tekoäly auttaa organisaatioita innovoimaan nopeammin, automatisoimaan päätöksentekoa, parantamaan tuottavuutta ja löytämään uusia kasvumahdollisuuksia. Samalla se tarjoaa kyberrikollisille uusia keinoja tunnistaa haavoittuvuuksia, tehostaa sosiaalista manipulointia, automatisoida tiedustelua, tuottaa haitallista koodia ja mukauttaa hyökkäyksiä ennennäkemättömällä nopeudella.
Tämän seurauksena organisaatioiden välille syntyy yhä suurempi kuilu. Osa pystyy hyödyntämään tekoälyä kilpailuedun rakentamiseen, kun taas toiset kamppailevat sen hallinnan ja turvallisuuden kanssa sekä pyrkivät ymmärtämään, millaisia uusia riskejä tekoälyn käyttö tuo mukanaan.
Haasteena ei ole niinkään se, että tekoäly synnyttää kokonaan uusia riskejä, vaan se, että se vahvistaa olemassa olevia heikkouksia nopeammin kuin organisaatioiden toimintamallit pystyvät mukautumaan ja korjaamaan niitä. Se, mikä ennen vei kuukausia, voi nyt tapahtua päivissä ja se, mikä vei päiviä, tunneissa. Myös tehtävät, jotka aiemmin edellyttivät erityisosaamista, ovat oikeiden työkalujen avulla yhä useampien ulottuvilla. Kyberturvallisuuden tulevaisuudessa menestyvät organisaatiot, jotka pystyvät toimimaan tekoälyn vauhdissa menettämättä samalla sen hallintaa.
Kyberturvallisuus osaksi tekoälyn käyttöönottoa alusta lähtien
Monissa organisaatioissa kyberturvallisuutta käsitellään edelleen teknologisena toimintona ja tekoälyä erillisenä innovaatiohankkeena. Tällainen erottelu alkaa kuitenkin muodostaa merkittävän riskin. Tekoälyä hyödyntävät ratkaisut vaikuttavat jo asiakaskokemukseen, operatiivisiin prosesseihin, henkilöstön tuottavuuteen, taloudelliseen raportointiin, toimitusketjuihin ja strategiseen päätöksentekoon. Siksi kyberturvallisuuden on oltava olennainen osa tekoälyn käyttöönottoa alusta lähtien eikä vasta projektin lopussa tehtävä tarkistus.
Tulevaisuuteen valmistautuneet organisaatiot huomioivat tekoälyhankkeissaan turvallisuuden, tietosuojan, häiriönsietokyvyn, hallinnan ja luottamuksen jo alusta lähtien. Keskeisiä kysymyksiä ovat:
- Mihin dataan tekoälyllä on pääsy?
- Mihin päätöksiin tekoäly voi vaikuttaa?
- Kenellä on vastuu?
- Miten tekoälyn toimintaa seurataan?
- Mitä tapahtuu, jos tekoäly ei toimi odotetulla tavalla?
Jos näihin kysymyksiin ei pystytä vastaamaan nopeasti, organisaation tekoälyn hyödyntäminen etenee nopeammin kuin sen hallintakyky.
Identiteetinhallinta ja käyttöoikeuksien merkitys korostuu
Organisaatioiden suojattava digitaalinen toimintaympäristö muuttuu nopeasti. Enää huomio ei kohdistu vain ihmisten käyttäjätunnuksiin ja identiteetteihin. Palvelutilien, koneidentiteettien, ohjelmointirajapintojen (API), automaatioalustojen, tekoälyavustajien, autonomisten agenttien ja kolmansien osapuolten integraatioiden määrä kasvaa nopeasti. Monilla niistä on jo työntekijöiden käyttöoikeuksiin verrattavia pääsyoikeuksia organisaation järjestelmiin ja tietoihin.
Menestyvät organisaatiot nostavat identiteetinhallinnan keskeiseksi osaksi digitaalisen toimintaympäristön hallintaa. Olennaista on pystyä vastaamaan esimerkiksi seuraaviin kysymyksiin:
- Kenellä on pääsy?
- Millä järjestelmillä tai teknologioilla on pääsy?
- Miksi käyttöoikeus on myönnetty?
- Tarvitaanko käyttöoikeutta edelleen?
- Miten käyttäjien, järjestelmien ja muiden identiteettien toiminta muuttuu ajan myötä?
