Verkkoympäristöjen turvallisuus on entistä tärkeämpää

Voimakkaasti teknologistuva toimintaympäristö vaatii jatkuvaa valppautta. Rikollinen toiminta kehittyy teknologian kehittymisen rinnalla. Kaikkia uusia riskejä ei osata vielä edes tunnistaa ja silti olisi osattava toimia niin, etteivät hyökkäykset vangitse tai lamauta toimintaa. Näin luonnehtii nykyistä kyberturvallisuustoimintaympäristöä Fennian riskipäällikkö Sampsa Hakulinen Panostajan talousjohdon päivillä.

– Kyberturvallisuus on tavoitetila, jossa toiminta on turvallista ja luotettavaa.

Tietojen kalastelu lisääntyy ja monimuotoistuu. Kiristysmenetelmien vaiheistaminen ja haavoittuvuuksien hyväksikäyttö kehittyy nopeasti. Rikolliset ovat kiinnostuneita kaikista haltuun otettavista ja kiristysmahdollisuuksia tarjoavista etähallittavista laitteista ja kohteista riippumatta toimialasta.

Varsinaiseen rikolliseen hyötyyn tähtäävien hyökkäysten määrä on vähentynyt ja hyökkäysten keskimääräinen rikollinen hyöty on kasvanut. Iskut ovat siis entistä täsmällisempiä.

Hakulinen muistuttaa, että rikollinen toiminta muuttuu kaiken aikaa ja samalla sen logiikka muuttuu. Kohteet tunnistetaan entistä paremmin, niistä saatava tieto myös hyödynnetään useampaan kertaan ja näin moninkertaistetaan kalastelun tulos. Haittaohjelma voidaan antaa palveluna, jolloin toiminnasta saadaan entistä organisoidumpaa.

– Varsikin mobiililaitteisiin kohdistuvien hyökkäysten määrän oletetaan kasvavan voimakkaasti. Palveluntuotantoketjuihin kohdistuvat hyökkäykset yleistyvät nekin.

– Haavoittuvaisuudet voivat olla vaikutuksiltaan rajumpia kuin pystymme ennakoimaan, koska ketjuuntuminen on vahvaa ja huonosti hallituissa tilanteissa vaikutukset voivat olla erityisen laajat, Hakulinen varoittaa.

Yrityksen johdon ja hallituksen vastuulla onkin huolehtia yleisestä kyberturvallisuudesta.

– Onko yrityksen keskeisimmät riskit kartoitettu. Keskeistä on, miten riskeistä viestitään. Entä jos joku riski toteutuu, miten toimitaan. Harjoittelu ja selkeät vastuut, esimerkiksi viestinnästä, korostuvat joka käänteessä.

Vähintään yrityksessä on ymmärrettävä, mitä palveluntuottajien kanssa tehdyt sopimukset tarkoittavat.

– Poistaako sopimus riskin vai rajaako sitä. Pahimmillaan sopimus saattaa kasvattaa riskiä.

Hakulisen To Do –lista yrityksen kyberturvallisuden parantamiseksi on seuraava:

• Selvitä aluksi, mitä tietoja tarvitaan ja minkä tiedon varassa yrityksen toiminta on.
• Mistä eri lähteistä tietoja otetaan. Mihin tiedot on tallennettu. Miten varmuuskopiointi on järjestetty, onko se annettu sopimuskumppanin tehtäväksi ja mitä on tarkalleen sovittu.
• Miten tietosuojasta on huolehdittu. Miten ohjelmistojen ja laitteiston suojaamisesta on huolehdittu, esim. salasanat.
• Varmista, että tiedot on turvattu, eikä arkaluoteista tietoa löydy monesta paikkaa.
• Varmista varmuuskopiointi.
• Henkilöstön on oltava riittävän tietoinen riskeistä ja saatava tarvittavaa apua, jotta osaa toimia oikein.
• Kaupalliset ja tunnetut palveluntuottajat ovat varmempia kuin ilmaisohjelmat, joita löytyy moneen käyttötarkoitukseen. Aina pienellä varauksella kannattaa suhtautua ajatukseen, miksi joku haluaa tarjota palvelun ilmaiseksi.
• Käytä kumppaneiden ja asiantuntijoiden osaamista. Asiantuntemuksesta kannattaa myös maksaa, jos ei omasta porukasta osaamista löydy.
• Monivaiheinen tunnistaminen käyttöönotto on hyvin tärkeää. Se on perustoimenpide, perusedellytys.