LähiTapiola on eri asiakasryhmille palveluita tarjoava elämänturvayhtiö, jonka tärkeimmät arvot ovat rohkeus, hyväntahtoisuus ja intohimo. LähiTapiola toimii Suomen alueella, ja palveluvalikoima kattaa kaikki Suomen markkinoilla olevat vakuutustuotteet. Lisäksi yhtiöryhmä tarjoaa finanssialan tuotteita ja sijoittamisen palveluita. Terveysvakuuttamisessa se toimii kumppaneiden kautta.
Viimeisimpänä Insta toteutti LähiTapiolalle ylimmän johdon kyberturvaharjoituksen, jossa
kehitettiin kyberresilienssiä realistisen ja immersiivisen harjoitusskenaarion avulla
päästiin harjoittelemaan kriisitilanteen johtamista ja tilannekuvan hallintaa virtuaalisessa ympäristössä
pohjattiin hyvään, jo viisi vuotta jatkuneeseen yhteistyöhön
luotiin jatkumo vastaaville harjoituksille myös tulevaisuudessa
Säädellyssä ja muuttuvassa ympäristössä harjoittelu on tärkeää
Huoltovarmuuskriittisenä yrityksenä LähiTapiolan tulee huolehtia asiakaspalveluiden toimivuudesta ja käytettävyydestä kaikissa olosuhteissa. Tärkeää on tietysti myös palvella asiakkaita mahdollisimman hyvin ja vastata asiakkaiden tarpeisiin digitaalisena aikana. Toimintaympäristö on siirtynyt perinteisestä konttoriasioinnista digitaalisiin välineisiin, ja myös korona-ajan vaikutuksesta asiakaskontakteja hoidetaan yhä enemmän etänä.
Finanssitoimialalla toiminta on tarkkaan säädeltyä, ja se on jo kymmeniä vuosia pohjautunut tiettyjen vaatimusten täyttämiseen. – Alalla on todella paljon erilaisia säädöksiä ja vaatimuksia, joita pitää noudattaa, soveltaa ja tulkita. Viime aikoina erityisesti kyberturvallisuuteen liittyvät EU-komission valmistelevat lait ovat tuoneet esiin tarpeen harjoittelulle, kertoo turvallisuusjohtajana LähiTapiolassa työskentelevä Leo Niemelä.
Pitkäjänteistä valmiuden kehittämistä
Yhteistyö Instan ja LähiTapiolan välillä lähti tarpeesta konkretisoida jatkuvuus- ja valmiussuunnitelmia, joiden tekeminen on LähiTapiolalle lakisääteinen velvoite. Suunnitelmadokumentit tukevat toimintaa kriisitilanteissa, mutta suunnitelmien testaamiseksi tarvittiin harjoituksia. Aluksi tehtiin omin voimin tilannekortteja erilaisista kriiseistä, mutta pian aloitettiin myös harjoitustoiminta Instan kanssa ja hankittiin LähiTapiolan omaan lisenssikäyttöön Instan harjoittelualusta Trasim.
– Suuri anti alkuvaiheessa oli se, että havaittiin tarve yleiselle toimintamallille siihen, miten kriisitilanteissa toimitaan. Ohjeistusta kehitettiin siten, että määriteltiin eri toimijoiden roolit ja vastuut kriisitilanteissa sekä se, miten organisoidutaan ja mitkä ovat konkreettiset toimet erityistilanteissa. Jo ensimmäisten harjoitusten oppina saatiin näkemystä siihen, kuinka meidän tulee toimia, kertoo Kimmo Niskala, joka toimii LähiTapiola-ryhmän riskienhallintapalveluissa operatiivisista riskeistä vastaavana päällikkönä.
– Vuosi vuodelta näitä toimintamalleja on syvennetty. Kun organisaatio muuttuu, pitää aina selventää eri toimintojen rooleja – ja tätä viimeisin harjoituksemmekin paljolti testasi. Askel askeleelta olemme kehittäneet toimintaa, ohjeistusta ja toimijoiden roolia, ja harjoitustoiminta on ollut hyvä impulssi tätä tukemassa, jatkaa Niskala.
