Organisatsiooniliste ebaõnnestumiste ajaloos on märgata teatud mustrit, mis kordub liiga sageli, et olla juhus: süsteem töötab pikka aega sujuvalt, mistõttu kõik hakkavad sellesse usaldust tundma. Peaaegu alati õõnestab see vaikselt ka valvsust, mis algselt süsteemi sujuvalt töötama pani. Ja siis süsteem ebaõnnestub – just sel hetkel, kui kõik asjaosalised oleksid sulle öelnud, et see on suurepärases seisukorras.
Kuigi see võib tunduda vastupidisena intuitsioonile, võib stabiilsus iseenesest olla destabiliseeriv. See tekitab enesega rahulolu, mis omakorda vähendab investeeringuid valmisolekusse ja suurendab lõhet tegeliku ja tajutava riski vahel. Autor Morgan Housel võttis selle mustri kokku kuue sõnaga: „rahu külvab hulluse seemned”. See avaldub finantsturgudel üsna nähtavalt ja peaaegu kliinilise regulaarsusega, kuid kuna see on põimitud inimpsühholoogia kangasse, ei pääse sellest mingil juhul ka küberjulgeolek.
Ja nii ongi, et ettevõte, mida pole rünnatud, on kalduv pidama oma turvalisust piisavaks. Rahulikkus tundub tõendina, et oht on möödas, mis muudab käitumist viisil, mis toob ohu tagasi. Eeldus kinnistub vaikselt, isegi kui keegi seda selgesõnaliselt välja ei ütle: kui midagi pole valesti läinud, siis peavad meie kontrollimeetmed olema suurepärased. Kuid mõnel juhul võib see tähendada tõendite puudumise segamist tõendiga puudumise kohta.
Või, vaadates seda teisest vaatenurgast, on nähtava intsidendi puudumine lihtsalt vaikus, ja vaikus võib tähendada mitut asja. Ettevõttel, millel on laitmatu minevik, võivad tõepoolest olla tipptasemel kaitsemeetmed. Aga võib-olla on see ka lihtsalt suutnud vältida veel piisavalt pühendunud ja pahatahtlike isikute tähelepanu – meres on ju palju kalu.
See tõstatab vähemalt kaks küsimust, mida tasub küsida: kas te teate, et teie keskkond on nii turvaline, kui see praegu ringlevate ohtude vastu olla saab? Või teate te vaid seda, et teie (baas)kontrollimeetmed on paigas? Paljud organisatsioonid vastavad teisele küsimusele, uskudes, et nad on vastanud ka esimesele. Nad võivad tugineda vastavusraamistikele, kuigi need ei pruugi kontrollida, kas meetmed on piisavad praegu ringlevate ohtude vastu. Seega võib ettevõte olla nõuetele vastav ja samal ajal haavatav. (Kas ka teie tunnete Schrödingeri kassi paradoksi lõhna?)
Veelgi rohkem lõkse
Organisatsiooni turvalisuse ametlikku seisundit on lihtne mõõta ja – eeldades, et kõik läheb hästi – ka lihtne selle üle hea meelega olla. Kas töötaja sisselogimise andmed vahetavad omanikku dark web’i turgudel või kas teie organisatsiooni EDR-tööriista saab teatud tingimustel neutraliseerida kergesti kättesaadava „anti-tööriistaga“ – seda on raskem hinnata, ilma et vaadaks kohti, kuhu paljud organisatsioonid ei mõtle vaadata.
Tõepoolest, inimestel on kalduvus, kui seda teadlikult ei korrigeerita, toetuda kergesti kättesaadavale teabele, et luua enda arvates sidus lugu. See toimub raskesti kättesaadava teabe arvelt ja õnneliku hoolimatusega selle suhtes, kumb kahest kategooriast on õpetlikum. Oluline on see, et mõistus ei märka, mis puudub – pilt tundub terviklik ja enesekindlus teenitud. Hiljuti surnud psühholoog Daniel Kahneman lõi selle harjumuse jaoks akronüümi: WYSIATI (What You See Is All There Is – see, mida näed, ongi kõik, mis on).
Probleem võib veelgi süveneda, kui arvestada, kuidas paljud otsustajad riski suhtes mõtlevad: kui midagi ei saa mõõta, ei ole sellel tähtsust. Praktikas on vastupidine sageli tõele lähemal, sedavõrd, et aluseks olev probleem on saavutanudeksiarvamuse staatuse. Ilma seda punkti edasi laialt lahmimata piisab praegu öelda, et kui oled vähemalt mõned lõksud ära tabanud, ei saa neid enam „nägemata jätta”.
