7 kyberturvallisuuden kerrosta, jotka jokaisen yrittäjän on suojattava

                        # 7 kyberturvallisuuden kerrosta, jotka jokaisen yrittäjän on suojattava

Yrityksen perustaminen tänä päivänä tarkoittaa arkaluonteisen tiedon käsittelyä heti ensimmäisestä päivästä lähtien. Perustajat hallinnoivat asiakasrekistereitä, toimittajasopimuksia, palkkatietoja, verodokumentteja, pankkitilejä ja kirjautumistietoja useammissa työkaluissa kuin koskaan ennen. Siksi kyberturvallisuus on yrityksen ydintoiminto, ei IT-yksikön ylellisyys.

Yrittäjille suurin virhe on olettaa, että tietoturva on yksi tuote tai kertaluonteinen käyttöönotto. Todellisuudessa tehokas suoja toimii kerroksittain. Jos yksi kerros pettää, muut vähentävät vahinkoa. Tavoite ei ole täydellinen haavoittumattomuus. Tavoite on tehdä hyökkäyksistä vaikeampia, tunnistamisesta nopeampaa ja palautumisesta mahdollinen.

Tämä on erityisen tärkeää uusille Yhdysvalloissa perustetuille yrityksille, joissa omistajat kiirehtivät usein avaamaan pankkitilejä, rekisteröitymään viranomaisille, palkkaamaan urakoitsijoita ja aloittamaan myynnin ennen kuin heillä on muodollisia tietoturvaprosesseja käytössä. Muutama kurinalainen käytäntö alussa voi ehkäistä kalliita ongelmia myöhemmin.

Miksi kerroksellinen suojaus on tärkeää

Useimmat tietomurrot eivät ala erittäin teknisillä hyökkäyksillä. Ne alkavat heikosta salasanasta, phishing-sähköpostista, varastetusta kannettavasta, avoimesta jaetusta kansiosta tai työntekijästä, joka klikkaa väärää linkkiä. Hyökkääjät etsivät helpointa reittiä, eivät edistyneintä.

Kerroksellinen lähestymistapa auttaa, koska jokainen hallintakeino suojaa yrityksen eri osaa:

• Ihmiset koulutetaan tunnistamaan harhaanjohtaminen.
• Tilejä on vaikeampi arvata tai varastaa.
• Sähköpostista on hyökkääjille vähemmän hyötyä.
• Verkkoihin on vaikeampi murtautua.
• Laitteita on vaikeampi vaarantaa.
• Fyysistä pääsyä valvotaan.
• Palautuminen on nopeampaa, jos jokin silti menee pieleen.

Alla olevat seitsemän kerrosta muodostavat käytännöllisen tietoturvan perustason, jonka jokainen yrittäjä voi sovittaa omaan toimintaansa.

1. Inhimillinen kerros

Inhimillinen kerros on tärkein, koska hyökkääjät kohdistavat hyökkäyksensä yleensä ihmisiin ennen järjestelmiä. Sosiaaliseen manipulointiin kuuluvat phishing-sähköpostit, tekaistut laskut, esiintymispuhut puhelut, huijaustekstiviestit ja painostustaktiikat, joilla luodaan kiireen tunnetta.

Yrittäjien kannattaa olettaa, että kuka tahansa, joka pyytää rahaa, tunnistetietoja tai arkaluonteista dataa, ei ehkä ole se, joksi väittää itseään, ennen kuin asia on varmistettu.

Mitä tehdä

• Kouluta kaikki yleisimpien huijausmallien tunnistamiseen.
• Varmista maksujen muutokset ja tilisiirtotiedot toista kanavaa pitkin.
• Luo sääntö, jonka mukaan kiireelliset pyynnöt täytyy vahvistaa ennen toimimista.
• Rajoita sitä, kuinka paljon arkaluonteista tietoa työntekijät jakavat julkisesti.
• Tarkista sosiaalisen median profiilit, jotta ne eivät paljasta tilivihjeitä, matkasuunnitelmia tai sisäisiä liiketoimintatietoja.

Pienessä yrityksessä muodollisia kontrollikeinoja on usein vähemmän kuin suuressa organisaatiossa, joten ihmisten harkintakyky on sitäkin tärkeämpää.

2. Tilikerros

Jos hyökkääjä saa pääsyn yhteen tiliin, hän voi ehkä siirtyä sähköpostiin, pankkijärjestelmiin, palkkahallintoon, pilvitallennukseen ja asiakasjärjestelmiin. Tiliturvallisuus alkaa vahvoista tunnistautumiskäytännöistä.

Salasanojen uudelleenkäyttö on edelleen yksi yleisimmistä virheistä. Jos yksi salasana paljastuu jossakin muussa tietomurrossa, hyökkääjät kokeilevat sitä heti yrityksen tileillä.

Mitä tehdä

• Käytä jokaiselle tilille omaa ainutlaatuista salasanaa.
• Suosi pitkiä salalauseita lyhyiden monimutkaisten merkkijonojen sijaan.
• Säilytä tunnukset luotettavassa salasanojen hallintaohjelmassa.
• Ota käyttöön monivaiheinen tunnistautuminen aina kun mahdollista.
• Suojaa ylläpitotilit vahvimmilla hallintakeinoilla.
• Poista käyttöoikeudet viipymättä, kun urakoitsija tai työntekijä lähtee.

