10 tietoturvatoimea, jotka jokaisen pienyrityksen tulisi tehdä tänään

Pienyritykset ovat usein kyberrikollisten kohteita, koska hyökkääjät etsivät helpointa reittiä, eivät suurinta yritystä. Yksi kalasteluviesti, heikko salasana tai päivittämätön kannettava tietokone voi paljastaa asiakastietoja, palkkatietoja, taloustilejä ja sisäisiä tiedostoja. Perustajille ja pienille tiimeille tietoturva ei ole erillinen IT-projekti. Se on osa perusliiketoimintaa.

Hyvä uutinen on, että suurimman osan riskien vähentämisestä ei tarvitse maksaa yritystason budjettia. Huolellisesti valitut käytännöt, työkalut ja toimintatavat voivat parantaa suojaa merkittävästi. Avain on keskittyä ensin niihin hallintakeinoihin, jotka pysäyttävät tavallisimmat hyökkäykset, ja rakentaa sen jälkeen rutiini, joka pitää suojauksen ajan tasalla.

Miksi pienyritys tarvitsee käytännöllisen tietoturvasuunnitelman

Tietoturvaohjeistus kuulostaa usein monimutkaiselta, koska se on kirjoitettu suurille organisaatioille. Pienyritykset tarvitsevat jotain yksinkertaisempaa: selkeät säännöt, vähän kitkaa aiheuttavat työkalut ja toistettavan prosessin.

Useimmat pienyrityksiin kohdistuvat hyökkäykset kuuluvat muutamaan luokkaan:

• Kalasteluviestit, jotka huijaavat työntekijöitä luovuttamaan salasanoja tai avaamaan haitallisia tiedostoja
• Salasanojen uudelleenkäyttö, jonka avulla rikolliset voivat murtautua useille tileille yhden tietovuodon jälkeen
• Päivittämätön ohjelmisto, joka jättää tunnetut haavoittuvuudet avoimeksi
• Heikko käyttöoikeuksien hallinta, joka antaa liian monelle liikaa näkyvyyttä
• Puutteelliset varmuuskäytännöt, jotka tekevät kiristysohjelmista vahingollisempia
• Suojaamattomat laitteet ja Wi-Fi-verkot, jotka laajentavat hyökkäyspintaa

Jos voit vähentää näitä riskejä, voit estää suuren osan arkipäivän tietoturvapoikkeamista.

1. Tee inventaario kaikista laitteista, tileistä ja tietovirroista

Et voi suojata sitä, mitä et tiedä omistavasi. Aloita listaamalla kaikki yrityksen käyttämät kannettavat tietokoneet, pöytäkoneet, puhelimet, tabletit, palvelimet, pilvisovellukset ja jaetut tilit. Kirjaa sitten, mitä tietoa kukin järjestelmä säilyttää tai käyttää.

Seuraa vähintään seuraavia:

• Työntekijöiden laitteet
• Sähköpostitilit
• Pankki- ja maksupalvelut
• Tiedostonjakopalvelut
• Palkanlaskenta- ja HR-työkalut
• Verkkosivuston hosting ja verkkotunnuksen hallinta
• Kirjanpito- ja vero-ohjelmistot
• Asiakkuudenhallintajärjestelmät

Tämä inventaario antaa käytännöllisen näkymän siihen, missä arkaluonteisin tietosi sijaitsevat. Se helpottaa myös perehdytystä, lähtöprosessia ja myöhempää häiriötilanteiden käsittelyä.

2. Käytä vähimmän oikeuden periaatetta ja ota käyttöön monivaiheinen tunnistautuminen

Käyttöoikeuksien hallinnan tulisi noudattaa yksinkertaista sääntöä: ihmiset saavat vain ne oikeudet, joita he tarvitsevat työnsä tekemiseen.

