Nettirikollisuus uhkaa taloustietoja

Otsikoita hallinneet tietovuodot ja sähköiset identiteettivarkaudet ovat tuoneet modernit tietoturva­uhat entistä lähemmäksi ihmisten ja yritysten arkea. Riippuvuus tietotekniikasta ja sen välityksellä kulkevasta informaatiosta on kasvanut, joten tietoturva on noussut monessa yrityksessä strategisesti tärkeäksi asiaksi. Uhkiin varautuminen onkin järkevää, sillä verkkorikollisuus­ ei osoita laantumisen merkkejä. Tilannetta vaikeuttaa jatkuvasti monimutkaistuva tietotekniikka, joka tarkoittaa entistä vaikeampia vikoja ja uusia haavoittuvuuksia. 

– Verkko­rikollisuus on viimeisen kymmenen vuoden aikana muuttunut harrastelusta taloudellista hyötyä tavoittelevaksi ammattimaiseksi toiminnaksi, kertoo Viestintävirastossa toimivan kansallisen tietoturvaviranomaisen ­CERT-FI:n tietoturva-asiantuntija Juhani Eronen.

CERT-FI käsitteli ensimmäisen vuosineljänneksen aikana 1 169 tietoturvatapausta sekä 34 merkittävää televerkkojen häirintätapausta. Volyymitasolla suurimmaksi uhaksi nousivat erilaiset haittaohjelmat, jotka olivat osallisina 56 prosentissa kaikista ilmoitetuista tietoturvatapauksista. Ohjelmistohaavoittuvuuksien lisäksi toistuvina ilmiöinä havaittiin nettipankkitileiltä rahaa varastava Zeus sekä vuonna 2008 löydetty Conficker. Näiden Suomen yleisimmiksi todettujen haittaohjelmien pitkäikäisyys kertoo karua kieltään siitä, millaiseksi toiminnaksi haittaohjelmien tehtailu on mennyt.

– Idea on sama kuin tuotekehityksessä. Joku keksii toimivan haittaohjelman, jonka jälkeen siihen kehitetään uusia ominaisuuksia, Eronen sanoo.

Kirjanpitoaineisto kiinnostaa yritysvakoojia

Panoksien kasvaessa kyberrikolliset ovat lähteneet tuotteistamaan palveluitaan niitä tarvitseville tahoille. Ääritapauksessa rikollisliigalla on käytössään asiakaspalvelunumero, joka ottaa vastaan haittaohjelmatilauksia ja niihin liittyviä reklamaatioita. Kyberrikollisuuden kaupallistuminen vahvistaa käsitystä siitä, että tiedosta on tullut rahaan verrattavissa oleva vallan ja vaihdon väline. Tästä esimerkkinä ovat haitta­ohjelmien avulla toteutetut yritysvakoilutapaukset.

– Vakoiluriski korostuu sellaisilla toimialoilla, missä kilpailu on kovaa. Tällaisia ovat muun muassa puolustus-, ­kaivos- ja lääketeollisuus sekä korkean teknologian yritykset, Eronen listaa.

Oma erityinen kiinnostavuutensa on yritysten talous­tiedoilla ja kirjanpitoaineistolla. Niiden avulla ulkopuolinen taho voi tehdä päätelmiä yrityksen taloudellisesta tilanteesta ja tulevaisuuden painopisteistä sekä arvioida esimerkiksi yritysjärjestelyjen todennäköisyyttä tai yhtiön pörssikurssin kehittymistä. 

– Tietomurtoja ja tietoturvaloukkauksia tulee harvoin julkisuuteen. Vaikenemisella halutaan suojella yhtiön mainetta ja brändiä. Toisaalta jos asia vuotaa julki, antaa se yrityksen toiminnasta vieläkin huonomman kuvan, Eronen miettii.

Kyse on myös jatkuvasti kasvavasta tiedon kokonaismäärästä. Yritykset hakevat lisää tallennuskapasiteettia pilvipalveluista, jotka ovat jo joutuneet Yhdysvaltain kansallisen turvallisuusviraston NSA:n urkinnan kohteeksi. Myös mobiililaitteiden sekä kannettavien tietokoneiden yleistyminen yhdistettynä internetin jatkuvaan läsnäoloon on kasvattanut tietoturvariskien määrää. Pelkästään mobiililaitteiden haavoittuvuudet ovat lähes kolminkertaistuneet vuosina 2010–2013.  

– Erilaisten palveluiden myötä tiedon käyttäjiltä on hämärtynyt käsitys informaation sijainnista. Näin ollen kokonaisuuksien hallinnasta on tullut entistä haastavampaa, sanoo tietoturvayhtiö Symantecin tietoturva-asiantuntija Petri Ala-Annala.