Jatkossa organisaatioiden on tärkeää tietää, millä ihmisillä, järjestelmillä ja muilla identiteeteillä on pääsy niiden tietoihin ja palveluihin sekä millaiset käyttöoikeudet niillä on. Suojaaminen edellyttää, että organisaatio tunnistaa digitaalisen toimintaympäristönsä käyttäjät ja toimijat sekä ymmärtää niiden käyttöoikeudet.
Muuttuvat riskit vaativat jatkuvaa seurantaa
Useimmat kyberturvallisuusohjelmat on suunniteltu aikaan, jolloin toimintaympäristö muuttui nykyistä hitaammin. Vuosittaisiin riskiarviointeihin, neljännesvuosittaisiin tarkasteluihin tai määräajoin tehtävään testaukseen tukeutuminen voi jättää organisaatiolle katvealueita, joita tekoälyä hyödyntävät uhkatoimijat voivat käyttää hyväkseen.
Menestyvät organisaatiot ovat siirtymässä määräajoin tehtävistä arvioinneista kohti jatkuvaa riskien seurantaa ja hallintaa. Käytännössä tämä tarkoittaa, että:
- ”Täytämmekö vaatimukset?” -kysymyksen sijaan kysytään: ”Missä olemme juuri nyt alttiita hyökkäyksille?”
- Toimenpiteiden määrän sijaan mitataan niiden vaikutuksia ja tuloksia.
- Kriittisiä resursseja, arkaluonteista dataa, identiteettejä, haavoittuvuuksia, kolmansia osapuolia, tekoälyjärjestelmiä ja liiketoiminnan riippuvuuksia arvioidaan jatkuvasti.
Tavoitteena ei ole täydellinen turvallisuus, vaan riskien tunnistaminen ja vähentäminen ennen kuin ne aiheuttavat häiriöitä.
Hyödynnä tekoälyä rohkeasti, mutta hallitusti
Osa organisaatioista epäröi tekoälyn hyödyntämistä siihen liittyvien riskien vuoksi, kun taas toiset etenevät nopeasti ilman riittäviä kontrolleja. Kumpikaan lähestymistapa ei ole pitkällä aikavälillä kestävä. Kestävä lähestymistapa yhdistää kunnianhimon ja suunnitelmallisen hallinnan. Ne hyödyntävät tekoälyä laajasti kyberturvallisuuden kehittämisessä, tutkintojen automatisoinnissa, hälytysten täydentämisessä lisätiedolla, uusien uhkien tunnistamisessa, manuaalisen työn vähentämisessä ja päätöksenteon tukemisessa.
Samalla tekoälyn käytölle asetetaan selkeät rajat ja vastuut:
- Merkittävissä päätöksissä vastuu säilyy ihmisellä.
- Autonomiselle toiminnalle määritellään selkeät rajat.
- Tekoälyn tuottamia tuloksia seurataan, testataan, arvioidaan kriittisesti ja varmennetaan.
- Tekoälyn turvallisuudesta, luotettavuudesta ja selitettävyydestä sekä sen yhteydestä liiketoiminnan tavoitteisiin edellytetään näyttöä.
Luottamus tekoälyyn ei synny oletuksista, vaan näytöstä. Menestyjiä eivät ole organisaatiot, jotka ottavat käyttöön eniten tekoälyä, vaan ne, jotka pystyvät osoittamaan, että niiden käyttämään tekoälyyn voidaan luottaa.
Häiriönsietokyvyn on vastattava tekoälyn nopeuteen
Monet häiriönsietokykyä ja jatkuvuutta koskevat suunnitelmat on laadittu aikaan, jolloin toimintaympäristö muuttui hitaammin ja virheiden vaikutukset etenivät ihmisten toiminnan tahdissa. Tulevaisuudessa organisaatioiden on varauduttava tilanteisiin, joissa häiriöt syntyvät ja leviävät koneiden nopeudella. Vaarantunut tekoälymalli, manipuloitu data-aineisto tai algoritmi, hallitsemattomasti toimiva autonominen prosessi tai väärinkäytetty tekoälyagentti voi aiheuttaa seurauksia sellaisella nopeudella ja mittakaavassa, että perinteiset reagointimallit eivät välttämättä pysy mukana.
