Tietoturvaan ei ole olemassa yksinkertaista, sataprosenttisen turvan tarjoavaa ratkaisua. Ongelman edessä ei tosin tarvitse eikä voi nostaa käsiä pystyyn, sillä tietokoneet ja internet ovat nykyisin kiinteä osa yritystoimintaa ja yhteiskuntaa. ”Yrityksen on luotava sisäinen turvallisuuskulttuuri, jolloin koko henkilöstö tuntee tietoturvariskit ja kantaa niistä huolta. Kukaan organisaatiossa ei saa esimerkiksi siirtää vastuuta vain it-osastolle”, painottaa tohtori Steven Furnell Plymouthin yliopistosta.
Tietoturvan taso ei ole aina kiinni rahasta, sillä Isossa-Britanniassa tehdyn tutkimuksen mukaan lähes neljännekseen väärinkäytöksistä syynä on henkilöstön huono valvonta ja neuvonta. Lähes 70 prosenttia ongelmista löytyy yrityksen sisältä, kuten vähäisestä koulutuksesta ja internetkäytön seurannan puutteesta.
”Työntekijöillä on esimerkiksi usein pääsy yritykselle arvokkaisiin tietoihin, joita he eivät todellisuudessa edes tarvitse. Ei ole myöskään harvinaista, että käyttöoikeuksia ei heti poisteta, vaikka työntekijä siirtyy kilpailijan palvelukseen. Näin hän voi esimerkiksi varastaa asiakastietoja ja käyttää niitä uuden työnantajan eduksi”, sanoo Furnell.
Furnell oli viime keskiviikkona luennoimassa verkkorikollisuudesta Oulun yliopistossa, jossä järjestetään 8.–16. huhtikuuta neljäs vuosittainen tietoturva-alan kansainvälinen talvikoulu, IPICS’2003.
Seminaariin osallistuu yli 70 tietoturva-ammattilaista, jatko-opiskelijaa ja opettajaa – neljännes heistä ulkomailta. Tapahtuman järjestelyistä vastaa Oulun yliopiston tietojenkäsittelytieteiden laitos sekä sähkö- ja tietotekniikan osasto yhdessä kansainvälisten asioiden yksikön kanssa.
Tietoturvaa pidettävä yllä aktiivisesti
Tietoturvaratkaisuilla keskittytään usein yrityksen ulkopuolta tuleviin uhkiin. Virukset ovat jopa kohtuullisen helposti määriteltäviä ja torjuttavia riskejä, mutta hakkerien vuoksi joudutaan alinomaan varautumaan uusiin keinoihin. Suojautumiseen ja vahinkojen korjaamiseen käytettyjä panostuksia on vaikea arvioida, mutta kokonaiskustannusten arvioidaan nousevan satoihin miljardeihin euroihin, kun huomioon otetaan muun muassa menetetyt työajat ja liiketoiminnan vahingot.
”Todellisia tietoturvakustannuksia on mahdoton arvioida, koska yritykset välttelevät tietojen kertomista esimerkiksi imagon ja luottamuksen menettämisen pelossa. Eräissä yritysryhmissä vertailua on kuitenkin tehty, ja kustannukset ovat nousseet viisinkertaisiksi kuuden viime vuoden aikana”, Furnell sanoo.
”Pk-yritykselle tuholaisohjelmistot ja internetin kautta tapahtuvat hyökkäykset ovat suuri riski. Verkon kautta uhkaavat muun muassa virusten ja matojen lisäksi erityisesti tietoturva-aukkoja etsivät hakkerit”, muistuttaa Furnell.
Tutkimuksen mukaan huonosti hoidettu virustorjunta on vasta kuudenneksi yleisin syy tietoturvavahinkoihin yhdeksässä prosentissa tapauksista. Tietoliikenneyhteyksiä ja -oikeuksia valvovan palomuurin (firewall) puuttuminen tai tehoton käyttö aiheuttaa puolestaan kahdeksan prosenttia vahingoista.
”Kaikilla yrityksillä on oltava tietoturvaperusta, joka koostuu virustorjuntaohjelmistosta ja palomuurista. Niitä on myös käytettävä aktiivisesti, sillä esimerkiksi 80 prosenttia käytössä olevista palomuuriohjelmistoista ei ole oikein määriteltyjä. Näin ne eivät suojaa tulevaa ja lähtevää internet- ja sähköpostiliikennettä halutulla tavalla”, painottaa Furnell.
