Suomalaisyritysten suurimmat tietoturvariskit eivät piile avoimien tietoverkkojen kautta toimivassa järjestäytyneessä rikollisuudessa tai teollisuusvakoilussa. Maanantaina Oulun yliopistossa tietojenkäsittelytieteen alalla väitellyt tekniikan lisensiaatti Petri Puhakainen pitää pahimpana ongelmana organisaatioissa työskentelevien ihmisten huoletonta toimintaa ja tietämättömyyttä tietoturva-asioista.
"On ne riskit, jotka tulevat, kun lyödään piuha verkkoon kiinni. Teollisuusvakoilu yrityksiä kohtaan ja rahan kiristäminen uhkaamalla palvelinten kaatamisella ovat Suomen oloissa vielä marginaali-ilmiöitä", Puhakainen sanoo.
Käytännössä merkittävämpiä ovat ihmisten toimintaan liittyvät riskit. Päivittäisissä työtehtävissään tietoa tarvitsevat työntekijät ovat tässä suhteessa avainasemassa. Yritysten kannalta tärkeää on, miten kriittiseen tietoon käsiksi pääsevät työntekijät käsittelevät ja suojaavat saamaansa tietoa, oli tieto sitten tietojärjestelmässä, paperilla, päässä, mobiililaitteessa tai kannettavassa tietokoneessa.
"Käyttäjä on osa turvallista tietojärjestelmää", Puhakainen summaa.
Puhakaisen mukaan tietämättömyyden aiheuttamat virheet ovat tahallisia väärinkäytöksiä yleisempiä riskitekijöitä.
"Usein ei edes tiedosteta oman toiminnan seurauksia, mikä vaikuttaa siihen, että tiedot jäävät suojaamatta. Motivaatio on iso asia. Jos on tiedot ja taidot, niin pitäisi olla myös motivaatio suojata tietoa. Tietoturvaohjeita jätetään myös tahallaan noudattamatta."
Sähköpostitse kulkee
yhä yrityssalaisuuksia
Käteväksi työkaluksi havaitun sähköpostin hulvaton käyttö on yksi keskeisimpiä yritysten tietoturvariskien lähteitä. Puhakaisen mukaan avoimen tietoverkon välityksellä lähetetään sähköpostitse monenlaisia yrityssalaisuuksia, kuten tuotekehitys-, hinta- ja katetietoja.
"Pienyrityksissä menee sähköpostilla paljon sosiaaliturvatunnuksia, palkkatietoja ja terveydentilaan liittyviä tietoja, joita ei missään tapauksessa saisi lähettää", Petri Puhakainen varoittaa.
Yrityksissä tietoturvaongelmia voi lisätä myös varomaton internetin käyttö.
"Hurjia työkaluja ovat nykyään usb-muistilaitteet, joissa lähtee yrityksistä ulos suojaamattomana jos jonkinlaista tietoa. Myös älypuhelinten ja kannettavien koneiden huolimaton säilyttäminen on yleistä."
Esimerkiksi kannettavia tietokoneita voidaan teknisesti suojata, mutta Puhakaisen mukaan tällöin usein unohdetaan tiedon käytettävyys ja saatavuus.
"Vaikka olisi kuinka salattu kovalevy, mutta jos kannettava tietokone häviää, mitkä kaikki tiedot silloin häviävät", hän muistuttaa.
Muun muassa papereiden ja cd-rom-levyjen asianmukainen tuhoaminen on ikuinen ongelma yrityksissä.
"Joissain organisaatioissa lähin tietosuojaroskakori on ollut neljän kilometrin päässä", Puhakainen napauttaa.
Ovien ja työasemien lukitseminen, järjestelmistä uloskirjautuminen ja salasanojen pitäminen vain omassa tiedossa tahtovat työpaikoilla helposti unohtua.
Tele- ja pankkisektorilla ja terveydenhuollossa tietoturvallisuuden merkitys on parhaiten sisäistetty. Sitä on edistänyt alojen tiukka sääntely. Myös tuotekehitykseen panostavat korkean teknologian yritykset huolehtivat tietoturvallisuudestaan keskivertoa paremmin.
Teknillisessä korkeakoulussa perustutkintonsa suorittanut Puhakainen halusi tehdä väitöskirjansa juuri Oulun yliopistossa, sillä hänen mukaansa Oulussa on maan parasta tietoturvakoulutusta ja -tutkimusta. Ouluun Puhakainen kertoo tulleensa erityisesti ohjaajansa, professori Mikko Siposen perässä.