Miten erottaa pakollinen markkinavaatimus aidosta kyberturvan kilpailuedusta? Sarjan viimeisessä osassa sukelletaan neljännelle tasolle, jossa kyberturva muuttuu kustannuserästä liiketoiminnan kasvun ajuriksi – ja jossa jokaisella kilpailuedulla on parasta-ennen-päiväys.
Sarjan kolmannessa osassa kuvasin tarjouspyyntöjen pisteytystä kilpailuedun tyyppiseksi tilanteeksi, joka tyypillisesti häviää ajan myötä, ja lupasin palata aitoon kilpailuetuun sarjan viimeisessä osassa. Nyt on sen aika, ja aloitan pisteistä, koska tarkemmin katsottuna ne kuuluvat kokonaan tähän tasoon eivätkä markkinan vaatimuksiin.
Sanoissa ero on pieni, rahassa iso. Kun asiakas asettaa ISO 27001 -sertifikaatin osallistumisen ehdoksi, se kertoo, mitä ilman ei pääse neuvottelupöytään. Kun asiakas antaa kyberturvalle pisteitä, se kertoo heidän antavan sille lisäpainoa ja valitsevansa toimittajan osin paremman kyberturvan perusteella. Ensimmäinen on tasoa 2, jälkimmäinen tasoa 4.
Neljäs taso on ainoa, joka perustuu tuottoon
Sarjan kahdella ensimmäisellä tasolla mittatikku tuli ulkopuolelta. Siellä laki asetti pakon ja asiakas ehdon. Kolmannella tasolla mittatikku siirtyi omiin käsiin, ja investoinnin peruste oli tappio, joka vältetään. Neljännellä tasolla mittatikku pysyy omissa käsissä, mutta se mittaa eri asiaa. Peruste on nyt arvo, jonka kyberturva luo yhtiön liiketoiminnalle. Tässä artikkelissa keskityn sen vaativimpaan ja näkyvimpään muotoon eli kilpailuetuun: voitettuun kauppaan ja asiakkaaseen, joka valitsee meidät uudelleen.
Tämän päivän etu on huomisen kynnys
Nicholas Carr kirjoitti jo vuonna 2003 Harvard Business Review’ssa, että kun teknologia yleistyy, se lakkaa tuottamasta kilpailuetua ja muuttuu kustannukseksi, joka kaikkien on kannettava. Kyberturvassa sama kaari näkyy tarjouspyynnöissä. Kun harva toimittaja on sertifioitu, sertifikaatista saa pisteitä. Kun riittävän moni on sertifioitu, ostaja siirtää vaatimuksen esikarsintaan. Pisteistä tulee portti, ja tason 4 etu valuu tasolle 2.
Tästä päästään siihen, mitä tarkoitin aidolla kilpailuedulla. Jay Barneyn resurssipohjaisessa näkemyksessä etu syntyy, kun kyvykkyys on arvokas ja harvinainen. Kestäväksi se muuttuu vasta, kun sitä on vaikea jäljitellä ja organisaatio osaa hyödyntää sen. Sertifikaatti on arvokas ja aluksi harvinainen, mutta kenen tahansa hankittavissa. Siksi pisteistä saatu etu on todellinen mutta väliaikainen, ja juuri väliaikaisuus tekee siitä sen, mikä erääntyy. Mitä vaikeampi etua on kopioida, sitä kauempana erääntymispäivä on. Myös Dejan Kosutic (2021) on tutkimuksessaan päätynyt siihen, että kyberturvan liiketoimintahyödyt ovat luonteeltaan lyhytaikaisia.
Siksi tason 4 perusteille kannattaa merkitä erääntymispäivä. Kyse ei ole tarkasta päivämäärästä vaan rehellisestä arviosta siitä, kuinka kauan kestää, ennen kuin kilpailijat tekevät saman tai asiakas alkaa pitää sitä itsestäänselvyytenä. Tuleva sääntely on tästä selkein esimerkki, koska siinä erääntymispäivä on valmiiksi kirjattuna lainsäätäjän toimesta ja se on kaikkien tiedossa. Toimittaja, joka on valmis ennen kuin laki velvoittaa, voi saada valmiudestaan etua. Voimaantulopäivänä etu katoaa, ja samasta asiasta tulee tason 1 lattia.
Johdon agendalle
Hallituksen kannattaa kysyä jokaisesta kilpailuedulla perustellusta investoinnista kolme asiaa: mihin arvoväite perustuu, milloin etu erääntyy ja onko se helposti kopioitavissa.
Ensimmäiseen kysymykseen paras vastaus on se, mitä asiakkaat tekevät, eikä se, mitä he sanovat. Pisteytetyt tarjouspyynnöt sekä voitetut ja hävityt kaupat painavat enemmän kuin asiakaskysely, jossa kaikki kertovat arvostavansa tietoturvaa. Toinen kertoo kauanko etu on meillä käytössä, ja kolmas sen kuinka helposti muut ottavat meidän kiinni.
Millä tasolla haluamme olla?
Johdannossa lupasin, että sarjan lopuksi pystymme vastaamaan tähän. Yksi taso ei riitä vastaukseksi, koska tasot ratkaistaan järjestyksessä. Ensin täytetään laki, koska siitä ei neuvotella. Sitten selvitetään, mitä oma markkina vaatii, ja päätetään, missä kisoissa halutaan olla mukana. Kolmanneksi mitoitetaan oman toiminnan suoja hallituksen riskinottohalun ja katon väliin. Vasta lopuksi kysytään, löytyykö investoinnista arvoa, joka oikeuttaa menemään katon yli.
Kahdella ensimmäisellä tasolla mittatikku on muiden kädessä, kahdella viimeisellä omassa. Moni organisaatio pärjää hyvin kolmella ensimmäisellä tasolla, ja se on yhtä hyvä päätös kuin kilpailuedun tavoittelu, kunhan se on tietoinen.
Viimeisellä tasolla on lisäksi ominaisuus, jota muilla ei ole: se vanhenee. Tämän päivän etu on huomisen kynnys.
Lähteet: Barney (1991), Journal of Management; Barney (1995), Academy of Management Executive; Carr (2003), Harvard Business Review; Gordon & Loeb (2002), ACM TISSEC; Kosutic (2021), [julkaisu].
Kirjoittaja: Mika Lindberg, Opsec Oy liiketoimintajohtaja
Mika Lindberg on Opsec Oy:n kyberturvallisuudesta vastaava ja liiketoimintajohtaja. Mika on toiminut IT-alalla yli 25 vuotta, joista viimeiset 15 kyberturvaan painottuen. Hänellä on laaja-alaisesti kokemusta pk-yritysten kyberturvallisuuden järjestämisestä ISO27001 perusteisesti ja hän tuntee myös hallitustyöskentelyn. Mikalla on useita kansainvälisesti tunnettuja kyberturvallisuussertifiointeja ja HHJ-tutkinto. Tällä hetkellä hänellä on työn alla kyberturvallisuuden maisteriopintojen pro gradu työ minkä aiheena kyberturvallisuus pk-yritysten kilpailuedun tekijänä.
