Tietoturvan muistilista yritykselle
Yrittäjällä on monta asiaa mielessään. Tietoturva voi tuntua hankalalta ja työläältä osa-alueelta huolehtia kuntoon kaiken muun ohella. Siksi keräsimme tähän blogikirjoitukseen helpon muistilistan, jota seuraamalla laitat tietoturvan perusteet kuntoon helposti yrityksessä.
1. Valitse vastuuhenkilö tietoturva-asioille
Ensimmäinen askel on valita, kuka huolehtii, että tietoturva-asiat ovat kunnossa. Tietoturvavastaava pitää huolta siitä, että yrityksen toiminta on tietoturvallista: esimerkiksi laitteet ja niiden päivitys ovat ajan tasalla, ja uudet työntekijät perehdytetään tietoturvan kiemuroihin. Hän myös päivittää omaa osaamistaan tarpeen mukaan, pysyen kärryillä esimerkiksi uusista tietoturvauhista ja kertoo yrityksen muille työntekijöille, miten varautua.
Tietoturvan vastuuhenkilö kannattaa valita tarkasti. Pienyrityksessä saatetaan usein sälyttää monta vastuualuetta samalle henkilölle tai valita vastuuhenkilöksi toimitusjohtaja, koska hänellä on muutenkin kaikki langat käsissään. Tämä voi kuitenkin olla virhe: jos saman henkilön vastuulla on liian monta asiaa, ehtiikö hän keskittyä kaikkeen?
Yksi hyvä vaihtoehto pienelle tai keskisuurelle yritykselle on ulkoistaa tietoturvasta huolehtiminen. Me IPP:llä tarjoamme kattavat ratkaisut yritysten tietoturvaan: esimerkiksi Sujuva IT -pakettimme sisältää pienyrittäjän IT- ja tietoturvapalvelut vähintään kymmenelle käyttäjälle. Tutustu tarkemmin täällä!
2. Laitesuoja kuntoon
Kun vastuuhenkilö on valittu, on aika pohtia tietoturvan eri osa-alueita yksi kerrallaan. Yksi merkittävä tekijä tietoturvan rakentamisessa on yrityksen laitteiden suojaaminen. Yritystoimintaan tarvitaan useita eri laitteita: puhelimia, tietokoneita, tabletteja ja muita työvälineitä. Näiden laitteiden suojaus on pienemmällekin yritykselle tärkeää.
Laitteiden suojaus torjuu virukset ja estää esimerkiksi yhdistämästä haitallisille nettisivuille. Lisäksi se varmistaa, että maksu- ja pankkitiedot pysyvät tallessa, kun teet tilauksia verkossa.
Muistatko muutaman vuoden takaa uutisen, kun hakkerit olivat iskeneet lypsyrobottiin ja aiheuttivat tilalliselle ison laskun? Yrityksen kaikkien laitteiden huolellinen suojaaminen voi suojata myös sellaisilta yllättäviltä uhilta, joita et osaa tarkalleen ennakoida!
IPP tarjoaa kattavan laitesuojan eri kokoisille yrityksille. Se suojaa kaikki yrityksesi työasemat, palvelimet ja mobiililaitteet, ja on räätälöitävissä juuri sinun yrityksesi tarpeisiin. Lue lisää tietoturvapalveluistamme täältä.
3. Vahvat salasanat käyttöön
Yrityksen pyörittämiseen liittyy paljon erilaisia ohjelmia ja järjestelmiä, jotka suojataan salasanalla. Etenkin, kun sinulla on useampi työntekijä, jotka käyttävät samoja järjestelmiä, on tärkeää huolehtia siitä, että salasanat ovat riittävän vahvoja ja pysyvät varmasti vain oikeissa käsissä.
Työntekijöille on hyvä ohjeistaa, millaiset salasanat ovat vahvoja ja että samaa salasanaa tai sen variaatioita ei ole hyvä käyttää useammassa palvelussa. Etenkin on hyvä huomioida, ettei käytä töissä ja vapaa-ajalla samoja salasanoja. Ei siis samaa salasanaa Instagramiin ja työsähköpostiin!
Yksi hyvä toimintatapa on ottaa käyttöön jokin sähköinen salasanapankki (kuten esimerkiksi F-Securen ID Protection), johon työntekijät voivat tallentaa kaikki töissä käyttämänsä tunnukset. Tällaiset salasanapankit muistavat salasanat työntekijän puolesta eli mahdollistavat sen, että jokaiseen palveluun on uniikki, vahva salasana, kun työntekijän ei tarvitse itse muistaa jokaista salasanaa ulkoa.
