Tietoturva-alan fraasia, jonka mukaan ihminen on tietoturvan heikoin lenkki, käytetään usein piiloutumiskeinona. Tätä mieltä on Tietoturva ry:n puheenjohtaja Jari Pirhonen, joka esitteli näkemyksiään median ja tietoturva-asiantuntijoiden tapaamisessa.
"Jos joku asia ei toimi, sanotaan, että se on ihmisen vika. Silloin ei ole jaksettu tarttua kouluttamiseen tai perehdyttämiseen. Joskus ihminen on heikoin lenkki siinä mielessä, että ihminen, joka on tehnyt tietoturvatuotteen, ei ole miettinyt asiaa käyttäjän näkökulmasta", Pirhonen totesi.
Pirhonen korosti, että tietoturvan tulisi olla käyttäjälle näkymätöntä eikä se saisi rajoittaa työntekoa. Usein tietoturva-asiantuntijoiden ja muiden työntekijöiden välillä on kielen ja kulttuurin luoma muuri. Tietoturva voi tarkoittaa eri asiaa eri toimijoille, ja siitä pitää pystyä puhumaan kielellä, jota kaikki osapuolet ymmärtävät.
Kulttuurierot tulevat esiin esimerkiksi siinä, että verkostoituminen on bisnesväelle päämäärä, kun taas tietoturvahenkilö haluaa eristää yrityksen mahdollisimman tehokkaasti muista.
Ostajan pitää tietää, mitä hakee
Tietojärjestelmien tarkastus ja valvonta ry:n puheenjohtaja Maarit Turunen muistutti tietoturvan tarkoituksesta.
"Tieto on se tärkein omaisuus, mitä yritykseltä löytyy. Johdon tulee aidosti ymmärtää tietoturvallisuuden merkitys koko organisaatiolle. Työntekijän taas tulisi tietää, mitä tietoturvallisuus tarkoittaa juuri hänen tapauksessaan", Turunen selvensi.
Jotta työntekijän ei aina tarvitsisi miettiä, tulisi johdon laatia kestävät ja selvät tietoturvakäytännöt. Niitä pitää myös osata vaatia tietoturvan toimittajalta.
"Ostajan pitää tietää, mitä hakee, tai ostaa sitä tietämystä muualta", Turunen jatkoi.
Turusen mukaan tilanne on jo parantumassa. Enää ei uskota suoraan, että tuote on turvallinen, vaan osataan kysyä, mitä turvallisuus kyseisessä tapauksessa tarkoittaa. Turusen mielestä pitää myös ottaa selville, mikä on tietoturvatoimittajan vastuu, jos jotain menee pieleen.
Hakkerointi huolestuttaa
IBM:n palvelumyyntipäällikkö Markus Hongisto toi esiin kuluttajien ja yritysten epäilyt verkossa tehtävää liiketoimintaa kohtaan. IBM:n Yhdysvalloissa tekemän kuluttajatutkimuksen mukaan virtuaalirikoksen uhkaa itselle pidettiin kolminkertaisena fyysiseen rikokseen verrattuna. Myös it-yritysten johto piti virtuaalirikollisuutta puolet suurempana vaarana kuin perinteistä rikollisuutta.
Rikollisiin varaudutaan rikollisten omia aseita käyttäen. Yritysten järjestelmiä testataan eettisellä hakkeroinnilla, eli yritetään murtautua järjestelmiin muuten kuin pahat mielessä.
"Yrityksen järjestelmiä testataan täsmähyökkäyksin, joko hyödyntämällä organisaation käyttäjiä tai pelkästään teknologisin apuvälinein. Hämmästyttävän usein siellä on aika paljon tehtävissä", Hongisto kuvaili.
Hakkerointi ei ole Hongiston mukaan ainoa riski yrityksen tietoturvalle, mutta se on hyvä testipenkki tärkeille järjestelmille. Nettikaupan aikana hakkeroitu yrityssivusto on pahinta mahdollista julkisuutta.