10 askelta yrityksen tietoturvaan
- Tunne ympäristösi ja hyödynnä valmiita tietoturvamalleja. Kartoita järjestelmäsi ja kriittinen tietosi, ja nojaa standardeihin tai Kyberturvallisuuskeskuksen oppaisiin sen sijaan, että aloitat tyhjältä pöydältä.
- Varmista perusasetukset kuntoon. Automaattiset päivitykset, monivaiheinen tunnistautuminen, salalauseet tai pääsyavaimet sekä rajattu pääsynhallinta torjuvat suurimman osan hyökkäyksistä.
- Sovi etukäteen, miten toimit poikkeustilanteessa. Selkeä hälytys-, ilmoitus- ja vastuuketju sekä valmiiksi hankitut IT- ja tietoturvakumppanit säästävät kriisin keskellä arvokasta aikaa.
- Ota henkilökunta mukaan jatkuvasti. Säännöllinen, ymmärrettävä koulutus, helpoksi tehty turvallinen toiminta ja hyvien tekojen palkitseminen muuttavat tietoturvan koko yrityksen yhteiseksi asiaksi.
Tietomurrot eivät kohdistu enää vain suuryrityksiin. Pienemmät yritykset ovat yhä useammin hyökkääjien tähtäimessä, koska niillä on usein rajallisemmat resurssit suojautumiseen ja ne toimivat helposti väylänä isompiin kumppaneihin. Hyvä uutinen on, että tietoturvan parantaminen ei vaadi valtavaa budjettia tai IT-osastoa. Se vaatii selkeän suunnitelman ja johdonmukaisia askelia.
Käymme läpi kymmenen konkreettista askelta, joilla rakennat yrityksellesi tietoturvan perustan, varaudut poikkeustilanteisiin ja saat henkilökunnan mukaan yhteiseen tavoitteeseen.
Perusta kuntoon
1. Tunne ympäristösi
Et voi suojata sitä, mitä et tunne. Kartoita, mitä järjestelmiä yritys käyttää ja millaista tietoa niissä käsitellään. Kiinnitä erityistä huomiota kriittisiin järjestelmiin, kuten toiminnanohjaukseen, asiakkuudenhallintaan ja taloushallintoon, sekä viestintätyökaluihin.
Pilvipalvelut ovat monelle pk-yritykselle turvallinen ja käytännöllinen ratkaisu, koska palveluntarjoaja vastaa infrastruktuurin suojauksesta puolestasi.
2. Hyödynnä valmiita malleja
Sinun ei tarvitse keksiä tietoturvaa uudelleen. Käytä valmiita viitekehyksiä, kuten ISO/IEC 27001:2022 -standardia tai NIST Cybersecurity Framework 2.0:aa, tai valitse yrityksesi kokoon sopiva kevyempi malli.
Suomessa Kyberturvallisuuskeskus tarjoaa maksuttomia oppaita ja työkaluja juuri pk-yrityksille. Aloita niistä.
3. Varmista järjestelmien perusasetukset
Suurin osa hyökkäyksistä ei perustu monimutkaisiin menetelmiin, vaan puutteellisiin perusasetuksiin. Näillä toimilla pääset pitkälle:
- Ota automaattiset päivitykset käyttöön kaikissa järjestelmissä.
- Ota monivaiheinen tunnistautuminen käyttöön aina, kun se on mahdollista.
- Käytä salasanan sijaan salalausetta, joka on vähintään 15 merkkiä pitkä. Ota käyttöön myös pääsyavaimet (passkey) niissä palveluissa, jotka niitä tukevat. Ne ovat salasanoja turvallisempi ja helpompi tapa kirjautua.
- Rajaa pääsynhallinta niin, että jokainen pääsee käsiksi vain siihen tietoon, jota työtehtävä edellyttää.
- Vältä jaettuja käyttäjätunnuksia. Jokaisella tulee olla oma tunnus.
Varaudu poikkeustilanteisiin
4. Opi tunnistamaan omat rajoitteesi
Tietoturva on jatkuvaa kilpajuoksua hyökkääjien ja puolustajien välillä, eikä kukaan pysty suojautumaan kaikelta. Tunnista rehellisesti organisaatiosi osaaminen ja resurssit sekä niiden rajat.
