Lasku näyttää tulevan tutulta toimittajalta, työntekijä avaa liitteen ja hetkeä myöhemmin sähköposti ei enää toimi normaalisti. Tällainen tietoturvatilanne ei yleensä ala näyttävästä hakkeroinnista, vaan kiireisestä työpäivästä ja yhdestä uskottavalta vaikuttavasta viestistä. Parhaat tietoturvakäytännöt pienyrityksille ovat siksi ennen kaikkea arjen toimintatapoja, eivät irrallisia ohjelmistoja.

Pienessä yrityksessä yhdenkin käyttäjätilin kaappaus, rikkoutunut kannettava tai palautumaton tiedosto voi pysäyttää laskutuksen, asiakaspalvelun ja työnteon. Tavoite ei ole rakentaa raskasta IT-osastoa, vaan varmistaa, että laitteet, käyttäjät, pilvipalvelut ja varmuuskopiot ovat hallinnassa. Kun vastuut ovat selvät, myös häiriöistä toipuminen on nopeampaa.

Parhaat tietoturvakäytännöt pienyrityksille alkavat näkyvyydestä

Tietoturvaa ei voi johtaa, jos ei tiedetä, mitä yrityksellä on käytössä. Ensimmäinen käytännön askel on pitää ajan tasalla luettelo tietokoneista, puhelimista, tableteista, tulostimista, verkkolaitteista ja käytössä olevista pilvipalveluista. Samalla kannattaa kirjata, kuka käyttää mitäkin laitetta ja kenellä on pääsy yrityksen tärkeisiin tietoihin.

Erityistä huomiota vaativat sähköposti, Microsoft 365– tai Azure-ympäristö, taloushallinto, asiakasrekisterit sekä tiedostojen tallennus. Näissä palveluissa on usein enemmän yrityksen kannalta arvokasta tietoa kuin toimiston palvelinkaapissa. Jos entisen työntekijän tunnus jää aktiiviseksi tai ylläpitäjäoikeuksia on annettu liian väljästi, riski ei näy ulospäin ennen kuin jotain tapahtuu.

Näkyvyys auttaa myös huolloissa ja hankinnoissa. Kun tiedetään laitteen ikä, käyttö ja käyttäjä, voidaan vaihtotarve ennakoida sen sijaan, että uusi kone hankitaan vasta rikkoutumisen jälkeen. Hallittu laitekanta on sekä tietoturvallisempi että kustannuksiltaan ennakoitavampi.

Suojaa käyttäjätilit ennen kuin suojaat kaikkea muuta

Käyttäjätunnus on tavallisin reitti yrityksen tietoihin. Siksi jokaisella työntekijällä pitää olla oma henkilökohtainen tunnuksensa. Yhteisiä sähköpostitilejä tai jaettuja pääkäyttäjätunnuksia kannattaa välttää, koska silloin ei voida luotettavasti nähdä, kuka on tehnyt mitäkin – eikä käyttöoikeuksia voida poistaa siististi työsuhteen päättyessä.

Monivaiheinen tunnistautuminen on pienyritykselle yksi tehokkaimmista yksittäisistä parannuksista. Pelkkä salasana voi päätyä huijaussivulle, vuotaa toisesta palvelusta tai tulla arvattua liian helposti. Kun kirjautuminen vaatii salasanan lisäksi esimerkiksi puhelinsovelluksen vahvistuksen, väärinkäytön mahdollisuus pienenee olennaisesti.

Salasanojen osalta toimiva käytäntö on pitkä, yksilöllinen salasana jokaiselle palvelulle sekä yrityksen hyväksymä salasanojen hallintaratkaisu. Salasanojen säilyttäminen selaimen muistiinpanoissa, paperilapulla näytön reunassa tai yhteisessä Excelissä ei ole hallittava tapa. Jos henkilöstöä on vähän, houkutus oikoa on ymmärrettävä, mutta juuri silloin yhden tunnuksen menettäminen voi osua koko yritykseen.

