Mitä on kyberturvallisuus? Toimenpiteet pk-yrityksille

01Mitä kyberturvallisuus suojaa?

Kyberturvallisuus perustuu kolmeen perustavoitteeseen: datan luottamuksellisuuteen eli siihen, että vain valtuutetut näkevät sen; eheyteen eli siihen, ettei sitä muuteta luvatta; ja saatavuuteen eli siihen, että se on käytettävissä tarvittaessa. Hyökkäys heikentää vähintään yhtä näistä.

Pienessä yrityksessä suojattavaa on enemmän kuin luulisi: asiakasluettelo ja yhteystiedot, kirjanpito, pankki- ja maksutiedot, sähköpostikeskustelut, verkkosivusto sekä varaus- tai tilausjärjestelmä. Jokaisella näistä on sekä kaupallista arvoa että lakisääteistä vastuuta.

02Miksi pk-yritykset ovat maalitauluna?

Yleinen harhakäsitys on, että hyökkääjät kohdistavat toimensa vain suuriin yrityksiin. Todellisuudessa suuri osa hyökkäyksistä on automatisoituja: internetiä skannataan jatkuvasti, ja päivittämätön sivusto, heikolla salasanalla suojattu tili tai avoimeksi jätetty etätyöpöytäyhteys hyödynnetään koosta riippumatta.

Pk-yritysten kyberturvallisuuden todellinen haaste on resurssit: erillistä tietoturvatiimiä ei ole, ja IT-asiat ovat usein jonkun työntekijän lisätehtävä. Hyvä uutinen on, että merkittävä osa hyökkäyksistä voidaan estää ei kalliilla tuotteilla vaan muutamalla perustavalla tavalla.

03Kyberhyökkäysten tyypit

Pienten yritysten yleisimmin kohtaamat kyberhyökkäystyypit kohdistuvat ihmisiin enemmän kuin tekniikkaan. Hyökkääjä ei useinkaan murra järjestelmää; hän huijaa jonkun avaamaan oven.

Tietojenkalastelu (phishing)

Menetelmässä pankilta, kuljetusyritykseltä tai tutulta toimittajalta näyttävällä sähköpostilla tai viestillä ohjataan käyttäjä väärennetylle kirjautumissivulle ja varastetaan salasana. Tunnistusmerkit ja suojautumiskeinot käymme läpi artikkelissa mikä on phishing.

Kiristysohjelmat

Kiristysohjelmat salaavat tietokoneen ja palvelimen tiedostot ja vaativat maksua niiden avaamisesta. Maksaminen ei takaa tiedostojen palautumista; ainoa todellinen turva ovat verkosta erillään pidetyt varmuuskopiot. Käsittelimme aihetta erikseen oppaassa kiristysohjelmat.

Valelaskut ja toimitusjohtajahuijaus

Hyökkääjä kirjoittaa haltuunsa otetulta tai jäljitellyltä sähköpostitililtä toimittajana tai johtajana ja pyytää maksamaan uudelle tilille. Koska viesti ei sisällä haittaohjelmaa, se pääsee helposti suodattimien läpi; tehokkain suojakeino on puhelinvarmistuksen sääntö.

Salasanahyökkäykset

Muilta sivustoilta vuotaneita käyttäjätunnus- ja salasanapareja kokeillaan automaattisesti tileille, joilla käytetään samaa salasanaa. Yhdeltä sivustolta vuotanut salasana vaarantaa jokaisen tilin, jolla sitä käytät uudelleen.

Verkkosivuston haavoittuvuudet ja DDoS

Päivittämättömät ohjelmistokomponentit, heikot hallintapaneelin salasanat ja virheellinen lomakkeiden käsittely ovat verkkosivustojen yleisimpiä heikkoja kohtia. DDoS-hyökkäykset taas tukkivat sivuston väärällä liikenteellä niin, ettei siihen pääse.

04Perussuojat pienellä budjetilla

Alla olevat yrityksen turvatoimet eivät vaadi suuria investointeja, mutta kaventavat hyökkäyspintaa merkittävästi. Kaikkea ei tarvitse tehdä kerralla; kolme ensimmäistä kohtaa tuottavat eniten.

• Kaksivaiheinen tunnistautuminen: ota pakolliseksi sähköpostissa, pankissa, kirjanpidossa, sosiaalisessa mediassa ja sivuston hallintapaneelin tileillä.
• Yksilölliset ja pitkät salasanat: käytä jokaiselle tilille eri salasanaa ja säilytä ne salasanahallinnassa; luomisohjeet löydät artikkelista vahvan salasanan luominen.
• Säännölliset päivitykset: ota automaattiset päivitykset käyttöön käyttöjärjestelmässä, selaimessa, toimisto-ohjelmistoissa, modeemissa ja verkkosivuston komponenteissa.
• Erillinen varmuuskopio: ota automaattisia varmuuskopioita, joista vähintään yksi kopio säilytetään verkosta erillään tai muuttumattomassa muodossa.
• Vähimmät oikeudet: jokainen työntekijä pääsee vain niille tileille, joita hän tarvitsee työssään; ylläpitäjätilejä ei käytetä päivittäisessä työssä.
• Vierasverkko: erota asiakkaille avoin Wi-Fi kassan, kassapäätteen ja toimistotietokoneiden verkosta.
• Poistuminen: sulje yrityksestä lähtevän työntekijän tilit samana päivänä ja vaihda yhteiset salasanat.