Siksi myös häiriönsietokyvyn ja varautumisen on kehityttävä. Organisaatioiden tulisi:
- testata tilanteita, joissa tekoäly ei toimi odotetulla tavalla
- sisällyttää tekoälyyn liittyvät häiriötilanteet kriisiharjoituksiin
- varmistaa, että palautumismenettelyt toimivat käytännössä
- varautua vaarantuneisiin tekoälymalleihin ja manipuloituun tai vioittuneeseen dataan
- määritellä selkeät vastuut ja toimintamallit tilanteiden eskalointiin.
Häiriönsietokyvyssä ei ole kyse vain järjestelmien palauttamisesta. Olennaista on myös pystyä säilyttämään luottamus tilanteissa, joissa automatisoitu päätöksenteko, digitaaliset palvelut tai niitä ympäröivät ekosysteemit eivät toimi odotetulla tavalla.
Johtaminen ratkaisee tekoälyn aikakaudella
Teknologialla, kontrolleilla ja alustoilla on jatkossakin tärkeä rooli, mutta niiden rinnalla johtamisen merkitys korostuu. Kyberturvallisuudessa ei ole tulevaisuudessa kyse vain teknologian hallinnasta, vaan yhä enemmän myös muutoksen nopeuden, vastuiden ja luottamuksen hallinnasta.
Hallituksen ja johdon on pystyttävä muodostamaan selkeä kokonaiskuva siitä, missä tekoäly tuottaa arvoa, millaisia riskejä sen käyttöön liittyy, kenellä on vastuu näistä riskeistä ja toimivatko käytössä olevat kontrollit suunnitellusti.
Menestyvät organisaatiot tuovat kyberturvallisuuden ja tekoälyn hallinnan osaksi strategista päätöksentekoa sen sijaan, että niitä käsiteltäisiin vain operatiivisessa raportoinnissa. Kyberturvallisuutta ei nähdä pelkästään suojautumisesta aiheutuvana kustannuksena, vaan liiketoiminnan kasvua ja uudistumista mahdollistavana tekijänä.
Tärkeintä on ymmärtää, ettei tekoäly muuta kyberturvallisuuden perustehtävää. Se muuttaa nopeutta, jolla organisaatioiden on pystyttävä toimimaan.
Tavoitteista käytännön toimintaan
Tulevaisuudessa eivät menesty ne organisaatiot, joilla on eniten kontrolleja, suurimmat kyberturvallisuustiimit tai pisimmät riskirekisterit. Ne menestyvät, jotka pystyvät uudistumaan nopeasti, hallitsemaan riskejä viisaasti, mukautumaan jatkuvasti ja osoittamaan olevansa luottamuksen arvoisia.
Seuraava askel on viedä nämä tavoitteet osaksi organisaation päivittäistä toimintaa. Seuraavat seitsemän askelta auttavat rakentamaan parempaa tilannekuvaa, selkeitä vastuita, nopeampaa toimintakykyä ja näyttöön perustuvaa luottamusta.
| KÄYTÄNNÖN ASKEL | TOIMENPIDE JA TAVOITE |
|---|---|
| 1. Kartoita organisaation tekoälyn käyttö | Muodosta ajantasainen kokonaiskuva tekoälyn käyttötapauksista, käytössä olevista tekoälyominaisuuksista ja -malleista, agenteista, datalähteistä, integraatioista, toimittajista ja koneidentiteeteistä. Arvioi jokainen käyttötapa sen liiketoimintavaikutusten ja riskien perusteella. Tavoite: Muodosta selkeä kokonaiskuva siitä, missä tekoälyä käytetään, mihin sillä on pääsy ja mitkä käyttötapaukset ovat organisaation kannalta olennaisimpia. |
| 2. Määrittele selkeät vastuut | Nimeä jokaiselle merkittävälle tekoälyn käyttötapaukselle vastuuhenkilöt liiketoiminnan, teknologian, datan ja riskienhallinnan osalta. Määrittele selkeästi, kuka hyväksyy käyttöönoton ja riskit, seuraa suorituskykyä ja voi tarvittaessa keskeyttää tekoälyratkaisun käytön. Tavoite: Merkittävää tekoälyn käyttöä ei tapahdu ilman selkeitä päätöksentekovastuita ja toimintamalleja ongelmatilanteisiin. |
