Kyberturvaa ei osteta purkissa – suojautuminen lähtee ihmisistä

Lukuaika 2 min

Kimmo Rouskulta löytyy perspektiiviä IT-alaan ja kyberturvallisuuteen. Vuoden tietoturvapäälliköksi juuri valittu mies piti ensimmäisen ATK-koulutuksensa reilut 30 vuotta sitten. Konkari tunnistaa yritysten tietoturvan yleisimmät sudenkuopat ja peräänkuuluttaa ihmisten tietotason nostamista.

Klikkaatko tuntemattoman linkin auki aivan vain uteliaisuudesta?

Kuljetatko salassa pidettävää yritysmateriaalia suojaamattomalla muistitikulla?

Asennatko työpuhelimeesi sovelluksia lukematta sitä pientä pränttiä – ja annat samalla oikeudet puhelimesi mikrofonin ja kameran käyttöön?

Melko moni meistä saattaa sortua muun muassa näihin arjen pikku erheisiin, joilla saattaa kuitenkin olla merkittäviä seurauksia työnantajan tietoturvallisuuden kannalta.

Kimmo Rouskun mukaan kyberriskeiltä suojautuminen on organisaation yhteinen ponnistus, johon täytyy sitouttaa koko henkilöstö.

Kimmo on työskennellyt Valtion tieto- ja viestintätekniikkakeskus Valtorissa riskienhallintajohtajana, vastuunaan viraston riskienhallinnan ja kokonaisturvallisuuden kehittäminen.

Kesäkuun alussa hän siirtyi uusiin tehtäviin valtiovarainministeriöön JulkICT-toimintoon kehittämään valtionhallinnon tieto- ja kyberturvallisuuden Vahti-johtoryhmän toimintaa sen pääsihteerinä. Päivätyönsä lisäksi tuottelias Kimmo luennoi ja kirjoittaa tietoturvallisuudesta. Hän on tavannut uransa aikana yli 10 000 tietotyöläistä.

”Suomalaisorganisaatioiden suurin haaste on puutteellinen havainnointikyky. Kun ei tule hälytyksiä, tuudittaudutaan uskoon että kaikki on hyvin. Karu totuus kuitenkin on, että jos tehdään sata pistokoetta, vain pari yritystä selviää täysin puhtain paperein, eli ei löydy haavoittuvuuksia tai mitään ei vuoda ulos. Hyökkäyksien määrä kasvaa nyt eksponentiaalisesti. Muumilaakson olisi aika herätä todellisuuteen”, Kimmo sanoo.

Kimmon mukaan yritykset voivat parantaa suojautumistaan kartoittamalla tietoturvan kannalta kriittiset järjestelmät, kehittämällä havainnointikykyään, tekemällä kyberturvallisuuden toimintasuunnitelman ja ennen kaikkea ohjeistamalla ja motivoimalla henkilöstöä toimimaan oikein.

Henkilöstö ei ole tietoturvan heikoin lenkki

Suomessa on tyypillisesti ratkaistu ongelmia kehittämällä teknologiaa. Näin on saatu aikaan hyviä uusia ratkaisuja, mutta inhimillinen näkökulma on jäänyt vähemmälle huomiolle.

Kyberturvallisuus vaatii kuitenkin ajan tasalla olevan teknologian lisäksi ihmisten sitouttamista. Kyberturvaa ei voi ostaa purkissa.

”Ihmisten tietoisuuden kasvattaminen jää yrityksissä usein vaillinaiseksi. Jos työntekijä ei ymmärrä, miksi joku asia on tehtävä tietyllä tavalla, on varsin helppoa olla noudattamatta ohjetta. Henkilöstö ei ole se tietoturvan heikoin lenkki, jos heidät on koulutettu oikein.”

Kimmon mukaan pelottelu ja kieltäminen eivät kuitenkaan ole oikea tapa kehittää ihmisten tietoturvavalmiuksia. Huumori on usein toimiva höyste, esimerkiksi hauska video kolahtaa uhkailua tehokkaammin.

”Tietoturvallisuus koetaan usein kielteisenä asiana. Olen huomannut, että kieltojen ja ohjeiden purkaminen konkreettisiksi esimerkeiksi herättää huomaamaan minkälaisista asioista yrityksen tietoturvallisuus muodostuu. Ne osoittavat käytännönläheisesti, miten jokainen voi omalla toiminnallaan vaikuttaa kyberriskeiltä suojautumiseen”, Kimmo linjaa.

Tietoturvan puolustaminen – käytännön näkökulmia

Olen lukenut organisaatiomme henkilöstölle tarkoitetut tietoturvaohjeet ja noudatan niitä. Osallistun tietoturvakoulutukseen.
Osaan katsoa, onko päätelaitteeni haittaohjelmien torjuntaohjelma toiminnassa ja onko ohjelmisto päivittynyt.
En käytä samoja salasanoja vapaa-ajan nettipalveluissa ja työpaikan tietojärjestelmissä.
Tiedän, miten saan käyttää etäyhteyksiä niin avoimien verkkojen kuin ulkomailla käytönkin osalta.
Mobiili päätelaitteeni lukkiutuu automaattisesti esimerkiksi muutaman minuutin käyttämättömyyden jälkeen eikä päätelaitetta saa avattua ilman lukituskoodia.
Osaan luokitella työtehtävissäni käytössä olevat tietoaineistot sisällön mukaan julkisiin tai salassa pidettäviin.
Huolehdin työtehtäviini liittyvien tärkeiden tietoaineistojen tallentamisesta siten, että niistä on aina olemassa tarvittavat varmuuskopiot esimerkiksi verkkopalvelimilla.
Käytän siirrettäviä apumuisteja (esimerkiksi USB-muistitikkua) ilman salausohjelmaa vain julkisen tiedon kuljettamiseen.
En käytä omaa kotitietokonettani salassa pidettävien aineistojen käsittelyyn.
Jos epäilen tietoturvallisuuteen liittyvää ongelmaa, tiedän miten tulee toimia ja keneen tulee ottaa yhteyttä.