05Verkkosivuston ja palvelimen turvallisuus

Verkkosivustosi on usein yrityksesi ainoa internetiin avoin ovi. HTTPS:n käyttö, hallintapaneelin suojaus vahvalla tunnistautumisella, käyttämättömien komponenttien poistaminen ja palvelinohjelmistojen pitäminen ajan tasalla ovat perusvaatimuksia. Kun tilaat uusia yrityksen kotisivuja, näistä kohdista on paljon helpompi kysyä jo tarjousvaiheessa kuin paikata niitä jälkikäteen.

Turvallisuus ja suorituskyky toimivat usein samoilla tasoilla: ajantasainen palvelinohjelmisto, oikein määritetty välimuisti ja CDN sekä verkkokerros, joka suodattaa hyökkäysliikenteen ennen kuin se saavuttaa sivustosi. Käsittelemme nämä asetukset yhdessä nopeus- ja suorituskykyoptimoinnin yhteydessä.

Jos myyt verkossa, maksusivujen turvallisuus on erityisen tärkeää. Verkkokauppa-alusta, jossa korttitiedot eivät kulje oman palvelimesi kautta vaan käytössä on maksupalveluntarjoajan turvallinen infrastruktuuri, vähentää tätä riskiä merkittävästi. Myös toimialakohtaisissa ohjelmistoratkaisuissa, kuten varaus- ja tilausjärjestelmissä, käyttäjäoikeudet ja tapahtumalokit ovat turvallisuuden perusosa.

06Työntekijöiden tietoisuus

Vaikka tekniset suojat olisivat kuinka vahvat, yksi työntekijä, joka syöttää salasanansa väärennetylle linkille, voi ohittaa koko rakenteen. Siksi tietoisuus on turvallisuuden edullisin ja tehokkain kerros.

Pitkien koulutusten sijaan lyhyet ja säännölliset muistutukset toimivat paremmin. Näytä tiimipalavereissa todellinen tietojenkalasteluesimerkki, selvennä, kenelle epäilyttävästä viestistä ilmoitetaan, ja rakenna virheen tekijää syyttämätön kulttuuri, jolloin ongelmat huomataan ajoissa.

• Varmista lähettäjä toista kanavaa pitkin ennen odottamattomien liitteiden ja linkkien avaamista.
• Varmista maksu- ja pankkitietojen muutokset aina puhelimitse.
• Älä liitä USB-muisteja ja henkilökohtaisia laitteita työtietokoneisiin valvomatta.
• Ilmoita epäilyttävästä tilanteesta heti sen piilottamisen sijaan; nopea ilmoitus pienentää vahinkoa.

07Mitä tehdä hyökkäystilanteessa?

Etukäteen kirjoitettu lyhyt häiriötilannesuunnitelma auttaa tekemään oikeat toimet paniikin hetkellä. Suunnitelma voi olla yhden sivun mittainen; tärkeää on, että on selvää, kuka tekee mitä ja kenelle soitetaan.

1. Irrota vaikutuksen alainen laite verkosta, mutta älä sammuta sitä; jäljet ovat tärkeitä tutkinnan kannalta.
2. Vaihda haltuunotetuiksi epäiltyjen tilien salasanat toiselta laitteelta ja kirjaa avoimet istunnot ulos.
3. Soita pankkiisi ja maksupalveluntarjoajallesi; pysäytä epäilyttävät tapahtumat.
4. Kirjaa ylös, mitä tapahtui, milloin se huomattiin ja mitkä tiedot olivat vaarassa.
5. Sulje hyökkäyksen sisäänpääsykohta ennen palaamista puhtaaseen varmuuskopioon.
6. Seuraa Turkin kansallisen kyberpoikkeamiin vastaavan keskuksen USOMin tiedotteita ja tee tarvittaessa ilmoitus.

08KVKK ja tietoturva

Jokainen yritys, joka käsittelee esimerkiksi asiakkaan nimeä, puhelinnumeroa ja osoitetta, on velvollinen huolehtimaan näiden tietojen turvallisuudesta Turkin henkilötietojen suojaa koskevan lain nro 6698 (KVKK, verrattavissa GDPR:ään) mukaisesti. Laki edellyttää, että rekisterinpitäjä toteuttaa asianmukaiset tekniset ja hallinnolliset toimenpiteet.

Tietomurron sattuessa asianomaisille henkilöille ja Turkin tietosuojaviranomaiselle (Kişisel Verileri Koruma Kurulu) on tehtävä ilmoitus; viranomaisen päätöksissä ilmoitukselle on säädetty 72 tunnin määräaika. Tämä artikkeli on yleistä tietoa; tarkista velvoitteidesi yksityiskohdat ajantasaisesta lainsäädännöstä ja lakineuvojaltasi.