Maanantaiaamun sähköposti voi näyttää tavalliselta laskulta, toimitusvahvistukselta tai Microsoft 365 -kirjautumispyynnöltä. Yksi väärä klikkaus voi kuitenkin pysäyttää laskutuksen, lukita tiedostot tai avata pääsyn asiakasrekisteriin. Kyberturvan perusopas pienyritykselle ei lähde kalliista erikoisratkaisuista, vaan siitä, että yrityksen tärkeimmät asiat ovat tiedossa, suojattu ja palautettavissa.

Pienyrityksessä tietoturva on usein muutaman ihmisen vastuulla työn ohessa. Kun laitteita on hankittu eri aikoina, sähköposteja käytetään puhelimilla ja tiedostoja jaetaan pilvipalvelussa, kokonaiskuva hajoaa nopeasti. Kyberturvan tavoitteena ei ole tehdä arjesta hankalaa. Sen tarkoitus on varmistaa, että työ jatkuu myös silloin, kun joku yrittää häiritä sitä.

Kyberturvan perusopas pienyritykselle alkaa kartoituksesta

Suojaamista ei kannata aloittaa yksittäisestä ohjelmistosta. Ensin pitää tietää, mitä ollaan suojaamassa ja kuka siitä vastaa. Useimmille yrityksille kriittisiä ovat sähköposti, laskutus- ja toiminnanohjausjärjestelmät, asiakas- ja henkilötiedot, työasemat, puhelimet sekä pilveen tallennetut tiedostot.

Käytännön kartoituksessa kirjataan ainakin käytössä olevat tietokoneet, puhelimet, käyttäjätilit, ohjelmistot, verkkolaitteet ja pilvipalvelut. Samalla selvitetään, kenellä on järjestelmien pääkäyttäjäoikeudet ja mihin salasanoja tai palautuskoodeja on tallennettu. Tämä kuulostaa perustyöltä, mutta juuri puuttuvat tiedot vaikeuttavat usein eniten tilanteen selvittämistä, kun vahinko on jo tapahtunut.

Kartoitukseen kuuluu myös kysymys työn jatkuvuudesta: mitä tapahtuu, jos toimiston palvelin, yhden henkilön kannettava tai sähköposti ei ole käytettävissä huomiseen mennessä? Kaikkea ei tarvitse rakentaa kahdennetuksi. Sen sijaan yrityksen pitää tunnistaa ne palvelut, joiden katkos maksaa eniten aikaa, rahaa tai luottamusta.

Suojaa käyttäjätunnukset ennen kuin suojaat kaikkea muuta

Varastettu salasana on edelleen yksi tavallisimmista reiteistä yrityksen tietoihin. Salasana voi päätyä vääriin käsiin tietojenkalastelulla, vanhasta palvelusta vuotaneena tai siksi, että samaa salasanaa käytetään useassa paikassa. Pelkkä pitkä salasana ei riitä, jos se hyväksytään sellaisenaan sähköpostiin ja pilvipalveluihin.

Monivaiheinen tunnistautuminen tulee ottaa käyttöön erityisesti sähköpostissa, Microsoft 365- tai Azure-ympäristössä, taloushallinnossa ja etäyhteyksissä. Kun kirjautuminen vaatii salasanan lisäksi hyväksynnän sovelluksesta tai turva-avaimella, pelkkä vuotanut salasana ei yleensä riitä hyökkääjälle. Tekstiviestivahvistus on parempi kuin ei vahvistusta lainkaan, mutta tunnistautumissovellus tai turva-avain on useimmiten turvallisempi vaihtoehto.

Käyttäjätunnuksia ei pidä jakaa työntekijöiden kesken, vaikka yhteinen tunnus tuntuisi helpolta. Henkilökohtaiset tunnukset mahdollistavat oikeuksien hallinnan ja tapahtumien jäljittämisen. Kun työntekijä vaihtaa tehtävää tai työsuhde päättyy, hänen oikeutensa voidaan poistaa hallitusti ilman, että koko yrityksen salasanoja tarvitsee vaihtaa.

Salasanojen muistaminen ei saa olla turvallisuuden heikoin lenkki. Salasananhallinta auttaa käyttämään pitkiä, yksilöllisiä salasanoja ilman muistilappuja tai selaimeen tallennettujen tunnusten varassa toimimista. Ratkaisu kannattaa ottaa käyttöön ohjatusti, jotta pääkäyttäjätunnukset ja palautusmenettelyt eivät jää yhden henkilön varaan.

Päivitykset, laitteet ja verkko ovat samaa kokonaisuutta

Vanha käyttöjärjestelmä, päivittämätön reititin tai ilman suojausta käytetty työpuhelin voi muodostaa aukon, vaikka sähköpostin asetukset olisivat kunnossa. Päivitysten lykkääminen on ymmärrettävää kiireessä, mutta hyökkäyksissä hyödynnetään usein juuri jo tunnettuja haavoittuvuuksia.

Työasemissa kannattaa sopia selkeä perusmalli: käyttöjärjestelmät ja ohjelmistot päivittyvät hallitusti, laitteissa on yritystason haittaohjelmasuojaus, levyjen salaus on käytössä ja kadonnut laite voidaan tarvittaessa lukita tai tyhjentää etänä. Sama koskee puhelimia ja tabletteja, jos niillä luetaan sähköpostia, käsitellään asiakastietoja tai käytetään työjärjestelmiä.

Kaikkia työntekijöiden omia laitteita ei aina ole järkevää kieltää. Se riippuu työn luonteesta, käsiteltävän tiedon määrästä ja yrityksen resursseista. Jos omia puhelimia käytetään työssä, niiden käyttöehdot pitää silti määritellä: vähintään näytön lukitus, ajan tasalla oleva käyttöjärjestelmä ja mahdollisuus poistaa työtili laitteen kadotessa.

