Operatiivisen kyberturvallisuuden johtavan toimijan Arctic Wolfin varatoimitusjohtaja ja tietoturvajohtaja Adam Marrè kertoo miten tietoturvariskejä vähennetään joulun aikana.
Joulu on perinteisesti aikaa, jolloin otetaan rauhallisesti, annetaan lahjoja ja ollaan yhdessä läheisten kanssa. Tämä ajanjakso vaatii kuitenkin erityistä valppautta kyberriskien suhteen organisaatioiden tietoturvasta vastaavilta henkilöiltä. Kyberrikolliset näkevät tämän joulun otollisena mahdollisuutena hyödyntää valmistautumattomia ja varomattomia uhreja. Joulun alla työntekijät saattavat olla kiireisiä tai vähemmän tietoisia tietoturvasta kuin normaalisti. Se antaa hyökkääjille tilaisuuden hyökätä ”kyberlahjojen” ääreen.
Monet huijaukset voivat saada jouluisen sävyn ja monet sähköiset joulukortit, toimitusilmoitukset, lahjakorttitarjoukset ja hyväntekeväisyyskeräykset voivat olla tekaistuja ansoja. Nämä viestit saatetaan naamioida näyttämään aidoilta tavarantoimittajilta, kuriireilta tai hyväntekeväisyysjärjestöiltä. Niiden tarkoituksena on kuitenkin saada vastaanottaja paljastamaan kirjautumistietonsa tai klikkaamaan haitallisia linkkejä.
Samalla kun yritykset hoitavat vuoden viimeisiä laskuja, palkkioita tai tilauksia kiireen keskellä, hyökkääjät voivat lähettää tekaistuja laskuja, maksupyyntöjä tai kiireellisiä tilitietojen muutoksia, joskus esiintyen johtavien työntekijöiden tai luotettujen kumppaneiden sijaisina. Kun ihmiset ovat kiireisiä tai hajamielisiä, normaalit tarkistukset saatetaan ohittaa, mikä tekee maksuihin liittyvistä huijauksista erityisen vaarallisia.
Lisäksi monet työntekijät matkustavat, työskentelevät etänä tai tekevät nettiostoksia loman aikana, jolloin henkilökohtaiset ja työvälineet saattavat sekoittua. Julkisten verkkojen käyttö lentokentillä, hotelleissa ja kahviloissa voi altistaa tunnistetiedot tai arkaluontoiset tiedot monenlaisille vaaroille, jos työntekijät pääsevät organisaation resursseihin ilman asianmukaista suojausta. Hyökkääjät voivat myös hyödyntää henkilökohtaisten laitteiden käyttöä työtehtäviin, jolloin henkilökohtainen laite, joka on altistunut haitalliselle materiaalille, voi toimia porttina yritysverkkoon.
Ennen joululomaa huomioitavat asiat
Riskien vähentäminen alkaa perusasioista. Monivaiheinen tunnistautuminen, vahvat ja yksilölliset salasanat sekä käyttöoikeuksien säännöllinen tarkistaminen ovat edelleen tehokkaimpia keinoja estää luvattomat kirjautumiset. Käyttöoikeuksien rajoittaminen eli antamalla käyttäjille vain työn kannalta välttämättömät oikeudet rajoittaa vahinkoja myös silloin, jos tili joutuu vääriin käsiin.
Käyttäjien suojaukset eivät yksin riitä. Järjestelmien ja laitteiden ajantasaisuus on kriittistä erityisesti ennen lomakauden alkua, jolloin päivitykset ja korjaukset saattavat viivästyä. Samalla jatkuva valvonta ja hälytykset auttavat tunnistamaan poikkeavan toiminnan myös silloin, kun oma IT-henkilöstö on lomailemassa.
Henkilöstön rooli korostuu joulusesonkina. Lyhyet, kohdennetut muistutukset yleisimmistä joulunajan huijauksista voivat merkittävästi vähentää riskiä. Erityisen tehokasta on konkreettisten esimerkkien käyttö. Kiireelliset maksupyynnöt, toimitusvahvistuksiin tai lahjatilauksiin liittyvät viestit sekä lomakauteen vetoavat kiirehtimiset ovat tyypillisiä huijauskeinoja.
Myös kumppanit ja alihankkijat on syytä huomioida. Organisaatioiden väliset digitaaliset yhteydet tarkoittavat, että yhden osapuolen heikko tietoturva voi avata hyökkääjille reitin koko ketjuun. Pääsyn rajaaminen, verkkojen segmentointi ja kolmansien osapuolien käytäntöjen arviointi ovat tärkeässä roolissa kokonaisriskin hallinnassa.
Lopulta ratkaisevaa on varautuminen pahimpaan. Selkeä toimintasuunnitelma tietoturvahäiriön varalle, testatut varmuuskopiot ja ennalta sovitut vastuut nopeuttavat reagointia ja vähentävät liiketoiminnan keskeytyksiä. Kun nämä asiat on hoidettu etukäteen, myös lomakausi sujuu rauhallisemmin.
Joulusesongin kyberturva ei ole vain tekninen kysymys, vaan yhdistelmä ihmisiä, prosesseja ja teknologiaa. Ennakoiva valmistautuminen voi olla ratkaiseva tekijä sen välillä, muistetaanko loppuvuosi onnistuneista projekteista vai kalliista tietoturvapoikkeamista.
Lisätietoa:
About the Author