Perustajille salasanojen hallintaohjelma on yksi suurimman hyödyn tarjoavista investoinneista. Se vähentää inhimillisiä virheitä ja helpottaa hyvien käytäntöjen johdonmukaista noudattamista.

3. Sähköposti- ja viestikerros

Sähköposti on keskeinen liiketoimintakanava ja yksi eniten väärinkäytetyistä. Sitä käytetään usein salasanojen palauttamiseen, maksujen hyväksymiseen, sopimusten jakamiseen ja tiedostojen välittämiseen. Jos hyökkääjä hallitsee sähköpostiasi, hän saattaa hallita paljon muutakin.

Yrityssähköpostin uhkiin kuuluvat phishing, väärentäminen, haitalliset liitteet ja keskustelujen kaappaaminen. Vaarantunutta postilaatikkoa voidaan käyttää myös yrityksesi esiintymiseen ja asiakkaiden tai kumppaneiden kohdistamiseen.

Mitä tehdä

• Ota käyttöön phishing-suojaukset sähköpostialustassasi.
• Varmista lähettäjän henkilöllisyys ennen liitteiden tai linkkien avaamista.
• Käytä verkkotunnuksen todennusstandardeja, kuten SPF, DKIM ja DMARC.
• Pidä henkilökohtaiset ja yrityksen sähköpostit erillään.
• Suhtaudu sähköpostitse tuleviin maksu- ja tunnistautumispyyntöihin epäillen, kunnes ne on vahvistettu.
• Tarkista postilaatikon edelleenlähetyssäännöt, jotta hyökkääjät eivät voi huomaamatta ohjata viestejä toisaalle.

Myös viestisovelluksia on käsiteltävä samalla varovaisuudella. Jos yrityksesi käyttää keskustelualustoja operatiivisiin asioihin tai hyväksyntöihin, suojaa ne samoilla tilihallinnan keinoilla kuin sähköposti.

4. Laitekerros

Puhelimet, kannettavat tietokoneet, tabletit ja pöytäkoneet ovat modernin liiketoiminnan työjuhtia. Ne myös tallentavat tiedostoja, evästeitä, istuntotunnuksia ja pääsyn yritysjärjestelmiin. Laite, joka katoaa, varastetaan, vanhenee tai saa tartunnan, voi paljastaa koko yrityksen.

Monet pienyritykset unohtavat laitehallinnan, kunnes ongelma ilmenee. Siinä vaiheessa vahinko on jo tapahtunut.

Mitä tehdä

• Pidä käyttöjärjestelmät ja sovellukset päivitettyinä.
• Käytä päätelaitesuojausta kaikissa yrityksen laitteissa.
• Salaa kannettavat tietokoneet ja mobiililaitteet.
• Vaadi näyttölukko ja vahvat laitekohtaiset tunnuskoodit.
• Poista paikalliset ylläpitäjäoikeudet, elleivät ne ole ehdottoman välttämättömiä.
• Asenna ohjelmistoja vain luotetuista lähteistä.
• Pyyhi tai poista vanhat laitteet turvallisesti ennen hävittämistä.

Jos työntekijät työskentelevät etänä tai matkustavat usein, laitteen salaus ja etätyhjennysmahdollisuus ovat erityisen tärkeitä.

5. Verkkokerros

Sekä toimiston verkko että kotiverkko ovat tärkeitä. Wi-Fi, reitittimet, VPN-yhteydet ja palomuurit muodostavat polut, joiden kautta laitteet kommunikoivat. Jos nämä yhteydet ovat heikkoja, hyökkääjät voivat siepata liikennettä tai saada jalansijaa kytketyissä järjestelmissä.

Verkkoturvallisuuden ei tarvitse olla monimutkaista, mutta sen täytyy olla suunnitelmallista.

Mitä tehdä

• Käytä vahvoja, ainutlaatuisia Wi-Fi-salasanoja.
• Vaihda reitittimen oletustunnukset heti.
• Erota vieras-Wi-Fi yrityksen laitteista.
• Poista käytöstä tarpeettomat etäkäyttöominaisuudet.
• Pidä reitittimien ja palomuurien laiteohjelmistot ajan tasalla.
• Käytä turvallista VPN-yhteyttä etätyössä, jos se on tarkoituksenmukaista.
• Tarkkaile, onko verkossa tuntemattomia laitteita.

Yrityksissä, joissa käsitellään arkaluonteista asiakas- tai taloustietoa, kannattaa konsultoida IT-ammattilaista sen varmistamiseksi, että verkko on alusta alkaen oikein määritetty.

6. Fyysinen kerros

Kyberturvallisuus ei ole pelkästään digitaalista. Varastetut kannettavat tietokoneet, näkyville jääneet asiakirjakansiot, valvomatta jääneet puhelimet, tulostetut tiedot ja lukitsemattomat toimistot luovat kaikki todellista riskiä. Jos joku voi koskea siihen, hän voi ehkä vaarantaa sen.

