Kesä lisää yritysten tietoturvariskejä. Ongelmia kärjistää erilaisten ohjelmien suuri määrä, niitä hoitavien siirtyminen lomalle ja uudet työntekijät.
Tietoturvayhtiö SSH Communications Securityn markkinointipäällikkö Janne Saarikko huomauttaa, että vika ei ole yksittäisissä ihmisissä, vaan yrityksistä voi puuttua selkeä ohjelma ongelmatilanteiden estämiseksi ja hoitamiseksi. Samat riskit ovat muulloinkin, mutta loma-aika kohottaa riskin toteutumista.
"Osa virheistä syntyy vahingossa eikä ongelman aiheuttajaa välttämättä saada koskaan selville, jos tietoturva ei ole kunnossa", Saarikko sanoo.
Tietämättään työntekijä voi aiheuttaa ongelmia tuomalla tietojärjestelmään tietoa muuttavia tai tuhoavia viruksia tai vastaavia. Sellainen voi seurata esimerkiksi mielenkiintoista peli- tai animaatio-ohjelmaa.
"Uudelle työntekijälle voidaan myös antaa vahingossa haluttua laajemmat käyttöoikeudet. Vahinkoa voi syntyä, kun hän alkaa kokeilla, mitä hän voi tehdä ja tekeekin vääriä asioita", Saarikko selvittää.
Liian laajat käyttöoikeudet tulevat annetuksi, kun ohjelmistoja ylläpitävien tehtäviä siirretään lomien vuoksi työntekijältä toiselle tai niiden hoitoa ei anneta kenenkään vastuulle. Saarikon mukaan isoissa yrityksissä erilaisia ohjelmia voi olla jopa satoja.
"Organisaatiossa syntyy tiedon puutetta eikä ohjelmia esimerkiksi tarkisteta kuten normaalisti niitä hoitavat tekevät", Saarikko selvittää riskien lisääntymistä.
Uudet ihmiset saattavat tehdä omia päätelmiä ja ottavat tietämättään isoja riskejä. Pelkästään toimintojen pysähtyminen voi tuoda turhaa työtä ja viivästyksiä, mutta paljon muitakin ongelmia. Esimerkiksi pörssiyhtiössä tietoa talouden tilasta voi päätyä henkilöille, joille sitä ei saisi mennä.
Salasanoja jaellaan jopa tuntemattomille
Ohjelmistojen valtaisa määrä on tuonut myös valtavan määrän salasanoja, joita käyttäjät yrittävät epätoivoisesti pitää muistissaan tai valitsevat niin ilmiselviä salasanoja, että kuka tahansa voi ne arvata. Jo vuosikausia on muistutettu, ettei yksikään ohjelma pitäisi olla puolison tai lemmikin nimen suojassa. Lisäksi tunnuksia annetaan liian helposti työkaverille tai jopa täysin tuntemattomille ihmisille.
"Lontoossa keväällä tehdyssä katukyselyssä suuri osa antoi sähköpostinsa salasanan, kun sitä heiltä kysyttiin. Palkintona oli suklaapatukka", Saarikko kertoo.
Hänen mukaansa ihmiset eivät ole vielä sisäistäneet ohjelmien salasanojen merkitystä ja siihen liittyviä riskejä.
"Sitä ei pidetä niin tärkeänä asiana. Jos ihmisiltä kysyttäisiin pankkikortin pin-koodia, kukaan ei sitä kertoisi", hän sanoo.
Saarikon mukaan ulkopuolisia uhkia kuten viruksia vastaan yrityksissä on suojauduttu melko hyvin, mutta sisäisiin ongelmiin on varauduttu paljon heikommin. Siihen kuuluu myös käyttäjien suojaaminen.
"On huolehdittava siitä, että käyttäjillä ei tarvitse olla kymmentä tai kahtakymmentä salasanaa. Sen voi hoitaa fyysisillä varmenteilla. Julkisessa hallinnossa tästä hyvä esimerkki on sähköinen henkilökortti", Saarikko sanoo.
Samanlainen on saatavissa myös yrityksiin. Pankkikortin näköinen älykortti pistetään tietokoneeseen ja sillä on oma pin-koodi.
"Silloin kaikki järjestelmät tunnistavat käyttäjän eikä hänen tarvitse muistaa 20 eri salasanaa", Saarikko sanoo.
Koska käyttäjäkorttiin liittyy kaksi tunnistamiseen liittyvää asiaa, kortin katoaminen ei ole hallitsematon riskitekijä. Kortin oikeudet on nopeasti peruttavissa. Suurimmat yritykset voivat suojata esimerkiksi tuotekehitystään vielä järeämmin toimin: järjestelmiin pääsee vain biometrisillä tunnisteilla.
Tietoturvapolitiikalla raamit toiminnalle
"On varmaan täysi mahdottomuus tehdä täysin läpäisemätöntä järjestelmää, mutta teknisesti olisi poistettava mahdollisuudet siihen, että ihmiset pääsevät tietäen tai tietämättään tekemään virheitä", Saarikko selvittää.
Saarikon mukaan kaiken perusta pitäisi olla kokonaisvaltainen tietoturvaohjelma. Hän puhuu yrityksen tietoturvapolitiikasta. Yksinkertaistettuna jonkun olisi katsottava kokonaisuutta, tiedostettava riskit ja ongelmat ja päätettävä, miten niiltä suojaudutaan.
Saarikon näkemyksen mukaan sellainen olisi estänyt ainakin osan ongelmista myös amerikkalaisen Enronin tapauksessa. Tilivääristelyjen vuoksi koko yritys meni lopulta konkurssiin aiheuttaen suuria menetyksiä omistajille. Jos tileihin tehdyt muutokset olisivat näkyneet järjestelmissä ja kaikki olisivat olleet siitä tietoisia, kynnys laittomuuksien tekoon olisi ollut korkeampi.
"Ennaltaehkäisy on tärkeä osa tietoturvaa", Saarikko muistutti.
Saarikko muistuttaa, ettei raja ulkoa ja sisältä tuleville hyökkäyksille ole enää välttämättä edes selkeä, koska työntekijät voivat olla yhteydessä sisäiseen verkkoon erilaisilla langattomilla ratkaisuilla ja etäyhteyksillä.