Työntekijän kannettava jää autoon, puhelin katoaa työmatkalla tai sähköpostiin saapuu uskottavan näköinen kirjautumispyyntö. Näissä tilanteissa ratkaisee se, mitä laitteelle ja käyttäjätunnuksille on tehty jo ennen vahinkoa. Kun mietitään, miten suojata yrityksen päätelaitteet, pelkkä virustorjunta ei riitä. Tarvitaan hallittu kokonaisuus, jossa laitteet, käyttäjät, tiedot ja tuki toimivat yhdessä.

Päätelaite tarkoittaa käytännössä kaikkia työntekijöiden käyttämiä laitteita: kannettavia, pöytäkoneita, puhelimia, tabletteja ja joskus myös yhteiskäytössä olevia laitteita. Ne ovat yrityksen arjen työvälineitä, mutta samalla mahdollinen reitti sähköpostiin, pilvipalveluihin, asiakasjärjestelmiin ja tiedostoihin. Suojaus kannattaa rakentaa liiketoiminnan tarpeen mukaan – pienessä yrityksessä selkeä perusmalli on usein parempi kuin raskas ja vaikeasti ylläpidettävä järjestelmä.

Miten suojata yrityksen päätelaitteet käytännössä

Toimiva suojaus alkaa siitä, että yrityksellä on ajantasainen tieto käytössä olevista laitteista. Jos ei tiedetä, kenen laite on käytössä, missä se on ja mitä sillä pääsee tekemään, myös tietoturvan hallinta jää arvailuksi. Laiteluetteloon kannattaa kirjata ainakin laitteen käyttäjä, malli, sarjanumero, käyttöjärjestelmä, hankintapäivä ja mahdollinen palautuspäivä.

Samalla sovitaan omistajuudesta. Kuka tilaa laitteen, kuka asentaa sen, kuka hyväksyy käyttöoikeudet ja kenelle ilmoitetaan, kun työntekijä vaihtaa tehtävää tai työsuhde päättyy? Selkeä vastuujako ehkäisee tilanteita, joissa vanha käyttäjätunnus jää voimaan tai työpuhelimeen jää yrityksen aineistoa ilman hallintaa.

Laitteen elinkaari on hyvä suunnitella jo hankintavaiheessa. Yrityskäyttöön valittu laite, asianmukainen takuu ja ennakoitu vaihtoväli vähentävät käyttökatkoja. Vanha, päivityksiä vaille jäävä kone ei ole vain hidas – se voi muodostaa tietoturvariskin, jota ei enää korjata ohjelmistopäivityksillä.

Päivitykset eivät saa jäädä käyttäjän varaan

Käyttöjärjestelmän, selainten ja sovellusten haavoittuvuuksia löydetään jatkuvasti. Hyökkäys ei aina vaadi käyttäjältä virhettä: vanhentunut ohjelmisto voi riittää. Siksi päivitysten asentaminen kannattaa automatisoida ja niiden onnistumista seurata keskitetysti.

Päivityksissä on silti käytännön tasapainoiltavaa. Keskellä työpäivää käynnistyvä päivitys voi keskeyttää tärkeän työn, mutta kuukausiksi siirretty päivitys kasvattaa riskiä. Hyvä käytäntö on sopia päivitysikkunat, asentaa kriittiset korjaukset nopeasti ja testata suuremmat muutokset tarvittaessa pienellä käyttäjäryhmällä ennen laajempaa käyttöönottoa.

Myös tarpeettomat ohjelmat kannattaa poistaa. Jokainen asentamaton tai käyttämätön sovellus vähentää ylläpidettävää pintaa. Käyttäjälle ei tarvitse antaa rajattomia asennusoikeuksia vain siksi, että yksittäinen ohjelma saattaa joskus olla tarpeen. Tarvittavat sovellukset voidaan asentaa hallitusti tuen kautta.

Suojaa kirjautuminen, älä vain salasanaa

Salasana yksin ei enää riitä yrityksen sähköpostin ja pilvipalveluiden suojaksi. Monivaiheinen tunnistautuminen estää suuren osan tilimurroista, koska varastettu salasana ei tavallisesti yksin avaa pääsyä palveluun. Se kannattaa ottaa käyttöön ainakin sähköpostissa, Microsoft 365- ja Azure-palveluissa, etäyhteyksissä sekä talous- ja asiakasjärjestelmissä.

Käyttöoikeuksien pitää vastata työnkuvaa. Myynnin työntekijä tarvitsee eri oikeudet kuin taloushallinto, ja ulkopuoliselle kumppanille annetaan vain työn kannalta välttämätön pääsy. Laajat pääkäyttäjäoikeudet helpottavat hetkellisesti, mutta virheen tai tietomurron vaikutukset ovat silloin huomattavasti suuremmat.

Työsuhteen päättyessä tunnukset, etäyhteydet ja laitehallinnan oikeudet pitää sulkea heti sovittuna päivänä. Tämä kohta unohtuu helposti kiireessä, vaikka juuri poistuvien käyttäjien hallinta on yksi selkeimmistä tavoista pienentää tarpeettomia riskejä.

Hallittu laite on turvallisempi myös etätyössä

Etätyö ja liikkuva työ lisäävät vaatimuksia, koska laite ei ole aina yrityksen verkossa tai toimiston lukitussa tilassa. Laitehallinnalla voidaan määrittää asetuksia keskitetysti: vaatia näytön lukitus, salata levyt, jakaa sovelluksia, rajoittaa riskialttiita asetuksia ja tarvittaessa tyhjentää kadonnut työlaite.

