TRIUVAREN GDPR-KOULU: TUNNISTA TIETOTURVALOUKKAUS
Tässä sarjamme viimeisessä osassa esittelemme vielä yhden tietoturvaloukkauksen ja keinot, joilla riskejä voi minimoida.
TIETOTURVALOUKKAUS
Organisaation järjestelmät hakkeroidaan tai niihin hyökätään.
MIKSI SE LOUKKAA TIETOTURVAA
Käytettävät tietojärjestelmät ja palvelut voivat sisältää lukuisten eri ryhmien henkilötietoja, käyttöoikeus- tai käyttäjätietoja sekä muuta arkaluontoista tietoa. Pahimmassa mahdollisessa tapauksessa järjestelmään tai palveluun murtautuminen mahdollistaa useiden eri tietojen yhdistämisen, niiden väärinkäytön sekä tiedon katoamisen ilman palautusmahdollisuutta. Loukkaus voi siis koskea jokaista tietoturvan ja tietosuojan peruspilaria – eheyttä, luottamuksellisuutta ja saatavuutta.
MITEN ONGELMAA VOI EHKÄISTÄ
- Käytettävän tietojärjestelmän tai palvelun päivitysten ajantasaisuudesta on hyvä huolehtia, sijaitsipa se sitten omalla palvelimella tai palveluntarjoajalla. Tärkeiden tietoturvapäivitysten unohtaminen tai asentamatta jättäminen mahdollistaa mm. erilaisten järjestelmähaavoittuvuuksien hyödyntämisen. Sama periaate pätee myös yrityksen tai organisaation verkkolaitteisiin, kuten palomuureihin. On tärkeää huomioida ylläpito laitetasolta aina sovelluksiin asti.
- Järjestelmien ja palveluiden oletussalasanat kannattaa aina muuttaa. Samoin kaikilla käyttäjillä tulisi olla salasanat, jotka ovat riittävän monimutkaisia. Salasanojen säännöllinen muuttaminen on myös suositeltavaa. Ensisijaisesti olisikin hyvä, että järjestelmä tai palvelu osaisi itse herjata salasanan vaihtamisesta säännöllisesti. Erityisen tärkeää asianmukaisen salasanan käyttö on ns. järjestelmäylläpitäjän eli admin-tason tunnuksella. Tällaisella tunnuksella (tai vastaavasti järjestelmän tai palvelun pääkäyttäjällä) on lähtökohtaisesti aina laajemmat oikeudet kuin normaalikäyttäjällä.
- Järjestelmien, palveluiden ja tiettyjen verkkolaitteiden lokitietojen valvontaan on myös hyvä panostaa. Lokitiedot usein kertovat, mikäli vaikkapa tietyllä käyttäjätunnuksella on yritetty kirjautua epäonnistuneesti useaan otteeseen. Tällainen tapahtuma lokitiedoissa voi kertoa mahdollisesta tunkeutumisyrityksestä. Pelkkä lokitiedon olemassaolo ei vielä riitä, vaan tietyistä siellä havaituista tapahtumista on myös hyvä määritellä hälytykset, jotta niihin voidaan reagoida.
- Järjestelmien ja palveluiden varmuuskopiointi puolestaan ehkäisee tiedon totaalista katoamista. Usein esim. pilvipalvelut on toisinnettu eli replikoitu useisiin sijainteihin, mutta yritysten ja organisaatioiden omien palvelimien tai muun palveluntarjoajan palvelimien tilanne on myös hyvä tarkistaa. Meneekö varmistuksia ollenkaan, kuinka usein niitä menee, onko varmistukset salattu väärinkäytöltä ja menevätkö ne esim. samassa tilassa sijaitsevalle tallennuskapasiteetille (jossa on myös omat riskinsä esim. tulipalon sattuessa) vai toiseen fyysiseen sijaintiin?
TARVITSEEKO LOUKKAUKSESTA ILMOITTAA?
Yritysten ja organisaatioiden käytössä olevat tietojärjestelmät ja palvelut voivat sisältää arkaluontoista tietoa useissa eri muodoissa ja hyvinkin laaja-alaisesti. Loukkauksen havaitseminen voi olla haastavaa, mutta mahdollisen loukkauksen sattuessa vahinko henkilön oikeuksille voi olla suurikin. Lähtökohtaisesti laajemmista tietomurroista tulisi ilmoittaa, jotta myös valvontaviranomainen voi ohjeistaa kuinka toimia.
Haluatko lisätietoja?
Lue kaikki blogisarjan artikkelit ja opi tunnistamaan tietoturvaloukkaukset. Kiinnittämällä huomiota arkisiin asioihin, voit parantaa yrityksen tietoturvaa ja -suojaa huomattavasti
- Haittaojelmat, virukset ja kalasteluviestit
- Hakkerointi
- Kirjautumistietojen vuotaminen
- Laitteen varastaminen
- Sähköposti väärälle vastaanottajalle
- Paperien hävitys roskikseen
- Sähköpostin cc-kenttä massaposteissa
- USB-tikku katoaa
Lisää tietoja yrityksen tietoturvan parantamisesta ja ylläpidosta löydät myös PK-yrityksen tietoturvaoppaasta. Lataa maksuton opas!