Tämä tarkoittaa seuraavaa:

• Älä jaa kirjautumistietoja, ellei muuta vaihtoehtoa ole
• Anna ylläpitäjäoikeudet vain niille, jotka niitä todella tarvitsevat
• Poista käyttöoikeudet heti, kun henkilö lähtee tai vaihtaa roolia
• Tarkista tilien oikeudet säännöllisesti

Monivaiheinen tunnistautuminen eli MFA tulisi ottaa käyttöön aina, kun se on mahdollista. Pelkät salasanat eivät enää riitä. MFA lisää toisen varmennusvaiheen, mikä tekee varastetuista tunnuksista hyökkääjälle paljon vähemmän hyödyllisiä.

Erityisen herkissä järjestelmissä yhdistä MFA laitepohjaisiin hallintakeinoihin, vahvoihin salasanasääntöihin ja määräaikaisiin käyttöoikeuksien tarkistuksiin.

3. Varmuuskopioi tärkeät tiedot 3-2-1-säännöllä

Varmuuskopiot ovat välttämättömiä, koska kiristysohjelmat, vahingossa tapahtuva poisto ja laiteviat voivat kaikki tuhota tietoja.

Luotettava varmuuskopiointisuunnitelma noudattaa 3-2-1-sääntöä:

• Säilytä vähintään kolme kopiota tärkeistä tiedoista
• Pidä kopiot kahdella eri tallennusmedialla tai järjestelmässä
• Säilytä yksi kopio muualla kuin toimistossa tai offline-tilassa

Tärkein osa on testaus. Varmuuskopio on hyödyllinen vain, jos siitä voi palauttaa tiedot nopeasti, kun jotain menee pieleen. Aikatauluta palautustestit, jotta tiedät prosessin toimivan ennen todellista hätätilannetta.

Priorisoi varmuuskopiot seuraaville:

• Kirjanpitoaineisto
• Asiakastiedot
• Sopimukset ja lakiasiakirjat
• Operatiiviset tiedostot
• Verkkosivuston sisältö
• Sähköpostiarkistot, jos ne ovat tarpeen liiketoiminnan jatkuvuuden kannalta

4. Koveta sähköposti-, verkko- ja päätelaitesuojaus

Useimmat hyökkäykset alkavat sähköpostista tai kompromisoidusta verkkosivustosta. Tämä tekee sähköpostisuodatuksesta ja päätelaitesuojauksesta joitakin arvokkaimmista hallintakeinoista, joita pienyritys voi ottaa käyttöön.

Aloita näistä:

• Roskaposti- ja kalastelusuodattimet kaikissa yrityksen sähköpostitileissä
• Päätelaitesuojaus jokaisessa tietokoneessa ja palvelimessa
• Palomuuri tai suojattu yhdyskäytävä toimiston verkolle
• Turvallisen selaamisen hallinta, joka estää tunnetut haitalliset sivustot

Muista, että päätelaitesuojaus ei korvaa käyttäjien tietoisuutta. Se on yksi puolustuskerros, ei takuu. Tavoitteena on pysäyttää ilmeiset uhat varhain ja vähentää virheiden aiheuttamia vahinkoja.

5. Kouluta työntekijät tunnistamaan kalastelu ja sosiaalinen manipulointi

Ihmiset ovat usein tietoturvaohjelman vahvin ja heikoin osa. Koulutuksen ei tarvitse olla pitkä tai tekninen. Sen pitää olla toistuvaa ja arkeen liittyvää.

Työntekijöiden tulisi tunnistaa:

• Odottamattomat liitteet
• Viestit, jotka luovat kiireen tai pelon tunnetta
• Pyynnöt vaihtaa salasanoja tai pankkitietoja
• Linkit vääriin kirjautumissivuihin
• Puhelut tai tekstiviestit, jotka esiintyvät toimittajina, asiakkaina tai johtajina

Yksinkertainen sisäinen sääntö auttaa paljon: jos pyyntö liittyy rahaan, tunnuksiin, arkaluonteisiin tiedostoihin tai maksutietojen muutokseen, varmista se toista kanavaa pitkin ennen toimimista.

