Maanantaiaamuna sähköposti ei aukea, toiminnanohjausjärjestelmä pyytää tuntematonta kirjautumista tai työntekijän kannettava katoaa työreissulla. Pienessä yrityksessä yksikin häiriö näkyy nopeasti laskutuksessa, asiakaspalvelussa ja työntekijöiden ajankäytössä. Siksi tietoturvakartoitus pienelle yritykselle ei ole pelkkä tekninen tarkistus, vaan käytännön keino varmistaa, että arki jatkuu myös silloin, kun jotain menee pieleen.

Tietoturvan taso ei ratkea sillä, onko yrityksellä virustorjunta tai pilvipalvelu käytössä. Kokonaisuus muodostuu laitteista, käyttäjätunnuksista, verkkoyhteyksistä, varmuuskopioista, käyttöoikeuksista ja toimintatavoista. Kun jokainen osa tarkistetaan järjestelmällisesti, riskit voidaan korjata hallitusti ennen kuin ne muuttuvat käyttökatkokseksi tai tietovuodoksi.

Miksi pieni yritys tarvitsee kartoituksen?

Pienessä yrityksessä IT-vastuu on usein jakautunut huomaamatta. Yksi työntekijä tilaa koneita, toinen hallitsee sähköpostia ja ulkopuolinen taho on ehkä asentanut verkon vuosia sitten. Tunnuksia jää entisille työntekijöille, reitittimen asetuksia ei muisteta ja varmuuskopioiden toimivuudesta ollaan varmoja vain siihen asti, kun palautusta oikeasti tarvitaan.

Tällainen tilanne ei tarkoita, että yrityksen IT olisi huonosti hoidettu. Se on tavallinen seuraus kasvusta, henkilövaihdoksista ja kiireestä. Yrityksen oma aika kuuluu asiakkaiden palvelemiseen, tuotantoon, myyntiin tai asiantuntijatyöhön – ei sen selvittämiseen, kuka pääsee mihinkin järjestelmään ja missä tärkeät tiedot ovat tallessa.

Kartoitus tuo tilanteeseen näkyvyyden. Sen tarkoitus ei ole tehdä pitkästä teknisestä raportista itseisarvoa, vaan vastata selkeästi kolmeen kysymykseen: mitä yrityksellä on käytössä, missä ovat suurimmat riskit ja mitä kannattaa tehdä ensin.

Mitä tietoturvakartoitus pienelle yritykselle sisältää?

Hyvä kartoitus alkaa liiketoiminnan arjesta. Tilitoimistolla, rakennusliikkeellä, myymälällä ja asiantuntijayrityksellä on erilaiset järjestelmät, eri määrä liikkuvaa työtä ja erilaiset henkilötietojen käsittelyn tarpeet. Siksi kaikille sama tarkistuslista ei yksin riitä.

Laitteet, päivitykset ja käyttäjätunnukset

Työasemat, kannettavat, puhelimet, tabletit, palvelimet ja tulostimet käydään läpi siltä osin kuin ne liittyvät yrityksen tietoihin ja verkkoon. Tarkistettavia asioita ovat esimerkiksi käyttöjärjestelmien päivitystilanne, salaus, virustorjunta, laitteen hallinta sekä se, ovatko laitteet edelleen tarkoituksenmukaisia käyttöönsä.

Erityistä huomiota kannattaa kiinnittää käyttäjätunnuksiin. Jokaisella työntekijällä tulisi olla oma tunnus, ja käyttöoikeuksien pitäisi vastata työtehtäviä. Yhteiskäytössä olevat tunnukset voivat tuntua helpoilta, mutta ne vaikeuttavat vastuiden selvittämistä ja käyttöoikeuksien poistamista. Monivaiheinen tunnistautuminen on usein yksi tehokkaimmista parannuksista, koska varastettu salasana ei silloin yksin riitä kirjautumiseen.

Sähköposti, Microsoft 365 ja Azure-asetukset

Sähköposti on edelleen yleisin reitti huijauksiin. Hyökkäys ei aina näytä tekniseltä: viesti voi olla toimitusjohtajan nimissä lähetetty maksupyyntö, asiakkaaksi naamioitunut tiedostolinkki tai salasanojen kalastelu. Kartoituksessa arvioidaan, miten sähköposti on suojattu, miten epäilyttävät viestit käsitellään ja ovatko yrityksen asetukset ajan tasalla.

Microsoft 365- ja Azure-ympäristöissä käyttöoikeudet, hallintatunnukset ja jakamisasetukset vaativat selkeää hallintaa. Asiakirjojen jakaminen ulkopuolisille voi olla perusteltua, mutta jakojen on oltava tarkoituksenmukaisia. Liian avoimet oikeudet lisäävät riskiä, kun taas liian tiukat asetukset voivat hidastaa työntekoa. Sopiva taso löytyy yrityksen käyttötavan, henkilöstön roolien ja käsiteltävän tiedon perusteella.

Verkko, etäyhteydet ja valvonta

Yrityksen verkossa vierasverkko, työasemat, kassajärjestelmät, tulostimet, kameravalvonta ja muut laitteet eivät aina kuulu samaan kokonaisuuteen. Jos kaikki liikenne kulkee yhden avoimen verkon kautta, yhden laitteen ongelma voi levitä tarpeettoman laajalle.