Johdon kyberresilienssiä parantamassa – etänä
Viimeisimmän harjoituksen tavoitteena oli rakentaa ylimmän johdon kyberresilienssiä. Yhteiskunnallisessa keskustelussa voimakkaasti esillä olleet tietomurrot herättivät tarttumaan toimeen kyberturvan resilienssin parantamiseksi. Koettiin myös tarve kokea aidolla tavalla, miten tilannekuvan muodostaminen ja johtaminen onnistuvat kriisitilanteessa. Koronatilanne korosti harjoituksen merkitystä, koska täysin virtuaalisessa ympäristössä harjoittelusta ei ollut aiempaa kokemusta.
Harjoituksessa oli mukana erilaisia päätösryhmiä, ja oleellista harjoituksessa olikin eri roolien yhteistoiminta.
– Avainkysymyksenä oli, miten ICT-maailma, liiketoiminnan prosessit ja johtaminen yhdistyvät samaan kokonaisuuteen ja se, kuinka tällöin täytyy löytää yhteinen kieli ja yhteinen tapa muodostaa vaikeastakin asiasta tilannekuva – ja viestiä se eri roolien ja eri ryhmien välillä. Paljon puhuttu tilannekuva korostuu tällaisissa harjoituksissa, analysoi Niskala.
– Harjoitus auttoi hahmottamaan myös tilannehallinnan infrastruktuurin tarpeita: miten tilannekuva saadaan välitettyä reaaliaikaisesti ja oikeanlaisena eri ryhmille, Niskala lisää.
Harjoitus tulee iholle ja luo muistijäljen
– Johto halusi tuntea, miten he joutuisivat katsomaan hakkeria tai rikollista melkein silmästä silmään ja tekemään päätöksiä siinä tilanteessa – koska sitähän se todellisuudessa on, kertoo Niemelä lähtötilanteesta. – Tämä toive täyttyi mielestäni hyvin, ja harjoituksessa oli hyvä vauhti päällä, hän kiittelee.
– Yksi oppi tai onnistuminen kaikista harjoituksista, joita on pidetty, on kaikille osallistujille jäävä vahva muistijälki. Jää mieleen, mikä harjoiteltu tilanne on ja millainen paineen tunne tulee, kun epävarmaa tietoa on paljon liikkeellä, kun tilannekuva elää eikä oikein tiedetä, missä mennään. Tällainen vahva muistijälki antaa valmiuksia oikeassa kriisissä toimimiseen ja auttaa tuolloin keskittymään tilannekuvan selkeyttämiseen sekä toden ja epätoden erottamiseen. Kaikki, jotka organisaatiostamme ovat osallistuneet harjoituksiin, muistavat vielä vuosien jälkeen, mitä harjoituksissa tapahtui, Niskala kuvailee tiiviiden ja immersiivisten harjoitusten onnistumisia.
Virtuaalisessa ympäristössä toimimista on tärkeää harjoitella
Kokonaan virtuaalinen toteutus lisää harjoituksen realismia, koska oikeakin kriisi tulee varoittamatta.
– Harvoin enää nykyaikana päästäänkään siihen tilanteeseen, että olisi kokoushuone tai kriisikeskus, johon kaikki kokoontuvat. Ihmiset työskentelevät niin hajautetusti, että joka tapauksessa joudutaan tukeutumaan verkon yli tapahtuvaan toimintaan, ja jatkossa varmaankin yhä enemmän, pohtii Niskala.
– Tässäkin harjoituksessa oli hyvin oleellista se, miten tiedonvaihto ja raportointi hoidetaan harjoittelevien ryhmien välillä. Hyvä harjoittelukohde oli se, miten käytännössä digimaailmassa toimitaan, kun ei voi kävellä toiseen huoneeseen antamaan tilanneraporttia, vaan pitää irtaantua yhdestä kokouksesta ja siirtyä toiseen Teams-maailmassa, hän jatkaa.
– Nyt on ensimmäisen kerran harjoiteltu sitä, miten kriisiä voidaan virtuaalisesti hoitaa, sanoo Niemelä.
–Tämän ansiosta osataan organisoitua ja hakea roolit helpommin. Yllätyin itse siitä, miten valtava rooli viestinnällä oli. Kokonaisuutena tästä on hyvä jatkaa eteenpäin. Harjoitus herätti johdossa positiivisesti ajatuksen siitä, että tällaista on hyvä harjoitella. Harjoittelu ei ole salatiedettä eikä kukaan joudu siinä huonoon valoon. Itse arvostan sitä, ettei kukaan koe joutuvansa tekemään päätöksiä yksin, vaan harjoitteleva ryhmä työskenteli rauhallisesti ja päätökset tehtiin yhteistyössä.
