Yrityksen tietoturva – huomioi nämä

Kyberuhat ovat yleistyneet. Silti edelleen moni käyttäjä tai yritys ei piittaa yrityksen tietoturvasta ja kyberuhista. Kannattaisi, koska uhat ovat todellisuutta.

Verkkourkinta, joka tunnetaan myös termeillä phishing tai tietojenkalastelu, sekä haittaohjelmien hyökkäykset ovat tätä päivää. Myös palvelujenestohyökkäykset ovat kasvava ongelma.  

Tässä artikkelissa kerron, mitä sinun tulee ottaa huomioon yrityksen tietoturvassa ja miten parantaa yrityksen tietoturvaa.

Miksi tämä on tärkeää?

Olet varmaan huomannut saman kuin minäkin. Mediassa on näkynyt uutisia yrityksistä, jotka ovat joutuneet kiristyshaittaohjelmahyökkäyksen tai tietomurron kohteiksi.

Eräässä tietomurrossa kymmenien tuhansien ihmisten luottamuksellisia tietoja joutui vääriin käsiin ja osaa heistä kiristettiin.

Yritys ryhtyi toimeen ulkopuolisten, riippumattomien tietoturva-asiantuntijoiden kanssa heti, kun tietomurto huomattiin. Se teki tapahtumasta ilmoitukset myös Suomen kyberturvallisuuskeskukselle, Valviralle ja tietoturvavaltuutetulle.

Tällaisista kyberhyökkäyksistä tulee yrityksille huomattavan paljon haittaa. Pahimmillaan se voi johtaa jopa liiketoiminnan keskeytymiseen.

Tässä esimerkkitapauksessa tietomurron ja kiristyksen kohteeksi joutuneen yrityksen talous rasittui huomattavasti ja se haettiin lopulta konkurssiin.

Tietomurron selvitystyö, yrityksen tietoturvan vahvistaminen sekä tuen ja hyvitysten tarjoaminen uhreille johtivat yrityksen taloudelliseen ahdinkoon, vaikka muuten asiakastyö ja liiketoiminta jatkuivat normaalisti.

Ja tämä on vain yksi esimerkki monista.

Sanomattakin on selvää, että kyseessä on iso maineriski. Luottamus on tärkein asia yrityksen asiakassuhteissa. Jos luottamus menetetään, sitä on vaikea saada takaisin.

Helsingin seudun kauppakamari teki vuonna 2019 tutkimuksen kyberturvallisuudesta. Sen mukaan yritysten mielestä kolme suurinta uhkaa ovat

• yksityisyyden, joko henkilökunnan tai asiakkaiden tietojen, loukkaus
• tuoton menetys (suora tai epäsuora)
• aineettoman omaisuuden menetys

 Kuten huomaat, kyse ei ole mistään höpöhöpö-jutusta, vaan todellisesta, suuresta uhasta, joka on otettava vakavasti.

Mitä yrityksen tietoturva on?

Suomen Kyberturvallisuuskeskuksen mukaan tietoturva kattaa hallinnolliset ja tekniset toimet, joilla varmistetaan tiedon olevan luottamuksellista, eheää ja käytettävissä. Vain käyttöön oikeutetut henkilöt voivat siis käyttää, muokata ja hyödyntää tietoa.

Tiesitkö, että suomalaisista verkoista löytyy myös suojaamattomia automaatiolaitteita? Tällaisia automaatiolaitteita ovat automaation hallintajärjestelmät, erilaiset näyttöpaneelit ja kiinteistöjen hallintaan käytettävät järjestelmät.

Vuotuisessa kartoituksessa havaittiin myös verkkoon liitettyjä suojaamattomia IoT-laitteita, kuten kotireitittimet, laajakaistamodeemit, tulostimet ja verkkokamerat.

Etätyöpöytä- ja verkkoyhteyspalvelujen määrä kasvoi Suomessa etätyön yleistyessä koronapandemian vuoksi.

Kyberturvallisuustutkimuksessa paljastui suurimmat esteet tehokkaan tietoturvan toteuttamiselle.

