Lappi Security Oy

1. Kuka pääsee käsiksi yrityksen tietoihin?

Yrityksissä käytetään lukuisia järjestelmiä, kuten sähköpostia, asiakkuudenhallintaa, laskutusohjelmistoja ja pilvipalveluita. Mutta milloin viimeksi on tarkistettu, kenellä näihin järjestelmiin on käyttöoikeudet? Esimerkiksi työntekijän työsuhde on voinut päättyä kuukausia sitten, mutta hänen käyttäjätunnuksensa on edelleen aktiivinen.

Käyttöoikeuksien hallinnassa kannattaa huomioida ainakin seuraavat asiat:

• Jokaisella käyttäjällä on henkilökohtaiset tunnukset.

• Käyttöoikeudet rajataan työtehtävien mukaan.

• Päättyneiden työsuhteiden käyttöoikeudet poistetaan viipymättä.

• Käyttöoikeudet tarkistetaan säännöllisesti.

Yksinkertainen periaate on, että jokaisella tulee olla pääsy vain niihin tietoihin, joita hän työssään tarvitsee.

2. Ovatko salasanat ja kirjautuminen kunnossa?

Salasanat ovat edelleen yksi yrityksen digitaalisen turvallisuuden keskeisistä suojauskeinoista. Pelkkä salasana ei kuitenkaan aina riitä. Jos samaa salasanaa käytetään useissa palveluissa ja se päätyy ulkopuolisen tietoon, vaarassa voi olla useampi yrityksen järjestelmä.

Siksi yrityksessä kannattaa huolehtia siitä, että:

• Käytössä on pitkät ja yksilölliset salasanat.

• Samoja salasanoja ei käytetä eri palveluissa.

• Monivaiheinen tunnistautuminen on käytössä aina, kun se on mahdollista.

• Salasanoja säilytetään turvallisesti, esimerkiksi salasanojen hallintaohjelmassa.

Monivaiheinen tunnistautuminen on yksi tehokkaimmista ja samalla helpoimmista keinoista parantaa yrityksen suojausta.

3. Mitä tapahtuu, jos työpuhelin tai tietokone katoaa?

Yrityksen tietoja käsitellään nykyään monenlaisilla laitteilla. Työpuhelimella luetaan sähköposteja, tabletilla tarkistetaan asiakastietoja ja kannettavalla tietokoneella käytetään yrityksen järjestelmiä. Mutta mitä tapahtuu, jos jokin näistä laitteista katoaa tai varastetaan? Tiedetäänkö yrityksessä, kuinka nopeasti tilanteeseen pitää reagoida ja kuka vastaa tarvittavista toimenpiteistä? 

Kadonneen laitteen kohdalla olennaista on esimerkiksi mahdollisuus lukita laite etänä, estää sen pääsy yrityksen järjestelmiin ja tarvittaessa poistaa siinä olevat tiedot. Yrityksessä tulisi olla selkeä toimintatapa myös tällaisia tilanteita varten.

4. Onko varmuuskopioista oikeasti hyötyä?

Monessa yrityksessä ajatellaan, että varmuuskopiointi on kunnossa, koska tiedostot tallennetaan pilvipalveluun. Pilvipalvelun käyttäminen ei kuitenkaan automaattisesti tarkoita, että kaikista tärkeistä tiedoista olisi olemassa asianmukaiset ja palautettavissa olevat varmuuskopiot.

Yrityksen tulisi tietää:

• Mitä tietoja varmuuskopioidaan?

• Kuinka usein varmuuskopiot tehdään?

• Missä varmuuskopiot sijaitsevat?

• Kuka vastaa niiden toimivuudesta?

• Onko tietojen palauttamista koskaan testattu?

Varmuuskopioinnin todellinen merkitys paljastuu vasta silloin, kun tietoja täytyy palauttaa. Varmuuskopio on hyödyllinen vain, jos sen avulla voidaan palauttaa tarvittavat tiedot.

5. Tietääkö henkilöstö, miten toimia poikkeustilanteessa?

Tekniset suojausratkaisut eivät yksin riitä, jos henkilöstö ei tunnista tavallisimpia tietoturvauhkia tai tiedä, miten epäilyttävässä tilanteessa toimitaan. Työntekijä voi esimerkiksi saada sähköpostin, joka näyttää tulevan yrityksen toimitusjohtajalta tai tutulta yhteistyökumppanilta. Viestissä saatetaan pyytää maksamaan kiireellinen lasku tai kirjautumaan palveluun linkin kautta.

Kyseessä voi kuitenkin olla huijaus. Tällaisissa tilanteissa ratkaisevaa on henkilöstön osaaminen ja mahdollisuus varmistaa epäilyttävän viestin aitous.

Yrityksen tulisi varmistaa, että työntekijät tietävät:

• Miten tunnistaa tavallisimmat huijausyritykset.

• Kenelle epäilyttävistä viesteistä ilmoitetaan.

• Miten toimitaan, jos väärää linkkiä on jo klikattu.

• Mitä tehdä, jos käyttäjätunnus tai salasana on mahdollisesti joutunut ulkopuoliselle.

Tietoturvapoikkeamista ilmoittamisen tulee olla helppoa ja nopeaa. Virheiden peittelyn sijaan yrityksessä kannattaa rakentaa toimintakulttuuria, jossa epäilyttävistä tilanteista uskalletaan kertoa.

Kyberturvallisuus ei saa jäädä vain IT-palveluntarjoajan vastuulle

Moni yrittäjä ajattelee, että kyberturvallisuus on hoidettu, koska yrityksellä on käytössään ulkopuolinen IT-palveluntarjoaja. Tekninen ylläpito on tärkeä osa kokonaisuutta, mutta kyberturvallisuus on huomattavasti laajempi asia. Siihen kuuluvat myös yrityksen sisäiset toimintatavat, vastuunjako, henkilöstön osaaminen ja toiminnan jatkuvuuden varmistaminen.

Yrityksen johdon ei tarvitse osata ratkaista kaikkia teknisiä ongelmia itse. Sen sijaan johdon on tärkeää ymmärtää, millaisia riskejä yrityksen toimintaan liittyy ja miten niihin on varauduttu.

Viisi kysymystä, joista jokainen yrittäjä voi aloittaa

Oman yrityksen kyberturvallisuuden nykytilaa voi lähteä arvioimaan yksinkertaisilla kysymyksillä:

1. Tiedämmekö, kenellä on pääsy yrityksemme tietoihin ja järjestelmiin?

2. Käytämmekö turvallisia salasanoja ja monivaiheista tunnistautumista?

3. Tiedämmekö, miten toimia, jos työlaite katoaa?

4. Ovatko tärkeät tietomme varmuuskopioitu ja onko niiden palauttaminen testattu?

5. Tietääkö henkilöstömme, miten toimia tietoturvapoikkeaman sattuessa?

Jos vastauksista yksikin jää epäselväksi, kyseessä voi olla asia, johon kannattaa kiinnittää huomiota.