Kaikista turvallisin salasana on satunnainen jono kirjaimia, numeroita ja erikoismerkkejä. Usein esimerkiksi verkkoselaimet tarjoavat lisäosana salasanageneraattorin: tällöin selain luo yhdellä klikkauksella satunnaisen erittäin vahvan salasanan. Kun käytössä on salasanapankki, voi työntekijä generoida jokaiseen palveluun oman salasanan, jonka pankki muistaa hänen puolestaan.
4. Kaksivaiheinen tunnistautuminen käyttöön
Kaksivaiheinen tunnistautuminen tarkoittaa henkilöllisyyden vahvistamista kahdella eri tunnistautumistavalla. Esimerkiksi Microsoftin palveluihin voi aktivoida kaksivaiheisen tunnistautumisen, joka toimii niin, että sisään kirjautuessasi salasanan lisäksi syötetään puhelimeen tekstiviestillä lähetettävä kertakäyttökoodi. Tämä tekee kirjautumisesta vielä vähän turvallisempaa, sillä tunkeilijan pääsy käyttäjätilille on vielä tuplasti vaikeampaa.
Yrityksissä on usein käytössä järjestelmiä, jotka sisältävät arkaluontoista tai salassa pidettävää tietoa, esimerkiksi asiakkaiden yhteystietoja tai liikesalaisuuksia. Tällaista tietoa sisältäviin järjestelmiin kannattaa ottaa kaikille työntekijöille käyttöön kaksivaiheinen tunnistautuminen.
5. Selkeät tietoturvaohjeet työntekijöille
Pohdi, mitkä ovat sellaisia toimintatapoja, joita kaikkien työntekijöiden tulisi noudattaa ja laadi heti alkuun selkeä ohjeistus. Näin olette kaikki alusta lähtien samalla sivulla ja uudet työntekijät on helppo perehdyttää yhteisiin toimintatapoihin.
Yleisiä hyviä toimintatapoja, jotka sopivat lähes kaikille yrityksille ovat esimerkiksi se, että etäpalavereja ei kannata pitää julkisilla paikoilla, ja tietokoneen näyttö tulee lukita salasanalla tietokoneen äärestä poistuessa. Jos työntekijät tekevät esimerkiksi asiakaskäyntejä, voi olla hyvä tarjota heille myös näytön suojia, jotka estävät näkyvyyden tietokoneen näytölle muualta kuin suoraan näytön edestä.
Lisäksi tietoturvaohjeissa voi kertoa vahvan salasanan valinnasta, mahdollisen salasanapankin käytöstä ja kaksivaiheisen tunnistuksen käyttöönotosta eri palveluissa.
6. Ulkoisten uhkien torjunta arjessa
Viime vuosina olemme saaneet kuulla uutisissa valitettavan monesta tietomurrosta ja palvelunestohyökkäyksestä. Uutiskynnyksen ylittävät tapaukset koskevat usein isoja organisaatioita, mutta pienenkään yrityksen ei kannata vähätellä tietomurtojen vaaraa. Rikolliset kalastelevat tietoja kaikkialta, missä niitä on saatavilla.
Tietomurtojen tehtailijat havittelevat yleensä rahanarvoisia tietoja tai esimerkiksi yrittävät päästä haavoittuvuuden kautta yrityksen kotisivujen hallintaan käyttääkseen sivustoa haitallisen materiaalin jakamiseen. Tietomurto voi myös liittyä laajempaan palvelunestohyökkäykseen, jonka tarkoituksena on lamaannuttaa yrityksen useita erilaisia palveluita ja järjestelmiä, pyrkiä tällä tavalla estämään yrityksen liiketoiminta. Murtautujat voivat myös yrittää kiristää rahaa yrittäjältä hakkeroitumalla järjestelmiin ja pyytämällä sitten lunnaita hallinnan palauttamisesta tai yritykseltä varastettujen tietojen julkaisematta jättämisestä.
Hyvillä toimintatavoilla voi onneksi pienentää riskiään joutua hyökkäyksen kohteeksi. Tehokkaita tapoja hyökkäysten estämiseen on useita.