Suurin syy oli piittaamattomuus tietoturvallisuudesta ja kyberuhista. Seuraavaksi suurin syy oli kyberuhkiin liittyvän tiedon riittämättömyys ja kolmanneksi nykyisen henkilökunnan tieto-taitojen ylläpitäminen kyberuhkien suhteen.

Mitä hyötyä hyvä yrityksen tietoturva tuo?

Hyvällä yrityksen tietoturvalla suojaat liiketoimintaasi. Ennaltaehkäiset tietojen kalastelua, jonka päämääränä voi olla tietojen käyttäminen rikollisten oman edun tavoitteluun esimerkiksi kiristyksiin.

Sillä suojaat yrityksesi aineetonta omaisuutta sekä henkilökuntasi, alihankkijoidesi ja asiakkaidesi tietoja sekä yrityksesi mainetta.

Näin ollen, jos et vielä ole ottanut yrityksen tietoturva-asioita vakavasti, nyt on sen aika. Herätys ja valot päälle!

Mistä yrityksen tietoturva koostuu?

Yrityksen tietoturva koostuu kerroksista, jotka jakautuvat seuraavasti.

#1. Palomuuri ja Internet-yhteys

Palomuurin tehtävänä on tarkkailla verkkoliikennettä ja tarvittaessa suojata yrityksen verkkoyhteyttä ulkopuolisilta hyökkäyksiltä. Se on tietoturvan ensimmäinen kerros.

Yrityksen sisäverkon turvallisuuteen tulee kiinnittää myös huomiota. 

Aggressiiviset palvelunestohyökkäykset on yhä suurempi ongelma. Siinä yritetään tukkia yhteyden käyttö muilta. Liikenne voi olla peräisin bottiverkoista, joissa saastuneet tietokoneet on valjastettu luomaan suuria liikennevirtoja.

Tällaista hyökkäystä vastaan on vaikea puolustautua, joten siksi se on torjuttava Internet-palveluntarjoajan sisäverkossa ennen kuin hyökkäys saavuttaa kohteensa, joka voi olla vaikka yrityksen nettisivut.

Palvelunestohyökkäyssuoja kuuluu vakiona kaikkiin S1 Networksin Internet-yhteyksiimme, ainoana koko Suomessa.

#2. Päätelaitteet ja niiden suojaus

Tietoturvaa ei voi laskea käyttäjien varaan.

Käyttäjät, esimerkiksi yrityksen työntekijät ovat verkkouhkien mahdollistajia – tietämättään. He voivat tehdä esimerkiksi inhimillisen virheen tai joutua huomaamattaan verkkohyökkäyksen kohteeksi.

Nämä uhat ovat nopeasti muuttuvia ja kyberturvallisuuteen liittyviä riskejä tulee eteen jatkuvasti. Etätyö on yleistynyt, jolloin työntekijöillä ei ole yrityksen sisäverkon tuomaa turvaa.

Yritysten on ollut haastavaa varmistaa etätyöläisten turvallisuus nopealla aikataululla. Onkin tärkeää luoda päivittäisessä tekemisessä kyberturvallisuutta painottavaa yrityskulttuuria.  

Päätelaitteet eli kannettavat tietokoneet, tabletit, puhelimet ja muut laitteet on suojattava asianmukaisilla virustorjuntaohjelmilla.

#3. Tietojen varmistus ja varmuuskopiointi

Varmuuskopioinnilla nimensä mukaisesti kopioit tiedot. Mikäli alkuperäinen tieto häviää, saat varmuuskopioinnin avulla palautettua tiedot itsellesi. Jos sinulla on arvokasta tietoa, jota tarvitset vaikkapa työssäsi, suorita varmuuskopiointi.

Näin parannat yrityksen tietoturvaa

Kun yrityksen tietoturvaa halutaan parantaa, voidaan se ajatella kolmena osa-alueena: tietoturvallisuuden johtaminen, uhkien tunnistaminen ja havainnointi sekä torjunta.

Onko yrityksessäsi kyberturvallisuussuunnitelmaa? Tiedätkö, miten tulee toimia, jos huomaatte tunkeutumisen järjestelmään?

49 % kyberturvallisuustutkimukseen vastanneilla yrityksillä ei ole tällaista suunnitelmaa.

