COOP: turvalisus on äririsk

Kuidas Coop'is äri ja IT suhe on?

Äri on mujal ja IT peab tegelikult seda toetama, mis tähendab seda, et ei ole olemas IT-projekti, vaid on olemas äriprojekt, kus IT toetab. Meie oleme jõudnud välja selleni, et igal projektil on 2 projektijuhti, üks on IT poole pealt ja teine on äri poole pealt. Siis tulevad asjad välja. Kui IT võtab vedaja rolli ja hakkab ise tegema, siis äri ei pruugi sellega lõpuks rahul olla. Äri poolel peab olema selge vajadus ja siis mina IT poole pealt võtan asja töösse. Äri teeb otsuseid, mida on vaja ja milline lahendus valida. Samamoodi ei ole IT-l vaja viirusetõrjet, turvalisus on äririsk.

Kui näiteks tellimiskeskus ei tööta kaks päeva, siis kui suur kahju sellest tekib? Hullem veel kui mõni pood ei tööta. Piisab ühest krüptoviirusest ja pood on suletud – see on äririsk.

Kui ettevõttes eelarvet üle vaadatakse ja seal olevad suured kulutused IT-turvalisusele küsimusi tekitavad, siis võib lihtsalt mõelda selle peale, aga et mis siis saab kui pool kontorit ei saa tööd teha 1 või 2 päeva. IT-poistele ikka meeldib arvuteid parandada ja viirusi tõrjuda, aga kannatab äri ja kahju ära hoidmiseks tuleb rakendada ennetavaid vastu meetmeid.

Kui ettevõtte põhiäri ei ole IT, siis ei saa ka IT olla põhivedaja. IT ei tohiks hakata äriotsuseid tegema. IT tehniline roll järjest ju hääbub, sest pilveteenuste ja lahendustega ei pea majas IT-d olema. On ainult CEO või CTO, kes teab millised on tehnilised võimalused ja kus neid saab realiseerida.

IT’l tuleb selgelt panna ärikeelde ja vaadata kus me siis võidame. Kui küsimus on IT kulutustes, siis on kolm võimalust: 1) kui palju sa teenid, 2) kui palju hoiad kokku ja 3) või kui palju võimalikult ära hoiad kahju. Kolmandal juhul tuleb mõelda, et kus läheb piir, sest turvalisust lõpuni ju ei maanda, inimfaktor jääb ikka sisse. Kui palju on mõistlik kulutada? See on nagu kindlustusega, et kui palju on mõistlik kulutada, kus tuleb see piir, et enam ei ole mõtet.

Seega nõustud väitega, et ükskord juhtub küberrünnak niikuinii?

Jah, küsimus on ainult selles, et kui hästi oled ettevalmistunud ja kui hästi suudad selle ära hoida. Kui on näha, et kusagil hakkab midagi toimuma, siis tuleb arvuti ära isoleerida koheselt ja aru saada, et mis tegelikult toimub.

Krüptoviirusega oli meil siiski üks juhtum, kus üks terminalserver mida kasutatakse meie poodides, kus jooksis ka meie kaubanduse tarkvara, sai pihta, süsteem oli maas ja tekkis töötakistus. Selle tulemusel ei saanud teha poe tellimust. See on lihtne näide kuidas ei olnudki palju vaja, et midagi juhtuks. Asi sai alguse sellest, et üks kasutaja luges samas keskkonnas oma meile, klikkis valel lingil ja nii see juhtus. Esimene häire tuli meile, et me ei saa printida. See tuligi sellest, et sellel kasutajal olid õigused võrguketastele ja need said ka kohe pihta. Pidime hakkama taastama.

Kui midagi juhtub, siis teeme sellest omad järeldused ja nii tekib ka protseduur. Esimene asi on see, et isoleerime, siis hakkame uurima, et kuhu levis. Väga palju on ikka sellist, et juhtub ikka see, mida oodata ei oska ja IT-maailmas juhtub pigem öösiti.

Kaupluste mõttes on see ju pigem hea, sest öösel on need ju suletud?

Aga meil on ka ju logistikakeskus, mis töötab 24/7 väga kiire ja väga täpse protsessiga. Seal iga tunni pikkune katkestus on juba kohutav kulu, mida ei saa me endale lubada. Väga lihtne näide on see, kui hommikul kell 10 kuni pool 11 ei suuda välja saata oma piima tellimusi, siis see päev on Eestis 350 poodi ilma piima. Kui see hetk midagi peaks juhtuma, mis halvab ära ühe üksuse töö, siis tulemus on maainimesele nähtav kohe.

Mis Su enda kõige suuremad hirmud on seoses küberturvalisusega?

Mul on üks paranoia, millega ma oma IT haldusjuhiga vaidlen, et mul on tunne, et meil kuskil on midagi sees, mida me ei tea. Äkki kuskil ikka midagi lekib, mida me lihtsalt ei tea.

Kuidas Sa selle hirmuga hakkama saad ja kuidas oma juhile seda kurdad?

Ma juhile seda ei kurda, pigem räägin alluvatele, et nad oleksid tähelepanelikumad asjade juures. Mulle on meelde jäänud fakt, et andmeleke avastatakse välise partneri pool lausa 70% juhtudel ja poolteist aastat hiljem. See tekitabki hirmu, et kuskil juba midagi on. Meie loojaalsusprogrammi raames on meil üle 500 000 säästukaardi, mis on pool Eesti elanikkonda ja seda küll ei taha, et see võiks kusagile lekkida.

Mida Sinu arvates ärijuht peaks infoturbest teadma? Mis on kõige olulisem?

Ärijuht peaks oskama ära hinnata ohtlikud kohad, kus äris tekib kahju kui mingi asi seisab, kui palju tekib kahju ja kui palju on ta valmis panustama, et seda enam ei juhtuks. Las siis spetsialistid tegelevad sellega, et kuidas ära hoida.

Loe täispikka intervejuud Coopi IT direktoriga Äripäeva teemaveebist ITuudised.ee.

Autor: Aali Lilleorg, ITuudised.ee