Oma kone, firman vastuu

Sain viime vuosituhannella työnantajaltani kannettavan tietokoneen.

Olin haljeta ylpeydestä tuon ihanaisen, neljäkiloisen kapistuksen edessä, eikä onneani vähentänyt uusi Nokian 2110 -matkapuhelin. Saatoin jopa hieman kehuskella näillä työvälineillä tutuille tai joskus jopa tuntemattomille.

Kuinka moni meistä nykyään tuntee samankaltaista pakahduttavaa ylpeyttä työntantajan tarjoamista työvälineistä? Oman kokemukseni perusteella työnantajan työvälineet eivät ole hehkeimmästä päästä.

Työvälineillä ei ole koreiltu, eikä niissä yksilöllisyydellä ja teknisillä edistysaskelilla ole ollut suurtakaan merkitystä.

Nykyisessä kulttuurissamme henkilökohtainen brändi ja ulkoinen olemus ovat yhä tärkeämpiä, ja niihin kiinnitetään yhä enemmän huomiota. Kännykän ja kannettavan valinnassa on tärkeää, että ne sopivat omaan stailiin. Työnantajan tarjoamat työkalut kiinnostavatkin käyttäjiä yhä vähemmän.

Tämä ristiriita omien tarpeidemme ja työnantajan tarjoamien työkalujen välillä on varmasti yksi syy siihen, että yhä useampi työntekijä tuo työpaikalleen omat työvälineensä.

Karua luettavaa oli Ciscon viimeisin tietoturvaraportti (Cisco Annual Security Raport 2011), jonka mukaan uuden sukupolven työntekijät haluavat käyttää omia laitteitaan työssään. ”Bring Your Own Device” eli BYOD on trendi.

Siinä ei sinänsä ole mitään pahaa, mutta samalla kun työntekijät haluavat käyttää omia laitteitaan, he kuitenkin haluavat ulkoistaa tietoturvan edelleen yrityksen vastuulle.

Perinteisessä laitekohtaiseen suojaukseen perustuvassa tietoturva-ajattelussa tämä yhtälö on lähes mahdoton. Miten työnantaja voi suojata laitteita, kun sillä ei ole harmainta aavistustakaan, mitä kaikkia puhelimia, iPadejä, kotikoneita ja kannettavia ihmiset käyttävät? Kuinka moni yritys on valmistautunut muutokseen, jonka BYOD asettaa tietoturvalle?

Reagoida pitäisi nopeasti, sillä muutos on käynnistynyt vauhdilla ja trendi kiihtyy koko ajan. Muutaman vuoden kuluessa yksittäisten käyttäjien laitemäärät kasvavat ja samalla laitetyypit ja käyttöjärjestelmät ovat yhä moninaisemmat. Tämä vaatii aivan toisenlaista lähestymistapaa tietoturvan toteuttamiseen, koska emme voi nojautua siihen (harha)luuloon, että yritys voisi hallita laiteympäristöään.

Kun BYOD-trendin päälle lisätään muut tietoturvaan vaikuttava tekijät, kuten virtualisointi, pilvipalvelut, ajasta ja paikastariippumaton työnteko, lainsäädäntö sekä sähköisen tiedon määrän lisääntyminen, ovat 20 vuotta vanhat tietoturvamekanismit ja -arkkitehtuurit auttamattomasti kivikaudella?

Organisaatioiden tulisi ottaa tämä haaste vakavasti huomioon, koska se koskettaa kaikkia.

Itse uskon, että seuraavan sukupolven tietoturvallinen työympäristö vaatii seuraavia asioita:

1. Tietoturvasta täytyy tehdä osa laajempaa IT-arkkitehtuuria nojautumatta yksittäisiin laitteisiin.
2. Organisaatioilla tulee olla selkeä strategia, kuinka voidaan tietoturvallisesti sallia omien työvälineiden käyttö jokapäiväisessä työssä.
3. Identiteetti- ja kontekstitietoinen tietoturva (käyttäjä, paikka, aika, sovellus, päätelaite jne.)
4. Täytyy ymmärtää mistä ja kuinka sovelluksia käytetään ja missä dataa oikeasti säilytetään.
5. Keskitetty hallinta ja politiikka, jonka avulla johdetaan tietoturvaa.