Tietoturvatietoisuus toimii parhaiten, kun se on käytännöllistä. Lyhyet muistutukset, esimerkkikalasteluviestit ja selkeä ilmoitusprosessi ovat tehokkaampia kuin kertaluontoinen luento.

6. Päivitä käyttöjärjestelmät, sovellukset ja laiteohjelmistot nopeasti

Hyökkääjät rakastavat tunnettuja haavoittuvuuksia, koska niitä on helppo hyödyntää laajassa mittakaavassa. Viivästyneet päivitykset jättävät oven auki.

Jokaisella pienyrityksellä pitäisi olla päivitysrutiini seuraaville:

• Käyttöjärjestelmät
• Selaimet
• Toimisto-ohjelmistot
• Kirjanpitotyökalut
• Lisäosat ja laajennukset
• Verkkolaitteiden laiteohjelmistot
• Tulostimet, reitittimet ja IoT-laitteet

Ota mahdollisuuksien mukaan automaattiset päivitykset käyttöön kriittisissä ohjelmistoissa. Järjestelmissä, jotka vaativat manuaalista testausta, määritä lyhyt päivitysaika ja pidä siitä kiinni.

Jos toimittaja ilmoittaa tietoturvakorjauksesta, käsittele sitä prioriteettina, ei myöhempänä tehtävänä.

7. Erota Wi-Fi-verkko ja vierasverkko toisistaan

Tasainen verkko antaa tunkeutujalle enemmän liikkumatilaa, jos yksi laite vaarantuu. Segmentointi rajoittaa tätä liikkumista.

Erottele vähintään seuraavat:

• Sisäiset yrityslaitteet
• Vieras-Wi-Fi
• Älylaitteet ja oheislaitteet
• Kaikki julkisesti näkyvät tai vähemmän luotettavat järjestelmät

Käytä vahvoja Wi-Fi-salasanoja ja moderneja salausasetuksia. Poista oletustunnukset reitittimistä ja tukiasemista. Tarkista verkkoon liitetyt laitteet säännöllisesti.

Toimistoissa, joissa on useita käyttäjiä, segmentointi on yksinkertainen tapa vähentää yhden infektoituneen kannettavan tai suojaamattoman laitteen vaikutusta.

8. Käytä salasanojen hallintaa ja turvallista tilikäytäntöä

Heikot ja uudelleenkäytetyt salasanat ovat edelleen yksi yleisimmistä vaarantumisen syistä. Salasanojen hallintaohjelma auttaa ratkaisemaan tämän ongelman luomalla yksilöllisiä salasanoja ja säilyttämällä ne turvallisesti.

Vahvan tilikäytännön tulisi edellyttää:

• Yksilöllisiä salasanoja jokaiselle yritystille
• MFA:ta kriittisissä järjestelmissä
• Välittömiä salasanan vaihtoja epäillyn tietomurron jälkeen
• Ei salasanojen jakamista chatissa tai taulukoissa

Kannattaa myös miettiä huolellisesti palautusvaihtoehtoja. Palautussähköpostit, varmistuskoodit ja ylläpitäjätilit ovat arvokkaita kohteita. Suojaa ne samalla huolellisuudella kuin ensisijaiset kirjautumiset.

9. Käsittele asiakirjoja, latauksia ja USB-laitteita varoen

Tiedostot ovat yleinen tartuntareitti, erityisesti kun ne tulevat odottamattomista lähteistä.

Ole varovainen seuraavien kanssa:

• Office-asiakirjat, joissa on makroja
• Zip-tiedostot ja pakatut arkistot
• PDF-liitteet tuntemattomilta lähettäjiltä
• Ohjelmistolataukset epävirallisilta sivustoilta
• Tuntemattomasta lähteestä peräisin olevat USB-muistit

Jos tiimisi käsittelee säännöllisesti ulkopuolisia asiakirjoja, määritä turvallinen tarkistusprosessi. Skannaa tiedostot ennen avaamista. Rajoita tarvittaessa siirrettävien medioiden käyttöä. Kun asiakirja vaikuttaa epäilyttävältä, varmista lähettäjä ensin.