Käyttöoikeuksissa kannattaa noudattaa vähimmän tarpeen periaatetta. Myynnin työntekijä tarvitsee pääsyn asiakkaiden tietoihin, mutta ei välttämättä koko taloushallinnon järjestelmään. Ylläpito-oikeudet taas kannattaa rajata mahdollisimman harvoille henkilöille ja käyttää niitä vain silloin, kun niitä tarvitaan.

Sähköpostihuijaukset ratkaistaan tekniikalla ja rutiineilla

Huijausviestit ovat muuttuneet sujuviksi ja kohdennetuiksi. Viestissä voi olla toimitusjohtajan nimi, oikean yhteistyökumppanin logo tai pyyntö maksaa lasku uudelle tilille. Hyvä sähköpostisuodatus vähentää haitallista postia, mutta se ei poista tarvetta tarkistaa poikkeavia pyyntöjä.

Yrityksessä kannattaa sopia yksinkertainen toimintamalli: jos maksutietoja, salasanoja tai kirjautumista pyydetään muuttamaan sähköpostilla, asia varmistetaan toisella tavalla. Se voi tarkoittaa puhelua ennestään tunnettuun numeroon tai kasvokkaista varmistusta. Viestissä olevaa linkkiä tai puhelinnumeroa ei käytetä varmistukseen, koska myös ne voivat olla väärennettyjä.

Henkilöstön ohjeistuksen ei tarvitse olla pitkä koulutuspaketti. Lyhyt kertaus muutaman kerran vuodessa riittää, kun siinä käydään läpi ajankohtaisia esimerkkejä: epäilyttävä liite, kiireellä perusteltu rahansiirto, kirjautumissivu joka näyttää tutulta ja odottamaton tekstiviesti. Tärkeintä on tehdä ilmoittamisesta helppoa. Työntekijän pitää voida kysyä matalalla kynnyksellä, vaikka viesti osoittautuisi harmittomaksi.

Päivitykset ja päätelaitteet pidetään hallinnassa

Vanha käyttöjärjestelmä, viivästynyt ohjelmistopäivitys tai asentamatta jäänyt tietoturvakorjaus on tarpeeton riski. Päivityksiä ei kannata jättää yksittäisen käyttäjän muistin varaan. Yrityksen tietokoneille, palvelimille, palomuureille ja muille verkkolaitteille tarvitaan sovittu päivitysrytmi sekä tieto siitä, kuka seuraa toteutumista.

Automaattiset päivitykset sopivat useimpiin työasemiin hyvin, mutta palvelinten ja liiketoiminnan kannalta kriittisten ohjelmistojen kohdalla muutos pitää ensin arvioida. Päivitys voi joskus vaikuttaa erikoisohjelmistoon, tulostusjärjestelmään tai toiminnanohjaukseen. Siksi paras ratkaisu ei aina ole nopein mahdollinen asennus, vaan hallittu päivitys, jolle on sovittu ajankohta ja tarvittaessa palautussuunnitelma.

Kannettavat tietokoneet ja puhelimet kulkevat toimiston ulkopuolella, joten niiden suojaus korostuu. Näytön lukitus, laitteen salaus, etähallinta ja mahdollisuus tyhjentää kadonnut laite suojaavat tietoja myös silloin, kun laite ei palaa takaisin. Henkilökohtaisen puhelimen käyttö työssä voi olla perusteltua, mutta silloin on sovittava selkeästi, mitä yritystietoja laitteelle saa tallentaa ja miten käyttöoikeus poistetaan työsuhteen päättyessä.

Varmuuskopio on hyödyllinen vasta, kun palautus toimii

Pilvipalvelu vähentää laiterikkoihin liittyvää riskiä, mutta se ei yksin korvaa varmuuskopiointia. Jos käyttäjä poistaa tiedoston, haittaohjelma salaa sen tai tiedostoja synkronoidaan virheellisesti, muutos voi levitä myös pilveen. Yrityksen on tiedettävä, mistä tiedot palautetaan ja kuinka pitkältä ajalta versioita on saatavilla.