Laitteet ja ohjelmistot kannattaa aina pitää ajan tasalla. Yleensä uudet päivitykset korjaavat järjestelmien haavoittuvuuksia, jotka voivat altistaa niitä tietomurroille, ja siksi päivitykset kannattaa asentaa nopeasti niiden ilmestyttyä saataville. Laitteet ja yrityksen oma verkko kannattaa myös suojata palomuurilla.
Tarvitsetko palomuurin tai neuvoja tietoturvan järjestämiseen yrityksessäsi? Lue lisää IPP:n tietoturvapalveluista täältä.
Työntekijöille on hyvä myös ohjeistaa yleistä varovaisuutta. Esimerkiksi verkkoa selatessa kannattaa suhtautua epäilyttäviin linkkeihin varauksella. Sähköpostihuijaukset ovat yhä vakuuttavampia ja yritysten työntekijöitä yritetään sumuttaa esimerkiksi toimitusjohtajan nimissä lähetetyillä viesteillä. Työntekijöille kannattaa kertoa selkeästi, millaisissa asioissa yrityksessä käytetään sähköpostia viestintävälineenä, ja että esimerkiksi yrityksen luottokortin tietoja ei lähtökohtaisesti kysellä työntekijöiltä sähköpostitse.
7. Varmuuskopiointi
Tietokone lakkaa yhtäkkiä toimimasta, tabletti varastetaan laukusta lounasravintolassa, kahvit kaatuvat näppäimistölle tai kokonainen kansio yhtäkkiä tyhjenee väärän klikkauksen johdosta. Nämä ovat esimerkkejä tilanteesta, jolloin pienyrittäjä todella toivoo, että olisi huolehtinut varmuuskopioinnista!
Yrittäjyyteen liittyy paljon epävarmuutta ja vaikeasti ennakoitavia tilanteita, ja tietotekniikan toiminta voi olla yksi näistä. Yrityksen perustamisesta lähtien on tärkeää huolehtia siitä, että vaikka tietokone hajoaisi tai varastettaisiin, yrityksen tärkeät tiedostot, kuten asiakas- ja tilaustiedot sekä kirjanpito löytyvät useammasta paikasta. Näin tietoihin päästään käsiksi, vaikka yksi laite olisi poissa pelistä.
Paras paikka varmuuskopioille on tänä päivänä kotimainen pilvipalvelu. Pilvipalvelun voi asettaa varmuuskopioimaan kaikki yrityksen tiedot jatkuvasti. Näin ei ole riskiä siitä, että tietoja olisi tallennettuna ainoastaan paikallisesti laitteille, vaan kaikkeen tietoon pääsee käsiksi, vaikka laitteille tapahtuisi kamalia.
IPP tarjoaa kaikenkokoisille yrityksille pilvipalveluita turvaamaan tärkeät tiedot. Lue tarkemmin pilvipalveluistamme täältä.
Bonusvinkki: Tietoturvaseteli
Valtioneuvosto on päättänyt tarjota huoltovarmuuden kannalta kriittisillä toimialoilla toimiville yrityksille tukisetelin tietoturvan parantamiseksi. Tavoitteena on varmistaa entistä paremmin näiden alojen yritysten tietoturvan tasoa ja sitä kautta koko yhteiskunnan kykyä torjua kyberturvallisuusuhkia. Seteli on haettavissa Traficomilta 1.12.2022 alkaen ja tuki on käytettävissä kustannuksiin, jotka ovat syntyneet viimeistään 31.12.2024. Tukisummia on erilaisia. Kriittisiä toimialoja ovat esimerkiksi elintarvikehuolto, energia-ala ja rakennusala.
Mistä tiedät onko seteli tarkoitettu sinun yrityksellesi? Voit lukea Traficomin sivuilta tarkemmin hakukriteereistä ja kriittisistä toimialoista. Me IPP:llä autamme mielellämme myös hakuprosessissa ja hakuprosessin jälkeisissä toteutuksissa. Lue lisää täältä.
CHECKLIST
Tarkista, ovatko nämä tietoturva-asiat kunnossa yrityksessäsi:
- Kuka vastaa tietoturvasta?
- Onko yrityksen laitteet suojattu?
- Ovatko salasanasi riittävän turvallisia?
- Käytätkö kaksivaiheista tunnistautumista?
- Tietävätkö työntekijäsi tietoturvan perusteet?
- Taklaatko ulkoiset uhat?