Kyberturvallisuuden kentällä muutos on jatkuvaa. Tekoälyn ja teknologian kehitys antaa kyberrikollisille yhä kehittyneempiä työkaluja, joilla he voivat hienosäätää hyökkäyksiään. Samalla on kuitenkin olemassa tiettyjä perusperiaatteita, jotka pysyvät ennallaan ja joiden muistaminen on ensiarvoisen tärkeää. Organisaatiot, jotka ovat varautuneet kyberuhkiin, voivat säästää jopa 60 prosenttia kustannuksista verrattuna niihin, joilla ei ole suunnitelmaa riskien toteutumisen varalle. Hyödynnä kyberasiantuntijoiden neuvot ja paranna organisaatiosi tietoturvaa.
Tällä hetkellä merkittävä haaste IT-järjestelmissä on paikkaamattomat haavoittuvuudet, jotka voitaisiin korjata järjestelmien päivityksillä tai asetusten säätämisellä. Rikolliset hyödyntävät näitä aukkoja, kuten ohjelmistojen koodausvirheitä, murtautuakseen järjestelmiin.
Vuoden 2024 aikana yleisissä IT-järjestelmissä havaittujen haavoittuvuuksien määrä kasvoi huomattavasti, ja jo alkusyksyyn mennessä niitä oli löydetty noin 30 000 – sama määrä kuin koko vuonna 2023. Tämä tarkoitti 20–30 prosentin kasvua edellisvuoteen verrattuna.
Seuraavaksi 8 keskeisintä kyberturva-vinkkiä yrityksille:
1. Huolehdi IT-järjestelmien haavoittuvuuksien korjaamisesta
Suurin osa IT-järjestelmien haavoittuvuuksista voidaan paikata yksinkertaisesti asentamalla ajantasaiset päivitykset. Tämä vastuu kuuluu joko organisaation IT-osastolle tai ulkoistetulle IT-kumppanille. On tärkeää sopia selkeästi, kuka vastaa säännöllisistä päivityksistä ja miten toimitaan, jos järjestelmästä löytyy yllättäen uusi haavoittuvuus. Pelkkien ohjelmistopäivitysten lisäksi on syytä tarkistaa myös järjestelmien asetukset ja käyttöoikeudet – ei vain uusien palveluiden käyttöönoton yhteydessä, vaan säännöllisesti, esimerkiksi puolivuosittain.
Kaikkien työntekijöiden vastuulla on myös pitää oma työasemansa suojattuna liittämällä se säännöllisesti yrityksen verkkoon. Näin varmistetaan, että tietokone vastaanottaa IT-osaston tekemät järjestelmä- ja sovelluspäivitykset, jotka pitävät laitteet ja tiedot suojattuina.
2. Hyödynnä monivaiheista tunnistautumista aina, kun mahdollista
Monivaiheinen tunnistautuminen (MFA, Multifactor Authentication) tulisi ottaa käyttöön kaikissa palveluissa ja järjestelmissä, joissa se on mahdollista. Tämä lisäturvatoimi estää hyökkääjää käyttämästä varastettuja tunnuksia, koska kirjautumiseen tarvitaan vielä ylimääräinen varmistus, kuten autentikaattorisovellus.
Vaikka ylimääräinen kirjautumisvaihe saattaa tuntua vaivalloiselta, se on yksi tehokkaimmista keinoista suojautua tietomurroilta. Tekstiviestipohjainen vahvistus on parempi kuin ei mitään, mutta turvallisempia vaihtoehtoja ovat esimerkiksi erilliset autentikaattorisovellukset, kuten Microsoft Authenticator tai Google Authenticator.
3. Pidä työpaikan tunnukset erillään henkilökohtaisista tileistä
Työpaikan sähköpostiosoitetta ja tunnuksia ei tulisi koskaan käyttää henkilökohtaisiin tarkoituksiin, kuten verkkopalveluihin rekisteröitymiseen. Samoin työssä ja yksityiselämässä ei pitäisi käyttää samoja salasanoja.
Jos yrityksen tunnukset päätyvät tietomurron tai tietojenkalastelun kautta verkkoon, ne voivat vaarantaa koko organisaation IT-järjestelmän. Samalla myös henkilökohtaiset tilisi pysyvät turvassa, jos ne on eriytetty työpaikan tunnuksista.
Lisäksi, jos vaihdat työpaikkaa, et välttämättä pääse enää käsiksi vanhaan työpaikan sähköpostiosoitteeseen. Tämä voi estää tilien käytön ja salasanan palauttamisen, mikä voi johtaa ongelmiin, jos sama sähköpostiosoite on ollut käytössä esimerkiksi verkkopalveluissa.
4. Panosta pitkiin salasanoihin erikoismerkkien sijaan
Salasanoja yritetään murtaa niin sanotuilla brute force -hyökkäyksillä, joissa ohjelmisto arvaa valtavan määrän salasanoja sekunneissa. Lyhyet ja monimutkaiset salasanat voivat olla yllättävän helppoja murtaa, kun taas pitkä salasana, kuten ”kauniskesäinenaamupäivä,” on huomattavasti turvallisempi kuin lyhyt, satunnaisia merkkejä sisältävä salasana.
Jos mahdollista, käytä salasanojen hallintasovelluksia tai anna laitteesi (esimerkiksi Applen iCloud-avainnipun) luoda ja tallentaa vahvat salasanat automaattisesti. Näin sinun ei tarvitse muistaa niitä itse, mutta ne pysyvät turvallisesti käytettävissäsi.
