Verkon tietoturva pettää harvoin yhdestä näyttävästä virheestä. Tavallisempi tilanne on, että vanha vierasverkon salasana on edelleen käytössä, tulostin on jäänyt päivittämättä tai entisen työntekijän tunnus toimii yhä. Siksi parhaat keinot suojata lähiverkko eivät ole yksittäinen laitehankinta, vaan selkeästi hallittu kokonaisuus, jossa laitteet, käyttöoikeudet, asetukset ja ylläpito ovat järjestyksessä.

Pienessäkin yrityksessä lähiverkko yhdistää työasemat, palvelimet, tulostimet, langattomat tukiasemat, puhelimet, valvontakamerat ja usein myös pilvipalveluiden käyttöön tarvittavat päätelaitteet. Kun verkko ei toimi tai siihen pääsee väärä käyttäjä, häiriö näkyy nopeasti koko työpäivässä. Hyvin toteutettu suojaus vähentää käyttökatkoja, rajaa vahinkoja ja tekee ongelmatilanteista hallittavia.

Aloita näkyvyydestä: tiedä, mitä verkossasi on

Lähiverkkoa ei voi suojata kunnolla, jos kukaan ei tiedä varmasti, mitkä laitteet siihen ovat kytkettyinä. Yrityksen verkossa voi olla vuosien varrella hankittuja työasemia, vanhoja kytkimiä, etätyöpisteitä, älytelevisioita, kameroita ja tulostimia, joiden omistaja tai päivitysvastuu on epäselvä.

Ajantasainen laiteluettelo on käytännön tietoturvatyötä. Siitä pitäisi selvitä vähintään laitteen tyyppi, sijainti, käyttäjä tai vastuuhenkilö, käyttöjärjestelmä, verkko-osoite sekä se, tarvitseeko laite internetyhteyttä. Erityistä huomiota kannattaa kiinnittää laitteisiin, joita ei käytetä päivittäin. Esimerkiksi varastossa oleva vanha työasema tai käyttöön jäänyt reititin voi muodostaa tarpeettoman riskin.

Samalla kannattaa päättää, kuka saa liittää verkkoon uusia laitteita. Kun työntekijä tuo oman tukiaseman, tulostimen tai kameran käyttöön ilman yhteistä toimintatapaa, syntyy helposti rinnakkainen ja hallitsematon verkkoympäristö. Kyse ei ole työntekijöiden hankaloittamisesta, vaan siitä, että laitteet toimivat oikein ja niiden tietoturva voidaan varmistaa.

Parhaat keinot suojata lähiverkko alkavat verkon jaottelusta

Yksi yleisimmistä virheistä on pitää kaikki laitteet samassa verkossa. Tällöin vieraan puhelin, toimiston työasema, kassajärjestelmä, valvontakamera ja palvelin voivat periaatteessa nähdä toisensa. Jos yksi laite saastuu haittaohjelmasta tai sen tunnukset päätyvät vääriin käsiin, vahinko voi levitä tarpeettoman laajalle.

Verkon segmentointi tarkoittaa, että eri käyttötarkoituksille tehdään omat, toisistaan erotetut verkkonsa. Työasemat, palvelimet, vieraat, langattomat päätelaitteet sekä esimerkiksi kamerat ja muut IoT-laitteet kannattaa erottaa omiin verkkoalueisiinsa. Näiden välillä sallitaan vain liikenne, jota työssä todella tarvitaan.

Vierailijaverkko on tästä hyvä esimerkki. Asiakkaiden ja vierailijoiden pitää voida käyttää internetiä, mutta heidän laitteidensa ei tarvitse päästä yrityksen tulostimille, tiedostoihin tai työasemille. Sama periaate sopii usein myös henkilöstön omiin puhelimiin. Ratkaisu ei ole kaikille yrityksille täysin samanlainen: pienessä toimistossa toteutus voi olla kevyt, kun taas usean toimipisteen ympäristössä tarvitaan tarkempaa suunnittelua ja keskitettyä hallintaa.

Segmentointi tehdään yleensä hallittavilla kytkimillä, palomuurilla ja langattomilla tukiasemilla. Pelkkä erillinen Wi-Fi-salasana ei aina riitä, jos laitteet ovat teknisesti edelleen samassa verkossa. Siksi asetusten toteutus ja testaus ovat yhtä tärkeitä kuin itse laitteet.

Palomuuri määrittää, mitä liikennettä sallitaan

Palomuuri on lähiverkon liikenteen portinvartija. Sen tehtävä ei ole vain estää ulkopuolelta tulevia yhteydenottoja, vaan myös rajoittaa verkon sisäistä liikennettä ja havaita poikkeavaa toimintaa. Oikein asetettu palomuuri voi esimerkiksi estää vierasverkon pääsyn sisäverkkoon, rajata kameroiden internetyhteyksiä ja estää tarpeettomat etähallintayhteydet.

Palomuurin perusajatus on yksinkertainen: sallitaan vain se, mitä tarvitaan. Käytännössä tämä tarkoittaa, että avoimia palveluja, porttiohjauksia ja etäyhteyksiä ei jätetä käyttöön varmuuden vuoksi. Jokaisella säännöllä pitäisi olla selkeä tarkoitus ja vastuuhenkilö.