Suurin osa hyökkäyksistä hyödyntää edelleen perinteisiä keinoja, kuten heikkoja salasanoja, mutta joukkoon on tullut myös tekoälyavusteisia huijauksia: tekoälyllä tuotettuja, entistä vakuuttavamman kuuloisia phishing-viestejä ja jopa äänikloonaukseen perustuvia toimitusjohtajahuijauksia. Tiedosta tämä, kun arvioit omaa valmiuttasi.
5. Sovi toimintamalli poikkeustilanteisiin
Tietoturvahäiriö kannattaa käsitellä kuin tulipaloa: kun se syttyy, ei ole aika miettiä toimintaohjeita ensi kertaa. Sovi etukäteen vastaukset kuuteen kysymykseen:
- Miten hälytys saadaan?
- Mihin siitä ilmoitetaan?
- Kuka koordinoi tilanteen?
- Mitä yksittäisen työntekijän tulee tehdä?
- Miten vahingot selvitetään?
- Miten estät tilanteen toistumisen?
6. Hanki luotettavat kumppanit etukäteen
Rakenna suhteet ammattitaitoisiin IT-toimittajiin ja tietoturva-asiantuntijoihin ennen kuin niitä tarvitset kiireessä. Kyberturvallisuuskeskus ottaa vastaan ilmoituksia tietoturvahäiriöistä, ja jokaisesta kyberrikoksesta kannattaa tehdä myös rikosilmoitus poliisille.
7. Päivitä suunnitelmaa säännöllisesti
IT-ympäristö ja uhkakuva muuttuvat jatkuvasti, joten tietoturvasuunnitelma ei saa jäädä pölyttymään mappiin. Käy suunnitelma läpi vähintään neljännesvuosittain ja päivitä ohjeet aina, kun olosuhteet muuttuvat.
Ota henkilökunta mukaan
8. Kouluta henkilökuntaa jatkuvasti
Henkilökunta on yrityksesi tärkein voimavara tietoturvan ylläpitämisessä, joten panosta koulutukseen riittävästi. Yksittäinen koulutuspäivä vuodessa ei riitä. Järjestä säännöllisiä, lyhyitä harjoituksia ympäri vuoden.
Räätälöi sisältö osaamistason mukaan ja käytä teknisen jargonin sijaan selkeää kieltä ja tuttuja esimerkkejä arjesta.
9. Tee oikeasta toiminnasta helppoa ja väärästä vaikeaa
Työntekijöiltä vaaditaan usein mahdotonta: kykyä tunnistaa jokainen uhka itse. Rakenna sen sijaan teknisiä ratkaisuja, jotka tekevät turvallisesta toiminnasta oletuksen, ei ylimääräistä vaivaa.
Luo avoin kulttuuri, jossa uusista tarpeista ja työkaluista voi keskustella virallisesti. Se ehkäisee varjo-IT:tä ja sen mukanaan tuomia riskejä.
10. Kannusta ja palkitse
Kun henkilökunnan toiminta estää turvaloukkauksen, tunnusta ja palkitse se. Pienikin teko, kuten epäilyttävän viestin raportoiminen, voi estää merkittävän vahingon. Avoin raportointi ja positiivinen palaute kannustavat turvalliseen käyttäytymiseen myös jatkossa.
Lopuksi
Tietoturva ei ole kertaluontoinen projekti, vaan jatkuva prosessi. Kun tunnet ympäristösi, hyödynnät valmiita malleja, sovit toimintamallit poikkeustilanteisiin ja otat koko henkilökunnan mukaan, rakennat yrityksellesi vahvan suojan ilman turhaa byrokratiaa.
Sama periaate koskee myös taloushallintoasi: kun tietosi ovat suomalaisessa pilvipalvelussa EU-alueella ja GDPR-vaatimusten mukaisesti, sinun ei tarvitse murehtia sitä osaa yhtään.
Riku Tarkiainen on Visma Solutionsin Director of Information Security and Data Privacy. Tietoturvasta ja tekniikasta innostuva Riku pitää yhdessä tiimiemme kanssa huolen, että yrityksemme asiakkaat, tuotteet ja työntekijät pysyvät turvassa.