Tämä on yksi helpoimmista alueista parantaa, koska hallinta on suurelta osin käyttäytymiseen ja prosessiin perustuvaa.

10. Laadi häiriötilanteiden toimintasuunnitelma ennen kuin tarvitset sitä

Kyberhäiriötä on paljon helpompi hallita, kun toimintavaiheet on kirjoitettu valmiiksi.

Häiriötilanteiden toimintasuunnitelman tulisi vastata ainakin seuraaviin kysymyksiin:

• Kuka tutkii epäilyttävän toiminnan?
• Kenellä on valtuudet irrottaa järjestelmiä verkosta?
• Kuka ottaa yhteyttä toimittajiin, asiakkaisiin tai lakineuvontaan?
• Missä varmuuskopiot säilytetään?
• Miten todisteet säilytetään?
• Miten toiminta palautetaan?

Jo yksinkertainen yhden sivun suunnitelma on parempi kuin improvisointi paineen alla. Sisällytä mukaan luettelo tärkeistä yhteyshenkilöistä, tilien palautusvaiheet ja eskalointimenettelyt. Tarkista ja päivitä suunnitelma aina, kun järjestelmäsi tai toimittajasi muuttuvat.

Tietoturvan tulisi olla osa yrityksen perustamista ja toimintaa

Perustajille, jotka käynnistävät uuden LLC-yhtiön tai osakeyhtiön, tietoturvaa tulisi käsitellä osana yrityksen perustamisprosessia, ei asiana, johon palataan myöhemmin. Yritysrakenne, compliance-tehtävät, pankkitoiminta, sähköpostijärjestelmät ja operatiivinen käyttöoikeuksien hallinta liittyvät kaikki tietoturvaan.

Siksi kurinalainen startup-checklist on tärkeä. Kun perustat yhtiösi ja hallinnollisen työnkulun, määritä, kuka hallitsee arkaluonteisia tilejä, miten tiedot säilytetään ja miten käyttöoikeudet myönnetään ja poistetaan. Yritys, joka aloittaa selkeällä omistajuudella, siisteillä tiedoilla ja yksinkertaisilla hallintakeinoilla, on paljon helpompi suojata.

Zenind auttaa perustajia rakentamaan liiketoiminnan oikeudellisen ja sääntelyyn liittyvän perustan Yhdysvalloissa. Tämän perustan yhdistäminen perus­tietoturvakäytäntöihin alusta alkaen antaa yrityksellesi paremman mahdollisuuden kasvaa ilman tarpeetonta riskiä.

Yksinkertainen aloituslista

Jos haluat nopean aloituskohdan, käytä tätä järjestystä:

1. Ota MFA käyttöön sähköpostissa, pankkipalveluissa ja tiedostojen tallennuksessa
2. Tee inventaario laitteista, tileistä ja tiedoista
3. Ota käyttöön automaattiset varmuuskopiot ja testaa palautukset
4. Päivitä kaikki ohjelmistot ja laiteohjelmistot
5. Lisää kalastelukoulutus ja ilmoitussäännöt
6. Tarkista käyttäjien oikeudet ja poista tarpeeton käyttöoikeus
7. Segmentoi Wi-Fi-verkko ja suojaa vieraskäyttö
8. Asenna tai varmista päätelaitesuojaus
9. Käytä salasanojen hallintaohjelmaa koko tiimissä
10. Laadi perusmuotoinen häiriötilanteiden toimintasuunnitelma

Täydellisyyttä ei tarvita merkittävän edistymisen tekemiseen. Useimmat pienyritykset vähentävät riskejään keskittymällä perusteisiin ja tarkistamalla niitä säännöllisesti.

Tietoturva ei ole kertahankinta. Se on toimintatapa. Mitä aiemmin rakennat sen osaksi liiketoimintaasi, sitä helpompi on pitää yrityksesi, asiakkaasi ja tietosi suojattuina.