Erityisesti etäkäyttö kannattaa toteuttaa hallitusti. Jos yrityksen palvelimelle, työasemalle tai kamerajärjestelmään tarvitaan yhteys toimiston ulkopuolelta, käytössä pitää olla turvallinen tunnistautuminen ja rajatut käyttöoikeudet. Suoraan internetiin avatut hallintaportit ovat tarpeeton riski. Monivaiheinen tunnistautuminen tuo merkittävän lisäsuojan silloinkin, kun salasana joutuu vääriin käsiin.

Päivitykset ovat ylläpitotyötä, eivät kertaluonteinen projekti

Reitittimet, palomuurit, kytkimet ja tukiasemat ovat tietokoneita siinä missä työasematkin. Niiden ohjelmistoista löytyy haavoittuvuuksia, joihin valmistajat julkaisevat korjauksia. Jos laitteiden päivityksiä ei tehdä, verkkoon voi jäädä tunnettuja ja helposti hyödynnettäviä aukkoja.

Päivitysten haaste ei yleensä ole tekniikka vaan vastuun epäselvyys. Kuka tarkistaa päivitykset? Milloin ne asennetaan? Onko asetuksista varmuuskopio ennen muutosta? Mitä tehdään, jos päivitys aiheuttaa häiriön? Kun toimintamalli sovitaan etukäteen, päivitykset voidaan tehdä hallitusti esimerkiksi sovittuna huoltoajankohtana.

Myös elinkaarensa päässä olevat laitteet on tunnistettava. Laite voi vaikuttaa toimivalta, mutta jos sille ei enää tule tietoturvapäivityksiä, sitä ei pitäisi käyttää verkon kriittisessä roolissa. Vaihtaminen ajoissa on usein edullisempaa kuin kiireellinen korjaus häiriön tai tietoturvatapauksen jälkeen.

Käyttöoikeudet ja langaton verkko kuntoon

Hyvä verkkoturva ei perustu yhteiseen salasanaan, joka vaihtuu vain silloin, kun joku muistaa tehdä sen. Jokaisella käyttäjällä tulisi olla oma tunnus, ja käyttöoikeudet annetaan työtehtävän mukaan. Kun työntekijän tehtävä muuttuu tai työsuhde päättyy, oikeudet voidaan poistaa nopeasti ilman, että koko yrityksen salasanoja tarvitsee vaihtaa.

Langattomassa verkossa kannattaa käyttää nykyaikaista salausta, vahvoja tunnuksia ja hallittuja tukiasemia. Vanhentuneet salausmenetelmät sekä oletussalasanat kuuluvat pois käytöstä. Tukiasemien sijoittelu vaikuttaa myös tietoturvaan: verkon kuuluvuutta ei tarvitse levittää tarpeettomasti rakennuksen ulkopuolelle, vaikka käytännössä tilojen rakenne ja työn tekemisen tarpeet ratkaisevat sopivan toteutuksen.

Tulostimet, kamerat ja muut verkkoon kytketyt erikoislaitteet tarvitsevat oman tarkistuksensa. Niissä voi olla tehdasasetuksena oleva ylläpitotunnus, vanha ohjelmistoversio tai tarpeettomasti avoimia palveluja. Nämä laitteet kannattaa sijoittaa omaan segmenttiinsä ja sallia niille vain välttämättömät yhteydet.

Valvonta ja varautuminen ratkaisevat häiriötilanteessa

Kaikkia poikkeamia ei voida estää ennakolta. Siksi on tiedettävä, miten verkko käyttäytyy normaalisti ja kuka reagoi, jos jotain muuttuu. Yhteyksien katkeaminen, tuntematon laite verkossa, epätavallinen kirjautuminen tai suuren datamäärän siirtyminen ulospäin voivat olla merkkejä ongelmasta, joka kannattaa selvittää nopeasti.

Valvonnan ei tarvitse tarkoittaa jatkuvaa ruudun tuijottamista. Hallittavat verkkolaitteet, hälytykset, lokitiedot ja säännölliset tarkistukset antavat riittävän näkyvyyden useimmille pk-yrityksille. Tärkeintä on, että hälytys menee henkilölle tai kumppanille, joka myös pystyy toimimaan sen perusteella.

Varautumiseen kuuluu lisäksi asetusten varmuuskopiointi ja toimintaohje häiriötilanteisiin. Jos palomuuri rikkoutuu, miten yhteydet palautetaan? Jos epäillään haittaohjelmaa, kuka irrottaa laitteen verkosta ja keneen otetaan yhteyttä? Selkeä toimintamalli säästää aikaa juuri silloin, kun sitä on vähiten.

Lähiverkon suojaus kannattaa nähdä jatkuvana perushuoltona, aivan kuten työasemien, pilvipalvelujen ja varmuuskopioiden ylläpito. Karjalan Datahuollon kaltaisella paikallisella IT-kumppanilla kokonaisuus voidaan ottaa yhdelle vastuulle: verkon kartoitus, laitteet, asennukset, asetukset, valvonta ja tuki pysyvät samassa käsissä. Kun vastuujako on selkeä, yrityksen oma väki voi keskittyä työhönsä ja verkko palvelee sitä taustalla niin kuin sen kuuluukin.