Etäaika korostaa entisestään valmiuden kehittämisen merkitystä, vaikka etäharjoitukset vaativatkin perusteellista valmistelua.
– Usein voidaan kokea, että nykytilanteessa harjoituksen toteuttaminen aiheuttaa valtavasti työtä ja suunnittelua, mutta meillä näkökulmana oli se, että maailma voi muuttua suuntaan, jossa virtuaalisessa ympäristössä pitää kyetä toimimaan, Niemelä pohtii.
– Meillä tulee olla keino hallita tilanne kaikissa olosuhteissa, kiteyttää Niskala harjoittelun merkityksestä korona-aikana.
Toimiva kumppanuus tehostaa harjoitustoimintaa
LähiTapiola-ryhmässä on harjoiteltu jo useita vuosia ja kehitetty harjoitustoimintaa aktiivisesti. Harjoitustoiminnan säännöllisyydestä ja jatkuvuudesta on hyötyä resilienssin parantamisessa ja toimintamallien kehittämisessä. Hyvä kumppani lisää parhaimmillaan harjoittelun tehokkuutta.
– Insta on joustava, asiantunteva kumppani, ja siksi olemme Instan valinneet. Asiantuntemuksesta harjoitustoiminnan tukena on sanottavana vain ylisanoja, sanoo Niskala.
– Insta on ollut meille luotettava kumppani, joka on tarjonnut asiantuntemuksen harjoituksen läpiviennistä: millaisella prosessilla harjoitus suunnitellaan ja miten se toteutetaan. Tietysti Insta tarjoaa teknisen apuvälineen eli Trasim-harjoitusalustan harjoituksen läpiviemiseen, mikä vahvasti tukee toimintaa. Ilman tuollaista apuvälinettä harjoittelu olisi enemmän pöytätestausta. Harjoitusalusta tuo toimintaa ja tapahtumien virtaa ja tekee siten harjoittelusta elävämpää, jatkaa Niskala.
– Harjoitusten toteuttamiseen vaikuttaa huimasti myös se, että meillä on viiden vuoden yhteinen historia. Me tunnemme instalaiset ja he tuntevat meidät. He tietävät, mitä vakuutusyhtiöissä tapahtuu ja millaisia prosesseja ja häiriöitä voi olla. Skenaarioita on helpompaa suunnitella verrattuna siihen, kun ensimmäistä kertaa lähdettiin liikkeelle, koska toimintaympäristö on jo käynyt tutuksi. Harjoitusten suunnittelu ja toteuttaminen meneekin joka kerta dynaamisempaan muotoon, Niskala pohtii edelleen.
– Johdon kyberturvaharjoitus oli erittäin kustannustehokas siitä saatuun hyötyyn nähden. Toiveitamme kuunneltiin ja harjoitus osattiin suhteuttaa kohderyhmälle loistavasti. Harjoituksen onnistumisesta kertoo se, että jo harjoitusta seuraavana päivänä sovittiin vastaava harjoitus ensi vuodelle, kiittelee Niemelä.
Harjoittelu on oppimisprosessi
Vastaisuudessa suunnitteilla on harjoituksia uusilla skenaarioilla ja kohderyhmillä. Johdon kyberturvaharjoituksia jatketaan säännöllisesti, ja kumppanien ottamista mukaan harjoitteluun pohditaan. Lisäksi yhtiöryhmän harjoituttamista mahdollisimman laajasti kehitetään eteenpäin esimerkiksi harjoituskirjaston avulla.
– Harjoittelu on oppimisprosessi, jossa kyky kohdata vaikeita kriisitilanteita ja hahmotus tilannekuvan moninaisuudesta paranevat. Harjoittelun avulla opitaan ajattelemaan tilannekuvaa eri näkökulmista: miten se näyttäytyy asiakkaiden, henkilöstön tai median näkökulmasta. Kaikki kulminoituu tämän kyvyn kehittämiseen, summaa Niskala harjoittelun hyötyjä.