Yrityksillä, joilla on kyberturvallisuussuunnitelma, ovat huomioineet siinä seuraavat asiat:

• tieto siitä, keneen olla yhteydessä, jos epäilee tunkeutumista
• ohjeet, mitä pitää tehdä ensimmäisenä, jos epäilee tunkeutumista
• päätelaite (esim. kannettava tietokone) otetaan irti verkosta (otetaan yhteyskaapeli irti tai katkaistaan langaton yhteys)
• tilanteen kuvaus
• koneen jättäminen koskemattomaksi, jotta sitä voidaan tutkia
• Print screen (näytön näkymä myöhempää selvittelyä varten)

Jos sinulla on automaatiolaitteita, etkä ole varma onko sitä suojattu, voit testata ensin mitä tietoja löydät järjestelmästä. Tarvittaessa ota yhteys laitteen myyjään tai valmistajaan, ohjeistaa Kyberturvallisuuskeskus.

#1. Tee kyberturvallisuussuunnitelma – turvaudu asiantuntija-apuun

Kyberturvallisuus on aiheena laaja. Jos yrityksessänne ei ole tietoturva-asiantuntijaa, kannattaa kääntyä asiantuntija-apuun. Kyberuhat on syytä ottaa vakavasti ja varmistaa yrityksen tietoturva.

EU:n tietosuoja-asetuksen myötä rekisterienpitäjien on suojattava aiempaa paremmin henkilökuntansa ja asiakkaidensa henkilötietoja.

Tietosuojan pitäisi olla jo kunnossa kaikissa organisaatioissa. Jos se ei jostain syystä ole, nyt on viimeistään aika laittaa se kuntoon yhdessä tietoturvan kanssa.

#2. Monivaiheinen tunnistautuminen (MFA)

Hakkereiden tavoitteena on saada käyttäjätilien tiedot haltuunsa. Siksi kannattaa siirtyä monivaiheiseen tunnistautumiseen käyttäjän varmentamiseksi.

#3. VPN-yhteyden käyttö

VPN-yhteys varmistaa yksityisen ja julkisen verkon turvallisuuden. Sen avulla henkilöt voivat lähettää ja vastaanottaa tietoa turvallisesti.

#4. Työntekijöiden laitteiden suojaus

Laitteissa oleva viruksentorjuntaohjelma torjuu useimmat uhat, mutta se ei ole täysin riittävä. EDR-ratkaisu havaitsee ja poistaa uhat hyödyntäen useita havaitsemismenetelmiä, automaatiota ja tekoälyä.

#5. Langaton verkko eli wifi

Avoimeen verkkoon eli wifiin voit yhdistää oman laitteesi ja sitten päästä sillä surffailemaan netissä. Etätyössä se voi kuitenkin olla turvallisuusriski.

Mikäli sitä kuitenkin täytyy käyttää, muista aina tarkistaa langattoman verkon oikea osoite ja käyttöehdot verkonhaltijan kuten kahvilan tai hotellin henkilökunnalta.

Käytä mieluummin sellaista avointa verkkoa, jonka käyttö edellyttää käyttäjätunnusta. Paras keino suojautua on olla käyttämättä avoimia verkkoja lainkaan.

Älä koskaan mene verkkopankkiin, mobiilipankkiin tai muulle sivustolle, jolla joudut käyttämään henkilötietojasi.

Käytä VPN-yhteyttä tai ohjelmistoa, joka salaa tiedonsiirron. Varmista, että palomuurisi on käytössä ja että sinulla on virustorjuntaohjelma.

Muista suojata myös kotiverkkosi salasanalla. Muuten se on yhtä haavoittuva kuin mikä tahansa avoin verkko. Opettele tunnistamaan avoimet verkot suojatuista.

Lopuksi

Tänä päivänä on järkevää panostaa yrityksen tietoturvaan, varsinkin etätyöskentelyn yleistyessä.

Jaathan artikkelin somessa, jotta muutkin saavat tietää yrityksen tietoturvasta ja miten parantaa sitä.

Me S1 Networksilla autamme parantamaan yrityksesi tietoturvaa turvallisella Internet-yhteydellä, EDR-ratkaisulla ja seuraavan sukupolven palomuurilla.

Ota yhteyttä, niin laitetaan yhdessä yrityksenne tietoturva huippukuntoon!