Kartoituksessa tarkistetaan muun muassa reitittimien ja palomuurien perusasetukset, langattoman verkon suojaus, etäyhteydet sekä verkkolaitteiden päivitykset. Samalla selvitetään, kuka hallitsee laitteita ja ovatko tarvittavat pääsytiedot yrityksen omassa hallussa. Tämä on tärkeää myös silloin, kun palveluntarjoaja vaihtuu tai vastuuhenkilö poistuu yrityksestä.

Varmuuskopiot ja palautumiskyky

Varmuuskopio on hyödyllinen vasta, kun tiedot voidaan palauttaa riittävän nopeasti ja oikeaan paikkaan. Pelkkä tiedostojen kopiointi toiselle levylle ei välttämättä suojaa kiristyshaittaohjelmalta, laitevauriolta tai vahingossa poistetuilta pilvitiedoilta.

Kartoituksessa selvitetään, mitä varmuuskopioidaan, kuinka usein, missä kopiot säilytetään ja onko palautusta testattu. Kaikkea ei tarvitse palauttaa sekunneissa, mutta yrityksen on hyvä tietää, mitkä tiedot ovat toiminnan kannalta kriittisiä. Laskutus, asiakasrekisteri, työmaatiedot ja sopimukset ovat usein eri asemassa kuin vanhat arkistot.

Riskien järjestys ratkaisee enemmän kuin raportin pituus

Kartoituksesta ei ole hyötyä, jos yritys saa listan kahdestakymmenestä havainnosta ilman tietoa siitä, mihin tarttua ensin. Pienelle yritykselle järkevä eteneminen perustuu vaikutukseen ja toteutettavuuteen.

Korkean kiireellisyyden asioita ovat tavallisesti puuttuva monivaiheinen tunnistautuminen, vanhentuneet käyttöjärjestelmät, epäselvät ylläpitäjätunnukset, toimimattomat varmuuskopiot ja avoimet etäyhteydet. Ne ovat kohtia, joissa yksittäinen virhe voi johtaa laajaan vahinkoon.

Seuraavaksi voidaan parantaa hallittavuutta: dokumentoida laitteet ja lisenssit, selkeyttää käyttöoikeuksia, erottaa vierasverkko yritysverkosta ja sopia toimintamalli henkilöstömuutoksiin. Osa korjauksista valmistuu nopeasti asetuksia muuttamalla. Osa voi vaatia laitehankintoja, verkkotyötä tai palveluiden uudelleenjärjestelyä. Kaikkea ei tarvitse tehdä kerralla, kun suunnitelma on realistinen ja vastuista sovitaan.

Kartoitus ei korvaa jatkuvaa ylläpitoa

Tietoturvakartoitus on tilannekuva, ei kertaluonteinen vakuutus. Uusia laitteita hankitaan, työntekijöitä aloittaa ja lopettaa, pilvipalveluihin lisätään toimintoja ja huijausyritykset muuttuvat. Siksi löydökset kannattaa liittää osaksi jatkuvaa IT-työtä.

Käytännössä tämä tarkoittaa säännöllisiä päivityksiä, laitteiden elinkaaren seurantaa, käyttöoikeuksien tarkistusta ja tukea tilanteissa, joissa henkilöstö kohtaa epäilyttävän viestin tai laitteen toiminta muuttuu. Tietoturva ei saa jäädä työntekijän oman harkinnan varaan, jos hänellä ei ole aikaa tai osaamista arvioida tilannetta.

Karjalan Datahuollon toimintamallissa kartoituksen jälkeenkin asiakkaalla on yksi yhteyshenkilö ja selkeä paikka, johon soittaa. Samalta kumppanilta voidaan hoitaa laitteiden toimitus, asennus, verkon konfigurointi, Microsoft 365- ja Azure-asetukset, etätuki sekä tarvittaessa huolto. Tällöin havaintojen korjaaminen ei jää eri toimittajien väliseksi selvittelyksi.

Milloin kartoitus kannattaa tehdä?

Kartoitus on erityisen ajankohtainen, kun yritys kasvaa, ottaa käyttöön uusia pilvipalveluja, vaihtaa toimitilaa tai huomaa IT-asioiden kasaantuneen yhden henkilön vastuulle. Myös tietoturvapoikkeama, kadonnut laite tai epäilyttävä sähköpostitapaus on hyvä syy tarkistaa kokonaisuus, vaikka vahinkoa ei olisi vielä syntynyt.

Hyvä hetki on myös ennen kiireisintä kautta. Kun järjestelmät, varmuuskopiot ja yhteystiedot ovat kunnossa ennakolta, ongelmatilanteessa ei tarvitse aloittaa selvitystä nollasta. Tietoturvakartoituksen arvo näkyy usein juuri siinä, että häiriö jää pieneksi eikä yrityksen tarvitse pysäyttää muuta työtään sen vuoksi.

Aloita siitä, että tiedät, missä yrityksesi tärkeät tiedot ovat, kuka niitä hallitsee ja miten työ jatkuu, jos tavallisin työväline ei ole huomenna käytettävissä. Kun näihin kysymyksiin saadaan käytännön vastaukset, tietoturva muuttuu epäselvästä huolesta hallittavaksi osaksi yrityksen arkea.