Hyvä varmuuskopiointi perustuu vähintään erilliseen kopioon, joka ei ole jatkuvasti samalla tavalla saavutettavissa kuin alkuperäinen aineisto. Käytännössä tämä voi olla hallittu pilvivarmistus, paikallinen varmistus tai niiden yhdistelmä. Sopiva ratkaisu riippuu muun muassa aineiston määrästä, palautusnopeuden tarpeesta ja siitä, kuinka vakavasti yhden työpäivän tietojen menetys haittaisi toimintaa.

Palautusta pitää myös testata. Testissä ei tarvitse palauttaa koko ympäristöä joka kuukausi, mutta tärkeistä tiedostoista, sähköposteista ja järjestelmistä on pystyttävä palauttamaan näyte sovitusti. Vasta silloin tiedetään, että varmuuskopio on käytännössä käyttökelpoinen eikä vain raportissa vihreänä näkyvä rivi.

Verkko ja toimisto eivät saa olla avoin sivuovi

Yrityksen langaton verkko, palomuuri ja etäyhteydet vaikuttavat siihen, kuinka helposti ulkopuolinen voi päästä ympäristöön. Vierailijoille, asiakkaille ja työntekijöille kannattaa järjestää erilliset verkot. Vierasverkossa ei pidä olla pääsyä yrityksen työasemiin, tulostimiin tai tallennettuihin tietoihin.

Reitittimen tai palomuurin oletussalasana on vaihdettava, ohjelmistot pidettävä ajan tasalla ja etähallinta rajattava tarpeeseen. Myös valvontakamerat, älytelevisiot, kassajärjestelmät ja verkkotulostimet ansaitsevat huomion. Ne ovat laitteita siinä missä tietokoneetkin, ja vanhentunut tai väärin määritetty laite voi avata pääsyn verkkoon.

Etätyössä turvallinen yhteys on osa perusratkaisua. Julkista langatonta verkkoa ei pidä käyttää huolettomasti yrityksen hallintaan tai arkaluonteisten tietojen käsittelyyn. Tarvittaessa käyttöön otetaan hallittu etäyhteys, jolla työasemat ja palvelut ovat saavutettavissa ilman, että niitä avataan tarpeettomasti internetiin.

Tee häiriötilanteesta toimintaohje, ei arvailutilanne

Tietoturvapoikkeama voi olla kadonnut puhelin, epäilyttävä kirjautuminen, väärälle vastaanottajalle lähetetty tiedosto tai haittaohjelmaepäily. Ratkaisevaa on, että henkilöstö tietää kenelle ilmoitetaan heti. Odottaminen pahentaa usein vahinkoa, kun taas nopea reagointi mahdollistaa tunnuksen lukitsemisen, laitteen eristämisen ja tarvittavat palautukset.

Kirjallinen, yhden sivun mittainen toimintaohje on parempi kuin mapillinen dokumentaatiota, jota kukaan ei löydä. Siinä voidaan nimetä vastuuhenkilö, varayhteyshenkilö, IT-tuen yhteystapa sekä ensimmäiset toimet. Esimerkiksi epäilyttävä tietokone jätetään päälle mutta irrotetaan verkosta, eikä työntekijä yritä omin keinoin poistaa mahdollisia jälkiä.

Pienyrityksen ei tarvitse tehdä kaikkea itse. Karjalan Datahuollon kaltaisen paikallisen IT-kumppanin tehtävä on ottaa kokonaisuus haltuun: kartoittaa ympäristö, määrittää käyttöoikeudet, hallita päivityksiä, varmistaa palautettavuus ja auttaa nopeasti, kun jotain poikkeavaa tapahtuu. Yksi yhteyshenkilö vähentää myös tilanteita, joissa laitetoimittaja, ohjelmistotuki ja verkkoasentaja siirtävät vastuuta toisilleen.

Hyvä tietoturva näkyy parhaimmillaan tylsyytenä: työpäivä jatkuu, laskut lähtevät, tiedostot löytyvät ja henkilöstö tietää keneltä kysyä. Aloita yhdestä konkreettisesta asiasta – esimerkiksi monivaiheisesta tunnistautumisesta tai varmuuskopioiden palautustestistä – ja rakenna siitä yrityksellesi pysyvä toimintatapa.