Levyn salaus on erityisen hyödyllinen kannettavissa tietokoneissa. Jos laite varastetaan, salaus vaikeuttaa sen sisältämien tietojen lukemista. Puhelimissa vastaava perusasia on vahva näytön lukitus, ajantasainen käyttöjärjestelmä ja mahdollisuus etähallintaan. Pelkkä nelinumeroinen koodi ei ole hyvä suoja laitteessa, jossa kulkee sähköpostia ja asiakastietoja.

Omien laitteiden käyttö työssä vaatii oman päätöksensä. Se voi olla pienelle yritykselle joustava ja kustannustehokas vaihtoehto, mutta silloin on sovittava, mitä yrityksen tietoja laitteessa saa käsitellä ja miten ne erotetaan henkilökohtaisesta sisällöstä. Monessa tapauksessa hallittu työpuhelin tai työprofiili on selkein ratkaisu.

Varmuuskopioi tiedot ja harjoittele palautusta

Päätelaitteen rikkoutuminen ei saa pysäyttää työntekoa. Tiedostot kannattaa tallentaa hallittuihin pilvipalveluihin tai palvelimelle sen sijaan, että ainoa kopio jää työntekijän koneen työpöydälle. Näin laite voidaan vaihtaa tai korjata ilman, että tärkeät tarjoukset, sopimukset tai projektiaineistot katoavat mukana.

Varmuuskopiointi ei kuitenkaan tarkoita vain sitä, että jokin kopio on olemassa. On myös tiedettävä, mistä tiedot palautetaan, kuinka kauan palautus kestää ja kuka tekee sen. Kiristyshaittaohjelman, virheellisen poistamisen tai palveluhäiriön jälkeen palautuskyky ratkaisee, kuinka pitkään yrityksen arki on keskeytynyt.

Varmuuskopioiden suojausta pitää arvioida erikseen. Jos hyökkääjä pääsee samoilla tunnuksilla sekä tuotantotietoihin että varmuuskopioihin, myös palautuminen voi vaarantua. Käyttöoikeuksien erottelu ja säännölliset palautustestit ovat tässä käytännöllisiä varmistuksia.

Käyttäjä on osa suojausta, ei sen heikoin lenkki

Tietojenkalasteluviestit ovat usein uskottavia, ja kiireinen työntekijä voi tehdä virheen, vaikka ohjeet olisivat kunnossa. Syyttely ei paranna tietoturvaa. Toimivampi tapa on antaa henkilöstölle selkeät ohjeet: mitä epäilyttävästä viestistä tehdään, kenelle siitä ilmoitetaan ja miten toimitaan, jos salasana on jo annettu väärään paikkaan.

Ohjeiden kannattaa olla lyhyitä ja arjen tilanteisiin sidottuja. Esimerkiksi laskuviestin muuttunut tilinumero, toimitusjohtajan nimissä tullut kiireellinen maksupyyntö tai Microsoft-kirjautumista muistuttava sivu ovat tilanteita, joista henkilöstön pitää uskaltaa kysyä. Nopea ilmoitus voi estää vahingon leviämisen.

Yrityksellä on hyvä olla myös selkeä toimintamalli katoamistilanteeseen. Työntekijän ei tarvitse ensin selvittää, onko kadonnut puhelin varmasti lukittu, vaan hänen pitää tietää yksi yhteyspiste, johon ilmoitus tehdään heti. Sen jälkeen voidaan lukita tunnuksia, paikantaa tai tyhjentää laite hallitusti ja arvioida jatkotoimet.

Tuki ja valvonta tekevät suojauksesta jatkuvaa

Tietoturva ei valmistu sinä päivänä, kun uusi tietokone otetaan käyttöön. Laitteita vaihdetaan, työntekijöitä aloittaa, ohjelmistoja päivitetään ja käyttöoikeudet muuttuvat. Jatkuva ylläpito varmistaa, että sovitut asetukset pysyvät voimassa myös muutosten jälkeen.

Pienessä ja keskisuuressa yrityksessä oma IT-henkilö ei aina ole tarpeellinen tai mahdollinen. Silti laitteille tarvitaan vastuullinen taho, joka tuntee ympäristön, reagoi häiriöihin ja pitää kokonaisuuden dokumentoituna. Yksi yhteyshenkilö vähentää myös aikaa, joka muuten kuluu laitemyyjän, ohjelmistotoimittajan ja erillisen tukipalvelun välillä selvittelyyn.

Karjalan Datahuolto voi ottaa päätelaitteiden hankinnan, käyttöönoton, hallinnan ja huollon samaan kokonaisuuteen. Kun laite vioittuu tai epäilyttävä tilanne vaatii toimenpiteitä, yrityksen ei tarvitse etsiä oikeaa tahoa useasta numerosta. Paikallinen tuki ja etäyhteydet täydentävät toisiaan tilanteen mukaan.

Hyvä seuraava askel on käydä läpi yksi tavallinen työpäivä: millä laitteilla työntekijät kirjautuvat palveluihin, missä yrityksen tiedot sijaitsevat ja kuka auttaa, jos laite katoaa tänään. Kun näihin kolmeen kysymykseen on selkeä vastaus, päätelaitteiden suojaus on jo paljon paremmalla pohjalla.