Toisaalta Furnell on sitä mieltä, että sensaatiohakuisesti tehdyt artikkelit pelottavat yrityksiä suotta. Tietoturvauhkat eivät myöskään voi olla syy jättää hyödyntämättä verkon kautta tapahtuvaa sähköistä kaupankäyntiä.
”Jos yrityksessä on osaava henkilöstö tai resursseja ostaa tarvittavat palvelut ja laitteet ulkopuolelta, niin on täysin mahdollista pystyttää kiinnostava ja turvallinen verkkokauppa. On vain etukäteen tietoturvastrategian mukaisesti tunnistettava ja ratkaistava mahdolliset uhkatekijät. Toki markkinoille tulee myös koko ajan uusia parempia laitteita, joihin on integroitu turvaominaisuuksia”, kannustaa Furnell.
Hakkerointia ideologian nimissä
Yritysten tietojärjestelmiin tunkeutuvat hakkerit kuvataan usein epäsosiaalisiksi nuoriksi miehiksi, jotka pyrkivät osaamisellaan nostamaan egoaan ja arvostustaan kaltaistensa parissa.
”Osaavat, mutta turhautuneet it-alan ammattilaiset muodostavat aivan yhtä suuren hakkerijoukon. Heille hakkerointi saattaa jopa olla älyllisten haasteiden etsimistä. Samalla haetaan vaikutusvaltaa”, tietää Furnell.
Irakin sota on tuonut vahvasti esille erittäin näkyvän hakkerointimuodon, nettisivujen sisällön uudelleenmuokkauksen.
”Ideologiset syyt on yksi hakkereiden vahva motiivi. Hakkerit ovat muuttaneet tuhansien Irakin sotaan aktiivisesti osallistuneiden yritysten tai organisaatioiden sivujen sisällön esimerkiksi sodanvastaiseksi”, kertoo Furnell, jonka mielestä hakkerit käyttävät ideologisia syitä ainoastaan saadakseen jonkinlaisen oikeutuksen toimilleen.
Hakkerit eivät usein koe itseään edes rikollisiksi, koska eivät aiheuta tarkoituksellisesti vahinkoa yritykselle. Hakkerit haluavat jopa pitää tiukan eron niin sanottuihin krakkereihin, jotka saattavat tuhota tärkeitä tietoja yrityksen tietojärjestelmistä hyötymistarkoituksessa.
”Jos yritys edes yrittää jollain, vaikkakin heikolla keinolla, suojautua tunkeutumiselta, on se osoitus siitä, ettei se halua kutsumattomia vieraita tietojärjestelmiinsä”, sanoo Furnell, jonka mielestä tietomurrosta aiheutuu aina haittaa.
Tästä syystä Furnellia häiritsee nuorten jopa ihannoiva suhtautuminen hakkereihin, jotka muka käyvät omaa David vastaan Goljat -taistelua. Furnellin mielestä rajat ylittävään tietoturvarikollisuuteen olisikin saatava kansainväliset pelisäännöt.
”Useimmiten rangaistukset eivät vastaa vahinkoja, ja joissain tapauksissa tuhansia tietokoneita vahingoittanut sekä ylimääräistä työtä ja kustannuksia aiheuttanut viruksenkirjoittaja selviää enimmilläänkin yhteiskuntapalvelulla”, Furnell toteaa.
Tietokone on, mutta tyttökaveri puuttuu - Viruskirjoittajan tuntomerkit:
Mies
Ikä 14–34 vuotta
Tietokoneriippuvainen
Krooninen pula tyttökavereista
Puutteelliset sosiaaliset taidot
Pakkomielteinen tarve kirjoittaa itseään kopioivia koodeja, jotka ovat heille kuin digitaalisia graffitteja
Tuntomerkit hahmotteli tietoturvayhtiö Sophoksen johtaja Jan Hruska
Risto Rasila
Verkot vaativat puhdistusta. Virukset ja hakkerit ovat uhka, johon jokaisen yrityksen on varauduttava riskianalyysillä, tohtori Steven Furnell neuvoo.