Järjestelmänvalvojien tulisi myös suojata julkisesti saatavilla olevia palveluita brute force -hyökkäyksiltä rajoittamalla kirjautumisyritysten määrää, esimerkiksi estämällä kirjautuminen viiden epäonnistuneen yrityksen jälkeen.
5. Rajoita pääkäyttäjäoikeuksia vain niille, jotka niitä tarvitsevat
Mitä vähemmän käyttäjillä on pääkäyttäjäoikeuksia, sitä turvallisempi järjestelmä on. Jos rikollinen pääsee käsiksi tiliin, jolla on laajat oikeudet, seuraukset voivat olla katastrofaaliset – hyökkääjä voi lisätä, muokata tai poistaa käyttäjiä sekä muuttaa järjestelmäasetuksia.
Paras käytäntö on antaa pääkäyttäjäoikeudet vain IT-osastolle tai niille henkilöille, jotka niitä ehdottomasti tarvitsevat. Pienissä organisaatioissa tai yrittäjänä toimiessa voi olla järkevää luoda itselleen kaksi erillistä tiliä: yksi pääkäyttäjän tunnus ja toinen tavallinen käyttäjätili. Pääkäyttäjätunnusta tulisi käyttää vain silloin, kun se on välttämätöntä, ja päivittäinen työ hoitaa tavallisella käyttäjätilillä.
Tämä yksinkertainen keino vähentää merkittävästi riskiä, jos tunnukset joutuvat vääriin käsiin – hyökkääjä ei tällöin pääse tekemään laajamittaisia muutoksia järjestelmässä.
6. Ole varovainen sähköpostien ja viestien linkkien kanssa
Tietojenkalasteluviestit ovat yhä kehittyneempiä, ja niiden tarkoituksena on saada vastaanottaja klikkaamaan haitallista linkkiä, syöttämään tunnuksensa tai lataamaan haittaohjelman. Viestissä voidaan esimerkiksi väittää, että tiliisi on murtauduttu, ja vaatia välitöntä kirjautumista.
Jos saat odottamattoman sähköpostin, tekstiviestin tai WhatsApp-viestin, jossa pyydetään kirjautumaan palveluun tai tekemään maksu, pysähdy ja harkitse ennen kuin klikkaat mitään.
Jos epäilet, että olet klikannut huijauslinkkiä tai antanut tunnuksesi väärälle sivustolle, ilmoita asiasta heti organisaation IT-yksikölle. Nopeasti toimimalla voidaan estää mahdolliset vahingot ennen kuin hyökkääjä ehtii käyttää tietojasi.
Turvallinen tapa toimia on aina mennä itse suoraan kyseisen palvelun verkkosivulle ja tarkistaa tilanne sieltä. Jos viestissä väitettyä ongelmaa ei löydy palvelusta, voit turvallisin mielin todeta viestin olleen huijaus.
7. Varmista varmuuskopioiden ajantasaisuus ja testaa niiden toimivuus
Yrityksen tärkeät tiedot, kuten asiakasrekisterit, sopimukset ja liiketoimintakriittiset järjestelmät, tulee suojata säännöllisillä varmuuskopioilla. Pelkkä varmuuskopiointi ei kuitenkaan riitä – on myös varmistettava, että tiedot voidaan palauttaa nopeasti ja luotettavasti mahdollisen kyberhyökkäyksen, tietomurron tai muun kriisitilanteen jälkeen.
Hyvä käytäntö on toteuttaa varmuuskopiointi niin, että kopiot ovat erillään yrityksen pääasiallisista järjestelmistä ja verkosta. Näin ne eivät ole alttiina esimerkiksi kiristyshaittaohjelmille. On myös suositeltavaa testata palautusprosessi säännöllisesti, jotta varmistutaan, että tiedot voidaan todella palauttaa tarvittaessa.
8. Kouluta henkilöstöä säännöllisesti tietoturvasta
Teknologiset suojaukset ovat vain yksi osa tietoturvaa – suuri osa tietomurroista johtuu inhimillisistä virheistä. Siksi yritysten kannattaa panostaa henkilöstön tietoturvakoulutukseen ja päivittää osaamista säännöllisesti.
Työntekijöiden tulee osata tunnistaa tietojenkalasteluviestit, haitalliset liitteet ja epäilyttävät kirjautumispyynnöt. Lisäksi on tärkeää ymmärtää, miten toimia tietoturvaloukkauksen sattuessa – nopea reagointi voi estää laajamittaiset vahingot.
Tietoturvakoulutuksia voidaan järjestää esimerkiksi lyhyinä verkkokoulutuksina tai käytännön harjoituksina, joissa simuloidaan mahdollisia uhkia. Kun tietoturva on osa yrityksen arkea, riskejä voidaan vähentää merkittävästi.
Vuosikymmenen vaihteen kiristyshaittaohjelmavyöry sai monet suuret yritykset havahtumaan riskin todellisuuteen, vaikkakin valitettavan usein kantapään kautta. Nyt kun nämä investoinnit kyberturvaan alkavat kantaa hedelmää, kyberrikolliset ovat kääntäneet katseitaan enenevissä määrin pieniin ja keskisuuriin yrityksiin. Pienempiin organisaatioihin löytyy usein väylä kalastelulla tai vähemmälle huomiolle jääneen pilvipalvelun tai etäyhteyden puutteiden kautta
Kyberriskit muuttuvat jatkuvasti ja joudumme elämään tässä tilanteessa jatkossakin. On oleellista yrittää minimoida riskit, koska tilastollisesti voidaan sanoa, että kyberriskeihin varautuneet organisaatiot säästävät kyberhyökkäyksen yhteydessä noin 60 prosenttia kuluista verrattuna niihin, jotka eivät ole varautuneet riskien realisoitumiseen.