Verkossa vierailijoiden, valvontakameroiden, tulostimien ja työasemien ei aina tarvitse olla samassa verkossa. Erilliset verkkosegmentit rajaavat vahinkoa, jos jokin laite joutuu hyökkäyksen kohteeksi. Lisäksi langattoman verkon salaus, reitittimen ajantasaiset ohjelmistot ja hallitut etäyhteydet ovat perusasioita, joista ei kannata tinkiä.

Sähköposti vaatii sekä tekniikkaa että harkintaa

Tietojenkalasteluviestit eivät enää aina ole kömpelöä roskapostia. Ne voivat jäljitellä toimitusjohtajaa, tuttua tavarantoimittajaa tai pankkia. Viestin kieli voi olla virheetöntä, ja oikealta näyttävä lähettäjän nimi voi peittää alleen vieraan sähköpostiosoitteen.

Tekniset suojaukset, kuten roskapostin ja haitallisten liitteiden suodatus sekä sähköpostin lähettäjätunnistukset, vähentävät riskiä. Ne eivät kuitenkaan tunnista jokaista huijausta. Siksi henkilöstölle tarvitaan yksinkertainen toimintatapa: maksupyyntöä, muuttunutta tilinumeroa tai tunnusten syöttämistä pyytävää viestiä ei hyväksytä kiireessä, vaan asia varmistetaan toisella kanavalla.

Erityisen tehokas käytäntö on kaksivaiheinen hyväksyntä maksuille ja tilinumeromuutoksille. Se voi tuntua hitaalta, mutta muutaman minuutin tarkistus on pieni kustannus verrattuna väärään tilisiirtoon. Tärkeää on, että käytäntö koskee myös johtoa. Huijarit hyödyntävät usein oletusta siitä, että kiireinen päättäjä ei halua kysymyksiä.

Varmuuskopio on arvokas vasta, kun palautus onnistuu

Varmuuskopiointi ei tarkoita vain sitä, että tiedostot synkronoituvat pilveen. Synkronointi voi myös kopioida vahingossa poistetut tai haittaohjelman salaamat tiedostot. Yrityksellä pitää olla versioitu varmuuskopio, josta tietoja voidaan palauttaa myös aiempaan ajankohtaan.

Hyvä käytäntö on pitää kopiot erillään varsinaisesta työympäristöstä ja testata palautusta säännöllisesti. Testi voi olla pieni: palautetaan yksi tärkeä kansio, asiakasasiakirja tai järjestelmän tietokanta erilliseen paikkaan. Näin nähdään, ovatko tiedot todella mukana, palautus riittävän nopea ja vastuut selvät.

Palautustavoite riippuu yrityksestä. Tilitoimistolle yhden päivän katkos voi olla hankala määräpäivien vuoksi, kun taas pienessä suunnittelutoimistossa tärkeintä voi olla projektitiedostojen säilyminen. Olennaista on tehdä päätös etukäteen. Kun kriisi on käynnissä, ei ole hyvä hetki pohtia, kuinka vanhan varmuuskopion varaan voidaan jäädä.

Kirjaa vastuut ja toimintamalli häiriötilanteeseen

Kyberturva ei pysy kunnossa pelkillä asetuksilla, jos kukaan ei tiedä, kuka tekee mitä. Pienyrityksessä ei tarvita raskasta tietoturvakäsikirjaa, mutta muutaman asian on oltava kirjattuna: kuka hallitsee käyttäjätilejä, kenelle ilmoitetaan epäilyttävästä viestistä, kuka hyväksyy uudet laitteet ja kuka ottaa yhteyden IT-kumppaniin häiriön aikana.

Häiriötilanteessa ensimmäinen sääntö on rauhoittaa tilanne. Jos laite käyttäytyy poikkeavasti, näytölle ilmestyy lunnausviesti tai sähköpostitililtä lähtee outoja viestejä, laite irrotetaan verkosta, mutta sitä ei tyhjennetä tai käytetä enempää. Tämän jälkeen vaihdetaan tarvittaessa tunnukset turvallisella laitteella ja otetaan yhteys asiantuntijaan. Hätiköity poistaminen voi hävittää selvityksessä tarvittavat tiedot.

Ulkopuolinen IT-kumppani tuo tähän jatkuvuutta. Kun sama toimija tuntee yrityksen laitteet, verkkoympäristön, pilvipalvelut ja yhteyshenkilöt, apua ei tarvitse aloittaa lähtötietojen keräämisellä. Karjalan Datahuollon kaltaisessa yhden luukun mallissa laitehankinnat, asennukset, ylläpito, tietoturva-asetukset ja etätuki voidaan sopia selkeäksi kokonaisuudeksi.

Aloita yhdestä näkyvästä parannuksesta

Täydellistä suojausta ei ole, eikä pienyrityksen tarvitse yrittää tehdä kaikkea kerralla. Fiksu etenemisjärjestys on korjata ensin suurimmat ja tavallisimmat riskit: monivaiheinen tunnistautuminen, ajantasaiset laitteet, hallitut pääkäyttäjätunnukset ja toimivaksi testattu varmuuskopio.

Sen jälkeen turvallisuutta voidaan kehittää yrityksen kasvun, uusien järjestelmien ja muuttuvan työn mukaan. Kun vastuut, laitteet ja tukikanava ovat selvät, kyberturva ei ole erillinen projekti. Se on osa sitä, että yrityksesi pystyy palvelemaan asiakkaitaan myös silloin, kun tekniikkaan kohdistuu painetta.