| 3. Mahdollista hallittu eteneminen | Mahdollista vähäriskisten tekoälyn käyttötapausten nopea eteneminen, mutta aseta tiukemmat vaatimukset ratkaisuille, jotka vaikuttavat asiakkaisiin, henkilöstöön, kriittisiin toimintoihin, arkaluonteiseen dataan tai merkittäviin päätöksiin. Tavoite: Hyvä hallinta mahdollistaa turvallisen innovoinnin sen sijaan, että jokaista tekoälyn käyttötapausta käsiteltäisiin samalla tavalla. |
| 4. Suojaa identiteetit, data ja tekoälyagentit | Huolehdi sekä ihmisten että koneellisten identiteettien käyttöoikeuksista, vahvasta tunnistautumisesta, pääsynhallinnasta, lokituksesta ja käyttöoikeuksien elinkaaren hallinnasta. Käyttöoikeudet tulisi rajata vain siihen, mikä on tehtävän kannalta tarpeellista. Tavoite: Jokaisella ihmisellä, palvelulla, tekoälymallilla ja agentilla on vain tarvitsemansa käyttöoikeudet ja vain niin kauan kuin niitä tarvitaan. |
| 5. Uudista puolustusta tekoälyllä | Hyödynnä tekoälyä hälytysten täydentämiseen lisätiedolla, havaintojen yhdistämiseen, tutkinnan nopeuttamiseen ja merkittävimpien riskien priorisointiin. Automatisoi toistuvia reagointitoimia silloin, kun niiden luotettavuudesta voidaan olla riittävän varmoja. Säilytä ihmisen harkinta ja vastuu tilanteissa, joissa toimenpiteillä voi olla merkittäviä vaikutuksia liiketoimintaan. Tavoite: Uhkien havaitseminen, tutkinta ja rajaaminen nopeutuvat vastaamaan paremmin uhkien kehitysvauhtia. |
| 6. Testaa jatkuvasti | Arvioi jatkuvasti kontrollien toimivuutta, mahdollisia hyökkäysreittejä, tekoälymallien toimintaa, palautumismenetelmiä ja kolmansista osapuolista syntyviä riippuvuuksia. Sisällytä harjoituksiin myös tekoälymallien vaarantuminen, datan manipulointi, tekoälyagenttien väärinkäyttö sekä automatisoidun päätöksenteon häiriöt. Tavoite: Johto saa konkreettista näyttöä siitä, että kontrollit toimivat ja organisaation häiriönsietokyky kestää myös todellisia häiriötilanteita. |
| 7. Mittaa olennaisia asioita | Korvaa toimintamääriin keskittyvä raportointi tiiviillä kokonaiskuvalla olennaisista riskeistä, uhkien havaitsemiseen ja rajaamiseen kuluvasta ajasta, laajoista käyttöoikeuksista, kontrollien toimivuudesta, häiriönsietokyvystä, tekoälyyn liittyvistä poikkeamista ja hyväksytyistä riskeistä. Tavoite: Hallitus ja johto saavat selkeän kuvan siitä, vähenevätkö organisaation riskit ja pystyykö organisaatio etenemään luottavaisesti. |
Kaikkia seitsemää osa-aluetta ei tarvitse saada kerralla täydellisiksi. Liikkeelle kannattaa lähteä siitä, mikä on organisaation kannalta olennaisinta: tekoälyn hyödyntämästä datasta, kriittisistä liiketoimintapalveluista, arkaluonteisista tiedoista, laajoja käyttöoikeuksia sisältävistä identiteeteistä sekä todennäköisimmistä hyökkäysreiteistä.
Laadi tämän pohjalta 90 päivän toimintasuunnitelma, määrittele selkeät vastuut ja sovi, millaisen tilannekuvan ja näytön johto saa edistymisen seuraamiseksi. Etenemistä on tärkeää arvioida säännöllisesti ennalta sovittuina ajankohtina.
Tekoäly on käynnistänyt yhden kyberturvallisuuden historian merkittävimmistä muutoksista, mutta samalla se tarjoaa myös merkittäviä mahdollisuuksia uudistaa kyberturvallisuutta.
Tulevaisuudessa menestyvät organisaatiot, jotka pystyvät toimimaan tekoälyn vauhdissa tinkimättä ihmisen harkinnasta, selkeistä vastuista ja luottamuksesta.