Kyberturvallisuuskuukausi kannustaa yritystä päivittämään tietoturvan

Lokakuun teema kannattaa muuttaa yrityksen käytännön teoiksi

Lokakuun kyberturvallisuuskuukausi muistuttaa hyvästä asiasta: yrityksen tietoturva ei tule valmiiksi yhdellä ohjelmalla tai yhdellä asetuksella. Se syntyy toimivista tunnuksista, ajan tasalla olevista laitteista, järkevistä käyttöoikeuksista ja siitä, että porukka tietää, miten poikkeavassa tilanteessa toimitaan. Lokakuu on hyvä hetki katsoa kokonaisuus läpi ennen loppuvuoden kiireitä ja ensi vuoden suunnittelua. Kaikkea ei tarvitse laittaa kerralla uusiksi. Kun puutteet hoidetaan hallitusti, arki jatkuu ilman turhaa säätämistä.

Kyberturvallisuuskuukausi auttaa näkemään tietoturvan kokonaisuutena

Tietoturvan päivitys kannattaa aloittaa kartoituksesta, jossa käydään läpi käyttäjät, laitteet, pilvipalvelut, verkot ja varmuuskopiointi. Samalla katsotaan, ovatko käytössä vain tarpeelliset tunnukset ja pääsevätkö työntekijät niihin palveluihin, joita työ oikeasti vaatii. Erityisesti kannattaa kiinnittää huomiota vanhoihin käyttäjätileihin, yhteiskäyttöisiin tunnuksiin ja laitteisiin, joihin ei enää asennu päivityksiä. Näin riskit löytyvät ennen kuin ne ehtivät muuttua käyttökatkoksi tai tietovuodoksi.

Pienen yrityksen ei tarvitse uudistaa kaikkea kerralla. Korjaukset voi laittaa tärkeysjärjestykseen sen mukaan, mikä vaikuttaa eniten työn jatkuvuuteen ja tärkeiden tietojen suojaan. Usein hyvä alku on tunnusten suojaaminen, päivitysten varmistaminen ja sen testaaminen, että palautuminen oikeasti toimii. TT-Palvelujen yrityksille suunnatut ICT-palvelut auttavat kokoamaan tästä selkeän ja helposti ylläpidettävän kokonaisuuden.

Tunnusten ja käyttöoikeuksien kunto ratkaisee paljon

Yrityksen sähköposti ja Microsoft 365 -palvelut sisältävät usein sellaista tietoa, jota ei haluta ulkopuolisten käsiin. Siksi jokaisella käyttäjällä kannattaa olla oma tunnus, vahva salasana ja monivaiheinen tunnistautuminen. Käyttöoikeudet on hyvä rajata työtehtävän mukaan eikä varmuuden vuoksi liian laajoiksi. Kun työntekijä vaihtaa tehtävää tai lähtee yrityksestä, tunnus ja oikeudet kannattaa hoitaa saman tien.

Käytännönläheiseen tarkistuslistaan kuuluvat ainakin nämä:

• Käytössä olevat käyttäjätilit vastaavat nykyistä henkilöstöä.
• Ylläpitäjän oikeuksia on vain niillä, jotka niitä oikeasti tarvitsevat.
• Monivaiheinen tunnistautuminen on otettu käyttöön.
• Jaettujen tunnusten käyttöä on vältetty mahdollisuuksien mukaan.
• Epätavallisiin kirjautumisiin ja ilmoituksiin reagoidaan sovitulla tavalla.

Tarkoitus ei ole tehdä kirjautumisesta hankalaa, vaan tehdä tunnusten väärinkäytöstä vaikeaa. Microsoft 365-, Entra ID- ja Intune-ratkaisuilla käyttäjiä ja laitteita voi hallita keskitetysti. Sopiva toteutus riippuu kuitenkin yrityksen koosta, käytössä olevista laitteista ja siitä, millä tavalla työtä tehdään.

Laitteiden päivitykset ja varmuuskopiot tukevat työn jatkuvuutta

Koneen, puhelimen tai verkkolaitteen päivityksen lykkääminen tuntuu helposti pieneltä asialta. Vanhentunut ohjelmisto voi kuitenkin sisältää korjaamattomia haavoittuvuuksia tai aiheuttaa yhteensopivuusongelmia jonkin tärkeän palvelun kanssa. Yrityksen kannattaa tietää, mitä laitteita sillä on, kuka niitä käyttää ja kuinka pitkään valmistajan tuki jatkuu. Tällainen laiteluettelo helpottaa myös hankintojen ja tulevien kustannusten suunnittelua.

Varmuuskopiointi on yhtä tärkeä osa tietoturvaa kuin haittaohjelmilta suojautuminen. Pelkkä varmuuskopion olemassaolo ei riitä, jos palautusta ei ole koskaan kokeiltu tai jos kukaan ei tiedä, miten se tehdään. Tarkistuksessa selvitetään, mitä tietoja kopioidaan, minne ne tallennetaan ja kuinka nopeasti työ saadaan palautettua häiriön jälkeen. Näin yrityksen ei tarvitse arvailla toimintatapaa juuri silloin, kun aikaa on vähiten.

Henkilöstön selkeät toimintatavat ehkäisevät vahinkoja

Tekniset suojaukset auttavat paljon, mutta jokainen käyttäjä törmää myös huijausviesteihin, epäilyttäviin liitteisiin ja yllättäviin kirjautumispyyntöihin. Siksi työntekijöille kannattaa kertoa selkeästi, miten epäilyttävän tilanteen tunnistaa ja kenelle siitä ilmoitetaan. Ohjeen ei tarvitse olla pitkä eikä täynnä teknisiä termejä. Tärkeintä on, ettei kenenkään tarvitse ratkaista mahdollista tietoturvapoikkeamaa yksin.

Kyberturvallisuuskuukauden jälkeen työ jatkuu ihan tavallisina tarkistuksina, päivityksinä ja käyttäjämuutosten hoitamisena. TT-Palvelut auttaa Porissa ja muualla Satakunnassa paikan päällä sekä etänä koko Suomessa. Jos et ole varma, mistä tarkistus kannattaisi aloittaa, ota suoraan yhteyttä Joniin. Kerro ihan tavallisella suomen kielellä, mikä tietoturvassa mietityttää, niin katsotaan yhdessä, miten homma kannattaa hoitaa.