Kyberturvallisuus on olennainen osa tuotannon ja prosessien turvallisuutta teollisuudessa

Kyberturvallisuuslain tavoitteena on varmistaa, että lain soveltamisalaan kuuluvat toimijat tunnistavat digitaaliset riskit ja pystyvät hallitsemaan niitä ennakoivasti. Kyberhäiriö voi pahimmillaan johtaa tuotannon keskeytymiseen, taloudellisiin vahinkoihin tai vakaviin onnettomuuksiin.  

Tukes valvoo kyberturvallisuutta energia-, kemikaali- ja valmistustoimialoilla. Digitalisaatio on lisännyt alojen tehokkuutta, mutta samalla myös riippuvuutta digitaalisista järjestelmistä. 

Kyberturvallisuutta ei voida tarkastella vain tietojärjestelmien ja -teknologian (IT) suojauksena, vaan se on kiinteä osa operatiivista toimintaa ja teknologiaa (OT) sekä prosessiturvallisuutta. Teollisuudessa kyberturvallisuustyön prioriteetit ovat merkittävästi erilaiset kuin tavanomaisen tietotekniikan käytössä. 

–  Teollisuuden kyberturvallisuustyössä on huomioitava myös automaatio- ja prosessiturvallisuuden näkökulmat, korostaa Tukesin kybertiimin vetäjä Timo Talvitie. 

Kyberturvallisuushäiriöt eivät ole pelkästään kyberhyökkäyksiä. Häiriöitä syntyy myös tahattomasti esimerkiksi teknisten vikojen, virheellisten muutosten tai puutteellisen osaamisen seurauksena.  

IT-häiriö uhkaa tietoa, kun taas OT-häiriö vaarantaa fyysisen toiminnan ja turvallisuuden. Kriittisten tuotantoprosessien on pysyttävä hallinnassa ja turvallisina kaikissa tilanteissa.  

Keskeistä on se, miten kyberturvallisuuspoikkeamat havaitaan ja käsitellään ja mitä niistä opitaan. Tämä edellyttää eri toimijoiden yhteistyötä, jotta tuotannon turvallisuuteen vaikuttavat häiriöt huomataan ajoissa. 

Tukes korostaa, että yritysten tulee tarkastella kyberturvallisuutta johtamiskysymyksenä osana kokonaisvaltaista riskienhallintaa. Keskeistä on tuotannon jatkuvuuden ja turvallisuuden varmistaminen kaikissa olosuhteissa. 

Esimerkiksi kyberturvallisuusriskien arviointi ja palautumissuunnitelma on tehtävä yrityksen oman liiketoiminnan näkökulmasta. Riskien arviointiin kannattaa ottaa mukaan asiantuntijoita laajasti eri toiminnoista, myös tuotannosta ja kunnossapidosta. Pelkästään palveluntoimittajan näkökulmasta tehty riskien arviointi tai palautumissuunnitelma ei ole riittävä.