Fyysinen kerros jää usein uusilta perustajilta huomaamatta, koska he keskittyvät kasvuun. Mutta yksi kadonnut laite tai pois heitetty kiintolevy voi aiheuttaa vakavan ongelman.

Mitä tehdä

• Lukitse tietokoneet aina, kun poistut niiden ääreltä.
• Säilytä arkaluonteiset asiakirjat lukituissa kaapeissa.
• Rajoita pääsyä toimistoihin, varastotiloihin ja palvelintiloihin.
• Käytä kaapelilukkoja tai turvallista säilytystä laitteille tarvittaessa.
• Silppua luottamukselliset paperiasiakirjat ennen hävittämistä.
• Suojaa USB-tikut ja ulkoiset tallennuslaitteet.
• Seuraa, kenellä on pääsy avaimiin, kulkukortteihin ja varmuuskopioihin.

Vaikka liiketoiminta toimisi täysin pilvessä, fyysisiä riskejä syntyy silti kannettavista, puhelimista, kulkukorteista ja tulostetuista asiakirjoista.

7. Palautumiskerros

Viimeinen kerros on palautuminen. Mikään tietoturvasuunnitelma ei ole täydellinen ilman varmuuskopioita, häiriötilanteiden hallintaa ja tapaa palauttaa toiminta tietomurron, käyttökatkon tai vahingossa tapahtuneen poistamisen jälkeen.

Monet yrittäjät ajattelevat, että varmuuskopio tarkoittaa vain sitä, että kopio on jossain olemassa. Käytännössä käyttökelpoinen varmuuskopio on sellainen, joka on ajantasainen, suojattu peukaloinnilta ja testattu säännöllisesti.

Mitä tehdä

• Varmuuskopioi tärkeät tiedot automaattisesti.
• Säilytä ainakin yksi varmuuskopio offline-tilassa tai erillään päivittäisestä käytöstä.
• Testaa palautukset ennen kuin niitä tarvitaan.
• Dokumentoi, kehen otetaan yhteyttä häiriötilanteessa.
• Pidä yllä perustason toimintaohjetta poikkeamatilanteita varten.
• Säilytä lokit ja tiedot, joista voi olla hyötyä tietoturvatapahtuman jälkeen.

Palautumisen suunnittelu on se, mikä muuttaa katastrofin hallittavaksi keskeytykseksi.

Käytännön tietoturvalista perustajille

Jos olet vasta aloittamassa, keskity ensin olennaisiin asioihin:

• Ota käyttöön salasanojen hallintaohjelma.
• Ota monivaiheinen tunnistautuminen käyttöön sähköpostissa, pankkiasioissa ja pilvityökaluissa.
• Salaa kaikki yrityksen omistamat kannettavat tietokoneet ja puhelimet.
• Aseta päivitykset asentumaan automaattisesti.
• Luo kaksivaiheinen vahvistusprosessi maksuille ja pankkitilien muutoksille.
• Varmuuskopioi liiketoimintatiedot säännöllisesti.
• Rajoita käyttöoikeudet vain niihin työkaluihin, joita ihmiset todella tarvitsevat.
• Kouluta tiimiä ilmoittamaan epäilyttävistä viesteistä välittömästi.

Nämä toimet eivät ole kalliita, mutta niillä on merkittävä vaikutus. Useimmat hyökkäykset onnistuvat siksi, että yritykset eivät ole käsitelleet perustason hallintakeinoja.

Miten Zenind sopii turvalliseen aloitukseen

Kun perustat yritystä, et rakenna vain oikeudellista rakennetta. Luot myös toimintatapoja, jotka vaikuttavat liiketoimintaan vuosien ajan. Turvallinen aloitus auttaa suojaamaan yrityksen nimeä, omistustietoja, vaatimustenmukaisuusilmoituksia ja kasvua tukevia talousjärjestelmiä.

Perustajat, jotka pitävät kyberturvallisuutta osana startup-prosessia, ovat paremmassa asemassa suojaamaan asiakasturvaa ja vähentämään myöhempää häiriötä. Tämä korostuu erityisesti silloin, kun liiketoiminta alkaa laajentua sähköpostiin, pankkiasiointiin, viranomaisilmoituksiin, palkkahallintoon ja toimittajahallintaan.

Loppupohdinta

Yrittäjien kyberturvallisuus ei tarkoita jokaisen saatavilla olevan työkalun ostamista. Kyse on kestävien kerrosten rakentamisesta, jotka tekevät yrityksestäsi vaikeamman hyökätä ja helpomman palauttaa, jos jokin menee pieleen.

Aloita ihmisistä, sitten tileistä, sähköpostista, laitteista, verkoista, fyysisestä pääsystä ja palautumisesta. Jos vahvistat jokaista kerrosta hieman, parannat merkittävästi koko yrityksen resilienssiä.

Mitä aikaisemmin rakennat nämä tavat, sitä vähemmän kalliita ja häiritseviä ne ovat myöhemmin.