Nykyään monet tietoturvauhat koettelevat yrityksiä, joiden tietoturvatiimit saavat olla koko ajan valppaana ja valmiina toimimaan. Tietoturvan huomioiminen ei kuitenkaan koske pelkästään tietoturvatiimejä. Tietoturva tulee meillä kaikilla vastaan arkipäiväisessä elämässä, olit sitten selailemassa somea tai kirjautumassa pankkiin maksaaksesi laskuja. Näiden palveluiden turvallinen käyttö vaatii käyttäjältä ymmärrystä tietoturvan merkityksestä esim. salasanan muodossa. Uutisista saa vähän väliä lukea eri tietojenkalastelukampanjoista, joissa näitä käyttäjätunnuksia ja salasanoja kalastellaan. Sähköpostiin kohdistettu tietojenkalastelu onkin yleisin syy tietomurrolle yrityksissä ja siksi sitä vastaan käyttäjiä on hyvä kouluttaa. Koulutuksen lisäksi pitää varmistaa suojausten olevan kunnossa.
Sähköpostiin kohdistuva huijaus voi esimerkiksi tapahtua näin:
Sähköpostiin kilahtaa viesti, jossa pyydetään kirjautumaan tiettyyn palveluun jatkaaksesi sen käyttöä. Tyypillisesti tietyn aikarajan puitteissa. Klikkaat linkkiä, joka ohjaa sinut aidon näköiselle kirjautumissivulle, johon näppäilet tunnuksesi. Tämän jälkeen ei tapahdukaan mitään eikä kirjautuminen tunnu toimivan. Sähköposti ja muut palvelusi kuitenkin toimivat normaalisti ja päätät jatkaa työskentelyä ajatellen, että asia tuli varmaan jo korjatuksi.
Tällöin vahinko on jo tapahtunut, vaikka asiaa ei huomattaisi moneen viikkoon. Verkkorikolliset saattavat tarkkailla uhrejaan pitkään ennen kuin tekevät mitään tai vain myydä hankkimansa tiedot eteenpäin. Näin he myös voivat kohdistaa tarkkojakin huijauksia päästyään kartalle yrityksen toiminnasta. Yksi tyypillisimpiä tavoitteita on saada yritys maksamaan lunnaita kiristyshaittaohjelman avulla (ns. ransomware). Haittaohjelma salaa tietokoneen tiedostoja estäen sen käytön, samalla kiristäen rahaa tiedostojen avaamiseksi.
Yritysten tietoturvan taso on vahvasti sidoksissa työntekijöiden valveutuneisuuteen
Eri teknologioilla voidaan hyvin tunnistaa ja estää suurin osa tietojenkalasteluyrityksistä, mutta pelkästään niihin ei voi luottaa. Yritysten tietoturvallisuuden vahvuudet ja heikkoudet tulevat esiin henkilöstön kautta. Näin ollen koulutus ja valistus on erittäin tärkeä pala tietoturvaa, varsinkin koska tietojenkalastelu kohdistuu myös työpaikan ulkopuolelle. Yksityiselämässä tapahtuvat tietojenkalastelukampanjat eivät suoranaisesti uhkaa yrityksiä, mutta niiden haittavaikutukset kylläkin. Esimerkiksi Netflixin nimissä on lähetetty huijauksia ihmisten maksutietojen kalastelemiseksi. Maksutietojen päätyminen rikollisille aiheuttaa turhaan harmaita hiuksia. Ja pahimmassa tapauksessa vuodetut käyttäjätunnukset sisältävät saman salasanan, joka on käytössä yrityksen palveluissa.
Yleensä kiire ja huolimattomuus johtavat tietomurtoon ja huijauksiin voi mennä kokenutkin tekijä, vaikka kuinka kokisi olevansa alan asiantuntija. On vain todettava, että näin kävi ja selvitettävä keinot sen estämiseksi, jotta niin ei tapahtuisi uudestaan. On myös huomioitava, että yritysympäristöt sekä niihin kohdistuvat tietoturvauhat muuttuvat koko ajan maailman muuttuessa ympärillä. Tämän myös todisti koronaviruksen aiheuttama pandemia, jolloin työntekijät jäivätkin kotiin tekemään töitä. Jälleen rikolliset muuttivat menetelmiään ottaen ajankohtaiset tapahtumat huomioon, osan yrityksistä ollessa vielä lastenkengissä etätyöskentelyn tietoturvan kanssa. Monen yrityksen toiminta hankaloitui entisestään huijaussähköpostien sadellessa inboxiin.
Tietoturvan parantaminen muutamalla helpolla askeleella
Ensin on hyvä selvittää missä suojauksen osalta mennään, ennen kuin työkaluja lähdetään ostamaan. Näin saadaan selville mistä teknologioista voi olla hyötyä ja millä tavalla. Suojauksen tason sähköpostissa tai päätelaitteessa voit helposti tarkistaa käyttäen meidän ilmaista arviointityökalua (Cyber Security Assessment). Työkalun avulla saat “snapshotin” tietoturvasi tilasta ja näet mm. miten paljon haittapostia yrityksesi sähköpostiin on tullut.
Seuraavaksi on syytä selvittää, kuinka hyvin työntekijät tunnistavat sähköpostihuijauksia sekä arvioitava koulutuksen tarve. On olemassa monia eri yrityksiä, jotka keskittyvät eri keinoin kouluttamaan työntekijöitä. Myös meillä on tarjolla tähän koulutusta anti-phishing-kampanjoiden avulla, jonka avulla voidaan kehittää henkilökunnan osaamista tunnistamaan sähköpostilla tapahtuvat huijausyritykset. Koulutuksesta on hyötyä myös, kun työntekijät vaihtavat vapaalle auttaen heitä tunnistamaan huijaukset omassa arjessaan.
Päätelaitteiden ja sähköpostin suojaaminen kulkee käsi kädessä niiden käyttäjien koulutuksen kanssa. Päätelaitesuojaksi suositellaan modernia Endpoint Detection and Response (EDR) -teknologiaa, joka estää päätelaitteita saastumasta. Sähköpostisuojana käytetään monesti vain palveluntarjoajan omia työkaluja. Kolmannen osapuolen tarjoaman suojan käyttäminen on usein kuitenkin lähes välttämätöntä riittävän suojan takaamiseksi. Ja meiltähän löytyy näihin molempiin sopiva ratkaisu.
Ja lopuksi; jos monivaiheista, vahvaa tunnistautumista ei ole jo otettu käyttöön jokaisessa palvelussa, on nyt korkea aika! Sillä voi helposti estää vuodettujen salasanojen hyödyntämisen.
Vaikka tietoturvauhkia on paljon ja niitä tulee jatkuvasti vastaan, keinot suojautumiseen ovat kyllä olemassa: ne tarvitsee vain ottaa käyttöön. Kätevästi. Pilvestä.