Oma 2025. aasta andmelekke uurimisaruandes andis Verizon numbrilise hinnangu sellele, kui suur võib olla lõhe tajutava turvalisuse ja tegeliku ohu vahel: selgus, et 54% lunavara ohvrite domeenid olid enne rünnakut ilmunud vähemalt ühes infovarguse logis või ebaseaduslikul turul. Juurdepääsuandmed olid juba ringluses – ja mõnel juhul võis rikkumine olla juba toimunud –, isegi kui kõik näis korras olevat.
Selline pimeala tabab kõige rängemalt ettevõtteid, kelle turvalahendused ei suuda märgata ründajate käitumismustreid, nagu näiteks katsed turvaprotsesse välja lülitada. Selle parandamiseks on vaja muuta seda, mis on nähtav, ja kasutada õigeid tööriistu – selliseid, mis ei piirdu kontrollimeetmete olemasolu kinnitamisega, vaid märgivad, kui keskkonnas toimub midagi kahtlast.
Kui usaldus puruneb
Kõik see on oluline ka seetõttu, et lunavara rünnak on äritegevuse katkemist põhjustav sündmus, mille mõju ulatub kaugele ja laialt. Kui Change Healthcare langes 2024. aastal lunavara ohvriks, kestis selle mõju haiglatele ja apteekidele kuude kaupa, rääkimata sellest, et intsident mõjutas peaaegu kogu USA elanikkonda. Kokkuhinnanguliselt oli kahju suuruseks 3 miljardit dollarit. 2025. aastal Jaguar Land Roverile suunatud lunavara rünnak põhjustas sarnast rahalist kahju.
Samal ajal hindab IBM andmelekke keskmiseks maksumuseks umbes 5 miljonit dollarit, sealhulgas seisakud, taastamine ja edasised kahjud. Tervishoiuorganisatsioonide puhul on keskmine summa peaaegu 10 miljonit dollarit. Ja need arvud ei hõlma pikaajalisi tagajärgi, nagu näiteks uuendamata kliendilepingud või hüppeliselt tõusvad kindlustusmaksed.
Kahju suureneb kuude ja aastate jooksul, eriti kui varastatud andmed satuvad spetsiaalsele andmelekke saidile (DLS), nagu see tänapäeval sageli juhtub. Ettevõtte andmete avalikustamine tekitab iseenesest kriisi, kuna avaldatud lepingud, e-kirjad ja isikuandmed muutuvad järgnevate rünnakute, näiteks phishing- ja äri-e-posti kompromiteerimise (BEC) pettuste toiduks.
Varsti lisanduvad ka regulatiivsed kohustused. Samal ajal hakkavad kliendid ja partnerid esitama küsimusi, millele ettevõttel sageli pole isegi võimalik vastata. Ja on veel üks hoiatus, mida kaitsjad peaksid meeles pidama: andmed peegeldavad ainult seda, mida kurjategijad otsustavad „reklaamida“ – arvatakse, et ainult väike osa lunavara ohvritest satub oma andmetega veebisaitidele.
Distsipliin on kõige tähtsam
Lisaks õigetele vahenditele ja inimestele tugineb pikaajaliselt toimiv turvalisus jälgimise ja kohanemise harjumusele. Kõik see eeldab teadlikkust sellest, mis toimub ohukeskkonnas, rääkimata teie enda IT-keskkonnast.
Tuleb tunnistada, et pideva valvsuse säilitamine nähtava ja otsese ohu puudumisel on kulukas – psühholoogiliselt mõeldes. Inimesed ei ole eriti sobivad olema valvsad sündmuste suhtes, mis ei tundu olevat otseselt ees seisvad, ning liikumine enesega rahulolu poole on nii järkjärguline, et seda peetakse harva kellegi poolt tehtud otsuseks.
Kuid kuna „võrrandi” ohu pool ei seisa kunagi paigal, ei saa seda teha ka kaitsepool. Ohuteave, eriti selline, mis annab rohkesti signaale aktiivsetest kampaaniatest, on selle teadlikkuse selgroog. See on see, mida turvatööriistad suudavad „muuta“ avastusteks ja hoiatusteks, mis võimaldavad turvateenistustel õigeaegselt tegutseda. Ilma selleta võib lõhe organisatsiooni arusaama ja tegeliku olukorra vahel jätkuvalt laieneda – kuni küberkurjategijad selle üsna kulukalt kinni panevad.