Verkkohyökkäykset entistä pitkäkestoisempia

Symantecin vuoden 2013 tietoturvakatsauksen mukaan pk-yritykset suhtautuvat edelleen tietoturvaan sen riskejä vähätellen. Niissä ei usein ymmärretä, että kyberrikollisuus valitsee yleensä helpoimman saatavilla olevan reitin päämääriensä saavuttamiseksi. Tietomurto alihankkija- tai asiakassuhteessa toimivaan pk-yritykseen voi avata väylän suuremmille apajille.

– Kohdennetut verkkohyökkäykset kasvoivat viime vuonna
42 prosenttia. Viimeisen viiden vuoden aikana niiden luonne on muuttunut pitkäkestoisemmaksi. Pahimmassa tapauksessa ne voivat kestää kuukausia tai jopa vuosia, kertoo Ala-Annala.

Paras tapa torjua mahdollisia hyökkäyksiä on käyttää virusturvaa ja palomuuria sekä huolehtia ohjelmistojen ajantasaisuudesta. Mikäli yrityksessä ei ole tiedonhallinnasta vastaavaa henkilöä, kannattaa päivityksistä sopia ohjelmiston toimittaneen tahon tai palvelutarjoajan kanssa. Vanhassa selainversiossa tai käyttöjärjestelmässä toimivien ohjelmistojen käytöstä on järkevä luopua kokonaan.

Toinen varteenotettava toimenpide on tietoluokituksen tekeminen. Siinä informaatio ryhmitellään esimerkiksi luottamuksellisesta salaiseen. Samalla määritetään tiedon omistaja ja sen kriittisyysaste eli kuinka tärkeää kyseisen tiedon koskemattomuus on yrityksen toiminnan kannalta. Huomiota on hyvä kiinnittää myös tiedon fyysiseen turvallisuuteen. Tabletti tai kannettava tietokone lähtee työpöydältä nopeammin vääriin käsiin kuin perinteinen pöytäkone.

– Teknisiä ratkaisuja tietoturvan vahvistamiseen löytyy useita, kuten kovalevyjen salaus sekä käyttäjän vahva tunnistus, jossa hyödynnetään verkkopankeista tuttuja, kertakäyttöisiä salasanoja. Tämäntyyppisistä implementoinneista on käyty keskusteluja taloushallinnon järjestelmätoimittajien kanssa, Ala-Annala paljastaa.

Päivitykset ja perusasiat kuntoon

Eronen vinkkaa resurssipulan kanssa kamppailevia yrityksiä sopeuttamaan toimintaympäristönsä ylläpidon mukaan. Jos omaan tietohallintoon ei riitä paukkuja, kannattaa IT-järjestelmät pitää mahdollisimman yksinkertaisina tai hankkia osaaminen ostopalveluna yrityksen ulkopuolelta. Tietoturva on syytä pitää mielessä myös uusien ohjelmistotuotteiden hankinnassa. Myyjältä voi reippaasti kysyä, kuinka niiden tietoturva on hoidettu.

– Päivitykset ovat tärkeitä, sillä internetissä on jatkuvasti jonkinasteinen hyökkäysaktiviteetti päällä. Päivitysten avulla kavennetaan merkittävästi haittaohjelmien hyödyntämää hyökkäyspinta-alaa, selvittää Eronen.

Tietoturvamielessä teknisten ratkaisujen rinnalle kaivataan henkilöstön koulutusta, joka lähtee liikkeelle yksinkertaisista perusasioista. Olennaista on saada yrityksen työntekijät ymmärtämään, että he voivat omilla toimillaan vaikuttaa tietoturvan tason parantamiseen.

– Eräässä yrityksessä huomattiin, että varmuuskopiot olivat jääneet tekemättä. Tällaisten puutteiden korjaamisella pystytään vähentämään yleisimpiä tietoturvariskejä, kertoo Granite Partnersin toimitusjohtaja ja tietoturvallisuusasiantuntija Teppo Kattilakoski.

Käyttäjävastuu unohtuu

Vaikka varsinaisen tietoturvapolitiikan laatiminen on pienelle yritykselle turhan mittava operaatio, kannattaa jokaisessa organisaatiossa sopia yhtiön sisäiset pelisäännöt turvalliselle tietojenkäsittelylle. Esimerkiksi koti- ja työkoneen väliä kulkeva USB-muistitikku saattaa tuoda mukanaan haitta- tai vakoiluohjelmia sekä viedä luottamuksellista informaatiota heikosti suojatulle laitteelle. Kyberasioista puhuttaessa unohdetaan usein myös käyttäjän vastuu, joka ulottuu teknologian ulkopuolelle.

– Julkisilla paikoilla kannattaa miettiä, millaisia asioita puhuu tai näppäilee puhelimeen tai sosiaalisen median kanaviin. Vieressä istujat kuulevat ja näkevät helposti kaiken, sanoo Kattilakoski.